Политика конфиденциальности
Содержание
- Общие положения
- Термины и определения
- Категории обрабатываемых данных
- Цели и правовые основания обработки
- Источники получения данных
- Сроки хранения
- Передача данных третьим лицам
- Международная передача данных
- Меры безопасности
- Права субъекта данных
- Cookie
- Несовершеннолетние
- Изменение Политики
- Реквизиты Контролёра
1. Общие положения
Настоящая Политика конфиденциальности (далее — «Политика») определяет порядок обработки персональных данных Пользователей сайта, размещённого в сети Интернет по адресу https://aiassistant.website/ (далее — «Сайт»), и мер по обеспечению их безопасности.
Политика разработана в соответствии с требованиями Регламента (ЕС) 2016/679 Европейского парламента и Совета от 27 апреля 2016 г. о защите физических лиц при обработке персональных данных и о свободном обращении таких данных (Общий регламент по защите данных, далее — «GDPR») и Директивы 2002/58/EC Европейского парламента и Совета от 12 июля 2002 г., касающейся обработки персональных данных и защиты неприкосновенности частной жизни в секторе электронных коммуникаций (далее — «Директива ePrivacy»).
Действующая редакция Политики постоянно доступна по адресу https://aiassistant.website/privacy.html.
Использование Сайта Пользователем означает ознакомление с условиями настоящей Политики. Согласие на обработку Персональных данных, осуществляемую на основании согласия в значении ст. 6(1)(a) GDPR, оформляется отдельно через предусмотренный на Сайте механизм уведомления о cookie.
2. Термины и определения
«Контролёр» (controller) — физическое лицо, осуществляющее администрирование Сайта и определяющее цели и средства обработки Персональных данных в значении ст. 4(7) GDPR. Контактные данные Контролёра указаны в разделе 14 настоящей Политики.
«Пользователь» или «Субъект данных» — любое физическое лицо, использующее Сайт, чьи Персональные данные обрабатываются в значении ст. 4(1) GDPR.
«Персональные данные» — любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу, в значении ст. 4(1) GDPR.
«Обработка» — любая операция или совокупность операций, выполняемых с Персональными данными, в значении ст. 4(2) GDPR.
«Обработчик» (processor) — физическое или юридическое лицо, обрабатывающее Персональные данные от имени Контролёра в значении ст. 4(8) GDPR.
«Сервис Inside» — программно-аппаратный комплекс по адресу https://inside.aiassistant.website/. Обработка Персональных данных в рамках Сервиса регулируется отдельным документом, размещаемым в Сервисе.
3. Категории обрабатываемых данных
В рамках использования Сайта Контролёр обрабатывает следующие категории Персональных данных:
Идентификационные данные. Имя, адрес электронной почты — в объёме, добровольно сообщаемом Пользователем при обращении к Контролёру через указанные на Сайте каналы связи.
Поведенческие данные. Обезличенный идентификатор посетителя, факт, дата и время посещения Сайта, страницы Сайта, URL источника перехода, тип устройства, используемое программное обеспечение и иные технические сведения, собираемые посредством аналитических cookie и аналогичных технологий при условии получения согласия Пользователя.
Технические данные журналов сервера. IP-адрес соединения, заголовки HTTP, дата и время запроса, статус ответа сервера — сведения, автоматически фиксируемые программным обеспечением информационной системы при доступе к Сайту.
Обработка специальных категорий Персональных данных, перечисленных в ст. 9(1) GDPR, в рамках использования Сайта не осуществляется.
