Персональные данные участников: FAQ

На странице оформления участник указывает номер телефона. Поля «Как вас зовут» и email необязательны. Отдельные поля для обязательных фамилии и отчества не предусмотрены. Система сохраняет заказ, предложение, поток, сумму, валюту, статус оплаты, права и сроки доступа, а также факт, время и принятые редакции документов и согласий.

После взаимодействия участника с Telegram-ботом добавляются числовой Telegram ID, username, если он задан, и отображаемое имя профиля. Покупка через сайт сама по себе не означает, что Telegram-профиль уже получен. Имя из формы и имя Telegram могут различаться.

В обычной покупке Subrail не запрашивает паспорт, СНИЛС, сведения о здоровье или биометрию. Полные реквизиты карты и CVV вводятся на стороне платёжного провайдера, а не в форме Subrail.

Телефон из Telegram-профиля автоматически не считывается: для покупки он заполняется в форме. Идентификатор внутренней воронки может связываться с покупателем, поэтому эти события нельзя называть полностью анонимными. Для этой аналитики не сохраняются полный IP и полная строка user-agent; журналы безопасности имеют отдельную цель и могут содержать IP.

Для отправки сообщения бот использует ID диалога участника, текст и кнопки. В них могут быть ссылки на покупку, оформление и вступление. Для проверки и изменения членства используются ID канала или чата и Telegram ID участника; для приглашения — сведения ресурса и срок действия ссылки.

Обычная выдача доступа не отправляет отдельными полями телефон или email из формы покупки. Но Telegram получает содержимое сообщения: если владелец добавил персональные данные в текст или участник написал их боту, они участвуют в этом взаимодействии. Не включайте лишние контакты в шаблоны.

В общем разделе подписчиков доступны отображаемое имя Telegram, username и Telegram ID, предложение, ресурсы, состояние и сроки доступа, отмена и напоминания. В истории платежей — суммы, валюта, статусы, даты и возвраты. Email для чека показывается, когда он имеется в соответствующей записи.

Набор зависит от экрана и прав сотрудника: список участников конкретного предложения показывает имя, оплату и доступ, но не все контакты профиля. Не рассчитывайте, что введённые при покупке телефон, email и имя обязательно появятся в общем списке подписчиков текущей версии. Их хранение в заказе и показ на конкретном экране — разные вещи.

Карточки клиентов в модуле записи на занятия могут содержать вручную добавленные контакты. Это отдельная функция и не означает автоматического переноса всех контактов покупателей марафона.

Провайдер основной инфраструктуры Subrail — Рег.облако (REG.RU). Основные хранилища заказов, службы входа и внутренней аналитики размещены на действующем облачном сервере в России. В ответе от 2 октября 2026 года провайдер подтвердил размещение сервера и резервных копий в регионе Москва-1, ЦОД «Exepto», г. Москва, пл. Академика Курчатова, д. 1, стр. 46.

Для уведомления РКН запросите у Subrail подтверждённый адрес размещения данных своего проекта через поддержку. Не подставляйте юридический адрес хостера или произвольный ЦОД из его списка. Подтверждение относится к текущему серверу Subrail и его резервным копиям; оно не распространяется на ваши самостоятельные выгрузки и внешние сервисы. Российское размещение само по себе не подтверждает выполнение всех требований к защите персональных данных. Subrail не заявляет аттестацию текущей ИСПДн.

Заказы, контакты оформления, согласия и права доступа хранятся в базе Subrail; внутренняя аналитика и служба входа используют отдельные хранилища. Локализация основных баз не означает, что все внешние получатели также находятся в России: Telegram и другие подключённые сервисы оцениваются отдельно.

Общего срока «удалить всех участников через N дней после финала» нет. По политике Subrail данные хранятся в пределах своей цели и обязательств. После прекращения цели ненужные данные подлежат удалению до 30 дней, если самостоятельное законное основание не требует сохранения. Срок доступа к материалам может продолжаться после окончания потока.

Документы обязательного учёта, сведения по незавершённому обязательству или спору могут сохраняться отдельно. Владелец определяет и указывает сроки своей обработки; поддержка уточняет применимое основание и срок для конкретного запроса. Это не обещание автоматического удаления заказа через 30 дней после марафона.

У внутренней аналитики собственный срок: исходные события рассчитаны на хранение 13 месяцев. Срок cookie покупателя до 400 дней описывает cookie, а не удаление записи участника. Эти сроки не заменяют сроки хранения заказов.

Полное автоматическое уничтожение данных участника после марафона в текущей версии не предусмотрено. Окончание потока, прекращение доступа и исключение из чата управляют доступом, а не удаляют покупки и согласия.

Есть ограниченная очистка технической аналитики по собственным правилам. Она не удаляет все данные покупателя, связанные заказы и переписку. Владелец должен отдельно организовать прекращение ненужной обработки.

В текущем кабинете нет общей кнопки, гарантированно удаляющей все данные участника из всех систем и резервных копий. Отмена подписки, закрытие доступа или удаление тестировщика из списка такой операцией не являются.

