Политика обработки персональных данных

О чём этот документ

Jobruu — сервис коммерческих предложений для сервисных и монтажных компаний. Чтобы он работал, мы обрабатываем персональные данные: ваши, ваших сотрудников и ваших заказчиков.

Этот документ говорит, какие именно данные мы берём, зачем, сколько держим и что вы можете с ними сделать. Мы старались писать его так, чтобы его можно было прочитать один раз и понять.

Документ опубликован по требованию части 2 статьи 18.1 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных». Он открыт всем без регистрации, и мы не меняем его задним числом — у каждой редакции есть номер версии и дата.

Кто обрабатывает данные

Оператор персональных данных:

Наименование

{{ОПЕРАТОР_НАИМЕНОВАНИЕ}}

ИНН

{{ОПЕРАТОР_ИНН}}

ОГРН

{{ОПЕРАТОР_ОГРН}}

Адрес

{{ОПЕРАТОР_АДРЕС}}

Почта для обращений

{{ОПЕРАТОР_ПОЧТА}}

По любому вопросу об этих данных пишите на {{ОПЕРАТОР_ПОЧТА}}. На письма отвечает человек, а не автоответчик.

Две роли, которые важно не перепутать

В сервисе есть данные двух разных сортов, и наша ответственность за них разная.

Данные сотрудников компаний-клиентов. Это вы: тот, кто зарегистрировался, и те, кого вы позвали в команду. Здесь оператор — мы. Мы сами решаем, зачем эти данные нужны, и отвечаем за них перед вами напрямую.

Данные заказчиков, которые вы заводите в сервисе. Имя вашего заказчика, его телефон, адрес объекта — это данные, которые собрали вы, для своей работы. Оператор по ним — ваша компания. Мы обрабатываем их по вашему поручению (часть 3 статьи 6 152-ФЗ), только чтобы сервис работал, и никогда — в своих целях.

Отсюда следует то, о чём лучше знать заранее: получить у заказчика согласие на обработку его данных и объяснить ему, зачем вы их собираете, — обязанность вашей компании, а не наша. Мы даём инструмент; основание для обработки обеспечиваете вы.

Какие данные мы обрабатываем

Ниже — полный состав, а не типовой список из шаблона. Если чего-то нет в этой таблице, значит, сервис этого не собирает.

О вас и ваших сотрудниках

О вашей компании

Название, юридическое название, ИНН, КПП, адрес, телефон, почта, сайт, логотип, отрасль, ставка НДС и условия по умолчанию. Это нужно, чтобы предложение выглядело документом вашей фирмы, а не безымянной таблицей.

Данные организации персональными не являются. Но если вы — индивидуальный предприниматель, ваши ИНН и адрес одновременно ваши личные данные, и мы обращаемся с ними так же бережно, как с остальными.

О ваших заказчиках — то, что вы заводите сами

Последняя строка — про вашего заказчика, и мы называем её прямо. Открывая присланную ссылку, он оставляет технический след, как на любом сайте. Мы не показываем этот след ни ему, ни другим компаниям и не используем его для рекламы.

Об оплате подписки

Номер карты, срок действия и код проверки мы не получаем и не храним. Их вводят на стороне платёжного сервиса, к нам приходит только ответ «оплачено» или «не прошло».

Служебное

Журнал действий: кто, что и когда сделал, с какого IP-адреса. Это нужно, чтобы разобраться в спорной ситуации — например, кто удалил позицию из каталога. Ещё мы храним адреса приглашённых в команду и одноразовые ссылки для входа и восстановления пароля (сама ссылка хранится хешем, как пароль).

Чего мы не собираем

• Специальные категории данных: здоровье, национальность, политические и религиозные взгляды, судимость.
• Биометрию: фотографии лица, отпечатки, голос.
• Паспортные данные и другие документы, удостоверяющие личность.
• Точное местоположение устройства.
• Данные детей — сервис предназначен для работы, а не для личного использования.
• Ничего от рекламных сетей и рекламных пикселей: их в сервисе нет. Счётчиков посещаемости и сторонних скриптов тоже нет.

Зачем мы это делаем

• Завести аккаунт, пустить вас внутрь и удержать сессию.
• Дать работать: каталог, КП, публичные ссылки, PDF, аналитика, заказы.
• Сообщать по делу: заказчик открыл предложение, срок действия истекает, подписка заканчивается.
• Считать подписку, принимать оплату, выставлять счёт и акт.
• Отвечать на ваши обращения и разбираться, когда что-то пошло не так.
• Защищать сервис: ограничивать частоту запросов, замечать чужие входы, вести журнал действий.
• Выполнять то, что от нас требует закон: бухгалтерия, налоги, ответы на законные запросы государственных органов.

