Политика конфиденциальности и обработки персональных данных

1. Кто мы и как связаться

Сайт dom-vld.ru, личные кабинеты, административные разделы, кассовые модули, связанные боты и иные функции платформы «Дом Владикавказ» (далее — «Сервис») созданы и поддерживаются Обществом с ограниченной ответственностью «Авангард» (ОГРН 1251500007164, ИНН 1500028630, КПП 150001001) (далее — «Оператор»).

Контакты по вопросам персональных данных: support@dom-vld.ru, +7‑962‑747‑3370.

Юридический адрес: 362019, Россия, Республика Северная Осетия‑Алания, г. Владикавказ, ул. Зураба Магкаева, 2.

Ответственный за организацию обработки ПДн: назначенное ООО «Авангард» лицо, ответственное за организацию обработки персональных данных.

Политика разработана с учётом Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных», Постановления Правительства РФ от 01.11.2012 № 1119 и иных применимых нормативных актов.

2. Роли и категории субъектов персональных данных

Роль ООО «Авангард» зависит от того, для чего и от чьего имени обрабатываются данные.

• Самостоятельный оператор — в отношении данных посетителей сайта, лиц, обращающихся в ООО «Авангард», пользователей собственных каналов связи Сервиса, сотрудников/пользователей рабочих аккаунтов в части администрирования доступа, а также технических данных, необходимых для безопасности и эксплуатации Сервиса.
• Лицо, обрабатывающее ПДн по поручению — когда УО, ТСЖ или ТСН размещает в Сервисе данные жителей, собственников, должников, сотрудников, подрядчиков и иные сведения для своей деятельности. В этом случае соответствующая организация является оператором ПДн, а ООО «Авангард» обрабатывает данные в пределах договора и поручения.

Сервис может обрабатывать данные следующих категорий субъектов: текущие и бывшие собственники/наниматели помещений, иные жители и плательщики, сотрудники и представители УО/ТСЖ/ТСН, пользователи рабочих аккаунтов, подотчётные лица, контрагенты и исполнители, должники, заявители через MAX, лица, изображённые в материалах мероприятий, а также лица, обращающиеся в поддержку.

3. Какие персональные данные обрабатываются

3.1. Лицевые счета, жители и расчёты

• Логин/номер лицевого счёта, ФИО, адрес дома, номер помещения, идентификаторы организации и дома.
• Площадь помещения и жилая площадь, количество зарегистрированных и проживающих лиц, сведения о наличии приборов учёта и расчётных нормативах — если такие данные загружены организацией.
• Тарифы, начисления, корректировки, оплаты, номера квитанций и операций, задолженность/переплата, пени, списания пеней, даты возникновения обязательств и история финансовых операций по лицевому счёту.

3.2. Смена собственника и история владения

• ФИО прежнего и нового собственника, даты начала/окончания периода владения, номер лицевого счёта, сведения о помещении.
• Сведения о документе/регистрации права собственности, статусы льгот, контрольные показания и комментарии к акту передачи, расчёт разделения начислений, сведения о переносе обязательств по капитальному ремонту.
• Снимок задолженности прежнего собственника, статус досудебной/судебной работы, комментарии и служебные задачи по передаче данных.

3.3. Приборы учёта и показания

• Лицевой счёт, ФИО, дом, помещение, номер и тип прибора учёта, тариф/зона.
• Значения и даты показаний, а также фотографии/файлы, подтверждающие показания, если они загружаются.

3.4. Касса, расходы и финансовые документы

• Данные плательщика/получателя или контрагента, назначение операции, суммы, даты, основания, номера документов, комментарии и статус операции.
• Для подотчётных лиц: ФИО, должность, табельный/внутренний номер (если используется), цели выдачи средств, сведения об авансовых отчётах и приложенных подтверждающих документах.
• Кассовые документы, сведения о закрытии дня, данные создавшего/утвердившего/отменившего операцию сотрудника и журнал действий.
• Вложения к расходам и авансовым отчётам: название файла, тип, размер, контрольная сумма и содержимое файла.

3.5. Сотрудники, рабочие аккаунты и доступы

• Логин, ФИО/отображаемое имя, хеш пароля, статус аккаунта, дата последнего входа.
• Перечень доступных организаций, роль/профиль (например, оператор, кассир, бухгалтер, руководитель), индивидуальные разрешения и история изменения доступов.
• При использовании дополнительных способов входа могут обрабатываться технические секреты TOTP и данные, необходимые для Passkey/WebAuthn, если соответствующая функция активирована.

3.6. Документы, подрядчики и судебная работа

• При формировании договоров/актов: ФИО исполнителя, ИНН, паспортные данные, дата и орган выдачи документа, адрес, сведения о договоре, работах и суммах.
• При подготовке судебных документов: ФИО должника, дата и место рождения, адрес, место работы (если известно), идентификатор должника (паспорт, ИНН, СНИЛС, водительское удостоверение или ОГРНИП), данные о праве собственности и доле, сведения о задолженности и пенях.
• Сведения о представителях взыскателя: ФИО, должность, основание полномочий, контакты; сведения о суде и приложениях к заявлению.

