Политика конфиденциальности

1. Общие положения

1.1. Настоящая Политика конфиденциальности (далее — «Политика») определяет порядок обработки персональных данных и меры по обеспечению их безопасности, применяемые Оператором в отношении данных, полученных от пользователей сайта ai-compliance.online и сервиса «AI Compliance Checker» (далее — «Сайт», «Сервис»).

1.2. Политика разработана в соответствии с п. 2 ч. 1 ст. 18.1 152-ФЗ и является общедоступным документом, размещённым на Сайте.

1.3. Ознакомление с общедоступными страницами Сайта, не связанное с обработкой персональных данных, не требует предоставления согласия на обработку персональных данных. Регистрация учётной записи и использование личного кабинета и функциональности Сервиса возможны только после предоставления пользователем отдельного, конкретного, информированного и сознательного согласия на обработку персональных данных в порядке, указанном в п. 1.4 настоящей Политики. Единого «согласия по умолчанию», вытекающего из самого факта посещения Сайта, для целей обработки персональных данных Оператором не применяется. В случае несогласия с условиями Политики пользователь обязан прекратить использование Сайта.

1.4. Отдельное согласие на обработку персональных данных предоставляется пользователем самостоятельным действием (проставлением отметки/чекбокса) при регистрации и оформляется отдельным документом — «Согласие на обработку персональных данных», полный текст которого размещён на Сайте по адресу ai-compliance.online/consent и доступен пользователю для ознакомления до момента регистрации и предоставления согласия. Настоящая Политика не заменяет такое согласие, а раскрывает условия обработки, на которые это согласие даётся.

В соответствии со ст. 9 152-ФЗ документ «Согласие на обработку персональных данных» содержит все обязательные элементы: фамилию, имя, отчество и реквизиты Оператора; фамилию, имя, отчество и контактные данные субъекта персональных данных; перечень обрабатываемых персональных данных; цель обработки; перечень действий с персональными данными, на совершение которых даётся согласие; срок, в течение которого действует согласие, и порядок его отзыва. Факт предоставления согласия (отметка, дата, время, привязка к учётной записи пользователя) фиксируется и сохраняется Оператором в качестве доказательства получения согласия в порядке, предусмотренном ч. 4 ст. 9 152-ФЗ (иной способ, позволяющий достоверно подтвердить факт получения согласия).

2. Термины и определения

• Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
• Обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без их использования.
• Оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав ПДн, действия с ними.
• Пользователь — физическое лицо, представитель юридического лица или индивидуального предпринимателя, использующее Сайт и/или Сервис, в том числе прошедшее регистрацию.
• Сервис — программно-аппаратный комплекс, позволяющий загружать документы (договоры, пользовательские соглашения, политики конфиденциальности и т. п.) для их автоматизированного анализа на соответствие требованиям 152-ФЗ, GDPR, ISO 27001, NIS2 и формирования отчёта о рисках.
• Файлы cookie — небольшие текстовые файлы, сохраняемые на устройстве пользователя браузером.

4. Правовые основания обработки персональных данных

Обработка персональных данных осуществляется на основании:

4.1. Согласия субъекта персональных данных на обработку его персональных данных (ст. 9 152-ФЗ);

4.2. Необходимости исполнения договора, стороной которого либо выгодоприобретателем по которому является субъект персональных данных, — в том числе Публичной оферты, размещённой на Сайте (п. 5 ч. 1 ст. 6 152-ФЗ);

4.3. Необходимости обработки для осуществления прав и законных интересов Оператора при оказании услуг Сервиса (п. 7 ч. 1 ст. 6 152-ФЗ) — в части, не требующей отдельного согласия;

4.4. Иных оснований, прямо предусмотренных законодательством Российской Федерации.

5. Цели обработки персональных данных

Персональные данные обрабатываются в следующих целях:

• 5.1. регистрация пользователя и предоставление доступа к личному кабинету Сервиса;
• 5.2. идентификация и аутентификация пользователя при повторных обращениях к Сервису;
• 5.3. оказание услуг по автоматизированному анализу загружаемых документов и предоставление отчётов о результатах анализа, включая ведение истории таких отчётов в личном кабинете;
• 5.4. обработка платежей за платные тарифы и разовые отчёты, взаимодействие с платёжной системой;
• 5.5. направление уведомлений, связанных с использованием Сервиса (технические уведомления, статус оплаты, статус обработки документа);
• 5.6. обратная связь по запросам, направленным на контактный адрес электронной почты (техническая поддержка);
• 5.7. соблюдение требований законодательства РФ (в т. ч. налогового и бухгалтерского учёта как самозанятой);
• 5.8. анализ использования Сайта, улучшение качества Сервиса, статистика посещаемости (обезличенная и агрегированная, а также с использованием сервисов веб-аналитики, — см. раздел 9);
• 5.9. защита от мошеннических действий, обеспечение информационной безопасности Сайта и Сервиса.

