Политика обработки персональных данных

1.1. Настоящая Политика в отношении обработки персональных данных (далее – «Политика») разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – «152-ФЗ») и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, предпринимаемые Оператором.

1.2. Политика действует в отношении всех персональных данных, которые Оператор получает и обрабатывает в связи с использованием информационно-технологической платформы CarSplit, размещённой по адресу https://carsplit.ru (далее – «Сервис»).

1.3. Настоящая Политика информирует субъекта о порядке обработки его персональных данных. Для заявки на консультацию согласие оформляется отдельно: посетитель отмечает поле согласия после ознакомления с доступным по ссылке текстом. Ознакомление с Политикой или отправка заявки сами по себе не заменяют эту отметку. Правовые основания обработки данных в иных сценариях использования Сервиса указаны в разделе 4.

1.4. Оператор размещает действующую редакцию Политики в свободном доступе по адресу https://carsplit.ru/privacy и вправе вносить в неё изменения. Новая редакция вступает в силу с момента её размещения, если иное не предусмотрено самой редакцией.

2.1. Персональные данные (ПДн) – любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

2.2. Обработка персональных данных – любое действие (операция) или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без таковых, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение.

2.3. Оператор – лицо, указанное в разделе 13 настоящей Политики, организующее и осуществляющее обработку персональных данных.

2.4. Третье лицо (обработчик) – лицо, которому Оператор поручает обработку персональных данных либо которому передаёт персональные данные в объёме, необходимом для функционирования Сервиса (раздел 6).

2.5. Трансграничная передача – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу.

3.1. CarSplit – информационно-технологическая платформа для приёма оплаты услуг автосервисов с моментальным разделением (сплитом) выручки между автосервисом и мастером, а также предоставления личных кабинетов пользователям.

3.2. Оператор не является кредитной организацией, оператором по переводу денежных средств или эквайером. Приём и перевод денежных средств выполняют платёжные партнёры Оператора (раздел 6) после подключения соответствующих функций. Оператор выступает информационно-технологическим посредником.

3.3. Полный номер банковской карты (PAN) на стороне Оператора не хранится: карта вводится плательщиком на платёжной форме партнёра, Оператор получает только токен и маску карты.

Оператор обрабатывает персональные данные следующих категорий субъектов:

5.1. В зависимости от категории субъекта и используемого функционала Оператор обрабатывает следующие персональные данные.

5.1.1. Данные аккаунтов пользователей (Владелец, Управляющий, Мастер-приёмщик, Оператор платформы)

Адрес электронной почты и отметка о его подтверждении; номер телефона; фамилия, имя, отчество (в том числе раздельно); пароль (в виде необратимого хэша); секрет двухфакторной аутентификации; фотография профиля (аватар); служебные сведения (дата регистрации, последнего входа, настройки уведомлений).

5.1.2. Данные Исполнителя (мастера), включая данные документов

Фамилия, имя, отчество; контактные данные (телефон, email); тип занятости (самозанятый / ИП на НПД / физическое лицо); идентификационный номер налогоплательщика (ИНН); серия и номер паспорта, кем и когда выдан, код подразделения; дата и место рождения; адреса регистрации и проживания; СНИЛС; гражданство; срок действия документа; сведения, необходимые для исполнения требований законодательства о противодействии легализации (отмыванию) доходов (статус публичного должностного лица, сведения о бенефициаре, налоговое резидентство и иные); отметки о предоставленных согласиях.

5.1.3. Реквизиты для выплат Исполнителю

Токен и маска банковской карты, имя держателя, метаданные карты (последние цифры, срок, платёжная система, банк-эмитент) – без хранения полного номера карты; номер телефона для выплат через СБП; идентификационные данные банка-получателя в СБП.

5.1.4. Данные приглашаемых лиц

Фамилия, имя, отчество и номер телефона приглашаемого лица; одноразовая ссылка-приглашение.

