Политика обработки персональных данных

1. Общие положения

Оператор персональных данных – ИП Чижиков Михаил Денисович, ИНН 121533808712, ОГРНИП 326120000008715, место нахождения: Республика Марий Эл, г. Йошкар-Ола. Сервис ФИНАИНДЕКС доступен по адресу https://finaindex.ru.

Уведомление об обработке (намерении осуществлять обработку) персональных данных зарегистрировано в СЭД Роскомнадзора: № 17913/52 от 8 мая 2026 года.

Политика применяется к данным посетителей сайта, зарегистрированных пользователей и лиц, направивших обращение. Оператор обрабатывает данные законно, в объёме, необходимом для заявленных целей, и не объединяет несовместимые между собой базы данных.

2. Какие данные обрабатываются

• Аккаунт: отображаемое имя, email, статус его подтверждения, защищённый хеш пароля при входе по почте, идентификатор Яндекс ID при выборе этого способа входа, даты создания аккаунта и принятия документов. Пароль от Яндекса не запрашивается.
• Безопасность и сессии: хеш токена сессии, срок его действия, псевдонимизированный идентификатор сетевого подключения, IP-адрес при защитной проверке Cloudflare Turnstile, результат и хеш одноразового защитного токена, события ограничения частоты запросов и технические ошибки.
• Платежи: сумма, статус и идентификаторы операции ЮKassa, внутренние проводки, email для электронного чека. Полные реквизиты банковской карты Финаиндекс не получает и не хранит.
• ИИ-аналитик: выбранная компания и модель, текст вопросов и ответов, история диалога, сформированный контекст компании, фактическое потребление модели и стоимость запроса.
• Обращения: контактные данные и содержание сообщения, которое пользователь сам направил в поддержку.
• Настройки браузера: отдельное решение о загрузке Яндекс Метрики сохраняется локально в браузере. До разрешения аналитика не загружается. Подробнее – в документе «Cookie и аналитика».

Базовые публичные сведения о компаниях и ИП загружаются непосредственно из официальных открытых наборов ФНС России и хранятся в локальной базе. Дополнительные сведения через OFData, расширенные реестры и раскрытие связей запрашиваются только после входа и явного действия пользователя. Гость видит только публичную карточку и предложение войти; его запрос не вызывает OFData и не создаёт кэш ответа источника. Сведения OFData не используются для создания аккаунта пользователя. Запрос на исправление проверяется с учётом первоисточника и даты публикации.

3. Цели и правовые основания

4. Действия с данными

Оператор может собирать, записывать, систематизировать, накапливать, хранить, уточнять, извлекать, использовать, предоставлять уполномоченным обработчикам, блокировать, удалять и уничтожать данные с применением автоматизированной обработки либо без неё. Доступ получают только лица и сервисы, которым он необходим для соответствующей цели.

5. Сервисы, участвующие в обработке

• Хостинг – размещение приложения, базы данных и резервных копий с ограниченным доступом.
• ФНС России – официальный первоисточник открытых наборов для публичного каталога.
• Яндекс ID – дополнительный способ регистрации и входа по выбору пользователя.
• Яндекс Cloud Postbox – доставка обязательных писем подтверждения почты и восстановления пароля. Передаются адрес получателя, тема и текст письма с одноразовой ссылкой; пароль пользователя не передаётся.
• ЮKassa – приём платежа, проверка его статуса, возврат и передача данных для электронного чека. Перед оплатой пользователь указывает или проверяет email для чека.
• ProxyAPI – выполнение запроса к выбранной ИИ-модели. Передаются подготовленный контекст компании, вопрос и сообщения диалога, необходимые для ответа; email, пароль, платёжные реквизиты и идентификатор сессии в контекст не включаются.
• Cloudflare Turnstile – защитная проверка при регистрации по почте или через Яндекс ID и перед новыми запросами OFData; сервису передаются одноразовый защитный токен и IP-адрес подключения.
• Яндекс Метрика – необязательная статистика публичных страниц, загружаемая только после отдельного разрешения в браузере. Вебвизор отключён; аккаунт, платежи и диалоги не передаются. Подробнее – в документе «Cookie и аналитика».
• OFData – дополнительный источник, вызываемый только после входа и явного действия пользователя; ему передаётся идентификатор компании или подтверждённого физлица, но не данные аккаунта.

Рекламные баннеры и скрипты РСЯ отключены. Письма подтверждения email и восстановления пароля отправляются через Яндекс Cloud Postbox. Рекламные рассылки не выполняются. При использовании иностранных сервисов Оператор обязан соблюдать применимые требования к трансграничной передаче и уведомлению Роскомнадзора. Пользователь не должен вводить в вопрос ИИ персональные данные, коммерческую тайну, сведения ограниченного доступа или специальные категории данных.

6. Место и сроки хранения

При сборе данных граждан РФ оператор обеспечивает первичную запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных на территории Российской Федерации. Сведения о production-инфраструктуре должны соответствовать уведомлению оператора в Роскомнадзор.

• OAuth-состояние действует не более 10 минут; пользовательская сессия – до 30 дней с момента выдачи и прекращается после 7 дней бездействия или при выходе. Одноразовая ссылка подтверждения email действует 24 часа, ссылка восстановления пароля — 30 минут. Адрес и токен в очереди доставки хранятся в зашифрованном виде; сервер хранит хеш самого токена.
• Хеш использованного Turnstile-токена – не более 6 минут; исходный токен Финаиндекс не сохраняет.
• Контекстный снимок для ИИ – 24 часа; оперативный кеш карточки и реестров OFData – до 24 часов, финансов – до 7 суток, отрицательного результата – до 1 часа.
• В публичном каталоге хранятся только официальные открытые наборы. Снимки OFData не сохраняются в публичной карточке, поиске или sitemap.
• История диалогов, включая архивированные диалоги, хранится без автоматического удаления до удаления аккаунта или обоснованного запроса пользователя.
• Договорные, платёжные, бухгалтерские и защитные записи хранятся в сроки, установленные законодательством и необходимые для разрешения споров.

После достижения цели данные удаляются или обезличиваются, если их дальнейшее хранение не требуется законом или договором.

7. Защита данных

Пароли для входа по почте хранятся только в виде защищённых хешей; пароль от Яндекса Финаиндекс не получает. Токены сессий и подтверждения хранятся как хеши; полезная нагрузка очереди писем шифруется. Применяются разграничение доступа к PostgreSQL, изолированная сеть данных, ограничения частоты запросов, проверка происхождения изменяющих запросов, журналирование технических сбоев и резервирование средств до подтверждения расходов ИИ. Оператор обязан определять актуальные угрозы, уровень защищённости и организационные меры, а также поддерживать их в актуальном состоянии.

8. Права пользователя

Пользователь вправе запросить сведения об обработке, доступ к своим данным, их уточнение, блокирование или удаление, а также отозвать согласие. Запрос направляется на m.chizhikov@finaindex.ru и должен позволять подтвердить заявителя. Отзыв не отменяет законность предшествующей обработки и не прекращает обработку, которая допускается без согласия по закону.

Пользователь также вправе обратиться в Роскомнадзор или в суд. Удаление аккаунта не влечёт удаление сведений, которые оператор обязан хранить по закону; доступ к таким сведениям ограничивается.

9. Обновление политики

Актуальная версия всегда опубликована на этой странице. При существенном изменении целей или состава обработки, для которого требуется новое согласие, оператор запрашивает его отдельно.