Политика обработки персональных данных

Политика обработки персональных данных «Лигал Саунд»

Редакция от: 27.09.2026

Версия для электронного акцепта: `2026-09-27`

Предыдущая редакция: 01.09.2026 (`2026-09-01`). Перечень изменений — в разделе 18.

Настоящая Политика обработки персональных данных разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 06.04.2011 № 63-ФЗ «Об электронной подписи», Федеральным законом от 22.05.2003 № 54-ФЗ, Налоговым кодексом Российской Федерации и иными применимыми актами. Политика определяет, какие персональные данные обрабатывает «Лигал Саунд», для каких целей, на каких основаниях, как долго и какие права есть у субъектов персональных данных.

1. Оператор персональных данных

2. Где применяется Политика

2.1. Политика применяется к сайту legalsound.ru, личному кабинету клиента, партнёрскому кабинету, административному и операторскому взаимодействию, плеерам, API, формам обратной связи, заказам «Музыка на заказ», аудиорекламе, биллингу, документам, обращениям в поддержку и иным сервисам «Лигал Саунд».

2.2. Политика применяется к персональным данным граждан Российской Федерации и иных лиц, если такие данные передаются Оператору через Сервис или при исполнении договоров.

2.3. Политика не регулирует сайты, приложения и сервисы третьих лиц, на которые Пользователь переходит по внешним ссылкам, включая банки, платёжных партнёров, операторов ЭДО, почтовые сервисы, мессенджеры, музыкальные платформы и социальные сети.

2.4. Обработка персональных данных осуществляется на принципах законности, добросовестности, ограничения обработки достижением конкретных и законных целей, недопущения обработки избыточных данных, обеспечения точности и актуальности данных, а также принятия необходимых организационных и технических мер защиты.

3. Категории субъектов персональных данных

3.1. Оператор может обрабатывать данные следующих категорий субъектов:

• посетители сайта;
• пользователи личного кабинета;
• представители клиентов-юридических лиц и индивидуальных предпринимателей;
• клиенты-физические лица, если сценарий оплаты или заказа это допускает;
• партнёры, агенты, представители партнёров и кандидаты в партнёры;
• представители поставщиков, подрядчиков, банков, операторов ЭДО и иных контрагентов;
• лица, указанные в брифах, обращениях, рекламных материалах, аудиороликах или документах, если такие данные передал Пользователь;
• пользователи плееров и представители Точек, взаимодействующие с устройствами «Лигал Саунд»;
• лица, обращающиеся в поддержку, по вопросам персональных данных или через публичные формы.

4. Состав обрабатываемых данных

4.1. В зависимости от сценария Оператор обрабатывает:

• ФИО, имя, отчество, фамилию;
• e-mail, телефон, мессенджер, почтовый адрес;
• должность, роль, полномочия представителя;
• сведения об организации: наименование, ИНН, КПП, ОГРН/ОГРНИП, адрес, банковские реквизиты, статус самозанятого или ИП;
• логин, хеш пароля, идентификаторы аккаунта, роли, права доступа;
• IP-адрес, user-agent, идентификаторы устройства, сведения о браузере, ОС, сессиях, географии входа по IP;
• технические журналы безопасности, авторизации, платежей, действий в кабинете и API;
• сведения о Точках: адрес, тип объекта, настройки плеера, расписание, журнал воспроизведения, телеметрия устройства;
• сведения о заказах «Музыка на заказ» и аудиорекламы: бриф, референсы, тексты, описание бренда, комментарии, история правок, статусы, документы, согласия;
• платёжные сведения: сумма, назначение, статус, идентификатор операции, платёжный метод, ссылка на чек, сведения, необходимые для фискализации; данные банковских карт Оператор не хранит;
• документы и электронные подписи: версии документов, тексты чекбоксов, дата и время подписания, IP-адрес, user-agent, SHA-256 документа, протоколы подписания;
• обращения в поддержку, переписку, вложения, записи действий в интерфейсе, если они необходимы для исполнения запроса;
• cookie, localStorage и аналогичные идентификаторы в объёме, описанном в Политике cookie.

