Политика в отношении обработки персональных данных в приложении «ФинПульс»

Редакция от 1 августа 2026 г.

Настоящая Политика определяет порядок обработки и защиты персональных данных в приложении «ФинПульс» и на сайте https://finpulse-app.ru и составлена во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ).

Политика распространяется на персональные данные пользователей веб-приложения (PWA), мобильного приложения для Android и сайта.

1. Оператор персональных данных


Оператор	Кубанев Максим Сергеевич, физическое лицо, плательщик налога на профессиональный доход
ИНН	366518968609
Адрес электронной почты для обращений	support@finpulse-app.ru
Сайт	https://finpulse-app.ru
Дата редакции	1 августа 2026 г.

Ответственным за организацию обработки персональных данных (статья 22.1 Закона № 152-ФЗ) является сам Оператор. Обращения направляются на support@finpulse-app.ru.

2. Основные термины

Термины «персональные данные», «обработка персональных данных», «оператор», «субъект персональных данных», «обезличивание», «уничтожение персональных данных» используются в значениях статьи 3 Закона № 152-ФЗ.

Пользователь — физическое лицо, использующее приложение «ФинПульс».

Приложение — программа для ЭВМ «ФинПульс» в виде веб-приложения (PWA) и мобильного приложения для Android вместе с серверной частью.

Семейная группа — группа учётных записей, объединённых их владельцами для совместного ведения учёта; термин используется в значении, определённом пунктом 1.4 Публичной оферты (https://finpulse-app.ru/offer). Владелец создаёт группу и управляет составом участников, Участник принимает приглашение Владельца.

3. Категории субъектов персональных данных

Зарегистрированные пользователи — создавшие учётную запись с указанием адреса электронной почты.
Пользователи анонимного режима — использующие Приложение без указания адреса электронной почты.
Участники Семейной группы — зарегистрированные пользователи, приглашённые Владельцем для совместного ведения учёта.
Лица, обратившиеся к Оператору — направившие письмо на support@finpulse-app.ru по вопросам поддержки, возврата денежных средств или реализации прав субъекта персональных данных.

Приложение не предназначено для лиц младше 18 лет; целенаправленный сбор данных несовершеннолетних не осуществляется. При выявлении регистрации несовершеннолетнего без согласия законного представителя данные удаляются по обращению законного представителя на support@finpulse-app.ru.

4. Категории обрабатываемых персональных данных

4.1. Данные учётной записи

адрес электронной почты (отсутствует в анонимном режиме);
имя или отображаемое имя — если указано пользователем;
пароль — в открытом виде не хранится и Оператору не известен; хранится результат необратимого преобразования по алгоритму Argon2id;
PIN-код быстрого доступа — Оператору не передаётся и на сервере не хранится: он остаётся в памяти устройства пользователя.

4.2. Данные, вносимые пользователем самостоятельно

Операции (сумма, дата, время, категория, комментарий), счета и балансы, категории, цели накоплений, долги, регулярные платежи, лимиты, заметки, изображения чеков и иных документов.

Оператор не запрашивает эти сведения, не определяет их состав, не анализирует их содержание и не использует его в целях, отличных от работы Приложения.

Изображения чеков и иных документов могут содержать персональные данные третьих лиц. Ответственность за наличие правовых оснований для их размещения несёт загрузивший изображение пользователь.

4.3. Технические данные

идентификатор устройства и учётной записи, назначаемый Приложением;
IP-адрес;
тип и версия браузера или операционной системы, версия Приложения;
дата, время и результат обращений к серверу, коды ответов, сведения о неудачных попытках входа;
идентификатор сессии.

4.4. Данные, связанные с оплатой

факт, дата, сумма и статус платежа, идентификатор платежа, присвоенный платёжным сервисом;
срок действия оплаченного доступа;
идентификатор (токен) сохранённого платёжного средства — только при подключённом автопродлении подписки; удаляется при отказе от автопродления.

Реквизиты банковских карт Оператору не передаются, им не собираются и не хранятся. Ввод платёжных данных происходит на стороне платёжного сервиса.

4.5. Данные, которые Оператор НЕ обрабатывает

специальные категории персональных данных (статья 10 Закона № 152-ФЗ): расовая и национальная принадлежность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь, сведения о судимости;
биометрические персональные данные (статья 11 Закона № 152-ФЗ). Разблокировка Приложения по отпечатку пальца или изображению лица выполняется средствами операционной системы устройства; Приложение получает только результат проверки («подтверждено» / «не подтверждено»). Биометрические образцы на сервер не передаются;
данные геолокации;
данные о поведении пользователя за пределами Приложения.

Приложение не использует сторонние системы веб-аналитики, рекламные сети, трекеры и профилирование. Автоматизированное принятие решений, порождающих юридические последствия (часть 1 статьи 16 Закона № 152-ФЗ), не осуществляется.

