Шифрование в покое и в транзите
Все данные шифруются AES-256 на диске, TLS 1.3 в сети. Ключи хранятся в изолированном HSM, ротация — каждые 90 дней.
Правовая информация · Версия 3.2 от 14 марта 2025
Политика конфиденциальности
Настоящий документ описывает, какие персональные данные обрабатывает ООО «Статч» при использовании облачной платформы Statch, и какие права принадлежат вам как субъекту данных.
Оператором персональных данных выступает ООО «Статч» (ОГРН 1247700158234, ИНН 9725084110, адрес: 119334, г. Москва, Пресненская наб., д. 12, башня «Федерация», офис 58). Полное наименование, реквизиты и контакты указаны в разделе 6.
Политика действует в отношении всех сервисов Statch: веб-приложения statch.io, API и SDK, мобильных клиентов, а также связанных сервисов поддержки и биллинга. Используя платформу, вы подтверждаете, что ознакомились с настоящими условиями и согласны на обработку данных в описанном объёме.
Документ носит информационный характер и не является публичной офертой. При конфликте положений приоритет имеет Договор оферты и 152-ФЗ «О персональных данных».
Раздел 1
Какие данные мы собираем
Мы собираем минимум данных, необходимых для предоставления сервиса, и никогда не запрашиваем сведения, не связанные с работой платформы.
Персональные данные — это любая информация, относящаяся к прямо или косвенно определённому физическому лицу. В Statch они обрабатываются в следующих категориях:
Учётные данные. Имя и фамилия, рабочий e-mail, номер телефона (для двухфакторной аутентификации), фотография профиля. Данные берутся при регистрации и редактировании профиля.
Данные организации. Полное и сокращённое наименование компании, ИНН, адрес, должность пользователя в организации. Используются для формирования отчётов и подписи публикаций.
Технические данные. IP-адрес, тип устройства и браузера, временная зона, журналы действий в интерфейсе, метаданные API-запросов. Собираются автоматически для безопасности и отладки.
Данные платежей. Наименование организации-плательщика, счёт, номер договора. Мы не храним номера банковских карт — платежи обрабатываются банком-эквайером, а мы получаем только статус транзакции.
Специальные категории персональных данных (расовая принадлежность, состояние здоровья, политические взгляды и т. п.) не собираются и не обрабатываются.
Раздел 2
Как мы используем данные
Каждое использование привязано к конкретной цели и зафиксировано в журнале обработки. Мы не используем персональные данные для рекламы сторонних сервисов.
Правовые основания: согласие субъекта, исполнение договора, соблюдение требований законодательства РФ.
Предоставление и обслуживание сервиса. Идентификация пользователя, авторизация, восстановление доступа, формирование роли и прав доступа внутри организации. Без этих данных невозможна работа платформы.
Защита от злоупотреблений. Мониторинг аномальной активности, блокировка подозрительных сессий, расследование инцидентов. Данные анализируются в автоматизированном режиме без принятия решений, влияющих на субъекта.
Коммуникация. Технические уведомления, сообщения о состоянии системы, напоминания о просроченных платежах. Коммерческая рассылка отправляется только при отдельном согласии и в любой момент отключается.
Улучшение продукта. Агрегированные и обезличенные метрики использования интерфейса, время отклика, частота ошибок. Данные не позволяют идентифицировать конкретного пользователя.
Исполнение требований закона. Обработка по запросу уполномоченных органов в порядке, установленном 152-ФЗ и иными нормативными актами. Каждый такой запрос регистрируется и отражается в отчёте по обработке.
Раздел 3
Защита данных
Безопасность данных — не функция, а архитектурное свойство платформы. Ниже — ключевые механизмы, которые работают в каждом запросе.
Многофакторная аутентификация
Обязательная 2FA для ролей с правами публикации. Поддержка TOTP, аппаратных ключей FIDO2 и SAML/SSO через корпоративный IdP.
Журнал доступа и аудит
Каждый доступ к персональным данным фиксируется: кто, когда, с какого IP и для какой операции. Журнал хранится 3 года и доступен заказчику.
Разделение сред
Раздельные окружения для разработки, тестирования и продакшена. В непродакшене персональные данные не используются — только синтетические.
Регулярные пентесты
Внешние проверки безопасности дважды в год, внутренний аудит — ежеквартально. Результаты публикуются в сокращённом виде в отчёте о безопасности.
Сертификация и стандарты
Платформа сертифицирована по ISO/IEC 27001:2022, соответствует требованиям 152-ФЗ и хранит данные в дата-центрах на территории РФ.
Раздел 4
Передача данных третьим лицам
Мы передаём персональные данные только тем контрагентам, без которых невозможно предоставить сервис, и только в объёме, необходимом для конкретной задачи.
Субоператорами и получателями данных выступают следующие категории лиц:
Хостинг-провайдеры. Дата-центры Yandex Cloud и Selectel (облако Moscow-1), где размещаются вычислительные ресурсы и хранилища. Договоры с ними содержат обязательства по защите данных и запрет на передачу третьим лицам.
