Политика обработки персональных данных

Редакция от 5 октября 2026 г.

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») разработана в соответствии с частью 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о персональных данных») и определяет цели, порядок и условия обработки персональных данных в сервисе «TableSpot», а также меры по их защите.

1.2. Оператор персональных данных — Общество с ограниченной ответственностью «МАТРИЦАТЕХНОЛОДЖИ» (ООО «МАТРИЦАТЕХНОЛОДЖИ», ИНН 1686054009, КПП 168601001, ОГРН 1251600048391, адрес: 420061, Республика Татарстан, г. Казань, ул. Космонавтов, д. 61Е, кв. 125) (далее — «Оператор»).

1.3. Политика распространяется на персональные данные, которые Оператор получает при использовании мобильного приложения «TableSpot» (далее — «Приложение»), веб-интерфейсов сервиса — CRM для ресторанов и административной панели, а также сайта TableSpot (далее вместе с Приложением — «Сервис»).

1.4. Политика опубликована в Приложении в открытом доступе: на экране входа и в разделе «Профиль» → «Политика конфиденциальности».

2. Основные понятия

2.1. Термины «персональные данные», «обработка», «автоматизированная обработка», «предоставление», «распространение», «блокирование», «уничтожение», «обезличивание», «трансграничная передача» используются в значениях, установленных статьёй 3 Закона о персональных данных.

2.2. Пользователь — физическое лицо, использующее Приложение. Ресторан — юридическое лицо или индивидуальный предприниматель, оказывающий услуги общественного питания и размещающий информацию о себе в Сервисе. Представитель Ресторана — работник или иное уполномоченное лицо Ресторана, работающее в CRM.

3. Категории субъектов и обрабатываемые персональные данные

3.1. Пользователи Приложения:

• номер мобильного телефона;
• имя;
• город;
• дата рождения и адрес электронной почты (если Пользователь их указал);
• данные о бронированиях и предзаказах: ресторан, дата, время, длительность, количество гостей, стол, комментарии, выбранные блюда и их стоимость, статусы, история посещений, отмен и неявок;
• список избранных ресторанов;
• сведения о принятых документах и данных согласиях: вид документа, его редакция, дата и время, IP-адрес, сведения о приложении (user agent);
• технические данные: токен устройства для push-уведомлений, тип платформы, IP-адрес, дата и время запросов, сведения о действиях в Сервисе;
• приблизительное местоположение устройства — только если Пользователь разрешил доступ к геолокации в настройках устройства.

3.2. Гости, бронь для которых оформлена Рестораном по телефону или на месте: имя, номер телефона, данные бронирования. Такие данные вносит в Сервис Ресторан; Оператор обрабатывает их по поручению Ресторана (часть 3 статьи 6 Закона о персональных данных), а Ресторан обеспечивает законность их получения.

3.3. Представители Ресторанов и работники Оператора, имеющие доступ к CRM и административной панели: фамилия, имя, отчество; логин; адрес электронной почты; ресторан и роль доступа; дата и время входа; IP-адрес; сведения о действиях в Сервисе (журнал аудита).

3.4. Посетители сайта, подписавшиеся на уведомление о запуске Приложения: адрес электронной почты; дата и время подписки и данного согласия, его редакция; IP-адрес; сведения о браузере (user agent).

3.5. Оператор не обрабатывает специальные категории персональных данных (о расовой и национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни) и биометрические персональные данные. Пользователю не следует указывать такие сведения, в том числе о пищевой аллергии и иных особенностях здоровья, в комментариях к бронированию и предзаказу — их лучше сообщить Ресторану при визите.

4. Цели, правовые основания и сроки обработки

4.1. Регистрация, вход в Приложение и ведение Аккаунта.
Данные: номер телефона, код подтверждения из SMS, имя, город, дата рождения, адрес электронной почты, данные сессии, IP-адрес.
Основания: исполнение Пользовательского соглашения, стороной которого является Пользователь (пункт 5 части 1 статьи 6 Закона о персональных данных); согласие Пользователя (пункт 1 части 1 статьи 6).
Срок: до удаления Аккаунта. Коды подтверждения удаляются автоматически не позднее чем через сутки после истечения срока действия или использования.

4.2. Бронирование столов, оформление предзаказов и передача сведений о них Ресторану.
Данные: имя, номер телефона, данные бронирования и предзаказа, комментарии.
Основания: исполнение Пользовательского соглашения; согласие Пользователя.
Срок: до удаления Аккаунта. После удаления сведения о бронированиях сохраняются только в обезличенном виде для учёта и статистики Ресторана.

4.3. Направление сервисных уведомлений: SMS с кодом входа, push-уведомлений о статусе бронирований и предзаказов, напоминаний о визите.
Данные: номер телефона, токен устройства, данные бронирования.
Основания: исполнение Пользовательского соглашения; согласие Пользователя.
Срок: до удаления Аккаунта или выхода из Аккаунта на устройстве (токен устройства удаляется при выходе).

