Редакция 1 от 18.09.2026

ПОЛИТИКА
в отношении обработки персональных данных
при использовании сайта strelka.rest и сервиса «Стрелка»

Общество с ограниченной ответственностью «Проектное бюро Медпроект»

Утверждена приказом директора от 18.09.2026 № ___. Редакция 1. Вступает в силу с 18.09.2026.

1. Общие положения

1.1. Настоящая Политика определяет порядок и условия обработки персональных данных Обществом с ограниченной ответственностью «Проектное бюро Медпроект» при использовании сайта strelka.rest и сервиса «Стрелка», а также меры по защите персональных данных. Политика разработана во исполнение пункта 2 части 1 и части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) в целях защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе права на неприкосновенность частной жизни, личную и семейную тайну.

1.2. Политика применяется ко всем персональным данным, которые Оператор получает через Сайт и Сервис, при заключении и исполнении договоров о предоставлении права использования Сервиса, а также к персональным данным, которые Оператор обрабатывает по поручению Клиентов (раздел 5). Обработка персональных данных работников Оператора и иных лиц вне связи с Сайтом и Сервисом регулируется Положением об обработке персональных данных Оператора.

1.3. Сведения об Операторе:

• полное наименование: Общество с ограниченной ответственностью «Проектное бюро Медпроект» (сокращённое — ООО «ПБ Медпроект»);

• ОГРН 1252300017782, ИНН 2310240126, КПП 230801001;

• адрес места нахождения и почтовый адрес: 350002, Краснодарский край, г. Краснодар, ул. Северная, д. 405;

• адрес электронной почты для обращений по вопросам персональных данных: pd@strelka.rest.

1.4. В Политике используются следующие понятия:

• Сайт — совокупность веб-страниц, размещённых в сети Интернет по адресу https://strelka.rest;

• Сервис — программа для ЭВМ «Стрелка» (управленческая система предприятия общественного питания), доступ к которой предоставляется через сеть Интернет по адресу https://app.strelka.rest, включая страницу входа https://auth.strelka.rest;

• Клиент — юридическое лицо или индивидуальный предприниматель, заключивший с Оператором договор о предоставлении права использования Сервиса, в том числе путём акцепта счёта-оферты;

• Пользователь — физическое лицо, которому по решению Клиента предоставлен доступ к Сервису;

• Посетитель — физическое лицо, использующее Сайт;

• Заявитель — лицо, направившее Оператору заявку через форму на Сайте или при личном общении с представителем Оператора;

• Обработчик — лицо, осуществляющее обработку персональных данных по поручению Оператора.

Понятия «персональные данные», «обработка», «автоматизированная обработка», «распространение», «предоставление», «блокирование», «уничтожение», «обезличивание», «информационная система персональных данных» и «трансграничная передача» используются в значениях, установленных статьёй 3 Закона.

2. Принципы обработки персональных данных

2.1. Оператор обрабатывает персональные данные на законной и справедливой основе и соблюдает следующие принципы:

• обработка ограничивается достижением конкретных, заранее определённых и законных целей; обработка, несовместимая с целями сбора, не допускается;

• не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в несовместимых между собой целях;

• обрабатываются только те персональные данные, которые отвечают целям обработки; их содержание и объём соответствуют заявленным целям и не являются избыточными;

• обеспечиваются точность, достаточность и актуальность персональных данных по отношению к целям обработки;

• персональные данные хранятся в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, и уничтожаются либо обезличиваются по достижении целей или при утрате необходимости в их достижении, если иное не предусмотрено федеральным законом.

