Версия документа / Document version: 1.2

Политика в отношении обработки персональных данных

Редакция от: 03.11.2026 Оператор: Индивидуальный предприниматель Хайруллин Мансур Мусавирович (ИНН 165505438406, ОГРНИП 323169000104503), далее — «Оператор».

Personal Data Processing Policy

Edition of: 03.11.2026 Operator: Individual Entrepreneur Mansur Musavirovich Khairullin (INN 165505438406, OGRNIP 323169000104503), hereinafter the "Operator".

This is a translation. In case of any discrepancy, the Russian version prevails.

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности, предпринимаемые Оператором, с целью защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.2. Политика разработана в соответствии с Конституцией РФ, Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных» (далее — «152-ФЗ»), иными нормативными правовыми актами.

1.3. Политика применяется к любой информации о субъекте персональных данных, полученной Оператором как до, так и после вступления в силу настоящей редакции Политики.

1.4. Ключевые понятия используются в значениях, установленных ст. 3 152-ФЗ.

1. General provisions

1.1. This Policy sets out how the Operator processes personal data and the measures it takes to keep that data secure, in order to protect human and civil rights and freedoms in the processing of personal data, including the right to privacy and to personal and family secrecy.

1.2. The Policy is based on the Constitution of the Russian Federation, Federal Law No. 152-FZ of 27.07.2006 "On Personal Data" (hereinafter "152-FZ") and other regulations.

1.3. The Policy applies to any information about a data subject that the Operator received both before and after this edition came into force.

1.4. Key terms have the meanings given in Article 3 of 152-FZ.

2. Принципы обработки ПД

Оператор осуществляет обработку ПД на основе следующих принципов:

  • законности и справедливости;
  • ограничения обработки ПД достижением конкретных, заранее определённых и законных целей;
  • недопущения объединения баз данных, обработка ПД в которых осуществляется в целях, несовместимых между собой;
  • соответствия содержания и объёма обрабатываемых ПД заявленным целям обработки;
  • точности, достаточности, актуальности ПД;
  • уничтожения или обезличивания ПД по достижении целей обработки или в случае утраты необходимости в их достижении.

2. Principles of personal data processing

The Operator processes personal data on the following principles:

  • lawfulness and fairness;
  • processing limited to specific, predefined and lawful purposes;
  • no merging of databases that are processed for incompatible purposes;
  • the content and volume of processed data match the stated purposes;
  • accuracy, sufficiency and relevance of the data;
  • destruction or anonymization of the data once the purposes are achieved or are no longer needed.

3. Цели обработки ПД

Оператор обрабатывает ПД в следующих целях:

  1. Заключение и исполнение договоров купли-продажи товаров через интернет-магазин shop.mechbox.tech.
  2. Организация доставки товаров, в том числе через третьих лиц (службы доставки).
  3. Исполнение требований Федерального закона №54-ФЗ (формирование и отправка электронных чеков).
  4. Заключение и исполнение договоров возмездного оказания услуг по использованию программного обеспечения и онлайн-сервисов (make.mechbox.tech, edu.mechbox.tech, мобильные приложения «Мехбокс» для iOS и Android).
  5. Регистрация, аутентификация и идентификация пользователей сервисов.
  6. Организация образовательного процесса: ведение учёта учащихся, отслеживание прогресса, выдача достижений, коммуникация с законными представителями несовершеннолетних.
  7. Направление пользователям уведомлений технического и маркетингового характера (маркетинговые — с отдельного согласия).
  8. Техническая поддержка пользователей.
  9. Ведение бухгалтерского и налогового учёта.
  10. Статистические и маркетинговые исследования в обезличенном виде.

3. Purposes of processing

The Operator processes personal data for the following purposes:

  1. Concluding and performing sales contracts through the online shop shop.mechbox.tech.
  2. Arranging delivery of goods, including through third parties (delivery services).
  3. Complying with Federal Law No. 54-FZ (issuing and sending electronic receipts).
  4. Concluding and performing paid service contracts for the use of software and online services (make.mechbox.tech, edu.mechbox.tech, the Mechbox mobile apps for iOS and Android).
  5. Registration, authentication and identification of service users.
  6. Organizing the learning process: keeping records of students, tracking progress, awarding achievements, communicating with legal guardians of minors.
  7. Sending users technical and marketing notifications (marketing ones only with separate consent).
  8. Technical support for users.
  9. Accounting and tax records.
  10. Statistical and marketing research in anonymized form.

