Субпроцессоры

Перечень третьих сторон, которые соприкасаются с инфраструктурой сервиса GDPR Scan MD или с проходящими через него данными. Там, где строку нельзя задокументировать полностью, ограничение написано прямо в строке, а не спрятано в примечании.

28 июля 2026 года

Как составлен перечень

Перечень составлен по коду, а не по памяти: каждый сетевой вызов за пределы приложения, каждая переменная производственной конфигурации и каждая зависимость сборки. Чего нет в коде — нет и здесь.

Три строки действительно отправляют данные за пределы нашего сервера: хостинг, доставка электронной почты и внутреннее уведомление. Остальные — инфраструктура, которая не получает от нас персональных данных, и это отмечено.

Перечень полон на указанную выше дату — в пределах того, что можно прочитать в коде и конфигурации проекта.

Передача за пределы Европейского союза

За пределами ЕС находится только один получатель — Telegram. Внутреннее уведомление, отправляемое при каждом контактном запросе, содержит электронный адрес или телефон, оставленный в форме, адрес просканированного сайта и оценку; если запрос пришёл из формы на странице контактов, оно дополнительно содержит написанное там сообщение и доказательство согласия. Мы заявляем это прямо, потому что это единственное место в системе, где персональные данные покидают Союз.

Вся остальная обработка — хостинг, база данных, формирование PDF, снимки экрана — выполняется на одном сервере в București, România (UE). PDF-отчёты формируются локально, на той же машине; внешних сервисов конвертации мы не используем.

Что происходит при изменении перечня

Мы добавляем строку сюда до включения интеграции в производственной среде, а не после. Дата выше меняется при каждом изменении.

Если у вас есть вопрос по конкретному субпроцессору или нужно соглашение об обработке, напишите на oleg@megapromoting.com.

Перечень субпроцессоров

OVHcloud

Хостинг, хранение и сеть

Какие данные получает: Всё, что проходит через сервис, потому что всё работает на их машине: адреса, отправленные на сканирование, результаты, контактные данные из формы, временные снимки экрана и IP-адреса в логах веб-сервера.
Цель: Работа приложения, базы данных и браузера, который выполняет сканирование.
Где: București, România (UE). Один сервер, без CDN перед ним и без реплик в других странах.
Основание: Обработчик по поручению оператора, на основании договора хостинга.
Статус: Активен.

MEGA PROMOTING — LiteLLM Gateway (Microsoft Azure OpenAI)

Ассистент, объясняющий отчёт

Какие данные получает: Только если вы начинаете диалог с ассистентом под отчётом: ваши вопросы и уже показанный на экране отчёт — адрес просканированного сайта, оценка, вердикт, находки с объяснениями и способами исправления, просмотренные страницы. Он не получает доказательств (скриншотов, сырых сетевых запросов, значений cookie) и не получает никаких данных о вас как о человеке: ни email, ни телефона, ни IP-адреса.
Цель: Формулирование ответа на ваш вопрос об отчёте. Модель не создаёт и не изменяет результат сканирования.
Где: Запрос идёт через собственный шлюз MEGA PROMOTING, размещённый в Microsoft Azure в Швеции (swedencentral), и обслуживается Azure OpenAI. Остаётся в Европейском союзе.
Основание: Ваше согласие, запрашиваемое явно до первого сообщения. Без отметки ни один запрос не уходит. Если вы не начинаете диалог, этот субобработчик не получает ничего.
Статус: Активен, когда ассистент настроен на сервере. Без настройки диалога не существует вовсе.

Чего мы не можем гарантировать из кода: политику хранения на стороне поставщика модели. Поэтому мы не передаём ему идентифицирующих данных и просим вас не писать в диалоге персональные данные других людей — для объяснения технического отчёта они ассистенту не нужны.

Infobip

Доставка письма с отчётом

Какие данные получает: Электронный адрес получателя, тему и текст письма: просканированный хост, оценку, вердикт и ссылку на отчёт.
Цель: Отправка отчёта, если вы явно запросили его через форму.
Где: Infobip — компания из Хорватии, государства — члена Европейского союза.
Основание: Обработчик по поручению. Обработка происходит только если вы запросили отчёт по электронной почте.
Статус: Активен, когда канал настроен на сервере.

