Политика обработки персональных данных

Редакция от 20 октября 2026 года · код редакции 271edda2add7910f

1. Общие положения и оператор

Эта политика описывает, как обрабатываются персональные данные посетителей сайта Lynk900 и пользователей приложений Lynk900 и Lynk900 Mobile. Политика опубликована на сайте и доступна любому посетителю (ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).

ОГРН или ОГРНИП оператора приводится в разделе «Дополнительные сведения», если он опубликован, и сообщается по запросу.

2. Цели обработки

• принять и обработать заявку с сайта;
• связаться с вами для консультации;
• проверить совместимость вашей машины и рассчитать стоимость;
• согласовать дату и место установки;
• заключить и исполнить договор.

Рекламные рассылки оператор не ведёт. Если они появятся, то только с вашего отдельного согласия, которое даётся отдельной отметкой (ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»).

3. Какие данные из формы заявки мы обрабатываем

• имя;
• контакт для связи: телефон, имя в Telegram или электронная почта;
• выбранный пакет услуг;
• комментарий, если вы его оставили. В нём можно по желанию указать город, год машины и версию ПО головного устройства.

Технические данные: дата и время заявки, сведения о браузере (строка User-Agent) и псевдонимизированный отпечаток сети, из которой она отправлена (ключевой хеш подсети IP-адреса: /24 для IPv4, /48 для IPv6). По отпечатку видно, что заявки пришли из одной сети; сам IP-адрес вместе с заявкой не хранится. Отпечаток и строка User-Agent удаляются через 30 дней после заявки.

Журналы сервера. Сервер ведёт технический журнал запросов: время, адрес страницы и сеть, из которой пришёл запрос (подсеть, а не полный адрес). Для запросов к форме заявки сеть в журнал не пишется вовсе, а содержимое заявки и текст поиска по заявкам в журнал не попадают. Журнал ограничен по объёму (несколько десятков мегабайт) и перезаписывается по мере заполнения.

Журнал входов в административную панель хранит IP-адрес и сведения о браузере каждой попытки входа — это нужно, чтобы защищать панель от подбора пароля. Записи хранятся не дольше 12 месяцев.

VIN, паспортные данные и пароли форма не запрашивает. Пожалуйста, не указывайте их в комментарии.

Оплата подписки. На странице оплаты вы указываете e-mail или телефон для чека — его требует закон (о применении контрольно-кассовой техники или, если продавец — самозанятый, о налоге на профессиональный доход). Вместе с заказом хранятся: номер заказа и номер операции в банке, тариф, сумма и срок подписки, способ оплаты (без номера карты), статус оплаты и возвратов, контакт для чека в замаскированном виде (например, i•••@mail.ru) и его ключевой хеш, текст отметки о принятии условий, редакции оферты и этой политики, действовавшие при оплате, VIN машины, к которой относится подписка (его определяет ссылка или код с экрана машины, сами вы VIN не вводите), и псевдонимизированный отпечаток сети. Полностью контакт хранится, только если чек выдаётся вручную (продавец — самозанятый, чек из «Мой налог»): у неоплаченного заказа — 30 дней, у оплаченного — до конца оплаченного срока и ещё 30 дней, чтобы при возврате отправить чек возврата, и в любом случае до выдачи чеков по оплате и возвратам. Данные банковской карты вводятся только на странице АО «Альфа-Банк» и на сервер проекта не попадают.

Сайт не использует cookie и сервисы веб-аналитики. В вашем браузере (в локальном хранилище) сохраняются только отметки о скрытых рекламных баннерах и о том, остановлены ли анимации. Эти отметки оператору не передаются. Рекламные баннеры на сайте показываются без отслеживания посетителей. Если вы переходите по рекламной ссылке на сторонний сайт, там действует политика этого сайта.

4. Данные приложений Lynk900 и Lynk900 Mobile

Этот раздел касается тех, кто пользуется приложениями на головном устройстве машины и на телефоне.