3.7. MAX‑бот, обращения и уведомления

• Идентификатор пользователя MAX (max_id), ФИО, телефон, e‑mail, сведения о связи с лицевым счётом/организацией и настройках уведомлений.
• Текст обращений, адрес проблемы, ответы, статус обращения, дата/время, вложения (фото/видео) и служебные сведения, необходимые для обработки обращения.
• Технические данные против злоупотреблений, например состояние проверки/капчи, количество неудачных попыток и временная блокировка.

3.8. Публичные материалы организации

• Сведения о сотрудниках, публикуемых организацией: ФИО, должность, фотография.
• Материалы мероприятий: текст, фото и видео; они могут содержать изображения людей.
• Контактные данные организации и её представителей, если они предназначены для публикации.

3.9. Технические и эксплуатационные данные

• IP‑адрес и иные стандартные данные веб‑запроса, которые могут фиксироваться средствами веб‑сервера/хостинга: дата и время, user‑agent, запрошенный ресурс, код ответа.
• Для диагностики медленных/ошибочных запросов приложение может фиксировать идентификатор запроса, маршрут, HTTP‑метод, статус, длительность, а для авторизованного пользователя — внутренний идентификатор пользователя и организации.
• Факт успешного входа, внутренний идентификатор пользователя, организация/дом и время посещения могут использоваться для статистики и безопасности.

Пароли в открытом виде не хранятся. Сервис не предназначен для обработки биометрических данных и специальных категорий ПДн (сведения о здоровье, расовой/национальной принадлежности, политических взглядах, религиозных убеждениях и т. п.), если такая обработка отдельно не предусмотрена законом и не согласована надлежащим образом.

4. Цели и правовые основания обработки

В зависимости от конкретной цели основаниями обработки могут быть согласие субъекта, исполнение договора или действий по запросу субъекта до заключения договора, исполнение обязанностей, установленных законодательством, осуществление прав и законных интересов оператора/третьих лиц при условии соблюдения прав субъекта, а также иные основания, предусмотренные ст. 6 Федерального закона № 152‑ФЗ.

Если ООО «Авангард» обрабатывает данные по поручению УО/ТСЖ/ТСН, правовое основание получения таких данных определяет соответствующая организация, а условия поручения должны соответствовать ч. 3 ст. 6 Федерального закона № 152‑ФЗ.

5. Источники и способы обработки

Персональные данные могут поступать:

• непосредственно от субъекта — через сайт, личный кабинет, форму, мессенджер или обращение в поддержку;
• от УО/ТСЖ/ТСН — через ручной ввод, Excel‑импорт, загрузку файлов и иные согласованные способы переноса данных;
• от работников/представителей организации при совершении операций в Сервисе;
• автоматически — при авторизации, использовании Сервиса, расчётах и формировании технических журналов.

Обработка может включать сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, предоставление доступа, передачу в предусмотренных законом и договором случаях, блокирование, удаление и уничтожение данных. Основная обработка автоматизирована с использованием информационных систем; отдельные действия выполняются уполномоченными сотрудниками.

6. Cookies и локальное хранилище

• Сессионная cookie используется для авторизации. Она помечается HttpOnly SameSite=Lax; при работе по HTTPS используется защищённый режим Secure. Срок жизни сессии — до 7 суток, если пользователь не вышел раньше.
• CSRF‑cookie используется для защиты форм и запросов от подделки.
• Service Worker / Cache Storage может локально кэшировать статические ресурсы и офлайн‑страницу для ускорения загрузки. Кэш находится на устройстве пользователя.
• Сервис не подключает рекламные трекеры и не использует стороннюю рекламную аналитику в текущей конфигурации.

Отключение необходимых cookies может сделать авторизацию и защищённые формы неработоспособными.

7. Передача данных и используемая инфраструктура

Доступ к ПДн предоставляется только в объёме, необходимом для соответствующей цели. Возможны следующие категории получателей/обработчиков:

• УО/ТСЖ/ТСН и их уполномоченные сотрудники — в пределах назначенных ролей и прав доступа.
• MAX — при использовании бота, уведомлений и обращений через мессенджер. Сообщения, идентификаторы и вложения проходят через инфраструктуру мессенджера в соответствии с его условиями и политиками.
• Объектное S3‑хранилище (в текущей конфигурации — CLO Object Storage) — для хранения медиафайлов и вложений. Доступ к защищённым вложениям может предоставляться через временные подписанные ссылки.
• Хостинг и серверная инфраструктура — для работы приложения, базы данных, сессий, резервного копирования и сетевой защиты.
• Государственные органы и суды — только если передача требуется законом или выполняется самой УО/ТСЖ/ТСН в рамках её деятельности; Сервис может сформировать документ для такой передачи.

ООО «Авангард» не продаёт персональные данные и не передаёт их для самостоятельной рекламы третьих лиц.

Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ при сборе через Интернет организуются с использованием баз данных на территории Российской Федерации в соответствии с ч. 5 ст. 18 Федерального закона № 152‑ФЗ.

