← Правовая информация

Политика обработки персональных данных

Действующая редакция от 30 августа 2026 г. Регламентирует обработку персональных данных пользователей сервиса XAXU и посетителей сайтов, созданных через сервис.

1. Общие положения

Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», а также иными нормативными правовыми актами Российской Федерации.

Политика определяет порядок обработки и меры по обеспечению безопасности персональных данных, предпринимаемые оператором: индивидуальным предпринимателем Бичахчян Карен Мхитарович (ИНН 226911595873), далее — «Оператор».

В отношении заявок и обращений, поступающих с витрин Заказчиков (их сайтов, виджетов и мини-приложений), Оператор обрабатывает персональные данные по поручению соответствующего Заказчика (часть 3 статьи 6 Закона № 152-ФЗ), который выступает оператором таких данных; состав поручения закреплён в публичной оферте. В отношении данных самих Заказчиков, расчётов и переписки, проходящей через чат-каналы сервиса, Оператор действует самостоятельно.

Используя сервис XAXU, размещённый по адресу https://xaxu.ru (включая поддомены вида *.xaxu.ru и приложение для мессенджера MAX), сайт веб-студии Оператора vektus.ru, а также оставляя заявки через виджеты, размещённые на сайтах клиентов Оператора, субъект персональных данных подтверждает согласие с условиями настоящей Политики.

2. Термины и определения

  • Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.
  • Оператор — ИП Бичахчян Карен Мхитарович, осуществляющий обработку персональных данных.
  • Субъект — физическое лицо, чьи персональные данные обрабатываются (Заказчик услуг или гость, оставивший заявку через виджет).
  • Заказчик — пользователь, зарегистрировавший аккаунт в сервисе XAXU и использующий его для приёма заявок.
  • Гость — посетитель сайта Заказчика, оставивший заявку через виджет XAXU.
  • Обработка — любое действие с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.
  • Cookie — небольшой фрагмент данных, сохраняемый веб-браузером пользователя.

3. Категории субъектов и обрабатываемых данных

3.1. Заказчики (зарегистрированные пользователи)

При регистрации и использовании личного кабинета:

  • фамилия, имя, отчество;
  • адрес электронной почты;
  • номер телефона (включая WhatsApp / Telegram / MAX-username);
  • реквизиты ИП / юридического лица: ИНН, ОГРН/ОГРНИП, КПП, юридический адрес, банковские реквизиты;
  • аватар (изображение профиля), дата рождения, страна;
  • история платежей, баланс, история списаний;
  • журнал входов в личный кабинет (IP-адрес, User-Agent, дата);
  • токены и иные технические данные интеграций с CRM-системами (Bitrix24, amoCRM и др.).

3.2. Гости (отправители заявок через виджеты)

При отправке заявки через виджет XAXU, размещённый на сайте Заказчика, или через MAX Mini App:

  • имя;
  • номер телефона (или email / Telegram / WhatsApp / MAX — в зависимости от выбранного канала связи);
  • предпочитаемые даты заезда/выезда, количество гостей (для отелей);
  • комментарий, оставленный гостем;
  • метаданные источника заявки: URL страницы, UTM-метки, тип устройства, IP-адрес, идентификатор пользователя в MAX (для лидов из мини-приложения).

3.3. Посетители сайта

При посещении сайта без оставления заявки автоматически:

  • IP-адрес и User-Agent (для предотвращения мошенничества и определения геолокации);
  • идентификаторы cookie и localStorage (для аналитики и сохранения настроек интерфейса);
  • история переходов по страницам сайта;
  • статистика взаимодействия с виджетами (открытия, отправки, отказы).

