Политика обработки персональных данных (Политика конфиденциальности)

Редакция 1.0 от 6 сентября 2026 г.

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — «Политика») составлена в соответствии с ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и определяет позицию оператора сервисов «ЕВМИАС», реквизиты которого приведены в разделе 16 настоящей Политики (далее — «Оператор», «мы»), в отношении обработки и защиты персональных данных.

1.2. Политика действует в отношении всех персональных данных, которые Оператор обрабатывает в связи с использованием:

• сайта https://evmias.ru и его поддоменов (далее — «Сайт»);
• веб-сервиса «ЕВМИАС CRM» для ветеринарных клиник, доступного по адресу https://crm.evmias.ru (далее — «CRM»);
• мобильного приложения «ЕВМИАС» для владельцев домашних животных (далее — «Приложение»).

1.3. Политика опубликована в свободном доступе на Сайте по адресу https://evmias.ru/ru/legal/privacy, доступна по ссылке из CRM и Приложения, а также из карточек Приложения в магазинах приложений.

1.4. Используя Сайт, CRM или Приложение, вы подтверждаете, что ознакомились с настоящей Политикой. Согласие на обработку персональных данных оформляется отдельным документом (ч. 1 ст. 9 152-ФЗ) и не входит в состав настоящей Политики.

2. Термины

• Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту ПДн).
• Оператор — лицо, определяющее цели и состав обработки ПДн.
• Обработчик — лицо, обрабатывающее ПДн по поручению оператора (ч. 3 ст. 6 152-ФЗ).
• Клиника — ветеринарная организация или ИП, заключившие с Оператором договор на использование CRM.
• Пользователь Приложения — физическое лицо, зарегистрировавшее аккаунт в Приложении.
• Клиент Клиники — физическое лицо, сведения о котором Клиника вносит в CRM (владелец животного, обслуживаемый Клиникой).

3. Роли Оператора

3.1. Оператор выступает оператором персональных данных в отношении:

• Пользователей Приложения;
• сотрудников и представителей Клиник (учётные записи CRM);
• посетителей Сайта;
• лиц, обращающихся в поддержку.

3.2. В отношении Клиентов Клиник и связанных с ними записей (данные о животных, медицинские записи о животных, загруженные Клиникой документы) Оператор выступает обработчиком по поручению Клиники (ч. 3 ст. 6 152-ФЗ): оператором таких данных является Клиника, которая самостоятельно определяет цели их обработки и отвечает за законность их получения, включая получение согласий своих клиентов. Условия поручения определены документом «Поручение на обработку персональных данных» (https://evmias.ru/ru/legal/dpa, приложение к договору-оферте на использование CRM).

3.3. Если Пользователь Приложения привязал аккаунт к своей карточке клиента в Клинике, то в отношении данных аккаунта Оператор действует как оператор, а в отношении карточки клиента и медицинских записей в базе Клиники — как обработчик по поручению этой Клиники.

4. Категории субъектов и состав обрабатываемых ПДн

4.1. Пользователи Приложения:

• фамилия, имя, отчество;
• адрес электронной почты; номер телефона; адрес (при заполнении профиля);
• фотография профиля (при загрузке);
• идентификаторы аккаунтов Яндекс ID / VK ID (при входе через эти сервисы);
• сведения о питомцах пользователя: кличка, вид, порода, пол, дата рождения, вес, номер чипа, фотография (данные о животных сами по себе не являются ПДн, но обрабатываются в связке с данными владельца);
• push-токен устройства и платформа (iOS/Android) — для доставки уведомлений;
• настройки уведомлений; записи на приём (клиника, врач, услуга, время, комментарий);
• отзывы о клиниках и врачах (оценка, текст, имя автора);
• сведения об ошибках работы Приложения (крэш-отчёты: тип и текст ошибки, версия Приложения, модель устройства и версия операционной системы).

Геолокация устройства используется только локально на устройстве для показа ближайших клиник на карте и на серверы Оператора не передаётся.

4.2. Сотрудники и представители Клиник (пользователи CRM):

• фамилия, имя; адрес электронной почты; имя пользователя (логин); номер телефона;
• должность, роль и права доступа в организации;
• при регистрации организации — также сведения о Клинике (название, город, адрес, ИНН, телефон, сайт), которые относятся к юридическому лицу, но могут содержать ПДн представителя (например, ИП).