4.2. Оператор не запрашивает и не обрабатывает специальные категории персональных данных: сведения о расовой и национальной принадлежности, политических взглядах, религиозных или философских убеждениях, интимной жизни, состоянии здоровья, за исключением случаев, когда Пользователь сам передал такие сведения без запроса Оператора. Такие сведения могут быть удалены или обезличены.

4.3. Оператор не осуществляет биометрическую идентификацию и не хранит биометрические персональные данные.

4.4. Если Пользователь передаёт в брифах, рекламных материалах, обращениях или вложениях изображения, видео, голос, записи речи или иные медиафайлы, такие материалы обрабатываются как пользовательский контент для целей исполнения договора, модерации, поддержки или защиты прав. Оператор не использует такие материалы для биометрической идентификации субъекта.

5. Цели обработки

5.1. Оператор обрабатывает персональные данные для следующих целей:

• регистрация, идентификация и авторизация пользователей;
• заключение и исполнение договоров, публичных оферт, агентских договоров и соглашений о ПЭП;
• предоставление доступа к Музыкальному каталогу, личному кабинету, партнёрскому кабинету, плеерам и API;
• настройка Точек, расписаний, программ вещания, рекламных вставок и журнала воспроизведения;
• создание, согласование, оплата и приёмка заказов «Музыка на заказ» и аудиорекламы;
• выставление счетов, актов, договоров, спецификаций, чеков, отчётов, протоколов подписания и иных документов;
• проведение платежей, возвратов, сверок, налогового и бухгалтерского учёта;
• расчёт партнёрских комиссий, проверка KYB, предотвращение fraud и проведение выплат;
• техническая поддержка, обработка обращений, уведомления о статусах, изменениях и инцидентах;
• обеспечение безопасности Сервиса, предотвращение несанкционированного доступа, расследование нарушений;
• выполнение требований законодательства, судебных актов, запросов государственных органов, банков и платёжных партнёров;
• аналитика использования сайта и улучшение продукта при наличии согласия на аналитические технологии;
• защита прав и законных интересов Оператора, Пользователей и третьих лиц.

5.2. Рекламные, маркетинговые и массовые рассылки осуществляются только при наличии отдельного согласия, если такое согласие требуется законом. Сервисные уведомления о договоре, безопасности, платежах, документах и технических изменениях не являются рекламной рассылкой.

6. Правовые основания обработки

6.1. Оператор обрабатывает персональные данные на следующих основаниях:

• согласие субъекта персональных данных;
• заключение и исполнение договора, стороной которого является субъект или представляемая им организация;
• выполнение обязанностей, установленных законодательством Российской Федерации;
• осуществление прав и законных интересов Оператора, если при этом не нарушаются права и свободы субъекта;
• обработка общедоступных данных в пределах закона;
• судебные и административные процедуры, претензионная работа и защита прав.

6.2. Если Пользователь передаёт Оператору данные третьих лиц, Пользователь подтверждает наличие законного основания для такой передачи и обязуется по запросу Оператора предоставить подтверждение.

7. Действия с персональными данными

7.1. Оператор совершает следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение, обновление, изменение, извлечение, использование, передача, предоставление, доступ, обезличивание, блокирование, удаление и уничтожение.

7.2. Обработка осуществляется с использованием средств автоматизации и без их использования.

7.3. Решения, порождающие юридические последствия для субъекта, не принимаются исключительно на основе автоматизированной обработки без возможности обращения к Оператору, за исключением технических ограничений доступа при очевидных нарушениях безопасности, неоплате или истечении срока доступа.

7.4. Оператор не размещает персональные данные в общедоступных источниках и не делает их доступными неограниченному кругу лиц без отдельного законного основания или согласия субъекта. Согласие на обработку персональных данных, разрешённых субъектом для распространения, оформляется отдельно от иных согласий, если такое согласие требуется законодательством.

8. Сроки хранения

8.1. Данные аккаунта и договора хранятся в течение срока действия отношений и не менее сроков, необходимых для исполнения налоговых, бухгалтерских, договорных и доказательственных обязанностей.

8.2. Бухгалтерские, платёжные и первичные документы хранятся не менее 5 лет, если закон не требует большего срока.