Оператор не обрабатывает персональные данные в целях, не указанных в настоящей Политике, без получения дополнительного согласия пользователя.

6. Состав и категории обрабатываемых персональных данных

6.1. При регистрации и использовании личного кабинета Оператор обрабатывает:

• адрес электронной почты;
• пароль (хранится исключительно в виде необратимого хеша, алгоритм bcrypt; Оператор не имеет технической возможности восстановить пароль пользователя в исходном виде);
• иные данные, которые пользователь добровольно указывает в личном кабинете (при наличии таких полей).

6.2. При оплате услуг:

• сведения о совершённой транзакции (идентификатор платежа, сумма, статус, дата) — передаются и обрабатываются платёжной системой ЮKassa. Оператор не получает и не хранит номер банковской карты, срок действия, CVC/CVV-код и иные реквизиты платёжного средства — обработка этих данных осуществляется исключительно ЮKassa в соответствии с требованиями стандарта PCI DSS.

6.3. При использовании функции анализа документов:

• содержимое загружаемого пользователем файла (PDF/DOCX). Текст документа извлекается непосредственно в браузере пользователя (см. ниже про обезличивание) и в этом виде передаётся серверной инфраструктуре Оператора и внешнему сервису автоматизированного анализа (см. раздел 8) — сам исходный файл на сервер не передаётся; после формирования результата анализа текст удаляется и не сохраняется Оператором в базе данных или на диске;
• результат анализа (отчёт о соответствии, оценка рисков, рекомендации) — сохраняется в привязке к учётной записи пользователя для отображения истории обращений в личном кабинете.

Внимание для пользователей: загружаемые документы могут содержать персональные данные третьих лиц (контрагентов, сотрудников и т. п.). Загружая такой документ, пользователь подтверждает, что обладает законным правом передавать содержащуюся в нём информацию для целей автоматизированного анализа, и самостоятельно несёт ответственность за соблюдение прав третьих лиц при использовании Сервиса (см. также Пользовательское соглашение).

Обезличивание перед передачей. Автоматизированное обезличивание содержимого документа выполняется на стороне клиента — в браузере пользователя, локально на его устройстве, — до отправки документа на серверную инфраструктуру Оператора: персональные данные физических лиц, упомянутых в документе (за исключением фамилии, имени и отчества, а также почтовых и физических адресов — они не распознаются автоматически и сохраняются для обеспечения смысловой связности документа и корректности анализа), заменяются техническими плейсхолдерами. Таким образом на серверную инфраструктуру Оператора и внешнему сервису автоматизированного анализа (DeepSeek, см. раздел 8) документ передаётся уже с уменьшенным объёмом идентифицирующих сведений.

Об автоматизированной обработке: Отчёт формируется автоматизированно, с использованием технологии искусственного интеллекта (большой языковой модели), без участия человека на этапе формирования текста Отчёта. Результат носит исключительно рекомендательный характер, не является юридически значимым решением в отношении пользователя и не влечёт правовых последствий сам по себе — все решения на основании Отчёта пользователь принимает самостоятельно. Пользователь вправе обратиться к Оператору за разъяснением методики формирования Отчёта по адресу, указанному в разделе 17.

6.4. Технические данные, собираемые автоматически при посещении Сайта:

• IP-адрес;
• данные об используемом браузере, устройстве, операционной системе (User-Agent);
• файлы cookie и идентификаторы, устанавливаемые сервисами веб-аналитики;
• сведения о переходах по страницам Сайта, времени посещения.

6.5. Оператор не осуществляет обработку специальных категорий персональных данных (о расовой, национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни) и не собирает такие данные намеренно. Пользователю запрещается загружать документы, намеренно содержащие такие сведения о третьих лицах, если это не требуется для целей проверки документа и не подтверждено законным основанием на обработку таких сведений.

6.6. Сервис не предназначен для лиц, не достигших 18 лет. Оператор не осуществляет целенаправленный сбор персональных данных несовершеннолетних.

7. Порядок сбора, хранения и обработки персональных данных

7.1. Обработка персональных данных осуществляется с использованием средств автоматизации, включая:

• серверную инфраструктуру, размещённую у провайдера Fly.io (обработка происходит на серверах, физически расположенных в Германии, г. Франкфурт-на-Майне);
• базу данных, размещённую у провайдера Neon (регион размещения: AWS ap-southeast-1, Республика Сингапур);
• хостинг клиентской части Сайта — провайдер Vercel Inc. (США, с использованием глобальной сети доставки контента);
• сервис автоматизированного анализа документов на основе технологии искусственного интеллекта — DeepSeek (обработка запроса происходит на серверах поставщика, расположенных на территории Китайской Народной Республики);
• платёжную систему ЮKassa (НКО «ЮMoney» (ООО), Российская Федерация);
• сервис веб-аналитики Google Analytics (Google LLC, США).