4. Правовое основание обработки ПД

Оператор обрабатывает ПД на следующих правовых основаниях:

  • согласие субъекта ПД (ст. 6 ч. 1 п. 1 152-ФЗ);
  • договор, стороной которого является субъект ПД (ст. 6 ч. 1 п. 5 152-ФЗ);
  • исполнение обязанностей оператора, возложенных законодательством (ст. 6 ч. 1 п. 2 152-ФЗ — 54-ФЗ, Налоговый кодекс, Закон о защите прав потребителей);
  • Гражданский кодекс РФ, Закон РФ №2300-1 «О защите прав потребителей», Федеральный закон №54-ФЗ.

4. Legal grounds for processing

The Operator processes personal data on the following legal grounds:

  • consent of the data subject (Art. 6 Part 1 Clause 1 of 152-FZ);
  • a contract to which the data subject is a party (Art. 6 Part 1 Clause 5 of 152-FZ);
  • obligations imposed on the operator by law (Art. 6 Part 1 Clause 2 of 152-FZ: 54-FZ, the Tax Code, the Consumer Protection Law);
  • the Civil Code of the Russian Federation, Law No. 2300-1 "On Consumer Protection", Federal Law No. 54-FZ.

5. Категории субъектов ПД и объём обрабатываемых ПД

5.1. Покупатели (клиенты интернет-магазина)

  • фамилия, имя, отчество;
  • адрес электронной почты;
  • номер контактного телефона;
  • адрес доставки товаров;
  • сведения о заказах и платежах.

5.2. Пользователи сервисов (личный кабинет, образовательная платформа, мобильное приложение)

  • фамилия, имя, отчество;
  • адрес электронной почты;
  • идентификатор в системе Яндекс ID (при авторизации через OAuth);
  • аутентификационные данные (хеш пароля);
  • ссылка на аватар;
  • данные о действиях в сервисе.

5.3. Учащиеся (в том числе несовершеннолетние)

  • фамилия, имя, отчество;
  • класс, возрастная ступень;
  • данные о прогрессе обучения и достижениях.

5.4. Законные представители несовершеннолетних

  • фамилия, имя, отчество;
  • адрес электронной почты и / или номер телефона.

5.5. Посетители сайтов

  • cookie-идентификаторы;
  • IP-адрес;
  • данные веб-аналитики (Яндекс.Метрика);
  • ПД, указанные в формах обратной связи.

5.6. Технические маркеры удалённых учётных записей

  • необратимый криптографический маркер адреса электронной почты (без возможности восстановления самого адреса);
  • дата и основание удаления учётной записи.

5. Categories of data subjects and data processed

5.1. Buyers (online shop customers)

  • surname, first name, patronymic;
  • email address;
  • contact phone number;
  • delivery address;
  • order and payment details.

5.2. Service users (personal account, learning platform, mobile app)

  • surname, first name, patronymic;
  • email address;
  • Yandex ID identifier (when signing in via OAuth);
  • authentication data (password hash);
  • avatar link;
  • data on actions in the service.

5.3. Students (including minors)

  • surname, first name, patronymic;
  • grade, age group;
  • learning progress and achievements.

5.4. Legal guardians of minors

  • surname, first name, patronymic;
  • email address and / or phone number.

5.5. Website visitors

  • cookie identifiers;
  • IP address;
  • web analytics data (Yandex.Metrica);
  • personal data entered in feedback forms.

5.6. Technical markers of deleted accounts

  • an irreversible cryptographic marker of the email address (the address itself cannot be restored from it);
  • date and reason of account deletion.

6. Порядок и условия обработки ПД

6.1. Обработка ПД осуществляется как с использованием средств автоматизации, так и без использования таких средств (смешанная обработка).

6.2. Перечень действий с ПД: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПД.

6.3. Хранение ПД осуществляется в базах данных, расположенных на территории Российской Федерации (инфраструктура ООО «Яндекс.Облако», регион ru-central1).

