Политика конфиденциальности и обработки персональных данных

Редакция от 8 сентября 2026 г. · Российская Федерация · сервис YouPayTicket

Настоящая Политика определяет порядок обработки и защиты персональных данных пользователей сервиса YouPayTicket (далее — «Сервис») в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ»), иными актами Российской Федерации и Публичной офертой. Политика является неотъемлемой частью отношений сторон, возникающих при использовании Сервиса.

1. Общие положения

1.1. Используя Сервис (включая просмотр страницы события, регистрацию, покупку билета, создание реферальной ссылки, подачу заявки на вывод), субъект персональных данных подтверждает ознакомление с настоящей Политикой и согласие на обработку данных в объёме и на условиях, изложенных ниже, если иное основание обработки не следует из закона или договора.

1.2. Если субъект не согласен с Политикой, он обязан прекратить использование Сервиса. Отказ от предоставления данных, без которых исполнение договора невозможно (например, контакты для билета и чека), влечёт невозможность соответствующей функции.

1.3. Политика применяется ко всем страницам и интерфейсам Сервиса на домене Оператора и связанным API. На сторонние сайты (в том числе платёжный сервис) действие Политики не распространяется; их обработка регулируется собственными документами.

1.4. Оператор исходит из принципа минимизации: обрабатываются только данные, необходимые для заявленных целей. Сервис ориентирован на рынок Российской Федерации; язык интерфейса — русский.

2. Термины

2.1. В Политике используются значения, согласованные с Офертой, в том числе:

Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту ПДн).
Оператор — лицо, организующее и осуществляющее обработку ПДн, определяющее цели и состав обработки (реквизиты — раздел 3 и 18).
Обработка — любое действие с ПДн (сбор, запись, хранение, уточнение, использование, передача, обезличивание, блокирование, удаление, уничтожение) с использованием средств автоматизации и без них.
Пользователь — гость, покупатель, рекомендатор, владелец или сотрудник организации, использующие Сервис.
Организация (Организатор) — принципал, от имени и/или за счёт которого продаются билеты; Оператор действует как агент.
Рекомендатор (внешний реферер) — пользователь без активного членства в организации события, получающий вознаграждение за покупки по своей реферальной ссылке.

2.2. Иные термины имеют значение, приданное им 152-ФЗ, Офертой и законодательством РФ.

3. Оператор персональных данных

3.1. Оператором персональных данных является Индивидуальный предприниматель Беспалов Андрей Владимирович, ИНН 1659 2465 2248, ОГРНИП 322 169 000 023 750, адрес: г.Казань ул.Сыртлановой д.11 (далее — «Оператор»).

3.2. По вопросам обработки ПДн: contact@fullstack-freelancer.com. Обращения рассматриваются в сроки, установленные ст. 20 152-ФЗ (как правило, не более 30 дней с момента получения запроса, если иной срок не предусмотрен законом).

3.3. Оператор самостоятельно определяет состав и цели обработки, за исключением случаев, когда данные обрабатываются по поручению иного оператора на основании договора. Организатор может получать доступ к отдельным ПДн в объёме, необходимом для исполнения договора с Покупателем и учёта реферальных продаж (см. раздел 10); при этом Оператор остаётся оператором данных, собранных через Сервис, если иное не следует из отдельного соглашения.

4. Категории субъектов и правовые основания

4.1. Оператор обрабатывает ПДн следующих категорий субъектов:

гости и покупатели билетов (в том числе без аккаунта);
зарегистрированные пользователи Сервиса;
рекомендаторы (внешние рефереры);
владельцы и сотрудники организаций;
представители Организатора (контактные лица), если данные предоставлены при создании организации;
лица, направившие обращение Оператору.

4.2. Правовые основания обработки (ст. 6 152-ФЗ):

согласие субъекта ПДн — при регистрации, маркетинговых рассылках (если включаются), необязательных полях профиля;
исполнение договора, стороной которого является субъект, либо договора по поручению субъекта (Оферта: аккаунт, покупка, реферальная программа, агентский договор с Организатором, выплаты);
исполнение обязанностей Оператора, установленных законодательством РФ (в том числе 54-ФЗ о применении ККТ, налоговое законодательство при выплатах физическим лицам, ответы на законные запросы уполномоченных органов);
осуществление прав и законных интересов Оператора при условии, что при этом не нарушаются права и свободы субъекта (безопасность Сервиса, предотвращение мошенничества, аудит операций, модерация).

