Юридическая информация

Политика обработки персональных данных

Редакция от 11 сентября 2026 года

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет порядок обработки и защиты персональных данных Индивидуальным предпринимателем Пронь Юрием Борисовичем (далее — Оператор).

1.2. Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и иными применимыми нормативными правовыми актами Российской Федерации.

1.3. Политика применяется к персональным данным, которые Оператор получает через сайт https://bubbletea-russia.ru (далее — Сайт), по телефону, электронной почте, через формы обратной связи, при оформлении и исполнении заказов, доставке, оплате, заключении и исполнении договоров, а также при ином взаимодействии с клиентами, контрагентами и их представителями.

1.4. Использование отдельных функций Сайта означает обработку только тех данных и для тех целей, которые необходимы для соответствующей функции. Если функция заказа, оплаты, доставки или маркетинговых рассылок ещё не запущена, относящиеся к ней положения применяются с момента её запуска.

2. Сведения об Операторе

Оператор: Индивидуальный предприниматель Пронь Юрий Борисович.
ИНН: 233003170530.
ОГРНИП: 321237500013333.
Адрес для обращений: 350063, г. Краснодар, ул. Захарова, 10/6.
Электронная почта по вопросам персональных данных: sales@bubbletea-russia.ru.
Телефон: +7 (953) 077-14-09.
Адрес Сайта: https://bubbletea-russia.ru.

3. Термины

3.1. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу.

3.2. Обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, предоставление, доступ, обезличивание, блокирование, удаление и уничтожение.

3.3. Остальные термины используются в значениях, установленных Федеральным законом № 152-ФЗ.

4. Категории субъектов, цели, данные и правовые основания

4.1. Обращения через формы, телефон, электронную почту и иные каналы

Субъекты: посетители Сайта, представители потенциальных и действующих клиентов и партнёров.
Цели: обработка обращения; обратная связь; подбор ассортимента и формата поставки; подготовка коммерческого предложения; ведение переговоров.
Данные: имя; наименование компании; город; телефон; электронная почта; интересующие продукты; текст сообщения; иные сведения, добровольно указанные субъектом в обращении.
Правовые основания: согласие субъекта; действия по запросу субъекта до заключения договора; заключение и исполнение договора — в зависимости от содержания обращения.
Информационная система: сведения из обращения могут передаваться в используемую Оператором информационную базу сервиса 1С:Фреш для регистрации заявки, ведения истории взаимодействия и дальнейшей работы с клиентом.

4.2. Заказы, договоры, оплата, доставка и возвраты

Субъекты: покупатели, заказчики, получатели, плательщики и представители контрагентов.
Цели: оформление, подтверждение и исполнение заказа или договора; регистрация клиента, заказа и взаиморасчётов в информационной базе 1С:Фреш; выставление счетов; приём и учёт оплаты; формирование кассовых документов; доставка; обработка возвратов, претензий и гарантийных обращений; бухгалтерский, налоговый, управленческий и оперативный учёт.
Данные: фамилия, имя, отчество при необходимости; телефон; электронная почта; наименование и реквизиты организации или индивидуального предпринимателя; должность и полномочия представителя; адрес доставки; состав, стоимость и история заказа; сведения о статусе оплаты и доставки; содержание обращений и претензий.
Правовые основания: заключение и исполнение договора, стороной которого является субъект или по которому субъект является выгодоприобретателем или поручителем; выполнение обязанностей, установленных законодательством; согласие — только когда оно действительно необходимо.
Оператор не получает и не хранит полные реквизиты банковской карты: оплата картой, если и когда она будет подключена, проводится на защищённой странице платёжного провайдера.

4.3. Информационные и рекламные сообщения

Субъекты: лица, отдельно согласившиеся получать сообщения.
Цели: направление новостей, предложений, информации о товарах, акциях и мероприятиях по выбранным каналам связи.
Данные: имя при наличии; телефон; электронная почта; выбранный канал связи; сведения о предоставлении и отзыве согласия.
Правовые основания: отдельное предварительное согласие на получение информационных и рекламных сообщений. Отказ от рекламы не ограничивает доступ к товарам, оформлению заказа или отправке обращения.

