Политика в отношении обработки персональных данных

Какие данные и зачем обрабатывает dxCAR, кому передаёт и сколько хранит.

Редакция от 15 октября 2026 г. · вступает в силу для действующих Лицензиатов 29 октября 2026 г.

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки и защиты персональных данных оператором — Общество с ограниченной ответственностью «Блок сервис», ИНН 5031134660, КПП 772001001, ОГРН 1195081042530 (далее — «Компания») — и подготовлена в соответствии с ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

1.2. Политика распространяется на обработку данных, осуществляемую Компанией при работе сайта dxcar.ru, при регистрации и обслуживании пользователей сервиса dxCAR, а также при исполнении поручений на обработку, данных Лицензиатами.

1.3. Политика является общедоступной и размещена по адресу dxcar.ru/privacy.

1.4. Термины «персональные данные», «обработка», «оператор», «субъект персональных данных» используются в значениях, установленных Законом. Термины «Сервис», «Лицензиат», «Пользователь», «Данные Лицензиата» — в значениях, установленных Лицензионным соглашением.

2. Принципы обработки

2.1. Компания обрабатывает данные на законной и справедливой основе, только для заранее определённых целей, в объёме, необходимом и достаточном для этих целей, и не дольше, чем требуется для их достижения.

2.2. Компания не обрабатывает специальные категории персональных данных (расовая и национальная принадлежность, политические взгляды, религиозные убеждения, состояние здоровья, интимная жизнь) и биометрические персональные данные.

2.3. Компания не принимает решений, порождающих юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки его данных.

2.4. Основные базы данных Сервиса и все резервные копии, содержащие персональные данные, размещаются на территории Российской Федерации. По собственному решению Компания не передаёт персональные данные за пределы Российской Федерации: шрифты сайта загружаются с серверов Компании, служебные оповещения работников Компании о работе Сервиса персональных данных не содержат. Все привлечённые поставщики, обрабатывающие персональные данные в рамках работы Сервиса, находятся на территории Российской Федерации; актуальный перечень указан в разделе 7.

2.4.1. Telegram. Трансграничная передача возможна только в одном случае — если Лицензиат включил в настройках Сервиса канал Telegram (бот для клиентов автосервиса, уведомления его сотрудников), подтвердив предупреждение о трансграничной передаче; кто и когда подтвердил, хранится в Сервисе. В этом случае сообщения клиентам и сотрудникам Лицензиата, направляемые через Telegram (текст сообщения, который может содержать имя клиента, сведения об автомобиле, суммы и ссылки на документы, и идентификатор получателя в Telegram), передаются через прокси-сервер Компании, размещённый за пределами Российской Федерации, на серверы Telegram — иностранного сервиса. Эту передачу Компания осуществляет по поручению Лицензиата как обработчик; решение о ней и обеспечение её законности (уведомление Роскомнадзора, согласия субъектов) лежат на Лицензиате как операторе. До включения канала и после его выключения сообщения в Telegram не направляются.

3. Две роли Компании

3.1. Компания выступает оператором в отношении данных, для которых сама определяет цели и состав обработки: сведения посетителей сайта, заявки и переписка с Компанией, сведения о платежах, обращения в поддержку и технические данные, необходимые для безопасности и эксплуатации сайта и Сервиса.

3.2. Компания выступает обработчиком по поручению Лицензиата в отношении персональных данных в Данных Лицензиата, включая данные заказчиков автосервиса и сведения об учётных записях Пользователей, а также персональных данных Пользователей в журнале их действий в рабочем пространстве (журнал действий ведёт Сервис, и Данными Лицензиата он не является — Соглашение, раздел 1). Лицензиат определяет цели и состав такой обработки и является оператором, если закон не устанавливает иное. Компания обрабатывает эти данные по документированным указаниям Лицензиата и на условиях Поручения. Компания самостоятельно выступает оператором в отношении данных регистрации, расчётов, поддержки и безопасности, когда сама определяет цели обработки.

3.2.1. Посетители сайтов автосервисов. Сайт автосервиса, созданный Лицензиатом в Сервисе (адрес вида имя.dxcar.ru или адрес Лицензиата), публикуется от имени Лицензиата, и оператором данных его посетителей является Лицензиат; условия обработки описаны в политике, которую Лицензиат размещает на своём сайте. Компания обрабатывает эти данные по поручению Лицензиата, включая технические сведения: IP-адрес посетителя используется для защиты форм от автоматизированных обращений и хранится только в преобразованном виде (хеш) не более 2 суток; обращения к сайту фиксируются в технических журналах.

3.3. Куда обращаться клиенту автосервиса. Если ваши данные оказались в Сервисе потому, что вы обращались в автосервис, оператором ваших данных является этот автосервис, и запрос об их уточнении, блокировании или удалении следует направлять ему. Обращение, поступившее в Компанию, будет в течение 3 рабочих дней переадресовано соответствующему Лицензиату; самостоятельно изменять или удалять эти данные Компания не вправе.