4.3. Специальные категории ПДн и биометрические ПДн в смысле 152-ФЗ Сервисом намеренно не собираются. QR-токен билета — технический идентификатор права прохода, а не биометрия.

5. Состав обрабатываемых данных

5.1. В зависимости от сценария могут обрабатываться:

Данные аккаунта: адрес электронной почты, номер телефона, отображаемое имя, хеш пароля (сам пароль в открытом виде не хранится), статус аккаунта.
Данные покупки: email и телефон покупателя (телефон — при вводе, в том числе при гостевом чекауте), состав заказа, сумма, статус оплаты, идентификаторы платежа платёжного сервиса, сведения о выданных билетах (номер, статус, отметка «показан» и время отметки).
Реферальные данные: уникальный реферальный код пользователя, атрибуция визита/заказа (в том числе cookie с TTL 30 дней, модель last-click), сведения о начислениях и балансе кошелька рекомендатора.
Данные организации: тип (физическое лицо / ИП / ООО), наименование или ФИО, ИНН, контакты, статус модерации; данные членства и назначенных разрешений (permissions) сотрудников.
Данные для выплат рекомендатору: реквизиты банковской карты РФ, при запросе Оператора — паспортные данные, ИНН, сведения о налоговом статусе (ИП, НПД, физическое лицо) в объёме, необходимом для выплаты и исполнения обязанностей налогового агента.
Технические данные: IP-адрес, сведения о браузере (user-agent, в усечённом виде), идентификаторы сессии и cookie, дата и время действий, correlation / request id, записи журнала аудита бизнес-операций.
Обращения: содержание переписки с Оператором и приложенные сведения.

5.2. Телефон при регистрации обязателен: он используется Организатором в статистике внешних реферальных ссылок при наличии соответствующего права у сотрудника.

5.3. Оператор не запрашивает и не хранит полные данные платёжных карт покупателя: оплата проходит через ЮKassa; Оператору доступны статус платежа и служебные идентификаторы в объёме, необходимом для учёта заказа.

5.4. Секретный QR-токен билета не равен публичному идентификатору записи и не должен раскрываться третьим лицам. В технических логах токен по возможности усекается или хешируется.

6. Цели обработки

6.1. ПДн обрабатываются в следующих целях:

регистрация, аутентификация, ведение аккаунта и восстановление доступа;
заключение и исполнение Оферты, включая продажу билетов как агентом Организатора;
формирование и направление кассового чека (54-ФЗ), связь по заказу и билету;
выдача электронных билетов и контроль прохода (QR, отметка «показан»);
реферальный учёт: атрибуция, начисление вознаграждения внешним рекомендаторам, статистика для Организатора;
модерация организаций и событий, рассмотрение заявок на вывод;
исполнение налоговых и иных обязанностей Оператора по закону;
обеспечение безопасности, предотвращение мошенничества, самореферала, обхода квот; ведение журнала аудита;
рассмотрение обращений и претензий;
улучшение работы Сервиса на основе обезличенной или агрегированной статистики (без идентификации конкретного лица, где это возможно).

6.2. Оператор не использует ПДн для принятия решений, порождающих юридические последствия исключительно на основе полностью автоматизированной обработки, без возможности человека вмешаться в рассмотрение существенных вопросов (выплаты, блокировки — с участием администратора).

7. Способы и действия с данными

7.1. Обработка осуществляется смешанным способом: с использованием средств автоматизации (серверы, базы данных, очереди задач) и без них (обращения, ручная проверка выплат).

7.2. Совершаемые действия включают сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение ПДн.

7.3. Данные предоставляются субъектом при заполнении форм Сервиса, при оплате, при использовании реферальной ссылки, а также формируются автоматически в ходе работы Сервиса (сессия, атрибуция, журнал операций).

8. Cookies и технические данные

8.1. Сервис использует файлы cookie и аналогичные технологии:

необходимые (сессионные) — аутентификация (в том числе httpOnly cookies с access/refresh-токенами), защита сессии, обеспечение безопасности;
функциональные — атрибуция реферального кода (cookie со сроком действия 30 дней, модель last-click): фиксация кода для корректного начисления при последующей оплате.

8.2. Отключение необходимых cookie может сделать невозможным вход в аккаунт и безопасную работу Сервиса. Отказ от реферальной cookie означает, что покупка может не быть атрибутирована рекомендатору.

8.3. Технические журналы приложения и журнал аудита (AuditLog) могут содержать IP-адрес, усечённый user-agent, идентификатор пользователя и описание действия. В логи не записываются пароли, полные refresh-токены, полные QR-токены и секреты платёжного шлюза. Телефон в операционных логах не отражается без необходимости; в аудите предпочтительно указывается идентификатор пользователя.