8.3. Журнал воспроизведения, сведения о Точках, плеерах и подтверждениях использования каталога могут храниться до 5 лет после соответствующего события, поскольку используются для защиты прав Заказчика и Оператора при проверках и спорах. При необходимости данные могут обезличиваться вместо удаления, если удаление нарушит доказательственную целостность журнала.

8.4. Согласия, электронные подписи, версии документов, протоколы подписания и технические доказательства акцепта хранятся в течение срока действия договора и срока исковой давности, а также дольше, если это требуется для защиты прав.

8.5. Данные партнёров, начислений, выплат и KYB хранятся в течение срока участия в программе и сроков, необходимых для налогового, бухгалтерского и претензионного учёта.

8.6. Данные обращений в поддержку хранятся до завершения обращения и далее в течение разумного срока для контроля качества, разрешения повторных обращений и защиты прав.

8.7. По истечении сроков данные удаляются, уничтожаются или обезличиваются, если дальнейшее хранение не требуется законом или законным интересом.

9. Хранение в Российской Федерации и трансграничная передача

9.1. Базы данных, содержащие персональные данные граждан Российской Федерации, находятся на территории Российской Федерации в соответствии с ч. 5 ст. 18 152-ФЗ.

9.2. Оператор использует российские дата-центры, облачное хранение, резервное копирование и техническую инфраструктуру в пределах, необходимых для работы Сервиса.

9.3. Трансграничная передача персональных данных не является штатной частью Сервиса. Если в отдельных сценариях Пользователь сам передаёт данные на внешние платформы, музыкальные сервисы, социальные сети, мессенджеры или платёжные страницы третьих лиц, такая обработка регулируется правилами соответствующего сервиса.

9.4. Оператор не осуществляет трансграничную передачу персональных данных в смысле ст. 12 152-ФЗ: в рамках обработки, организуемой Оператором для работы Сервиса, персональные данные не направляются получателям, находящимся за пределами Российской Федерации.

9.5. Системы хранения, обработки и предоставления доступа к персональным данным, используемые Оператором для Сервиса (в том числе базы данных, резервное копирование, аутентификация и авторизация пользователей, прикладная и серверная инфраструктура), размещены на территории Российской Федерации. Оператор не использует для указанной обработки серверы и иные площадки, расположенные за пределами Российской Федерации.

9.6. Положения настоящего раздела согласованы с уведомлением Оператора в Роскомнадзоре о намерении осуществлять обработку персональных данных (в том числе в части отсутствия трансграничной передачи). Если Оператор планирует осуществлять трансграничную передачу, он направит в Роскомнадзор отдельное уведомление в порядке ст. 12 152-ФЗ до начала такой передачи и опубликует актуализированную редакцию настоящей Политики.

10. Передача третьим лицам

10.1. Оператор может передавать персональные данные следующим категориям лиц в объёме, необходимом для целей обработки:

• банкам, платёжным агрегаторам и операторам фискализации;
• операторам электронного документооборота, бухгалтерским и налоговым сервисам;
• хостинг-провайдерам, CDN, облачным хранилищам, сервисам резервного копирования;
• почтовым сервисам, сервисам уведомлений, SMS и мессенджерам;
• подрядчикам, исполнителям и операторам, участвующим в создании custom music или аудиорекламы;
• юридическим, бухгалтерским, техническим консультантам и аудиторам;
• государственным органам, судам, нотариусам, судебным приставам и иным лицам по законным запросам;
• партнёрам и агентам только в пределах, необходимых для атрибуции, сделки, выплаты или обработки обращения, при наличии законного основания.

10.2. Оператор не продаёт персональные данные и не передаёт их третьим лицам для самостоятельной рекламы без согласия субъекта.

10.3. С лицами, которые обрабатывают данные по поручению Оператора, заключаются договоры или соглашения, предусматривающие конфиденциальность и требования защиты персональных данных.

11. Cookies и аналитика

11.1. Сайт использует технически необходимые cookies и localStorage/sessionStorage для авторизации, безопасности и сохранения выбора пользователя.

11.2. Функциональные и аналитические категории применяются только после выбора пользователя в cookie-баннере, если соответствующая функция включена в интерфейсе. Аналитика «Лигал Саунд» использует self-hosted Umami на инфраструктуре Оператора, а также Яндекс.Метрику (через proxy `legalsound.ru`) — только после согласия на категорию analytics. Данные не передаются рекламным сетям Google и сторонним рекламным пикселям. При включённой Метрике могут применяться webvisor, карта кликов и ecommerce-события в объёме, описанном в Политике cookie.