Чего мы не делаем. Не продаём данные. Не передаём их рекламодателям. Не показываем предложения одной компании другой. Не рассылаем рекламу тем, кого вы завели как заказчиков, — они с нами ни о чём не договаривались.

На каком основании

Обработка законна, когда для неё есть основание из статьи 6 152-ФЗ. У нас их четыре, и каждое работает на свой кусок данных.

• Исполнение договора (пункт 5 части 1 статьи 6) — всё, без чего сервис не оказать: аккаунт, компания, каталог, предложения, подписка. Здесь согласие не требуется: без этих данных исполнять договор нечем.
• Ваше согласие (пункт 1 части 1 статьи 6) — вы даёте его галочкой при регистрации. Текст — согласие на обработку персональных данных.
• Наши законные интересы (пункт 7 части 1 статьи 6) — безопасность сервиса, журнал действий, защита от перебора ссылок. Мы взвесили это против ваших интересов: журнал пишет действия сотрудников, а не содержание их переписки.
• Обязанности, возложенные на нас законом (пункт 2 части 1 статьи 6) — бухгалтерский и налоговый учёт платежей.

Для данных ваших заказчиков основание обеспечиваете вы. Мы обрабатываем их по вашему поручению, и поручение это дано вами в договоре-оферте.

Сколько мы храним данные

• Пока вы пользуетесь сервисом — данные аккаунта, компании, каталога, заказчиков и предложений.
• Сессии — 30 дней с последнего входа, потом удаляются.
• Ссылки для входа и восстановления пароля — час и два часа соответственно, после использования становятся недействительными.
• После удаления компании — 30 дней, чтобы удаление по ошибке можно было отменить. Дальше данные удаляются без возможности восстановления, включая резервные копии в течение следующих 60 дней.
• Документы об оплате — 5 лет с окончания года, в котором был платёж. Этого требует закон о бухгалтерском учёте, и отозвать согласие здесь нельзя: обязанность хранить сильнее.
• Отметки о согласии — всё время действия договора и 3 года после. Это единственное, чем мы можем подтвердить, что согласие было получено, и на что именно.
• Журнал действий — 1 год.

Когда цель обработки достигнута или согласие отозвано, мы удаляем данные в срок не более 30 дней (статья 21 152-ФЗ), кроме того, что обязаны хранить по закону.

Кому мы передаём данные

Мы поручаем часть обработки подрядчикам — без этого не работает ни один сервис. С каждым из них заключается договор, в котором записаны те же обязанности по защите данных, что и у нас. Данные передаются в том минимуме, который нужен для конкретной задачи.

Кроме них — государственные органы, когда они запрашивают данные в порядке, установленном законом. Такие запросы мы проверяем и выполняем ровно в том объёме, в котором обязаны.

Больше никому. Мы не продаём данные, не обмениваемся ими с другими компаниями и не передаём их рекламным сетям.

Где хранятся данные и о трансграничной передаче

Все данные хранятся на серверах в России. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан России выполняются в базах данных, расположенных на территории Российской Федерации, — как требует часть 5 статьи 18 152-ФЗ.

Трансграничной передачи данных нет. Мы не передаём персональные данные в другие государства, не пользуемся зарубежными облаками, зарубежной аналитикой и зарубежными сервисами рассылки. Если это когда-нибудь изменится, мы выпустим новую редакцию этого документа и уведомим вас до того, как передача начнётся, — а не после.

Как мы защищаем данные

Меры приняты по статье 19 152-ФЗ и постановлению Правительства от 1 ноября 2012 года № 1119. Вот что это значит на практике.

• Пароли хранятся необратимым хешем (argon2). Даже получив нашу базу, исходный пароль из неё не достать.
• Соединение с сервисом шифруется (HTTPS). Cookie сессии недоступна скриптам страницы и передаётся с флагом Secure.
• Данные разных компаний разделены: каждый запрос проверяет, что строка принадлежит именно вашей компании. Внутри компании доступ ограничен ролью — менеджер не видит того, что владелец ему не открыл.
• Публичная ссылка на предложение содержит неугадываемый идентификатор, не индексируется поисковиками, имеет срок действия и может быть отозвана в один клик.
• Действия сотрудников пишутся в журнал: видно, кто и что менял.
• Резервные копии делаются ежедневно, восстановление проверяется.
• Доступ к боевым серверам есть у ограниченного круга людей, и он учитывается.

