Политика в отношении обработки персональных данных
Индивидуальный предприниматель Зиначев Илья Владимирович (ИИ-студия Aisha, https://aisha-studio.ru)
Содержание
- Общие положения
- Термины и определения
- Сведения об Операторе
- Правовые основания обработки
- Цели обработки
- Категории субъектов и перечень данных
- Порядок и условия обработки
- Передача третьим лицам. Трансграничная передача
- Место обработки и хранения
- Сроки хранения, прекращение обработки и уничтожение
- Меры по обеспечению безопасности
- Права субъекта и порядок их реализации
- Заключительные положения
- Приложение № 1. Текст согласия
1. Общие положения
1.1. Настоящая Политика в отношении обработки персональных данных (далее - Политика) определяет порядок обработки персональных данных и меры по обеспечению их безопасности, применяемые индивидуальным предпринимателем Зиначевым Ильёй Владимировичем (далее - Оператор), который оказывает услуги по разработке и внедрению ИИ-ассистентов и чат-ботов под коммерческим обозначением «ИИ-студия Aisha».
1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее - Закон) и опубликована во исполнение части 2 статьи 18.1 Закона, которая обязывает оператора, осуществляющего сбор персональных данных с использованием информационно-телекоммуникационных сетей, опубликовать документ, определяющий его политику в отношении обработки персональных данных, на страницах сайта, с использованием которого осуществляется сбор персональных данных, и обеспечить к нему доступ.
1.3. Политика распространяется на все персональные данные, которые Оператор получает через сайт https://aisha-studio.ru (далее - Сайт), через чат-ассистента, размещённого на Сайте (далее - Ассистент), а также через принадлежащих Оператору ботов в мессенджерах Telegram и Max (далее - Боты).
1.4. Политика не распространяется на обработку персональных данных сайтами и сервисами третьих лиц, ссылки на которые могут содержаться на Сайте или в ответах Ассистента.
1.5. Действующая редакция Политики размещена в свободном доступе по адресу https://aisha-studio.ru/politika.html.
2. Термины и определения
2.1. В Политике используются термины в значениях, установленных статьёй 3 Закона, в том числе:
- персональные данные - любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных);
- оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
- обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
- трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
2.2. Субъект - посетитель Сайта или пользователь Ботов, персональные данные которого обрабатывает Оператор.
3. Сведения об Операторе
| Показатель | Значение |
|---|---|
| Оператор | Индивидуальный предприниматель Зиначев Илья Владимирович |
| ИНН | 332908111080 |
| Адрес | Владимирская область, город Владимир |
| Сайт | https://aisha-studio.ru |
| Адрес для обращений субъектов | info@aisha-studio.ru |
| Ответственный за организацию обработки персональных данных | Индивидуальный предприниматель Зиначев Илья Владимирович (лично) |
3.1. Пункты 1 и 2 части 1 статьи 18.1 Закона (назначение ответственного за организацию обработки персональных данных и издание документов, определяющих политику оператора) адресованы операторам, являющимся юридическими лицами. Оператор является индивидуальным предпринимателем и принимает эти меры добровольно: функции ответственного за организацию обработки персональных данных Оператор исполняет лично, настоящая Политика издана и опубликована Оператором.
4. Правовые основания обработки персональных данных
4.1. Единственным правовым основанием обработки персональных данных Оператором является согласие субъекта персональных данных. Согласно пункту 1 части 1 статьи 6 Закона обработка персональных данных допускается в случае, когда обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных.
4.2. Иных правовых оснований, предусмотренных частью 1 статьи 6 Закона, Оператор не использует.
4.3. Согласие даётся субъектом свободно, своей волей и в своём интересе, является конкретным, предметным, информированным, сознательным и однозначным и оформляется отдельно от иных информации и (или) документов (часть 1 статьи 9 Закона). Текст согласия, который показывается посетителю в чате Ассистента, приведён в приложении № 1 к настоящей Политике.
4.4. Обязанность предоставить доказательство получения согласия субъекта персональных данных лежит на Операторе (часть 3 статьи 9 Закона). Факт и время получения согласия фиксируются в журнале обращений на сервере Оператора.
5. Цели обработки персональных данных
5.1. Оператор обрабатывает персональные данные исключительно в следующих целях:
- рассмотрение обращения субъекта и подготовка ответа на его вопрос;
- связь с субъектом как с потенциальным клиентом по указанным им контактным данным;
- подготовка и направление субъекту коммерческого предложения;
- улучшение базы знаний Ассистента и качества его ответов.