Чего нельзя установить по коду: точный регион центра обработки данных Infobip — он определяется базовым адресом API в конфигурации сервера, а не в исходном коде. Если это нужно для вашего учёта, запросите на oleg@megapromoting.com, и мы сообщим фактическое значение.

Внутреннее уведомление команды MEGA

Какие данные получает: При каждом контактном запросе: электронный адрес и/или телефон из формы, адрес просканированного сайта, оценку, вердикт и ссылку на отчёт. Из формы на странице контактов: те же контактные данные, адрес сайта, если он был указан, написанное вами сообщение и доказательство согласия — отмеченный текст, его версия, язык и криптографический отпечаток. При каждом завершённом сканировании: адрес сайта, оценку и список находок, без контактных данных.
Цель: Уведомление команды в реальном времени, чтобы обращение получило быстрый ответ.
Где: За пределами Европейского союза. На Telegram не распространяется решение об адекватности.
Основание: Законный интерес оператора во внутренней работе. Это самое слабое основание в перечне, и мы заявляем об этом прямо.
Статус: Активен, когда канал настроен на сервере.

Сообщения остаются в истории переписки до ручного удаления; автоматического срока у них нет. При запросе на удаление ваших данных мы удаляем и соответствующее сообщение.

Hostinger

DNS-зона домена megapromoting.com

Какие данные получает: Ничего от приложения. Хранит DNS-запись, которая переводит адрес этого сайта в адрес сервера.
Цель: Разрешение доменного имени.
Где: Группа компаний, зарегистрированная в Европейском союзе.
Основание: Поставщик инфраструктуры. Не обрабатывает персональные данные по нашему поручению.
Статус: Активен.

Мы не документировали публично инфраструктуру серверов имён этого поставщика и страны, из которых они отвечают. Он включён в перечень потому, что входит в цепочку, а не потому, что получает от нас данные.

Let's Encrypt (ISRG)

TLS-сертификат сайта

Какие данные получает: Доменное имя — при каждой выдаче и продлении сертификата.
Цель: Шифрование соединения между вашим браузером и нашим сервером.
Где: Internet Security Research Group, Соединённые Штаты Америки.
Основание: Поставщик инфраструктуры. Персональных данных не получает.
Статус: Активен.

Выданные сертификаты попадают в публичные журналы Certificate Transparency, где доменное имя становится общедоступным. Это обычное поведение любого публичного сертификата, а не особенность данного сервиса.

Google Fonts

Файлы шрифтов, загружаемые на этапе сборки

Какие данные получает: Ничего от посетителей. Файлы IBM Plex загружаются один раз, на машине, где мы собираем приложение, а затем раздаются с нашего сервера.
Цель: Типографика сайта.
Где: К посетителям не относится: ваш браузер на этом сайте никогда не обращается к Google.
Основание: Это не обработка персональных данных.
Статус: Зависимость сборки, а не времени выполнения.

Это проверяется снаружи: политика безопасности контента, которую отправляет сайт, разрешает шрифты только со своего же источника (font-src 'self'), поэтому запрос к Google был бы заблокирован браузером, даже если бы случайно попал в код.

Резервный SMTP-провайдер

Альтернативный путь доставки письма с отчётом

Какие данные получает: Те же данные, что и Infobip, если этот канал будет включён вместо него.
Цель: Отправка отчёта по электронной почте.
Где: Зависит от того, какой провайдер будет настроен.
Основание: Обработчик по поручению оператора.
Статус: Не настроен. Путь существует в коде, но не активирован.

Если мы включим этот канал, провайдер появится здесь с названием, страной и основанием — до включения.

Чего мы НЕ используем

Этот список не менее важен, чем первый. Каждую строку можно проверить, просканировав этот сайт любым инструментом, в том числе нашим.

Google Analytics, Google Tag Manager и любые другие инструменты веб-аналитики.
Meta Pixel, TikTok, Yandex Metrica и другие рекламные пиксели.
Сторонний CDN перед сайтом. Запросы приходят напрямую на наш сервер.
Сервисы мониторинга ошибок и записи сессий посетителей.
Карты, видео и фреймы, загружаемые у третьих сторон. Пояснительное видео раздаётся с нашего сервера.
Платёжные провайдеры. На этом сайте ничего не оплачивается.
Внешние сервисы формирования PDF или снимков экрана. И то и другое выполняется локально.
Языковые модели и другие сервисы искусственного интеллекта — ни на одном участке цепочки, которая формирует вердикт.