Персональные данные
Политика в отношении обработки персональных данных
Политика ИП Богомья Тимура Витальевича в отношении персональных данных пользователей Aideck, включая использование файлов cookie и локального хранилища.
1. Общие положения
1.1. Настоящая Политика определяет цели, правовые основания, состав и порядок обработки персональных данных, меры по их защите и порядок реализации прав субъектов при использовании сайта и веб‑приложения Aideck.
1.2. Оператором персональных данных является Индивидуальный предприниматель Богомья Тимур Витальевич, ИНН 781698563794, ОГРНИП 326784700255910 (далее — «Оператор»). Запросы о персональных данных направляются на privacy@aidecklab.ru.
1.3. Политика распространяется на посетителей сайта, зарегистрированных пользователей, покупателей, представителей организаций, участников команд, заявителей и иных лиц, данные которых обрабатываются Оператором в связи с работой Aideck. Она опубликована во исполнение части 2 статьи 18.1 Федерального закона от 27 июля 2006 года № 152‑ФЗ «О персональных данных» и применяется вместе с отдельным согласием, Пользовательским соглашением и Публичной офертой.
1.4. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу.
1.5. Обработка персональных данных — любое действие или совокупность действий с персональными данными, выполняемые с использованием средств автоматизации или без них.
1.6. Предоставление персональных данных — раскрытие персональных данных определённому лицу или определённому кругу лиц.
1.7. Распространение персональных данных — раскрытие персональных данных неопределённому кругу лиц.
1.8. Обезличивание — действия, после которых без дополнительной информации невозможно определить принадлежность данных конкретному субъекту.
1.9. Уничтожение персональных данных — действия, после которых восстановить содержание персональных данных невозможно.
1.10. Оператор придерживается следующих принципов обработки:
- обработка ведётся законно, справедливо и только для заранее определённых целей;
- состав и объём данных не превышают необходимого для заявленной цели;
- неточные данные уточняются, а данные без действующего основания удаляются или уничтожаются;
- конфиденциальность и защита обеспечиваются на всём сроке обработки.
2. Цели обработки персональных данных
2.1. Учётная запись и доступ — регистрация, аутентификация, восстановление доступа, защита аккаунта и хранение пользовательских настроек.
2.2. Функции Aideck — создание, ИИ‑генерация, поиск материалов, хранение, редактирование, публикация и экспорт презентаций, а также история изменений.
2.3. Совместная работа — приглашение участников, управление командами, ролями, комментариями и общим контентом.
2.4. Расчёты и исполнение заказа — выбор тарифа, подтверждение платежа, предоставление доступа, возврат, оформление расчётных документов и исполнение установленных законом обязанностей.
2.5. Сервисная связь — регистрационные и обязательные сервисные сообщения, уведомления безопасности, ответы на обращения и информация об исполнении заказа.
2.6. Безопасность и защита прав — предотвращение атак, мошенничества, обхода лимитов и иных злоупотреблений, расследование инцидентов и разрешение споров.
3. Правовые основания обработки персональных данных
3.1. В зависимости от цели обработка осуществляется на следующих правовых основаниях:
- исполнение Пользовательского соглашения, Публичной оферты и действий по запросу субъекта до заключения договора;
- отдельное, конкретное, предметное, информированное, сознательное и однозначное согласие — для операций, основанных на согласии;
- обязанности Оператора по гражданскому, налоговому, потребительскому и иному применимому законодательству;
- осуществление прав и законных интересов Оператора или третьих лиц при условии, что права и свободы субъекта не нарушаются.
3.2. Федеральный закон № 152‑ФЗ устанавливает требования к обработке и защите данных, но сам по себе не заменяет правовое основание конкретной цели. Отзыв согласия прекращает операции, основанные именно на согласии, и не отменяет обработку, необходимую для исполнения договора, обязанности по закону или защиты прав сторон.
4. Субъекты и состав персональных данных
4.1. Политика распространяется на следующие категории субъектов:
- посетители сайта, зарегистрированные пользователи и участники команд;
- покупатели — физические лица, индивидуальные предприниматели и представители организаций;
- лица, направляющие обращения, претензии или запросы о персональных данных;
- лица, сведения о которых пользователь законно включил в контент или предоставил для совместной работы.
4.2. Учётная запись — адрес электронной почты, идентификатор пользователя, хэш пароля или сведения выбранного способа входа, даты регистрации и входов.
4.3. Профиль и связь — имя или отображаемое имя, язык и настройки уведомлений, если пользователь их указывает; ранее подтверждённый номер телефона может храниться в профиле до его удаления, пока он нужен для защиты от повторного получения бонуса.
4.4. Подтверждение аккаунта — факт и дата подтверждения, а при использовании мессенджера — необратимое криптографическое значение (HMAC) идентификатора учётной записи в мессенджере для защиты от повторного бонуса.
4.5. Пользовательский контент — промпты, тексты, изображения, файлы, презентации, комментарии, история изменений и сведения о совместной работе.
4.6. Платёжные и договорные сведения — тариф, сумма, валюта, статус и идентификатор банковской операции, тип покупателя, наименование и ИНН для B2B. Полные реквизиты банковской карты Aideck не получает.
