Политика обработки персональных данных
в отношении обработки персональных данных в сервисе ENGRAM
1. Общие положения
1.1. Настоящая Политика обработки персональных данных (далее - «Политика») разработана во исполнение требований пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее - «Закон № 152-ФЗ») и определяет порядок обработки и защиты персональных данных в сервисе ENGRAM (далее - «Сервис»).
1.2. Оператором персональных данных является Индивидуальный предприниматель Коваленко Герман Васильевич (далее - «Оператор»). Сведения об Операторе приведены в разделе 3 Политики.
1.3. Политика применяется ко всем персональным данным, которые Оператор обрабатывает с использованием средств автоматизации и без таковых: при использовании приложений ENGRAM, сайта https://en-gram.ru и при обращениях к Оператору.
1.4. Действующая редакция Политики находится в свободном доступе в сети «Интернет» по адресу https://en-gram.ru/legal/politika/.
2. Термины и определения
2.1. Персональные данные - любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
2.2. Обработка персональных данных - любое действие (операция) с персональными данными, совершаемое с использованием средств автоматизации или без таковых.
2.3. Контент - материалы, которые Пользователь создаёт, записывает или загружает при использовании Сервиса: записи и расшифровки встреч, заметки, тексты, направленные в память, сообщения в чатах, материалы публичных ссылок.
2.4. Память - хранимая на сервере часть Контента: факты с дословными фрагментами-источниками, сформированные из материалов, которые Пользователь сам направил на сервер.
2.5. Иные термины используются в значениях, установленных Законом № 152-ФЗ и публичной офертой Сервиса.
3. Сведения об Операторе
3.1. Наименование: Индивидуальный предприниматель Коваленко Герман Васильевич.
3.2. ИНН: 860905195765; ОГРНИП: 323861700103990.
3.3. Адрес: 628462, Россия, Ханты-Мансийский автономный округ - Югра, г. Радужный, 6 мкр, дом 20, кв. 23.
3.4. Адрес электронной почты для обращений субъектов персональных данных: ger.kovalenko@gmail.com.
3.5. Лицом, ответственным за организацию обработки персональных данных, является Оператор (ИП Коваленко Г. В.).
4. Как устроена обработка данных в Сервисе
Сервис спроектирован так, чтобы на серверы Оператора попадало как можно меньше данных. Этот раздел описывает устройство обработки простыми словами; юридически значимые положения приведены в последующих разделах.
- Звук не передаётся на серверы. Запись и расшифровка аудио выполняются локально на устройстве Пользователя. Серверная часть Сервиса не содержит технической возможности приёма аудиофайлов.
- Образцы голоса остаются на устройстве. Характеристики голоса, используемые приложением для различения говорящих, создаются и хранятся только на устройстве Пользователя, на серверы не передаются и Оператором не обрабатываются. Оператор не осуществляет обработку биометрических персональных данных и не использует какие-либо данные для установления личности по голосу.
- На сервере хранится только необходимое. Учётные данные, память, чаты, материалы публичных ссылок, записи о платежах и события использования - полный перечень приведён в разделе 5.
- Разбор встречи выполняется транзитом. Текст, направленный на разбор (краткий пересказ), обрабатывается в момент запроса; результат возвращается на устройство. Сама расшифровка при этом на сервере не сохраняется, если Пользователь отдельно не направил её в память или не опубликовал по ссылке.
- Журналы событий очищаются до отправки. Диагностические события клиентских приложений вычищаются на устройстве перед передачей: названия записей и имена файлов заменяются заполнителем, содержимое записей в события не включается. Ведение такого журнала - часть работы Сервиса, предусмотренная публичной офертой.
5. Категории субъектов и состав обрабатываемых персональных данных
5.1. Оператор обрабатывает персональные данные следующих категорий субъектов: пользователи Сервиса; посетители сайта; лица, обратившиеся к Оператору; иные лица, чьи данные могут содержаться в Контенте, направленном пользователями на сервер.
5.2. Состав обрабатываемых персональных данных пользователей:
- учётные данные: адрес электронной почты; пароль (хранится исключительно в виде криптографического хэша); признак подтверждения адреса почты; выбранный тариф и срок его действия;
- сведения о платежах: сумма, дата, статус и идентификатор платежа в сервисе приёма платежей, оплаченный тариф или пакет. Реквизиты банковских карт Оператору не передаются и Оператором не хранятся - их обработку осуществляет сервис приёма платежей;
- Контент, направленный Пользователем на сервер: память (включая дословные фрагменты-источники), сообщения и ответы в чатах, материалы, которые Пользователь опубликовал по публичной ссылке;
- события использования и диагностические сведения (журнал Сервиса): вид действия, время, уровень события, платформа, версия приложения, идентификаторы устройства и установки, технические сведения об устройстве (модель, версия операционной системы). Содержимое записей и документов в журнал не включается. Ведение журнала является необходимым условием предоставления Сервиса, предусмотренным публичной офертой, и осуществляется на основании договора;
- технические данные: IP-адрес, сведения об устройстве и браузере, файлы cookie.