11.3. Подробный перечень категорий, сроков и способов управления приведён в Политике cookie: https://legalsound.ru/legal/cookies.

12. Права субъекта персональных данных

12.1. Субъект персональных данных вправе:

• получать сведения об обработке своих персональных данных;
• требовать уточнения, блокирования или уничтожения неполных, устаревших, неточных, незаконно полученных или избыточных данных;
• отзывать согласие на обработку;
• требовать прекращения обработки, если для неё нет законного основания;
• получать сведения о лицах, которым раскрывались данные;
• обжаловать действия или бездействие Оператора в Роскомнадзоре или суде;
• осуществлять иные права, предусмотренные 152-ФЗ.

12.2. Запрос направляется на privacy@legalsound.ru. Для защиты данных Оператор вправе запросить сведения, позволяющие идентифицировать субъекта и его отношения с Сервисом: ФИО или наименование представляемой организации, контактный e-mail или телефон, идентификатор аккаунта, номер договора, сведения о платеже, обращении или ином взаимодействии с Оператором. Если запрос направляет представитель, Оператор вправе запросить подтверждение его полномочий.

12.3. Сроки рассмотрения обращений и запросов субъекта персональных данных определяются 152-ФЗ и применяются в следующем порядке:

• предоставление информации об обработке персональных данных, возможность ознакомления с персональными данными либо мотивированный отказ — не более 10 (десяти) рабочих дней с даты обращения субъекта персональных данных или его представителя либо с даты получения запроса (ст. 20 ч. 1–2 152-ФЗ). Указанный срок может быть продлён не более чем на 5 (пять) рабочих дней при направлении субъекту мотивированного уведомления с указанием причин продления;
• уточнение персональных данных после подтверждения их неточности — не более 7 (семи) рабочих дней со дня представления субъектом или уполномоченным органом подтверждающих сведений (ст. 20 ч. 3, ст. 21 ч. 2 152-ФЗ);
• внесение изменений при подтверждении неполноты или неактуальности персональных данных, уничтожение при подтверждении незаконного получения или избыточности — не более 7 (семи) рабочих дней со дня представления соответствующих сведений (ст. 20 ч. 3 152-ФЗ);
• прекращение обработки по требованию субъекта — не более 10 (десяти) рабочих дней с даты получения требования, с возможностью продления не более чем на 5 (пять) рабочих дней при направлении мотивированного уведомления (ст. 21 ч. 5.1 152-ФЗ);
• уничтожение персональных данных после отзыва согласия, достижения цели обработки или в иных случаях, когда сохранение не требуется, — не более 30 (тридцати) календарных дней с соответствующей даты, если иное не предусмотрено договором, соглашением с субъектом или федеральным законом (ст. 21 ч. 4–5 152-ФЗ).

12.4. Если для рассмотрения запроса Оператору необходимы дополнительные сведения для идентификации субъекта или уточнения обращения, соответствующие сроки могут исчисляться с момента получения запрошенных сведений.

12.5. Отзыв согласия не прекращает обработку, которая необходима для исполнения закона, договора, налогового учёта, защиты прав, хранения доказательств или выполнения обязанностей Оператора.

13. Меры защиты

13.1. Оператор принимает правовые, организационные и технические меры защиты персональных данных, включая:

• назначение ответственного за организацию обработки;
• ограничение доступа по ролям;
• аутентификацию пользователей;
• хранение паролей в виде хешей;
• журналирование событий безопасности;
• TLS-шифрование при передаче данных;
• резервное копирование;
• контроль доступа к инфраструктуре;
• антивирусную и техническую проверку вложений в поддерживаемых сценариях;
• обучение и ограничение доступа подрядчиков;
• определение и пересмотр угроз безопасности персональных данных;
• установление правил доступа к данным и контроль их соблюдения;
• регистрацию и учёт действий с персональными данными в информационных системах, где это применимо;
• реагирование на инциденты.

