Политика обработки персональных данных

Политика в отношении обработки персональных данных

Редакция 2.0 от 03.09.2026 (действует с 03.09.2026; предыдущая редакция 1.0 от 01.09.2026 — архив)

Общество с ограниченной ответственностью «НОВО-НИКОЛАЕВСКАЯ СТАЛЬ»

Постоянный адрес публикации: https://novonikstal.ru/legal/policy/

---

1. Общие положения

1.1. Кто является оператором

Оператор занимается оптовой продажей металлопроката и металлорежущего инструмента с доставкой по России и Казахстану. Далее по тексту — «оператор», «мы», «компания».

1.2. Для чего нужен этот документ

Политика подготовлена и опубликована во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон). Она отвечает на вопросы: какие данные мы собираем, зачем, на каком основании, откуда получаем, сколько храним, кому передаём и как человек может этим управлять.

1.3. На кого и на что распространяется

Политика действует в отношении всех персональных данных, которые оператор обрабатывает: через сайт novonikstal.ru и личный кабинет на нём, через официального чат-бота компании в мессенджере Max, по телефону, электронной почте, в договорах и первичных документах, в кадровом и бухгалтерском учёте.

Каналы компании в мессенджере Max: чат-бот @se13314696_bot («НОВО-НИКОЛАЕВСКАЯ СТАЛЬ БОТ», https://max.ru/se13314696_bot) и канал @se13314696_biz (https://max.ru/se13314696_biz). Они созданы через верифицированный на платформе Max профиль генерального директора компании (адреса вида se…_bot / se…_biz платформа присваивает таким профилям); генеральный директор действует от имени ООО «ННС» как его единоличный исполнительный орган, доступ к боту и его токену имеет только он, а все данные, поступающие через бота, записываются на сервер ООО «ННС» в Российской Федерации. Оператором персональных данных является ООО «ННС». После верификации на платформе профиля организации адреса бота и канала изменятся — мы сообщим об этом в кабинете и новой редакцией Политики. Кнопка «Max» на страницах сайта открывает диалог с аккаунтом генерального директора в Max (ссылка вида max.ru/u/…); обращения из него обрабатываются по цели А и переносятся в базу на российском сервере. Другие боты и аккаунты, использующие наше название, к компании отношения не имеют — сообщите нам о них.

1.4. Где опубликована и как меняется

Действующая редакция всегда доступна по адресу https://novonikstal.ru/legal/policy/ без регистрации, бесплатно, в один переход по ссылке «Персональные данные» в подвале каждой страницы сайта. Предыдущие редакции сохраняются по постоянным адресам вида /legal/policy/v1-0/. Новая редакция вступает в силу с даты публикации; о существенных изменениях пользователи личного кабинета уведомляются в кабинете.

1.5. Обязательность

Положения Политики обязательны для генерального директора и всех лиц, которые получат доступ к персональным данным (работники, привлекаемые лица). Они знакомятся с Политикой до начала работы с данными.

---

2. Основные термины

• Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.
• Субъект персональных данных — человек, к которому относятся данные: посетитель сайта, пользователь личного кабинета, представитель компании-клиента, работник.
• Оператор — ООО «НОВО-НИКОЛАЕВСКАЯ СТАЛЬ».
• Обработка — любое действие с данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.
• Личный кабинет (кабинет) — закрытый раздел сайта novonikstal.ru/account/, в котором пользователь ведёт заявки, данные своей организации и настройки уведомлений.
• Мессенджер Max — российский мессенджер (оператор — ООО «МАКС», ИНН 9714058267, группа VK), через который подтверждается принадлежность номера телефона при входе в кабинет.
• Обработчик по поручению — лицо, которое обрабатывает данные по поручению оператора (часть 3 статьи 6 Закона).
• Трансграничная передача — передача данных на территорию иностранного государства иностранному лицу. Оператор её не осуществляет.

---

3. Правовые основания и принципы

3.1. Основания (статья 6 Закона)

3.2. Нормативная база

Конституция РФ; Федеральный закон № 152-ФЗ «О персональных данных»; Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (в том числе часть 10 статьи 8 о способах авторизации пользователей); Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе»; Гражданский, Трудовой и Налоговый кодексы РФ; Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»; постановления Правительства РФ от 01.11.2012 № 1119 и от 15.09.2008 № 687; приказы Роскомнадзора от 27.10.2022 № 178 (оценка вреда) и от 28.10.2022 № 179 (уничтожение ПДн); Устав ООО «ННС».

