1. Общие положения
1.1. Настоящая Политика конфиденциальности (далее — «Политика») разработана в соответствии с Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных» и определяет порядок обработки персональных данных пользователей сайта bazi.cards (далее — «Сайт») и меры по обеспечению их безопасности, предпринимаемые Оператором.
1.2. Оператор ставит своей важнейшей целью соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиту прав на неприкосновенность частной жизни, личную и семейную тайну.
1.3. Использование Сайта означает ознакомление пользователя с настоящей Политикой и условиями обработки его персональных данных. В случаях, когда обработка персональных данных допускается только с согласия субъекта, такое согласие оформляется отдельным документом — Согласием на обработку персональных данных (bazi.cards/legal/consent) — и предоставляется субъектом самостоятельно проставлением соответствующей отметки. Если пользователь не согласен с настоящей Политикой, ему следует воздержаться от использования Сайта.
2. Какие данные мы собираем
2.1. Вход в Личный кабинет на Сайте осуществляется одним из трёх способов: по адресу электронной почты и паролю, через Яндекс ID или через VK ID. Иных способов входа в Личный кабинет Сайт не предусматривает. Telegram-бот используется как отдельный, самостоятельно подключаемый пользователем канал для получения сообщений и доставки результатов и не является способом входа в Личный кабинет.
2.2. Оператор обрабатывает следующие категории персональных данных:
| Категория | Конкретные данные |
|---|---|
| Идентификационные и учётные | Имя или псевдоним; адрес электронной почты; идентификатор аккаунта; идентификаторы Яндекс ID и VK ID и полученные от этих сервисов имя и адрес электронной почты; хэш пароля при регистрации по электронной почте (исходный пароль не сохраняется); дата и время регистрации |
| Данные Telegram-бота (при подключении бота пользователем) | Идентификатор Telegram, имя пользователя и имя в Telegram |
| Данные о рождении (для генерации Отчёта) | Дата, время и место рождения, пол, координаты места рождения и часовой пояс; при добавлении карт других лиц (совместимость, члены семьи) — аналогичные данные, предоставленные пользователем в отношении этих лиц |
| Данные использования сервиса | Сохранённые карты и расчёты, результаты совместимости, история запросов к Оракулу, пользовательские вопросы и содержание обращений в поддержку |
| Платёжные | Идентификаторы заказа, платёжного намерения и транзакции; сумма, валюта, статус и способ оплаты; наименование товара (без хранения реквизитов банковских карт — они обрабатываются исключительно платёжным сервисом) |
| Технические | IP-адрес, идентификаторы cookies и сеанса, сведения о браузере, устройстве и операционной системе, страна по IP-адресу, адреса посещённых страниц, источник перехода, статус согласия на аналитические cookies |
| Статистика посещаемости (собственная веб-аналитика, пункт 9.6) | Адрес открытой страницы; домен сайта, с которого выполнен переход, метки рекламной кампании (UTM) и тип метки перехода без её значения; тип устройства, операционная система и браузер; приблизительный размер экрана; язык браузера; страна, город и сеть провайдера, определённые по IP-адресу (сам IP-адрес не сохраняется); время на странице и глубина прокрутки; нажатия на основные кнопки Сайта (без координат курсора и без содержимого полей форм); признаки автоматизированного трафика; после согласия на аналитические cookies — суточный хэш визита (пункт 9.6) |
| Cookies | Необходимые технические и аналитические cookies для работы Сайта и Личного кабинета (раздел 9) |
3. Цели обработки персональных данных
3.1. Оператор обрабатывает персональные данные субъекта в следующих целях:
- регистрация и ведение Личного кабинета, вход по адресу электронной почты и паролю, через Яндекс ID или VK ID;
- оказание информационно-консультационных услуг по расчётам Ба Цзы, генерация и предоставление аналитических Отчётов на основе данных о рождении пользователя (раздел 3 Публичной оферты);
- выполнение договорных обязательств (заключение, исполнение, расторжение договора);
- приём и подтверждение оплаты, формирование кассовых чеков;
- формирование и доставка результатов, ссылок и технических уведомлений — по электронной почте и, по желанию пользователя, через Telegram-бот;
- генерация персонализированных текстов Отчётов и ответов Оракула с использованием сервиса OpenAI;
- подбор и уточнение населённого пункта места рождения для расчёта координат и часового пояса;
- рассмотрение обращений, вопросов и претензий пользователей;
- обеспечение безопасности Сайта (защита от ботов, мошенничества, брутфорса);
- исполнение требований законодательства Российской Федерации (налоговая и финансовая отчётность, ответы на запросы государственных органов);
- сбор статистики посещаемости Сайта собственной системой веб-аналитики Оператора с обязательным обезличиванием данных — для оценки работы страниц, источников переходов и исправления ошибок (пункт 9.6);
- анализ посещаемости и удобства Сайта посредством Яндекс Метрики с функцией Вебвизор — только с согласия пользователя на аналитические cookies (раздел 9).