9. Передача третьим лицам

9.1. Оператор не продаёт ПДн. Передача (предоставление доступа) допускается в случаях:

платёжный сервис ЮKassa (ООО «ЮKassa» / НКО «ЮМани») — для приёма оплаты и возвратов; обработка регулируется также документами платёжного сервиса;
оператор фискальных данных и инфраструктура 54-ФЗ — для формирования и передачи кассового чека;
Организатор и уполномоченные сотрудники — в объёме раздела 10;
хостинг, облачная инфраструктура, средства доставки почты — по поручению Оператора, при условии конфиденциальности и только для обеспечения работы Сервиса;
уполномоченные государственные органы — по основаниям и в порядке, установленным законодательством РФ;
иные лица — с согласия субъекта либо когда это необходимо для исполнения договора или защиты прав Оператора в суде.

9.2. Лица, обрабатывающие ПДн по поручению Оператора, обязаны соблюдать конфиденциальность и требования 152-ФЗ в объёме поручения.

10. Доступ организатора и сотрудников

10.1. Организатор (владелец и сотрудники с соответствующими разрешениями) может получать доступ к данным, необходимым для исполнения договора с Покупателем и управления событием:

заказы и продажи — при праве просмотра заказов: сведения о составе заказа и контактах покупателя в объёме, отображаемом интерфейсом;
контроль билетов — при праве просмотра / check-in: данные билета своего события (событие, тип билета, статус, отметка «показан», имя и email покупателя при наличии). Чужой QR и билет иной организации не раскрываются;
реферальная статистика — только при праве просмотра реферальной статистики: по внешним рекомендаторам, приведшим оплаты, — телефон и имя; по внутренним ссылкам команды — метка «команда» и имя сотрудника без выплаты. Email рекомендатора — по необходимости интерфейса. Иным сотрудникам и в публичном API страницы события телефон рекомендатора не отдаётся.

10.2. Отсутствие пункта меню в интерфейсе не заменяет запрет на стороне Сервиса: доступ проверяется по разрешениям организации.

10.3. Организатор и сотрудники обязаны использовать полученные ПДн только для целей проведения события, учёта продаж и законной коммуникации с покупателями/рекомендаторами и не вправе разглашать их третьим лицам без правового основания. Нарушение может повлечь ограничение доступа и ответственность по закону.

10.4. Администраторы платформы Оператора имеют доступ к журналу аудита и данным, необходимым для модерации, поддержки, расчётов и исполнения закона. Глобальный журнал аудита Организатору не предоставляется.

11. Трансграничная передача

11.1. Оператор стремится размещать основные базы данных и средства обработки на территории Российской Федерации в соответствии с требованиями ст. 18 152-ФЗ о локализации.

11.2. Трансграничная передача ПДн допускается только при наличии правовых оснований, предусмотренных 152-ФЗ (в том числе согласие субъекта, исполнение договора, обеспечение защиты жизни/здоровья и иные случаи закона), и с учётом ограничений в отношении государств, не обеспечивающих адекватную защиту прав субъектов ПДн.

11.3. Если для отдельных инфраструктурных сервисов неизбежна обработка за пределами РФ, Оператор принимает меры к минимизации объёма и соблюдению установленных процедур.

12. Хранение и уничтожение

12.1. ПДн хранятся не дольше, чем этого требуют цели обработки, если иной срок не установлен договором или законом.

12.2. Ориентиры сроков (если закон не требует дольше):

данные аккаунта — пока аккаунт активен и в течение срока, необходимого после удаления запроса (с учётом незавершённых расчётов и споров);
данные заказов, платежей, чеков и билетов — в сроки, установленные законодательством о бухгалтерском учёте, применении ККТ и защите прав потребителей;
реферальная атрибуция в cookie — до 30 дней либо до перезаписи last-click;
заявки на вывод и связанные реквизиты — в сроки налогового и бухгалтерского учёта;
журнал аудита — без очистки в текущей версии Сервиса (MVP); дальнейшая ротация — по отдельному решению Оператора с соблюдением закона;
обращения — до разрешения вопроса и в течение разумного срока архивации.

12.3. По достижении целей или при отзыве согласия (если нет иных оснований) ПДн уничтожаются или обезличиваются, кроме сведений, которые Оператор обязан сохранить по закону.

12.4. Удаление аккаунта может быть отложено при незавершённых выплатах, спорах, расследованиях мошенничества или законных сроках хранения.