4.4. Показ ресторанов на карте, расчёт расстояния и времени в пути.
Данные: город, приблизительное местоположение устройства (при наличии разрешения).
Основание: согласие Пользователя.
Срок: местоположение на сервере сохраняется только в составе бронирования (координаты на момент оформления) и удаляется при удалении Аккаунта.

4.5. Статистика и аналитика: улучшение Сервиса, сводные показатели и прогнозы для Ресторанов (загрузка, средний чек, популярные блюда).
Данные: данные бронирований и предзаказов, местоположение в составе бронирования. Ресторану доступны сведения только о гостях этого Ресторана (количество визитов, отмен, неявок) и сводные показатели.
Основание: согласие Пользователя.
Срок: до удаления Аккаунта; далее — только в обезличенном виде.

4.6. Обеспечение безопасности Сервиса, предотвращение злоупотреблений, рассмотрение обращений и претензий.
Данные: IP-адрес, журнал действий, сведения об отменах и неявках, содержание обращений.
Основания: осуществление прав и законных интересов Оператора при условии, что при этом не нарушаются права Пользователя (пункт 7 части 1 статьи 6); исполнение обязанностей, возложенных законодательством (пункт 2 части 1 статьи 6).
Срок: не более 3 лет.

4.7. Предоставление Представителям Ресторанов доступа к CRM и администрирование Сервиса.
Данные: указанные в пункте 3.3.
Основания: исполнение договора между Оператором и Рестораном (пункт 5 части 1 статьи 6); согласие Представителя Ресторана.
Срок: на период предоставления доступа; журнал аудита — не более 3 лет после прекращения доступа.

4.8. Подтверждение получения согласий и исполнение требований законодательства.
Данные: сведения о принятых документах и данных согласиях (пункт 3.1).
Основание: исполнение обязанности Оператора доказать получение согласия (часть 3 статьи 9 Закона о персональных данных).
Срок: в течение срока обработки и 3 лет после отзыва согласия.

4.9. Уведомление о запуске Приложения по подписке на сайте.
Данные: указанные в пункте 3.4.
Основание: согласие посетителя сайта (пункт 1 части 1 статьи 6), данное отдельно при подписке.
Срок: до отправки уведомления о запуске, но не более одного года с даты подписки, либо до отзыва согласия — по ссылке в письме или заявлением в порядке пункта 8.3. Рекламные рассылки по этим адресам не ведутся.

5. Порядок и условия обработки

5.1. Оператор совершает с персональными данными следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Обработка осуществляется с использованием средств автоматизации с передачей данных по сети Интернет.

5.2. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона о персональных данных).

5.3. Оператор предоставляет персональные данные:
— Ресторану, в котором оформлено бронирование: имя, номер телефона, данные бронирования и предзаказа, комментарии, сведения о визитах, отменах и неявках в этом Ресторане — для исполнения бронирования;
— хостинг-провайдер RUVDS (ruvds.com) — размещение серверов и баз данных на территории Российской Федерации, по поручению Оператора;
— ООО «СМС.РУ» (ИНН 7713461582, 127422, г. Москва, ул. Тимирязевская, д. 5/14, кв. 99) — отправка SMS с кодом входа (номер телефона и текст сообщения), по поручению Оператора;
— Google LLC (США) — доставка push-уведомлений (см. раздел 6);
— государственным органам — в случаях и порядке, предусмотренных законодательством Российской Федерации.
Лица, обрабатывающие персональные данные по поручению Оператора, обязаны соблюдать конфиденциальность и принимать меры по их защите (часть 3 статьи 6 Закона о персональных данных).

5.4. При отображении карты в Приложении используется библиотека Yandex MapKit. ООО «ЯНДЕКС» получает технические данные устройства, IP-адрес и, при наличии разрешения, местоположение и обрабатывает их как самостоятельный оператор в соответствии со своей политикой конфиденциальности.

5.5. Оператор не распространяет персональные данные неограниченному кругу лиц и не принимает решения, порождающие юридические последствия для Пользователя, на основании исключительно автоматизированной обработки персональных данных.

6. Трансграничная передача

6.1. Для доставки push-уведомлений Оператор использует сервис Firebase Cloud Messaging компании Google LLC (США). Передаются токен устройства, идентификатор и тип события бронирования и текст уведомления (название ресторана, дата и время визита, стол, число гостей, статус бронирования или предзаказа). Имя и номер телефона Пользователя в уведомления не включаются.

6.2. Получатель находится в государстве, не обеспечивающем адекватную защиту прав субъектов персональных данных. Передача осуществляется с согласия Пользователя после уведомления Роскомнадзора в порядке статьи 12 Закона о персональных данных.

6.3. Пользователь может отказаться от трансграничной передачи, отключив уведомления Приложения в настройках устройства. Сервис продолжит работать без push-уведомлений.