4. Цели обработки персональных данных

Оператор обрабатывает персональные данные исключительно в следующих целях:

  • регистрация и аутентификация Заказчика в личном кабинете;
  • оказание Заказчику оплаченных услуг сервиса XAXU (приём заявок, отправка уведомлений, доставка лидов в CRM);
  • передача заявок Гостей Заказчику (владельцу виджета) для последующей обработки бронирования или продажи;
  • биллинг и формирование документов (счета, акты, чеки);
  • отправка сервисных уведомлений: о новой заявке, состоянии баланса, обновлениях сервиса;
  • обеспечение работы AmoCRM-моста: пересылка ответа менеджера обратно гостю через бот XAXU в MAX;
  • аналитика эффективности виджетов и улучшение качества сервиса (обезличенная агрегация);
  • предотвращение мошенничества, спама и злоупотреблений;
  • исполнение требований законодательства Российской Федерации.

5. Правовые основания обработки

Обработка персональных данных осуществляется на следующих правовых основаниях:

  • согласие субъекта персональных данных (отметка чекбокса при отправке заявки или регистрации);
  • исполнение договора (публичной оферты), стороной которого является субъект;
  • законные интересы Оператора и третьих лиц (защита от мошенничества, маркетинговая аналитика в обезличенном виде);
  • исполнение требований законодательства (бухгалтерский учёт, налоговое законодательство, законодательство о противодействии легализации доходов).

6. Способы обработки и сроки хранения

Обработка данных осуществляется с использованием средств автоматизации (серверы Оператора, размещённые в дата-центрах на территории Российской Федерации) и без использования таких средств.

Сроки хранения:

  • Данные Заказчиков — в течение всего срока действия аккаунта плюс 3 года после удаления (для разрешения возможных споров и налоговой отчётности).
  • Данные Гостей (заявки) — 2 года с момента создания заявки. По истечении срока — обезличиваются (имя и контакт удаляются, остаётся только тип события и метаданные).
  • Журналы доступа — 12 месяцев.
  • Платёжная информация и документы — 5 лет (требование законодательства о бухгалтерском учёте).
  • Cookie и аналитика посетителей — до 13 месяцев или до удаления пользователем в настройках браузера.

7. Передача данных третьим лицам

Оператор может передавать персональные данные следующим категориям получателей строго в объёме, необходимом для оказания услуг:

  • Заказчику — данные Гостя, оставившего заявку через витрину Заказчика. Заказчик является оператором этих данных; Сервис принимает, хранит и доставляет их по его поручению, а в собственных целях использует только для тарификации услуг и предотвращения злоупотреблений.
  • CRM-системам Заказчика (amoCRM, Bitrix24 и др.) — данные заявки передаются по настройкам интеграции, заданным Заказчиком.
  • Платёжной системе Robokassa — данные, необходимые для проведения платежа (имя плательщика, сумма, email).
  • Сервису DaData — ИНН Заказчика для автоматического заполнения его реквизитов в счетах и актах.
  • Почтовому сервису (SMTP) — email-адрес и контент уведомления.
  • Платформе MAX — идентификаторы пользователя при использовании MAX Mini App, для доставки сообщений бота.
  • Платформе Telegram — имя и идентификатор пользователя, а также содержание переписки при обращении через Telegram-бота Заказчика, для доставки сообщений в обе стороны.
  • Государственным органам — при наличии законного запроса (суд, прокуратура, ФНС).

Оператор не продаёт персональные данные и не передаёт их в маркетинговых целях третьим лицам без явного согласия субъекта.

8. Трансграничная передача

Серверы Оператора и база данных, содержащая персональные данные граждан Российской Федерации, расположены на территории Российской Федерации.

Оператор осуществляет трансграничную передачу персональных данных в одном случае — при обмене сообщениями через Telegram-бота Заказчика. Для доставки сообщений используется Bot API мессенджера Telegram, в связи с чем имя пользователя, его идентификатор в мессенджере и содержание переписки передаются иностранному лицу, оказывающему услуги этого мессенджера. Передача происходит по инициативе субъекта, начавшего переписку, и в объёме, минимально необходимом для обмена сообщениями. Документы, удостоверяющие личность, платёжные и банковские документы через этот канал не передаются.