3.3. Принципы (статья 5 Закона)

Обрабатываем данные законно и добросовестно; только для заранее объявленных конкретных целей; не объединяем базы, созданные для несовместимых целей; собираем ровно те данные, которые нужны для цели (перечни в разделе 4 закрытые); следим за точностью данных; храним не дольше, чем требует цель или закон; по достижении цели уничтожаем.

3.4. Чего оператор не делает

• не обрабатывает специальные категории данных (здоровье, убеждения, судимость и т. п.) и биометрические данные; если такие сведения окажутся в тексте обращения — они удаляются;
• не собирает паспортные данные, дату рождения, адрес проживания клиентов;
• не сохраняет из профиля Max описание «о себе», сведения об активности и иные поля, не названные в разделе 4;
• не сохраняет из ЕГРЮЛ фамилии, имена, отчества руководителей и учредителей организаций-клиентов;
• не принимает решения, порождающие юридические последствия для человека, исключительно на основании автоматизированной обработки; не применяет рекомендательные технологии и не строит профили поведения;
• не продаёт и не передаёт данные третьим лицам для их целей;
• не размещает базы данных за пределами Российской Федерации и не осуществляет трансграничную передачу;
• не адресует сайт лицам младше 18 лет и целенаправленно не собирает их данные; обнаруженные данные несовершеннолетних удаляются;
• не использует иностранные сервисы для входа на сайт: единственный способ авторизации в кабинете — по абонентскому номеру оператора подвижной радиотелефонной связи (пункт 1 части 10 статьи 8 Закона № 149-ФЗ); принадлежность номера пользователю подтверждает российский мессенджер Max.

---

4. Цели обработки, категории субъектов, состав данных, сроки

Для каждой цели указано: чьи данные, какие именно (перечень закрытый), откуда, на каком основании, как долго хранятся.

Цель А. Обработка обращений (заявок) и подготовка коммерческих предложений

Что делаем. Принимаем заявки через форму на сайте и из личного кабинета, по телефону, электронной почте и в мессенджере Max; консультируем; рассчитываем стоимость, готовим коммерческое предложение и связываемся с обратившимся.

Чьи данные. Физические лица, направившие обращение, в том числе действующие от имени организаций и индивидуальных предпринимателей.

Какие данные — из формы заявки на сайте и из кабинета. Человек сообщает сам: 1) имя; 2) номер телефона; 3) текст сообщения (сортамент, объём, город доставки); 4) приложенный файл спецификации — по желанию, до 10 МБ; 5) адрес электронной почты, наименование и ИНН организации — по желанию (в кабинете подставляются из профиля). Записывается автоматически в момент отправки: 6) адрес страницы, с которой отправлена заявка; 7) адрес источника перехода (referrer); 8) метки рекламной кампании utm_source, utm_medium, utm_campaign; 9) IP-адрес; 10) строка браузера (user-agent); 11) дата и время; 12) идентификатор посетителя (cookie nns_vid, см. раздел 7) — чтобы позже связать заявку с кабинетом, если человек войдёт в него с того же браузера и с тем же номером телефона. Добавляется оператором: 13) статус обращения; 14) служебные заметки менеджера.

Какие данные — при обращении по телефону, почте, в мессенджере Max: имя в объёме, названном человеком; номер телефона; адрес электронной почты (если писал письмом); содержание обращения и приложенные файлы. Иных сведений оператор не запрашивает.

Основание. Для заявок через форму сайта и кабинет — согласие, оформленное отдельным документом — Согласие на обработку персональных данных при отправке заявки (п. 1 ч. 1 ст. 6, ст. 9 Закона). Для обращений по телефону, электронной почте и в мессенджерах, направленных по инициативе самого человека, — п. 5 ч. 1 ст. 6 Закона (обработка для заключения договора по инициативе субъекта); ст. 421, 435, 437 ГК РФ.

Срок. До достижения цели, но не более трёх лет со дня поступления обращения (общий срок исковой давности — ст. 196 ГК РФ), если по обращению не заключён договор; при заключении договора (выставлен и оплачен счёт — заявка считается заявкой с состоявшейся поставкой) данные далее обрабатываются по цели Б, а технические сведения о браузере и источнике перехода из заявки удаляются. При отзыве согласия — уничтожение в срок не более 30 дней. Файлы спецификаций удаляются вместе с заявкой. Запись о факте согласия хранится три года после окончания срока действия или отзыва (доказательство по ч. 3 ст. 9 Закона), затем обезличивается.