7. Меры по защите персональных данных

7.1. Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Закона о персональных данных, в том числе:

• назначает ответственного за организацию обработки персональных данных и издаёт локальные акты по вопросам обработки;
• определяет уровень защищённости персональных данных в соответствии с постановлением Правительства РФ от 01.11.2012 № 1119 и проводит оценку вреда, который может быть причинён субъектам;
• ограничивает доступ к персональным данным: представители Ресторанов видят данные только своих гостей, права в CRM разделены по ролям (администратор, менеджер, только просмотр);
• передаёт данные по защищённому протоколу (HTTPS/TLS);
• хранит данные сессии на устройстве Пользователя в зашифрованном виде с ключом в защищённом хранилище Android Keystore;
• хранит пароли Представителей Ресторанов только в виде криптографического хеша;
• ведёт журнал действий в CRM и административной панели, контролирует доступ к серверам, выполняет резервное копирование;
• выявляет инциденты и в случае неправомерной передачи персональных данных уведомляет Роскомнадзор в сроки, установленные частью 3.1 статьи 21 Закона о персональных данных (в течение 24 часов — первичное уведомление, в течение 72 часов — о результатах внутреннего расследования).

8. Права субъектов персональных данных

8.1. Субъект персональных данных вправе:

• получать сведения об обработке своих персональных данных в объёме, предусмотренном частью 7 статьи 14 Закона о персональных данных;
• требовать уточнения, блокирования или уничтожения персональных данных, если они неполные, устаревшие, неточные, незаконно получены или не являются необходимыми для заявленной цели обработки;
• требовать прекращения обработки персональных данных;
• отозвать согласие на обработку персональных данных;
• обжаловать действия или бездействие Оператора в Роскомнадзоре или в суде.

8.2. Изменить данные профиля Пользователь может в Приложении: «Профиль» → «Редактировать профиль».

8.3. Запросы направляются на адрес электронной почты kamafeed1212@gmail.com или по почте на адрес 420061, Республика Татарстан, г. Казань, ул. Космонавтов, д. 61Е, кв. 125. Запрос должен содержать номер телефона, к которому привязан Аккаунт, или иные сведения, позволяющие идентифицировать субъекта, и суть требования (часть 3 статьи 14 Закона о персональных данных).

8.4. Сроки ответа:

• сведения об обработке предоставляются в течение 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления;
• неполные, неточные или неактуальные данные уточняются в течение 7 рабочих дней со дня представления подтверждающих сведений;
• незаконно полученные или не необходимые для цели обработки данные уничтожаются в течение 7 рабочих дней;
• требование о прекращении обработки исполняется в течение 10 рабочих дней (с возможным продлением не более чем на 5 рабочих дней).

8.5. Отзыв согласия. Пользователь может отозвать согласие, удалив Аккаунт в Приложении («Профиль» → «Удалить аккаунт»), или направив Оператору заявление в порядке пункта 8.3. После отзыва согласия Оператор прекращает обработку и уничтожает или обезличивает персональные данные в срок, не превышающий 30 дней с даты поступления отзыва, если иное не предусмотрено законом (часть 5 статьи 21 Закона о персональных данных).

8.6. При удалении Аккаунта в Приложении: будущие бронирования отменяются; из учётной записи удаляются имя, номер телефона, адрес электронной почты и дата рождения; в бронированиях имя заменяется на «Удалённый пользователь», удаляются номер телефона, комментарии и координаты; удаляются избранное и токены устройств, все сессии завершаются. Обезличенные сведения о бронированиях сохраняются для учёта Ресторанов. Сведения о данном и отозванном согласии хранятся в соответствии с пунктом 4.8.

9. Сроки хранения и уничтожение

9.1. Персональные данные хранятся не дольше, чем этого требуют цели обработки (часть 7 статьи 5 Закона о персональных данных). Сроки по каждой цели указаны в разделе 4.

9.2. По достижении целей обработки, истечении сроков хранения или при отзыве согласия персональные данные уничтожаются или обезличиваются в срок, не превышающий 30 дней, если иное не предусмотрено законом. Уничтожение подтверждается в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179.

9.3. Коды подтверждения из SMS удаляются автоматически не позднее чем через сутки, отозванные данные сессий — не позднее чем через 7 дней.

10. Cookie и аналогичные технологии

10.1. Приложение и сайт не используют файлы cookie и не подключают сторонние рекламные и аналитические сервисы; шрифты и изображения сайта размещены на серверах Оператора. Веб-интерфейсы CRM и административной панели хранят в браузере только данные сессии входа, необходимые для их работы.

11. Заключительные положения

11.1. Оператор вправе изменять Политику. Новая редакция вступает в силу с момента её размещения в Приложении, если в ней не указано иное. Если изменяются цели обработки или состав персональных данных, Оператор запрашивает новое согласие.

11.2. Ответственный за организацию обработки персональных данных: генеральный директор Хайрутдинов Камил Рустамович, kamafeed1212@gmail.com.

11.3. Вопросы об обработке персональных данных направляйте на kamafeed1212@gmail.com.