Иные используемые Оператором сервисы — Robokassa, SMTP-провайдер, DaData, платформа MAX, amoCRM — являются российскими и хранят данные на территории Российской Федерации.

На страницах сервиса и сайтов, созданных через сервис, могут подключаться внешние ресурсы: веб-шрифты, встраиваемые видеоплееры, а также счётчики аналитики, подключаемые самим Заказчиком. Такие ресурсы получают IP-адрес и сведения о браузере посетителя непосредственно от его устройства, минуя серверы Оператора.

9. Меры обеспечения безопасности

Для защиты персональных данных применяются:

  • шифрование канала связи между пользователем и сервером (TLS 1.2+);
  • хеширование паролей (PBKDF2-SHA512, 120 000 итераций);
  • маскирование контактов гостей в личном кабинете Заказчика до момента оплаты заявки;
  • журналирование всех операций доступа к данным;
  • сегментация доступа по ролям (owner / admin / service_user / guest);
  • регулярное резервное копирование с шифрованием;
  • ограничение частоты запросов и защита публичных форм от автоматизированных обращений;
  • защита от SQL-инъекций, XSS, CSRF, SSRF на уровне кода.

10. Права субъекта персональных данных

Субъект персональных данных вправе:

  • получить информацию о составе обрабатываемых данных и целях обработки;
  • требовать уточнения, блокирования или удаления своих данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели;
  • отозвать своё согласие на обработку в любой момент;
  • требовать переноса данных в машиночитаемом формате (JSON);
  • обжаловать действия Оператора в Роскомнадзоре или в суде.

Чтобы воспользоваться любым из перечисленных прав, направьте запрос на e-mail privacy@xaxu.ru или info@xaxu.ru. Оператор обязуется ответить в течение 30 календарных дней.

11. Cookie и аналогичные технологии

Сервис XAXU использует cookie и localStorage для:

  • сохранения сессии авторизованного пользователя;
  • запоминания выбранного языка интерфейса;
  • сохранения корзины выбранных позиций в MAX Mini App до отправки заявки;
  • защиты от CSRF-атак.

Сторонние сервисы аналитики (Яндекс.Метрика, Google Analytics) подключаются Заказчиком самостоятельно на собственные сайты — Оператор не управляет этими файлами cookie. Управление cookie возможно через настройки браузера пользователя.

12. Отзыв согласия и удаление данных

Заказчик вправе в любой момент удалить свой аккаунт через раздел «Настройки» в личном кабинете. После удаления данные хранятся в архивном виде ещё 30 дней (для случайной отмены) и затем уничтожаются.

Гость, оставивший заявку, может потребовать удаления своих данных, направив письмо на privacy@xaxu.ru с указанием контактов, по которым была подана заявка. Оператор удалит данные в течение 10 рабочих дней и уведомит Заказчика, которому была передана заявка.

Финансовые документы (счета, акты) сохраняются 5 лет в соответствии с требованиями законодательства РФ о бухгалтерском учёте даже после удаления аккаунта.

13. Контакты Оператора

ИП Бичахчян Карен Мхитарович
ИНН: 226911595873

E-mail для вопросов по обработке данных: privacy@xaxu.ru

Общий e-mail: info@xaxu.ru

Поддержка: support@xaxu.ru

Сайт: https://xaxu.ru

14. Надзорный орган

В случае нарушения прав субъект персональных данных вправе обратиться в уполномоченный орган по защите прав субъектов персональных данных — Роскомнадзор:

Сайт: https://rkn.gov.ru

15. Изменения Политики

Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция всегда доступна по адресу https://xaxu.ru/legal/privacy. Существенные изменения сопровождаются уведомлением Заказчиков по e-mail. Продолжение использования сервиса после публикации обновлённой Политики означает согласие с её условиями.

Действующая редакция от 30 августа 2026 г.