Цель Б. Заключение и исполнение договоров поставки, включая доставку

Что делаем. Готовим, заключаем, исполняем договоры поставки; ведём расчёты и первичный учёт; оформляем отгрузочные и платёжные документы; организуем доставку по России и Казахстану.

Чьи данные. Представители контрагентов — организаций и индивидуальных предпринимателей; индивидуальные предприниматели — контрагенты; лица, принимающие груз в месте доставки.

Какие данные: 1) фамилия, имя, отчество; 2) должность и наименование организации; 3) номер служебного телефона; 4) адрес служебной электронной почты; 5) реквизиты доверенности и объём полномочий; 6) подпись на договоре и первичных документах; 7) фамилия, имя, телефон лица, принимающего груз, и адрес разгрузки. Для ИП дополнительно: 8) ИНН; 9) ОГРНИП; 10) адрес регистрации; 11) банковские реквизиты.

Основание. П. 5 ч. 1 ст. 6 (ИП — сторона договора); п. 7 ч. 1 ст. 6 (представители организаций и получатели груза — законные интересы по исполнению договора); п. 2 ч. 1 ст. 6 (первичные документы); ГК РФ, 402-ФЗ, НК РФ.

Откуда данные и информирование. Данные представителей и получателей груза оператор получает от контрагента. Сведения по ч. 3 ст. 18 Закона (кто оператор, цели, состав данных, права) содержатся в настоящей Политике и в договоре поставки; контрагент, передавая данные своих работников, подтверждает, что они уведомлены об обработке.

Передача перевозчикам. Фамилия, имя, телефон получателя груза и адрес разгрузки передаются только российским транспортным компаниям — в том числе при доставке в Казахстан. Иностранным перевозчикам данные не передаются; если это потребуется, оператор предварительно уведомит Роскомнадзор о трансграничной передаче (ст. 12 Закона) и выпустит новую редакцию Политики. Направление контрагенту договорных и отгрузочных документов, содержащих данные его же представителей, — возврат сведений их источнику, а не передача третьему лицу.

Срок. Срок действия договора и пять лет после завершения расчётов (ч. 1 ст. 29 402-ФЗ, пп. 8 п. 1 ст. 23 НК РФ). Данные получателя груза — до подтверждения получения, далее только в составе отгрузочных документов.

Цель В. Кадровый, бухгалтерский и налоговый учёт

Чьи данные. Работники оператора, в том числе бывшие, — с момента приёма первого работника. На дату редакции наёмных работников нет; обработка ограничена сведениями о генеральном директоре, необходимыми для отчётности и ЕГРЮЛ. Соискателей нет: резюме не собираем.

Какие данные: ФИО; пол; дата и место рождения; гражданство; адреса регистрации и проживания; телефон; электронная почта; данные документа, удостоверяющего личность; СНИЛС; ИНН; сведения об образовании и квалификации; о трудовой деятельности и стаже; должность и условия договора; сведения о заработной плате и удержаниях; о периодах нетрудоспособности без диагноза; сведения воинского учёта; реквизиты счёта для зарплаты.

Основание. П. 2 ч. 1 ст. 6 Закона; ТК РФ (ст. 65, гл. 14); НК РФ; 402-ФЗ. Согласие работника не требуется. Сведения передаются в ФНС России, Социальный фонд России и органы статистики в составе обязательной отчётности — в силу закона.

Срок. Документы по личному составу — 50 лет (ч. 1 ст. 22.1 125-ФЗ); бухгалтерские и налоговые — 5 лет.

Цель Г. Продвижение товаров и услуг — только по отдельному согласию

Кого касается. Пользователей личного кабинета, которые отдельно и добровольно включили отметку «Рассылка на электронную почту» в настройках кабинета (тот же шаг есть в мастере настройки после первого входа). Отказ ни на что не влияет: заявку обработаем, расчёт пришлём.

Какие данные: имя; адрес электронной почты, указанный в кабинете; дата и тема отправленных писем; факт отказа.

Каналы: письма на электронную почту — единственный канал. Телефонных звонков с предложениями по этому согласию нет, номер телефона в целях продвижения не обрабатывается (звонки менеджера по заявкам — сервисные, по отдельному разрешению пользователя в боте). Рассылки через чат-бота Max не ведутся — правила платформы Max запрещают рекламные рассылки через ботов; новости и прайс-листы в Max публикуются в открытом канале компании @se13314696_biz, на который пользователь подписывается и от которого отписывается сам, без передачи нам каких-либо данных. Рассылки через WhatsApp, Telegram и SMS не ведутся.