5.3. У посетителей сайта обрабатываются только технические данные (пункт 5.2) в объёме, необходимом для работы сайта и веб-аналитики.
5.4. У лиц, обратившихся к Оператору, обрабатываются адрес электронной почты, имя (если указано) и содержание обращения.
5.5. Персональные данные третьих лиц, содержащиеся в Контенте (например, имена и высказывания участников встреч), Оператор обрабатывает по поручению Пользователя в объёме, необходимом для оказания услуг. Ответственность за наличие законных оснований для передачи таких данных несёт Пользователь (см. публичную оферту).
5.6. Оператор не обрабатывает специальные категории персональных данных и биометрические персональные данные и не запрашивает их. Если такие сведения содержатся в Контенте, Оператор не использует их для каких-либо самостоятельных целей и обрабатывает исключительно как часть Контента по поручению Пользователя.
6. Цели обработки персональных данных
6.1. Регистрация и аутентификация пользователей, ведение аккаунта, подтверждение адреса электронной почты.
6.2. Оказание услуг, предусмотренных публичной офертой: формирование и хранение памяти, ответы на вопросы со ссылками на источники, разбор встреч, публичные ссылки, синхронизация между устройствами Пользователя.
6.3. Осуществление расчётов, учёт лимитов тарифа, исполнение требований Федерального закона № 54-ФЗ и налогового законодательства.
6.4. Поддержка пользователей и обработка обращений.
6.5. Обеспечение безопасности и работоспособности Сервиса, диагностика ошибок, предотвращение мошенничества и злоупотреблений.
6.6. Улучшение Сервиса на основе обезличенной статистики использования.
6.7. Исполнение требований законодательства Российской Федерации.
7. Правовые основания обработки
7.1. Правовыми основаниями обработки являются: Конституция Российской Федерации; Закон № 152-ФЗ; Гражданский кодекс Российской Федерации; Федеральный закон № 54-ФЗ; договор, заключаемый на основании публичной оферты, стороной которого является субъект персональных данных (пункт 5 части 1 статьи 6 Закона № 152-ФЗ); согласия субъектов персональных данных (статья 9 Закона № 152-ФЗ); поручение Пользователя в отношении данных третьих лиц в составе Контента (часть 3 статьи 6 Закона № 152-ФЗ).
8. Порядок и условия обработки. Локализация и сроки
8.1. Обработка осуществляется на законной и справедливой основе, ограничивается достижением конкретных, заранее определённых целей и не избыточна по отношению к ним.
8.2. Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона № 152-ФЗ). Первичная запись персональных данных производится в базы данных на территории Российской Федерации.
8.3. Способы обработки: с использованием средств автоматизации, в том числе с применением технологий искусственного интеллекта, а также без использования таких средств.
8.4. Сроки хранения:
- учётные данные и Контент - в течение срока существования аккаунта; при удалении аккаунта удаляются в порядке пункта 13.2;
- сведения о платежах - в течение сроков, установленных налоговым и бухгалтерским законодательством;
- события использования - в течение срока, необходимого для целей пунктов 6.5-6.6, после чего удаляются или обезличиваются;
- резервные копии баз данных - не более 7 суток с момента создания, после чего автоматически замещаются.
8.5. По достижении целей обработки или при утрате необходимости в их достижении персональные данные подлежат уничтожению или обезличиванию, если иное не предусмотрено законом.
9. Передача персональных данных третьим лицам
9.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам в рекламных целях.
9.2. Оператор вправе поручать обработку персональных данных третьим лицам (обработчикам) на основании договоров, соответствующих требованиям части 3 статьи 6 Закона № 152-ФЗ, при условии соблюдения ими конфиденциальности и требований по безопасности. Ответственность перед субъектом за действия обработчиков несёт Оператор. К категориям таких получателей относятся:
- поставщики вычислительной инфраструктуры (хостинг), обеспечивающие размещение серверов и баз данных;
- сервис приёма платежей - для проведения оплаты, возвратов и направления кассовых чеков;
- сервис отправки электронной почты - для служебных писем (подтверждение адреса, уведомления);
- поставщики автоматизированных систем обработки текста (нейросетевых моделей) - им передаются только текстовые фрагменты, необходимые для выполнения запрошенной Пользователем операции (ответ на вопрос, разбор встречи, направление в память), без учётных данных Пользователя;
- сервис веб-аналитики (Яндекс.Метрика) - технические данные посещений сайта.