7.2. Передача данных между пользователем и Сайтом осуществляется по защищённому протоколу HTTPS (TLS-шифрование). Пароли хранятся в хешированном виде. Данные при хранении защищаются средствами шифрования (AES-256) в той мере, в какой это обеспечивается используемой инфраструктурой.

7.3. Доступ к персональным данным имеют только уполномоченные лица (Оператор), которым такой доступ необходим для выполнения своих функций, а также лица, указанные в п. 7.1, — в объёме, необходимом для оказания соответствующих технических услуг.

Обработка персональных данных лицами, указанными в п. 7.1, осуществляется по поручению Оператора в порядке ч. 3 ст. 6 152-ФЗ — на основании договоров (пользовательских соглашений, публичных оферт, политик и условий обработки данных), заключаемых Оператором с каждым из таких лиц путём присоединения к опубликованным ими условиям (ст. 428 ГК РФ) при подключении к их сервисам. Указанные договоры и условия определяют перечень обрабатываемых персональных данных и действий с ними (в объёме, соответствующем целям, указанным в п. 7.1), обязанность соблюдения конфиденциальности и меры по обеспечению безопасности персональных данных (ст. 19 152-ФЗ). При выборе таких лиц Оператор учитывает наличие у них собственных мер по обеспечению конфиденциальности и безопасности данных (шифрование, ограничение доступа, публично опубликованные условия и политики обработки данных).

В соответствии с ч. 5 ст. 6 152-ФЗ ответственность перед субъектом персональных данных за действия лиц, которым поручена обработка персональных данных, несёт Оператор. Это не лишает Оператора права на предъявление таким лицам регрессных требований в случае нарушения ими своих договорных обязательств.

9. Файлы cookie и аналитические сервисы

9.1. Сайт использует файлы cookie и сервис веб-аналитики Google Analytics (Google LLC) для сбора обезличенной статистики посещаемости, анализа поведения пользователей на Сайте и улучшения качества Сервиса.

9.2. Файлы cookie сами по себе не позволяют установить личность пользователя, однако в сочетании с иными данными могут быть отнесены к персональным данным.

9.3. Пользователь может отключить сохранение файлов cookie в настройках своего браузера. В этом случае отдельные функции Сайта могут быть недоступны или работать некорректно.

9.4. При первом посещении Сайта пользователю отображается cookie-баннер с возможностью ознакомиться с настоящей Политикой. Файлы cookie и скрипты, передающие данные за пределы Российской Федерации в государства, не обеспечивающие адекватную защиту (см. п. 8.1, 8.3), по умолчанию не устанавливаются и не активируются до получения явного согласия пользователя в cookie-баннере.

10. Сроки обработки и хранения персональных данных

Ниже приведена сводная таблица сроков хранения по категориям персональных данных; подробные условия для каждой категории раскрыты в пунктах 10.1–10.5.

10.1. Данные учётной записи (email, хеш пароля) обрабатываются и хранятся в течение всего срока действия учётной записи пользователя и в течение 3 (трёх) лет после её удаления или прекращения активности учётной записи — в целях исполнения требований законодательства (в т. ч. налогового учёта) и защиты законных интересов Оператора при возможных спорах, если более длительный срок хранения не предусмотрен законодательством РФ.

10.2. Содержимое загружаемых для анализа документов не хранится Оператором и удаляется непосредственно после обработки (см. п. 6.3).

10.3. Результаты анализа (отчёты), сохранённые в истории личного кабинета, хранятся до момента их удаления пользователем самостоятельно либо до удаления учётной записи.

10.4. Пока учётная запись не удалена, сведения о произведённых платежах хранятся в течение сроков, установленных законодательством РФ о налогах и сборах и о бухгалтерском учёте. При удалении аккаунта пользователем (п. 13.4) локальная запись о платеже удаляется вместе с остальными данными учётной записи; сведения о самой платёжной операции при этом сохраняются у платёжной системы ЮKassa в соответствии с её обязанностями как оператора платёжной системы и требованиями законодательства РФ о национальной платёжной системе.

10.5. По достижении целей обработки либо в случае отзыва согласия персональные данные подлежат уничтожению или обезличиванию, если иное не предусмотрено законодательством РФ.

