Политика обработки персональных данных

Редакция от 8 октября 2026 года. Действует для сервиса CyberSovcom на сайте sovcombank-security.ru.

1. Оператор

ООО «Совкомбанк Технологии», ИНН 4400001172, ОГРН 1214400000760. Адрес: 143007, Московская область, Одинцовский городской округ, г. Одинцово, ул. Вокзальная, д. 3Б, помещ. 49, ком. 307. Номер в реестре операторов персональных данных Роскомнадзора: 77-22-132663.

Вопросы о персональных данных и работе сервиса: security@sovcombank-security.ru.

Совкомбанк Технологии входит в группу ПАО «Совкомбанк». Общие правила группы изложены в Политике обработки персональных данных ПАО «Совкомбанк». Здесь описано, что происходит с данными именно в CyberSovcom.

2. Какие данные, зачем и сколько храним

Данные обрабатываются автоматически на серверах VK Cloud в России. Основания указаны по статье 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Цель	Чьи данные и какие	Основание	Срок хранения
Регистрация и вход в аккаунт	Пользователи: имя, email, хеш пароля, одноразовые коды подтверждения email и сброса пароля, время принятия соглашения и согласия	Согласие (п. 1 ч. 1 ст. 6), заключение и исполнение пользовательского соглашения (п. 5 ч. 1 ст. 6)	Пока существует аккаунт. Коды действуют 15 минут. Регистрация без подтвержденного email удаляется через 24 часа
Связь по вопросам аккаунта	Пользователи: имя, телефон, email	Согласие (п. 1 ч. 1 ст. 6)	Пока существует аккаунт. Телефон видят только администраторы сервиса, для входа и рассылок он не используется
Сессии и защита входа	Пользователи: IP-адрес, User-Agent браузера, время входа, хеш токена сессии	Исполнение соглашения	7 дней с последнего продления сессии, после выхода запись удаляется
Подтверждение владения доменом	Пользователи: домен, проверочная TXT-запись, результаты DNS-проверок	Исполнение соглашения	Подтверждение действует 180 дней, журнал DNS-проверок хранится 30 дней, список доменов хранится, пока существует аккаунт
Сканирование и отчеты	Пользователи: адрес проверяемого сайта, результаты проверок, AI-анализ, IP-адрес и User-Agent, с которых запущено сканирование	Исполнение соглашения	60 дней, затем удаляются автоматически. Отчет можно удалить раньше в личном кабинете
Доказательства находок в отчетах	Люди, чьи данные лежат в открытом доступе на проверяемом сайте: фрагменты ответов сервера, например строки журнала ошибок	Поручение пользователя (ч. 3 ст. 6), раздел 8 пользовательского соглашения	Вместе с отчетом: 60 дней или до удаления отчета
Защита от подбора паролей и ботов	Посетители страниц с формами: хеши email и IP-адреса в счетчиках попыток, данные для Yandex SmartCaptcha (раздел 5)	Законный интерес оператора в защите сервиса (п. 7 ч. 1 ст. 6)	Счетчики попыток: 24 часа. Данные капчи Яндекс хранит до 60 дней
Служебные письма	Пользователи: email, имя, коды подтверждения	Исполнение соглашения	Тексты писем в сервисе не сохраняются. Рекламных рассылок нет
Журналы сервера и аудит действий	Посетители и пользователи: IP-адрес, адрес страницы, email или идентификатор пользователя, адрес сканируемого сайта, действие и время	Законный интерес оператора в защите сервиса (п. 7 ч. 1 ст. 6)	90 дней
Ответы на обращения	Заявители: email, текст обращения, сведения из запроса о персональных данных	Обязанность отвечать на запросы по ст. 20 152-ФЗ (п. 2 ч. 1 ст. 6)	3 года после ответа

Для всех целей мы собираем, записываем, систематизируем, храним, уточняем, используем, передаем подрядчикам из раздела 3, блокируем и удаляем данные. Когда срок хранения истекает, вы отзываете согласие или удаляете аккаунт, данные удаляются из базы сервиса.

3. Кто видит данные

Администраторы сервиса из числа сотрудников оператора: видят аккаунты и отчеты, чтобы разбирать обращения и злоупотребления.
ООО «Цифровое облако» (VK Cloud), Москва: серверы и база данных сервиса.
АО «ТаймВэб», Санкт-Петербург: отправка служебных писем.
ООО «Яндекс.Облако», Москва: проверка Yandex SmartCaptcha.
OpenRouter, Inc., США: AI-анализ отчетов без персональных данных (раздел 4).
Государственные органы: только по запросу, основанному на законе.

