Политика обработки персональных данных

Редакция от [ДАТА_РЕДАКЦИИ]. Размещена по адресу [САЙТ]/legal/privacy.

1. Общие положения

1.1. Настоящая Политика определяет порядок и условия обработки персональных данных в сервисе Askly (далее — «Сервис») и меры по их защите. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и является документом, определяющим политику оператора в отношении обработки персональных данных (ч. 2 ст. 18.1 152-ФЗ).

1.2. Оператор: [НАИМЕНОВАНИЕ], ИНН [ИНН], ОГРН [ОГРН], адрес: [АДРЕС] (далее — «Оператор», «мы»). Регистрационный номер в реестре операторов, осуществляющих обработку персональных данных: [РЕГ_НОМЕР_РКН].

1.3. Ответственный за организацию обработки персональных данных: [ОТВЕТСТВЕННЫЙ_ЗА_ПДН]. Контакт для обращений по вопросам персональных данных: [EMAIL_ПОДДЕРЖКИ].

1.4. Политика применяется к Сайту [САЙТ], Личному кабинету, Виджету и Каналам мессенджеров Сервиса. Термины используются в значении, установленном Публичной офертой.

1.5. Политика опубликована в свободном доступе. Действующая редакция всегда доступна по адресу [САЙТ]/legal/privacy.

2. Роли Оператора

2.1. Askly — оператор персональных данных Пользователей Сервиса и представителей Заказчиков: тех, кто регистрируется, входит в Личный кабинет, оплачивает Тарифы, приглашается в Организацию, обращается в поддержку или подписывается на новости Сервиса.

2.2. Askly — лицо, обрабатывающее данные по поручению Заказчика, в отношении персональных данных Посетителей, общающихся с Ассистентами Заказчика через Виджет на сайте Заказчика или через бота Заказчика в мессенджере (ч. 3 ст. 6 152-ФЗ). Оператором этих данных является Заказчик: он определяет цели обработки, состав собираемых данных (например, поля формы заявки), каналы передачи заявок и сроки хранения в пределах возможностей Сервиса. Условия поручения закреплены в разделе 10 Оферты.

2.3. Если вы Посетитель сайта или бота, где работает Ассистент на базе Askly, с запросами о своих данных обращайтесь в первую очередь к владельцу этого сайта или бота — он отвечает за получение вашего согласия и обязан иметь собственную политику обработки персональных данных. Мы содействуем Заказчику в исполнении таких запросов.

3. Принципы обработки

3.1. Обработка осуществляется на законной и справедливой основе, ограничивается достижением конкретных, заранее определённых целей, не допускается объединение баз данных, обработка которых осуществляется в несовместимых целях. Обрабатываются только те данные, которые отвечают целям обработки; данные хранятся не дольше, чем этого требуют цели обработки, если иной срок не установлен законом или договором.

4. Данные, которые мы обрабатываем как оператор

4.1. Регистрация и учётная запись

• Субъекты: Пользователи, представители Заказчиков.
• Данные: email, имя, аватар (если передан поставщиком авторизации), хеш пароля, идентификаторы и токены учётных записей внешних поставщиков авторизации (если Пользователь входит через них), роль в Организации, наименование Организации, даты создания и изменения записей.
• Цели: регистрация и идентификация Пользователя, предоставление доступа к Личному кабинету, исполнение Оферты.
• Основание: исполнение договора, стороной которого является субъект или Заказчик, представителем которого он является (п. 5 ч. 1 ст. 6 152-ФЗ); согласие субъекта.

4.2. Аутентификация и безопасность

• Данные: email, одноразовые коды подтверждения (хранятся в виде хеша), токены сброса пароля (в виде хеша), IP-адрес, сведения о браузере, результат проверки CAPTCHA, cookie сессии.
• Цели: защита учётных записей, предотвращение автоматических регистраций и злоупотреблений, ограничение частоты запросов.
• Основание: исполнение договора; законный интерес Оператора в обеспечении безопасности Сервиса (п. 7 ч. 1 ст. 6 152-ФЗ).