4.4. Работа Сайта и информационная безопасность

Субъекты: посетители Сайта.
Цели: техническая работа Сайта; обеспечение безопасности; выявление ошибок и злоупотреблений; защита форм от автоматической отправки; расследование инцидентов.
Данные: IP-адрес; дата и время обращения; адрес запрошенной страницы; сведения о браузере, операционной системе и устройстве; технические идентификаторы и журналы событий.
Правовые основания: законные интересы Оператора в обеспечении работоспособности и безопасности Сайта при условии, что права и свободы субъекта не имеют преимущественного значения; согласие — для необязательных аналитических или рекламных файлов cookie, если они когда-либо будут использоваться.

4.5. Оператор не осуществляет обработку специальных категорий персональных данных и биометрических персональных данных через Сайт и просит не указывать такие сведения в свободных полях форм.

4.6. Оператор не осуществляет распространение персональных данных среди неопределённого круга лиц. Если такая цель появится, отдельное согласие на обработку персональных данных, разрешённых субъектом для распространения, оформляется в порядке статьи 10.1 Федерального закона № 152-ФЗ.

5. Принципы и способы обработки

5.1. Оператор обрабатывает персональные данные законно, добросовестно, только для заранее определённых целей и в объёме, необходимом для этих целей.

5.2. Не допускается объединение баз данных, обработка которых осуществляется в несовместимых целях. Оператор принимает разумные меры для обеспечения точности и актуальности данных.

5.3. Обработка может осуществляться автоматизированным, неавтоматизированным и смешанным способами.

5.4. Оператор совершает следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача в случаях, предусмотренных настоящей Политикой, обезличивание, блокирование, удаление и уничтожение.

6. Получение согласия

6.1. Когда основанием обработки является согласие, оно предоставляется свободно, своей волей и в своём интересе, конкретно, предметно, информированно, сознательно и однозначно.

6.2. Согласие на обработку персональных данных оформляется отдельно от иных документов и подтверждений пользователя. В веб-форме оно предоставляется установкой незаполненного заранее флажка рядом со ссылкой на отдельный текст согласия. Само по себе нажатие кнопки отправки формы не заменяет согласие.

6.3. Согласие на рекламные и маркетинговые сообщения является отдельным, добровольным и необязательным. Оно не объединяется с согласием на обработку обращения или заказа.

6.4. Субъект может отозвать согласие по адресу sales@bubbletea-russia.ru. В обращении следует указать сведения, позволяющие Оператору идентифицировать субъекта и соответствующую обработку.

6.5. После отзыва согласия Оператор прекращает основанную на нём обработку, если отсутствует другое законное основание для её продолжения.

7. Файлы cookie и сервисы аналитики

7.1. По состоянию на дату настоящей редакции Сайт не устанавливает файлы cookie для посетителей. Для одной технической цели — подтверждения достижения 18 лет при просмотре рецептов с содержанием алкоголя — используется браузерное хранилище (sessionStorage): отметка о подтверждении сохраняется только в текущей вкладке браузера, не передаётся Оператору и не содержит персональных данных.

7.2. Если в дальнейшем на Сайте будут подключены файлы cookie, аналитические, рекламные или иные необязательные технологии, они будут активироваться только после получения согласия пользователя, а в настоящей Политике будут заранее указаны название сервиса, поставщик, цели, состав данных, срок действия файлов cookie и сведения о возможной передаче данных.

7.3. Пользователь может ограничить или удалить файлы cookie в настройках браузера. Отключение файлов cookie может повлиять на работу отдельных функций Сайта, если они будут подключены.

8. Передача данных и обработка по поручению

8.1. Оператор может предоставлять персональные данные только в необходимом объёме:

поставщикам хостинга и технической инфраструктуры;
поставщикам электронной почты, телефонии, CRM и средств деловой коммуникации;
администратору и обслуживающей организации используемого Оператором сервиса 1С:Фреш — для размещения и ведения информационной базы 1С, регистрации обращений, клиентов, заказов, взаиморасчётов и исполнения связанных с ними операций;
платёжным организациям, банкам, оператору фискальных данных и иным участникам расчётов — при использовании оплаты;
транспортным компаниям, курьерским службам и иным исполнителям доставки — при оформлении доставки;
подрядчикам по технической поддержке Сайта и информационных систем;
государственным органам и иным лицам, когда передача обязательна по закону;
иным лицам — с согласия субъекта или на другом предусмотренном законом основании.

8.2. Лица, обрабатывающие данные по поручению Оператора, обязуются соблюдать конфиденциальность и требования к защите персональных данных, обрабатывать их только по документированным указаниям Оператора и в пределах согласованных целей.

8.3. По запросу субъекта Оператор предоставляет предусмотренные законом сведения о лицах, имеющих доступ к персональным данным или обрабатывающих их по поручению Оператора.

