Политика конфиденциальности

в отношении обработки персональных данных на платформе FlowBonus
Редакция 2 от 22.09.2026

1. Общие положения

1.1. Настоящая Политика (далее — Политика) является документом, определяющим политику Оператора в отношении обработки персональных данных, и опубликована в соответствии с ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных).

1.2. Политика разработана в соответствии с Законом о персональных данных, Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и иными нормативными правовыми актами РФ.

1.3. Оператор персональных данных: Индивидуальный предприниматель Георгиева Екатерина Вадимовна (далее — Оператор). Полные реквизиты и контактные данные указаны в разделе 15.

1.4. Политика применяется к информации, которую Оператор получает о пользователях платформы FlowBonus (далее — Платформа), доступной по адресам https://flowbonus.ru и https://потокбонусов.рф (домены равнозначны), включая личные кабинеты клиентов и партнёров.

1.5. Политика является общедоступной и подлежит опубликованию на Платформе. Ознакомление с Политикой не заменяет согласия на обработку персональных данных, которое даётся отдельно в случаях, когда обработка осуществляется на основании согласия.

2. Основные понятия

2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

2.2. Обработка персональных данных — любое действие или совокупность действий, совершаемых с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение.

2.3. Пользователь — клиент (физическое лицо) либо представитель партнёра, использующий Платформу.

2.4. Cookies — небольшие файлы, сохраняемые на устройстве пользователя при использовании Платформы.

3. Категории субъектов и состав обрабатываемых данных

3.1. Клиенты (физические лица): фамилия, имя, отчество; номер телефона; адрес электронной почты; город; данные учётной записи (хеш пароля, дата регистрации, статус); сведения о лицевом счёте монет и об операциях (пополнения, начисления бонусных монет и их основания, списания с указанием партнёра, даты и количества); сведения о платежах, полученные от платёжного сервиса (статус, сумма, идентификатор операции, последние четыре цифры номера карты); технические данные (IP-адрес, cookies, данные браузера и устройства, журналы действий); сведения о принятии документов Платформы (дата и время, IP-адрес, версия документов).

3.2. Партнёры и их представители: наименование точки; категория деятельности; фамилия, имя, отчество контактного лица; номер телефона; адрес электронной почты (если указан); город; адрес точки; описание, часы работы, сайт; загруженные изображения; сведения об операциях списания; данные учётной записи; технические данные; сведения о принятии документов Платформы.

3.3. Оператор не запрашивает и не хранит полные реквизиты банковских карт и иных платёжных инструментов. Оплата производится через платёжный сервис Продамус; данные платёжного инструмента обрабатываются платёжным сервисом самостоятельно в соответствии с его условиями.

3.4. Оператор не обрабатывает специальные категории персональных данных (касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни), биометрические персональные данные, а также данные лиц, не достигших 18 лет.

3.5. Оператор не осуществляет обработку персональных данных, влекущую принятие в отношении субъекта решений исключительно на основании автоматизированной обработки.

4. Цели обработки

4.1. Оператор не обрабатывает персональные данные в целях, несовместимых с указанными выше, и не объединяет базы данных, обработка которых осуществляется в несовместимых целях.

5. Принципы и порядок обработки

5.1. Обработка осуществляется на законной и справедливой основе, ограничивается достижением конкретных заявленных целей, а объём обрабатываемых данных соответствует целям обработки.

5.2. Обработка ведётся как с использованием средств автоматизации, так и без их использования.

5.3. Обработка и хранение персональных данных граждан РФ осуществляются с использованием баз данных, расположенных на территории Российской Федерации.

5.4. Трансграничная передача персональных данных Оператором не осуществляется. В случае возникновения необходимости такой передачи Оператор предварительно направит уведомление в Роскомнадзор и обновит настоящую Политику до начала передачи.

6. Сроки обработки и хранения

6.1. Персональные данные обрабатываются не дольше, чем этого требуют цели обработки. Конкретные сроки:

• данные учётной записи и профиля — в течение срока действия учётной записи и 3 (три) года после её удаления (в пределах общего срока исковой давности);
• сведения об операциях с монетами и о платежах — 5 (пять) лет с даты операции (требования законодательства о бухгалтерском учёте и налогового законодательства);
• сведения о принятии документов и согласиях — 3 (три) года после прекращения обработки соответствующих данных;
• обращения, претензии и переписка — 3 (три) года с даты завершения рассмотрения;
• технические журналы и данные cookies — не более 12 месяцев с даты фиксации;
• данные для рекламных рассылок — до отзыва соответствующего согласия.

6.2. По достижении целей обработки, а также при отзыве согласия (если обработка осуществлялась только на основании согласия) персональные данные уничтожаются или обезличиваются, за исключением данных, хранение которых необходимо в силу закона либо для защиты прав и законных интересов Оператора.

6.3. Уничтожение персональных данных оформляется актом; Оператор ведёт учёт уничтожения персональных данных.

7. Передача персональных данных третьим лицам

7.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам, кроме случаев, указанных ниже.

7.2. Данные могут передаваться следующим категориям получателей:

• платёжному сервису Продамус — в объёме, необходимом для проведения оплаты, возврата денежных средств и формирования чека в «Мой налог» (контактные данные клиента, сумма, состав расчёта);
• хостинг-провайдеру и подрядчикам по сопровождению инфраструктуры — как обработчикам по поручению Оператора, на условиях конфиденциальности и в объёме, необходимом для обеспечения работы Платформы;
• партнёрам сети — как обработчикам по поручению Оператора, исключительно для проведения операции списания монет, в объёме: имя клиента, номер телефона, доступный баланс монет. Партнёрам запрещено использовать эти данные в собственных целях, включая рекламные рассылки и формирование собственных клиентских баз (раздел 6 оферты для партнёров);
• государственным органам — по основаниям, в объёме и в порядке, предусмотренных законодательством РФ.