Подрядчики обрабатывают данные по нашему поручению и обязаны соблюдать конфиденциальность и требования статьи 19 152-ФЗ. Другим пользователям сервиса ваши данные и отчеты не показываются.

4. AI-анализ и передача данных за рубеж

Персональные данные за пределы России не передаются, базы данных сервиса находятся в России.

Для AI-анализа отчета сервис отправляет в OpenRouter, Inc. (Нью-Йорк, США) только сведения о находках: идентификатор и название проверки, уровень критичности, описание и рекомендацию из шаблона, адрес находки в виде схемы, домена, порта и пути без параметров запроса. Ответы вашего сервера, извлеченные из них значения, тексты запросов и данные аккаунта не отправляются.

OpenRouter передает запрос одной из моделей: z-ai/glm-5.3-flash, openai/gpt-oss-20b, deepseek/deepseek-v4-flash, google/gemini-3.5-flash, openai/gpt-5.4-mini, minimax/minimax-m3. Конкретного провайдера модели выбирает OpenRouter. Провайдеры работают в основном в США, часть находится в Сингапуре, Китае, Индонезии и странах ЕС, и они могут хранить запросы по своим правилам.

При подтверждении домена сервис ищет TXT-запись через публичные DNS-резолверы Google и Cloudflare: им передается только имя проверочной записи.

На сайте нет аналитики, рекламных cookie и счетчиков посещений. В браузере хранится только то, без чего не работают вход и формы:

cookie refresh_token: продлевает вход, живет 7 дней, недоступна скриптам страницы и передается только по HTTPS на адреса /auth;
localStorage: токен доступа сроком на 15 минут, идентификатор, имя, email и домен аккаунта для показа в интерфейсе (удаляются при выходе), а также отметка о том, что вы закрыли уведомление о cookie;
sessionStorage: email на время подтверждения регистрации и сброса пароля, очищается при закрытии вкладки.

На главной странице и на страницах входа, регистрации и восстановления пароля загружается виджет Yandex SmartCaptcha. Чтобы отличить человека от бота, он собирает технические данные браузера и устройства. Яндекс хранит их до 60 дней на серверах в России.

Если запретить cookie и хранилище в настройках браузера, войти в аккаунт не получится. Остальные страницы будут работать.

6. Как мы защищаем данные

Соединение с сайтом шифруется TLS.
Пароли хранятся в виде хешей bcrypt, токены сессий в виде хешей SHA-256: по содержимому базы их не восстановить.
После смены или сброса пароля все активные сессии завершаются.
Сканировать можно только домены, владение которыми подтверждено TXT-записью. Домены государственных органов заблокированы.
Число попыток входа, регистрации и запуска сканирований ограничено, формы защищены капчей.
У оператора назначен ответственный за организацию обработки персональных данных.

7. Ваши права

Узнать, какие ваши данные мы обрабатываем, зачем, откуда их получили, кому передаем и сколько храним.
Потребовать исправить неточные данные, заблокировать или удалить данные, которые обрабатываются незаконно или больше не нужны.
Отозвать согласие на обработку. Аккаунт без этих данных работать не может, поэтому мы удалим его вместе с отчетами и доменами.
Удалить отдельный отчет в личном кабинете или весь аккаунт по запросу.
Обжаловать наши действия в Роскомнадзоре или в суде.

Напишите на адрес из раздела 1 с email, на который зарегистрирован аккаунт, и опишите, что нужно сделать. Для запроса сведений об обработке закон требует указать номер документа, удостоверяющего личность, дату его выдачи и выдавший орган, сведения о вашем аккаунте и поставить подпись. Электронный запрос можно подписать электронной подписью.

Отвечаем в течение 10 рабочих дней. Если нужно больше времени, предупредим и назовем причину: срок продлевается не более чем на 5 рабочих дней. Неточные данные исправляем в течение 7 рабочих дней. Аккаунт удаляем в течение 10 рабочих дней после запроса или отзыва согласия.

8. Изменения политики

Новая редакция публикуется на этой странице с датой. Если появятся новые цели обработки, новые подрядчики или передача персональных данных за рубеж, мы сообщим об этом письмом до вступления изменений в силу и при необходимости попросим новое согласие.