• Приложение на головном устройстве по умолчанию передаёт на сервер проекта VIN и состояние машины: заряд и запас хода; тяговая и 12-вольтовая батареи (уровень заряда, напряжение, температура, число циклов заряда, внутреннее сопротивление); зарядка; пробег; скорость, передача и данные движения (ускорение, торможение, работа систем стабилизации, угол руля); шины (давление и температура); кузов (двери, окна, свет); климат (температура в салоне); подвеска; двигатель, уровень топлива и масла; датчик дождя; дни до планового ТО. Координаты машины не передаются. При включённом сторожевом режиме передаются и его события. Зарегистрированная машина (её запросы подписаны ключом) передаёт ещё состояние замков, охраны и зеркал, кто сидит в машине (заняты ли сиденья, пристёгнуты ли ремни) и оповещения о машине: тревога, открытые двери или окна у запертой машины, кто-то в запертой машине, мало жидкостей, неполадки шин. Как сервер их хранит и кому показывает — в следующем пункте. Всё это хранится не дольше сроков из раздела 9. Отправку можно выключить в приложении: плитка «Телеметрия», переключатель «Отправлять телеметрию на сервер». По вашей команде туда же отправляется резервная копия настроек. На сервере хранится и модель привязанного телефона.
• Замки, охрана и кто в машине. Состояние замков, охраны и зеркал, занятость сидений и ремни передаются, только если машина зарегистрирована и её запросы подписаны ключом. Сервер хранит только их последнее состояние и только пока к машине привязан телефон: без телефона он их не сохраняет, а когда отвязан последний телефон, удаляет. Показывает он их только привязанному телефону, оператор в административной панели их не видит. Оповещения о машине сервер тоже принимает, только пока привязан телефон, и хранит 30 дней; в административной панели видно лишь, что оповещение было, и его время.
• «Сейчас играет». Эта передача включена по умолчанию: на головном устройстве включён переключатель «Слушать медиасессии» (плитка «Медиацентр машины»), а доступ к уведомлениям головного устройства, который для этого нужен, приложение выдаёт себе само, автоматически и без отдельного запроса. Вместе с состоянием машины на сервер передаётся, что играет в музыкальном приложении на головном устройстве: название трека, исполнитель, альбом, приложение-плеер, длительность и позиция воспроизведения, а также обложка альбома (картинка, уменьшенная до 200 × 200 точек). Передаётся только то, что играет в приложениях из списка: Яндекс Музыка, VK Музыка, Звук, МТС Музыка, Spotify, YouTube Music и штатная музыка Flyme Auto. Из этих приложений передаётся всё, что в них играет, — не только музыка, но и подкасты, аудиокниги, радио и клипы: отличить их от музыки приложение на головном устройстве не может. По названию, автору и обложке книги или подкаста можно судить о ваших интересах, взглядах и здоровье — если вы этого не хотите, выключите переключатель «Показывать трек в приложении на телефоне» (ниже). Другие приложения, которые играют звук (браузер, видеоплееры, отдельные приложения аудиокниг, приложение ВКонтакте), а также проекция телефона на экран машины (CarPlay, HiCar и подобные) на сервер не передаются. Музыка, которую играет по Bluetooth подключённый к машине телефон (ваш или пассажира), на сервер тоже не передаётся. Всё это остаётся только на экране головного устройства. Сами уведомления на сервер не передаются. Последний трек хранится в состоянии машины, обложки — не больше 50 последних на машину. Их видят привязанный телефон и оператор в административной панели (в данных конкретной машины). Трек передаётся, чтобы показать его в приложении на телефоне: пока к машине не привязан ни один телефон, сервер трек и обложки не сохраняет, а когда