Проект редакции от 15 октября 2026 г.: текст на согласовании с юристом.

Политика в отношении обработки персональных данных

Сервис Glowly (glowly.pro) · редакция от 15 октября 2026 г.

1. Общие положения

1.1. Настоящая Политика определяет цели, правовые основания, порядок и условия обработки персональных данных в сервисе Glowly и меры по обеспечению их безопасности. Политика разработана во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон).

1.2. Оператор — Гринева Анастасия Викторовна, плательщик налога на профессиональный доход, ИНН 233007716058 (далее — Оператор). Реквизиты и контакты — в разделе 13.

1.3. Политика применяется к персональным данным, которые Оператор получает с использованием сайта glowly.pro, его поддоменов и резервного адреса, ботов и мини-приложений Сервиса в мессенджерах Telegram и Max (далее вместе — Сервис), и опубликована по адресу glowly.pro/legal/privacy.

1.4. Термины используются в значениях ст. 3 Закона. Кроме того: Мастер — лицо, зарегистрировавшее учётную запись в Сервисе для оказания своих услуг; Клиент — физическое лицо, которое записывается к Мастеру через Сервис или сведения о котором Мастер вносит в Сервис; Посетитель — лицо, просматривающее сайт без входа в учётную запись; Страница записи — публичная страница Мастера для онлайн-записи; Оферта — публичная оферта Сервиса.

2. Правовые основания обработки

2.1. Оператор обрабатывает персональные данные на основании: Закона; Гражданского кодекса Российской Федерации; Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»; Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»; Федерального закона от 27.11.2018 № 422-ФЗ о налоге на профессиональный доход; договора с Мастером (Оферты); согласий субъектов персональных данных; поручения Мастера на обработку персональных данных Клиентов (раздел 7 Оферты).

2.2. Для каждой цели правовое основание указано в разделе 4 со ссылкой на пункт ч. 1 ст. 6 Закона: согласие субъекта (п. 1), исполнение обязанности, возложенной законом (п. 2), исполнение договора, стороной которого является субъект (п. 5), осуществление прав и законных интересов Оператора (п. 7).

3. Роли Оператора

3.1. В отношении персональных данных Мастеров, Посетителей и лиц, обращающихся к Оператору, Оператор является оператором персональных данных.

3.2. В отношении персональных данных Клиентов оператором является Мастер: он определяет, чьи данные и с какой целью вносит в Сервис. Оператор обрабатывает данные Клиентов как лицо, осуществляющее обработку по поручению Мастера (ч. 3 ст. 6 Закона), на условиях раздела 7 Оферты. Согласие Клиента на обработку его данных (если оно требуется) получает Мастер (ч. 4 ст. 6 Закона); ответственность перед Клиентом несёт Мастер, Оператор отвечает перед Мастером (ч. 5 ст. 6 Закона). Порядок обработки данных Клиентов — раздел 5.

4. Цели обработки, категории субъектов, перечень данных, основания и сроки

4.1. Оператор как оператор обрабатывает персональные данные в следующих целях:

Цель	Субъекты и персональные данные	Основание (ч. 1 ст. 6 Закона)	Срок обработки и хранения
1. Регистрация, идентификация Мастера, заключение и исполнение договора	Мастера: фамилия, имя, адрес электронной почты и отметка о его подтверждении, хеш пароля, номер телефона, специализация, название и адрес Страницы записи, ФИО и ИНН для документов (если указаны), адрес места оказания услуг, фотография и сведения о себе на Странице записи, часовой пояс, идентификаторы пользователя Telegram и Max (если Мастер подключил ботов), настройки и содержимое учётной записи	П. 5 — исполнение договора	До удаления учётной записи; после запроса на удаление — 30 дней (п. 10.1 Оферты)
2. Безопасность входа в учётную запись	Мастера: адрес электронной почты, одноразовые коды и ссылки (хранятся только в виде хеша), метки доверенного устройства и проверки входа (cookie), сведения о неудачных попытках входа	П. 5 — исполнение договора	Коды и ссылки — до истечения их действия и не более суток после; попытки входа — 1 час; метка доверенного устройства — 180 дней
3. Расчёты по платным тарифам, формирование чеков	Мастера: адрес электронной почты для чека, сумма, дата и назначение платежа, номер счёта, номер первого платежа серии автопродления, маска банковской карты (последние цифры), примененные промокоды и код приглашения. Данные банковской карты Оператор не получает	П. 5 — исполнение договора; п. 2 — обязанность по ст. 14 Федерального закона № 422-ФЗ	До удаления учётной записи. Сведения о расчётах и чеки хранятся также в приложении «Мой налог» и у оператора платёжного сервиса
4. Сервисные уведомления Мастеру	Мастера: адрес электронной почты, идентификаторы Telegram и Max, подписки на push-уведомления, очередь писем (адресат, тип, статус)	П. 5 — исполнение договора	Подписки — до отключения; очередь писем — 90 дней
5. Реклама Сервиса Мастерам	Мастера: адрес электронной почты, имя	П. 1 — согласие (ст. 18 Федерального закона «О рекламе»)	До отзыва согласия
6. Подтверждение полученных согласий и их отзыва	Мастера, Посетители: вид согласия, отметка (дано, отозвано, выбор на плашке cookie), дата и время, редакция текста, место отметки, учётная запись (если выполнен вход). Клиенты (по поручению Мастера): то же, а также хеши IP-адреса и сведений о браузере	П. 2 — обязанность доказать получение согласия (ч. 3 ст. 9 Закона, ч. 1 ст. 18 Федерального закона «О рекламе»)	В течение действия согласия и 3 года после его отзыва, замены новой отметкой или удаления учётной записи
7. Предотвращение повторного получения пробного периода	Мастера: необратимые цифровые отпечатки (HMAC) нормализованного адреса электронной почты, идентификатора Telegram, метки браузера и IP-адреса. Исходные значения в этой цели не хранятся; отпечатки не связаны с учётной записью	П. 7 — законный интерес Оператора (п. 4.5 Оферты)	24 месяца с даты регистрации, отпечаток IP-адреса — 30 дней; сохраняются после удаления учётной записи
8. Обеспечение безопасности и работоспособности Сервиса	Мастера: IP-адреса и сведения о браузере и устройстве, с которых выполнялся вход, страна и город, определённые по IP-адресу; журнал событий (вид события, время, итог, без текстов сообщений, имён и телефонов); показатели скорости загрузки страниц; журнал ошибок (сообщение, путь страницы без параметров, сведения о браузере). Лица, пытающиеся получить доступ к служебному разделу: хеш IP-адреса	П. 7 — законный интерес Оператора	Устройства — 6 месяцев с последнего использования; журналы событий и ошибок — 30 дней; хеши адресов служебного раздела — 2 часа
9. Статистика посещений сайта (собственная и Яндекс Метрика)	Мастера и Посетители, давшие согласие: метка браузера (cookie), открытые страницы без параметров, время на странице, глубина прокрутки, источник перехода, тип устройства, операционная система, браузер, язык, часовой пояс, размер экрана, страна и город по IP-адресу, действия в Сервисе без введённого текста; у Мастера — связь с учётной записью	П. 1 — согласие (текст согласия)	До отзыва согласия, но не более 12 месяцев; в Яндекс Метрике — по условиям сервиса
10. Уведомления администрации о регистрации и проверке	Мастера: имя, адрес электронной почты, источник перехода, устройство, город по IP-адресу, признаки автоматической регистрации	П. 7 — законный интерес Оператора	90 дней
11. Рассмотрение обращений в поддержку	Мастера: идентификатор Telegram, переписка и вложения. Иные лица, обратившиеся по электронной почте: адрес электронной почты, имя, указанное в письме, переписка и вложения	П. 5 — исполнение договора (Мастера); п. 1 — согласие, выраженное направлением обращения (иные лица)	12 месяцев с даты последнего сообщения в обращении
12. Рассмотрение запросов субъектов и претензий, исполнение требований закона	Заявители: фамилия, имя, отчество, контактные данные, содержание запроса, сведения о его исполнении	П. 2 — исполнение обязанностей по ст. 14, 20, 21 Закона	3 года с даты ответа
13. Учёт действий администрации Сервиса	Администраторы и Мастера: вид действия, объект (идентификатор), время, без содержания учётной записи	П. 7 — законный интерес Оператора	3 года

4.2. Специальные категории персональных данных (ст. 10 Закона) и биометрические персональные данные (ст. 11 Закона) Оператор не обрабатывает.

4.3. Учётная запись на бесплатном тарифе, которой не пользовались 12 месяцев (нет входа, работы в Сервисе и новых записей Клиентов), удаляется со всеми данными после уведомления Мастера не менее чем за 30 дней (п. 10.4 Оферты).