13.2. Оператор определяет угрозы безопасности персональных данных и применяет организационные и технические меры в соответствии с требованиями ст. 19 152-ФЗ и постановления Правительства РФ от 01.11.2012 № 1119 (уровень защищённости информационных систем персональных данных определён с учётом актуальных угроз и категорий обрабатываемых данных).

13.3. Пользователь обязан самостоятельно защищать свои устройства, e-mail, пароли, коды подтверждения и не передавать их третьим лицам.

14. Инциденты

14.1. При выявлении неправомерной или случайной передачи, предоставления, распространения, доступа, уничтожения, изменения, блокирования, копирования или иных неправомерных действий с персональными данными Оператор действует по требованиям ст. 21 152-ФЗ.

14.2. При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных (ст. 21 ч. 3.1 152-ФЗ), Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор):

• в течение 24 (двадцати четырёх) часов — о произошедшем инциденте, предполагаемых причинах и вреде, принятых мерах, а также о лице, уполномоченном на взаимодействие с Роскомнадзором;
• в течение 72 (семидесяти двух) часов — о результатах внутреннего расследования и, при наличии, о лицах, действия которых стали причиной инцидента.

14.3. При выявлении неправомерной обработки персональных данных Оператор прекращает такую обработку в срок, не превышающий 3 (трёх) рабочих дней с даты выявления, либо уничтожает персональные данные в срок, не превышающий 10 (десяти) рабочих дней, если обеспечить правомерность обработки невозможно (ст. 21 ч. 3 152-ФЗ). О принятых мерах Оператор уведомляет субъекта персональных данных и, в случаях, предусмотренных законом, Роскомнадзор.

14.4. Оператор информирует затронутых субъектов персональных данных о произошедших инцидентах и принятых мерах в разумный срок, если такое информирование требуется законом или необходимо для защиты их прав.

15. Изменение Политики

15.1. Оператор вправе изменять Политику. Новая редакция публикуется на https://legalsound.ru/legal/personal-data.

15.2. Если изменения существенно расширяют состав данных, цели обработки или круг получателей, Оператор размещает уведомление на сайте и/или направляет уведомление зарегистрированным пользователям.

15.3. Продолжение использования Сервиса после вступления новой редакции в силу означает ознакомление с ней. Если изменения требуют нового согласия на обработку персональных данных, Сервис запросит его отдельно (в том числе при регистрации, повторном входе или иных предусмотренных интерфейсом сценариях).

16. Административная ответственность

16.1. Нарушение требований законодательства Российской Федерации в области персональных данных может повлечь административную ответственность по ст. 13.11 КоАП РФ, в том числе в редакции, введённой Федеральным законом от 30.11.2024 № 420-ФЗ (вступил в силу с 30.05.2025): в числе прочего за обработку без правового основания, отсутствие или недоступность политики обработки персональных данных, несвоевременное уведомление Роскомнадзора об инциденте, неправомерную передачу персональных данных.

16.2. Актуальные составы и размеры санкций определяются действующей редакцией КоАП РФ. Настоящий раздел носит информационный характер и не ограничивает права субъектов персональных данных и полномочия уполномоченных органов.

17. Контакты

По вопросам персональных данных:

• E-mail: privacy@legalsound.ru
• Место регистрации: Новосибирская область, г. Новосибирск (полный почтовый адрес предоставляется по запросу субъекта ПДн)
• Сайт: https://legalsound.ru

18. История редакций

• 27.09.2026 (`2026-09-27`) — уточнены сроки рассмотрения запросов субъектов и меры при неправомерной обработке (ст. 14, 20, 21 152-ФЗ); раскрыты сроки уведомления Роскомнадзора об инцидентах (24 и 72 часа); добавлены сведения о требованиях к защите ПДн (ст. 19, ПП № 1119); добавлен информационный раздел об административной ответственности (420-ФЗ, ст. 13.11 КоАП); подтверждён регистрационный номер оператора в Реестре РКН 54-26-063406; канонический URL политики — https://legalsound.ru/legal/personal-data; в §9.4–9.6 зафиксировано отсутствие трансграничной передачи (ст. 12 152-ФЗ), локализация инфраструктуры и аутентификации в РФ и согласованность с уведомлением РКН.
• 01.09.2026 (`2026-09-01`) — первая публичная редакция; публичный запуск сервиса «Лигал Саунд».