6.4. Сроки хранения:

  • ПД, связанные с заказами и исполнением договоров, — в течение сроков, установленных законодательством о бухгалтерском учёте (не менее 5 лет) и Налоговым кодексом РФ;
  • ПД, обрабатываемые на основании согласия, — до отзыва согласия или до достижения целей обработки;
  • ПД учащихся — в течение периода обучения и 1 (одного) года после его окончания.

6.5. Уничтожение ПД осуществляется путём стирания с электронных носителей и уничтожения бумажных носителей в установленные сроки.

6.6. По требованию субъекта либо по инициативе Оператора учётная запись удаляется путём обезличивания: персональные данные (фамилия, имя, адрес электронной почты, идентификатор Яндекс ID, ссылка на аватар, хеш пароля) стираются без возможности восстановления. Обезличенная учётная запись сохраняется как технический идентификатор, к которому привязаны документы, подлежащие хранению по пункту 6.4 (сведения о платежах и о принятых согласиях).

6.7. После обезличивания Оператор сохраняет необратимый криптографический маркер адреса электронной почты и дату удаления. Маркер не позволяет восстановить адрес, не используется для связи с субъектом и обрабатывается исключительно в целях учёта повторных регистраций и противодействия злоупотреблениям. Срок хранения маркера — 3 (три) года с даты удаления.

6.8. Удаление учётной записи законного представителя влечёт обезличивание учётных записей несовершеннолетних, обработка данных которых осуществлялась на основании его согласия. Перед удалением Оператор уведомляет законного представителя о перечне затрагиваемых учётных записей и запрашивает отдельное подтверждение.

6. Procedure and conditions of processing

6.1. Personal data is processed both with and without automation (mixed processing).

6.2. Actions performed with personal data: collection, recording, systematization, accumulation, storage, clarification (updating, changing), retrieval, use, transfer (provision, access), anonymization, blocking, deletion, destruction.

6.3. Personal data is stored in databases located in the Russian Federation (infrastructure of Yandex.Cloud LLC, region ru-central1).

6.4. Retention periods:

  • data related to orders and performance of contracts: for the periods set by accounting law (at least 5 years) and the Tax Code of the Russian Federation;
  • data processed on the basis of consent: until consent is withdrawn or the purposes are achieved;
  • students' data: for the period of study and 1 (one) year after it ends.

6.5. Personal data is destroyed by erasing electronic media and destroying paper media within the set periods.

6.6. At the request of the data subject or on the Operator's initiative, an account is deleted by anonymization: personal data (surname, first name, email address, Yandex ID, avatar link, password hash) is erased irreversibly. The anonymized account is kept as a technical identifier to which documents subject to retention under clause 6.4 are attached (payment records and records of accepted consents).

6.7. After anonymization the Operator keeps an irreversible cryptographic marker of the email address and the deletion date. The marker cannot be used to restore the address, is not used to contact the data subject and is processed solely to track repeat registrations and prevent abuse. The marker is kept for 3 (three) years from the deletion date.

6.8. Deleting a legal guardian's account anonymizes the accounts of minors whose data was processed on the basis of that guardian's consent. Before deletion the Operator shows the guardian the list of affected accounts and asks for separate confirmation.

7. Передача ПД третьим лицам

7.1. Оператор передаёт ПД третьим лицам только в случаях, когда это необходимо для достижения целей обработки и/или предусмотрено законодательством:

  • ООО НКО «ЮMoney» (YooKassa) — данные, необходимые для проведения платежа (сумма, e-mail для чека);
  • ООО «Интернет Решения» (Ozon) — ФИО, телефон получателя, адрес доставки — при оформлении доставки через маркетплейс;
  • ООО «Яндекс» — идентификатор Yandex ID при авторизации пользователя через OAuth; в рамках сервиса Яндекс.Метрика — обезличенные данные веб-аналитики;
  • ООО «Яндекс.Облако» — как оператор дата-центра, обеспечивающий хранение и обработку ПД от имени Оператора (в рамках отдельного договора об обработке ПД);
  • ООО «Яндекс» (сервис Яндекс 360 / Postbox) — адреса электронной почты для отправки транзакционных и маркетинговых писем;
  • службы доставки (СДЭК, Почта России) — контактные данные получателя по факту оформления заказа;
  • уполномоченные государственные органы — по запросам в рамках их компетенции.

7.2. Перечень третьих лиц может изменяться. Актуальный перечень публикуется в настоящей Политике.