4.3. Клиенты Клиник (обработка по поручению Клиники):

• фамилия, имя, отчество; серия и номер паспорта; номер телефона; адрес электронной почты; адрес; тип клиента, скидка, источник обращения, заметки Клиники;
• данные о животных клиента и медицинские записи о них (осмотры, диагнозы, назначения, вакцинации, лабораторные исследования и их результаты);
• загруженные Клиникой файлы и документы, включая автоматически распознанный текст документов (OCR);
• сведения о счетах и оплатах услуг Клиники (суммы, даты; платёжные реквизиты карт не сохраняются);
• отзывы, оставленные через Приложение.

4.4. Посетители Сайта: данные, оставленные в формах обратной связи, — имя, контакт для ответа (адрес электронной почты и/или номер телефона), текст обращения. Иные сведения о посетителях Сайт не собирает (раздел 9).

4.5. Оператор не обрабатывает специальные категории ПДн (о расовой принадлежности, политических взглядах, здоровье, интимной жизни людей) и биометрические ПДн. Сведения о здоровье животных не относятся к специальным категориям ПДн, поскольку не характеризуют состояние здоровья субъекта-человека.

5. Цели и правовые основания обработки

6. Условия и способы обработки. Автоматизированная обработка и ИИ

6.1. Обработка ведётся с использованием средств автоматизации: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

6.2. В CRM доступны функции на основе искусственного интеллекта (ИИ-ассистент, распознавание документов). При их использовании:

• запросы обрабатываются на инфраструктуре Yandex Cloud (Российская Федерация);
• перед передачей в языковую модель данные обезличиваются: имена, клички, телефоны и адреса электронной почты маскируются;
• исключение — режим, в котором сотрудник Клиники диктует ассистенту данные для создания карточки клиента: продиктованный текст (включая ФИО и контакты) передаётся в языковую модель для извлечения полей. Ответственность за использование этого режима в отношении данных своих клиентов несёт Клиника как оператор;
• изображения документов, загруженные для распознавания, обрабатываются сервисом Yandex Vision OCR с отключённым логированием данных;
• история переписки с ИИ-ассистентом хранится в базе данных CRM (срок — раздел 10).

6.3. Решения, порождающие юридические последствия для субъекта, исключительно на основании автоматизированной обработки не принимаются.

6.4. В CRM ведётся журнал действий пользователей (аудит-журнал), фиксирующий изменения записей, включая состояние данных до и после изменения, — в целях безопасности, расследования инцидентов и обеспечения подотчётности.

7. Передача ПДн третьим лицам

7.1. Оператор поручает отдельные операции обработки следующим лицам (с соблюдением ч. 3 ст. 6 152-ФЗ):

7.2. Иных получателей персональных данных нет. Сведения об ошибках работы Приложения (п. 4.1) обрабатываются на инфраструктуре Оператора и сторонним сервисам мониторинга не передаются.

7.3. Передача иным третьим лицам возможна только: с согласия субъекта; по требованию уполномоченных госорганов в предусмотренных законом случаях; при реорганизации Оператора с сохранением режима защиты ПДн.

7.4. Оператор не продаёт персональные данные и не передаёт их для рекламных целей третьих лиц.

8. Трансграничная передача

8.1. Для доставки push-уведомлений push-токен устройства передаётся на серверы Expo, Inc. и Google LLC (США). США не включены в перечень государств, обеспечивающих адекватную защиту прав субъектов ПДн. Иных трансграничных передач Оператор не осуществляет.

8.2. Первичный сбор и запись всех ПДн осуществляются в базы данных, находящиеся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ); за рубеж передаётся только минимально необходимый набор технических данных (push-токен, платформа). Push-токен не позволяет идентифицировать субъекта без данных, хранящихся у Оператора.

8.3. До начала трансграничной передачи Оператор направляет в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу (ст. 12 152-ФЗ).

8.4. Пользователь может запретить передачу push-токена, отключив push-уведомления в настройках устройства или Приложения, — функциональность Приложения, кроме уведомлений, при этом сохраняется.

9. Cookie и технологии хранения данных

9.1. Сайт. Сайт представляет собой набор статических страниц. Он не устанавливает cookie-файлы, не использует счётчики посещаемости, системы веб-аналитики и рекламные трекеры — ни российские, ни иностранные. Выбранный язык интерфейса определяется адресом страницы (/ru/…, /en/…) и не сохраняется на устройстве. Единственная технология хранения, применяемая на Сайте, — хранилище сессии браузера (sessionStorage), куда записывается служебная отметка о попытке перезагрузить страницу при сбое загрузки её компонентов; отметка не содержит персональных данных, не покидает устройство и удаляется при закрытии вкладки.