4. Правовые основания обработки
4.1. Обработка персональных данных осуществляется на следующих правовых основаниях:
- Исполнение договора (пункт 5 части 1 статьи 6 Закона № 152-ФЗ) — Публичная оферта;
- Согласие субъекта (пункт 1 части 1 статьи 6 Закона № 152-ФЗ) — в случаях, когда обработка не охватывается исполнением договора или иным законным основанием; оформляется отдельным документом — Согласием на обработку персональных данных (/legal/consent) в соответствии с частью 1 статьи 9 Закона № 152-ФЗ; отметка о согласии проставляется при регистрации, при входе через Яндекс ID или VK ID либо при оформлении заказа; для аналитических cookies (Яндекс Метрика с Вебвизором) согласие выражается отдельно нажатием кнопки «Принять все» в уведомлении о cookies (раздел 9);
- Исполнение обязанности, возложенной законом (пункт 2 части 1 статьи 6 Закона № 152-ФЗ) — налоговая отчётность, выдача кассовых чеков, ответы на обращения субъектов и запросы государственных органов.
- Статистические цели при условии обязательного обезличивания (пункт 9 части 1 статьи 6 Закона № 152-ФЗ) — для сбора статистики посещаемости собственной системой веб-аналитики Оператора (пункт 9.6); объединение просмотров страниц в визит в пределах суток выполняется только с согласия пользователя на аналитические cookies (раздел 9).
5. Способы и сроки обработки
5.1. Обработка персональных данных осуществляется как с использованием средств автоматизации, так и без использования таковых (смешанная обработка), и включает в себя сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение. Передача персональных данных по внутренней сети Оператора и по сети Интернет осуществляется по защищённым каналам.
5.2. Сроки хранения персональных данных:
- идентификационные и учётные данные — в течение всего срока действия учётной записи и 3 (три) года после её удаления (для разрешения возможных споров);
- данные о рождении и сгенерированные Отчёты — в течение всего срока действия учётной записи; после удаления учётной записи Отчёты обезличиваются (отвязываются от идентификатора пользователя);
- платёжные данные и сведения о кассовых чеках — 5 (пять) лет с момента совершения операции в соответствии с требованиями законодательства Российской Федерации о бухгалтерском учёте;
- технические данные (IP-адрес, сведения о браузере и устройстве, метки времени) — до 12 (двенадцати) месяцев для целей безопасности;
- данные собственной веб-аналитики (пункт 9.6) — не более 90 (девяноста) дней с момента сбора; сводные суточные показатели, не относящиеся к конкретному посетителю, — до 800 (восьмисот) дней;
- обращения в службу поддержки — 3 (три) года с момента последнего обращения.
5.3. Обработка персональных данных прекращается по достижении целей обработки, по истечении сроков хранения, предусмотренных законом или договором, либо при прекращении деятельности Оператора. При отзыве субъектом согласия обработка, основанная на этом согласии, прекращается при отсутствии иных законных оснований для её продолжения; данные, подлежащие обязательному хранению в силу закона, сохраняются в течение установленного срока, после чего подлежат удалению или обезличиванию.