Направьте запрос в поддержку Subrail: укажите свой проект, идентификатор участника или покупки, требуемое действие и основание. Не отправляйте лишние документы или полную выгрузку клиентов. При необходимости поддержка проверит полномочия и уточнит, какие сведения должны сохраняться по самостоятельному основанию.

Резервные копии требуют отдельного контроля. Поручение предусматривает прекращение обычного использования удалённых данных и учёт удаления при восстановлении. Факт исполнения, охват хранилищ и срок очистки копий нужно получить по конкретному запросу. Отзыв доступа или исчезновение строки на экране не подтверждают уничтожение всех копий.

Владелец определяет, зачем нужны сведения участника: продажа, проведение марафона, поддержка, доступ и, отдельно, реклама. Для этих целей он — оператор. Subrail собирает и обрабатывает данные в рамках настроенных функций по поручению владельца.

Для собственных отношений с пользователями платформы, своих расчётов и безопасности Subrail действует как самостоятельный оператор — ИП Белканова Светлана Юрьевна. Роли определяются целью, а не только тем, на чьём сервере лежит запись. Передача технической работы платформе не снимает обязанности продавца перед участниками.

Да: опубликовано поручение на обработку персональных данных, связанное с офертой Subrail. Оно описывает данные, операции, ограничения целей, безопасность, подрядчиков, запросы, инциденты и прекращение обработки.

Поручение входит в единый договор, заключаемый при регистрации и принятии оферты. Отдельный договор или дополнительная подпись не требуются. Самостоятельная страница поручения нужна, чтобы ознакомиться с его условиями. Сохраняйте сведения о принятой редакции договора; простое чтение страницы не является акцептом. Поручение не заменяет вашу политику или уведомление РКН.

Subrail использует защищённые соединения, проверку входа и полномочий на сервере, разграничение доступа по проектам и ролям сотрудников, ограничение доступа к инфраструктуре и проверку происхождения запросов покупателя. Секреты подключений и отдельные данные переписки защищаются шифрованием; это не утверждение, что каждая запись базы зашифрована.

В политике и поручении закреплены конфиденциальность, ограничение доступа, помощь по запросам и реагирование на инциденты. Не выдавайте сотрудникам лишние роли и не публикуйте ключи бота или платежей. Эти меры не являются заявлением об аттестации ИСПДн, сертификации ФСТЭК или установленном для вашего проекта уровне защищённости.

В ответе от 2 октября 2026 года REG.RU сообщил, что текущий сервер не соответствует требованиям 152-ФЗ, и предложил специализированную линейку. Это ограничение нельзя считать устранённым подачей уведомления РКН или размещением баз в России. Соответствие защиты текущей инфраструктуры требует отдельной проверки и устранения выявленных недостатков; подтверждённый переход на другую конфигурацию пока не заявляется.

В обычной покупке участвуют инфраструктура Subrail, Telegram и выбранный платёжный провайдер. Служба входа и доставка служебных писем нужны для соответствующих функций аккаунта. Конкретных подрядчиков, состав данных и страны следует уточнять для действующего проекта.

Дополнительные функции меняют состав получателей:

• На поддерживаемых лендингах Яндекс Метрика и Google Analytics загружаются после отдельного разрешения посетителя. Эта интеграция не отправляет контакты покупателя, Telegram ID, заказ или оплату и не работает в кабинете и оформлении заказа.
• Подключённые VK, другие мессенджеры и социальные интеграции получают данные, необходимые выбранному сценарию.
• При включённом ИИ-ответе во внешний сервис может передаваться текст сообщения, контекст диалога, сведения о покупках, статусах и сроках доступа и материалы проекта. Если в тексте есть ПД, они не становятся автоматически обезличенными. До подключения уточните провайдера, страны, условия хранения и предусмотренное договором основание.

Наличие функции у платформы не означает, что она включена в каждом марафоне. Указывайте в документах фактически используемые сервисы. Для трансграничной передачи есть отдельный порядок — см. инструкцию РКН.

Ниже описан обмен текущих интеграций Subrail при использовании собственного терминала клиента. Данные, которые покупатель вводит на странице банка, обрабатывает банк по своим документам. Полный номер карты и CVV не нужно перечислять как собираемые вашей формой только из-за подключения эквайринга.

Чек, возврат, содержание назначения платежа и договор с провайдером — зона ответственности продавца. Не добавляйте ПД в название товара и описание оплаты без необходимости. Подключение терминала не гарантирует выдачу фискального чека: проверьте доступный режим своего провайдера и обязанности по 54-ФЗ. Банк выполняет собственные обязанности оператора по своему договору; его нельзя автоматически считать обработчиком по поручению Subrail.

Подробнее про ЮKassa:

Текущая интеграция создания платежа отправляет:

• сумму и валюту RUB;
• описание оплаты и внутренний номер заказа;
• параметры перехода на страницу оплаты и адрес возврата;
• идентификаторы магазина и запроса, необходимые для безопасного обмена.

Имя, телефон, email и Telegram ID участника отдельными полями в этом запросе не передаются. Текущий адаптер не передаёт объект фискального чека и не выпускает чек автоматически. Поле email в Subrail само по себе не означает передачу email в ЮKassa; выдачу чека продавец организует отдельно.