отвязан последний телефон — удаляет их. Трек и обложки передаются только по защищённому каналу (HTTPS): пока приложения связываются с сервером без HTTPS, «сейчас играет» на сервер не уходит. Сроки хранения — в разделе 9; при удалении данных машины и при сбросе её регистрации (например, при продаже) обложки удаляются, последний трек — тоже. Если выключить переключатель «Слушать медиасессии», трек на сервер не передаётся, а обложки сервер не сохраняет. Отдельный переключатель «Показывать трек в приложении на телефоне» (там же, по умолчанию включён) выключает только эту передачу: трек и обложки на сервер не уходят, последний трек пропадает из состояния машины со следующей передачей, а кнопки руля и экран «Медиацентр машины» работают как прежде; уже загруженные обложки удаляются в сроки раздела 9. Переключатель «Отправлять телеметрию на сервер» выключает передачу всех данных машины, в том числе этих.
• Всё, что машина и телефон передают на сервер (состояние, события, команды), видит оператор сервера в административной панели — для поддержки и разбора неполадок. Кроме состояния замков, охраны и зеркал, занятости сидений и ремней и содержания оповещений о машине: их видит только привязанный телефон. Управлять машиной из панели нельзя.
• Если машину продали, новый владелец может выключить отправку телеметрии или удалить приложение, а по запросу на адрес для обращений из раздела 1 оператор удалит данные машины с сервера.
• Видео с камер идёт напрямую на привязанный телефон, а если это невозможно — через ретранслятор на сервере проекта. Ретранслятор записывает в свой технический журнал IP-адреса машины и телефона во время сеанса камер; журнал ограничен 30 МБ и перезаписывается по мере заполнения.
• При установлении видеосвязи IP-адреса машины и телефона видят публичные STUN-серверы (по умолчанию Google и Cloudflare).
• Запросы к голосовому ассистенту уходят с головного устройства напрямую к выбранному владельцем машины зарубежному сервису языковой модели (DeepSeek, GLM или Doubao) по его собственному ключу. Оператор эти запросы не получает.
• Ключи привязки телефона не попадают в резервные копии.
• Рейтинг замеров разгона. Если вы сами нажимаете «Отправить на сервер» после замера, на сервер уходят VIN, вид замера, результат и время замера. В общем рейтинге публикуются только место, результат, дата замера и псевдоним машины — короткий код, который сервер вычисляет из VIN с секретным ключом. Ни VIN, ни его часть, ни время замера в рейтинге не показываются, и по коду VIN не восстановить. К результату сервер добавляет метку сети отправителя — ключевой хеш IP-адреса (для IPv6 — сети /64), а не сам адрес: по ней в рейтинге ограничено число мест с одного адреса. Через 30 дней метка огрубляется так, что адрес по ней уже не определить. Метка не публикуется. Удалить свой результат можно по запросу на адрес для обращений из раздела 1.
• Обмен световыми анимациями. При публикации анимации в общий каталог на сервере сохраняются её название (его видят другие пользователи) и VIN машины (публично не показывается).
• Команды с телефона, в том числе текст «Сказать наружу», хранятся на сервере в очереди команд машины и в журнале команд вместе с VIN.
• Пока на сервере приложений не включён HTTPS, канал между приложениями и сервером не зашифрован. Запросы подписаны ключами машины и телефона, но тот, кто видит трафик (например, в общей сети Wi-Fi), может прочитать вместе с VIN телеметрию — в том числе заперта ли машина, стоит ли она на охране и есть ли кто-то в салоне, — оповещения о машине и билет камер, а в момент привязки — ключ телефона. «Сейчас играет» (трек и обложки) по незашифрованному каналу не передаётся. Привязывать телефон стоит только в доверенной сети.

