Политика обработки персональных данных
Редакция от 22 октября 2026 г. · вступает в силу 22 октября 2026 г.
1. Общие положения
1.1. Политика разработана во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и описывает, как обрабатываются персональные данные в сервисе Code Inspect.
1.2. Оператор — ИП Мырикова Марина Викторовна, ИНН 502719650291, ОГРНИП 324508100715057, адрес: г. Люберцы.
1.3. Ответственный за организацию обработки персональных данных — обязанности выполняет индивидуальный предприниматель ИП Мырикова Марина Викторовна лично. Контакт для обращений субъектов персональных данных: sales@codeinspect.ru.
1.4. Политика применяется к данным, которые Оператор обрабатывает:
- на сайте https://codeinspect.ru;
- в Панели управления Code Inspect;
- в служебной панели Оператора (admin.codeinspect.ru), через которую Оператор управляет тарифами организаций.
1.5. Термины используются в значении ст. 3 Закона. Сервис — Code Inspect (Панель управления и Runner). Организация — учётная запись клиента в Панели управления. Пользователь — человек с учётной записью в Панели управления.
2. Что Оператор не обрабатывает
2.1. Исходный код клиентов. Runner работает на инфраструктуре клиента и не передаёт в Панель управления ни файлы, ни фрагменты кода. Для каждого замечания хранятся только путь к файлу, номера строк, уровень важности, категория и текст замечания. Персональные данные, которые могут содержаться в коде клиента, Оператору не поступают.
2.2. Запросы к модели ИИ. Runner отправляет их напрямую провайдеру модели, которого выбрал клиент. Оператор в этой передаче не участвует; её законность, в том числе трансграничную передачу, обеспечивает клиент.
2.3. Участники merge request. Телеметрия Runner'а содержит технические показатели (время этапов, число токенов, версии, коды ошибок) и не содержит логинов, имён и адресов авторов кода и комментариев. Авторство ответов разработчиков на замечания не собирается.
2.4. Платёжные данные. Номер карты и данные банковского счёта вводятся на странице платёжного сервиса ЮKassa и в приложении банка. Оператор получает только идентификатор способа оплаты, его тип и название, а для карты — маску (тип, последние 4 цифры, срок действия).
2.5. Маркетинг и аналитика. Оператор не направляет рекламные рассылки и не использует сервисы веб-аналитики. Если они появятся, Оператор запросит отдельное согласие, оформленное отдельно от иных документов (ч. 1 ст. 9 Закона), и обновит Политику.
2.6. Специальные категории персональных данных и биометрические персональные данные не обрабатываются.
3. Принципы обработки
3.1. Оператор обрабатывает только данные, необходимые для заявленных целей, и не объединяет базы данных, созданные для несовместимых целей.
3.2. Минимизация — свойство архитектуры Сервиса: код клиентов, секреты и авторство участников merge request в Панель управления не поступают по построению.
3.3. Данные хранятся не дольше, чем этого требуют цели обработки или закон, а затем уничтожаются или обезличиваются.
4. Субъекты персональных данных
- Пользователи — сотрудники и иные лица, зарегистрированные в Панели управления.
- Приглашённые лица — те, кого Владелец организации пригласил по адресу электронной почты, до принятия приглашения.
- Представители клиентов-плательщиков — Владельцы организаций, оплачивающие тариф, и указанные ими покупатели (индивидуальные предприниматели) для кассового чека.
- Лица, пытающиеся войти в Панель управления, — в том числе без учётной записи.
- Разработчики клиентов — авторы ответов на замечания, если организация включила передачу текстов (раздел 6), и те, кто запускает Runner клиента — со своего компьютера или в CI клиента (учёт обращений по ключу проекта, раздел 5).
- Операторы служебной панели — Оператор и привлечённые им лица.
- Лица, обратившиеся к Оператору — в поддержку, в отдел продаж, с запросом о персональных данных.
