Безопасность платежей и данных банковских карт

Редакция 1, действует с 09.10.2026

Здесь описано, как устроена оплата подписки «Здоровое инфополе» с точки зрения безопасности: где вводятся данные банковской карты, что сайт получает от платёжного провайдера и что хранит, как защищено соединение, какие документы об оплате стоит сохранять, как защитить данные своей карты и что делать, если операция кажется подозрительной. Документ действует для всех способов оплаты на сайте и в мобильном приложении. Кто продаёт подписку в вашей стране и через какого провайдера проходит оплата, указано на странице «Реквизиты и оплата».

1. Коротко

Данные карты вы вводите только на защищённой странице платёжного провайдера, а не на сайте «Здоровое инфополе».
Сайт не получает полный номер карты и код CVV/CVC и не хранит ни номер карты, ни срок её действия, ни имя держателя, ни CVV/CVC. Сохраняются только последние 4 цифры номера, чтобы указать их в квитанции об оплате.
Из сведений провайдера сайт сохраняет только то, что нужно для учёта оплаты и квитанции: идентификатор и статус операции, последние 4 цифры карты, код страны банка, выпустившего карту, а если вы согласились на автопродление, то ещё токен сохранённого способа оплаты.
После каждой оплаты, в том числе после каждого автопродления, на ваш email приходит письмо-квитанция. Сохраняйте его: это подтверждение оплаты (см. раздел 9).
Сайт и страницы оплаты работают только по защищённому соединению (HTTPS/TLS).
Если банк, выпустивший карту, поддерживает технологию 3-D Secure, он может запросить дополнительное подтверждение операции по своим правилам.
Мы никогда не просим сообщить данные карты или коды подтверждения: ни по почте, ни в поддержке, ни по телефону, ни в мессенджерах. Как защитить данные своей карты, описано в разделе 10.

2. Кто проводит оплату

Продавец подписки и платёжный провайдер зависят от страны, в которой вы постоянно или преимущественно проживаете. Подробнее об этом говорится в Общих условиях и на странице «Реквизиты и оплата».

Россия. Продавец: Воробьёва Алёна Викторовна. Оплата проходит через ЮKassa (ООО НКО «ЮМани»), списание в российских рублях.
Армения. Продавец: Воробьёва Алёна Викторовна. Оплата проходит через виртуальный POS-терминал банка Республики Армения, списание в армянских драмах (AMD). Название банка появится на странице «Реквизиты и оплата» после подключения. До этого оплата по этому маршруту не принимается.
Другие страны. Оплату будет проводить международный провайдер Merchant of Record (MoR). В момент оплаты он сам выступает продавцом для покупателя и действует по своим условиям. Провайдер будет указан после подключения. До этого оплата по этому маршруту не принимается.

Страну сайт определяет по стране проживания, которую вы указываете сами, и по стране вашего подключения (по IP-адресу). Если они не совпали, учитывается ещё и код номера телефона (см. раздел 3). После первой успешной оплаты (в том числе оплаты 1 ₽ по промокоду) страна закрепляется за аккаунтом, и сменить её можно только по заявке в поддержку. Язык сайта и валюта, в которой показаны цены, на выбор продавца и провайдера не влияют.

3. Где вводятся данные карты

Вы указываете страну проживания. После первой успешной оплаты этот шаг пропускается, потому что страна уже закреплена за аккаунтом.
Перед оплатой сайт показывает страницу подтверждения покупки. На ней указано, кто продавец и в какой стране он находится, какая сумма и в какой валюте будет списана, через кого проводится платёж. Там же ссылка на ту редакцию условий, которую вы принимаете, и правила возврата. Если известно, как платёж будет называться в банковской выписке, это название тоже указано. На этой же странице две галочки, ни одна из них не отмечена заранее, и обе обязательны: согласие с условиями и правилами возврата и отмены и согласие на автопродление.
После нажатия кнопки «Оплатить» вы переходите на страницу провайдера вашего маршрута: ЮKassa, банка-эквайера Республики Армения или MoR.
Номер карты, срок действия, имя держателя (если его запрашивают) и код CVV/CVC вводятся только там. Эти данные передаются напрямую провайдеру, и он обрабатывает их по своим правилам и правилам платёжных систем. Провайдеры, принимающие карты, обязаны соблюдать стандарт безопасности данных платёжных карт PCI DSS — этого требуют платёжные системы.
После оплаты провайдер возвращает вас на сайт, и там отображается результат операции. Если платёж не прошёл, деньги не списываются: вы увидите причину отказа и кнопку «Пройти оформление заново» (см. раздел 7).

