Политика обработки персональных данных

1. Оператор персональных данных

1.1.Лицом, ответственным за организацию обработки персональных данных у Оператора (ст. 22.1 Федерального закона № 152-ФЗ), является Исаев Николай Сергеевич. Контакты для обращений: nikagateway@mail.ru.

1.2.Порядок направления обращений субъектов персональных данных и сроки их рассмотрения установлены разделом 8 настоящей Политики.

1.3.Уведомление об обработке персональных данных (ст. 22 Федерального закона № 152-ФЗ): сведения о дате и номере уточняются. Уведомление о намерении осуществлять трансграничную передачу (ч. 3 ст. 12 Федерального закона № 152-ФЗ): сведения о дате и номере уточняются.

2. Категории субъектов и состав данных

2.1.Пользователи Сервиса. Обрабатываются: адрес электронной почты; пароль в виде необратимого хеша; сведения о балансе и операциях по нему; метаданные запросов (модель, количество токенов, стоимость, длительность обработки, статус, код ошибки); IP-адрес, сведения о сессии и о программном обеспечении устройства (user-agent); сведения о предоставлении и отзыве согласия (дата, время, редакции документов, IP-адрес, user-agent, адрес электронной почты на момент согласия); журнал значимых действий в личном кабинете (создание и отзыв ключей доступа, выставление счетов, изменение настроек безопасности).

2.2.Представители организаций. Обрабатываются реквизиты организации: наименование, ИНН, КПП, ОГРН/ОГРНИП, адрес, банковские реквизиты — в объёме, необходимом для оформления счетов и актов.

2.3.Роли сторон при обработке содержимого запросов. (1) В отношении данных учётной записи, платёжных сведений, метаданных запросов и персональных данных Пользователя — физического лица, которые он сам включает в свои запросы, оператором является Оператор Сервиса. (2) В отношении персональных данных третьих лиц, включаемых в запросы юридическим лицом или индивидуальным предпринимателем, оператором является заказчик по договору-оферте для юридических лиц и индивидуальных предпринимателей, а Оператор Сервиса обрабатывает их по поручению на условиях раздела 9 этой оферты. (3) Если Пользователь — физическое лицо, действующее для личных, семейных, домашних и иных нужд, не связанных с осуществлением предпринимательской деятельности, он не подпадает под определение оператора персональных данных других лиц (п. 1 ч. 2 ст. 1 152-ФЗ), и оператором персональных данных третьих лиц, включённых им в запрос, является Оператор Сервиса; в отношении таких данных Оператор Сервиса совершает только действия, необходимые для исполнения запроса, и не записывает и не хранит их, кроме случаев раздела 9 Пользовательского соглашения. (4) Включать в запросы специальные категории персональных данных и биометрические персональные данные запрещено всем Пользователям.

2.5.Содержимое запросов и ответов не сохраняется, кроме случаев раздела 9 Пользовательского соглашения. Оператор фиксирует только метаданные, перечисленные в п. 2.1. Единственное дополнительное исключение — работа функции маскирования: если Пользователь её включил, значения, извлечённые из запроса, помещаются в оперативное хранилище на срок не более 24 часов, чтобы восстановить их в ответе. Подробнее — п. 5.3 и 6.4.

2.6.Сервис не предназначен для обработки специальных категорий персональных данных (ст. 10 152-ФЗ) и биометрических персональных данных (ст. 11 152-ФЗ); их передача в запросах запрещена Пользовательским соглашением.