5.2. Обработка персональных данных в целях, несовместимых с указанными в пункте 5.1, не осуществляется. Персональные данные не используются для рассылок, не связанных с обращением субъекта, и не передаются в рекламные сети.
6. Категории субъектов и перечень обрабатываемых персональных данных
6.1. Оператор обрабатывает персональные данные посетителей Сайта и пользователей Ботов. Отдельной формы обратной связи с обязательными полями «имя», «телефон», «электронная почта» на Сайте нет: посетитель пишет Ассистенту сообщение в свободной форме и сам решает, какие данные в нём сообщить.
6.2. Перечень обрабатываемых персональных данных:
| Канал получения | Персональные данные | Условие получения |
|---|---|---|
| Чат-ассистент на Сайте | имя; номер телефона; адрес электронной почты; текст обращения | только если субъект сам указал их в сообщении и подтвердил согласие |
| Чат-ассистент на Сайте | хеш-значение (контрольная сумма) IP-адреса устройства | формируется автоматически при каждом обращении |
| Боты в мессенджерах Telegram и Max | имя и (или) имя пользователя, идентификатор чата, присвоенные мессенджером; текст переписки; иные данные, которые субъект сообщил в переписке | при обращении субъекта к Боту |
6.3. Хеш-значение IP-адреса используется исключительно в технических целях - для ограничения числа обращений с одного устройства и защиты Ассистента от автоматизированного перебора. Значение вычисляется криптографической хеш-функцией SHA-256 с секретной солью и усекается до 16 символов; восстановить по нему IP-адрес, не зная соли, невозможно. Сам IP-адрес в открытом виде не сохраняется; хеш-значение хранится в служебном файле счётчиков и обнуляется не позднее чем через 24 часа.
6.4. Оператор не обрабатывает специальные категории персональных данных (статья 10 Закона) и биометрические персональные данные (статья 11 Закона). Оператор не запрашивает и целенаправленно не собирает персональные данные несовершеннолетних.
6.5. Оператор не осуществляет распространение персональных данных, то есть не раскрывает их неограниченному кругу лиц.
6.6. Оператор не принимает в отношении субъекта решений, порождающих юридические последствия или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных.
7. Порядок и условия обработки персональных данных
7.1. Обработка персональных данных осуществляется смешанным способом: с использованием средств автоматизации и без использования таких средств.
7.2. Оператор совершает с персональными данными следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление), удаление, уничтожение.
7.3. Порядок получения персональных данных через Ассистента на Сайте:
- посетитель направляет Ассистенту сообщение в свободной форме;
- текст сообщения передаётся в сервис GigaChat для формирования ответа; номер телефона и адрес электронной почты предварительно заменяются в этом тексте на пометку «[контакт]» (пункт 8.2 Политики);
- если в тексте сообщения распознан номер телефона и (или) адрес электронной почты, посетителю показывается текст согласия и кнопки подтверждения либо отказа;
- сообщение сохраняется в журнале обращений на сервере Оператора и направляется Оператору в мессенджер Max и на его электронную почту только после того, как посетитель подтвердил согласие; до этого момента сообщение с контактными данными не сохраняется и не пересылается;
- при отказе от согласия сообщение не сохраняется и Оператору не направляется.
7.4. Порядок получения персональных данных через Ботов: субъект самостоятельно начинает переписку с Ботом в мессенджере Telegram или Max. Возможен обмен сообщениями между субъектом и Оператором через Бота.
7.5. Сообщения субъектов, не содержащие контактных данных, сохраняются в журнале обращений в обезличенном виде и используются в целях, указанных в подпункте 4 пункта 5.1 Политики.
8. Передача персональных данных третьим лицам. Трансграничная передача
8.1. Оператор передаёт персональные данные следующим лицам:
| Получатель | Что передаётся | Для чего | Территория |
|---|---|---|---|
| ПАО Сбербанк, сервис GigaChat | текст сообщения субъекта, в котором номер телефона и адрес электронной почты заменены на пометку «[контакт]» | формирование ответа Ассистента | Российская Федерация |
| Мессенджер Max | уведомление об обращении с Сайта: текст сообщения субъекта и указанные им контактные данные | информирование Оператора о поступившем обращении | Российская Федерация |
| Электронная почта Оператора info@aisha-studio.ru (получатель - сам Оператор) | то же уведомление об обращении с Сайта | резервное информирование Оператора на случай недоступности мессенджера | Российская Федерация, почтовый сервер хостинг-провайдера |
| Мессенджер Telegram | сообщения, направленные субъектом в Telegram-бот Оператора по собственной инициативе, и ответы Оператора на них | ведение переписки в канале связи, выбранном самим субъектом | за пределами Российской Федерации |
| Хостинг-провайдер Beget | размещение журнала обращений и служебных файлов | техническое размещение Сайта и серверной части Ассистента | Российская Федерация |
8.2. Передача текста сообщения в сервис GigaChat необходима для работы Ассистента: без неё ответ не может быть сформирован. До отправки номер телефона и адрес электронной почты заменяются в тексте на пометку «[контакт]», поэтому контактные данные субъекта в сервис не поступают - ни до подтверждения согласия, ни после него. Маскирование применяется как к текущему сообщению, так и к истории переписки. Иные сведения, которые субъект указал в тексте сообщения, в том числе имя, передаются в сервис в составе текста.
