Политика конфиденциальности

Политика описывает, какие данные обрабатывает Сервис LunoPay, в каком объёме и с какой целью. Сервис выступает техническим шлюзом: денежные переводы между Клиентом и Мерчантом выполняются банками-участниками СБП, и Сервис не участвует в обработке платёжных данных банковских карт.

Проверка обращений в поддержку

Текст обращений и скриншоты сохраняются для ответа поддержки. Явные предложения запрещённых услуг могут быть отмечены для ручной проверки. Само упоминание темы не означает нарушение. Автоматический бан не выполняется: решение принимает администрация. Передача текста в Groq для AI-ответа и контекстной классификации требует соответствующего согласия в форме обращения; без него используются локальные правила и ручная проверка, без передачи текста классификатору. Скриншоты в Groq не передаются.

1. Данные, которые Сервис не собирает

• данные банковских карт Клиентов: номер, срок действия, защитный код;
• персональные данные Клиента в составе перевода: перевод выполняется в приложении банка, Сервис получает только факт и параметры операции;
• содержимое переписки Клиента и Мерчанта;
• данные для рекламных сетей, сторонние счётчики и идентификаторы рекламных систем;
• файлы cookie сторонних сервисов.

2. Данные, которые Сервис обрабатывает

2.1. Учётные данные Мерчанта

Адрес электронной почты, имя учётной записи и хэш пароля. Пароли не хранятся в открытом виде: используется необратимое хэширование PBKDF2-HMAC-SHA256 с индивидуальной солью. Данные необходимы для авторизации в панели управления.

2.2. API-ключи

Секретное значение ключа отображается Мерчанту один раз в момент создания и не сохраняется в открытом виде: в системе хранится только криптографический отпечаток (SHA-256). Ключ используется для аутентификации запросов к программному интерфейсу и может быть отозван Мерчантом в любой момент.

2.3. Данные платёжных операций

Идентификатор заявки, номер заказа, сумма операции, вознаграждение Сервиса, итоговая сумма к оплате, статус операции и метки времени. Данные используются для формирования платёжных страниц, расчётов с Мерчантом и разрешения спорных ситуаций.

2.4. Технические журналы (логи)

IP-адрес источника запроса, время запроса, адрес запрошенного ресурса и код ответа. Журналы применяются исключительно для обеспечения работоспособности, диагностики сбоев и расследования инцидентов. Журналы не передаются третьим лицам.

2.5. Cookie и локальное хранилище браузера

Используются только служебные записи: идентификатор сессии авторизации, одноразовые системные уведомления и сохранённый выбор в отношении cookie. Рекламные и аналитические cookie не применяются.

2.6. Идентификатор Telegram (опционально)

Если Мерчант передаёт в заявке идентификатор пользователя Telegram, он используется только для отправки статусных уведомлений об этой операции и не связывается с другими данными.

3. Сроки хранения

Данные платёжных операций и технические журналы хранятся в течение срока, необходимого для расчётов и разрешения споров, но не менее срока, установленного применимым законодательством для документов финансового характера. Учётные данные хранятся до удаления учётной записи Мерчантом. Отозванный API-ключ перестаёт действовать немедленно.

4. Передача данных третьим лицам

Сервис не продаёт и не передаёт данные третьим лицам, за исключением случаев, прямо предусмотренных законом, а также передачи технических параметров операции банку-получателю в рамках платёжного процесса СБП. Обработка данных осуществляется на инфраструктуре, используемой для размещения Сервиса.

5. Защита данных

Применяются хэширование секретов, ограничение доступа к панели управления, контроль действительности платёжных сессий и минимизация состава собираемых данных. Сервис не хранит платёжные инструменты Клиентов, поэтому их компрометация на стороне Сервиса невозможна.

Обмен данными с панелью управления может осуществляться по незашифрованному протоколу HTTP, если для размещения Сервиса не настроен защищённый транспортный слой. В этом случае Мерчанту рекомендуется использовать уникальные пароли и своевременно отзывать API-ключи.

6. Права субъекта данных

Мерчант вправе запросить сведения об обработке своих данных, потребовать их уточнения или удаления, направив обращение через каналы поддержки, указанные в разделе «Поддержка». Обращение рассматривается в течение 30 календарных дней.

7. Изменение политики

Актуальная редакция политики всегда доступна на данной странице. Существенные изменения дополнительно отображаются в панели управления.