6. Получатели персональных данных и трансграничная передача
6.1. Оператор передаёт персональные данные третьим лицам исключительно в целях, указанных в разделе 3, и в минимально необходимом для соответствующей операции объёме:
| Получатель | Назначение | Передаваемые данные |
|---|---|---|
| ЮKassa (НКО «ЮМани» (ООО), Российская Федерация) | Приём и подтверждение оплаты, формирование кассовых чеков | Идентификатор заказа, наименование товара, сумма, адрес электронной почты покупателя для направления чека; реквизиты банковских карт вводятся на стороне ЮKassa и Оператором не обрабатываются |
| ООО «Яндекс» | Вход через Яндекс ID; аналитика Сайта посредством Яндекс Метрики с функцией Вебвизор — только с согласия на аналитические cookies | Идентификатор и данные профиля Яндекс ID; псевдонимизированные данные Метрики (раздел 9) |
| Yandex Cloud (ООО «Яндекс.Облако») | Отправка писем пользователям через сервис Postbox | Адрес электронной почты, имя или псевдоним, тема и текст сообщения |
| ООО «ВК» | Вход через VK ID | Идентификатор и данные профиля VK ID |
| ООО «Бегет» | Размещение основной базы данных на территории Российской Федерации | Все персональные данные, обрабатываемые Оператором, — в объёме, необходимом для хранения и работы базы данных |
Помимо получателей, указанных в настоящем пункте, персональные данные могут предоставляться государственным органам Российской Федерации по мотивированному запросу, направленному в порядке, установленном законодательством Российской Федерации.
6.2. Место обработки и локализация персональных данных. Первичная запись, систематизация, накопление, хранение и уточнение (обновление, изменение) персональных данных граждан Российской Федерации осуществляются с использованием базы данных, находящейся на территории Российской Федерации, в городе Москве, как того требует часть 5 статьи 18 Федерального закона № 152-ФЗ. После первичной записи в базу данных на территории Российской Федерации осуществляется трансграничная передача персональных данных в порядке, указанном в пункте 6.3.
6.3. Трансграничная передача персональных данных. Оператор осуществляет трансграничную передачу персональных данных следующим получателям:
| Государство | Получатель | Назначение передачи |
|---|---|---|
| Королевство Нидерландов | SIA «Podaon» (сервис ZOMRO), Латвия | Работа выделенного сервера приложения, размещённого в Нидерландах, и хранение резервных копий |
| Соединённые Штаты Америки | OpenAI OpCo, LLC | Генерация персонализированных текстов Отчётов и ответов Оракула по рассчитанным показателям карты; адрес электронной почты, телефон, платёжные данные и внутренний идентификатор аккаунта пользователя в передаваемые сведения не включаются |
| Британские Виргинские Острова; Объединённые Арабские Эмираты | Telegram (Telegram Group Inc. и Telegraph Inc. (Британские Виргинские Острова); Telegram FZ-LLC (Дубай, ОАЭ)) | Работа Telegram-бота как отдельного канала сообщений и доставки результатов, подключаемого пользователем по собственному желанию |
| Федеративная Республика Германия | komoot GmbH (сервис Photon) | Резервный поиск населённого пункта места рождения, если он не найден в локальной базе данных; передаётся только строка поиска, без имени, адреса электронной почты, даты рождения и идентификатора аккаунта |
| Соединённое Королевство Великобритании и Северной Ирландии | OpenStreetMap Foundation (сервис Nominatim) | Тот же резервный поиск населённого пункта места рождения на тех же условиях |
6.4. Королевство Нидерландов, Федеративная Республика Германия и Соединённое Королевство Великобритании и Северной Ирландии относятся к государствам, обеспечивающим адекватную защиту прав субъектов персональных данных. Соединённые Штаты Америки, Британские Виргинские Острова и Объединённые Арабские Эмираты к таким государствам не относятся; трансграничная передача персональных данных в эти государства осуществляется на основании исполнения договора с субъектом персональных данных и/или его согласия, оформленного отдельным документом (/legal/consent), в соответствии со статьёй 12 Федерального закона № 152-ФЗ.