3. Цели и правовые основания

3.1.Персональные данные обрабатываются в следующих целях и на следующих основаниях:

• —регистрация и аутентификация в личном кабинете, ведение учётной записи — исполнение договора, стороной которого является субъект персональных данных (ст. 6 ч. 1 п. 5 152-ФЗ);
• —оказание услуг доступа к моделям, ведение баланса и расчётов — исполнение договора;
• —трансграничная передача содержимого запросов поставщикам моделей — исполнение договора, стороной которого является субъект (ст. 6 ч. 1 п. 5 152-ФЗ), и согласие субъекта, предоставленное отдельно (ст. 6 ч. 1 п. 1 152-ФЗ); отзыв согласия не отменяет основания «исполнение договора» до прекращения договора;
• —оформление счетов, актов и иных документов бухгалтерского и налогового учёта — исполнение обязанностей, возложенных законодательством (ст. 6 ч. 1 п. 2 152-ФЗ);
• —обеспечение безопасности Сервиса, предотвращение злоупотреблений — законные интересы Оператора (ст. 6 ч. 1 п. 7 152-ФЗ);
• —рассмотрение обращений о нарушениях, связанных с запросами, в случаях раздела 9 Пользовательского соглашения — законные интересы Оператора (ст. 6 ч. 1 п. 7 152-ФЗ);
• —рассмотрение обращений субъектов — исполнение обязанностей Оператора.

3.2.Оператор не принимает решений, порождающих юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки его персональных данных.

4. Передача данных третьим лицам

4.1.Для исполнения запросов Пользователя их содержимое передаётся поставщикам моделей. Перечень получателей:

4.1.1.Оператор получает от каждого получателя сведения о сроке хранения и об использовании данных для обучения моделей (ч. 5 ст. 12 Федерального закона № 152-ФЗ) до подачи уведомления о трансграничной передаче в Роскомнадзор. По получателям, у которых в таблице указано «сведения не собраны», передача содержимого запросов не осуществляется.

4.2.Технически передача осуществляется через транспортный узел Оператора, размещённый на вычислительных мощностях иностранного хостинг-провайдера за пределами Российской Федерации — Digita Oy (адрес: Jämsänkatu 2, 00521 Helsinki, Finland, Финляндская Республика). Узел не записывает и не хранит содержимое запросов. Договор с Digita Oy условий поручения обработки персональных данных по ст. 6 ч. 3 Федерального закона № 152-ФЗ не содержит. Соглашение о поручении обработки с ним заключается; до его заключения передача через узел ограничена содержимым запросов, необходимым для их исполнения, узел не записывает и не хранит это содержимое, а доступ к нему имеет только программное обеспечение узла, указанное в п. 4.3.

4.3.Программное обеспечение транспортного узла принадлежит Оператору. Узел не осуществляет запись и хранение содержимого запросов и ответов, не имеет доступа к учётным записям, балансам и иным данным Пользователей и выполняет исключительно функцию передачи запроса поставщику модели.

4.4.Базы данных и вычислительные мощности размещены на территории Российской Федерации — в центре обработки данных IXcellerate Moscow Five (MOS5) по адресу г. Москва, ул. Подольских Курсантов, д. 15Б, стр. 1, который обслуживает ООО «Облачные технологии» (ИНН 7736279160, 123100, г. Москва, вн.тер.г. муниципальный округ Пресненский, ул. 2-я Звенигородская, д. 28). Договор с ООО «Облачные технологии» условий поручения по ч. 3 ст. 6 Федерального закона № 152-ФЗ пока не содержит; соглашение о поручении обработки заключается. До его заключения организация обслуживает физическое размещение серверного оборудования и не имеет самостоятельного доступа к содержимому баз данных Оператора.

4.5.При оплате услуг персональные данные передаются:

• —АО «ТБанк» обрабатывает данные банковской карты как самостоятельный оператор персональных данных на основании договора с плательщиком. Реквизиты банковской карты вводятся на стороне банка и Оператору Сервиса не передаются: он получает только результат платежа и его сумму;
• —Индивидуальный предприниматель Носов А. С. (сервис «ЕкомКасса»), ИНН 643890985437 — оператору облачной контрольно-кассовой техники, который формирует и направляет кассовый чек. Ему передаются адрес электронной почты плательщика, сумма и состав платежа.

4.6.Для отправки писем Пользователю (сброс пароля, уведомления) адрес электронной почты передаётся почтовому сервису smtp.yandex.ru.

4.7.Оператор не передаёт персональные данные третьим лицам в маркетинговых целях и не продаёт их.