5. Цели обработки персональных данных

Цель	Обрабатываемые данные
Создание учётной записи и аутентификация пользователя	4.1, 4.3
Предоставление функциональности Приложения (учёт финансов, отчёты, экспорт)	4.1, 4.2
Синхронизация данных между устройствами пользователя	4.1, 4.2, 4.3
Совместный доступ участников Семейной группы	4.1, 4.2
Восстановление доступа к учётной записи	4.1
Приём оплаты, автопродление подписки, учёт оплаченного доступа, возврат денежных средств	4.1, 4.4
Формирование чека и исполнение налоговых обязанностей	4.1, 4.4
Уведомления о списании по подписке и об изменении условий	4.1, 4.4
Рассмотрение обращений и претензий	4.1, 4.3, 4.4
Безопасность: выявление несанкционированного доступа, блокировка перебора паролей, расследование инцидентов	4.1, 4.3
Резервное копирование и восстановление данных после сбоя	4.1, 4.2, 4.4
Подтверждение факта получения согласия на обработку персональных данных	4.1, 4.3

Персональные данные не используются для рекламных рассылок. Сервисные сообщения (списание по подписке, изменение условий, технические работы, инциденты безопасности) направляются в силу обязательств Оператора по договору и требований закона.

6. Правовые основания обработки

Пункт 5 части 1 статьи 6 Закона № 152-ФЗ — исполнение договора, стороной которого является субъект персональных данных (Публичная оферта, https://finpulse-app.ru/offer): данные категорий 4.1, 4.3, 4.4.
Пункт 1 части 1 статьи 6 и статья 9 Закона № 152-ФЗ — согласие субъекта, предоставляемое при регистрации: данные, вносимые пользователем самостоятельно (пункт 4.2), включая изображения документов.
Пункт 2 части 1 статьи 6 Закона № 152-ФЗ — исполнение обязанностей, возложенных законом: формирование чека и уплата налога на профессиональный доход (статьи 11, 14 Федерального закона от 27.11.2018 № 422-ФЗ), хранение сведений о полученных доходах, ответы на законные запросы уполномоченных органов.
Пункт 7 части 1 статьи 6 Закона № 152-ФЗ — законные интересы Оператора при обеспечении информационной безопасности Приложения (журналы обращений, блокировка подозрительной активности), если это не нарушает прав субъекта.

Также применяются Конституция Российской Федерации, Гражданский кодекс Российской Федерации, Федеральный закон от 27.07.2006 № 149-ФЗ.

7. Порядок и условия обработки

7.1. Обработка осуществляется смешанным способом: автоматизированная — на серверах Оператора, без использования средств автоматизации — при рассмотрении обращений.

7.2. Обработка включает сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, блокирование, удаление, уничтожение. Распространение персональных данных (раскрытие неопределённому кругу лиц) не осуществляется.

7.3. Место хранения. Базы данных, содержащие персональные данные граждан Российской Федерации, размещены на серверах на территории Российской Федерации (часть 5 статьи 18 Закона № 152-ФЗ).

7.4. Разделение данных пользователей. Данные каждой учётной записи и каждой Семейной группы логически изолированы в базе данных PostgreSQL: запрос выполняется в границах учётной записи, от имени которой поступил. Доступ к данным другого пользователя через интерфейс Приложения невозможен, кроме совместного доступа по пункту 7.6.

7.5. Передача данных. Персональные данные не продаются, не передаются в маркетинговых целях и не раскрываются третьим лицам, кроме следующих случаев:

Кому	Что передаётся	Основание
Платёжный сервис ЮKassa (ООО НКО «ЮМани»)	сумма платежа, назначение платежа, адрес электронной почты для направления чека, идентификатор платежа	поручение на обработку (часть 3 статьи 6 Закона № 152-ФЗ); исполнение договора
Хостинг-провайдер (сервер в Российской Федерации)	размещение данных на арендуемом оборудовании; самостоятельный доступ к содержанию данных не предоставляется	поручение на обработку (часть 3 статьи 6 Закона № 152-ФЗ)
Федеральная налоговая служба	сведения о полученных доходах через приложение «Мой налог»	статьи 11, 14 Федерального закона от 27.11.2018 № 422-ФЗ
Суды, органы дознания и следствия, иные уполномоченные органы	сведения в объёме законного запроса	пункт 2 части 1 статьи 6 Закона № 152-ФЗ

Лица, которым обработка поручена, обязаны соблюдать конфиденциальность и требования безопасности. Ответственность перед субъектом за их действия несёт Оператор (часть 5 статьи 6 Закона № 152-ФЗ).