4.7. Технические сведения — IP‑адрес, устройство, браузер, данные сессии, cookie, журналы безопасности, диагностика ошибок и признаки злоупотреблений.
4.8. Обращения — содержание запроса, приложенные материалы, сведения для идентификации заявителя и история ответа.
4.9. Aideck не предназначен для намеренной обработки специальных категорий персональных данных, биометрических данных, государственных тайн, платёжных секретов и иных сведений, которым выбранная функция не обеспечивает требуемый режим. Пользователь не включает чужие персональные данные в промпты, файлы и презентации без законного основания.
4.10. Лицо младше 14 лет не создаёт аккаунт самостоятельно. Если сведения несовершеннолетнего законно предоставлены его представителем или включены в пользовательский контент, они обрабатываются только для заявленной функции и при наличии необходимого правового основания. Aideck не запрашивает дату рождения для профилирования или рекламы.
5. Порядок обработки и локализация
5.1. Обработка выполняется преимущественно автоматизированным способом. Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, предоставление привлечённым обработчикам, обезличивание, блокирование, удаление и уничтожение данных.
5.2. Основной источник данных — сам субъект. Дополнительные сведения поступают от платёжного банка в виде статуса и технического идентификатора операции, от участника команды — в объёме приглашения, а при добровольной верификации через Telegram — в объёме входящего обновления от бота.
5.3. При сборе персональных данных граждан Российской Федерации через интернет запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются с использованием баз данных на территории Российской Федерации.
5.4. Решения, порождающие юридические последствия или иным образом существенно затрагивающие права пользователя, не принимаются исключительно автоматизированно. Автоматическое ограничение безопасности подлежит пересмотру человеком по обращению пользователя.
5.5. Публичная ссылка предоставляется только после действия пользователя и открывает содержимое презентации получателям ссылки. В командном пространстве доступ определяется ролями владельца команды. Пользователь не размещает в таких материалах чужие персональные или конфиденциальные сведения без законного основания.
6. Получатели данных и обработчики
6.1. Оператор не распространяет персональные данные и предоставляет их только в объёме, необходимом для заявленной цели, исполнения закона или договора. Если обработка поручается другому лицу, договор или иной обязательный для него акт определяет состав данных, операции, цель, конфиденциальность и меры защиты. Получатель, самостоятельно определяющий цели обработки, действует как отдельный оператор в пределах применимого закона и собственных опубликованных правил.
6.2. К обработке привлекаются следующие категории участников:
- поставщик облачной инфраструктуры и сервисной почты в Российской Федерации — размещение приложения, баз данных, резервных копий и файлов, доставка регистрационных и обязательных сервисных сообщений;
- банк‑эквайер в Российской Федерации — приём оплаты, подтверждение статуса, возвраты и платёжная безопасность; реквизиты карты вводятся и обрабатываются на стороне банка, Оператор передаёт параметры заказа и получает статус и технический идентификатор операции;
- поставщик моделей искусственного интеллекта за пределами Российской Федерации — обработка темы, пользовательского текста, содержимого презентации и загруженного изображения только при выборе функции, для которой эти материалы необходимы;
- каталоги изображений в иностранных государствах — обработка короткого технического запроса для подбора изображения; к запросу не добавляются email, телефон, IP‑адрес браузера или внутренний идентификатор аккаунта;
- мессенджер при добровольно начатой пользователем верификации — источник входящего обновления от бота: Telegram передаёт Aideck идентификатор учётной записи мессенджера, отображаемое имя, username при наличии и одноразовый параметр запуска. Aideck не направляет мессенджеру email, телефон, внутренний идентификатор аккаунта или сообщения пользователю; идентификатор сохраняется в виде HMAC.
6.3. Конкретный состав участников обработки зависит от выбранной пользователем функции. Оператор не добавляет данные профиля к запросу модели искусственного интеллекта или каталога изображений только по факту авторизации пользователя. Банку передаются параметры заказа и технические сведения, необходимые для проведения и подтверждения конкретной операции.
6.4. Поимённый состав участников обработки в настоящей Политике не публикуется: закон требует раскрыть цели, состав данных, основания и порядок обработки, но не наименования контрагентов. Оператор ведёт актуальный перечень таких лиц и предоставляет его субъекту персональных данных по запросу на адрес privacy@aidecklab.ru, как это предусмотрено пунктом 4 части 7 статьи 14 Федерального закона № 152‑ФЗ. Замена участника в пределах той же категории и той же страны не изменяет редакцию настоящей Политики; изменение страны получателя раскрывается в разделе о трансграничной передаче.
7. Минимизация и трансграничная передача
7.1. Перед отправкой текста внешнему ИИ‑провайдеру или каталогу изображений Aideck не присоединяет данные профиля. Распознаваемые email, номера телефонов, IP‑адреса, реквизиты документов и банковских карт, пароли, токены и иные секреты заменяются одноразовыми техническими метками. Таблица соответствия существует только в оперативной памяти на время запроса; после ответа исходные значения восстанавливаются внутри инфраструктуры Aideck.