5.1.5. Реквизиты автосервиса / юридического лица (включая ИП)

Сведения о юридическом лице или индивидуальном предпринимателе: тип, наименование, ИНН, КПП, ОГРН/ОГРНИП, юридический адрес; банковские реквизиты (БИК, наименование банка, корреспондентский и расчётный счёт); адрес и контакты автосервиса; загруженные документы юридического лица. Для индивидуальных предпринимателей соответствующие сведения относятся к персональным данным физического лица.

5.1.6. Данные чека

Контакт клиента-плательщика (адрес электронной почты или номер телефона) для направления чека; состав чека и фискальные реквизиты.

5.1.7. Технические, служебные и аналитические данные

IP-адрес; сведения о пользовательском устройстве, операционной системе и браузере (User-Agent, идентификатор устройства); адрес посещённой публичной страницы, источник перехода и сведения о взаимодействии с ней; файлы cookie и анонимный идентификатор посетителя, используемые Яндекс.Метрикой; коды подтверждения и токены сессий (в виде хэшей); журнал действий пользователей; данные заявок, оставленных на публичных формах.

5.2. Цели обработки: регистрация и аутентификация пользователей; предоставление функционала Сервиса и исполнение договора (оферты); проведение платежей, сплита и выплат через платёжных партнёров; верификация Исполнителей и автосервисов; исполнение требований законодательства (в том числе о противодействии легализации доходов и о применении контрольно-кассовой техники); направление уведомлений и сервисных сообщений; обеспечение безопасности, защита от мошенничества и противодействие автоматизированным атакам; мониторинг технических ошибок; анализ посещаемости и улучшение публичных страниц Сервиса; обработка обращений и заявок.

5.3. Правовые основания обработки: исполнение договора (оферты), стороной которого является субъект персональных данных; согласие субъекта персональных данных; требования законодательства Российской Федерации, в том числе Федерального закона от 07.08.2001 № 115-ФЗ и Федерального закона от 22.05.2003 № 54-ФЗ.

5.4. При подключении Яндекс.Метрики для анализа посещаемости публичных страниц и страниц регистрации могут обрабатываться сведения об устройстве и браузере, IP-адрес, файлы cookie, адрес страницы, источник перехода и события взаимодействия с интерфейсом. Содержимое полей форм, фамилия, имя, телефон и email в составе аналитических событий не передаются. Данные передаются ООО «ЯНДЕКС» при использовании данного сервиса на предусмотренном законом основании. Ограничить сбор данных можно в настройках браузера или с помощью блокировщика: https://yandex.ru/support/metrica/ru/general/opt-out.

5.5. При подаче заявки на консультацию обрабатываются имя, телефон, email (если указан), источник перехода (UTM-метки при наличии), сведения о браузере, IP-адрес, дата, время и версия предоставленного согласия. Цель обработки – рассмотреть заявку по CarSplit и связаться с заявителем для ответа на неё. Паспортные и платёжные данные для консультации не требуются. Основание обработки – отдельное согласие заявителя; оно не распространяется на рекламные рассылки.

5.6. При обработке заявок осуществляются сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление доступа уполномоченным сотрудникам, блокирование, удаление и уничтожение данных с использованием средств автоматизации и без них.

6.1. В объёме, необходимом для используемого функционала, данные могут передаваться подключённым партнёрам: Т-Банку для платежей и выплат, CloudKassir для фискализации, SMS.ru для подтверждения телефона, DaData для проверки реквизитов, ФНС для проверки статуса НПД, Unisender для сервисных писем. Инфраструктура размещается в Selectel. Данные передаются только для соответствующей цели при наличии законного основания; отключённым интеграциям данные не направляются.

6.1.1. ООО «ЯНДЕКС» – проверка запросов посредством SmartCaptcha и обработка технических и аналитических данных при подключении Яндекс.Метрики.

6.2. Передача персональных данных третьим лицам осуществляется на основании договоров, предусматривающих обязанность соответствующего лица соблюдать конфиденциальность и обеспечивать безопасность персональных данных при их обработке, либо на ином законном основании.

6.3. Трансграничная передача. При использовании Telegram для служебных уведомлений Оператор соблюдает требования статьи 12 152-ФЗ, включая предварительное уведомление уполномоченного органа в предусмотренных законом случаях. Передача осуществляется при наличии законного основания и с соблюдением установленных ограничений.