На страницах сайта «Здоровое инфополе» нет полей для номера карты, её срока действия и CVV/CVC. В мобильном приложении таких полей тоже нет. Если в приложении доступна оплата, она открывается в браузере, и карта вводится на той же странице провайдера. Если от имени сервиса вам предлагают ввести данные карты где-то ещё, не делайте этого и сообщите нам (см. раздел 11).

Чтобы выбрать маршрут оплаты, сайт не просит ни номер карты, ни его первые цифры. Если страна проживания не совпала со страной подключения, сайт предложит проверить страну ещё раз либо указать номер телефона. Номер на сервер не передаётся: страну по его коду определяет ваш браузер, а на сервер уходит только код страны. Указывать номер не обязательно: если вы откажетесь, покупку оформит поддержка. Подробнее об этом говорится в Политике обработки персональных данных.

4. Что сайт получает от провайдера и что хранит

4.1. Чего мы не получаем и не храним

Никогда не получаем: полный номер карты, код CVV/CVC, PIN-код, одноразовые коды и пароли подтверждения операции (из SMS, push-уведомлений или приложения банка).
Не храним: полный номер карты, срок её действия, имя держателя, код CVV/CVC.

В служебном ответе об операции провайдер может передать маскированные сведения о карте, например часть цифр номера и срок действия. Из них сайт сохраняет только последние 4 цифры номера (для квитанции) и код страны банка, выпустившего карту (см. раздел 4.2). Остальные сведения не сохраняются и не записываются в журналы.

4.2. Что мы храним

идентификатор платежа, присвоенный провайдером;
статус операции (успешна, ожидает, отклонена). Если платёж отклонён, сохраняется ещё код причины от провайдера: он нужен, чтобы понятно объяснить вам, что случилось, и помочь в поддержке;
сумму и валюту операции, чтобы сверить их с тем, что вы видели на странице подтверждения покупки;
последние 4 цифры номера карты. Они указываются в письме-квитанции, чтобы вы и поддержка могли понять, какой картой оплачена покупка. Восстановить по ним номер карты нельзя;
код страны банка, выпустившего карту (две латинские буквы), если провайдер его сообщает. Эта страна становится известна только после оплаты и используется только для учёта. На проведённую оплату она не влияет: продавец, цена и условия оплаченной покупки не меняются, платёж не перепроводится, повторных или дополнительных списаний из-за этого не бывает, и делать вам ничего не нужно;
идентификатор (токен) сохранённого способа оплаты, но только если вы согласились на автопродление (см. раздел 4.3).

Записи об оплаченных покупках хранятся не меньше 3 лет, а при удалении аккаунта обезличиваются. Сроки хранения и их основания указаны в Политике обработки персональных данных.

4.3. Токен для автопродления

На странице подтверждения покупки есть галочка согласия на автопродление, по умолчанию она не отмечена. Без неё подписку не оформить: подписка продаётся только с автопродлением. Когда вы её отмечаете, провайдер сохраняет ваш способ оплаты у себя, а сайту передаёт только его идентификатор — токен. По токену провайдер списывает плату за следующий период, пока вы не отключите автопродление. Размер и периодичность списаний те, на которые вы согласились при оформлении: если цена на сайте изменится, на уже оформленную подписку это не повлияет. Если банк перевыпустит карту, списания могут продолжиться с новой карты. Восстановить по токену полный номер карты или CVV/CVC нельзя.