9.2. CRM и Приложение. В CRM и Приложении применяются технически необходимые cookie и аналогичные механизмы (токены сессии и авторизации, защита от подделки запросов, пользовательские настройки интерфейса). Без них вход в учётную запись и работа сервисов невозможны, поэтому они используются на основании договора с пользователем и не требуют отдельного согласия. Аналитические и рекламные cookie в CRM и Приложении не применяются.

9.3. Логи веб-серверов (IP-адрес, дата и время обращения, запрошенный адрес, сведения о браузере) ведутся в целях обеспечения работоспособности и безопасности сервисов на основании законного интереса Оператора, хранятся не более 6 месяцев и не используются для построения профиля пользователя или показа рекламы.

10. Сроки хранения и уничтожение

10.1. Сроки хранения:

10.2. По достижении целей обработки либо при отзыве согласия (если нет иного законного основания) ПДн уничтожаются в срок не более 30 дней; уничтожение подтверждается актом или выгрузкой из журнала событий.

10.3. Журнал согласий переживает удаление аккаунта: после удаления учётной записи в нём остаются адрес электронной почты, тип согласия, версия принятого текста, дата и время, а также IP-адрес и User-Agent устройства, с которого согласие было дано. Эти сведения хранятся исключительно как доказательство законности обработки и рассылок (ч. 2 ст. 13.11 и ч. 4.1 ст. 14.3 КоАП РФ), не используются ни для каких иных целей и уничтожаются по истечении срока, указанного в таблице выше.

11. Права субъектов ПДн

11.1. Субъект вправе: получать сведения об обработке своих ПДн; требовать уточнения, блокирования, уничтожения неточных или незаконно обрабатываемых данных; отзывать согласие; обжаловать действия Оператора в Роскомнадзор или суд.

11.2. Запросы направляются по электронной почте help@evmias.ru либо письменно по адресу Оператора (раздел 16). Запрос должен содержать сведения, предусмотренные ч. 3 ст. 14 152-ФЗ. Ответ — в течение 10 рабочих дней с момента обращения (срок может быть продлён не более чем на 5 рабочих дней с уведомлением).

11.3. Пользователь Приложения может самостоятельно: изменить данные профиля, удалить питомцев, отключить уведомления, удалить аккаунт (в настройках Приложения либо по запросу в поддержку).

11.4. Если запрос касается данных, которые Оператор обрабатывает по поручению Клиники (карточка клиента, медкарты), Оператор перенаправляет запрос Клинике-оператору и уведомляет об этом субъекта.

12. Меры защиты ПДн

Оператор принимает правовые, организационные и технические меры (ст. 18.1, 19 152-ФЗ), включая: назначение ответственного за организацию обработки ПДн; издание внутренних регламентов; определение угроз и уровней защищённости (ПП РФ № 1119); шифрование каналов связи (TLS); хранение паролей в виде криптографических хэшей; разграничение доступа по ролям; журналирование действий; резервное копирование; оценку вреда субъектам; внутренний контроль; ознакомление работников с требованиями законодательства о ПДн.

13. Локализация

Базы данных, используемые для сбора, записи, систематизации, накопления, хранения, уточнения и извлечения ПДн граждан РФ, находятся на территории Российской Федерации (инфраструктура Yandex Cloud). Первичный сбор ПДн через иностранные базы данных и сервисы не осуществляется (ч. 5 ст. 18 152-ФЗ в ред. ФЗ от 28.02.2025 № 23-ФЗ).

14. Уведомление об инцидентах

При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн Оператор уведомляет Роскомнадзор в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов (ст. 21 152-ФЗ), и принимает меры по минимизации вреда субъектам.

15. Изменение Политики

Оператор вправе обновлять Политику. Новая редакция публикуется на Сайте по адресу https://evmias.ru/ru/legal/privacy с указанием даты; при существенных изменениях пользователи уведомляются через Сайт, CRM или Приложение. Продолжение использования сервисов после публикации означает ознакомление с новой редакцией.

16. Реквизиты и контакты Оператора

Сведения ниже заполняются перед публикацией редакции. Пока в таблице остаётся отметка «НЕ ЗАПОЛНЕНО», документ не является действующей редакцией и не подлежит размещению в открытом доступе.