4. Категории данных, цели и основания

4.1. Компания не собирает данные о субъектах из открытых источников и от третьих лиц, за исключением сведений о платеже, поступающих от банка, обслуживающего расчётный счёт Компании (АО «АЛЬФА-БАНК», выписка по счёту для зачисления оплаты по счетам), и — при включённой оплате банковской картой — от платёжного сервиса.

5. Как данные попадают в Компанию

5.1. Непосредственно от субъекта — при заполнении формы регистрации, формы обратной связи, при переписке с Компанией.

5.2. От Лицензиата — при заведении учётных записей сотрудников и при размещении Данных Лицензиата в Сервисе.

5.3. Автоматически — при обращении к сайту и Сервису (журналы обращений, cookie, см. раздел 9). Сведения об ошибках в работе Сервиса направляются в систему мониторинга ошибок Компании, размещённую на сервере на территории Российской Федерации; перед отправкой адреса электронной почты и номера телефонов в них маскируются, IP-адрес и сведения о пользователе в них не включаются.

5.4. От выделенного сервера Лицензиата (Тарифы «Выделенный сервер» и «Корпоративный»). Сервер хранит данные Лицензиата у себя; Компания получает от него только следующие сведения.

• Проверка лицензии (периодически): версия Сервиса, выпуска и структуры базы данных; результат последнего обновления с фрагментом его журнала; объём свободного и общего дискового пространства, состояние дискового массива; время последнего резервного копирования; число рабочих постов и действующих точек (адресов) сети, число заказ-нарядов за прошлый месяц и число точек, на которых они оформлялись (только числа); время последней работы пользователей в Сервисе (без указания, кто работал); случайный идентификатор установки; наименование организации Лицензиата, адрес электронной почты и телефон из её карточки. Контактные данные владельца Лицензиата, указанные при подготовке сервера, хранятся у Компании с момента его подготовки.
• Туннель связи. Обращения к Сервису из сети Интернет по адресу сервера проходят через инфраструктуру Компании: защищённое соединение (TLS) завершается на сервере Компании и передаётся на выделенный сервер по туннелю. Содержимое обращений Компания не сохраняет. Работа из локальной сети Лицензиата через Компанию не проходит.
• Сообщения. Сообщения клиентам Лицензиата (SMS, электронная почта, мессенджеры) отправляются через Компанию с учётными данными Лицензиата; Компания их не сохраняет, кроме отметки о результате доставки. Входящие сообщения мессенджеров и события телефонии принимаются Компанией и хранятся до передачи на сервер, но не более 7 дней.
• Обмен с облачной 1С:Бухгалтерией, поиск запасных частей, электронный документооборот — запрос, данные запроса и реквизиты доступа Лицензиата передаются через Компанию исключительно для его выполнения; Компания их не сохраняет (результаты поиска запасных частей хранятся не более 2 минут).
• Сайт сервиса. Для проверки перед публикацией на сервер Компании передаются снимок страницы и изменённые тексты (п. 7.2); снимок хранится 90 дней после решения, перечень изменений и решение — в течение срока действия договора. Проверка «я не робот» на формах сайта выполняется через Компанию (токен и IP-адрес посетителя, без сохранения).
• «Звонки». Если на выделенном сервере используются «Звонки», аудиозаписи передаются через Компанию поставщику распознавания речи; при включённой Лицензиатом функции ИИ-анализа поставщикам языковых моделей передаются тексты расшифровок и направление разговора. Компания не хранит аудио или расшифровки в своей постоянной среде обработки сверх времени, необходимого для выполнения соответствующего запроса.
• Резервные копии. Сервер ежедневно передаёт в хранилище Компании резервную копию базы данных и файлов, зашифрованную на сервере; копия хранится 30 дней. Ключ для её расшифровки и ключи шифрования диска сервера Компания хранит только в зашифрованном виде, доступном уполномоченным работникам Компании, и использует для восстановления сервера и данных.
• Доступ инженеров. На сервере установлены SSH-ключи инженеров Компании для установки, обновления и технической поддержки (п. 10.1.1 Соглашения).

6. Сроки обработки и хранения

7. Кому передаются данные

7.1. Компания не продаёт персональные данные, не передаёт их для маркетинговых целей третьих лиц и не раскрывает другим Лицензиатам.

7.2. Для работы Сервиса Компания привлекает следующих поставщиков. Все они находятся на территории Российской Федерации; обработка ведётся на основании договоров, предусматривающих конфиденциальность и защиту данных. Поставщики распознавания речи и ИИ-разбора получают данные только по возможностям, которые Лицензиат подключил сам, и только для выполнения запроса Сервиса; Компания не разрешает им использовать переданные данные в собственных целях.

7.3. Компания передаёт данные государственным органам в случаях и в объёме, прямо предусмотренных законодательством Российской Федерации.