4.3. Оплата и подписка

• Данные: сведения о Тарифе и подписке, суммы, даты и статусы платежей, идентификаторы платежей в платёжном сервисе, токен повторного списания (при Автопродлении). Реквизиты банковских карт вводятся на стороне платёжного сервиса и Оператору не передаются.
• Цели: приём оплаты, Автопродление, бухгалтерский и налоговый учёт, уведомления о сроках подписки и изменении стоимости.
• Основание: исполнение договора; исполнение обязанностей, возложенных законодательством (п. 2 ч. 1 ст. 6 152-ФЗ).

4.4. Команда Организации и приглашения

• Данные: email приглашённого лица, роль, сведения о приглашающем.
• Цели: предоставление доступа участникам Организации по решению Заказчика.
• Основание: исполнение договора с Заказчиком; законный интерес Заказчика и Оператора.

4.5. Поддержка и обратная связь

• Данные: email и имя Пользователя, тема и текст обращения, адрес страницы, с которой отправлено обращение, сведения о браузере, переписка с поддержкой.
• Цели: рассмотрение обращений, исправление ошибок, улучшение Сервиса.
• Основание: исполнение договора; согласие субъекта.

4.6. Лист ожидания и информационные сообщения

• Данные: email, сведения о подписке и отписке.
• Цели: информирование о запуске Сервиса, новых возможностях и регистрации в период ограниченного доступа.
• Основание: согласие субъекта. Отписаться можно по ссылке в письме или по запросу на [EMAIL_ПОДДЕРЖКИ].

4.7. Журналы и мониторинг

• Данные: журналы действий администраторов (кто, когда и какое действие совершил), технические журналы и сведения об ошибках (адрес страницы, сведения о браузере, идентификаторы запросов), при включённой веб-аналитике — сведения о посещениях и действиях в Личном кабинете (см. Соглашение об использовании cookie).
• Цели: обеспечение работоспособности и безопасности, расследование инцидентов, аудит, улучшение Сервиса.
• Основание: законный интерес Оператора; согласие субъекта (для веб-аналитики).

4.8. Маркетинговое упоминание Заказчика

• Наименование, логотип и сайт Заказчика используются согласно разделу 12 Оферты. Если в материалах упоминается контактное лицо Заказчика (например, отзыв с именем), это делается только с его отдельного согласия.

5. Данные Посетителей, которые мы обрабатываем по поручению Заказчика

5.1. Субъекты: Посетители сайтов и ботов Заказчиков.

5.2. Данные:

• сообщения диалога с Ассистентом и ответы Ассистента, краткое содержание длинных диалогов;
• идентификатор сессии Виджета (случайный идентификатор, хранится в браузере Посетителя);
• для мессенджеров — идентификатор чата или пользователя, имя пользователя (username) и имя, переданные мессенджером;
• данные заявки: имя, телефон, email и иные поля, которые Заказчик включил в форму;
• журналы запросов к языковым моделям (запрос, использованный контекст, ответ, технические показатели) — для отладки и аналитики Заказчика;
• IP-адрес — для ограничения частоты запросов и защиты от злоупотреблений.

5.3. Цели и действия определены Заказчиком и разделом 10 Оферты: генерация ответов Ассистента, хранение истории диалогов и заявок, передача заявок в каналы, подключённые Заказчиком, аналитика вопросов.

5.4. Посетитель может удалить историю своего диалога в Виджете (функция «Новый диалог» / очистка истории, если доступна) или обратиться к Заказчику.

5.5. Мы просим Посетителей не сообщать Ассистенту специальные категории персональных данных (о здоровье, убеждениях и т. п.), платёжные реквизиты и пароли. Сервис не предназначен для их обработки.

6. Способы и действия по обработке

6.1. Обработка осуществляется с использованием средств автоматизации и включает: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

6.2. Оператор не принимает решений, порождающих юридические последствия для субъекта или иным образом затрагивающих его права, исключительно на основании автоматизированной обработки (ст. 16 152-ФЗ). Ответы Ассистента носят информационный характер.

6.3. Оператор не обрабатывает специальные категории и биометрические персональные данные.

7. Передача данных третьим лицам

7.1. Мы привлекаем третьих лиц только в объёме, необходимом для работы Сервиса, и возлагаем на них обязанности по конфиденциальности и защите данных. Категории получателей:

7.2. Перечень конкретных поставщиков может меняться. Мы не обязаны отдельно уведомлять о смене поставщика внутри категории; актуальный перечень предоставляется по запросу на [EMAIL_ПОДДЕРЖКИ].