7.2. Автоматическая фильтрация не является гарантированным обезличиванием: она может не распознать произвольное имя, нестандартно записанный адрес, лицо или текст внутри изображения. Изображение передаётся визуальной модели только по явному выбору соответствующей функции и не проходит текстовую маскировку. Пользователь не передаёт через такие функции специальные категории данных, платёжные секреты, государственные тайны и чужие персональные данные без законного основания.
7.3. Функции искусственного интеллекта выполняются на стороне иностранного поставщика моделей. Договор заключён с компанией, зарегистрированной в Республике Сингапур; она входит в группу, материнская компания которой находится в Китайской Народной Республике. Оба государства включены в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, утверждённый приказом Роскомнадзора от 5 августа 2022 года № 128.
7.4. До начала такой передачи Оператор направляет в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу персональных данных в порядке статьи 12 Федерального закона № 152‑ФЗ. Передача осуществляется в объёме содержимого, которое пользователь сам направляет выбранной функции, и не сопровождается данными профиля.
7.5. Сам по себе внешний технический запрос без сведений об определённом или определяемом лице не является передачей персональных данных. Запрос к каталогу изображений содержит только короткую поисковую строку и к этой категории не относится.
8. Сроки хранения и уничтожение
8.1. Оператор применяет следующие сроки хранения:
- данные аккаунта и пользовательский контент хранятся, пока действует аккаунт и сведения необходимы для выбранных функций;
- после удаления аккаунта данные в активных системах удаляются или обезличиваются не позднее 30 дней, если отсутствует самостоятельное основание хранения;
- резервные копии после удаления аккаунта изолируются от обычного использования и перезаписываются по утверждённому циклу не позднее 90 дней;
- сведения о заказе, расчёте и исполнении договора хранятся в течение срока действия соответствующего отношения и трёх лет после его окончания, а при споре — до его окончательного разрешения;
- данные и документы, необходимые для исчисления и уплаты налогов, хранятся пять лет, если специальная норма закона не требует иного срока;
- обращения и материалы претензионной работы хранятся до завершения рассмотрения и три года после окончательного ответа, а при споре — до его окончательного разрешения;
- журналы безопасности хранятся до 12 месяцев, а материалы подтверждённого инцидента — до завершения расследования и ещё три года после его закрытия либо дольше, пока продолжается связанный спор или обязательная проверка.
8.2. Данные блокируются, удаляются или уничтожаются при достижении цели, истечении срока, подтверждении неправомерности обработки, отзыве согласия при отсутствии иного основания либо по законному требованию субъекта. Если немедленное уничтожение невозможно, Оператор блокирует данные и уничтожает их в срок, установленный статьёй 21 Федерального закона № 152‑ФЗ.
9. Конфиденциальность и безопасность
9.1. Для защиты персональных данных Оператор применяет, в частности, следующие меры:
- разграничение доступа по ролям и принцип минимальных полномочий;
- защищённые соединения, изолированное хранение секретов и контроль производственного доступа;
- журналирование событий безопасности и ограничение подозрительных операций;
- резервное копирование и проверка восстановления;
- обновление программных компонентов, внутренний учёт инцидентов и реагирование на обращения.
9.2. При выявлении инцидента, повлекшего неправомерную или случайную передачу персональных данных и нарушение прав субъектов, Оператор уведомляет Роскомнадзор о произошедшем, предполагаемых причинах и вреде, принятых мерах и контактном лице в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов. Одновременно принимаются меры по прекращению нарушения и предотвращению повторения.
10. Права субъектов и обращения
10.1. Субъект персональных данных вправе:
- получить сведения о наличии, целях, основаниях, способах и сроках обработки;
- потребовать уточнения, блокирования или уничтожения неполных, устаревших, неточных, незаконно полученных или избыточных данных;
- отозвать согласие, не затрагивая законность обработки, выполненной до отзыва;
- потребовать прекращения обработки, когда отсутствует самостоятельное законное основание;
- удалить аккаунт через настройки;
- обжаловать действия или бездействие Оператора в Роскомнадзоре или суде.
10.2. Запрос направляется через функции аккаунта или на privacy@aidecklab.ru. Он должен позволять идентифицировать заявителя, описывать его связь с Оператором и содержать существо требования. Для защиты данных Оператор вправе запросить соразмерное подтверждение личности и связи с аккаунтом.
10.3. Информация об обработке предоставляется не позднее 10 рабочих дней со дня получения запроса; срок может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением. Неточные данные уточняются в течение 7 рабочих дней. Требование о прекращении обработки исполняется не позднее 10 рабочих дней, если отсутствует самостоятельное основание продолжать обработку.
12. Заключительные положения
12.1. Политика действует со дня, указанного в опубликованной редакции, до её замены. При существенном изменении целей, состава данных, способов обработки или круга получателей Оператор обновляет Политику до начала новой обработки, уведомляет пользователя и, когда этого требует закон, получает новое отдельное согласие.
12.2. К отношениям, связанным с обработкой персональных данных, применяется законодательство Российской Федерации. Вопросы, не урегулированные Политикой, разрешаются по Федеральному закону № 152‑ФЗ и иным применимым нормативным актам.