8.3. Иным лицам персональные данные не передаются, за исключением случаев, когда обязанность передачи установлена федеральным законом либо когда передача осуществляется по требованию уполномоченных государственных органов в установленном законом порядке.
8.4. Оператор не поручает обработку персональных данных другим лицам на основании договора в порядке части 3 статьи 6 Закона.
8.5. Обращения, поступающие через Ассистента на Сайте, в мессенджер Telegram не передаются. Уведомление о таком обращении направляется Оператору только в мессенджер Max и на его электронную почту. При обращении через Сайт трансграничная передача персональных данных не производится.
8.6. Telegram-бот Оператора - самостоятельный канал связи. Субъект обращается к нему по собственной инициативе и тем самым сам размещает свои сообщения в инфраструктуре иностранного сервиса. Обмен сообщениями между субъектом и Оператором через этот бот отвечает признакам трансграничной передачи персональных данных (пункт 11 статьи 3 Закона). Оператор не заявляет о выполнении требований статьи 12 Закона в отношении данного канала и не рекомендует использовать его для передачи сведений, которые субъект не готов разместить в иностранном сервисе.
8.7. Субъект, который не желает, чтобы его персональные данные обрабатывались с использованием иностранных сервисов, вправе обратиться к Оператору через Ассистента на Сайте, через бот в мессенджере Max или по электронной почте info@aisha-studio.ru. При обращении по этим каналам персональные данные за пределы Российской Федерации не передаются.
8.8. Субъект вправе не сообщать Ассистенту контактные данные и не подтверждать согласие. В этом случае обращение не сохраняется и Оператору не пересылается.
9. Место обработки и хранения персональных данных
9.1. Персональные данные обрабатываются и хранятся на серверах хостинг-провайдера Beget, расположенных на территории Российской Федерации.
9.2. Запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации осуществляются Оператором с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона).
9.3. Сообщения, которыми субъект обменивается с Ботами, дополнительно сохраняются в инфраструктуре самих мессенджеров их владельцами на условиях пользовательских соглашений этих сервисов. Для мессенджера Telegram такое хранение осуществляется за пределами Российской Федерации. Оператор не определяет условия такого хранения и не имеет к нему технического доступа за пределами интерфейса мессенджера.
9.4. На стороне Оператора по переписке в мессенджерах сохраняются только служебные связки: идентификаторы чата и номера уведомлений, позволяющие соотнести ответ Оператора с обращением субъекта. Тексты переписки в мессенджерах на сервере Оператора не накапливаются.
10. Сроки обработки и хранения. Прекращение обработки и уничтожение
10.1. Сроки хранения персональных данных, установленные Оператором:
| Категория сведений | Срок хранения |
|---|---|
| Обращения с контактными данными (имя, телефон, адрес электронной почты) и текст обращения | 3 года с даты обращения |
| Служебные связки переписки в мессенджерах (идентификаторы чатов и уведомлений) | 1 год |
| Журнал обращений, не содержащий контактных данных | 6 месяцев |
| Хеш-значение IP-адреса в служебном файле счётчиков | не более 24 часов |
10.1.1. Удаление по истечении сроков, указанных в пункте 10.1, выполняется автоматически: на сервере Оператора один раз в сутки по расписанию запускается служебная процедура, которая удаляет записи с истёкшим сроком хранения и фиксирует результат в служебном журнале. Досрочное удаление по обращению субъекта производится в сроки, указанные в пункте 10.2.
