Политика обработки данных на демонстрационном сайте

1. Оператор и область действия

Оператор персональных данных — Индивидуальный предприниматель Михайловская Мария Вячеславовна.

• ИНН: 695204281715;
• ОГРНИП: 325690000037416;
• регион регистрации: Тверская область, г. Тверь;
• email для обращений по вопросам обработки данных: mashkadobraya123@gmail.com.

Полный почтовый адрес для обращений будет опубликован после подтверждения оператором. До этого обращения принимаются по указанному email. Настоящий документ относится только к статической демонстрационной версии сайта и не описывает ещё не запущенную обработку заказов через собственную форму.

2. Какие данные возникают сейчас

• Запросы к сайту: IP-адрес и технические сведения о соединении обрабатываются инфраструктурой Cloudflare. Origin-сервер хранит минимизированную запись: время, метод, статус, объём ответа и длительность; без IP-адреса, host, пути/query, referrer и user agent.
• Демо-корзина: браузер хранит только идентификаторы изделий и количество в ключе dk_cart. Эти значения не содержат имени или контакта и не отправляются приложением оператору.
• Поля checkout: имя, контакт и комментарий существуют только в памяти открытой страницы. Скрипт их не читает, блокирует отправку формы и не включает значения в URL, журналы, аналитику, cookies или Web Storage.
• Промокод: обрабатывается только в памяти браузера для расчёта демонстрационной скидки; не сохраняется и не передаётся.

3. Цели и основания

• Предоставление страниц и защита сайта: доставка контента, диагностика сбоев и противодействие злоупотреблениям. Для текущего preview оператор исходит из необходимости осуществления своих законных интересов при условии, что права посетителей не нарушаются (п. 7 ч. 1 ст. 6 Федерального закона № 152-ФЗ).
• Функциональная корзина: выполнение явно запрошенного посетителем действия в его собственном браузере; оператор не получает содержимое корзины.
• Публикация новостей мастерской: отображение ограниченной копии собственных публичных публикаций Telegram-канала. Личные сообщения пользователей в этот поток не входят.

Сайт не использует продуктовую аналитику, рекламные пиксели, session replay, fingerprinting, аналитические cookies или встроенные социальные виджеты при обычной загрузке страницы. Перед добавлением таких технологий требуется новый аудит.

4. Карта на странице контактов

В блоке «Как нас найти» на главной есть кнопка «Показать карту». Пока вы её не нажали, сайт не отправляет Яндексу ничего — ни одного запроса, ни одной cookie. Карта не является частью страницы и не подгружается фоном.

Мы вынесли её за кнопку, потому что проверили, что именно загружается. Виджет карт тянет не только саму карту: вместе с ней приходят счётчик Яндекс.Метрики, рекламный пиксель и трекинговые запросы с постоянным идентификатором, размером экрана и окна, и ставится 14 cookie. Это уже полноценная аналитика, а не просто картинка, — поэтому включать её молча за вас мы не считаем правильным.

После нажатия Яндекс получает IP-адрес, user agent и сведения, создаваемые его виджетом, и обрабатывает их по собственным правилам. Сроки и регионы этой обработки оператором не подтверждены, поэтому виджет не может загружаться автоматически. Нажатие кнопки не объявляется универсальным согласием на любые цели. Адрес страницы, корзина и поля checkout в запрос не подставляются; адрес мастерской доступен текстом без загрузки карты.

5. Внешние сервисы и получатели

Telegram и ВКонтакте открываются только после явного перехода пользователя по внешней ссылке. Сайт не подставляет в неё содержимое корзины или полей формы и запрещает передачу HTTP referrer на уровне ссылки и серверной политики. После перехода соответствующий сервис обрабатывает данные по собственным правилам. Служебный Telegram-бот получает только новые и отредактированные публикации официального публичного канала. Cloudflare Worker сохраняет ограниченную копию публичного текста и превью изображения для страницы «Новости»; личные сообщения пользователей бот не запрашивает и не принимает через webhook.

Публичный HTTPS-трафик текущего preview проходит через инфраструктуру Cloudflare, а origin-сервер расположен в Нюрнберге, Германия. Это не является доказательством российской локализации production-сбора. Поэтому собственная форма заказа остаётся технически отключённой до выбора и проверки российского первичного контура, договоров с обработчиками и решения по трансграничной передаче.

6. Сроки и удаление

Минимизированные журналы origin Nginx хранятся в пределах семи дневных ротаций; отдельный журнал systemd ограничен семью днями и квотой. Точный срок и регионы edge-обработки Cloudflare ещё не подтверждены и блокируют production-сбор. Демо-корзину можно удалить кнопкой очистки корзины либо очисткой данных сайта в браузере.

7. Права посетителя

Посетитель вправе запросить сведения об обработке своих персональных данных, потребовать их уточнения, блокирования, прекращения обработки или уничтожения, отозвать ранее данное согласие, если обработка основывалась на нём, а также обжаловать действия оператора в Роскомнадзор или суд. Запрос можно направить на mashkadobraya123@gmail.com. Ответ предоставляется в установленный законом срок; при допустимом продлении заявителю направляется мотивированное уведомление.

8. Защита и изменения документа

Для preview применяются HTTPS, запрет передачи referrer, минимизация журналов, отсутствие endpoint для формы, запрет сторонних исполняемых скриптов и автоматические negative privacy tests. Эти меры не заменяют обязательную оценку production-ИСПДн, договоры, уведомления и организационные процедуры.

До production должны быть утверждены почтовый адрес и ответственные лица, российские системы приёма и хранения заказов, фактические получатели, сроки, основания, уничтожение, уведомления Роскомнадзора и отдельные согласия только для тех целей, где согласие действительно выбрано основанием. Новая редакция публикуется на этой странице с указанием даты.