Сейчас автопродление с сохранённым способом оплаты работает при оплате через ЮKassa. Для банка Республики Армения и MoR порядок будет описан на этой странице после их подключения.
Плановое списание по автопродлению проходит за 1 день до окончания оплаченного периода. После каждого списания приходит письмо-квитанция.
Автопродление можно отключить в любой момент в разделе «Управление подпиской» на сайте или в мобильном приложении, а также через поддержку. После отключения сохранённая карта отвязывается: сайт удаляет токен, и новых списаний по нему не будет. На email приходит письмо-подтверждение с датой отключения. Доступ сохраняется до конца оплаченного периода.
Автопродление выключается, а токен удаляется и без вашего действия в трёх случаях: если по платежу сделан возврат денег; если вы оспорили платёж через банк; если банк отказал в списании так, что повторять его нельзя (карта недействительна, разрешение на списание отозвано, есть подозрение на мошенничество). В последнем случае вам придёт письмо. При других отказах банка сразу приходит письмо с предложением оплатить другим способом или отключить автопродление. Повторные попытки списания делаются не дольше 3 дней после окончания периода и не больше 3 отказов подряд. После третьего отказа автопродление выключается.
При удалении аккаунта автопродление отменяется, а токен удаляется.
При активации промокода (сейчас это возможно только для покупателей из России) списывается 1 ₽. Это вся плата за промо-период и привязку карты через ЮKassa. Согласие на автопродление в этом случае обязательно. Ровно за 7 дней до окончания промо-периода придёт письмо-напоминание: в нём указаны сумма и дата списания и сказано, как отменить автопродление. Первое платное списание проходит в последний день промо-периода и не раньше чем через 7 суток после этого письма.

5. Защищённое соединение

Все страницы сайта открываются только по протоколу HTTPS: данные между вашим браузером и сервером передаются в зашифрованном виде (TLS). Если открыть адрес с http://, сайт автоматически перенаправит на https://. Кроме того, браузер получает указание и дальше открывать сайт только по защищённому соединению.
Cookies входа в аккаунт и защиты форм передаются только по защищённому соединению.
Мобильное приложение тоже обменивается данными с сервером только по защищённому соединению.
Страницы оплаты провайдеров также работают только по HTTPS.

Перед тем как ввести данные карты, проверьте три вещи: адрес страницы начинается с https://, в адресной строке браузера есть значок защищённого соединения, а сама страница принадлежит провайдеру, указанному на странице подтверждения покупки.

6. Подтверждение операции (3-D Secure)

Если банк, выпустивший карту, поддерживает технологию 3-D Secure (у разных платёжных систем она называется по-разному), он может запросить дополнительное подтверждение платежа: одноразовый код из SMS, подтверждение в приложении банка или иной способ.
Нужно ли подтверждение и в какой форме, решают банк, выпустивший карту, и провайдер — по своим правилам и правилам платёжных систем. Сайт на это не влияет, коды подтверждения не видит и не хранит.
Если банк запросил подтверждение, а оно не пройдено, операция не будет проведена.
Списания по автопродлению проходят без вашего участия: основанием служит согласие, которое вы дали при оформлении подписки. Поэтому код подтверждения при них обычно не запрашивается.

7. Какие карты и способы оплаты принимаются

Логотипы платёжных систем показаны на странице «Реквизиты и оплата» отдельно для каждого продавца. Там только те системы, приём которых банк или провайдер действительно подтвердил для этого продавца. Способы оплаты, которые ещё не согласованы, мы не заявляем.
Россия. Доступные способы оплаты перечислены на странице ЮKassa. Если ваша карта не принимается, выберите там другой способ.
Армения. Оплата банковскими картами в AMD через банк-эквайер Республики Армения. Список платёжных систем появится после подключения банка.
Другие страны. Способы оплаты определяет MoR и показывает их на своей странице оплаты.

Деньги списываются в валюте маршрута: в рублях (Россия), в армянских драмах (Армения) или по правилам MoR (другие страны). Валюта, которую вы выбрали для отображения цен на сайте, служит только ориентиром. Если валюта вашей карты отличается от валюты списания, сумму пересчитает ваш банк по своему курсу и может взять за это комиссию.

Если платёж не прошёл, деньги не списываются. На сайте вы увидите причину отказа и сможете пройти оформление заново, повторить оплату с теми же данными или написать в поддержку. Например, банк продавца из Армении может не принять карту, выпущенную в России, и наоборот. Сам отказ банка не меняет ни страну покупки, ни продавца. Если вы ошиблись со страной проживания, а успешных оплат у вас ещё не было, при новом оформлении её можно указать заново. Если страна указана верно, оплатите картой другого банка или напишите в поддержку.