Где физически расположен сервер проекта, оператор сообщает по запросу. Если эти сведения опубликованы, они приведены в разделе «Дополнительные сведения».

5. Правовые основания

Данные из формы заявки обрабатываются на основании вашего согласия (п. 1 ч. 1 ст. 6, ст. 9 Федерального закона № 152-ФЗ), а для заключения и исполнения договора, стороной которого вы являетесь, — также на основании п. 5 ч. 1 ст. 6 этого закона.

Данные для оплаты подписки (раздел 3) обрабатываются для заключения и исполнения договора подписки, стороной которого вы являетесь (п. 5 ч. 1 ст. 6), и для исполнения обязанностей, которые возлагает на оператора закон: выдать чек и хранить учётные документы (п. 2 ч. 1 ст. 6). Отдельного согласия на обработку персональных данных для оплаты не требуется.

Данные приложений (раздел 4) обрабатываются для исполнения договора на установку и обслуживание приложений, стороной которого является владелец машины (п. 5 ч. 1 ст. 6). Отдельного согласия приложения не запрашивают: отправку телеметрии владелец выключает сам, а отправка замера в рейтинг (без VIN, под псевдонимом) и публикация анимаций происходят только по его действию.

6. Согласие

Согласие оформлено отдельным документом — «Согласие на обработку персональных данных» (оператор, цели, перечень данных, действия, срок и порядок отзыва) — и даётся отдельной отметкой в форме заявки. Отметка не стоит по умолчанию. Без согласия заявка не отправляется, а сервер её не принимает. Вместе с заявкой сохраняются время отправки и редакция текстов согласия и политики, действовавшая в этот момент, а прежние редакции хранятся, — так видно, на каких условиях дано согласие.

При оплате подписки согласие на обработку персональных данных не запрашивается (раздел 5): галочка «Я принимаю условия оферты и условия оплаты и возврата» на странице оплаты — акцепт оферты, а не согласие на обработку данных. Она тоже не стоит по умолчанию, а с заказом сохраняются текст этой отметки и редакции оферты и этой политики.

7. Что мы делаем с данными

Сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление (только обработчикам по поручению оператора, раздел 8), удаление и уничтожение. Персональные данные не распространяются: в рейтинге замеров публикуется результат под псевдонимом машины, без VIN и без времени замера (раздел 4), данные из формы заявки не публикуются. Автоматизированных решений, которые порождают для вас юридические последствия, оператор не принимает.

8. Передача третьим лицам и место хранения

Данные из формы передаются только лицам, которые обрабатывают их по поручению оператора (ч. 3 ст. 6 Федерального закона № 152-ФЗ), — наименование и адрес каждого:

• перечень публикуется на этой странице вместе со сведениями об операторе и сообщается по запросу.

Оплата подписки. Оплату принимает АО «Альфа-Банк» (интернет-эквайринг; наименование и адрес банка — в перечне выше). Банк получает от сервера номер заказа, сумму, описание («Подписка Lynk 900» и тариф), e-mail для чека, если вы указали e-mail, а если чек выдаёт облачная касса банка, — указанный вами e-mail или телефон для чека. Ещё банк получает код машины для этого заказа — псевдоним, по которому только сервер проекта может найти машину, если оплату придётся сверять по данным банка (например, после восстановления сервера из резервной копии); у каждого заказа он свой, VIN из него не восстановить, сам VIN банку не передаётся. Идентификатор покупателя для сохранения карт (clientId) банку не передаётся, карты на странице банка не сохраняются по нашему запросу. Данные карты вы вводите на странице банка, и их обрабатывает банк. Если чек выдаёт облачная касса банка, банк по поручению оператора передаёт контакт для чека, название тарифа и сумму в кассу и оператору фискальных данных, а тот — в налоговую службу.

Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации ведутся с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18). Трансграничная передача данных из формы не ведётся. Если она понадобится, то только после уведомления Роскомнадзора.

Трансграничная передача: имя и контакт из заявки передаются в мессенджер Telegram для уведомления оператора о новой заявке. Получатель — оператор мессенджера Telegram, его наименование и адрес указаны в перечне выше. Серверы Telegram находятся за пределами Российской Федерации. Передача ведётся после уведомления Роскомнадзора (ч. 3 ст. 12 Федерального закона № 152-ФЗ) и только в объёме имени и контакта. Сообщения о заявках удаляются из чата автоматически не позже чем через месяц, а при удалении заявки (в том числе по отзыву согласия) — вместе с ней.

9. Сроки хранения

Данные хранятся, пока не достигнута цель обработки, но не дольше 12 месяцев после последнего контакта, если договор не заключён. Данные по заключённому договору хранятся в сроки, которые требует закон. По окончании срока данные уничтожаются: заявки удаляются с сервера автоматически, и каждое удаление записывается в журнал уничтожения персональных данных — номер и дата заявки, причина и дата удаления, без самих данных. Журнал хранится 3 года, по нему уничтожение подтверждается актом. Заявки, отмеченные как спам, удаляются через 30 дней после пометки, отпечаток сети и сведения о браузере — через 30 дней после заявки.