5. Обработка персональных данных Клиентов по поручению Мастера

5.1. Перечень данных Клиентов, цели и действия с ними определены поручением (п. 7.2–7.4 Оферты): имя и фамилия, номер телефона, адрес электронной почты, идентификаторы Telegram и Max, дата рождения, адрес визита при выезде Мастера, сведения о записях, визитах, услугах, ценах, скидках и оплатах, поле «Важно» (бытовые предпочтения), параметры для оказания услуги из перечня специализации Мастера, формула окрашивания, теги, заметки Мастера, использованные материалы, фотографии работ и иные фотографии в карточке Клиента, отзывы и оценки, отметки о согласиях и запросы Клиента о его данных. Сведения о состоянии здоровья в Сервис не вносятся; интерфейс Сервиса предупреждает об этом у соответствующих полей.

5.2. Оператор не использует данные Клиентов в собственных целях, кроме проверки рассылок Мастера на отсутствие рекламы без согласия (п. 7.10 Оферты) и проверки технических меток в загружаемых файлах для предупреждения злоупотреблений пробным периодом (п. 7.11 Оферты); не объединяет данные Клиентов разных Мастеров; направляет Клиентам сообщения только по действиям или настройкам Мастера.

5.3. Данные Клиента хранятся в течение срока, установленного Мастером в настройках Сервиса (12, 24 или 36 месяцев с даты последнего визита или заявки), и уничтожаются по его истечении; при удалении Клиента Мастером — немедленно, включая файлы; при удалении учётной записи Мастера — вместе с ней. Сведения о суммах дохода Мастера сохраняются без данных, позволяющих определить Клиента.

5.4. Клиент вправе на своей личной странице в Сервисе отозвать согласие, потребовать удаления своих данных, скрыть или удалить свой отзыв и отозвать разрешение на показ фотографий работ. Запрос передаётся Мастеру и рассматривается им в течение 10 рабочих дней; если Мастер не принял решение в этот срок, данные уничтожаются по указанию Мастера, данному в Оферте (п. 7.8). Запрос Клиента, поступивший Оператору иным способом, передаётся Мастеру не позднее следующего рабочего дня.

6. Порядок и условия обработки

6.1. Обработка осуществляется с использованием средств автоматизации и включает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), распространение в случаях раздела 9, обезличивание, блокирование, удаление и уничтожение.

6.2. Локализация. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона): сервер приложения, база данных, хранилище файлов, переписка поддержки и резервные копии размещены в дата-центрах на территории Российской Федерации. Передача отдельных сообщений через мессенджеры и службы push-уведомлений (раздел 8) осуществляется по каналу связи, выбранному получателем, после записи данных в базу данных Сервиса.

6.3. Обработка прекращается при достижении целей, истечении сроков раздела 4, отзыве согласия, если обработка основана только на нём, либо при выявлении неправомерной обработки. Персональные данные уничтожаются в сроки ст. 21 Закона: при отзыве согласия — не позднее 30 дней, при выявлении неправомерной обработки, которую невозможно устранить, — не позднее 10 рабочих дней. Резервные копии, содержащие уничтоженные данные, удаляются по истечении срока их хранения — не позднее 30 дней.

6.4. Уничтожение подтверждается в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179: актом об уничтожении персональных данных и выгрузкой из журнала регистрации событий Сервиса, которые хранятся 3 года с момента уничтожения.

7. Cookie и метрические программы

7.1. Сервис использует файлы cookie и записи в хранилище браузера. Необходимые для работы Сервиса (вход, безопасность, настройки) используются без согласия; cookie статистики, собственная статистика посещений и Яндекс Метрика — только после согласия Посетителя или Мастера, выраженного кнопкой «Принять все» на плашке cookie. Перечень cookie, порядок дачи и отзыва согласия — в документе «Cookie и статистика посещений».

7.2. На Страницах записи, личных страницах Клиентов и в мини-приложениях для Клиентов статистика посещений не ведётся, метрические программы не загружаются; учитывается только обезличенное число открытий страниц по дням и источнику перехода.

8. Передача персональных данных третьим лицам и трансграничная передача

8.1. Оператор передаёт персональные данные лицам, указанным на странице «Привлекаемые лица», в объёме и для целей, указанных там: поставщикам вычислительных мощностей, хранилища и резервного копирования на территории Российской Федерации; поставщику электронной почты; оператору платёжного сервиса; поставщику метрической программы; мессенджерам Telegram и Max и службам push-уведомлений — для доставки сообщений.