6.5. Оператор не передаёт персональные данные субъектов третьим лицам в коммерческих целях (рекламные базы, спам-рассылки и т.п.), помимо получателей, перечисленных в настоящем разделе.
6.6. Защита каналов связи. Передача персональных данных между узлами инфраструктуры Оператора и получателями, указанными в настоящем разделе, осуществляется по каналам, защищённым протоколом TLS/HTTPS с проверкой подлинности сервера. Резервные копии хранятся в зашифрованном виде.
7. Меры по защите персональных данных
7.1. В отношении обрабатываемых персональных данных установлен четвёртый уровень защищённости (УЗ-4) в соответствии с постановлением Правительства Российской Федерации от 01.11.2012 № 1119.
7.2. Оператор принимает следующие технические и организационные меры для защиты персональных данных от неправомерного доступа, изменения, копирования, распространения или уничтожения:
- шифрование канала передачи данных по протоколу HTTPS (TLS 1.2 и выше);
- хранение паролей в виде хешей, полученных алгоритмом PBKDF2-HMAC SHA-256 (260 000 итераций, индивидуальная соль для каждого пароля); исходный пароль не сохраняется;
- административный доступ к серверам по протоколу SSH с аутентификацией по ключам; парольный и интерактивный вход отключены;
- межсетевое экранирование и блокирование неуспешных попыток входа;
- требование защищённого транспорта для соединений с базой данных;
- защита от автоматизированных атак (математическая капча, ограничение частоты запросов, ловушки для ботов);
- ограничение доступа к серверной инфраструктуре и резервным копиям по принципу минимально необходимых прав;
- журналирование действий с персональными данными и веб-запросов;
- регулярное обновление серверного программного обеспечения;
- раздельное хранение идентификационных и финансовых данных;
- резервное копирование базы данных с хранением резервных копий в зашифрованном виде;
- назначение лица, ответственного за организацию обработки персональных данных, и определение порядка обращения с персональными данными.
8. Права субъекта персональных данных
8.1. В соответствии со статьями 14, 20 и 21 Закона № 152-ФЗ субъект персональных данных имеет право:
- получать информацию о наличии у Оператора своих персональных данных, а также об обработке таких данных;
- требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
- отозвать своё согласие на обработку персональных данных в любое время;
- требовать от Оператора прекращения обработки своих персональных данных;
- обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке;
- на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда.
8.2. Для реализации указанных прав субъект направляет письменный запрос на адрес support@bazi.cards с указанием:
- фамилии, имени, отчества (при наличии);
- сведений, удостоверяющих личность субъекта или его представителя;
- сведений, подтверждающих наличие отношений с Оператором (адрес электронной почты, идентификатор аккаунта);
- подписи (электронной подписи или скана собственноручной).
8.3. Срок рассмотрения обращения субъекта — не более 10 (десяти) рабочих дней со дня его получения. Указанный срок может быть продлён Оператором не более чем на 5 (пять) рабочих дней, о чём субъекту направляется соответствующее уведомление с указанием причин продления.
9. Использование cookies
9.1. Сайт использует cookies — небольшие текстовые файлы, сохраняемые в браузере пользователя. Cookies используются для:
- Технических целей — поддержания сессии пользователя в Личном кабинете, хранения языковых настроек, тёмной темы и т.п.;
- Безопасности — защиты от CSRF-атак, обнаружения подозрительных действий;
- Аналитики — работы сервиса Яндекс Метрика с функцией «Вебвизор», только с согласия пользователя (пункт 9.2).
