1. Общие положения
1.1. Настоящая Политика определяет порядок и условия обработки персональных данных Оператор сервиса notpay (далее — «Оператор») при работе сервиса notpay на сайте notpay.io (далее — «Сервис») и меры по их защите.
1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о персональных данных») и иными нормативными правовыми актами Российской Федерации.
1.3. Политика применяется ко всем персональным данным, которые Оператор получает через Сервис, включая сайт, личный кабинет, API, платёжную страницу и каналы поддержки.
1.4. Политика опубликована в свободном доступе по адресу notpay.io/legal/personal-data (часть 2 статьи 18.1 Закона о персональных данных).
1.5. Термины «персональные данные», «обработка», «оператор», «субъект персональных данных», «блокирование», «уничтожение», «обезличивание» и другие используются в значениях, определённых статьёй 3 Закона о персональных данных. Термины «Пользователь», «Покупатель», «Платёж», «Партнёры» используются в значениях, определённых Публичной офертой.
2. Принципы обработки
2.1. Оператор обрабатывает персональные данные на законной и справедливой основе, исходя из следующих принципов:
- обработка ограничивается достижением конкретных, заранее определённых и законных целей;
- не допускается обработка, несовместимая с целями сбора, и объединение баз данных, обрабатываемых в несовместимых целях;
- обрабатываются только те данные, которые отвечают целям обработки, их содержание и объём не избыточны;
- обеспечиваются точность, достаточность и актуальность данных; неполные и неточные данные уточняются или удаляются;
- данные хранятся в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки или закон, а по достижении целей уничтожаются или обезличиваются.
3. Субъекты персональных данных
3.1. Оператор обрабатывает персональные данные следующих лиц:
- Пользователи и их представители — лица, которые принимают оплату через Сервис, их представители и бенефициарные владельцы;
- Покупатели — лица, совершающие Платежи на платёжной странице Сервиса;
- посетители сайта notpay.io;
- лица, обратившиеся в поддержку по e-mail или в чат в Telegram.
3.2. Оператор не обрабатывает специальные категории персональных данных (о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни) и биометрические персональные данные.
4. Цели, категории данных и правовые основания
| Цель | Субъекты | Категории данных | Правовое основание |
|---|---|---|---|
| Регистрация и предоставление доступа к личному кабинету | Пользователи и их представители | адрес электронной почты; идентификатор сессии; IP-адрес; журнал действий | Исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6); согласие (п. 1 ч. 1 ст. 6) |
| Заключение и исполнение договора-оферты: подключение магазинов, учёт платежей, выплаты | Пользователи и их представители | Фамилия, имя, отчество или наименование; ИНН; реквизиты для выплат; данные магазина; журнал действий и запросов к API | Исполнение договора (п. 5 ч. 1 ст. 6) |
| Идентификация и исполнение требований Федерального закона № 115-ФЗ и требований Партнёров | Пользователи, их представители и бенефициарные владельцы | Сведения из документов, удостоверяющих личность и подтверждающих регистрацию, в объёме, установленном Федеральным законом № 115-ФЗ; сведения о деятельности | Исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6); исполнение договора (п. 5 ч. 1 ст. 6) |
| Проведение Платежей и Возвратов, направление сведений для чека | Покупатели | Адрес электронной почты или номер телефона (если их передал Пользователь); IP-адрес; сведения о браузере; сумма и статус Платежа; маскированный номер карты (первые 6 и последние 4 цифры); наименование банка | Согласие (п. 1 ч. 1 ст. 6); исполнение договора, выгодоприобретателем по которому является субъект (п. 5 ч. 1 ст. 6); поручение Пользователя (ч. 3 ст. 6) |
| Предотвращение мошенничества, обеспечение безопасности Сервиса, рассмотрение Оспариваний | Пользователи, Покупатели, посетители сайта | IP-адрес; сведения о браузере; журнал действий; сведения о Платежах | Законные интересы Оператора, Пользователей и Покупателей (п. 7 ч. 1 ст. 6); исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6) |
| Бухгалтерский и налоговый учёт | Пользователи, Покупатели | Сведения о Платежах, Возвратах, Выплатах и реквизиты | Исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6) |
| Ответы на обращения и претензии | Лица, обратившиеся в поддержку | Имя; адрес электронной почты или @username в Telegram; текст обращения и приложенные материалы | Согласие (п. 1 ч. 1 ст. 6); исполнение договора (п. 5 ч. 1 ст. 6) |
4.1. Статьи в таблице указаны по Закону о персональных данных.