3. Правовые основания обработки

3.1. Оператор обрабатывает персональные данные при наличии хотя бы одного из следующих оснований:

• согласие субъекта персональных данных (пункт 1 части 1 статьи 6 Закона), оформленное отдельно от иных информации и документов (часть 1 статьи 9 Закона);

• необходимость заключения по инициативе субъекта или исполнения договора, стороной которого является субъект (пункт 5 части 1 статьи 6 Закона);

• необходимость выполнения обязанностей, возложенных на Оператора законодательством Российской Федерации, в том числе Гражданским кодексом Российской Федерации, Налоговым кодексом Российской Федерации, Федеральным законом от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте» (пункт 2 части 1 статьи 6 Закона);

• необходимость осуществления прав и законных интересов Оператора или третьих лиц, в том числе Клиентов, при условии, что при этом не нарушаются права и свободы субъекта (пункт 7 части 1 статьи 6 Закона);

• поручение Клиента, являющегося оператором, — в отношении персональных данных, обрабатываемых по такому поручению (часть 3 статьи 6 Закона).

3.2. Документами, во исполнение которых Оператор обрабатывает персональные данные, являются также устав Оператора, договоры с Клиентами и иными контрагентами, согласия субъектов на обработку персональных данных.

4. Цели обработки, состав данных, субъекты и сроки

4.1. Для каждой цели обработки Оператор определил категории субъектов, перечень персональных данных, правовые основания, перечень действий, способы и сроки обработки, а также порядок уничтожения.

4.2. Цель 1. Рассмотрение заявок и проведение демонстраций Сервиса

4.3. Цель 2. Заключение и исполнение договоров с Клиентами

4.4. Цель 3. Обеспечение работы и безопасности Сайта и Сервиса

4.5. Цель 4. Размещение отзывов клиентов на Сайте

4.6. Оператор не обрабатывает специальные категории персональных данных (сведения о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни, судимости) и биометрические персональные данные.

4.7. Сайт и Сервис не предназначены для лиц младше 18 лет. Оператор сознательно не собирает их персональные данные.

5. Обработка персональных данных по поручению Клиентов

5.1. Клиент подключает к Сервису свою учётную систему (например, iiko), программу лояльности и иные источники данных, а также определяет, каким Пользователям предоставить доступ. В отношении персональных данных, содержащихся в этих источниках и в учётных записях Пользователей, оператором является Клиент. Оператор обрабатывает такие данные по поручению Клиента, данному в договоре о предоставлении права использования Сервиса (часть 3 статьи 6 Закона), и только в целях исполнения этого договора.

5.2. По поручению Клиента обрабатываются:

• Пользователи: адрес электронной почты, имя (в том виде, в котором его указал Клиент), роль в Сервисе, заведения, к которым предоставлен доступ, сведения о действиях в Сервисе, в том числе задачи, решения и протоколы встреч, в которых Пользователь указан исполнителем или участником;

• работники Клиента: фамилия и имя в том виде, в котором они ведутся в учётной системе Клиента, должность или роль, сведения о сменах, показатели работы, связанные с работником (выручка, число заказов, возвраты, скидки), упоминания в задачах и протоколах встреч;

• гости Клиента — участники программы лояльности: номер карты лояльности и номер телефона в преобразованном (хешированном) виде, возрастная группа, расчётная оценка пола, история покупок и посещений, применённые скидки и бонусы. Фамилия, имя, отчество, номер телефона и дата рождения из выгрузки программы лояльности используются только для такого преобразования и в Сервисе не хранятся;

• авторы публичных отзывов о заведениях Клиента: текст отзыва, оценка, дата, площадка размещения; имя автора — только в преобразованном (хешированном) виде.

5.3. Перечень действий: сбор (получение из источников Клиента), запись, систематизация, накопление, хранение, уточнение, извлечение, использование, обезличивание (преобразование), блокирование, удаление, уничтожение, передача (доступ) Обработчикам, указанным в Приложении 1, в объёме, необходимом для размещения и работы Сервиса.

