Политика в отношении обработки персональных данных

Редакция от 30 августа 2026 года

Документ объясняет, какие данные о людях собирает сервис xflow, зачем они нужны, сколько хранятся и как их изменить или удалить. Как связаться с Оператором: в конце страницы.

1. Общие положения

1.1. Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности в сервисе xflow: на сайте getxflow.com и в приложении app.getxflow.com.

1.2. Документ опубликован во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и действует в отношении всех данных, которые Оператор получает от посетителей сайта и пользователей платформы.

1.3. Пользуясь сайтом и платформой, вы подтверждаете, что ознакомились с Политикой. Если вы с ней не согласны, пользоваться сервисом не нужно.

2. Две разные роли

Их важно различать, потому что от роли зависит, кто за данные отвечает.

• Данные пользователей платформы (учётная запись, организация, расчёты, переписка). Здесь Оператор действует как оператор персональных данных, сам определяет цели обработки и отвечает за неё. Такие данные описаны в разделе 3.
• Данные внутри приложений, которые создают клиенты. Их состав определяет сам клиент. Оператор эти данные не запрашивает, не использует в своих целях и обрабатывает исключительно по поручению клиента в объёме, нужном для работы приложения (часть 3 статьи 6 Закона 152-ФЗ). Оператором в отношении таких данных остаётся клиент: он определяет цели, получает согласия и отвечает перед людьми, чьи данные собирает. Условия поручения записаны в оферте.

3. Какие данные обрабатываем и зачем

• Адрес электронной почты, пароль в виде необратимого хеша, даты регистрации и входов. Чтобы создать учётную запись, пускать в неё и восстанавливать доступ. Основание: исполнение договора (пункт 5 части 1 статьи 6 Закона 152-ФЗ).
• Название организации, роль участника, состав команды, права доступа. Чтобы разграничивать доступ к проектам и данным. Основание: исполнение договора.
• Сведения о потреблении ресурсов и расчётах. Чтобы считать плату, выставлять счета и вести учёт. Основание: исполнение договора, а также требования бухгалтерского и налогового законодательства (пункт 2 части 1 статьи 6).
• Содержание обращений: имя, почта, название компании, текст запроса. Чтобы ответить на заявку или вопрос в поддержку. Основание: ваше согласие, которое даётся отправкой формы или письма.
• Технические сведения: IP-адрес, тип и версия браузера, операционная система, адрес запрошенной страницы, дата и время обращения. Записываются в журналы веб-сервера. Нужны, чтобы разбирать сбои и защищать сервис от атак и перебора паролей. Основание: законный интерес Оператора при условии соблюдения прав субъекта (пункт 7 части 1 статьи 6).
• Сведения о посещении сайта: просмотренные страницы, источник перехода, тип устройства и браузера, действия на странице. Собираются сервисом статистики Яндекс Метрика. Нужны, чтобы понимать, какие разделы читают и где посетители теряются. Основание: законный интерес Оператора (пункт 7 части 1 статьи 6). Подробнее в разделе 4.

Специальные категории персональных данных (о состоянии здоровья, взглядах, судимости и подобные) и биометрические данные Оператор не обрабатывает. Данные несовершеннолетних не собирает: сервис предназначен для организаций и их сотрудников.

4. Файлы cookie и статистика

4.1. На сайте getxflow.com работает Яндекс Метрика: сервис статистики посещаемости. Он ставит свои файлы cookie и передаёт в ООО «Яндекс» сведения о посещении сайта, перечисленные в разделе 3. Рекламных сетей и рекламных cookie на сайте нет.

4.2. В приложении app.getxflow.com используются только технические cookie, без которых вход не работает: они хранят признак авторизованной сессии и признак допуска к просмотру проектов.

4.3. Cookie можно запретить в настройках браузера или отключить сбор статистики средствами Яндекса. Статистика тогда собираться не будет, но и войти в приложение не получится: технические cookie обязательны для авторизации.

5. Как обрабатываем

5.1. Обработка включает сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу в случаях раздела 7, блокирование, удаление и уничтожение. Обработка ведётся с использованием средств автоматизации и без них.

5.2. Решения, порождающие юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки Оператор не принимает.

5.3. Персональные данные не используются для обучения моделей искусственного интеллекта и не передаются для этих целей третьим лицам.

6. Где хранятся данные

6.1. Базы данных, в которых происходит запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации, находятся на территории Российской Федерации. Инфраструктура сервиса размещена в российских дата-центрах. Требование части 5 статьи 18 Закона 152-ФЗ выполняется.

6.2. Трансграничная передача персональных данных не осуществляется.

6.3. Сборка приложения клиента выполняется в одноразовой изолированной среде: туда передаётся только исходный код проекта, после сборки среда уничтожается. Персональные данные в исходный код помещать нельзя, это условие записано в оферте.

7. Кому передаём

Оператор не продаёт персональные данные и не передаёт их третьим лицам, кроме двух случаев:

• поставщикам инфраструктуры и связи, привлечённым для работы сервиса (размещение серверов, отправка писем, сбор статистики посещаемости), в объёме, необходимом для оказания их услуг, и на условиях конфиденциальности;
• по запросу суда, органов следствия или иных уполномоченных органов в порядке, установленном законодательством Российской Федерации.

8. Сколько храним

• Данные учётной записи и организации: пока действует договор, затем не более 30 календарных дней.
• Документы бухгалтерского и налогового учёта: сроки, установленные законодательством, не менее пяти лет.
• Обращения через форму и переписка с поддержкой: один год с даты последнего сообщения.
• Журналы веб-сервера: 90 дней.

При достижении цели обработки или отзыве согласия данные уничтожаются в срок, не превышающий 30 дней (части 3 и 5 статьи 21 Закона 152-ФЗ), если закон не требует хранить их дольше.

9. Как защищаем

Оператор принимает правовые, организационные и технические меры по статье 19 Закона 152-ФЗ: назначен ответственный за организацию обработки персональных данных; доступ к данным есть только у сотрудников, которым он нужен для работы; обмен данными между браузером и сервисом идёт по протоколу TLS; пароли хранятся в виде необратимого хеша; данные организаций разделены на уровне базы данных; ведутся журналы доступа и регулярно снимаются резервные копии.

10. Ваши права

10.1. По статье 14 Закона 152-ФЗ вы вправе: получить подтверждение факта обработки и сведения о ней; требовать уточнить, заблокировать или уничтожить данные, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели; отозвать согласие; обжаловать действия Оператора в Роскомнадзор или в суд.

10.2. Запрос направляется на адрес электронной почты Оператора, он указан в конце страницы. Чтобы Оператор мог вас опознать, в запросе нужно указать: номер основного документа, удостоверяющего личность, дату его выдачи и выдавший орган; сведения, подтверждающие ваше отношение к Оператору (например, адрес учётной записи); суть запроса и подпись.

10.3. Ответ даётся в течение 10 рабочих дней с даты получения запроса. Срок может быть продлён не более чем на 5 рабочих дней, о причинах Оператор уведомит.

10.4. Согласие отзывается письмом на тот же адрес. После отзыва Оператор прекращает обработку и уничтожает данные в срок до 30 дней, кроме случаев, когда закон разрешает продолжить обработку без согласия. Данные, необходимые для исполнения договора, обрабатываются до его прекращения.

11. Изменения Политики

Оператор вправе менять Политику. Новая редакция вступает в силу с момента публикации по адресу getxflow.com/privacy.html, если в ней не указан более поздний срок. Дата действующей редакции стоит в начале страницы.