Основание. Согласие на рекламные и информационные сообщения — п. 1 ч. 1 ст. 6, ч. 1 ст. 15 Закона; ч. 1 ст. 18 Закона «О рекламе».

Срок. Пять лет со дня согласия, если не отозвано раньше; после отзыва — исключение из рассылки немедленно, удаление данных из списка рассылки в срок не более 30 дней; запись о факте согласия и отказа — три года.

Цель Д. Регистрация и ведение личного кабинета на сайте

Что делаем. Регистрируем пользователя по номеру телефона с подтверждением через мессенджер Max; ведём его профиль и карточку его организации; показываем историю заявок и их статусы; направляем сервисные уведомления в кабинете; обеспечиваем безопасность входа.

Чьи данные. Пользователи личного кабинета — представители организаций, индивидуальные предприниматели и совершеннолетние физические лица, приобретающие металлопрокат и инструмент.

Какие данные и откуда.

Пользователь вводит на сайте: 1) номер телефона — вход начинается с его ввода на сайте; принадлежность номера аккаунту подтверждает мессенджер Max, когда пользователь нажимает в боте кнопку «Поделиться номером» (подлинность подтверждается криптографической подписью мессенджера, без неё номер подтверждённым не считается). При повторных входах номер повторно не запрашивается: сразу после ввода номера на сайте в диалог пользователя с ботом направляется сообщение о попытке входа (устройство, время) с выбором числа, показанного на сайте; если вход начали не вы — нажмите «Это не я», доступ выдан не будет.

Получаем от мессенджера Max при входе (источник — ООО «МАКС», по действию пользователя в боте): 2) числовой идентификатор аккаунта Max; 3) имя; 4) фамилия; 5) имя пользователя (никнейм); 6) идентификатор диалога с ботом; 7) фотография профиля (аватар) — только по кнопке пользователя «Обновить фото из Max»; файл копируется на наш сервер, показывается только владельцу кабинета и не используется для установления личности; 8) сведения о языке интерфейса и активности не сохраняются.

Пользователь указывает сам в кабинете (все поля необязательные): 9) адрес электронной почты; 10) ИНН организации или ИП; 11) должность (роль); 12) регион; 13) тип покупателя (организация, индивидуальный предприниматель, частное лицо); 14) интересующие направления продукции; 15) назначение закупок (собственное производство, строительство, перепродажа, иное); 16) ориентировочный объём закупок; 17) уточнённые имя, фамилия и отображаемое имя («как к вам обращаться»).

Получаем из ЕГРЮЛ/ЕГРИП по указанному ИНН (через сервис проверки контрагентов, см. 5.5): 18) наименование, организационно-правовая форма, КПП, ОГРН/ОГРНИП, регион, код и наименование основного вида деятельности, статус в реестре; для организаций — также юридический адрес. Для индивидуальных предпринимателей адрес из ЕГРИП (это адрес места жительства) не сохраняется — только регион. ФИО руководителей и учредителей организаций не сохраняются.

Записывается автоматически: 19) IP-адрес, сведения о браузере и устройстве, дата и время входа и действий; 20) идентификаторы сессий; 21) записи о согласиях (редакция документа, время, канал, текст нажатой кнопки); 22) уведомления в кабинете; 23) журнал событий безопасности (входы, отказы, завершения сессий).

Основание. Согласие на обработку персональных данных в личном кабинете (п. 1 ч. 1 ст. 6, ст. 9 Закона) и Пользовательское соглашение (ст. 428 ГК РФ); в части технической защиты входа и хранения доказательств согласия — п. 7 ч. 1 ст. 6 Закона. Способ авторизации — по абонентскому номеру оператора подвижной радиотелефонной связи (п. 1 ч. 10 ст. 8 Закона № 149-ФЗ).