Из ЮKassa используются идентификатор и статус платежа, сумма, признак оплаты и тестового режима, идентификатор магазина, номер заказа и ссылка оплаты. Для возврата используются идентификаторы, сумма и статус возврата. Входящее уведомление проверяется запросом к провайдеру; одной ссылки «успешная оплата» в браузере недостаточно для открытия доступа.

Карту и сведения, которые участник указывает непосредственно на странице ЮKassa, обрабатывает платёжный сервис по своим правилам. Это отдельный поток данных; текущий адаптер Subrail не декодирует реквизиты карты. Другой провайдер может иметь другой состав обмена.

У Subrail есть политика платформы, поручение, оферта и политика cookie. Они относятся к работе платформы.

В документах своего проекта можно подготовить и опубликовать оферту, политику, отдельное согласие на ПД, добровольное рекламное согласие и текст о cookie. Можно использовать собственный текст или внешнюю HTTPS-ссылку. При покупке сохраняются принятые редакции в пределах настроенной функции.

Эта статья и руководство по РКН помогают составить документы владельца. Универсальный комплект, автоматически учитывающий все цели и сервисы каждого бизнеса, не предоставляется: заполните реквизиты, цели, данные, сроки и способы обращения для своего проекта.

Ниже — заготовка части политики. Замените обозначения в фигурных скобках и согласуйте состав с реально включёнными функциями. Это не вся политика.

Оператор — {полное наименование или ФИО, ИНН, адрес, контакт}.
Для оформления покупки, предоставления {название продукта или услуги}, доступа и поддержки обрабатываются номер телефона, имя и email при предоставлении, Telegram ID, имя пользователя и отображаемое имя при использовании Telegram, данные заказа, оплаты, срока доступа и принятия документов. Техническую обработку по поручению Оператора выполняет ИП Белканова Светлана Юрьевна, ИНН 772083003923, ОГРНИП 323774600534041, сервис Subrail (https://subrail.ru), в пределах действующего договорного поручения.
Основания определяются по цели: исполнение договора с покупателем, обязанности по закону и согласие, когда оно требуется. Сроки: {срок или условие для каждой цели и обоснованные исключения}.
Запросы и отзыв согласия направляются на {контакт Оператора}.

В своей политике отдельно опишите фактических получателей, локализацию, передачи за рубеж, защиту и порядок удаления, включая резервные копии. Фраза «всё обрабатывает Subrail» не заменяет эти сведения.

Для собственной платёжной интеграции добавьте в политику после проверки договора:

Оплата осуществляется через собственный терминал Оператора у {полное юридическое наименование Альфа-Банка, Т-Банка или провайдера ЮKassa по вашему договору}. Провайдер получает {фактический состав передаваемых данных} для проведения оплаты и выполняет собственные обязанности по обработке данных в соответствии со своим договором и политикой {ссылка}. Subrail обеспечивает технический обмен данными заказа и результатом оплаты в пределах поручения Оператора.

Для обработки на основании согласия подготовьте самостоятельный текст и отдельное подтверждение. Пример смысловой формулировки:

Я даю {Оператор, адрес} согласие на обработку {точный перечень данных} для {конкретная цель}, включая сбор, запись, систематизацию, хранение, уточнение, использование, предоставление уполномоченному обработчику, блокирование, удаление и уничтожение в необходимом объёме.
Обработка с использованием Subrail поручается ИП Белканова Светлана Юрьевна в пределах действующего договорного поручения. Согласие действует {срок или условие}; отозвать его можно через {контакт и способ}.

Не включайте сюда рекламу автоматически. Для рекламы оформите отдельный добровольный выбор, каналы и немедленный отказ. Для данных, необходимых для исполнения договора, укажите именно это основание; не превращайте согласие в универсальное объяснение любой обработки. Если законом требуется письменная форма согласия, такой короткой заготовки недостаточно.

Владелец определяет цели и минимальный состав данных, основания, сроки, допущенных сотрудников и выбранные сервисы. Он публикует свою политику, сохраняет доказательства необходимых согласий, принимает запросы участников и организует их исполнение совместно с Subrail. Требования об инцидентах, локализации и передаче за рубеж также проверяются для его деятельности.

Согласие, когда оно требуется, оформляйте отдельно от других документов. Не объединяйте обязательные условия покупки с добровольной рекламой. Назначьте порядок действий при запросах и инцидентах. При инциденте, подпадающем под часть 3.1 статьи 21, предусмотрены уведомление РКН в течение 24 часов и результаты внутреннего расследования в течение 72 часов. Сразу сообщите Subrail для совместного реагирования: ожидание ответа поддержки не приостанавливает ваши сроки. Подробности — в статье 21.

Обычно владелец марафона с автоматизированным сбором данных через Subrail должен подать своё уведомление РКН. Возможность исключения нужно оценивать по статье 22 применительно к своим процессам; статус самозанятого или использование чужой платформы сами по себе не освобождают. Если он уже внесён в реестр, проверяет необходимость изменения сведений. Реестровая запись Subrail не покрывает самостоятельного оператора-клиента.