5.4. При обработке по поручению Оператор:

• соблюдает принципы и правила обработки, предусмотренные Законом, и конфиденциальность персональных данных;

• принимает меры, предусмотренные статьями 18.1 и 19 Закона, и обеспечивает хранение данных в базах данных на территории Российской Федерации (часть 5 статьи 18 Закона);

• не использует данные в собственных целях и не передаёт их третьим лицам, кроме Обработчиков, указанных в Приложении 1;

• по запросу Клиента в течение срока действия поручения предоставляет документы и иную информацию, подтверждающие принятие мер и соблюдение требований Закона;

• уведомляет Клиента о выявленном факте неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных незамедлительно, но не позднее 12 часов с момента выявления, — для исполнения Клиентом обязанности, предусмотренной частью 3.1 статьи 21 Закона;

• по прекращении договора предоставляет Клиенту выгрузку данных в порядке и сроки, установленные договором, после чего уничтожает персональные данные в течение 30 дней, включая резервные копии — по мере их плановой смены.

5.5. Ответственность перед субъектами за обработку их персональных данных по поручению несёт Клиент (часть 5 статьи 6 Закона). Клиент обеспечивает наличие правовых оснований для такой обработки и информирование субъектов. Запросы субъектов в отношении таких данных следует направлять Клиенту. Запрос, поступивший Оператору, Оператор в течение 2 рабочих дней передаёт Клиенту и сообщает об этом субъекту, а затем содействует Клиенту в его исполнении.

6. Файлы cookie и веб-аналитика

6.1. Сайт не использует файлы cookie. Для сохранения меток рекламной кампании (UTM) до отправки заявки используется хранилище сеанса браузера (sessionStorage): данные удаляются при закрытии вкладки и передаются Оператору только вместе с заявкой.

6.2. Сервис использует технические файлы cookie, необходимые для входа и поддержания сеанса Пользователя. Без них вход в Сервис невозможен.

6.3. Сторонние счётчики и рекламные системы (в том числе Яндекс.Метрика) на Сайте и в Сервисе не используются. Для обобщённой статистики Оператор может использовать собственную систему веб-аналитики, размещённую на серверах Оператора в Российской Федерации, которая не использует файлы cookie, не сохраняет IP-адрес и формирует только обобщённые показатели.

6.4. Иные средства сбора данных о посещениях подключаются только после внесения изменений в Политику, а если для них требуется согласие — после получения согласия Посетителя или Пользователя.

7. Условия обработки

7.1. Оператор осуществляет автоматизированную и смешанную обработку персональных данных с передачей по сети Интернет.

7.2. При сборе персональных данных, в том числе через сеть Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона). Серверы Сайта и Сервиса размещены в центре обработки данных в г. Москве.

7.3. Оператор поручает обработку персональных данных другим лицам только при наличии правового основания и на основании договора, содержащего условия, предусмотренные частью 3 статьи 6 Закона. Перечень Обработчиков приведён в Приложении 1.

7.4. Оператор предоставляет персональные данные органам государственной власти и иным уполномоченным органам только в случаях, предусмотренных законодательством Российской Федерации.

7.5. Оператор не осуществляет трансграничную передачу персональных данных. Распространение персональных данных осуществляется только в цели 4 и только на основании согласия, предусмотренного статьёй 10.1 Закона, с соблюдением установленных субъектом условий и запретов.

7.6. Оператор не принимает решений, порождающих юридические последствия для субъекта или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных. Показатели и рекомендации Сервиса носят информационный характер; решения по ним принимает Клиент.

7.7. Лицо, сообщившее Оператору персональные данные другого лица, в том числе через Сайт, гарантирует наличие у него правового основания для такой передачи.

8. Меры по обеспечению безопасности персональных данных

8.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий, в том числе:

• назначает лицо, ответственное за организацию обработки персональных данных;

• издаёт локальные акты по вопросам обработки персональных данных и знакомит с ними лиц, допущенных к обработке;

• определяет угрозы безопасности персональных данных и уровень их защищённости при обработке в информационной системе в соответствии с постановлением Правительства РФ от 01.11.2012 № 1119;

• предоставляет доступ к персональным данным только лицам, которым он необходим для исполнения обязанностей, и разграничивает права доступа по ролям;