5. Цели, данные, основания и сроки
| Цель | Данные | Субъекты | Правовое основание | Срок хранения |
|---|---|---|---|---|
| Регистрация и ведение учётной записи | Имя, адрес электронной почты, хэш пароля, отметка о подтверждении почты, даты создания и изменения | Пользователи | Договор с субъектом — Пользовательское соглашение (п. 5 ч. 1 ст. 6 Закона) | Пока существует учётная запись. При удалении — обезличивание в момент удаления |
| Вход и сессии | Идентификатор сессии, IP-адрес, сведения о браузере (user-agent), время создания и окончания | Пользователи | Договор (п. 5); обеспечение безопасности (ст. 19 Закона) | Сессия действует 7 дней с продлением при активности и заканчивается выходом или удалением учётной записи; истёкшая сессия удаляется автоматически через 7 дней после окончания |
| Подтверждение почты, сброс пароля, смена адреса | Адрес электронной почты, одноразовый токен ссылки | Пользователи | Договор (п. 5) | Ссылка подтверждения почты и сброса пароля действует 1 час; использованная или истёкшая запись удаляется автоматически (не позднее ближайшей ежедневной очистки). Ссылка смены адреса — подписанная ссылка без записи в базе |
| Защита от подбора пароля | Адрес почты в том виде, как его ввели при входе, подсеть (IPv4 — /24, IPv6 — /64), время попытки | Лица, пытающиеся войти | Законный интерес Оператора — защита учётных записей от подбора пароля (п. 7 ч. 1 ст. 6); права субъектов не нарушаются: хранятся только введённый адрес, подсеть без полного IP-адреса и время попытки, 30 дней. Обязанность обеспечивать безопасность данных (ст. 19) | 30 дней |
| Обнаружение утечки ключа проекта | Подсеть (IPv4 — /24, IPv6 — /64) адреса, с которого Runner обращается к API Панели управления, версия Runner'а, время первого и последнего обращения; целый IP-адрес не хранится | Разработчики клиентов и CI клиента, запускающие Runner | Законный интерес Оператора и организации-клиента — обнаружение использования ключа проекта посторонними (п. 7 ч. 1 ст. 6); права субъектов не нарушаются: хранится только подсеть без полного IP-адреса, сведения видят администраторы проекта, срок — 30 дней. Обязанность обеспечивать безопасность данных (ст. 19) | 30 дней с последнего обращения, затем удаляется автоматически; удаление ключа или проекта удаляет сведения сразу |
| Членство в организации и доступ к проектам | Организация, роль, назначенные проекты и роли в них, даты | Пользователи | Договор (п. 5) | Пока Пользователь состоит в организации |
| Приглашение в организацию | Адрес электронной почты, роль, кто пригласил, даты создания, истечения, принятия или отмены | Приглашённые лица | Поручение организации-клиента (ч. 3 ст. 6), п. 11.9 Публичной оферты; после регистрации — договор (п. 5) | Приглашение действует 7 дней. Запись о приглашении удаляется автоматически через 30 дней после истечения, принятия или отмены. Адрес в журнале действий организации (кто кого пригласил) хранится по сроку журнала |
| Журнал привилегированных действий организации | Кто (ссылка на учётную запись), когда и что изменил: инструкции, ключи, роли, согласие на передачу текстов, удаление проектов | Пользователи | Договор (п. 5); законный интерес — разбор инцидентов и споров (п. 7) | Пока существует организация и 1 год после её удаления. После удаления учётной записи запись остаётся с отметкой «удалённый пользователь» |
| Оценка замечаний | Оценка «верно» / «ложно», автор, время, отмена оценки | Пользователи | Договор (п. 5) | Вместе с замечанием — около 12 месяцев, затем остаются только обезличенные агрегаты |