Срок. Пока существует кабинет. При неактивности более трёх лет пользователь уведомляется, и через 30 дней кабинет удаляется. После удаления кабинета пользователем или оператором профиль, телефоны, компания, фотография, уведомления, сессии и заявки, по которым не было поставки, уничтожаются (обезличиваются в базе) в срок не более 30 дней; резервные копии обновляются ещё в течение 30 дней. Дольше сохраняются только: документы по состоявшимся поставкам (5 лет, цель Б), записи о согласии и его отзыве (3 года, без имени и телефона — только дата, канал, редакция документа, IP-адрес и сведения о браузере, затем обезличиваются) и записи журнала событий безопасности (3 года, без имени и телефона). Одноразовые данные входа (попытки входа) и связанные с ними предварительные записи о согласии, если вход не завершён, — 24 часа; сессии — 30 дней со дня входа или до выхода (записи о завершённых сеансах — устройство, IP-адрес, время — ещё 30 дней для расследования инцидентов); уведомления — 1 год.

Общие правила по срокам

1. По достижении цели данные уничтожаются в срок не более 30 дней (ч. 4 ст. 21 Закона).
2. При отзыве согласия — прекращение обработки и уничтожение в срок не более 30 дней (ч. 5 ст. 21), если сохранение не требуется законом.
3. Если данные должны храниться дольше по закону (бухгалтерские, налоговые, кадровые документы), после отзыва согласия обработка ограничивается хранением в установленный законом срок.
4. Уничтожение фиксируется актом и выгрузкой из журнала регистрации событий (приказ Роскомнадзора № 179); документы хранятся три года.
5. Резервные копии базы хранятся не более 30 суток; уничтоженные в базе данные исчезают из копий по истечении этого срока — точечно править копии технически невозможно. Таким образом, полное исчезновение данных со всех носителей занимает до 60 дней с момента отзыва или удаления.

---

5. Порядок и условия обработки

5.1. Способы

Смешанная обработка — с использованием средств автоматизации (базы данных на сервере, сайт, чат-бот) и без них (менеджер читает заявку, звонит, готовит документы), с передачей по сети «Интернет» по защищённому протоколу HTTPS.

5.2. Откуда оператор получает данные

• непосредственно от субъекта: форма заявки, личный кабинет, чат-бот Max, телефон, электронная почта, договоры;
• от мессенджера Max — при входе в кабинет и передаче номера кнопкой (по действию самого пользователя); оператор информирует пользователя о получаемых данных до перехода в бота и в первом сообщении бота (ч. 3 ст. 18 Закона);
• из ЕГРЮЛ/ЕГРИП — сведения об организации по ИНН, указанному пользователем;
• от контрагента — в отношении его представителей и лиц, принимающих груз (информирование по ч. 3 ст. 18 — через настоящую Политику и договор, см. цель Б).

Оператор не покупает данные, не берёт их из сторонних баз и социальных сетей.

5.3. Где данные хранятся

Все базы данных с персональными данными — заявки, пользователи кабинета, телефоны, организации, сессии, согласия, уведомления, журналы — размещены на выделенном сервере на территории Российской Федерации (г. Москва), арендованном у российского юридического лица ООО «АдминВПС». Первичная запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ выполняются только в этой базе (ч. 5 ст. 18 Закона). Резервные копии создаются ежесуточно и хранятся только на территории РФ не более 30 суток.

Страницы сайта (тексты, изображения, каталог, юридические документы) отдаются с сервера за пределами РФ. На этих страницах персональные данные не собираются и не хранятся; веб-сервер сайта ведёт журнал обращений без IP-адресов посетителей, а журнал ошибок — только на уровне критических событий. Форма заявки и личный кабинет обмениваются данными напрямую с российским сервером по адресу api.novonikstal.ru — через сервер сайта эти данные не проходят.

Электронная почта novonikstal@yandex.ru — серверы российской почтовой службы. Бумажные документы — по адресу оператора, доступ ограничен.

5.4. Кто имеет доступ

Генеральный директор ООО «ННС». Работники, когда они появятся, получат доступ в объёме, необходимом для работы с обращениями и договорами, после ознакомления с Политикой и под обязательство о конфиденциальности. Хостинг-провайдер как владелец оборудования имеет технический доступ к серверу и в этой части является обработчиком по поручению оператора (ч. 3 ст. 6 Закона): условия аренды обязывают его соблюдать конфиденциальность и не использовать данные.

5.5. Кому и в каком объёме данные передаются

Больше никто. Данные не передаются в рекламные сети, системы веб-аналитики, сторонние CRM, сервисы рассылок и зарубежные сервисы. Счётчиков аналитики на сайте нет.

5.6. Трансграничная передача не осуществляется

Оператор не передаёт персональные данные на территорию иностранных государств и иностранным лицам и не использует базы данных за пределами Российской Федерации.