4.2. В части персональных данных Покупателей, которые Пользователь передаёт при создании Платежа, Оператор действует по поручению Пользователя, являющегося оператором этих данных. В части данных, которые Покупатель сообщает на платёжной странице сам, Оператор действует как самостоятельный оператор.
5. Порядок и условия обработки
5.1. Оператор осуществляет смешанную обработку персональных данных — с использованием средств автоматизации и без них.
5.2. С персональными данными совершаются следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение. Распространение персональных данных неопределённому кругу лиц не осуществляется.
5.3. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона о персональных данных).
5.4. Оператор предоставляет персональные данные:
- Партнёрам — кредитным организациям и платёжным организациям — в объёме, необходимом для проведения Платежей, Возвратов, Выплат и рассмотрения Оспариваний;
- Пользователю — сведения о Платеже Покупателя в его магазине;
- лицам, обеспечивающим работу инфраструктуры Сервиса на территории Российской Федерации, — по поручению Оператора и в объёме, необходимом для работы Сервиса;
- государственным органам и Банку России — в случаях, предусмотренных законом.
5.5. Лица, которым Оператор поручает обработку, обязаны соблюдать принципы и правила обработки, предусмотренные Законом о персональных данных, обеспечивать конфиденциальность и безопасность данных.
5.6. Полные номера банковских карт и коды CVC/CVV Оператор не получает и не обрабатывает: Покупатель вводит их на странице Партнёра.
6. Сроки обработки и хранения
6.1. Сведения о Платежах, Возвратах и Выплатах, в том числе персональные данные Покупателей, хранятся 5 лет с даты операции в соответствии с требованиями законодательства о бухгалтерском учёте и Федерального закона № 115-ФЗ.
6.2. Данные учётной записи Пользователя хранятся в течение срока её существования и 3 лет после её удаления или прекращения договора-оферты. Сведения, полученные при идентификации, хранятся не менее 5 лет со дня прекращения отношений с Пользователем, как того требует Федеральный закон № 115-ФЗ.
6.3. Обращения в поддержку и переписка по ним хранятся 3 года с даты последнего обращения.
6.4. Технические журналы, содержащие IP-адреса и сведения о браузере посетителей сайта, хранятся не дольше, чем это необходимо для обеспечения безопасности Сервиса и расследования инцидентов.
6.5. По достижении целей обработки, истечении сроков хранения или отзыве согласия (при отсутствии иных законных оснований) персональные данные уничтожаются или обезличиваются в сроки, установленные статьёй 21 Закона о персональных данных. Уничтожение подтверждается актом и (или) выгрузкой из журнала событий.
7. Трансграничная передача
7.1. Оператор не осуществляет трансграничную передачу персональных данных.
7.2. Код для входа в личный кабинет направляется на адрес электронной почты через почтовый сервис, с которым у Оператора заключён договор. Оператор не передаёт персональные данные за рубеж; если для отправки писем будет использоваться иностранный сервис, Оператор заранее уведомит Роскомнадзор и обновит эту политику.
7.3. Переписка в чате поддержки в Telegram проходит через инфраструктуру Telegram. Лицо, не желающее этого, может обратиться к Оператору по e-mail support@notpay.io.