| Оплата и кассовые чеки | Адрес почты для чека, наименование и ИНН покупателя (если указаны), сумма, тариф, даты, статус платежа, идентификатор платежа ЮKassa, тип и название способа оплаты, маска карты, кто инициировал платёж | Представители клиентов-плательщиков | Исполнение обязанностей по Федеральному закону № 54-ФЗ и налоговому законодательству (п. 2 ч. 1 ст. 6); договор — оферта (п. 5) | 5 лет после окончания года, в котором прошёл платёж (ст. 29 Федерального закона № 402-ФЗ, пп. 8 п. 1 ст. 23 НК РФ). Удаление учётной записи срок не прерывает |
| Учёт принятия документов и согласий | Пользователь; организация (для оферты и согласия на автоплатёж); документ и его редакция; действие (принял или отказался); время; IP-адрес и user-agent; для согласия на автоплатёж — тариф, период, сумма, текст согласия и платёж, при отвязке способа оплаты — последние 4 цифры карты, если оплата была картой; для политики — отметка «ознакомлен» | Пользователи, представители клиентов | Законный интерес — подтверждение заключения договора и данных согласий (п. 7) | Пока существует учётная запись (а для оферты и автоплатежа — и организация) и 3 года после их удаления — общий срок исковой давности (ст. 196 ГК РФ), в течение которого может быть оспорено заключение договора или списание по автоплатежу; затем удаляется автоматически. При удалении учётной записи IP-адрес и user-agent стираются сразу. |
| Показ организации-клиенту текстов ответов разработчиков на замечания и статистика обратной связи — по поручению клиента, не собственная цель Оператора (раздел 6) | Текст ответа без указания автора; может содержать персональные данные | Разработчики клиентов | Поручение организации-клиента (ч. 3 ст. 6), раздел 11 Публичной оферты | Срок задаёт организация в настройках проекта: от 1 до 90 дней (по умолчанию 90). При выключении передачи — удаление сразу |
| Служебные письма | Имя, адрес почты, содержание письма (подтверждение, сброс пароля, приглашение, уведомления об оплате) | Пользователи, приглашённые лица | Договор (п. 5) | Оператор письма не хранит. Журналы доставки ведут почтовые провайдеры (раздел 9) по своим правилам, в пределах срока договора с ними; адрес, на который письма не доставляются, Yandex Cloud Postbox держит в списке блокировки около 6 месяцев |
| Обращения в поддержку, продажи, запросы субъектов | Имя, адрес почты, содержание обращения, ответ | Лица, обратившиеся к Оператору | Договор (п. 5); исполнение обязанностей по Закону (п. 2) — для запросов субъектов | 3 года с последнего обращения (срок исковой давности) |
| Работа служебной панели Оператора | Имя, адрес почты, хэш пароля, сессии (IP-адрес, user-agent), разрешённые IP-адреса, журнал действий операторов | Операторы служебной панели | Договор с лицом, которое Оператор привлёк к администрированию Сервиса, с поручением обработки персональных данных (ч. 3 ст. 6); для самого ИП — исполнение его обязанностей оператора | Сессия — 12 часов, истёкшая удаляется через 7 дней после окончания; учётная запись и разрешённые IP-адреса — пока лицо допущено к служебной панели; журнал действий операторов — 3 года (срок исковой давности) |
| Технические журналы приложения | Служебные сообщения; при блокировке входа — подсеть и хэш адреса почты, без самого адреса | Пользователи, лица, пытающиеся войти | Законный интерес — обеспечение работы и безопасности (п. 7) | Журналы ротируются по объёму — не более 100 МБ на каждый компонент — и начинаются заново при каждом обновлении приложения. IP-адресов и адресов почты в них нет |
6. Данные, обрабатываемые по поручению клиентов
6.1. Если администратор проекта включил передачу текстов ответов разработчиков на замечания, Оператор обрабатывает эти тексты по поручению организации-клиента (ч. 3 ст. 6 Закона) на условиях раздела 11 Публичной оферты. Оператором в отношении этих данных является клиент: он обеспечивает правовое основание обработки и информирует разработчиков.