5.7. Если вы сами пишете нам в WhatsApp или Telegram

На сайте есть кнопки этих мессенджеров: они открывают чат в приложении на вашем устройстве, а на наш сервер ничего не передают. Инфраструктура этих сервисов находится за пределами РФ, обработка сообщений внутри них ведётся их владельцами по их правилам, и канал выбираете вы сами. Оператор через эти мессенджеры персональные данные не передаёт: полученное обращение мы переносим в базу на российском сервере, а отвечаем по существу — по телефону, в Max или на электронную почту; переписку с персональными данными, коммерческие предложения, счета и документы через WhatsApp и Telegram не направляем и рассылок через них не ведём.

5.8. Как данные уничтожаются

В базе — удалением записей с невозможностью восстановления и последующим обновлением резервных копий; файлы — удалением с носителя; бумажные документы — измельчением. Составляется акт и выгрузка из журнала регистрации событий (приказ Роскомнадзора от 28.10.2022 № 179); хранятся три года.

---

6. Права субъекта персональных данных и как их реализовать

6.1. Ваши права

1. Получить подтверждение факта обработки и сведения по ч. 7 ст. 14 Закона: основания и цели, способы, наименование и адрес оператора, кто имеет доступ, перечень данных и источник получения, сроки, порядок реализации прав, наименование и адрес лиц, обрабатывающих данные по поручению (раздел 5.5), сведения о трансграничной передаче (её нет).
2. Требовать уточнения неполных, неточных или устаревших данных.
3. Требовать блокирования или уничтожения данных, полученных незаконно или не нужных для цели.
4. Отозвать согласие — в любой момент, без объяснения причин; по каждому согласию отдельно.
5. Возражать против обработки в целях продвижения — отказ от рассылки исполняется немедленно.
6. Обжаловать действия оператора в Роскомнадзор или в суд; требовать возмещения убытков и компенсации морального вреда.

Уполномоченный орган для Новосибирской области — Управление Роскомнадзора по Сибирскому федеральному округу: 630099, г. Новосибирск, ул. Советская, д. 33 (актуальные телефоны и электронная почта — на официальном сайте 54.rkn.gov.ru).

6.2. Как это сделать

• В личном кабинете — раздел «Настройки»: изменить данные профиля и организации; включить и выключить рассылки; завершить сессии; «Удалить кабинет и данные»; «Запросить сведения об обработке».
• В боте Max — команды /stop (отозвать согласие) и /delete (удалить кабинет и данные).
• Письмом на novonikstal@yandex.ru (тема «Запрос по персональным данным» или «Отзыв согласия») либо почтой: 630073, г. Новосибирск, проспект Карла Маркса, д. 3а, ООО «ННС», генеральному директору.

6.3. Что указать в запросе (ч. 3 ст. 14 Закона)

Номер основного документа, удостоверяющего личность, дату выдачи и выдавший орган (нужны только для идентификации заявителя по ч. 3 ст. 14 Закона, в базу не вносятся); сведения, подтверждающие ваши отношения с оператором (номер телефона, указанный при обращении, дата заявки, номер договора); суть запроса; подпись (для электронного запроса — электронная подпись либо направление с адреса или номера, указанных в кабинете или заявке); удобный способ ответа. Копию паспорта присылать не нужно. Для запросов из кабинета и из бота идентификация уже выполнена — дополнительных сведений не требуется. Если запрос не позволяет установить заявителя, мы сообщим, чего не хватает.

6.4. Сроки ответа

На период проверки данные при необходимости блокируются.

---

7. Файлы cookie и аналитика

1. Счётчиков и систем веб-аналитики на сайте нет — ни Яндекс Метрики, ни Google Analytics, ни иных; сторонние рекламные и аналитические скрипты не подключаются. Рекомендательные технологии не применяются. Баннер о cookie не показывается: сайт использует только cookie, перечисленные ниже, — две технически необходимые для входа и одну функциональную, которая ставится лишь при отправке заявки с вашего согласия.
2. Cookie, которые устанавливает российский сервер оператора (api.novonikstal.ru):

Все cookie — только для чтения сервером (HttpOnly), только по HTTPS, без передачи третьим лицам. Отключение cookie в браузере сделает невозможным вход в кабинет, но не мешает пользоваться сайтом и отправлять заявки.

1. Страницы сайта без входа в кабинет данных о посетителе не собирают; технический журнал сервера сайта ведётся без IP-адресов.
2. При подключении аналитики или иных cookie Политика будет обновлена до начала их использования, а у посетителей запрошено согласие.