7.3. При привлечении обработчиков Оператор определяет перечень действий с персональными данными, цели обработки, устанавливает обязанность соблюдения конфиденциальности и требований безопасности в соответствии с ч. 3 ст. 6 Закона о персональных данных.

7.4. Оператор не размещает в общедоступных источниках персональные данные клиентов. В публичной карточке партнёра размещаются сведения о точке (наименование, категория, адрес, часы работы, описание, фотографии, рабочий номер телефона); фамилия, имя и отчество контактного лица партнёра в публичной карточке не размещаются.

8. Cookies и технические данные

8.1. Платформа использует cookies и аналогичные технологии:

• строго необходимые — для авторизации, поддержания сессии, защиты от подделки запросов и обеспечения работоспособности сервиса; без них Платформа не функционирует;
• функциональные — для сохранения выбранного города и пользовательских настроек.

8.2. Оператор не использует cookies для рекламного профилирования и не передаёт данные cookies рекламным сетям. Системы сторонней веб-аналитики на Платформе не применяются; при их подключении Политика будет дополнена до начала использования.

8.3. Пользователь вправе ограничить или удалить cookies в настройках браузера. При отключении строго необходимых cookies авторизация и часть функций Платформы станут недоступны.

9. Меры по обеспечению безопасности

9.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения (ст. 18.1, 19 Закона о персональных данных), в том числе:

• назначение лица, ответственного за организацию обработки персональных данных;
• принятие локальных актов по вопросам обработки и защиты персональных данных, определение перечня обрабатываемых данных и мест их хранения;
• разграничение прав доступа и предоставление доступа только тем лицам, которым он необходим для выполнения обязанностей;
• передача данных по защищённому протоколу HTTPS;
• хранение паролей исключительно в виде необратимых хеш-значений;
• ведение журналов действий пользователей и администраторов Платформы;
• регулярное резервное копирование базы данных;
• ознакомление лиц, осуществляющих обработку, с требованиями законодательства и локальных актов Оператора.

9.2. При установлении факта неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов о произошедшем инциденте и в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 Закона о персональных данных).

10. Права субъекта персональных данных

10.1. Субъект персональных данных вправе:

• получать информацию, касающуюся обработки его персональных данных, в объёме, предусмотренном ч. 7 ст. 14 Закона о персональных данных;
• требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• возражать против обработки в целях направления рекламных сообщений;
• обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке.

10.2. Сроки рассмотрения обращений субъекта:

• предоставление информации об обработке — 10 рабочих дней со дня получения запроса; срок может быть продлён не более чем на 5 рабочих дней с уведомлением субъекта о причинах продления;
• уточнение, блокирование или уничтожение данных при подтверждении оснований — 7 рабочих дней со дня представления подтверждающих сведений;
• прекращение обработки и уничтожение данных при отзыве согласия или достижении целей обработки — 30 дней, если иной срок не установлен договором или законом.

10.3. Запрос направляется на адрес электронной почты или почтовый адрес Оператора, указанные в разделе 15. Запрос должен содержать сведения, позволяющие идентифицировать субъекта (номер телефона или адрес электронной почты, указанные при регистрации), и подпись субъекта либо его представителя при направлении в письменной форме.

11. Основания обработки и отзыв согласия

11.1. Обработка осуществляется на следующих основаниях: исполнение договора, стороной которого является субъект; согласие субъекта; законные интересы Оператора при условии соблюдения прав субъекта; исполнение обязанностей, возложенных на Оператора законом.

11.2. Согласие на обработку персональных данных даётся субъектом при регистрации путём проставления отдельной отметки в форме. Факт, дата и время предоставления согласия, IP-адрес и версия документов фиксируются Оператором.

11.3. Согласие на получение рекламных и информационных сообщений даётся отдельно, является добровольным и не влияет на возможность использования Платформы.

11.4. Отзыв согласия направляется на адрес электронной почты Оператора либо совершается в личном кабинете (для рекламных рассылок). Отзыв согласия на обработку данных, необходимых для исполнения договора, влечёт невозможность дальнейшего использования Платформы и является основанием для прекращения договора; при этом права Клиента на возврат денежных средств за неиспользованные оплаченные монеты сохраняются.

12. Обработка данных несовершеннолетних

12.1. Платформа предназначена для лиц, достигших 18 лет. Оператор не осуществляет целенаправленный сбор персональных данных лиц младше 18 лет.

12.2. При выявлении факта регистрации несовершеннолетнего Оператор удаляет учётную запись и относящиеся к ней персональные данные. Сведения о таком случае могут быть направлены по запросу законного представителя.

13. Ответственный за организацию обработки персональных данных

13.1. Лицом, ответственным за организацию обработки персональных данных, является Индивидуальный предприниматель Георгиева Екатерина Вадимовна.

13.2. Обращения по вопросам обработки персональных данных направляются по контактным данным раздела 15.

14. Изменение Политики

14.1. Оператор вправе обновлять Политику. Новая редакция вступает в силу с момента опубликования на Платформе, если в её тексте не указан иной срок, и содержит номер редакции и дату.

14.2. Предыдущие редакции Политики сохраняются Оператором и предоставляются по запросу субъекта.

15. Реквизиты и контакты Оператора