6.2. Тексты обрабатываются только для клиента: они показываются пользователям его проекта в Панели управления и используются для статистики обратной связи по замечаниям этого проекта. Для собственных целей Code Inspect — в том числе для настройки служебных инструкций Runner'а — тексты не используются и третьим лицам не передаются, кроме лиц, обеспечивающих размещение и резервное копирование данных (раздел 9).
6.3. Тексты хранятся отдельно от замечаний, без указания автора, в течение срока, заданного организацией (от 1 до 90 дней, по умолчанию 90), и удаляются по его истечении. Выключение передачи (отзыв согласия организации) удаляет все тексты проекта в той же операции.
6.4. Запросы разработчиков об этих данных следует направлять организации-клиенту как оператору. Если запрос поступил Оператору, он передаёт его клиенту и содействует в ответе.
7. Действия и способы обработки
7.1. Оператор совершает с персональными данными следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
7.2. Обработка — автоматизированная, с передачей по сети Интернет по защищённому протоколу. Решения, порождающие юридические последствия для субъекта, на основании исключительно автоматизированной обработки не принимаются.
7.3. Внутри организации-клиента данные Пользователя видят другие её участники в пределах своих ролей: Владельцы и администраторы организации — имя, адрес почты, роль и журнал действий; администратор проекта — участников своего проекта; участники проекта — авторов оценок замечаний.
8. Место хранения и трансграничная передача
8.1. Базы данных с персональными данными граждан РФ, их резервные копии и почтовый сервис размещены на территории Российской Федерации (ч. 5 ст. 18 Закона):
| Назначение | Поставщик | Адрес центра обработки данных |
|---|---|---|
| Сервер и основная база данных | АО «ИОТ» (FirstVDS) | г. Москва, Алтуфьевское шоссе, д. 33Г — ЦОД IXcellerate |
| Внешние резервные копии (зашифрованы до отправки) | ООО «Яндекс.Облако» (Yandex Object Storage) | Россия, центры обработки данных Яндекса (регион ru-central1); размещение в России — п. 2.2.5 «Соглашения об обработке данных» Yandex Cloud |
| Отправка писем | ООО «ВК Цифровые Технологии» (VK WorkSpace); резервно — ООО «Яндекс.Облако» (Yandex Cloud Postbox) | Россия: VK WorkSpace — п. 3.5 Политики конфиденциальности сервисов VK WorkSpace; Yandex Cloud Postbox — регион ru-central1, п. 2.2.5 «Соглашения об обработке данных» Yandex Cloud |
8.2. Трансграничная передача персональных данных не осуществляется.
8.3. Передача кода клиента провайдеру модели ИИ (в том числе зарубежному) выполняется Runner'ом клиента под его управлением и обработкой Оператора не является (раздел 2).
9. Передача третьим лицам
9.1. Оператор привлекает следующих лиц:
| Лицо | Роль | Какие данные | Основание |
|---|---|---|---|
| АО «ИОТ» (FirstVDS), ИНН 7731399513, 121205, г. Москва, тер. Сколково инновационного центра, Большой б-р, д. 42, стр. 1 | Размещение сервера и базы данных | Все данные раздела 5 | Договор оказания услуг (публичная оферта АО «ИОТ») |
| ООО «Яндекс.Облако», ИНН 7704458262, 119021, г. Москва, ул. Льва Толстого, д. 16, пом. 528 | Хранение зашифрованных резервных копий базы данных; резервная доставка служебных писем | Все данные раздела 5 в составе копии; адрес почты, имя, текст письма | Договор (оферта Yandex Cloud) и «Соглашение об обработке данных» — поручение по ч. 3 ст. 6 Закона |
| ООО «ВК Цифровые Технологии» (VK WorkSpace), ИНН 7714415613, 125167, г. Москва, Ленинградский пр-т, д. 39, стр. 79 | Доставка служебных писем | Адрес почты, имя, текст письма | Договор (лицензионное соглашение VK WorkSpace) |
| ООО НКО «ЮМани» (ЮKassa), ИНН 7750005725, 115035, г. Москва, Садовническая ул., д. 82, стр. 2 | Приём платежей, хранение данных карты и сохранённого способа оплаты, формирование кассовых чеков | Адрес почты для чека, наименование и ИНН покупателя, сумма и описание платежа | Договор с ЮKassa; 54-ФЗ |
9.2. Оператор предоставляет данные государственным органам только по основаниям, предусмотренным законом.