4. Цели и правовые основания обработки
Обработка Персональных данных осуществляется в следующих целях и на следующих правовых основаниях, предусмотренных ст. 6(1) GDPR:
| Цель обработки | Правовое основание (GDPR) |
|---|---|
| Обеспечение функционирования Сайта, защита от несанкционированного доступа и злоупотреблений | ст. 6(1)(f) — законные интересы Контролёра |
| Рассмотрение обращений Пользователей, направление ответов на них | ст. 6(1)(f); при необходимости — ст. 6(1)(b) (принятие мер по запросу субъекта до заключения договора) |
| Анализ посещаемости Сайта в обезличенном виде, улучшение качества информационных материалов | ст. 6(1)(a) — согласие субъекта данных |
| Исполнение юридических обязанностей, возложенных на Контролёра применимым законодательством | ст. 6(1)(c) — исполнение юридической обязанности |
Обработка Персональных данных осуществляется в объёме, необходимом для достижения соответствующей цели (принцип минимизации данных, ст. 5(1)(c) GDPR), и прекращается при достижении цели либо при отзыве согласия (ст. 7(3) GDPR), если такое согласие являлось единственным правовым основанием.
5. Источники получения данных
Персональные данные предоставляются Контролёру непосредственно Пользователем (при обращении по каналам связи, указанным на Сайте) либо автоматически собираются программным обеспечением информационной системы и сервисами аналитики, используемыми Контролёром (при наличии согласия Пользователя, если такое согласие требуется).
Получение Персональных данных Пользователя из иных источников Контролёром не осуществляется.
6. Сроки хранения
В соответствии с принципом ограничения срока хранения (ст. 5(1)(e) GDPR) применяются следующие сроки:
Идентификационные данные, переданные Пользователем при обращении к Контролёру, хранятся в течение срока, необходимого для рассмотрения обращения и направления ответа, но не более 1 (одного) года с даты последнего обращения.
Технические данные журналов сервера хранятся не более 30 (тридцати) календарных дней с момента их фиксации, после чего подлежат автоматическому удалению или обезличиванию.
Сроки хранения cookie указаны в Политике использования файлов cookie.
7. Передача данных третьим лицам
Контролёр не осуществляет передачу Персональных данных третьим лицам в иных целях, чем указано в настоящей Политике, и не использует Персональные данные для целей рекламы или маркетинга от имени третьих лиц.
Для целей обеспечения функционирования Сайта Контролёр привлекает следующих Обработчиков (в значении ст. 28 GDPR). С каждым из Обработчиков заключаются или приняты условия обработки данных (Data Processing Agreement / DPA) в объёме, предусмотренном ст. 28(3) GDPR:
| Обработчик | Назначение | Юрисдикция обработки | Политика |
|---|---|---|---|
| PostHog Inc. | Сбор и анализ обезличенной статистики посещений Сайта | ЕС (eu.i.posthog.com) | posthog.com/privacy |
Состав Обработчиков может изменяться. Актуальный перечень Обработчиков размещается в настоящей Политике; о существенных изменениях состава Обработчиков Контролёр уведомляет Пользователей в порядке, предусмотренном разделом 13 настоящей Политики.
Передача Персональных данных по обязательному требованию уполномоченных государственных органов осуществляется в порядке и в объёме, предусмотренных применимым законодательством.
8. Международная передача персональных данных
Контролёр стремится обеспечивать обработку Персональных данных в пределах Европейского экономического пространства (ЕЭП). В случае, если обработка осуществляется Обработчиком за пределами ЕЭП, такая передача допускается исключительно при наличии оснований, предусмотренных главой V GDPR.
К таким основаниям относятся, в частности:
- наличие решения Европейской комиссии об адекватности уровня защиты данных в стране-получателе (ст. 45 GDPR);
- применение стандартных договорных условий, утверждённых Европейской комиссией (Standard Contractual Clauses, ст. 46(2)(c) GDPR);
- иные надлежащие гарантии, предусмотренные ст. 46 GDPR.
По обоснованному запросу Пользователь может получить копию или ссылку на применимые гарантии, направив запрос в порядке, предусмотренном п. 10.2 настоящей Политики.
9. Меры безопасности
Контролёр принимает технические и организационные меры безопасности, соответствующие уровню риска, в соответствии со ст. 32 GDPR, для защиты Персональных данных от случайного или незаконного уничтожения, утраты, изменения, несанкционированного раскрытия или доступа.