Банк-эквайер. Тинькофф Банк и/или СБП для обработки платежей по подписке. Передаются: наименование организации, сумма, статус транзакции. Персональные данные сотрудника-плательщика не передаются.
Сервисы аутентификации и мониторинга. Okta, Auth0 (при включённом SSO), Sentry, Datadog — только в обезличенном виде для отладки и анализа доступности.
Партнёры по интеграциям. При активном подключении внешнего источника (MT, корпоративный банк, бухгалтерия) данные передаются только по явному разрешению клиента и в рамках конкретной интеграции.
Уполномоченные органы. По законному запросу прокуратуры, суда, Роскомнадзора, ФССП. Каждый запрос регистрируется, клиент уведомляется в допустимые сроки.
Персональные данные не передаются за пределы территории Российской Федерации и не используются для таргетированной рекламы сторонних сервисов.
Раздел 5
Ваши права
Как субъект персональных данных вы можете в любой момент запросить, изменить или удалить свои данные. Запросы обрабатываются в течение 10 рабочих дней.
Доступ и раскрытие
Вы можете запросить перечень всех данных, которые мы о вас храним, и получить их в машиночитаемом формате (JSON, CSV).
Исправление и актуализация
Неполные или неточные данные исправляются по вашему запросу. Изменения фиксируются в журнале с меткой «по запросу субъекта».
Удаление данных
Вы вправе потребовать удаления данных, если они больше не нужны для целей обработки. Исключение — данные, обязательные к хранению по закону (журналы, отчёты).
Ограничение обработки
Вы можете попросить ограничить обработку — например, приостановить рассылку или отключить сбор аналитических метрик для вашей учётной записи.
Перенос данных
Вы вправе получить выгрузку всех своих данных в машиночитаемом формате для передачи другому оператору. Формат — JSON с контрольными суммами.
Оспаривание и жалоба
Вы можете оспорить любое решение, принятое на основе автоматизированной обработки, и подать жалобу в Роскомнадзор (roskomnadzor.ru).
Запросы на реализацию прав принимаются через e-mail privacy@statch.io или через раздел «Настройки → Конфиденциальность» в личном кабинете. В запросе укажите: ФИО, e-mail учётной записи, суть требования.
Раздел 6
Контакты по вопросам приватности
По любым вопросам, связанным с обработкой персональных данных, обращайтесь в команду приватности Statch.
Оператор: ООО «Статч»
Адрес: 119334, г. Москва, Пресненская наб., д. 12, башня «Федерация», офис 58
ОГРН: 1247700158234 · ИНН/КПП: 9725084110 / 770301001
Ответственный за обработку персональных данных: Анна Морозова, старший специалист по приватности
E-mail: privacy@statch.io · Телефон: +7 (495) 128-44-70 (пн–пт, 10:00–19:00 МСК)
Уполномоченный орган: Уполномоченный по защите прав граждан в сфере персональных данных, Роскомнадзор — 123001, г. Москва, ул. Гашкова, д. 3
Политика вступила в силу 14 марта 2025 года. О предыдущих версиях и истории изменений можно запросить у оператора. Изменения вступают в силу с момента публикации на statch.io/legal/privacy.
Частые вопросы
Коротко о приватности
Хранятся ли данные моих отчётов в Statch?
Да. Метрики, публикации и журналы изменений хранятся в шифрованном хранилище на территории РФ. Доступ к ним имеют только вы и уполномоченные вами сотрудники вашей организации.
Можно ли удалить аккаунт и все связанные данные?
Да. Запрос на удаление отправляется на privacy@statch.io. Удаление производится в течение 30 дней, за исключением данных, обязательных к хранению по закону (налоговые и бухгалтерские документы — 5 лет).
Передаёте ли вы данные в сторонние аналитические сервисы?
Нет. Мы не передаём персональные данные в Google Analytics, Meta Pixel или аналогичные сервисы. Вся аналитика использования ведётся во внутренней инфраструктуре в обезличенном виде.
Что делать при подозрении на утечку данных?
Немедленно сообщите на security@statch.io. Мы подтверждаем получение в течение 1 часа, проводим расследование и, при подтверждении инцидента, уведомляем затронутых субъектов в соответствии со ст. 18 152-ФЗ.
Какой срок хранения журналов действий?
Журналы доступа к персональным данным хранятся 3 года, журналы публикаций и версий метрик — бессрочно, пока существует учётная запись. По запросу субъекта срок может быть сокращён.
Остались вопросы по обработке данных?
Команда приватности Statch отвечает в течение 1 рабочего дня. Пришлите запрос — мы уточним детали по вашей учётной записи.
privacy@statch.io · +7 (495) 128-44-70 · пн–пт 10:00–19:00 МСК
Другие правовые документы:
Договор оферты · Условия использования · Политика cookie · SLA · Регламент обработки инцидентов
Все документы доступны в разделе statch.io/legal и обновляются по мере изменения законодательства.