7.3. Данные могут быть предоставлены государственным органам в случаях и порядке, предусмотренных законом.

8. Трансграничная передача

8.1. Отдельные получатели, указанные в разделе 7 (в частности, LLM-провайдеры, сервисы CAPTCHA, поставщики авторизации, мониторинга и аналитики), могут находиться за пределами Российской Федерации, в том числе в государствах, не обеспечивающих адекватную защиту прав субъектов персональных данных.

8.2. Трансграничная передача осуществляется только в объёме, необходимом для целей, указанных в разделах 4 и 5, на основании согласия субъекта (для данных, где Оператор — Askly) либо указаний Заказчика (для данных Посетителей). Если обработка фактически осуществляется только на территории Российской Федерации, трансграничная передача не производится.

8.3. Оператор до начала трансграничной передачи уведомляет Роскомнадзор в порядке ст. 12 152-ФЗ. [СТАТУС_УВЕДОМЛЕНИЯ_РКН_О_ТРАНСГРАНИЧНОЙ_ПЕРЕДАЧЕ]

9. Локализация

9.1. При сборе персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).

10. Сроки хранения и уничтожение

10.1. Данные хранятся до достижения целей обработки, отзыва согласия (если обработка основана только на согласии) или прекращения договора, но не дольше следующих сроков:

10.2. При удалении Организации связанные с ней данные (Ассистенты, База знаний, диалоги, заявки, журналы) удаляются из основной базы данных. Резервные копии перезаписываются в ходе их обычного цикла в течение [СРОК_ХРАНЕНИЯ_БЭКАПОВ].

10.3. При достижении целей обработки или отзыве согласия данные уничтожаются в сроки, установленные ст. 21 152-ФЗ, если иное не предусмотрено законом или договором. Уничтожение подтверждается в порядке, установленном Роскомнадзором.

11. Права субъектов персональных данных

11.1. Субъект вправе: получать сведения об обработке своих данных (ст. 14 152-ФЗ); требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели; отозвать согласие на обработку; обжаловать действия Оператора в Роскомнадзоре или в суде.

11.2. Запрос направляется на [EMAIL_ПОДДЕРЖКИ] или по адресу [АДРЕС] и должен содержать сведения, позволяющие идентифицировать субъекта и его отношения с Оператором (например, email учётной записи), и подпись (в том числе электронную в соответствии с законодательством). Ответ предоставляется в течение 10 рабочих дней с момента получения запроса; срок может быть продлён не более чем на 5 рабочих дней с уведомлением субъекта о причинах.

11.3. Отзыв согласия не влияет на законность обработки, осуществлённой до отзыва, и не препятствует обработке на иных законных основаниях (например, для исполнения договора или требований закона). Отзыв согласия на обработку данных, необходимых для работы учётной записи, может сделать невозможным дальнейшее использование Сервиса.

11.4. Запросы Посетителей в отношении данных, обрабатываемых по поручению Заказчика, мы передаём Заказчику или исполняем по его указанию.

12. Меры защиты

12.1. Оператор принимает меры, предусмотренные ст. 18.1 и ст. 19 152-ФЗ, в том числе: назначение ответственного за организацию обработки; издание локальных актов; разграничение доступа к данным по ролям и изоляция данных разных Организаций; шифрование соединений (TLS); хранение паролей, кодов и токенов в виде хешей; ограничение доступа к токенам ботов и ключам интеграций; журналирование действий администраторов; резервное копирование; ознакомление работников с требованиями законодательства; оценку вреда и определение уровня защищённости. [ДОПОЛНИТЬ_ПЕРЕЧЕНЬ_МЕР]

12.2. При выявлении неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в сроки, установленные ч. 3.1 ст. 21 152-ФЗ (в течение 24 часов — о самом инциденте, в течение 72 часов — о результатах внутреннего расследования). Если инцидент затрагивает данные Посетителей, Оператор уведомляет Заказчика согласно Оферте.

13. Cookie и аналогичные технологии

13.1. Порядок использования cookie и локального хранилища браузера описан в Соглашении об использовании cookie.

14. Заключительные положения

14.1. Оператор вправе изменять Политику. Новая редакция вступает в силу с момента публикации по адресу [САЙТ]/legal/privacy, если иное не указано в новой редакции.

14.2. Вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством Российской Федерации.