7.4. Интеграции, которые Лицензиат подключает самостоятельно, своими учётными данными (телефония и АТС, передающие записи разговоров в Сервис, кассовое оборудование и ОФД, электронный документооборот, поставщики запчастей, мессенджеры, 1С:Бухгалтерия, сервис подсказок DaData — ему из браузера Пользователя передаются вводимые адрес, наименование организации, ИНН или БИК, счётчик Яндекс.Метрики на сайте автосервиса), не являются поставщиками Компании. Передача данных в них происходит по решению Лицензиата, и оператором в этих отношениях выступает Лицензиат.

8. Меры защиты

8.1. Компания принимает правовые, организационные и технические меры для защиты данных от неправомерного доступа, уничтожения, изменения, копирования и распространения. В их числе:

• данные каждого Лицензиата размещаются в отдельной базе данных, доступ между базами разных Лицензиатов невозможен;
• диск с данными зашифрован; ключ шифрования на сервере не хранится, том разблокируется вручную уполномоченным лицом;
• резервные копии шифруются до выгрузки в хранилище и не могут быть прочитаны на стороне хранилища;
• обмен с сайтом и Сервисом — только по защищённому протоколу HTTPS;
• доступ сотрудников Лицензиата к разделам Сервиса разграничен правами; действия в Сервисе журналируются;
• сессия в Сервисе автоматически завершается после 30 минут бездействия;
• Компания назначает лицо, ответственное за организацию обработки персональных данных; доступ к данным имеют только работники Компании, которым он необходим для выполнения их обязанностей, — под обязательством о неразглашении, — и привлечённые поставщики из п. 7.2;
• ведётся журнал обращений субъектов персональных данных.

8.2. При выявлении инцидента, повлёкшего неправомерную или случайную передачу, уничтожение, изменение либо иной несанкционированный доступ к персональным данным, Компания принимает меры по локализации и расследованию инцидента, уведомляет уполномоченный орган в сроки, установленные законодательством, а затронутого Лицензиата — без неоправданной задержки, но не позднее 72 часов с момента обнаружения инцидента. Уведомление по возможности содержит характер инцидента, категории и примерный объём затронутых данных, известные последствия, принятые и планируемые меры и контакт для связи. Компания дополняет уведомление по мере установления существенных обстоятельств.

9. Cookie и веб-аналитика

9.1. Сайт использует cookie, необходимые для его работы: идентификатор сессии и защита форм от подделки запросов. Без них формы сайта работать не будут. Выбор посетителя в баннере cookie и настройка оформления сохраняются в его браузере.

9.2. Сайт dxcar.ru использует Яндекс.Метрику с Вебвизором и картой кликов. Счётчик загружается только после того, как посетитель нажал «Принять» в баннере cookie; до этого сведения в Яндекс.Метрику не передаются. Поля форм с персональными данными исключены из записи Вебвизора. Отказаться или отозвать согласие можно в любой момент кнопкой «Настройки cookie» в подвале сайта: счётчик перестаёт загружаться, а его cookie удаляются. На работу сайта и Сервиса это не влияет.

9.3. Сайт не использует cookie для показа рекламы и не передаёт данные посетителей рекламным сетям.

9.4. Сайты автосервисов. На сайте автосервиса, созданном Лицензиатом в Сервисе, счётчик Яндекс.Метрики используется, только если его подключил Лицензиат своим номером счётчика; он загружается после согласия посетителя, без Вебвизора, и оператором собранных им сведений является Лицензиат. Видео VK Видео и Rutube и карта Яндекса на таком сайте загружаются только после нажатия посетителем кнопки показа; с этого момента соответствующий сервис получает сведения о посещении и может устанавливать свои cookie по своим правилам.

10. Права субъекта персональных данных

10.1. Субъект вправе получить сведения об обработке своих данных: подтверждение факта обработки, правовые основания и цели, применяемые способы, перечень обрабатываемых данных и источник их получения, сроки обработки, сведения о лицах, которым данные могут быть переданы, порядок реализации своих прав.

10.2. Субъект вправе требовать уточнения, блокирования или уничтожения своих данных, если они неполны, устарели, неточны, получены незаконно или не являются необходимыми для заявленной цели, а также отозвать согласие на обработку.

10.3. Субъект вправе обжаловать действия Компании в Роскомнадзор или в суд.

10.4. Как обратиться. Запрос направляется по адресу электронной почты dxcar@dxcar.ru. Запрос должен содержать сведения, позволяющие идентифицировать субъекта, и суть требования. Компания отвечает в течение 30 дней с даты получения запроса.

10.5. Если запрос касается данных, обрабатываемых по поручению Лицензиата, применяется п. 3.3 настоящей Политики.

11. Изменение Политики

11.1. Компания вправе изменять Политику. Действующая редакция всегда доступна по адресу dxcar.ru/privacy с указанием даты редакции.

11.2. Об изменениях, существенно затрагивающих права субъектов, Компания уведомляет Лицензиатов по электронной почте не позднее чем за 14 календарных дней до вступления изменений в силу.

12. Контакты