13. Меры защиты

13.1. Оператор принимает правовые, организационные и технические меры, направленные на защиту ПДн от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий, в том числе:

разграничение доступа по ролям и разрешениям организации; проверка прав на сервере;
хранение паролей в виде криптографических хешей;
защищённые cookie сессии (httpOnly, Secure, SameSite — в соответствии с настройками окружения);
ограничение частоты запросов (rate limit) на вход, регистрацию, создание платежа, check-in;
шифрование каналов связи (HTTPS) при доступе к Сервису;
контроль доступа к секретам (переменные окружения, без публикации ключей);
журналирование значимых операций и аудит для администраторов платформы;
минимизация отображения телефона рекомендатора и QR-токена.

13.2. Абсолютная безопасность в сети Интернет не гарантируется. Субъект обязан сохранять конфиденциальность средств доступа и не передавать QR-билет лицам, которым не доверяет.

14. Права субъекта персональных данных

14.1. Субъект ПДн вправе:

получать сведения об обработке своих ПДн в порядке ст. 14 и 20 152-ФЗ;
требовать уточнения, блокирования или уничтожения данных при неполноте, устаревании, неточности, незаконности получения либо при отсутствии необходимости для заявленной цели;
отозвать согласие на обработку, если обработка основана на согласии;
обжаловать действия или бездействие Оператора в Роскомнадзор или в суд;
требовать прекращения обработки, осуществляемой с нарушением 152-ФЗ;
реализовать иные права, предусмотренные 152-ФЗ и Законом РФ «О защите прав потребителей» (для потребителей).

14.2. Запрос направляется на contact@fullstack-freelancer.com. Оператор вправе запросить сведения, позволяющие идентифицировать заявителя. Ответ предоставляется в сроки ст. 20 152-ФЗ.

14.3. Оператор вправе отказать в удовлетворении требования полностью или частично по основаниям, предусмотренным 152-ФЗ (в том числе если обработка необходима для исполнения договора, закона или защиты прав Оператора).

15. Согласие и отзыв согласия

15.1. Согласие на обработку ПДн даётся путём совершения конклюдентных действий: регистрации, входа, оформления заказа, создания реферальной ссылки, подачи заявки на вывод, проставления отметки в интерфейсе (если предусмотрена) либо иного использования функций, требующих ПДн.

15.2. Гость при покупке даёт согласие (и/или иные основания ст. 6 152-ФЗ применяются) в объёме, необходимом для заказа, чека, выдачи билета и связи по билету.

15.3. Отзыв согласия направляется на contact@fullstack-freelancer.com. Отзыв не влияет на законность обработки до момента отзыва и не отменяет обработку, для которой имеются иные основания (договор, закон).

15.4. Рекомендатор, регистрируясь и указывая телефон, осознаёт, что телефон может быть показан сотрудникам организации события с правом просмотра реферальной статистики — это условие участия в реферальной программе.

16. Обработка несовершеннолетних

16.1. Согласно Оферте, использование Сервиса допускается лицами, достигшими 18 лет и обладающими полной дееспособностью. Регистрация, создание организации, получение реферального вознаграждения и оплата билета от своего имени лицом младше 18 лет не допускаются.

16.2. Если Оператору станет известно о предоставлении ПДн лицом младше 18 лет в нарушение Оферты, соответствующие данные и аккаунт могут быть удалены или ограничены.

17. Изменение Политики

17.1. Оператор вправе изменить Политику, опубликовав новую редакцию на странице /privacy. Дата редакции указывается в начале документа.

17.2. Продолжение использования Сервиса после публикации новой редакции означает согласие с ней, если закон не требует иного порядка уведомления. Существенные изменения, затрагивающие права потребителей, применяются с учётом императивных норм законодательства РФ.

17.3. Актуальная редакция всегда доступна по адресу /privacy. Предыдущие редакции могут не храниться публично.

18. Контакты

По всем вопросам обработки персональных данных и реализации прав субъекта:
Индивидуальный предприниматель Беспалов Андрей Владимирович
ИНН: 1659 2465 2248
ОГРНИП: 322 169 000 023 750
Адрес: г.Казань ул.Сыртлановой д.11
Email: contact@fullstack-freelancer.com

Условия использования Сервиса — в Публичной оферте.

Настоящий документ подготовлен для соответствия 152-ФЗ и связанным нормам применительно к модели Сервиса. Перед промышленным запуском рекомендуется согласование с юристом с учётом фактической инфраструктуры и настроек ЮKassa.