← Правовая информация

Политика обработки персональных данных

Действующая редакция от 20.07.2026. Регламентирует обработку персональных данных пользователей сервиса XAXU и посетителей сайтов, созданных через сервис.

1. Общие положения

Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», а также иными нормативными правовыми актами Российской Федерации.

Политика определяет порядок обработки и меры по обеспечению безопасности персональных данных, предпринимаемые оператором: индивидуальным предпринимателем Бичахчян Карен Мхитарович (ИНН 226911595873), далее — «Оператор».

Используя сервис XAXU, размещённый по адресу https://xaxu.ru (включая поддомены вида *.xaxu.ru и приложение для мессенджера MAX), а также оставляя заявки через виджеты, размещённые на сайтах клиентов Оператора, субъект персональных данных подтверждает согласие с условиями настоящей Политики.

2. Термины и определения

  • Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.
  • Оператор — ИП Бичахчян Карен Мхитарович, осуществляющий обработку персональных данных.
  • Субъект — физическое лицо, чьи персональные данные обрабатываются (Заказчик услуг или гость, оставивший заявку через виджет).
  • Заказчик — пользователь, зарегистрировавший аккаунт в сервисе XAXU и использующий его для приёма заявок.
  • Гость — посетитель сайта Заказчика, оставивший заявку через виджет XAXU.
  • Обработка — любое действие с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.
  • Cookie — небольшой фрагмент данных, сохраняемый веб-браузером пользователя.

3. Категории субъектов и обрабатываемых данных

3.1. Заказчики (зарегистрированные пользователи)

При регистрации и использовании личного кабинета:

  • фамилия, имя, отчество;
  • адрес электронной почты;
  • номер телефона (включая WhatsApp / Telegram / MAX-username);
  • реквизиты ИП / юридического лица: ИНН, ОГРН/ОГРНИП, КПП, юридический адрес, банковские реквизиты;
  • аватар (изображение профиля), дата рождения, страна;
  • история платежей, баланс, история списаний;
  • журнал входов в личный кабинет (IP-адрес, User-Agent, дата);
  • токены и иные технические данные интеграций с CRM-системами (Bitrix24, amoCRM и др.).

3.2. Гости (отправители заявок через виджеты)

При отправке заявки через виджет XAXU, размещённый на сайте Заказчика, или через MAX Mini App:

  • имя;
  • номер телефона (или email / Telegram / WhatsApp / MAX — в зависимости от выбранного канала связи);
  • предпочитаемые даты заезда/выезда, количество гостей (для отелей);
  • комментарий, оставленный гостем;
  • метаданные источника заявки: URL страницы, UTM-метки, тип устройства, IP-адрес, идентификатор пользователя в MAX (для лидов из мини-приложения).

3.3. Посетители сайта

При посещении сайта без оставления заявки автоматически:

  • IP-адрес и User-Agent (для предотвращения мошенничества и определения геолокации);
  • идентификаторы cookie и localStorage (для аналитики и сохранения настроек интерфейса);
  • история переходов по страницам сайта;
  • статистика взаимодействия с виджетами (открытия, отправки, отказы).

4. Цели обработки персональных данных

Оператор обрабатывает персональные данные исключительно в следующих целях:

  • регистрация и аутентификация Заказчика в личном кабинете;
  • оказание Заказчику оплаченных услуг сервиса XAXU (приём заявок, отправка уведомлений, доставка лидов в CRM);
  • передача заявок Гостей Заказчику (владельцу виджета) для последующей обработки бронирования или продажи;
  • биллинг и формирование документов (счета, акты, чеки);
  • отправка сервисных уведомлений: о новой заявке, состоянии баланса, обновлениях сервиса;
  • обеспечение работы AmoCRM-моста: пересылка ответа менеджера обратно гостю через бот XAXU в MAX;
  • аналитика эффективности виджетов и улучшение качества сервиса (обезличенная агрегация);
  • предотвращение мошенничества, спама и злоупотреблений;
  • исполнение требований законодательства Российской Федерации.

5. Правовые основания обработки

Обработка персональных данных осуществляется на следующих правовых основаниях:

  • согласие субъекта персональных данных (отметка чекбокса при отправке заявки или регистрации);
  • исполнение договора (публичной оферты), стороной которого является субъект;
  • законные интересы Оператора и третьих лиц (защита от мошенничества, маркетинговая аналитика в обезличенном виде);
  • исполнение требований законодательства (бухгалтерский учёт, налоговое законодательство, законодательство о противодействии легализации доходов).

6. Способы обработки и сроки хранения

Обработка данных осуществляется с использованием средств автоматизации (серверы Оператора, размещённые в дата-центрах на территории Российской Федерации) и без использования таких средств.