11. Меры по обеспечению безопасности персональных данных

11.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий третьих лиц, в том числе:

• шифрование канала передачи данных (HTTPS/TLS);
• хеширование паролей;
• шифрование данных при хранении (AES-256) в пределах технических возможностей используемой инфраструктуры;
• разграничение доступа к данным;
• незамедлительное удаление содержимого анализируемых документов после обработки;
• использование платёжной системы, сертифицированной по стандарту PCI DSS, для обработки платёжных данных.

11.2. Организационные меры, применяемые Оператором в соответствии со ст. 18.1, 19 152-ФЗ:

• лицом, ответственным за организацию обработки персональных данных, является Оператор — Аветисян Дарья Андреевна;
• определён внутренний порядок доступа к персональным данным и перечень лиц, допущенных к их обработке;
• проводится периодическая (не реже одного раза в год) внутренняя оценка соответствия обработки персональных данных требованиям 152-ФЗ и настоящей Политики.

11.3. Принципы Privacy by Design и Privacy by Default. Оператор учитывает требования по защите данных на этапе проектирования и по умолчанию: функциональность Сервиса изначально спроектирована таким образом, чтобы обрабатывать минимально необходимый объём персональных данных (содержимое загружаемого документа не сохраняется и удаляется сразу после обработки — см. п. 6.3, 8.4); доступ к данным по умолчанию ограничен уполномоченными лицами (п. 7.3); функции, связанные с трансграничной передачей данных, по умолчанию отключены и активируются только после отдельного явного согласия пользователя (п. 1.4, 8.2).

12. Порядок действий при инцидентах, связанных с персональными данными

12.1. В случае выявления инцидента, повлекшего неправомерный доступ к персональным данным, их утрату, изменение или разглашение (далее — «инцидент»), Оператор:

• в течение 24 (двадцати четырёх) часов с момента обнаружения инцидента направляет в Роскомнадзор первичное уведомление с описанием инцидента, предполагаемых причин, категорий и примерного количества затронутых субъектов персональных данных;
• в течение 72 (семидесяти двух) часов с момента обнаружения инцидента направляет в Роскомнадзор уточнённое уведомление по итогам внутреннего расследования, включая принятые меры реагирования;
• при наличии высокого риска нарушения прав и законных интересов субъектов персональных данных информирует затронутых пользователей путём направления сообщения на адрес электронной почты, указанный в учётной записи, с описанием инцидента и рекомендуемых мерах предосторожности.

12.2. Указанный порядок применяется в соответствии со ст. 21 152-ФЗ и не отменяет права субъекта персональных данных на обращение в Роскомнадзор и в суд самостоятельно.

13. Права субъекта персональных данных

Пользователь как субъект персональных данных вправе:

• 13.1. получить информацию, касающуюся обработки его персональных данных (ст. 14 152-ФЗ);
• 13.2. требовать уточнения, блокирования или уничтожения персональных данных в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• 13.3. отозвать согласие на обработку персональных данных — самостоятельно удалив учётную запись в личном кабинете (см. п. 13.4) либо направив соответствующее уведомление на адрес электронной почты Оператора, указанный в разделе 3 (отзыв согласия может повлечь невозможность дальнейшего использования Сервиса или его отдельных функций, в т. ч. в части, необходимой для исполнения уже заключённого договора/оферты);
• 13.4. требовать удаления учётной записи и связанных с ней данных — самостоятельно, кнопками «Удалить» на странице «Мои отчёты» (для отдельного отчёта) и «Удалить аккаунт» в личном кабинете (для учётной записи целиком), либо направив запрос на адрес электронной почты Оператора, указанный в разделе 3;
• 13.5. обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) либо в судебном порядке.

14. Порядок рассмотрения обращений пользователей

14.1. Запросы, связанные с обработкой персональных данных, направляются на адрес электронной почты aicompl26@gmail.com с пометкой «Персональные данные» в теме письма.

14.2. Оператор рассматривает поступившее обращение и направляет ответ в срок, не превышающий 30 (тридцати) календарных дней с момента получения обращения, если иной срок не установлен законодательством РФ.

15. Ответственность

15.1. Оператор несёт ответственность за нарушение требований законодательства РФ о персональных данных в соответствии с действующим законодательством, включая КоАП РФ.

15.2. Результаты автоматизированного анализа документов носят рекомендательный (справочный) характер и не являются юридической консультацией, юридическим заключением или заменой профессиональной юридической экспертизы. Соответствующее ограничение ответственности установлено также в Публичной оферте и Пользовательском соглашении Сервиса.

16. Изменение Политики

16.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с момента её размещения на Сайте, если иное не предусмотрено новой редакцией.

16.2. Оператор рекомендует пользователям регулярно проверять условия настоящей Политики на предмет изменений.