5. Трансграничная передача

5.1.Обработка запросов предполагает трансграничную передачу данных. Государства передачи разделяются по перечню, утверждённому приказом Роскомнадзора от 05.08.2022 № 128, и от этого зависят условия передачи (ст. 12 Федерального закона № 152-ФЗ в редакции Федерального закона от 26.07.2026 № 265-ФЗ):

• —входят в перечень (передача возможна после направления уведомления в Роскомнадзор, ч. 10 ст. 12): Китайская Народная Республика, Республика Сингапур, Финляндская Республика;
• —не входят в перечень (передача возможна только по истечении срока рассмотрения уведомления, ч. 11 ст. 12): Соединённые Штаты Америки.

5.2.Передача осуществляется на основании исполнения договора с субъектом и его согласия. До направления уведомления в Роскомнадзор Оператор получает от каждого получателя сведения, предусмотренные ч. 5 ст. 12, и проводит оценку соблюдения получателями конфиденциальности и безопасности персональных данных; сведения хранятся у Оператора и предоставляются Роскомнадзору по запросу. Передача получателю, в отношении которого сведения не получены, не осуществляется. Полные условия — в Соглашении о трансграничной передаче персональных данных.

5.3.Для снижения объёма передаваемых данных Сервис предоставляет функцию маскирования персональных данных в запросах: распознанные значения (адреса электронной почты, номера телефонов, номера банковских карт, ИНН и ОГРНИП физического лица, СНИЛС, серия и номер паспорта, банковский счёт и БИК, фамилия, имя и отчество, почтовый адрес, дата рождения, слова из заданного Пользователем словаря) заменяются на условные обозначения перед отправкой поставщику модели. Функция по умолчанию отключена и включается Пользователем самостоятельно в настройках ключа доступа либо параметром отдельного запроса. Распознавание осуществляется автоматически на основе формальных признаков и контрольных сумм и не гарантирует выявления всех персональных данных, содержащихся в запросе. Ограничения функции, в том числе при потоковой передаче ответа, описаны в документации Сервиса. Ответственность за состав данных, включаемых в запрос, несёт Пользователь.

5.4.Положения пунктов 5.1–5.2 применяются к персональным данным самого Пользователя. Роли сторон в отношении персональных данных третьих лиц, включённых в содержимое запросов, определены п. 2.3 настоящей Политики: если Пользователь — юридическое лицо или индивидуальный предприниматель, обязанности по получению согласий субъектов на трансграничную передачу и по направлению уведомления в Роскомнадзор (ст. 12 152-ФЗ) исполняет он сам как оператор, а Оператор Сервиса осуществляет обработку таких данных по его поручению на условиях раздела 9 договора-оферты для юридических лиц и индивидуальных предпринимателей. Если Пользователь — физическое лицо, действующее для личных, семейных и домашних нужд, оператором таких данных является Оператор Сервиса, и указанные обязанности несёт он.

6. Сроки обработки, хранение и локализация

6.1.Данные учётной записи обрабатываются в течение срока действия договора и 3 (трёх) лет после его прекращения — в пределах общего срока исковой давности.

6.2.Документы бухгалтерского и налогового учёта (счета, акты, сведения об операциях) хранятся 5 (пять) лет в соответствии с требованиями законодательства.

6.3.Сведения о согласии хранятся в течение срока действия согласия и 3 (трёх) лет после его отзыва.

6.4.Значения, извлечённые функцией маскирования (см. п. 5.3), хранятся в оперативном хранилище не более 24 (двадцати четырёх) часов и уничтожаются автоматически. Они не записываются в журналы Сервиса и недоступны поставщикам моделей.

6.5.По достижении целей обработки или при отзыве согласия данные уничтожаются либо обезличиваются, за исключением данных, хранение которых предписано законом. Факт уничтожения оформляется актом.

6.6.Запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ст. 18 ч. 5 Федерального закона № 152-ФЗ). Базы данных размещены по адресу г. Москва, ул. Подольских Курсантов, д. 15Б, стр. 1. Содержимое запросов принимается сервером Оператора на территории Российской Федерации и передаётся поставщику модели без записи в базы данных; в базах данных сохраняются только метаданные запросов, указанные в п. 2.1.

