Политика обработки персональных данных

Политика относится к кабинету WinnerUP V2 по адресу winnerup.ru/v2/ и описывает обработку данных при регистрации, работе с закупками и защите пробного доступа от злоупотреблений.

1. Оператор и связь

Оператор — индивидуальный предприниматель Лавринов Александр Владимирович, ИНН 672600850075, ОГРНИП 325670000028371. Адрес для юридически значимых обращений указан в государственных реестрах. Почта для обращений по персональным данным: stratega2050@gmail.com.

2. Какие данные обрабатываются

• Регистрация и доступ: название организации, ИНН, email, защищённое представление пароля, сведения о подтверждении email, идентификаторы и сроки сессий.
• Защита пробного доступа: ИНН, подтверждённый email, технический идентификатор устройства и IP-адрес используются для предотвращения повторного получения бесплатных разборов. В постоянном Trial Ledger сохраняются не исходные значения email, IP и device token, а их HMAC-представления; ИНН также сопоставляется через HMAC-представление.
• Техническая безопасность: IP-адрес, время и адрес запроса, заголовки браузера и события безопасности. Долгоживущий first-party device token хранится в HttpOnly cookie до 180 дней и недоступен JavaScript приложения.
• Профиль и закупки: сведения, внесённые пользователем в профиль, документы, реквизиты, контакты, выбранные закупки, загруженные файлы, результаты анализа и подготовленные материалы. Документы могут содержать данные третьих лиц; пользователь обязан иметь правовое основание для их загрузки.

WinnerUP не запрашивает данные банковских карт при регистрации.

3. Цели и основания

Данные обрабатываются для создания и защиты кабинета, подтверждения email, исполнения пользовательских запросов, работы с закупками, предоставления и учёта пробного доступа, предотвращения злоупотреблений, обеспечения информационной безопасности, ответа на обращения и исполнения требований закона. Основания определяются по конкретной операции: согласие субъекта, исполнение договора, законный интерес оператора в защите сервиса при соблюдении прав субъекта и иные основания, предусмотренные статьёй 6 Федерального закона № 152-ФЗ.

Бесплатные разборы не начисляются автоматически при создании аккаунта. Право на пробный пакет проверяется сервером при первом фактическом запуске платного по себестоимости ИИ-разбора.

4. Подрядчики и внешние сервисы

• Timeweb Cloud: российская инфраструктура размещения приложения, основной базы и файлов. Первичная запись данных пользователей WinnerUP выполняется в российском контуре.
• Почтовая инфраструктура: для отправки одноразового кода подтверждения используется SMTP-почта домена winnerup.ru в российском контуре. В почтовый сервис передаются email получателя, тема и текст одноразового кода; документы закупок не передаются.
• Yandex SmartCaptcha: используется для защиты формы регистрации от автоматизированных запросов. При загрузке виджета Яндекс технически получает сетевые данные, необходимые для работы сервиса, включая IP-адрес. При серверной проверке WinnerUP передаёт в API SmartCaptcha одноразовый токен проверки и серверный ключ; дополнительный параметр IP пользователя WinnerUP не передаёт.

SMS.RU не используется в новом email-сценарии регистрации. Старый телефонный механизм может сохраняться в коде только как отключённый технический rollback и не является обязательным способом регистрации.

5. Сроки хранения

• Код подтверждения email действует 10 минут; незавершённые challenge-записи очищаются не позднее 24 часов при штатной работе очистки.
• Сессионная cookie действует до 7 дней. Device cookie — до 180 дней и может быть обновлена при последующем использовании сервиса.
• Trial Ledger хранится в объёме, необходимом для предотвращения повторного бесплатного использования, пока действует пробная программа и существует соответствующая цель защиты сервиса. При прекращении цели записи удаляются либо обезличиваются, если закон не требует иного.
• Данные аккаунта, профиля, документов и истории хранятся пока нужен действующий кабинет и связанные договорные отношения; после прекращения цели обработки удаляются или обезличиваются в сроки, установленные законом, если иной срок не требуется законом или для защиты законных требований.

6. Права субъекта

Субъект может запросить сведения об обработке, доступ к данным, уточнение, блокирование или уничтожение неправомерно обрабатываемых данных, отозвать согласие и обратиться в Роскомнадзор или суд. Обращения направляются на указанную выше почту. Для предоставления данных оператор вправе проверить личность и полномочия заявителя.

7. Меры защиты и минимизация

WinnerUP использует HTTPS, HttpOnly/SameSite cookies, хеширование паролей, разделение данных по кабинетам, rate limits, одноразовые challenge-коды с TTL, HMAC-представления антифрод-сигналов и серверную проверку SmartCaptcha. Секреты SMTP, SmartCaptcha и HMAC не передаются браузеру. Публичным является только клиентский ключ SmartCaptcha.

Оператор применяет принцип минимизации: для Trial Ledger не требуется хранить raw IP, raw device token или повторную копию email. Изменение целей или состава обработки требует обновления этой политики и, когда это необходимо, нового согласия или иных организационных действий.

8. Изменения

Новая редакция публикуется до применения к новым операциям обработки. При регистрации WinnerUP фиксирует версию и SHA-256 текста политики, с которым пользователь согласился.