9.3. Передача персональных данных государственным органам осуществляется исключительно по основаниям и в порядке, установленным законодательством Российской Федерации.
9.4. Материалы, опубликованные Пользователем по публичной ссылке, доступны любому лицу, у которого есть ссылка, до момента её отзыва Пользователем. Решение о публикации и составе публикуемого принимает Пользователь.
10. Автоматизированная обработка. Обучение моделей
10.1. Оператор осуществляет автоматизированную обработку персональных данных. Решения, порождающие юридические последствия в отношении субъекта или иным образом затрагивающие его права и законные интересы, исключительно на основании автоматизированной обработки не принимаются, за исключением случаев, предусмотренных статьёй 16 Закона № 152-ФЗ.
10.2. Субъект вправе заявить возражение против автоматизированной обработки в порядке статьи 16 Закона № 152-ФЗ. Возражение рассматривается в срок не более 30 дней.
10.3. Персональные данные и Контент пользователей не используются Оператором для обучения моделей искусственного интеллекта.
11. Файлы cookie и веб-аналитика
11.1. Сайт https://en-gram.ru использует файлы cookie и сервис веб-аналитики Яндекс.Метрика для обеспечения работы сайта, оценки посещаемости и улучшения его работы.
11.2. Пользователь может ограничить или запретить использование файлов cookie в настройках своего браузера. Это может повлиять на работу отдельных функций сайта.
12. Меры по обеспечению безопасности персональных данных
12.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения и иных неправомерных действий (статья 19 Закона № 152-ФЗ).
12.2. К таким мерам относятся, в частности: шифрование каналов передачи данных (TLS); хранение паролей исключительно в виде криптографических хэшей; изоляция данных пользователей друг от друга на уровне системы управления базами данных; разграничение и ограничение доступа; ведение журналов доступа; резервное копирование; контроль за лицами, которым поручена обработка; внутренние документы, регламентирующие обработку.
12.3. Хранение персональных данных граждан Российской Федерации осуществляется на серверах, расположенных на территории Российской Федерации.
13. Права субъектов персональных данных и порядок их реализации
13.1. Субъект персональных данных имеет право: получать информацию, касающуюся обработки его персональных данных; требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели; отозвать согласие на обработку; возражать против автоматизированной обработки; обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в суд.
13.2. Часть прав реализуется непосредственно в Сервисе без обращения к Оператору:
- выгрузка памяти - Пользователь в любой момент может получить содержимое своей памяти в виде текста (функция экспорта в приложении);
- удаление отдельных материалов - Пользователь может убрать источник из памяти; убранные материалы исключаются из ответов Сервиса;
- удаление аккаунта - выполняется в приложении с повторным подтверждением паролем. При удалении аккаунта учётные данные, чаты, публичные ссылки и связанные записи удаляются, а память отзывается и исключается из обработки.
13.3. Для реализации иных прав субъект направляет обращение на адрес ger.kovalenko@gmail.com. Оператор рассматривает обращение и предоставляет ответ в сроки, установленные Законом № 152-ФЗ.
13.4. Отзыв согласия осуществляется путём направления соответствующего заявления. После отзыва Оператор прекращает обработку, осуществляемую на основании этого согласия, и уничтожает данные в установленные законом сроки, если отсутствуют иные законные основания обработки.
14. Действия при инцидентах с персональными данными
14.1. При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных Оператор уведомляет Роскомнадзор: в течение 24 часов - о произошедшем инциденте, предполагаемых причинах и принятых мерах; в течение 72 часов - о результатах внутреннего расследования (часть 3.1 статьи 21 Закона № 152-ФЗ).
14.2. При выявлении компьютерного инцидента, повлёкшего нарушение безопасности персональных данных, Оператор взаимодействует с уполномоченными органами в установленном порядке.
15. Условия обновления, уничтожения и блокирования персональных данных
15.1. Уточнение, блокирование и уничтожение персональных данных осуществляются по требованию субъекта, при достижении целей обработки, при отзыве согласия, а также в иных случаях, предусмотренных Законом № 152-ФЗ.
15.2. Уничтожение производится способом, исключающим дальнейшую обработку, с учётом технологических особенностей резервного копирования (пункт 8.4): данные, удалённые из рабочих баз, автоматически исчезают из резервных копий не позднее чем через 7 суток.
16. Заключительные положения
16.1. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента размещения по адресу, указанному в пункте 1.4, если иное не предусмотрено новой редакцией.
16.2. К Политике и отношениям, связанным с обработкой персональных данных, применяется законодательство Российской Федерации.
16.3. Вопросы, не урегулированные Политикой, разрешаются в соответствии с Законом № 152-ФЗ и иными нормативными правовыми актами Российской Федерации.