8. Как сервис защищает оплату со своей стороны

Доступ открывается только после того, как провайдер подтвердил успешную оплату. Сайт проверяет статус операции прямым запросом к провайдеру, а не полагается только на то, что ваш браузер вернулся на сайт.
Уведомления об оплате принимаются только от провайдера. Сумма и валюта операции сверяются с покупкой, которую вы оформили. Если уведомление об одной и той же операции придёт повторно, подписка не продлится дважды.
Если в рамках одной попытки оформления нажать кнопку оплаты ещё раз, второй платёж не создаётся.
Сайт сохраняет точный текст согласия, которое вы дали на странице подтверждения покупки, время согласия и редакцию принятых условий. Если возникнет спор, это подтвердит, на какие условия вы соглашались.
Платёжные данные не записываются в журналы сайта. Номер телефона, если его спрашивают для определения страны, на сервер не передаётся. IP-адрес в данных покупки тоже не сохраняется, только код страны.
Данные о платежах в административной части сайта доступны только уполномоченным лицам продавца.

9. Сохраняйте документы об оплате

Сохраняйте документы, которые подтверждают оплату. Они пригодятся, если нужно будет вернуть деньги, разобраться со спорным списанием или подтвердить покупку перед банком.

Письмо-квитанция. После каждой оплаты на email вашего аккаунта приходит письмо-квитанция. Это касается и каждого автопродления, и оплаты 1 ₽ по промокоду. В письме указаны продавец и его реквизиты, сумма, дата, последние 4 цифры карты, номер заказа и дата, до которой открыт доступ. Там же условия автопродления и как его отключить, ссылка на принятую вами редакцию условий и порядок подачи претензий. Покупателям из Армении в письме также напоминают о праве отказаться от договора в течение 14 дней.
Чек (Россия). Продавец из России на каждый платёж формирует чек в приложении ФНС «Мой налог» и присылает его вам на email. Это касается и оплаты 1 ₽ по промокоду, и каждого автопродления. ЮKassa такие чеки не формирует.
Уведомление банка и выписка по карте, в которых видна эта операция.

Принятая вами редакция условий доступна по постоянной ссылке из письма-квитанции и в разделе «Управление подпиской». Она потом не меняется. Если письмо-квитанция не пришло, проверьте папку «Спам» и напишите в поддержку.

10. Как защитить данные карты

Вводите данные карты только на странице платёжного провайдера, на которую вы перешли со страницы подтверждения покупки. Перед вводом проверьте адрес и защищённое соединение (см. раздел 5).
Никому не сообщайте код CVV/CVC, PIN-код и одноразовые коды из SMS или push-уведомлений банка, даже если собеседник представляется сотрудником поддержки или банка. Ни мы, ни платёжные провайдеры их никогда не спрашиваем.
Не храните данные карты в заметках, файлах, на фотографиях и в переписке. Не передавайте карту и её данные другим людям.
Не вводите данные карты на чужих или общедоступных устройствах и в открытых сетях Wi-Fi без пароля. Обновляйте браузер, операционную систему и приложение банка.
Подключите в банке уведомления об операциях по карте: так вы сразу заметите чужое списание. Если банк позволяет установить лимит на покупки в интернете или выпустить отдельную карту для них, этим можно воспользоваться.
Не переходите по ссылкам на оплату из писем и сообщений, которых вы не ждали. Открывайте сайт сами: набирайте адрес вручную или используйте закладку.
Придумайте для аккаунта надёжный пароль, который вы не используете на других сайтах, и никому его не сообщайте.
Если карта потеряна или вы подозреваете, что её данные узнали посторонние, сразу заблокируйте её через банк (см. раздел 11.2).