• обеспечивает вход в Сервис только по приглашению, без самостоятельной регистрации, с подтверждением через адрес электронной почты;

• передаёт данные по сети Интернет по защищённому протоколу (TLS), ограничивает сетевой доступ к серверам межсетевым экраном, закрывает служебные интерфейсы от доступа из сети Интернет;

• хранит данные каждого Клиента в отдельной базе данных;

• хранит персональные данные гостей и авторов отзывов в преобразованном виде;

• ведёт резервное копирование и журналы событий;

• проводит оценку вреда, который может быть причинён субъектам (приказ Роскомнадзора от 27.10.2022 № 178), и внутренний контроль соответствия обработки требованиям Закона.

8.2. В случае выявления неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов о произошедшем инциденте и в течение 72 часов — о результатах внутреннего расследования (часть 3.1 статьи 21 Закона), а также информирует о компьютерных инцидентах в порядке, предусмотренном частью 12 статьи 19 Закона.

9. Права субъектов и порядок обращения

9.1. Субъект персональных данных вправе:

• получать информацию, касающуюся обработки его персональных данных, в объёме, предусмотренном частью 7 статьи 14 Закона;

• требовать уточнения своих персональных данных, их блокирования или уничтожения, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

• отозвать согласие на обработку персональных данных;

• требовать прекращения обработки персональных данных в случаях, предусмотренных Законом;

• обжаловать действия или бездействие Оператора в Роскомнадзоре или в суде.

9.2. Запрос направляется письмом по адресу: 350002, Краснодарский край, г. Краснодар, ул. Северная, д. 405, либо в форме электронного документа, подписанного электронной подписью, на адрес pd@strelka.rest. Запрос должен содержать (часть 3 статьи 14 Закона): номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи документа и выдавшем его органе; сведения, подтверждающие участие субъекта в отношениях с Оператором (дата заявки, номер договора и т. п.) либо иным образом подтверждающие факт обработки; подпись субъекта или его представителя.

9.3. Оператор отвечает на запрос в течение 10 рабочих дней с даты его получения. Срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления. Неточные персональные данные уточняются в течение 7 рабочих дней с даты представления подтверждающих сведений; на период проверки они блокируются, если это не нарушает права субъекта или третьих лиц.

9.4. Отзыв согласия направляется в свободной форме по адресу pd@strelka.rest или письмом по адресу Оператора с указанием имени и номера телефона, указанных в заявке. После получения отзыва Оператор прекращает обработку и уничтожает персональные данные в течение 30 дней, если иное основание для обработки не предусмотрено Законом.

9.5. Если обработка персональных данных неправомерна и обеспечить её правомерность невозможно, Оператор уничтожает такие данные в течение 10 рабочих дней с даты выявления и уведомляет об этом субъекта.

9.6. Уничтожение персональных данных подтверждается актом и выгрузкой из журнала регистрации событий в информационной системе в соответствии с приказом Роскомнадзора от 28.10.2022 № 179.

9.7. Запросы в отношении персональных данных, которые Оператор обрабатывает по поручению Клиентов, рассматриваются в порядке пункта 5.5 Политики.

10. Заключительные положения

10.1. Политика опубликована в свободном доступе на Сайте по адресу https://strelka.rest/privacy. Ссылка на неё размещается на каждой странице Сайта и Сервиса, на которой собираются персональные данные.

10.2. Политика действует бессрочно до замены новой редакцией. Оператор вправе изменять Политику; новая редакция вступает в силу с даты её размещения на Сайте, если иное не указано в ней. Оператор хранит предыдущие редакции Политики.

10.3. Контроль за исполнением Политики осуществляет лицо, ответственное за организацию обработки персональных данных у Оператора.

Приложение 1. Лица, осуществляющие обработку персональных данных по поручению Оператора

Обработчики обрабатывают персональные данные на основании договоров с Оператором, соблюдают их конфиденциальность и требования статьи 19 Закона. Об изменении перечня Оператор сообщает новой редакцией настоящего Приложения.