Со своей стороны помогите нам: не используйте один пароль в разных местах, не пересылайте ссылку на предложение туда, где её увидят посторонние, и убирайте доступ сотрудникам, которые ушли.

Файлы cookie

Сервис использует одну cookie — техническую, с именем kp_session. В ней лежит случайный идентификатор вашей сессии, и нужен он ровно для одного: чтобы при переходе на следующую страницу вас не выкидывало на форму входа.

• Срок жизни — 30 дней, дальше сессия истекает.
• Флаг HttpOnly: скрипты страницы её не читают.
• Флаг SameSite=Lax: другие сайты не могут действовать вашим именем.
• Удаляется, когда вы нажимаете «Выйти».

Cookie для аналитики, рекламы и слежения у нас нет. Ни своих, ни чужих: в сервисе не подключены счётчики посещаемости, рекламные пиксели и сторонние скрипты. Шрифты отдаёт наш собственный сервер, а не внешний.

Поэтому мы не показываем баннер про cookie и не просим согласия на них. Согласие спрашивают на то, от чего можно отказаться, не потеряв сервис. Отказаться от cookie сессии нельзя — без неё нельзя войти; это не выбор, а условие работы. Показывать окно, у которого одна кнопка, — значит делать вид, что выбор есть.

Если вы всё же хотите её убрать, это делается в настройках браузера: удалить cookie для этого сайта или запретить их. Тогда сервис перестанет вас узнавать и попросит войти заново.

Ваши права

Вы можете:

• Узнать, какие данные о вас у нас есть, откуда они взялись, зачем нужны и кому передавались (статья 14 152-ФЗ).
• Исправить неточные данные. Имя, почту и телефон вы можете поменять сами в настройках — это быстрее, чем письмо.
• Потребовать удалить данные, если они обрабатываются незаконно, неполны, неточны или больше не нужны для цели, ради которой собирались.
• Отозвать согласие в любой момент. Часть данных мы продолжим обрабатывать по другим основаниям — по договору и по обязанностям, возложенным законом. Что именно останется, мы напишем в ответе честно и по пунктам.
• Возразить против обработки, которую мы ведём по законному интересу.
• Пожаловаться в Роскомнадзор — уполномоченный орган по защите прав субъектов персональных данных — или в суд. Мы предпочли бы, чтобы вы сначала написали нам: почти всё решается быстрее без посредников.

Как обратиться

Напишите на {{ОПЕРАТОР_ПОЧТА}} с той почты, на которую заведён аккаунт. Так мы понимаем, что это вы. Если написать с другого адреса, мы попросим подтвердить личность — иначе получится, что чужие данные мы выдаём кому попало.

В письме укажите, что именно вам нужно. Сроки ответа такие:

• 10 рабочих дней — на запрос о том, какие данные у нас есть. Срок может быть продлён ещё на 5 рабочих дней, о чём мы сообщим с объяснением причины.
• 7 рабочих дней — на исправление неточных данных после того, как неточность подтвердилась.
• 30 дней — на удаление данных и на прекращение обработки после отзыва согласия.
• 3 рабочих дня — на прекращение неправомерной обработки, если она обнаружилась.

Если ваш вопрос про данные, которые в сервис завела компания-клиент (вы её заказчик и получили от неё предложение по ссылке), — обращаться нужно к ней: оператор по этим данным она. Напишите нам, если не знаете, как с ней связаться, — мы передадим ваше обращение.

Что будет, если данные утекут

Мы не станем это скрывать. Порядок такой, и он установлен частью 3.1 статьи 21 152-ФЗ:

• В течение 24 часов с момента, как мы узнали об инциденте, — уведомление в Роскомнадзор о случившемся и о предполагаемых причинах.
• В течение 72 часов — результаты внутреннего расследования и сведения о тех, чьи действия стали причиной.
• Одновременно с первым уведомлением — письмо вам: что произошло, какие данные затронуты, что мы уже сделали и что стоит сделать вам (например, сменить пароль).

Изменения этого документа

Мы можем выпустить новую редакцию — например, когда появится новый подрядчик или новая возможность в сервисе. Новая редакция получает новый номер версии и дату, которые стоят в шапке страницы.

О смысловых изменениях мы сообщим письмом не позднее чем за 10 дней до того, как они начнут действовать. Если изменение затрагивает то, на что вы давали согласие, мы попросим согласие заново — молчание за согласие не считаем.

Действующая редакция: 1.0 от 9 сентября 2026 года.