8.2. Персональные данные предоставляются государственным органам только в случаях и порядке, предусмотренных законом. Оператор не продаёт персональные данные и не использует их для показа рекламы третьих лиц. Сторонним моделям искусственного интеллекта персональные данные не передаются; при подключении такой модели её поставщик будет указан на странице «Привлекаемые лица» заранее.

8.3. Telegram (трансграничная передача). Клиент получает сообщения в Telegram только после того, как сам запустил бота Сервиса; Мастер подключает бота сам. Передаются текст сообщения и идентификатор получателя; при открытии мини-приложения Telegram передаёт Сервису идентификатор, имя и имя пользователя. Сообщения Мастеру о записях содержат имя Клиента, услугу, дату и время и, если Мастер их заполнил, сведения поля «Важно», формулу и заметку; номер телефона и адрес Клиента в них не включаются. Получатели — Telegram Messenger Inc. (Британские Виргинские острова) и компании группы Telegram, в том числе Telegram FZ-LLC (Объединённые Арабские Эмираты); серверы Telegram находятся в разных государствах. Указанные государства не включены в перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных. Передача осуществляется в порядке ст. 12 Закона после направления уведомления в Роскомнадзор. Основание — согласие Клиента и его действие по запуску бота, для Мастера — исполнение договора.

8.4. Технический посредник. Из дата-центров в России Telegram напрямую недоступен, поэтому запросы Сервиса к Telegram и ответы на них проходят через инфраструктуру Cloudflare, Inc. (США) — программу- посредника на платформе Cloudflare Workers. Через неё проходят сообщения бота и сообщения, которые пользователи направляют боту, включая вложения. Соединение шифруется до серверов Cloudflare и от них до Telegram; на серверах Cloudflare запрос технически доступен в расшифрованном виде. Журнал запросов в учётной записи Оператора в Cloudflare выключен; технические сведения о запросах (время, объём, адреса серверов) Cloudflare обрабатывает на своих условиях. Обработка может происходить в дата-центрах Cloudflare в разных государствах, в том числе в США; передача — в порядке ст. 12 Закона.

8.5. Max. Сообщения через Max направляются тому, кто сам подключил бота Сервиса в Max. Передаются текст сообщения и идентификатор получателя; при запуске бота Max сообщает идентификатор и имя пользователя, Сервис хранит только идентификатор. Получатель — ООО «МАХ» (ИНН 9714058267), обработка — на территории Российской Федерации по политике ООО «МАХ».

8.6. Push-уведомления. Если Мастер включил push-уведомления, заголовок и текст уведомления передаются в зашифрованном виде (стандарт Web Push) через службу push-уведомлений браузера или устройства Мастера: Google LLC, Apple Inc., Mozilla Corporation (США) и другие — в зависимости от браузера. Передача — в порядке ст. 12 Закона. Отключить push можно в настройках Сервиса или браузера.

8.7. Поддержка. Обратиться в поддержку можно по электронной почте glowlypro@yandex.com, а Мастеру, подключившему Telegram к учётной записи, — через бота поддержки в Telegram. Сообщения иных лиц бот поддержки не сохраняет. Переписка и вложения хранятся в базе данных и хранилище Сервиса в России; копии переписки вне Сервиса не ведутся. Вложения проверяются антивирусом в изолированной среде, из изображений удаляются метаданные. Файлы размером более 20 МБ через Telegram не принимаются — их следует направлять по электронной почте. Не следует направлять в поддержку сведения о состоянии здоровья и данные Клиентов, не необходимые для решения вопроса.

8.8. Резервный адрес. При ограничениях доступа к основному адресу запросы к Сервису могут проходить через технического посредника на территории Российской Федерации — шлюз Yandex API Gateway (ООО «Яндекс.Облако»), который расшифровывает и передаёт запросы на сервер Сервиса.

9. Распространение персональных данных

9.1. На Странице записи неограниченному кругу лиц доступны сведения, которые Мастер разместил о себе сам: имя или название, фотография, сведения о себе, услуги и цены, адрес места оказания услуг (или район, если Мастер скрыл адрес до записи), контакты.

9.2. Отзыв Клиента показывается на Странице записи только с его отдельного согласия на распространение персональных данных (текст согласия): имя и первая буква фамилии, оценка, текст, услуга и месяц визита. Фотографии к отзыву, номер телефона, полная фамилия, дата и время визита неограниченному кругу лиц не показываются. Клиент вправе в любой момент на своей личной странице ограничить показ отзыва (без текста, услуги, месяца визита или имени), скрыть или удалить его; сведения об ограничениях показываются рядом с отзывом.

