Политика обработки персональных данных

Редакция от 2 октября 2026 года

1. Общие положения

Настоящая Политика определяет порядок и условия обработки персональных данных пользователей сервиса GoInFlow (goinflow.ru, далее — Сервис) и меры по их защите. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и опубликована для неограниченного доступа.

Оператор персональных данных — (далее — Оператор). Контакт по вопросам персональных данных: privacy@goinflow.ru.

2. Основные понятия

Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу. Обработка — любое действие с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение. Пользователь (субъект персональных данных) — физическое лицо, зарегистрировавшееся в Сервисе.

3. Правовые основания обработки

Оператор обрабатывает персональные данные на основании согласия пользователя (п. 1 ч. 1 ст. 6 Закона), для исполнения пользовательского соглашения, стороной которого является пользователь (п. 5 ч. 1 ст. 6 Закона), а также для выполнения обязанностей, возложенных на Оператора законодательством Российской Федерации.

4. Цели обработки и состав данных

Оператор обрабатывает только данные, необходимые для указанных ниже целей, и не допускает обработку, несовместимую с ними.

Регистрация и доступ к аккаунту

Имя, адрес электронной почты, хеш пароля, сведения об активных сессиях и устройствах, IP-адрес в хешированном виде. При включении входа по отпечатку или Face ID — только открытый ключ и идентификатор ключа устройства: биометрический образец остаётся на устройстве и Оператору не передаётся, биометрические персональные данные не обрабатываются. При подключении второго фактора — ключ проверки одноразовых кодов и хеши резервных кодов.

Финансовый учёт и работа помощника

Сведения о счетах, категориях, операциях, бюджетах, целях, регулярных платежах и долгах, введённые пользователем; переписка с финансовым помощником; настройки. Фотографии чеков распознаются в браузере и Оператору не передаются — сохраняется только подтверждённая пользователем сумма.

Безопасность Сервиса

Журналы событий безопасности, сведения о попытках входа, хешированные IP-адреса.

Уведомления

Адрес электронной почты для служебных писем (восстановление доступа, подтверждение адреса, сообщения о безопасности); адрес push-подписки браузера — только после отдельного разрешения пользователя.

Категория субъектов — пользователи Сервиса. Специальные категории персональных данных (ст. 10 Закона) и биометрические персональные данные (ст. 11 Закона) не обрабатываются.

5. Порядок и условия обработки

Обработка ведётся с использованием средств автоматизации с передачей по сети Интернет. Оператор не распространяет персональные данные и не продаёт их.

Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона). Трансграничная передача персональных данных Оператором не осуществляется.

Оператор вправе поручить обработку персональных данных другому лицу с согласия пользователя на основании договора (ч. 3 ст. 6 Закона). Такой обработчик — ООО «Спринтхост.ру» — обеспечивает размещение и хранение данных и обязан соблюдать конфиденциальность и требования Закона. Персональные данные предоставляются государственным органам только в случаях, предусмотренных законом.

При включении push-уведомлений текст уведомления доставляется через службу уведомлений производителя браузера или операционной системы в зашифрованном виде; содержание уведомлений не включает суммы и названия операций.

Персональные данные хранятся не дольше, чем этого требуют цели обработки: в течение срока существования аккаунта. После удаления аккаунта, отзыва согласия или достижения целей обработки данные уничтожаются в срок, не превышающий 30 дней (ч. 4–5 ст. 21 Закона), если иной срок не установлен законом.

6. Cookie и данные на устройстве

Сервис использует только необходимые cookie: для входа в аккаунт и поддержания сессии, защиты от подделки запросов и сохранения выбранной темы оформления. Рекламные и аналитические cookie, а также сторонние системы веб-аналитики не используются, поэтому отдельного согласия на cookie не запрашивается.

В хранилище браузера сохраняются настройки отображения, черновики форм, операции, добавленные без подключения к интернету, и служебный кеш установленного приложения. Эти данные не покидают устройство до синхронизации и удаляются при очистке данных браузера или удалении приложения.

7. Права пользователя

Пользователь вправе: получать сведения об обработке своих персональных данных; требовать их уточнения, блокирования или уничтожения, если они неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели; отозвать согласие на обработку; обжаловать действия Оператора в Роскомнадзор или в суд (ст. 14, 17 Закона).

Большую часть прав можно реализовать в самом Сервисе: просмотреть и исправить данные, выгрузить архив, очистить финансовые данные в разделе «Настройки» → «Данные аккаунта». Запросы направляются на privacy@goinflow.ru с адреса, указанного в аккаунте. Оператор отвечает в течение 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления (ст. 14 и 20 Закона).

8. Меры защиты

Оператор принимает правовые, организационные и технические меры по ст. 18.1 и 19 Закона: назначает ответственного за организацию обработки, разграничивает доступ, хеширует пароли, шифрует чувствительные поля в базе данных, использует защищённые cookie и соединение HTTPS, ведёт журнал событий безопасности, ограничивает число попыток входа, выполняет резервное копирование. Административный доступ защищён отдельным паролем и показывает только обезличенные сводные показатели.

О неправомерной или случайной передаче персональных данных, повлёкшей нарушение прав пользователей, Оператор уведомляет Роскомнадзор в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21 Закона).

9. Заключительные положения

Политика действует бессрочно до замены новой редакцией. Актуальная редакция всегда доступна на этой странице. О существенных изменениях Оператор уведомляет пользователей в Сервисе.