---

8. Обеспечение безопасности персональных данных

Перечислены только реально применяемые меры.

8.1. Правовые и организационные

• Назначено лицо, ответственное за организацию обработки, — генеральный директор (приказ).
• Утверждены и опубликованы Политика и «Сведения о реализуемых требованиях к защите персональных данных»; утверждено внутреннее Положение о порядке обработки и защиты ПДн, перечни лиц, мест хранения и информационных систем; проведена оценка вреда (приказ РКН № 178); определён уровень защищённости информационной системы (ПП РФ № 1119).
• Согласия оформляются отдельными документами; ведётся журнал согласий с редакцией и контрольной суммой текста каждого документа.
• Состав данных ограничен закрытыми перечнями раздела 4; поля, не нужные для цели, не запрашиваются и не сохраняются.
• Лица с доступом знакомятся с Политикой и предупреждаются о конфиденциальности.

8.2. Технические

• Базы данных — на выделенном сервере в РФ; доступ администратора только по криптографическим ключам SSH, парольный вход отключён; межсетевое экранирование с ограничением портов; сервис кабинета работает от отдельной системной учётной записи с ограниченными правами.
• Передача данных между браузером, мессенджером и сервером — только по HTTPS (TLS).
• Вход в кабинет: одноразовый идентификатор попытки входа действует 10 минут и хранится в базе только в виде хеша, записи о попытках удаляются через 24 часа; подтверждение устройства выбором числа в боте защищает от подмены сеанса; сессии — серверные, идентификаторы хранятся хешированными; пользователь видит активные сеансы и может завершить их все; сообщения бота о входе содержат сведения об устройстве.
• Подлинность номера телефона проверяется криптографической подписью мессенджера Max; сообщения от мессенджера принимаются только по неугадываемому адресу вебхука с проверкой секрета подписки.
• Ограничение частоты обращений к форме заявки и к входу с одного адреса; защита от повторной отправки.
• Ведётся журнал событий безопасности (входы, отказы во входе, завершения сессий, отзывы согласий, уничтожение данных).
• Ежесуточное резервное копирование с проверкой целостности; копии — только в РФ, не более 30 суток.
• Фотографии профиля перекодируются с удалением служебных метаданных и отдаются только владельцу кабинета.

8.3. О чём сообщаем прямо

• Сертифицированные ФСБ России криптографические средства не применяются; защищённое соединение обеспечивается обычным TLS-сертификатом.
• Абсолютной защиты при передаче через Интернет не существует; меры соразмерны составу данных и возможному вреду.
• При инциденте оператор в течение 24 часов уведомит Роскомнадзор о факте, в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 Закона), взаимодействует с ГосСОПКА в порядке, установленном ФСБ России (ч. 12 ст. 19 Закона), а затронутых пользователей уведомит в кабинете и по указанным контактам.

---

9. Заключительные положения

1. Действующая редакция — https://novonikstal.ru/legal/policy/; архив редакций — по постоянным адресам вида /legal/policy/v1-0/.
2. Ответственный за организацию обработки: Названов Руслан Олегович, генеральный директор; +7 (913) 458-00-09; novonikstal@yandex.ru; 630073, г. Новосибирск, проспект Карла Маркса, д. 3а.
3. Сведения об операторе направляются в реестр операторов персональных данных, который ведёт Роскомнадзор; регистрационный номер записи публикуется в этом пункте новой редакцией.
4. Вопросы, не урегулированные Политикой, разрешаются по законодательству Российской Федерации; при противоречии применяется закон, а Политика приводится в соответствие новой редакцией.

---

---

Сведения о реализуемых требованиях к защите персональных данных

Редакция 2.0 от 03.09.2026

Общество с ограниченной ответственностью «НОВО-НИКОЛАЕВСКАЯ СТАЛЬ», ИНН 5404960630, ОГРН 1255400029488. Публикуется вместе с Политикой во исполнение части 2 статьи 18.1 Федерального закона № 152-ФЗ.

1. Общие сведения

Оператор — ООО «НОВО-НИКОЛАЕВСКАЯ СТАЛЬ», 630073, г. Новосибирск, проспект Карла Маркса, д. 3а. Ответственный за организацию обработки — генеральный директор Названов Руслан Олегович (+7 (913) 458-00-09, novonikstal@yandex.ru), назначен приказом.