7.6. Совместный доступ в Семейной группе. Участники Семейной группы видят и могут изменять общие записи группы: операции, счета, категории, цели, долги и прикреплённые изображения чеков, а также видят отображаемое имя и адрес электронной почты друг друга в списке участников.

Оператором персональных данных, обрабатываемых в Семейной группе, остаётся Оператор; состав участников и объём предоставленного им доступа определяет Владелец, который приглашает участника по своей воле.

Владелец в любой момент исключает участника в разделе «Настройки» → «Совместный доступ». С этого момента доступ исключённого участника к общим записям прекращается; внесённые им общие записи остаются в Семейной группе, а его собственная учётная запись сохраняется. При удалении учётной записи Владельца Семейная группа прекращается: участники утрачивают доступ к общим записям и сохраняют собственные учётные записи.

7.7. Трансграничная передача персональных данных (статья 12 Закона № 152-ФЗ) не осуществляется, уведомление о ней в Роскомнадзор не подавалось.

8. Сроки обработки и хранения

8.1. Персональные данные обрабатываются не дольше, чем этого требуют цели обработки (пункт 7 части 1 статьи 5 Закона № 152-ФЗ).

Данные	Срок хранения
Данные учётной записи и данные, внесённые пользователем (4.1, 4.2)	в течение срока существования учётной записи; уничтожаются в течение 30 календарных дней после удаления учётной записи или отзыва согласия
Технические журналы (4.3)	90 календарных дней с даты записи, далее уничтожаются автоматически
Сведения о платежах (4.4)	5 лет с года совершения платежа (подпункт 8 пункта 1 статьи 23 Налогового кодекса Российской Федерации) — в объёме, необходимом для налогового учёта и рассмотрения претензий
Токен платёжного средства (4.4)	до отказа от автопродления, окончания подписки или удаления учётной записи
Сведения о факте предоставления согласия (дата и время, версия текста, IP-адрес, User-Agent)	3 года после удаления учётной записи (часть 1 статьи 9 Закона № 152-ФЗ — обязанность оператора доказать наличие согласия)
Переписка по обращениям	3 года с даты завершения рассмотрения обращения (статья 196 ГК РФ)

8.2. Резервные копии. Резервные копии базы данных хранятся в зашифрованном виде и перезаписываются по ротации в течение 30 календарных дней. После удаления учётной записи данные могут сохраняться в резервных копиях до истечения срока ротации, после чего уничтожаются вместе с копией. В течение этого срока копии не используются, кроме полного восстановления системы после аварии; при таком восстановлении удалённые учётные записи удаляются повторно.

8.3. Персональные данные подлежат уничтожению также при достижении цели обработки, при утрате необходимости в обработке и при выявлении неправомерной обработки (статья 21 Закона № 152-ФЗ).

9. Меры по защите персональных данных

Оператор принимает меры, предусмотренные статьями 18.1 и 19 Закона № 152-ФЗ.

Технические меры:

передача данных между устройством и сервером только по протоколу TLS; незашифрованные соединения отклоняются;
пароли хранятся в виде хеша Argon2id с индивидуальной солью; восстановление исходного пароля невозможно, в том числе Оператором;
логическая изоляция данных учётных записей и Семейных групп в базе данных PostgreSQL;
резервные копии шифруются, ключ шифрования хранится отдельно от копий;
автоматическая блокировка сетевых адресов при множественных неудачных попытках входа;
сессионные cookie с атрибутами HttpOnly, Secure, SameSite;
установка обновлений безопасности серверного программного обеспечения.

Организационные меры:

доступ к серверу и базе данных имеет только Оператор; учётные записи третьих лиц с доступом к персональным данным не создаются;
определены перечень обрабатываемых персональных данных, цели и сроки обработки;
определён уровень защищённости персональных данных по постановлению Правительства Российской Федерации от 01.11.2012 № 1119 и реализованы соответствующие требования;
ведётся учёт машинных носителей персональных данных;
осуществляется контроль принимаемых мер и оценка вреда, который может быть причинён субъектам.

9.1. Действия при инциденте. При неправомерной или случайной передаче персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов об инциденте и в течение 72 часов — о результатах внутреннего расследования (часть 3.1 статьи 21 Закона № 152-ФЗ), а также информирует затронутых пользователей по электронной почте.

9.2. Оператор не отвечает за сохранность данных, если пользователь передал пароль или PIN-код третьим лицам, использует скомпрометированное устройство либо самостоятельно предоставил доступ участнику Семейной группы.

10. Права субъекта персональных данных и порядок их реализации

Пользователь имеет права, предусмотренные статьями 14, 20 и 21 Закона № 152-ФЗ.

10.1. Право на получение сведений об обработке (статья 14)

Пользователь вправе получить подтверждение факта обработки, правовые основания и цели обработки, перечень обрабатываемых данных, сроки обработки, сведения о лицах, которым данные переданы, и иные сведения, предусмотренные частью 7 статьи 14 Закона № 152-ФЗ.