8.4. Оператор использует сервис 1С:Фреш как информационную систему для регистрации обращений и, при подключении соответствующих функций, заказов, оплаты, доставки и взаиморасчётов. В 1С:Фреш могут передаваться только данные, необходимые для соответствующей операции; их состав зависит от вида обращения или заказа и не превышает перечень, указанный в разделе 4 настоящей Политики.

8.5. Технические уведомления о новых заявках устроены следующим образом: серверу-посреднику (relay), расположенному за пределами Российской Федерации, направляется запрос, тело которого строго равно {"event":"new-lead"}. Это тело не содержит номера заявки, внутренних идентификаторов записей Оператора, идентификатора события или времени его возникновения, а также имени, телефона, электронной почты, компании, города, интересующих продуктов или текста сообщения. Технические параметры запроса (метка времени и случайное значение, используемые для аутентификации запроса и защиты от его повторной отправки) формируются заново при каждой отправке и не образуются из данных заявки.

Сервер-посредник сохраняет собственную запись об этом событии, включающую: собственный внутренний идентификатор уведомления (не полученный от Сайта и не совпадающий с номером заявки или внутренним идентификатором записи в системах Оператора); статус обработки в очереди; число попыток доставки; технические даты создания записи, её последнего обновления и следующей попытки; безопасную категорию ошибки (без исходного текста ошибки) — если попытка была неудачной; идентификатор сообщения Telegram — после успешной доставки; а также использованное для проверки подлинности запроса случайное значение (nonce), метку времени запроса и время его регистрации — для защиты от повторного использования. Эти записи не содержат номера заявки, иных идентификаторов записей Оператора или полей формы обращения и не имеют прямой связи с записью о заявке или задаче доставки в системах Оператора.

Указанные выше записи сервера-посредника удаляются автоматически по следующим правилам. Случайное значение (nonce), использованное для защиты от повторного использования запроса, подлежит автоматическому удалению, как только его возраст превышает 900 секунд (15 минут). Собственная запись об уведомлении подлежит автоматическому удалению, только если она уже достигла завершённого состояния (успешно доставлена либо окончательно не доставлена после исчерпания попыток), и не ранее чем через 2 592 000 секунд (30 дней) после её последнего обновления; запись, ожидающая обработки или обрабатываемая в момент проверки, этим механизмом не удаляется вовсе — независимо от её возраста, до тех пор пока она не достигнет завершённого состояния. Фактическое удаление обеих категорий записей происходит при запуске обслуживающего процесса сервера-посредника и далее не чаще одного раза в 300 секунд (5 минут), пока этот процесс работает.

Сетевые журналы веб-сервера, обслуживающего сервер-посредник, могут дополнительно содержать обычные технические метаданные запроса — IP-адрес источника запроса, время запроса, путь запроса и HTTP-статус ответа — без тела заявки. Срок их фактического хранения определяется настройками ротации этого веб-сервера и на дату настоящей редакции не превышает 30 дней, но может оказаться короче: ротация дополнительно ограничена размером каждого файла и количеством хранимых файлов, поэтому при высокой интенсивности запросов более старые записи могут быть удалены раньше 30-дневного срока. Срок хранения иных технических журналов (в том числе журналов операционной системы сервера-посредника) настоящей редакцией отдельно не подтверждается и должен быть отдельно определён и обеспечен Оператором (см. также раздел 10.5).

Итоговое сообщение в Telegram — неизменный текст «Поступила новая заявка», без номера или иного содержания заявки. Такой запрос отправляется сразу после обработки соответствующей внутренней задачи доставки на стороне Оператора, поэтому техническая возможность сопоставить момент запроса с моментом поступления конкретной заявки по времени полностью не исключается. Получив уведомление, сотрудник Оператора самостоятельно открывает внутреннюю систему, чтобы ознакомиться с содержанием заявки.

8.6. Полное содержание заявки (данные, указанные в разделе 4.1) направляется в служебный чат MAX и на служебную электронную почту Оператора — оба канала вызываются непосредственно сервером приложения Оператора, без использования сервера-посредника из раздела 8.5, через провайдера электронной почты по протоколу SMTP. Доступ к обоим каналам должен быть ограничен уполномоченными лицами — это обязательная организационная мера (состав уполномоченных лиц, порядок предоставления и отзыва доступа), которую Оператор обязан обеспечить и подтвердить; настоящая редакция не утверждает, что такое разграничение доступа уже фактически внедрено и проверено. Фактическая география инфраструктуры MAX, провайдера электронной почты, используемого хостинга и их журналов, а также применимость требований о локализации и трансграничной передаче в отношении этих каналов, на дату настоящей редакции отдельно не подтверждена и должна быть проверена Оператором до начала эксплуатации соответствующего канала в продакшене.