К таким мерам, в частности, относятся: использование протокола HTTPS с обязательным применением механизма HSTS; ограничение доступа к информационным системам; применение принципа минимизации обрабатываемых данных; регулярное резервное копирование с шифрованием.
В случае выявления инцидентов, связанных с нарушением безопасности Персональных данных, Контролёр уведомляет компетентный надзорный орган не позднее 72 часов с момента обнаружения нарушения (ст. 33 GDPR), а также — при наличии высокого риска для прав и свобод субъектов данных — затронутых субъектов без неоправданной задержки (ст. 34 GDPR).
10. Права субъекта персональных данных
В соответствии со ст. 12–22 GDPR Пользователь как Субъект данных имеет следующие права:
- Право на доступ к Персональным данным и получение информации об их обработке (ст. 15 GDPR);
- Право на исправление неточных или неполных Персональных данных (ст. 16 GDPR);
- Право на удаление Персональных данных («право быть забытым», ст. 17 GDPR);
- Право на ограничение обработки Персональных данных (ст. 18 GDPR);
- Право на переносимость данных в структурированном, общеупотребительном машиночитаемом формате (ст. 20 GDPR);
- Право возражать против обработки, осуществляемой на основании законных интересов Контролёра (ст. 21 GDPR);
- Право отозвать согласие на обработку Персональных данных в любое время, без ущерба для правомерности обработки, осуществлённой до отзыва (ст. 7(3) GDPR);
- Право не быть субъектом автоматизированного принятия решений, включая профилирование, влекущих юридические или иные значимые последствия (ст. 22 GDPR);
- Право подать жалобу в надзорный орган по защите данных по месту своего обычного проживания, месту работы или месту предполагаемого нарушения (ст. 77 GDPR).
Запросы, связанные с реализацией прав, перечисленных в п. 10.1, направляются по адресу электронной почты info@aiassistant.website. Контролёр предоставляет ответ без неоправданной задержки и в любом случае в течение 1 (одного) месяца с момента получения запроса в соответствии со ст. 12(3) GDPR; указанный срок может быть продлён на 2 (два) месяца с учётом сложности и количества запросов с предварительным уведомлением Субъекта данных.
Для целей идентификации заявителя Контролёр вправе запросить дополнительные сведения, позволяющие подтвердить личность Субъекта данных и связь запроса с его данными (ст. 12(6) GDPR).
Реализация прав Субъекта данных осуществляется на безвозмездной основе, за исключением случаев, прямо предусмотренных ст. 12(5) GDPR.
11. Файлы cookie
Использование файлов cookie и аналогичных технологий на Сайте, а также порядок получения и отзыва согласия в соответствии с положениями Директивы ePrivacy, регулируются отдельным документом — Политикой использования файлов cookie.
12. Несовершеннолетние
Сайт не предназначен для использования лицами, не достигшими возраста 18 лет. Контролёр не осуществляет сознательного сбора Персональных данных несовершеннолетних. В случае установления факта обработки Персональных данных ребёнка в значении ст. 8 GDPR без надлежащих оснований такие Персональные данные подлежат удалению по обращению, направленному в порядке, предусмотренном п. 10.2 настоящей Политики.
13. Изменение Политики
Контролёр вправе в одностороннем порядке вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с момента её размещения на Сайте, если иное не предусмотрено новой редакцией.
В случае внесения существенных изменений Контролёр предпринимает разумные меры по уведомлению затронутых Субъектов данных по доступным каналам связи; при необходимости получения нового согласия — путём повторного отображения механизма уведомления о cookie.
14. Реквизиты Контролёра
Контролёр данных: физическое лицо, осуществляющее администрирование Сайта по адресу https://aiassistant.website/.
Адрес электронной почты для направления запросов и обращений по вопросам обработки Персональных данных: info@aiassistant.website.