8. Права субъектов персональных данных
8.1. Субъект персональных данных вправе:
- получить сведения об обработке своих персональных данных, предусмотренные частью 7 статьи 14 Закона о персональных данных;
- требовать уточнения, блокирования или уничтожения персональных данных, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели;
- отозвать согласие на обработку персональных данных;
- требовать прекращения обработки персональных данных;
- обжаловать действия или бездействие Оператора в Роскомнадзоре или в суде.
8.2. Право на доступ к персональным данным может быть ограничено в случаях, предусмотренных частью 8 статьи 14 Закона о персональных данных, в том числе если обработка осуществляется в целях противодействия легализации доходов, полученных преступным путём, и финансированию терроризма.
9. Порядок направления запросов
9.1. Запросы и обращения по вопросам обработки персональных данных направляются по e-mail support@notpay.io. Запрос должен содержать сведения, позволяющие установить субъекта и подтвердить его участие в отношениях с Оператором (например, адрес электронной почты Пользователя, идентификатор, дату и сумму Платежа Покупателя), а также суть требования. Запрос в форме электронного документа может быть подписан электронной подписью.
9.2. Оператор отвечает на запрос в течение 10 рабочих дней с даты его получения. Срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления о причинах продления.
9.3. Если представленных сведений недостаточно, чтобы установить субъекта, Оператор вправе запросить дополнительные сведения. Ответ направляется тем же способом, которым поступил запрос, если в запросе не указано иное.
9.4. Требование о прекращении обработки исполняется в течение 10 рабочих дней с даты его получения (с возможностью продления на 5 рабочих дней), за исключением случаев, когда обработка продолжается на иных законных основаниях.
10. Отзыв согласия
10.1. Субъект может отозвать согласие на обработку персональных данных, направив уведомление по e-mail support@notpay.io.
10.2. При получении отзыва Оператор прекращает обработку и уничтожает персональные данные в течение 30 дней, если иное не предусмотрено договором или законом. Оператор вправе продолжить обработку без согласия при наличии оснований, указанных в пунктах 2–11 части 1 статьи 6 Закона о персональных данных, в том числе для хранения сведений о Платежах в сроки, установленные законом.
10.3. Отзыв согласия Пользователем означает невозможность дальнейшего использования личного кабинета и влечёт отказ от договора-оферты в порядке, предусмотренном Публичной офертой.
11. Меры по обеспечению безопасности
11.1. Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Закона о персональных данных, в том числе:
- назначает лицо, ответственное за организацию обработки персональных данных, и издаёт локальные акты по вопросам обработки;
- определяет угрозы безопасности персональных данных и уровень их защищённости при обработке в информационной системе;
- шифрует соединения с сайтом и API по протоколу TLS;
- подписывает уведомления Пользователям по алгоритму HMAC-SHA256;
- разграничивает доступ к персональным данным и предоставляет его только работникам, которым он необходим для выполнения обязанностей;
- ведёт журналирование действий с персональными данными и контролирует доступ к ним;
- выполняет резервное копирование для восстановления данных при их изменении или уничтожении вследствие несанкционированного доступа;
- не получает и не хранит полные номера банковских карт и коды CVC/CVV;
- ознакамливает работников с требованиями законодательства о персональных данных и локальными актами Оператора.
11.2. При выявлении неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов о произошедшем инциденте и в течение 72 часов — о результатах внутреннего расследования (часть 3.1 статьи 21 Закона о персональных данных).
12. Заключительные положения
12.1. Оператор вправе изменять Политику. Новая редакция вступает в силу с момента её публикации по адресу notpay.io/legal/personal-data, если в ней не указано иное.
12.2. Вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством Российской Федерации.
12.3. Контакты Оператора по вопросам обработки персональных данных:
- Оператор: Оператор сервиса notpay
- Сайт: notpay.io
- E-mail: support@notpay.io
- Чат поддержки в Telegram: @notpay_support
- Время работы поддержки: ежедневно с 09:00 до 23:00 по Москве
Редакция 1.0 от 26 октября 2026 г.