Информационные системы персональных данных: «Заявки и личный кабинет» (база данных на сервере в РФ, сайт, чат-бот Max), «Учёт» (бухгалтерский и кадровый учёт). Обрабатываются данные, не относящиеся к специальным категориям и не являющиеся биометрическими; фотографии профиля для установления личности не используются. Данные платёжных карт не обрабатываются. Уведомление об обработке персональных данных направляется в Роскомнадзор в порядке ст. 22 Закона.

2. Правовые меры

1. Утверждены и опубликованы Политика и настоящие Сведения; доступ свободный, без регистрации.
2. Цели, категории субъектов и закрытые перечни данных определены разделом 4 Политики; данные вне перечней не собираются.
3. Обработка ведётся при наличии основания по ч. 1 ст. 6 Закона; согласия оформляются отдельными документами (ч. 1 ст. 9 в редакции с 01.09.2025) и фиксируются в журнале с редакцией и контрольной суммой текста.
4. С обработчиками по поручению — ООО «АдминВПС» (размещение сервера с базами данных и резервными копиями; договор аренды с условием о конфиденциальности) и ООО «Дейта Кью» (сервис проверки контрагентов; оферта с обязанностями по конфиденциальности и безопасности) — обработка ведётся на основании ч. 3 ст. 6; перечень обработчиков — в п. 5.5 Политики.
5. Утверждены внутренние документы: Положение о порядке обработки и защиты ПДн; приказ о назначении ответственного; перечни лиц, мест хранения и информационных систем; акт оценки вреда; акт определения уровня защищённости с моделью угроз; порядок уничтожения и реагирования на инциденты.

3. Организационные меры

1. Назначено лицо, ответственное за организацию обработки (п. 1 ч. 1 ст. 18.1).
2. Доступ к данным имеет только генеральный директор; при появлении работников — по перечню, после ознакомления с Политикой и под обязательство о конфиденциальности.
3. Установлены сроки хранения по каждой цели и порядок уничтожения; факт уничтожения фиксируется актом и выгрузкой из журнала (приказ РКН № 179).
4. Ведётся журнал событий безопасности и журнал обращений субъектов.
5. Бумажные документы хранятся по адресу оператора, доступ ограничен.

4. Технические меры

1. Базы данных с персональными данными граждан РФ размещены на выделенном сервере на территории РФ; первичная запись и хранение — только там (ч. 5 ст. 18).
2. Административный доступ — только по ключам SSH, парольная аутентификация отключена; межсетевое экранирование; сервис работает от отдельной учётной записи с ограниченными правами.
3. Передача данных — по HTTPS (TLS).
4. Авторизация пользователей — по абонентскому номеру оператора подвижной радиотелефонной связи (п. 1 ч. 10 ст. 8 Закона № 149-ФЗ) с подтверждением принадлежности номера через российский мессенджер Max; одноразовые идентификаторы попыток входа хешируются и действуют 10 минут; подтверждение устройства; серверные сессии с хешированными идентификаторами и возможностью завершить все сеансы.
5. Проверка подлинности номера криптографической подписью мессенджера; приём сообщений от мессенджера только по неугадываемому адресу вебхука с проверкой секрета подписки.
6. Ограничение частоты обращений; защита от подбора и повторной отправки.
7. Ежесуточное резервное копирование с проверкой целостности; копии — только в РФ, не более 30 суток.

5. Что не применяется и не осуществляется

1. Сертифицированные ФСБ России криптографические средства не применяются.
2. Трансграничная передача не осуществляется; базы данных за пределами РФ не используются.
3. Счётчики веб-аналитики и рекомендательные технологии не применяются; используются только технически необходимые cookie, перечисленные в разделе 7 Политики.
4. Решения, порождающие юридические последствия, исключительно на основе автоматизированной обработки не принимаются.
5. Данные не распространяются, в общедоступные источники не включаются, третьим лицам в рекламных целях не передаются.

6. Реагирование на инциденты

При неправомерной или случайной передаче данных оператор в течение 24 часов уведомляет Роскомнадзор о факте, в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21), взаимодействует с ГосСОПКА (ч. 12 ст. 19), уведомляет затронутых пользователей и принимает меры по устранению причин.

7. Оговорка о полноте раскрытия

Меры раскрываются в объёме, достаточном для информирования субъектов, без технических подробностей, снижающих их эффективность.

Вопросы: novonikstal@yandex.ru, +7 (913) 458-00-09.