Сроки хранения:

  • Данные Заказчиков — в течение всего срока действия аккаунта плюс 3 года после удаления (для разрешения возможных споров и налоговой отчётности).
  • Данные Гостей (заявки) — 2 года с момента создания заявки. По истечении срока — обезличиваются (имя и контакт удаляются, остаётся только тип события и метаданные).
  • Журналы доступа — 12 месяцев.
  • Платёжная информация и документы — 5 лет (требование законодательства о бухгалтерском учёте).
  • Cookie и аналитика посетителей — до 13 месяцев или до удаления пользователем в настройках браузера.

7. Передача данных третьим лицам

Оператор может передавать персональные данные следующим категориям получателей строго в объёме, необходимом для оказания услуг:

  • Заказчику виджета — данные Гостя, оставившего заявку через виджет Заказчика. Заказчик становится самостоятельным оператором этих данных с момента получения.
  • CRM-системам Заказчика (amoCRM, Bitrix24 и др.) — данные заявки передаются по настройкам интеграции, заданным Заказчиком.
  • Платёжной системе Robokassa — данные, необходимые для проведения платежа (имя плательщика, сумма, email).
  • Почтовому сервису (SMTP) — email-адрес и контент уведомления.
  • Платформе MAX — идентификаторы пользователя при использовании MAX Mini App, для доставки сообщений бота.
  • Государственным органам — при наличии законного запроса (суд, прокуратура, ФНС).

Оператор не продаёт персональные данные и не передаёт их в маркетинговых целях третьим лицам без явного согласия субъекта.

8. Трансграничная передача

Все серверы Оператора расположены на территории Российской Федерации. Оператор не осуществляет трансграничную передачу персональных данных российских граждан. Исключение составляют сторонние сервисы (Robokassa, SMTP-провайдер), которые сами могут хранить данные на собственных серверах в РФ.

9. Меры обеспечения безопасности

Для защиты персональных данных применяются:

  • шифрование канала связи между пользователем и сервером (TLS 1.2+);
  • хеширование паролей (PBKDF2-SHA512, 120 000 итераций);
  • маскирование контактов гостей в личном кабинете Заказчика до момента оплаты заявки;
  • журналирование всех операций доступа к данным;
  • сегментация доступа по ролям (owner / admin / service_user / guest);
  • регулярное резервное копирование с шифрованием;
  • защита от SQL-инъекций, XSS, CSRF, SSRF на уровне кода;
  • двухфакторная аутентификация через одноразовый код, отправляемый на e-mail (по требованию).

10. Права субъекта персональных данных

Субъект персональных данных вправе:

  • получить информацию о составе обрабатываемых данных и целях обработки;
  • требовать уточнения, блокирования или удаления своих данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели;
  • отозвать своё согласие на обработку в любой момент;
  • требовать переноса данных в машиночитаемом формате (JSON);
  • обжаловать действия Оператора в Роскомнадзоре или в суде.

Чтобы воспользоваться любым из перечисленных прав, направьте запрос на e-mail privacy@xaxu.ru или info@xaxu.ru. Оператор обязуется ответить в течение 30 календарных дней.

11. Cookie и аналогичные технологии

Сервис XAXU использует cookie и localStorage для:

  • сохранения сессии авторизованного пользователя;
  • запоминания выбранного языка интерфейса;
  • сохранения корзины выбранных позиций в MAX Mini App до отправки заявки;
  • защиты от CSRF-атак.

Сторонние сервисы аналитики (Яндекс.Метрика, Google Analytics) подключаются Заказчиком самостоятельно на собственные сайты — Оператор не управляет этими файлами cookie. Управление cookie возможно через настройки браузера пользователя.

12. Отзыв согласия и удаление данных

Заказчик вправе в любой момент удалить свой аккаунт через раздел «Настройки» в личном кабинете. После удаления данные хранятся в архивном виде ещё 30 дней (для случайной отмены) и затем уничтожаются.

Гость, оставивший заявку, может потребовать удаления своих данных, направив письмо на privacy@xaxu.ru с указанием контактов, по которым была подана заявка. Оператор удалит данные в течение 10 рабочих дней и уведомит Заказчика, которому была передана заявка.

Финансовые документы (счета, акты) сохраняются 5 лет в соответствии с требованиями законодательства РФ о бухгалтерском учёте даже после удаления аккаунта.

13. Контакты Оператора

ИП Бичахчян Карен Мхитарович
ИНН: 226911595873

E-mail для вопросов по обработке данных: privacy@xaxu.ru

Общий e-mail: info@xaxu.ru

Поддержка: support@xaxu.ru

Сайт: https://xaxu.ru

14. Надзорный орган

В случае нарушения прав субъект персональных данных вправе обратиться в уполномоченный орган по защите прав субъектов персональных данных — Роскомнадзор:

Сайт: https://rkn.gov.ru

15. Изменения Политики

Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция всегда доступна по адресу https://xaxu.ru/legal/privacy. Существенные изменения сопровождаются уведомлением Заказчиков по e-mail. Продолжение использования сервиса после публикации обновлённой Политики означает согласие с её условиями.

Действующая редакция от 20.07.2026.