Если в будущем изменится поставщик инфраструктуры либо появится трансграничная передача, до начала такой обработки будут выполнены применимые требования законодательства, а сведения в документах и уведомлении оператора будут актуализированы.

8. Сроки хранения, удаление и уничтожение

• Данные жителей, лицевых счетов, начислений, оплат, долгов, собственников и счётчиков — в течение срока, необходимого УО/ТСЖ/ТСН для соответствующих целей, действия договора с Сервисом и предусмотренных законом сроков хранения/защиты прав. После прекращения поручения данные удаляются, возвращаются или сохраняются только при наличии отдельного законного основания.
• История бывших собственников, задолженности и судебной работы — пока сведения нужны для претензионной, судебной и исполнительной работы либо иного законного учёта.
• Кассовые, финансовые и подтверждающие документы — в сроки, установленные применимыми требованиями бухгалтерского, налогового, архивного и иного законодательства, либо пока они необходимы для защиты прав организации.
• Рабочие аккаунты сотрудников и аудит доступов — пока аккаунт используется и далее в течение срока, необходимого для безопасности, расследования инцидентов и подтверждения полномочий/действий.
• Публичные мероприятия и карточки сотрудников — до удаления организацией, истечения цели публикации либо получения обоснованного требования субъекта.
• Обращения через MAX — до завершения работы с обращением и далее в течение разумного срока для подтверждения исполнения; ориентировочно до 3 лет, если иной срок не установлен организацией или законом.
• Сессии — до 7 суток или до выхода/принудительного завершения сессии.
• Технические журналы безопасности и диагностики — минимально необходимый срок, как правило не более 12 месяцев, если более длительное хранение не требуется для расследования инцидента.

Файлы, которые пользователь загружает только для разового формирования документа и которые не сохраняются в отдельном модуле Сервиса, обрабатываются в памяти/временном контексте запроса и не предназначены для постоянного хранения.

При достижении цели обработки или наступлении иного предусмотренного законом основания данные подлежат удалению или уничтожению в порядке, установленном внутренними документами оператора и/или поручением соответствующей УО/ТСЖ/ТСН.

9. Права субъекта персональных данных

Субъект вправе получать сведения об обработке своих ПДн, требовать уточнения, блокирования или уничтожения данных при наличии оснований, отзывать согласие, если обработка основана на согласии, а также обжаловать действия оператора в Роскомнадзор или суд.

Как направить запрос

• Направьте запрос на support@dom-vld.ru либо по юридическому адресу из раздела 1.
• Если данные внесены вашей УО/ТСЖ/ТСН, запрос также можно направить непосредственно этой организации.
• Для защиты данных может потребоваться подтверждение личности или полномочий представителя: например, ФИО, лицевой счёт, адрес/помещение или доверенность.

10. Как мы защищаем данные

• Шифрование части идентифицирующих полей. В базе данных логины, ФИО, адреса, помещения и часть данных лицевых счетов/счётчиков шифруются на уровне приложения с использованием AES‑256‑GCM; для поиска применяются HMAC‑индексы.
• Пароли. Пароли не сохраняются в открытом виде; используются стойкие хеши bcrypt.
• Разграничение доступа. Для рабочих аккаунтов используются роли и отдельные разрешения по модулям, а изменения доступов журналируются.
• Сессии и формы. Сессии хранятся на серверной стороне в PostgreSQL; используются HttpOnly/SameSite cookies, CSRF‑защита и ограничение частоты чувствительных запросов.
• Защита браузера. Применяется Content‑Security‑Policy, ограничение источников ресурсов и Referrer‑Policy: no-referrer.
• Файлы. Для загружаемых файлов действуют ограничения размера и формата; чувствительные вложения из S3 выдаются через ограниченные по времени подписанные ссылки.
• Диагностика и аудит. Используются идентификаторы запросов, журналы операций и техническое логирование для обнаружения ошибок, злоупотреблений и несанкционированных действий.
• HTTPS и инфраструктурные меры. Передача данных между браузером и сайтом защищается TLS/HTTPS; применяются меры защиты серверов и базы данных, резервное копирование и контроль доступа.

Ни один способ хранения и передачи данных не обеспечивает абсолютной безопасности, поэтому меры защиты регулярно пересматриваются с учётом изменения Сервиса и рисков.

11. Специальные категории данных и несовершеннолетние

Сервис не запрашивает специальные категории персональных данных и биометрические данные как обязательный элемент стандартного функционала. Организациям не следует загружать такие сведения без отдельного законного основания и необходимости.

Сервис рассчитан преимущественно на совершеннолетних пользователей и представителей организаций. Если в мероприятиях, обращениях или иных материалах присутствуют изображения/данные несовершеннолетних, организация, размещающая такие материалы, должна обеспечить наличие необходимого правового основания, включая согласие законного представителя, когда оно требуется.

12. Изменения политики

Политика пересматривается при изменении законодательства, состава обрабатываемых данных, целей обработки, используемой инфраструктуры или функциональности Сервиса. Актуальная версия всегда размещается на странице dom-vld.ru/privacy.

При существенных изменениях ООО «Авангард» может разместить дополнительное уведомление на сайте или в рабочем интерфейсе.