9.2. Технические cookies и cookies безопасности необходимы для работы Сайта и устанавливаются без отдельного согласия. Счётчик Яндекс Метрики и аналитические cookies подключаются только после того, как пользователь нажмёт «Принять все» в уведомлении о cookies, которое показывается при первом посещении Сайта. При выборе «Только необходимые» счётчик не загружается.
9.3. Функция «Вебвизор» Яндекс Метрики записывает действия пользователя на страницах Сайта: перемещения курсора, клики, прокрутку и заполнение полей форм. Содержимое полей паролей и полей, которые Метрика определяет как конфиденциальные, в запись не попадает; данные банковских карт вводятся на стороне платёжного сервиса и в запись также не попадают. Данные, которые получает Яндекс Метрика, являются псевдонимизированными: они связаны со случайным идентификатором браузера в cookies (_ym_uid, _ym_d и другие cookies с префиксом _ym) и IP-адресом, но не содержат имени, адреса электронной почты и платёжных данных пользователя. Эти данные обрабатывает ООО «Яндекс» в соответствии с условиями использования сервиса Яндекс Метрика.
9.4. Пользователь может в любой момент изменить или отозвать согласие на аналитические cookies кнопкой «Настройки cookie» ниже; после отзыва согласия счётчик на Сайте не загружается. Отказаться от сбора данных Яндекс Метрикой на всех сайтах можно также с помощью браузерного расширения «Блокировщик Яндекс Метрики»: yandex.ru/support/metrica/general/opt-out.html.
9.5. Пользователь может в любой момент отключить cookies в настройках своего браузера. Отключение технических и сессионных cookies может привести к невозможности работы Личного кабинета.
9.6. Собственная веб-аналитика. Помимо Яндекс Метрики Оператор ведёт статистику посещаемости собственной системой, которая не использует cookies, ничего не записывает в хранилище браузера и не передаёт данные третьим лицам. При открытии страницы учитываются: адрес страницы; домен сайта, с которого выполнен переход, метки рекламной кампании (UTM) и тип метки перехода без её значения; тип устройства, операционная система и браузер; приблизительный размер экрана; язык браузера; страна, город и сеть провайдера, определённые по IP-адресу; время на странице и глубина прокрутки; нажатия на основные кнопки Сайта — без координат курсора и без содержимого полей форм. IP-адрес используется только в момент приёма данных и не сохраняется.
9.7. До нажатия «Принять все» данные собственной аналитики записываются обезличенно — без какого-либо идентификатора, позволяющего отличить одного посетителя от другого. После нажатия «Принять все» просмотры страниц в пределах одних суток объединяются в визит по одностороннему хэшу IP-адреса и сведений о браузере. Хэш вычисляется с соль-ключом, который меняется каждые сутки и после смены суток не сохраняется, поэтому восстановить по хэшу IP-адрес или связать между собой визиты разных дней невозможно. При отзыве согласия кнопкой «Настройки cookie» визиты перестают объединяться.
9.8. Данные собственной аналитики записываются в базу данных на сервере Оператора, расположенном в Российской Федерации, хранятся не более 90 дней и не связываются с учётной записью, адресом электронной почты или платёжными данными пользователя.
10. Обработка данных детей
10.1. Сайт не предназначен для использования лицами, не достигшими 18 лет. Оператор не осуществляет сознательный сбор данных у несовершеннолетних.
10.2. В случае если законный представитель несовершеннолетнего самостоятельно создаёт натальную карту для своего ребёнка, ответственность за достоверность и правомерность предоставления таких данных несёт законный представитель.
11. Изменение Политики
11.1. Оператор имеет право вносить изменения в настоящую Политику с публикацией обновлённой редакции на Сайте. Существенные изменения, влияющие на права субъектов, дополнительно публикуются в Личных кабинетах пользователей не менее чем за 14 дней до вступления в силу.
11.2. Настоящая редакция действует с 29 сентября 2026 года; редакция от 26 сентября 2026 года утрачивает силу. Продолжение использования Сайта после публикации обновлённой Политики означает ознакомление с её новой редакцией.