9.3. Оператор не продаёт персональные данные и не передаёт их для рекламы.
10. Файлы cookie
10.1. Сайт и Панель управления используют только технические cookie, без которых невозможен вход. Сторонние скрипты, счётчики и виджеты, устанавливающие свои cookie, не подключены.
| Название | Назначение | Срок |
|---|---|---|
__Secure-better-auth.session_token |
Сессия входа в Панель управления | 7 дней, продлевается при активности; удаляется при выходе |
__Secure-cins-admin.session_token |
Сессия входа в служебную панель Оператора (только для операторов) | 12 часов |
До запуска сайт может быть закрыт паролем — это встроенная проверка браузера (HTTP Basic), cookie она не ставит.
10.2. Удалить cookie можно в настройках браузера; после этого потребуется войти заново.
10.3. При подключении веб-аналитики Оператор запросит отдельное согласие до установки аналитических cookie и дополнит эту таблицу.
11. Меры защиты
11.1. Оператор принимает правовые, организационные и технические меры по ст. 18.1 и 19 Закона, в том числе:
- передача данных только по защищённому протоколу TLS;
- хранение паролей только в виде хэша; ключей проектов и токенов приглашений — только в виде хэша;
- разграничение доступа по ролям внутри организации и изоляция данных организаций друг от друга;
- отдельные учётные записи, сессии и секреты служебной панели Оператора, доступ к ней только с разрешённых IP-адресов;
- ограничение подбора пароля и частоты запросов;
- журналирование входов и привилегированных действий;
- ежедневное резервное копирование;
- определение уровня защищённости (УЗ-4, актуальны угрозы 3-го типа), модель угроз и оценка вреда (приказ Роскомнадзора № 178);
- внутренние документы: положение об обработке и защите персональных данных, порядок ответа на запросы и уничтожения данных;
- внутренний контроль соответствия обработки Закону не реже одного раза в год.
12. Права субъекта персональных данных
12.1. Субъект вправе (ст. 14, 20, 21 Закона):
- получить сведения об обработке своих данных и доступ к ним;
- потребовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели;
- отозвать согласие, если обработка ведётся на его основании (сейчас таких целей нет — раздел 2.5);
- обжаловать действия Оператора в Роскомнадзоре или в суде.
12.2. В Панели управления без обращения к Оператору Пользователь может:
- изменить имя в профиле;
- скачать свои данные — кнопка «Скачать мои данные» в профиле: файл JSON с профилем, членством в организации, сессиями (без секретных токенов), принятыми документами и согласиями, своими действиями в журнале организации (код действия и время), своими оценками замечаний, оформленными платежами (без платёжных данных) и неудачными попытками входа на свой адрес за 30 дней;
- завершить свои сессии;
- удалить учётную запись — кнопка «Удалить учётную запись» в профиле.
Адрес почты меняет Владелец организации или Пользователь без организации; остальным адрес выдаёт организация.
12.3. Запрос направляется на sales@codeinspect.ru в письменной форме или в форме электронного документа, подписанного электронной подписью (ч. 3 ст. 14 Закона). Пользователь может также отправить запрос с адреса почты своей учётной записи — этого достаточно, чтобы установить его личность, и паспортные данные не нужны. Если по запросу личность установить нельзя, Оператор просит уточнить сведения.