Ответ предоставляется в течение 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с уведомлением о причинах (часть 2 статьи 20 Закона № 152-ФЗ).

10.2. Право на уточнение, блокирование и уничтожение данных (статья 21)

Неточные, неполные или устаревшие данные уточняются в течение 7 рабочих дней с даты представления подтверждающих сведений, о чём пользователь уведомляется (часть 2 статьи 21 Закона № 152-ФЗ). При выявлении неправомерной обработки она прекращается в срок не более 3 рабочих дней, а если обеспечить правомерность невозможно — данные уничтожаются в срок не более 10 рабочих дней (часть 3 статьи 21 Закона № 152-ФЗ).

Большинство данных пользователь исправляет самостоятельно в интерфейсе Приложения.

10.3. Право на отзыв согласия (часть 2 статьи 9)

Согласие может быть отозвано в любой момент. Отзыв влечёт удаление учётной записи и прекращение использования Приложения: без обработки данных предоставление функциональности невозможно.

Данные уничтожаются в течение 30 календарных дней с даты отзыва (часть 5 статьи 21 Закона № 152-ФЗ), кроме данных, которые Оператор обязан хранить по закону (сведения о платежах — пункт 8.1), сведений о факте предоставления согласия и данных в резервных копиях до истечения срока их ротации (пункт 8.2).

10.4. Право на получение копии своих данных

Пользователь в любой момент выгружает внесённые им данные средствами Приложения в формате XLSX: «Настройки» → «Экспорт данных». Выгрузка доступна в бесплатной версии. Формирование PDF-отчёта доступно в Версии PRO.

10.5. Удаление учётной записи

Учётная запись удаляется:

в Приложении: «Настройки» → «Аккаунт» → «Удалить аккаунт», с подтверждением;
по обращению на support@finpulse-app.ru, направленному с адреса электронной почты учётной записи.

Удаляются данные учётной записи, финансовые записи, изображения чеков и связи с Семейной группой. Последствия удаления учётной записи Владельца Семейной группы установлены пунктом 7.6. Восстановление удалённых данных невозможно — перед удалением рекомендуется выполнить экспорт.

10.6. Порядок направления обращения

Обращение направляется на support@finpulse-app.ru и должно содержать сведения, позволяющие идентифицировать пользователя и его учётную запись. Обращение с адреса электронной почты, указанного в учётной записи, признаётся достаточным подтверждением личности заявителя.

Если пользователь использует анонимный режим и не указывал адрес электронной почты, Оператор не может достоверно установить принадлежность учётной записи заявителю; реализация прав в этом случае ограничена действиями, доступными непосредственно в Приложении на устройстве пользователя, включая удаление данных и учётной записи.

10.7. Право на обжалование

Действия или бездействие Оператора обжалуются в Роскомнадзор или в судебном порядке (часть 2 статьи 17 Закона № 152-ФЗ).

11. Cookie и локальное хранилище

11.1. Веб-приложение использует только технически необходимые cookie. Рекламные, аналитические и трекинговые cookie не устанавливаются, сторонние скрипты на сайте не размещены.

Назначение	Тип	Атрибуты	Срок
Идентификатор сессии для поддержания авторизованного состояния	сессионная cookie	`HttpOnly`, `Secure`, `SameSite`	до завершения сессии или выхода из учётной записи
Защита от подделки межсайтовых запросов (CSRF)	техническая cookie	`Secure`, `SameSite`	в пределах сессии

11.2. Отключение cookie в браузере делает вход в учётную запись невозможным: сервер не сможет распознать авторизованного пользователя.

11.3. Локальное хранилище устройства. Приложение сохраняет данные на устройстве пользователя (локальная база данных, localStorage, IndexedDB, кеш Service Worker) для работы без подключения к сети. Эти данные удаляются при очистке данных браузера или удалении мобильного приложения. В мобильном приложении локальная база данных хранится в защищённой области приложения, доступ к которой ограничен средствами операционной системы.

12. Изменение Политики

12.1. Действующая редакция Политики публикуется по адресу https://finpulse-app.ru/privacy с указанием даты редакции и применяется с момента размещения, кроме случаев, предусмотренных пунктом 12.2.

12.2. При расширении состава обрабатываемых данных, появлении новых целей обработки или новых получателей данных Оператор уведомляет пользователей по электронной почте и в интерфейсе Приложения не менее чем за 14 календарных дней до вступления изменений в силу.

12.3. При несогласии с новой редакцией пользователь вправе отозвать согласие и удалить учётную запись (пункты 10.3 и 10.5).

13. Контакты

По вопросам обработки персональных данных и для реализации прав, предусмотренных разделом 10: support@finpulse-app.ru.