7. Transfer of personal data to third parties

7.1. The Operator transfers personal data to third parties only when this is necessary to achieve the purposes of processing and/or is required by law:

  • YooMoney NCO LLC (YooKassa): data needed to make a payment (amount, email for the receipt);
  • Internet Solutions LLC (Ozon): recipient's full name, phone and delivery address, when delivery is arranged through the marketplace;
  • Yandex LLC: the Yandex ID identifier when a user signs in via OAuth; anonymized web analytics data within Yandex.Metrica;
  • Yandex.Cloud LLC: as the data center operator that stores and processes personal data on the Operator's behalf (under a separate data processing agreement);
  • Yandex LLC (Yandex 360 / Postbox): email addresses for sending transactional and marketing emails;
  • delivery services (CDEK, Russian Post): recipient contact details once an order is placed;
  • authorized government bodies: upon requests within their competence.

7.2. The list of third parties may change. The current list is published in this Policy.

8. Трансграничная передача ПД

Оператор не осуществляет трансграничную передачу персональных данных. В случае, если в дальнейшем такая передача потребуется (например, для целей доставки push-уведомлений), Оператор предварительно уведомит уполномоченный орган по защите прав субъектов ПД и получит отдельное согласие субъектов в порядке, установленном ст. 12 152-ФЗ.

8. Cross-border transfer of personal data

The Operator does not transfer personal data across borders. If such a transfer becomes necessary in the future (for example, to deliver push notifications), the Operator will notify the authorized data protection body in advance and obtain separate consent from data subjects in accordance with Art. 12 of 152-FZ.

9. Права субъекта ПД

Субъект имеет право:

  • получать сведения об обработке его ПД;
  • требовать уточнения, блокирования или уничтожения его ПД, если они неполны, устарели, недостоверны, незаконно получены или не являются необходимыми для заявленной цели обработки;
  • отозвать согласие на обработку ПД;
  • обжаловать действия или бездействие Оператора в Роскомнадзор или в суд.

9. Rights of the data subject

The data subject has the right to:

  • receive information about the processing of their personal data;
  • demand that their data be clarified, blocked or destroyed if it is incomplete, outdated, inaccurate, unlawfully obtained or not needed for the stated purpose;
  • withdraw consent to processing;
  • appeal the Operator's actions or inaction to Roskomnadzor or to a court.

10. Обращения субъектов ПД

Для реализации своих прав субъект может направить обращение:

  • по электронной почте: mechbox.tech@gmail.com;
  • почтой по адресу регистрации Оператора.

Срок ответа — не более 30 дней с даты получения обращения.

10. Requests from data subjects

To exercise their rights, a data subject may send a request:

  • by email: mechbox.tech@gmail.com;
  • by post to the Operator's registered address.

The response time is no more than 30 days from receipt of the request.

11. Меры по обеспечению безопасности ПД

Оператор принимает организационные и технические меры в соответствии со ст. 18.1 и ст. 19 152-ФЗ, Постановлением Правительства РФ №1119 от 01.11.2012, Приказом ФСТЭК России №21 от 18.02.2013. Перечень мер раскрыт в уведомлении, поданном в Роскомнадзор.

11. Security measures

The Operator takes organizational and technical measures in accordance with Articles 18.1 and 19 of 152-FZ, Government Decree No. 1119 of 01.11.2012 and FSTEC Order No. 21 of 18.02.2013. The list of measures is disclosed in the notification filed with Roskomnadzor.

12. Заключительные положения

12.1. Политика подлежит обновлению в случае изменения законодательства или перечня обрабатываемых ПД.

12.2. Актуальная редакция Политики всегда доступна на сайтах Оператора в разделе «Политика конфиденциальности» / /privacy.

12.3. По всем вопросам, связанным с обработкой ПД, обращаться: mechbox.tech@gmail.com.

Оператор: ИП Хайруллин М.М., ИНН 165505438406

12. Final provisions

12.1. The Policy is updated when legislation or the list of processed personal data changes.

12.2. The current edition of the Policy is always available on the Operator's websites in the "Privacy Policy" section / /privacy.

12.3. For any questions about personal data processing, contact: mechbox.tech@gmail.com.

Operator: IE Khairullin M.M., INN 165505438406