9. Локализация и трансграничная передача

9.1. Оператор обязан обеспечивать, чтобы запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации, собираемых через Интернет, производились с использованием баз данных, находящихся на территории Российской Федерации, — кроме случаев, прямо предусмотренных законом. Настоящая редакция не содержит утверждения, что фактическое место размещения используемых баз данных, их резервных копий и журналов уже проверено и подтверждено, — это отдельная организационная и техническая задача Оператора (см. также раздел 9.3).

9.2. Трансграничная передача осуществляется только при наличии законного основания и после выполнения предусмотренных законом требований, включая предварительное уведомление Роскомнадзора, когда оно обязательно.

9.3. Технический запрос, сопровождающий уведомление в Telegram (раздел 8.5), технически направляется на сервер-посредник за пределами Российской Федерации. Состав этого запроса ограничен константой {"event":"new-lead"} и техническими параметрами аутентификации самого запроса; он не содержит номера заявки, идентификаторов записей Оператора, имени, телефона, электронной почты, компании, города, интересующих продуктов или текста сообщения. При этом запрос отправляется сразу после обработки конкретной внутренней задачи доставки, поэтому техническая возможность сопоставить момент запроса с моментом поступления определённой заявки по времени полностью не исключается (раздел 8.5). Является ли сам по себе такой технический сигнал персональными данными и требует ли передача такого запроса соблюдения процедур пункта 9.2, включая предварительное уведомление Роскомнадзора, — отдельные вопросы правовой оценки, которую должен дать Оператор; настоящая редакция не содержит категорического вывода ни в ту, ни в другую сторону и не должна толковаться как утверждение, что такое уведомление точно не требуется.

Из внешних каналов уведомления полное содержание заявки (раздел 4.1) направляется только в служебный чат MAX и на служебную электронную почту (раздел 8.6) — оба этих канала вызываются непосредственно сервером приложения Оператора, без использования сервера-посредника из раздела 8.5. Помимо этого, содержание заявки хранится в базе данных приложения Оператора и, при подключении соответствующей интеграции, может передаваться в информационную базу 1С:Фреш (раздел 8.4). Фактическая география инфраструктуры MAX, провайдера электронной почты, используемого хостинга, информационной базы 1С:Фреш, баз данных приложения Оператора и их резервных копий и журналов настоящей редакцией не подтверждается ни в одну, ни в другую сторону (в том числе не утверждается, что она находится на территории Российской Федерации) и требует проверки Оператором до продакшена — код Сайта эти сведения подтвердить не может, поскольку соответствующие сервисы и договоры не относятся к этому репозиторию. Подключение любого нового сервиса, получающего персональные данные, требует предварительной правовой и технической проверки и актуализации настоящей Политики до начала такой передачи.

10. Сроки обработки и уничтожение

10.1. Персональные данные обрабатываются не дольше, чем этого требуют заявленные цели, если более длительный срок не установлен законом или договором.

10.2. Данные обращений хранятся до завершения работы с обращением и далее в течение срока, необходимого для подтверждения коммуникации и защиты законных интересов сторон. Конкретный срок устанавливается Оператором во внутренних документах с учётом характера обращения.

10.3. Данные заказов, договоров, платежей, доставки, первичных учётных документов и претензий хранятся в течение сроков, установленных гражданским, налоговым, бухгалтерским и иным применимым законодательством.

10.4. Данные для маркетинговых сообщений обрабатываются до отзыва согласия или прекращения соответствующей рассылки.

10.5. Для отдельных технических записей, связанных с уведомлением через сервер-посредник (раздел 8.5), сроки хранения подтверждены точно: случайное значение (nonce) для защиты от повторного использования запроса автоматически удаляется, как только его возраст превышает 900 секунд (15 минут); собственная запись об уведомлении, достигшая завершённого состояния (успешно доставлена либо окончательно не доставлена), автоматически удаляется не ранее чем через 2 592 000 секунд (30 дней) с момента её последнего обновления (записи, ожидающие обработки или обрабатываемые в момент проверки, этим механизмом не удаляются вовсе, независимо от возраста, до достижения завершённого состояния); сетевые журналы веб-сервера, обслуживающего сервер-посредник, хранятся не более 30 дней, с оговоркой, что настройки ротации дополнительно ограничены размером каждого файла и количеством хранимых файлов, из-за чего более старые записи могут быть удалены раньше этого срока. Для остальных технических журналов и данных безопасности (в частности, журналов операционной системы) срок хранения настоящей редакцией не подтверждается — он должен быть отдельно согласован Оператором с фактическими настройками соответствующих систем.