11. Если операция кажется подозрительной

11.1. Вы видите списание, которое не узнаёте

Загляните в раздел «Управление подпиской» и в письма-квитанции. Возможно, это плановое автопродление: оно списывается за 1 день до окончания оплаченного периода, а после промо-периода — в его последний день. Это может быть и повторная попытка списать плату за продление после отказа банка. Дата, сумма и валюта должны совпадать с условиями, на которые вы согласились при оформлении.
Сравните название платежа в банковской выписке с темой письма-квитанции и с названием на странице подтверждения покупки, если оно там было указано.
Если списание всё равно не похоже на ваше, напишите в поддержку или на адрес zdorovoeinfopole@mail.ru. Укажите дату, сумму и валюту списания, название платежа в выписке и последние 4 цифры карты. Если есть номер операции из уведомления банка или номер заказа из письма-квитанции, укажите и их. Поддержка отвечает —.

Не присылайте нам полный номер карты, срок её действия, CVV/CVC и коды из SMS: для проверки они не нужны.

11.2. Вы думаете, что данные карты попали к посторонним

Сразу свяжитесь с банком, который выпустил карту, и попросите её заблокировать. Телефон банка есть на обороте карты или в приложении банка.
Операцию, которую вы не совершали, можно оспорить через ваш банк по правилам платёжной системы. В какой срок нужно сообщить банку о такой операции, определяют закон и ваш договор с банком (для карт российских банков — Федеральный закон «О национальной платёжной системе»). Поэтому не откладывайте обращение.
Сообщите и нам: в поддержку или на адрес zdorovoeinfopole@mail.ru. Мы проверим операцию по своим данным, по вашей просьбе отключим автопродление и удалим токен сохранённого способа оплаты, а также ответим на запросы банка и провайдера, если начнётся разбирательство. Если вы оспорили платёж через банк, автопродление выключается, и повторных списаний не будет.

Если подтвердится, что оплата прошла без ведома держателя карты, мы отключим автопродление этой подписки. Как вернуть деньги, описано на странице «Возврат и отмена». Кроме того, вы вправе обратиться в свой банк и оспорить операцию (см. п. 2 выше).

11.3. Вы подозреваете, что кто-то вошёл в ваш аккаунт

Смените пароль по ссылке «Забыли пароль?» на странице входа.
Проверьте раздел «Управление подпиской» и при необходимости отключите автопродление.
Напишите в поддержку.

Данные карты в аккаунте не хранятся, поэтому через аккаунт их узнать нельзя.

11.4. Кто-то от нашего имени просит данные карты

Если письмо или сообщение от имени сервиса просит данные карты, знайте: его прислали не мы. Мы никогда не просим сообщить данные карты, CVV/CVC, PIN-код или коды подтверждения — ни по email, ни в поддержке, ни по телефону, ни в мессенджерах. Оплата подписки не принимается переводом на карту или по номеру телефона: она проходит только через страницу подтверждения покупки на сайте и страницу провайдера. Не переходите по ссылкам из такого сообщения и перешлите его в поддержку.

11.5. Деньги списаны, а доступа нет, или за одну покупку списали дважды

Обычно доступ открывается автоматически в течение нескольких минут после того, как провайдер подтвердит оплату. Если доступа нет и через 10 минут или вы видите два списания за одну покупку, напишите в поддержку. Повторное или ошибочное списание, а также списание после отключения автопродления возвращаются полностью. Подробнее об этом говорится на страницах «Условия предоставления услуги» и «Возврат и отмена».

12. Кто за что отвечает

Платёжный провайдер (ЮKassa, банк-эквайер или MoR) отвечает за приём и защиту данных карты, проверку операции (в том числе 3-D Secure) и проведение платежа. Он действует по своим правилам, правилам платёжных систем и применимому законодательству.
Продавец отвечает за то, чтобы сведения на сайте были достоверными (продавец, цена, валюта, условия) и чтобы списания соответствовали условиям, которые принял покупатель. Он же обязан выполнить отключение автопродления.
Покупатель хранит в тайне данные своей карты и коды подтверждения и обеспечивает безопасность доступа к своему аккаунту.

13. Изменение документа

Мы обновляем этот документ, когда подключаем новых провайдеров (банк-эквайер Республики Армения, MoR) или меняем порядок оплаты. Актуальная редакция всегда размещена на этой странице, её номер и дата вступления в силу указаны в начале.

14. Контакты

С вопросами о безопасности платежей пишите в раздел «Поддержка» или на адрес zdorovoeinfopole@mail.ru. Поддержка отвечает —. Реквизиты продавцов указаны на страницах «Реквизиты и оплата» и «Контакты».