7. Меры защиты

7.1.Оператор принимает правовые, организационные и технические меры, предусмотренные ст. 19 152-ФЗ, в том числе:

• —назначение лица, ответственного за организацию обработки персональных данных;
• —хранение паролей исключительно в виде необратимых хешей (алгоритм Argon2id);
• —хранение ключей доступа к программному интерфейсу в виде хешей — исходное значение не сохраняется;
• —передача данных по защищённым каналам с шифрованием;
• —разграничение прав доступа и ведение журнала действий в личном кабинете;
• —отказ от сохранения содержимого запросов и ответов, кроме случаев раздела 9 Пользовательского соглашения;
• —ограничение срока хранения значений, извлечённых функцией маскирования, 24 часами;
• —поддержка двухфакторной аутентификации учётных записей; восстановление доступа при утрате второго фактора осуществляется только после подтверждения личности владельца учётной записи в порядке, установленном внутренним регламентом Оператора.

8. Права субъекта персональных данных и порядок их реализации

8.1.Субъект персональных данных вправе: получать сведения об обработке своих персональных данных, предусмотренные ст. 14 Федерального закона № 152-ФЗ; требовать уточнения своих персональных данных, их блокирования или уничтожения, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки; отозвать согласие на обработку персональных данных; обжаловать действия или бездействие Оператора в Роскомнадзор либо в судебном порядке; требовать возмещения убытков и компенсации морального вреда в судебном порядке.

8.2.Обращение направляется на адрес электронной почты Оператора, указанный в разделе 1, либо почтовым отправлением по адресу Оператора. Обращение должно содержать: фамилию, имя, отчество субъекта; сведения о документе, удостоверяющем личность, или иные сведения, подтверждающие факт обработки его персональных данных Оператором (в частности, адрес электронной почты учётной записи в Сервисе); существо требования; подпись субъекта либо направление обращения с адреса электронной почты, указанного при регистрации.

8.3.Сроки рассмотрения:

• —предоставление сведений об обработке — 10 (десять) рабочих дней с даты получения обращения; срок может быть продлён не более чем на 5 (пять) рабочих дней с направлением субъекту уведомления о продлении и причинах;
• —уточнение, блокирование или уничтожение персональных данных при подтверждении фактов, указанных в обращении, — 7 (семь) рабочих дней с даты представления субъектом подтверждающих сведений;
• —прекращение обработки и уничтожение персональных данных при отзыве согласия или достижении цели обработки — 30 (тридцать) дней, если сохранение данных не предусмотрено законом или договором, стороной которого является субъект.

8.4.Если Оператор не вправе удовлетворить требование, субъекту направляется мотивированный ответ в тот же срок с указанием правового основания отказа.

8.5.Отзыв согласия направляется в порядке, предусмотренном п. 8.2, либо через кнопку «Отозвать согласие» в разделе «Настройки» личного кабинета. После отзыва обработка прекращается, за исключением случаев, когда она продолжается на ином правовом основании (исполнение договора, исполнение обязанностей, возложенных законодательством). Отзыв согласия влечёт невозможность дальнейшего оказания услуг и блокирование доступа к Сервису; неизрасходованный остаток баланса возвращается по заявлению в порядке раздела 8 договора-оферты для физических лиц либо раздела 5 договора-оферты для юридических лиц и индивидуальных предпринимателей — в зависимости от того, какой договор заключён.

8.6.Факт уничтожения персональных данных подтверждается актом об уничтожении. По запросу субъекта Оператор направляет ему выписку из акта.

9. Файлы cookie

9.1.Сервис использует исключительно технически необходимые файлы cookie для поддержания сессии авторизованного пользователя. Аналитические и рекламные трекеры не применяются, данные посещений третьим лицам не передаются.

10. Изменение Политики

10.1.Оператор вправе изменять настоящую Политику. Актуальная редакция публикуется по постоянному адресу на Сайте с указанием номера редакции и даты.