10.6. При достижении цели, отзыве согласия или выявлении неправомерной обработки Оператор прекращает обработку и уничтожает данные в сроки, установленные Федеральным законом № 152-ФЗ, если отсутствует иное законное основание для обработки.

11. Права субъекта персональных данных

11.1. Субъект вправе:

получать сведения об обработке своих персональных данных в объёме, установленном законом;
требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели;
отозвать согласие и отказаться от рекламных сообщений;
возражать против обработки в случаях, предусмотренных законом;
обжаловать действия или бездействие Оператора в Роскомнадзоре или в суде;
осуществлять иные права, предусмотренные законодательством Российской Федерации.

11.2. Запрос можно направить на sales@bubbletea-russia.ru или по адресу Оператора. Он должен содержать сведения, позволяющие подтвердить личность заявителя и факт взаимодействия с Оператором, а также суть требования. Оператор вправе запросить дополнительные сведения, если без них невозможно надёжно идентифицировать заявителя и исключить раскрытие данных третьему лицу.

11.3. Ответ предоставляется в течение 10 рабочих дней со дня получения обращения или запроса. Срок может быть продлён не более чем на 5 рабочих дней при направлении мотивированного уведомления с указанием причин продления.

12. Защита персональных данных

12.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.

12.2. Конкретный состав мер определяется с учётом характера обработки, актуальных угроз и требований законодательства и может включать разграничение доступа, учёт действий, резервное копирование, обновление программного обеспечения, защиту каналов связи, контроль подрядчиков и реагирование на инциденты.

12.3. Оператор не раскрывает персональные данные третьим лицам без законного основания.

12.4. Применительно к техническому уведомлению через сервер-посредник (раздел 8.5) на дату настоящей редакции реализованы и подтверждены следующие конкретные технические меры: передача только по HTTPS/TLS; хранение используемого секрета на стороне серверов, а не в теле запроса; проверка подлинности запроса по алгоритму HMAC-SHA256; проверка свежести запроса и защита от повторного использования (replay) по одноразовому значению (nonce); приём только запроса со строго фиксированной схемой тела; ограничение размера тела запроса и частоты запросов; исключение из ответов сервера-посредника технических подробностей, которые могли бы раскрыть внутреннее устройство системы; отсутствие в самом сервере-посреднике каких-либо полей заявки (имени, телефона, электронной почты, компании, города, интересующих продуктов, текста сообщения, номера или внутреннего идентификатора заявки). Настоящий пункт не расширяет и не заменяет общий перечень мер раздела 12.2, а описывает конкретно подтверждённые меры именно для этого канала.

13. Инциденты безопасности

13.1. При выявлении факта неправомерной или случайной передачи или предоставления персональных данных, повлёкшего нарушение прав субъектов, Оператор уведомляет Роскомнадзор в предусмотренном законом порядке: в течение 24 часов — об инциденте и принятых мерах, в течение 72 часов — о результатах внутреннего расследования.

13.2. Оператор принимает меры по прекращению нарушения, снижению последствий и предотвращению повторных инцидентов. Субъекты уведомляются в случаях и порядке, предусмотренных законом либо когда такое уведомление необходимо для защиты их прав и интересов.

14. Изменение Политики

14.1. Оператор обновляет Политику при изменении законодательства, состава и целей обработки, функций Сайта или используемых сервисов.

14.2. Новая редакция действует с момента размещения на странице https://bubbletea-russia.ru/legal/privacy, если в ней не указан иной срок.

14.3. Актуальная версия Политики постоянно доступна на Сайте. Изменение Политики не заменяет получение нового согласия, когда оно требуется законом.

15. Контакты

По вопросам обработки персональных данных, для реализации прав или отзыва согласия можно обратиться:

по электронной почте: sales@bubbletea-russia.ru;
по телефону: +7 (953) 077-14-09;
по адресу: 350063, г. Краснодар, ул. Захарова, 10/6.