9.3. Фотографии работ Клиента показываются на Странице записи и используются в изображениях для публикации (сторис) только с разрешения, отмеченного Клиентом на его личной странице или Мастером с подтверждением получения согласия Клиента. Снятие разрешения немедленно прекращает показ на Странице записи; изображения, опубликованные Мастером вне Сервиса, удаляет Мастер.

10. Права субъектов персональных данных

10.1. Субъект вправе получить сведения, предусмотренные ч. 7 ст. 14 Закона, потребовать уточнения, блокирования или уничтожения своих данных, если они неполные, устаревшие, неточные, незаконно получены или не являются необходимыми для заявленной цели, отозвать согласие, потребовать прекращения распространения своих данных (ч. 12 ст. 10.1 Закона) и обработки в целях рекламы, обжаловать действия Оператора в Роскомнадзор или в суд.

10.2. Запрос направляется на адрес электронной почты glowlypro@yandex.com или по почтовому адресу из раздела 13 и должен содержать сведения, позволяющие идентифицировать субъекта и подтвердить его отношения с Сервисом (адрес электронной почты учётной записи или номер телефона, указанный при записи), и подпись субъекта или его представителя (ч. 3 ст. 14 Закона). Мастер вправе также направить запрос из учётной записи.

10.3. Оператор предоставляет сведения в течение 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления (ч. 1 ст. 20 Закона). Уточнение данных производится в течение 7 рабочих дней с даты представления подтверждающих сведений, уничтожение незаконно полученных данных — в тот же срок (ч. 3 ст. 20 Закона). Обработка в целях рекламы прекращается немедленно по требованию субъекта.

10.4. Запросы Клиентов в отношении данных, обрабатываемых по поручению Мастера, рассматривает Мастер; Оператор передаёт их Мастеру в порядке п. 5.4.

11. Меры по обеспечению безопасности персональных данных

11.1. Оператор принимает меры, предусмотренные ст. 18.1 и 19 Закона, в том числе:

определение угроз безопасности и уровня защищённости персональных данных в информационной системе Сервиса, оценку вреда, который может быть причинён субъектам (п. 5 ч. 1 ст. 18.1 Закона), и внутренний контроль соответствия обработки требованиям Закона;
передачу данных только по протоколу HTTPS;
хранение паролей в виде криптографического хеша; хранение одноразовых кодов и ссылок только в виде хеша;
ограничение числа попыток ввода пароля и кодов, подтверждение входа с нового устройства кодом, прекращение сеансов при выходе и смене пароля, ограничение частоты запросов;
логическое разделение данных Мастеров с проверкой принадлежности при каждом запросе; хранение фотографий в закрытом хранилище с выдачей после проверки прав доступа; удаление метаданных изображений (в том числе геометки) при загрузке;
доступ к служебному разделу — по секретной ссылке, паролю и одноразовому коду; подтверждение каждого действия, влияющего на данные или доступ, одноразовым кодом; ограничение срока сеансов администраторов; журнал действий администраторов;
удалённое администрирование сервера по ключам SSH; выполнение действий на сервере из системы развёртывания только по закрытому перечню, без вывода персональных данных;
политику безопасности содержимого страниц, допускающую выполнение только сценариев Сервиса; антивирусную проверку вложений в изолированной среде;
ежедневное резервное копирование в зашифрованном виде (алгоритм XSalsa20-Poly1305 с проверкой целостности) у другого поставщика на территории Российской Федерации, ключ шифрования хранится вне сервера; ежемесячную проверку восстановления из резервной копии;
порядок реагирования на инциденты, включая уведомление Роскомнадзора в сроки ч. 3.1 ст. 21 Закона и уведомление затронутых Мастеров.

12. Заключительные положения

12.1. Оператор вправе изменять Политику. О существенных изменениях, в том числе о новых лицах, получающих данные, Мастера уведомляются по электронной почте и в Сервисе не позднее чем за 10 дней до вступления изменений в силу. Изменения, вызванные требованием закона или улучшающие положение субъектов, вступают в силу с момента опубликования. Действующая редакция опубликована по адресу glowly.pro/legal/privacy.

12.2. К отношениям по Политике применяется право Российской Федерации.

13. Реквизиты и контакты Оператора

Владелец сервиса: Гринева Анастасия Викторовна, плательщик налога на профессиональный доход
ИНН: 233007716058
Почтовый адрес: Российская Федерация, Краснодарский край, г. Краснодар
Электронная почта: glowlypro@yandex.com
Сайт: glowly.pro