Политика в отношении обработки персональных данных

Редакция от ДАТА УТВЕРЖДЕНИЯ. Сервис Raskat AI, сайт raskatai.ru.

Документ подготовлен как рабочий проект под фактические процессы сервиса. Перед публикацией: заполнить выделенные реквизиты, сверить перечень обрабатываемых данных с реальной конфигурацией и согласовать текст с юристом. Отдельно требуется подать уведомление об обработке персональных данных в Роскомнадзор (ст. 22 Федерального закона № 152-ФЗ).

1. Общие положения

Настоящая Политика определяет порядок обработки и защиты персональных данных (далее — ПДн) физических лиц, чьи данные обрабатываются оператором в связи с использованием сервиса Raskat AI (далее — Сервис).

Оператор: ПОЛНОЕ НАИМЕНОВАНИЕ ЮРЛИЦА ИЛИ ФИО ИП, ИНН ИНН, ОГРН(ИП) ОГРН, адрес: ЮРИДИЧЕСКИЙ АДРЕС, электронная почта: info@pivotpoint.one.

Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и применяется ко всем сведениям, которые оператор может получить о субъектах ПДн при использовании ими Сервиса.

2. Категории субъектов и состав обрабатываемых данных

2.1. Пользователи кабинета (сотрудники клиента)

адрес электронной почты (используется как логин);
имя или иное указанное пользователем обозначение;
хэш пароля (сам пароль оператору неизвестен и не сохраняется);
роль в рабочем пространстве и принадлежность к нему;
IP-адрес и техническая информация запроса, время входа и выхода, действия в кабинете (журнал аудита);
идентификатор пользователя Telegram при добровольной привязке бота согласований.

2.2. Данные, попадающие в Сервис как содержимое

Клиент самостоятельно размещает в Сервисе материалы: тексты публикаций, бренд-профиль, комментарии и личные сообщения из подключённых каналов, упоминания в СМИ. Эти материалы могут содержать ПДн третьих лиц (например, авторов комментариев). В отношении таких данных оператор действует по поручению клиента (ч. 3 ст. 6 Закона № 152-ФЗ); клиент выступает оператором, определяющим цели обработки, и самостоятельно обеспечивает наличие правовых оснований.

2.3. Посетители сайта

Обрабатываются IP-адрес, данные о браузере и запрошенных страницах в объёме журналов веб-сервера.

3. Цели обработки

предоставление доступа к Сервису и исполнение договора с клиентом;
идентификация и аутентификация пользователя, разграничение прав;
ведение журнала действий для расследования инцидентов и разбора спорных ситуаций;
информирование о событиях в кабинете (уведомления, согласования);
обеспечение работоспособности и безопасности Сервиса;
исполнение требований законодательства, в том числе бухгалтерского и налогового учёта.

4. Правовые основания

договор, стороной которого является субъект ПДн либо выгодоприобретателем по которому он выступает (п. 5 ч. 1 ст. 6 Закона № 152-ФЗ);
согласие субъекта ПДн (п. 1 ч. 1 ст. 6) — там, где обработка не следует из договора;
исполнение обязанностей, возложенных на оператора законом (п. 2 ч. 1 ст. 6).

5. Порядок и условия обработки

Обработка ведётся с использованием средств автоматизации и без таковых и включает сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение.

Оператор не принимает решений, порождающих юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки ПДн.

Базы данных, содержащие ПДн граждан Российской Федерации, размещаются на серверах, расположенных на территории Российской Федерации (ч. 5 ст. 18 Закона № 152-ФЗ). Размещение: НАИМЕНОВАНИЕ ХОСТИНГ-ПРОВАЙДЕРА И ЛОКАЦИЯ ЦОД.

6. Сроки хранения

учётные данные пользователя — на время действия договора с клиентом и СРОК после его прекращения;
журнал аудита действий — СРОК, рекомендуется не менее 1 года;
документы бухгалтерского и налогового учёта — в сроки, установленные законодательством;
данные, обрабатываемые на основании согласия, — до его отзыва, если иной срок не установлен законом.

По достижении целей обработки или при отзыве согласия данные удаляются либо обезличиваются, если их хранение не требуется по закону.

7. Передача третьим лицам

Оператор не продаёт ПДн и не передаёт их третьим лицам, за исключением случаев, прямо предусмотренных законом или настоящей Политикой:

Хостинг-провайдер — размещение серверов и резервных копий: НАИМЕНОВАНИЕ, ИНН;
Anthropic PBC (США) — обработка текстов запросов при генерации контента, если она включена. В модель передаётся содержимое, которое клиент подготовил для публикации: бренд-профиль, темы плана, тексты постов и черновики ответов;
Telegram Messenger Inc., VK — в объёме, необходимом для публикации материалов в подключённых клиентом каналах;
государственные органы — по мотивированным запросам в порядке, установленном законом.

Трансграничная передача. Передача данных в Anthropic PBC является трансграничной передачей в государство, не обеспечивающее адекватной защиты прав субъектов ПДн. До начала такой передачи оператор обязан подать в Роскомнадзор уведомление по ст. 12 Закона № 152-ФЗ и получить от субъекта согласие в письменной форме на такую передачу. До выполнения этих условий функцию генерации через внешнюю модель следует использовать только на материалах, не содержащих персональных данных.

8. Права субъекта персональных данных

Субъект вправе получать сведения об обработке своих ПДн, требовать их уточнения, блокирования или уничтожения в случае неполноты, неточности или неправомерной обработки, отзывать согласие, а также обжаловать действия оператора в Роскомнадзоре или в суде.

Обращение направляется на info@pivotpoint.one и рассматривается в течение 10 рабочих дней с даты получения. Оператор вправе запросить сведения, подтверждающие личность заявителя.

9. Меры защиты

пароли хранятся только в виде криптографического хэша (scrypt с солью);
доступ к данным разграничен по ролям и изолирован между рабочими пространствами;
соединение с Сервисом защищено TLS;
ведётся журнал действий пользователей, включая входы и выходы;
назначено лицо, ответственное за организацию обработки ПДн: ФИО И ДОЛЖНОСТЬ;
резервное копирование и контроль доступа к резервным копиям.

10. Файлы cookie

Сайт и кабинет используют строго необходимые cookie: они хранят идентификатор сессии и без них вход в кабинет невозможен. Аналитические и рекламные cookie не устанавливаются. Отключение необходимых cookie в браузере делает работу кабинета невозможной.

11. Изменения Политики

Оператор вправе изменять Политику. Действующая редакция размещается по адресу raskatai.ru/legal/privacy. Существенные изменения доводятся до клиентов по электронной почте.