10.2. Сроки прекращения обработки и уничтожения персональных данных, установленные Законом и соблюдаемые Оператором:
| Основание | Срок | Норма |
|---|---|---|
| Достижение цели обработки персональных данных | прекращение обработки и уничтожение в срок, не превышающий 30 дней с даты достижения цели | часть 4 статьи 21 Закона |
| Отзыв субъектом согласия на обработку персональных данных | прекращение обработки и уничтожение в срок, не превышающий 30 дней с даты поступления отзыва | часть 5 статьи 21 Закона |
| Требование субъекта о прекращении обработки персональных данных | прекращение обработки в срок, не превышающий 10 рабочих дней; срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления | часть 5.1 статьи 21 Закона |
| Выявление неправомерной обработки персональных данных | прекращение неправомерной обработки в срок, не превышающий 3 рабочих дней; если обеспечить правомерность невозможно - уничтожение в срок, не превышающий 10 рабочих дней | часть 3 статьи 21 Закона |
| Невозможность уничтожения в установленные сроки | блокирование персональных данных и их уничтожение в срок не более 6 месяцев, если иной срок не установлен федеральным законом | часть 6 статьи 21 Закона |
10.3. Отзыв согласия направляется по адресу info@aisha-studio.ru. Специальная форма отзыва не требуется; достаточно, чтобы из обращения было понятно, кто отзывает согласие и по каким контактным данным следует найти запись.
11. Меры по обеспечению безопасности персональных данных
11.1. Оператор принимает правовые, организационные и технические меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом (статья 18.1 Закона), в том числе меры по обеспечению безопасности персональных данных, предусмотренные статьёй 19 Закона.
11.2. Применяемые меры:
- издание и опубликование настоящей Политики;
- исполнение Оператором функций ответственного за организацию обработки персональных данных лично;
- передача данных между браузером субъекта и сервером Оператора по защищённому протоколу HTTPS;
- размещение серверной части на территории Российской Федерации, ограничение доступа к серверу и к журналу обращений;
- отказ от хранения IP-адреса: вместо него сохраняется значение криптографической хеш-функции SHA-256 с секретной солью, усечённое до 16 символов, которое автоматически обнуляется;
- маскирование номера телефона и адреса электронной почты в тексте, передаваемом в сервис GigaChat;
- исключение мессенджера Telegram из числа каналов, в которые пересылаются обращения с Сайта;
- технические ограничения на число обращений с одного устройства и в течение суток;
- сохранение и пересылка контактных данных только после подтверждения согласия субъектом;
- автоматическое удаление персональных данных по истечении сроков хранения, выполняемое ежесуточно по расписанию;
- ограничение объёма сохраняемых сведений и автоматическая ротация журнала обращений;
- внутренний контроль соответствия обработки персональных данных Закону и настоящей Политике.
12. Права субъекта персональных данных и порядок их реализации
12.1. Субъект персональных данных имеет право:
- получить подтверждение факта обработки его персональных данных Оператором и сведения, предусмотренные частью 7 статьи 14 Закона, в том числе о правовых основаниях и целях обработки, применяемых способах обработки, обрабатываемых персональных данных и источнике их получения, сроках обработки и хранения, порядке осуществления субъектом своих прав, осуществляемой или предполагаемой трансграничной передаче данных;
- требовать уточнения своих персональных данных, их блокирования или уничтожения, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
- отозвать согласие на обработку персональных данных (часть 2 статьи 9 Закона);
- требовать прекращения обработки персональных данных;
- обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
12.2. Запрос направляется по адресу info@aisha-studio.ru. Запрос должен содержать сведения, предусмотренные частью 3 статьи 14 Закона: номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта в отношениях с Оператором, либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.
12.3. Сведения предоставляются Оператором в течение десяти рабочих дней с момента обращения либо получения запроса. Указанный срок может быть продлён, но не более чем на пять рабочих дней, в случае направления Оператором в адрес субъекта мотивированного уведомления с указанием причин продления (часть 3 статьи 14 Закона).
12.4. Сведения предоставляются в той форме, в которой направлен запрос, если в запросе не указано иное.
13. Заключительные положения
13.1. Политика вступает в силу с даты её опубликования на Сайте и действует бессрочно до замены её новой редакцией.
13.2. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента её размещения на Сайте, если иное не предусмотрено самой новой редакцией.
13.3. Продолжение использования Сайта и Ботов после размещения новой редакции Политики не заменяет согласия субъекта: согласие в каждом случае даётся отдельно в порядке, предусмотренном пунктом 7.3 Политики.
13.4. По вопросам обработки персональных данных следует обращаться по адресу info@aisha-studio.ru.
13.5. Приложение № 1 - текст согласия на обработку персональных данных, показываемый в чате Ассистента.
Приложение № 1. Согласие на обработку персональных данных
Текст, показываемый в чате Ассистента рядом с кнопками «Согласен» и «Не надо».