Данные приложений удаляются с сервера автоматически:

• команды с телефона, в том числе текст «Сказать наружу», — через 30 дней;
• события сторожевого режима — через 12 месяцев;
• оповещения о машине — через 30 дней;
• состояние машины и резервная копия настроек — через 12 месяцев после того, как машина последний раз передала их на сервер;
• состояние замков, охраны и зеркал, занятость сидений и ремни — сразу при отвязке последнего телефона, а в остальных случаях (например, телефон удалён по сроку хранения) — в течение часа;
• обложки альбомов «сейчас играет» — через 12 месяцев после того, как машина последний раз передала обложку, а если на сервере не осталось ни состояния машины, ни её регистрации, — в течение часа; последний трек и обложки машины, к которой не привязан ни один телефон, — сразу при отвязке последнего телефона, а в остальных случаях (например, телефон удалён по сроку хранения) — в течение часа;
• сведения об отвязанном телефоне — через 12 месяцев после отвязки;
• ключ машины и привязанные к ней телефоны — через 12 месяцев после того, как машина последний раз обращалась к серверу; привязанный телефон — через 12 месяцев после его последнего обращения к серверу;
• VIN, регистрация которого ждёт подтверждения администратора, — через 12 месяцев, если машина за это время так и не зарегистрировалась;
• точная метка сети у результата замера — через 30 дней (остаётся огрублённая, по которой адрес не определить);
• журнал входов в административную панель — через 12 месяцев.

Замеры в рейтинге и опубликованные анимации хранятся, пока они опубликованы. Удалить их по одному, а также все данные машины на сервере, можно раньше — по запросу на адрес для обращений из раздела 1; каждое удаление записывается в журнал уничтожения персональных данных.

Данные об оплате подписки:

• заказы, оплаты и возвраты, журнал начисления сроков подписки — 5 лет как учётные документы; они не удаляются вместе с остальными данными машины;
• полный e-mail или телефон для ручного чека — через 30 дней после заказа, а у оплаченного заказа — через 30 дней после окончания оплаченного срока, но не раньше, чем выданы чеки по оплате и возвратам;
• отпечаток сети у заказа — через 30 дней;
• ссылка на страницу оплаты банка — через 15 минут после окончания срока, отведённого на оплату;
• технический журнал событий оплаты (без контактов) — через 12 месяцев;
• ссылки и коды оплаты с экрана машины — через 30 дней после окончания их срока действия.

Резервные копии сервера хранятся не дольше 30 дней: удалённые данные исчезают и из них в этот срок.

10. Как отозвать согласие

Напишите на адрес для обращений из раздела 1 или свяжитесь с нами по другим контактам, указанным на сайте. Обработка прекращается, а данные уничтожаются в срок до 30 дней с даты получения отзыва (ч. 5 ст. 21 Федерального закона № 152-ФЗ), в том числе из резервных копий.

11. Ваши права

• получить сведения об обработке ваших персональных данных;
• потребовать уточнить, заблокировать или удалить данные;
• отозвать согласие;
• обжаловать действия оператора в Роскомнадзоре или в суде.

На запрос оператор отвечает в течение 10 рабочих дней (ст. 14, 20 Федерального закона № 152-ФЗ).

12. Куда обращаться

Запросы об обработке и удалении персональных данных направляйте на адрес для обращений из раздела 1. Их рассматривает лицо, ответственное за организацию обработки персональных данных (ст. 22.1 Федерального закона № 152-ФЗ).

13. Меры защиты

• Заявки с сайта доступны через административную панель с двухфакторной аутентификацией. Входы в панель записываются в журнал.
• Частота отправки заявок ограничена: это защищает форму от автоматических рассылок.
• Удалённые записи затираются в файле базы данных. Журналы сервера ограничены по объёму, а вместо IP-адреса посетителя в них записывается подсеть. Полный IP-адрес хранят только журнал входов в административную панель (раздел 3) и журнал ретранслятора видеосвязи (раздел 4).

14. Изменения политики

Дата и код редакции указаны в начале страницы и на странице согласия. Они меняются при любом изменении текста, сведений об операторе или передачи данных; с каждой заявкой сохраняется код редакции, на которую дано согласие. В течение 30 дней после изменения на главной странице сайта показывается уведомление об обновлении политики и согласия.