12.4. Сроки ответа Оператора:
| Действие | Срок |
|---|---|
| Ответ на запрос, предоставление сведений | 10 рабочих дней; может быть продлён на 5 рабочих дней с мотивированным уведомлением |
| Уточнение данных | 7 рабочих дней с получения подтверждающих сведений |
| Прекращение неправомерной обработки | 3 рабочих дня |
| Уничтожение неправомерно обрабатываемых данных | 10 рабочих дней |
| Уничтожение по достижении цели или отзыве согласия | 30 дней |
13. Удаление и уничтожение данных
13.1. Удаление учётной записи. Имя и адрес почты стираются сразу; пароль, сессии и членство удаляются. Остаются записи журнала организации с отметкой «удалённый пользователь», оценки замечаний без связи с личностью и записи журнала согласий — документ, редакция, действие, время и организация, без IP-адреса и user-agent (они стираются сразу); журнал согласий удаляется через 3 года (раздел 5). Адрес почты, на который отправлен кассовый чек, и отметка о том, кто инициировал платёж (ссылка на обезличенную учётную запись), хранятся в книге платежей в течение срока раздела 5 — это обязанность Оператора по закону. Основания хранения после удаления: книга платежей — исполнение обязанностей Оператора по законодательству о применении контрольно-кассовой техники, бухгалтерскому и налоговому учёту (п. 2 ч. 1 ст. 6 Закона); журнал организации и журнал согласий — законный интерес Оператора и организации-клиента в разборе инцидентов и споров и в подтверждении заключённых договоров (п. 7 ч. 1 ст. 6 Закона). Данные в них сведены к минимуму: без имени и адреса почты удалённого Пользователя (кроме адреса для чека в книге платежей), без IP-адреса и сведений о браузере.
13.2. Удаление проекта. Проект скрывается сразу, в течение 30 дней его можно восстановить, затем его данные удаляются окончательно, в том числе тексты ответов разработчиков и записи журнала проекта (кроме записей об удалении).
13.2.1. Удаление организации. Организация и её проекты скрываются сразу; в течение 30 дней Владелец может восстановить организацию, затем данные её проектов удаляются окончательно по п. 13.2, членства участников и приглашения удаляются. Учётные записи участников не удаляются. Журнал организации хранится 1 год после её удаления, журнал согласий, книга платежей и счётчики тарификации — в сроки раздела 5.
13.3. Резервные копии. Удалённые данные исчезают из резервных копий по мере их ротации: ежедневные копии, копии перед обновлением и внешние копии хранятся 30 дней и затем удаляются автоматически. Если базу данных приходится восстановить из копии, Оператор до возобновления работы повторно выполняет удаления, совершённые после создания копии: сроковые очистки выполняются автоматически, удаления по действиям пользователей — по журналу удалений, который хранится отдельно от базы.
13.4. Если уничтожить данные в установленный срок невозможно, Оператор блокирует их и уничтожает не позднее 6 месяцев (ч. 6 ст. 21 Закона).
13.5. Уничтожение оформляется актом и выгрузкой из журнала событий по требованиям приказа Роскомнадзора от 28.10.2022 № 179.
14. Инциденты
14.1. При неправомерной или случайной передаче персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов о самом инциденте и в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 Закона). Теми же уведомлениями на портале Роскомнадзора Оператор информирует ФСБ России через государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак (ч. 12 ст. 19 Закона, п. 3 Порядка, утверждённого приказом ФСБ России от 13.02.2023 № 77). На запросы Национального координационного центра по компьютерным инцидентам Оператор отвечает в течение 24 часов.
14.2. Оператор уведомляет затронутые организации-клиенты, а по данным, обрабатываемым по их поручению (раздел 6), — в срок, указанный в Публичной оферте.
15. Заключительные положения
15.1. Политика опубликована по адресу https://codeinspect.ru/legal/privacy и доступна без регистрации.
15.2. Оператор обновляет Политику при изменении состава данных, целей, привлечённых лиц или требований закона. Новая редакция вступает в силу с момента публикации, если в ней не указано иное. Предыдущие редакции Оператор хранит и предоставляет по запросу.
15.3. Вопросы по Политике направляются на sales@codeinspect.ru.
Версия и дата
Редакция 2026-10-22 от 22.10.2026. Вступает в силу 22 октября 2026 г..