7.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения, в том числе:

• шифрование паспортных данных и СНИЛС по алгоритму AES-256-GCM с версионируемым ключом;
• контроль уникальности паспортных данных по необратимому хэшу HMAC-SHA256 без расшифровки;
• хранение паролей, кодов подтверждения и токенов в виде необратимых хэшей;
• отказ от хранения полного номера банковской карты (PAN) и использование токенизации на стороне платёжного партнёра;
• шифрование секретов платёжных партнёров;
• защита канала передачи данных по TLS, применение CSP и заголовков безопасности;
• разграничение доступа к данным по ролям и ведение журнала действий;
• размещение баз данных на серверах, расположенных на территории Российской Федерации.

8.1. В соответствии с частью 5 статьи 18 152-ФЗ запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, расположенных на территории Российской Федерации.

9.1. Персональные данные обрабатываются в течение срока, необходимого для достижения целей обработки, если иной срок не установлен законодательством Российской Федерации.

9.2. Сроки хранения по категориям данных:

• данные верификации (KYC) и финансовые данные – 5 лет;
• журналы действий и технические данные – 1 год;
• данные заявок (лидов) – 6 месяцев.

9.3. По достижении целей обработки либо в случае отзыва согласия персональные данные подлежат уничтожению или обезличиванию в срок и порядке, установленные законодательством, за исключением данных, подлежащих хранению в силу закона.

9.4. Данные заявки на консультацию обрабатываются до достижения цели, но не более 6 месяцев со дня отправки заявки, либо до отзыва согласия. После достижения цели или отзыва данные удаляются или обезличиваются в установленном законом порядке, кроме случаев дальнейшей обработки на ином законном основании. Сведения, подтверждающие согласие, сохраняются в журнале действий в пределах сроков, предусмотренных пунктом 9.2.

10.1. Субъект персональных данных вправе:

• получать информацию, касающуюся обработки его персональных данных;
• требовать уточнения, блокирования или уничтожения персональных данных, если они неполны, устаревшие, неточны, незаконно получены или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

10.2. Для реализации своих прав субъект направляет запрос Оператору по контактам, указанным в разделе 13. Оператор рассматривает запрос и предоставляет ответ в сроки, установленные законодательством Российской Федерации. По общему правилу ответ предоставляется в течение 10 (десяти) рабочих дней с даты получения запроса; срок может быть продлён в предусмотренных законом случаях при направлении субъекту мотивированного уведомления.

11.1. Если основанием обработки является согласие, субъект предоставляет его отдельным действием после ознакомления с текстом согласия. Доступ к настоящей Политике (/privacy) и Пользовательскому соглашению (/oferta) предоставляется до обработки данных. Принятие Пользовательского соглашения само по себе не заменяет необходимое согласие.

11.1.1. Для заявки на консультацию используется отдельное, изначально неотмеченное поле согласия. Текст согласия оформлен отдельным документом: https://carsplit.ru/legal/consultation-consent-2026-10-02.html. При подключённой отправке заявок Оператор сохраняет заявку вместе с текстом, версией и датой предоставления согласия. Настоящая Политика не заменяет согласие; согласие на консультацию не распространяется на рекламные рассылки.

11.2. Для Исполнителя предусмотрены отдельные отметки о согласии: на проверку сведений по номеру телефона и на принятие условий обработки данных.

11.3. Согласие может быть отозвано субъектом путём направления обращения Оператору по контактам, указанным в разделе 13.

11.4. Для отзыва согласия на обработку заявки или запроса о данных заявитель направляет обращение на info@carsplit.ru, указывая телефон или email из заявки для её поиска и проверки принадлежности данных.

12.1. Вопросы, не урегулированные настоящей Политикой, разрешаются в соответствии с законодательством Российской Федерации.

12.2. По всем вопросам, связанным с обработкой персональных данных, субъект вправе обратиться к Оператору по контактам, указанным в разделе 13.