Кристина Политика обработки персональных данных
1. Общие положения и сфера действия
1.1. Настоящая политика определяет порядок обработки и защиты персональных данных владельцем сервиса «Кристина AI», размещённого по адресу kristina-ai.ru (далее — «Оператор» и «сервис» соответственно), и является общедоступным документом в смысле ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
1.2. Политика распространяется на обработку персональных данных, связанную с использованием сайта, личного кабинета и оказанием услуг по публичной оферте.
1.3. Оператор обрабатывает только те данные, которые отвечают заявленным в разделе 4 целям, и не дольше, чем этого требуют указанные цели (ст. 5 152-ФЗ).
1.4. Сервис предназначен для использования организациями и индивидуальными предпринимателями и не рассчитан на самостоятельное использование лицами, не достигшими восемнадцати лет. Оператор не запрашивает персональные данные несовершеннолетних; обнаружив их, он прекращает обработку и уничтожает такие данные.
2. Роли сторон
2.1. Сервис обрабатывает персональные данные трёх разных категорий, и роль Оператора в них различна.
2.2. Данные пользователей сервиса — лиц, регистрирующих организацию и работающих в личном кабинете. В отношении этих данных оператором персональных данных является владелец сервиса. Текст согласия, которое даётся при регистрации отдельной отметкой, опубликован здесь.
2.3. Данные клиентов и посетителей организации-заказчика, поступающие в сервис через подключённые каналы. В отношении этих данных оператором является сама организация: она определяет цели и состав обработки. Владелец сервиса обрабатывает их по поручению организации (ч. 3 ст. 6 152-ФЗ), не определяет целей обработки и не использует эти данные в собственных целях.
2.4. Обязанность обеспечить законное основание для передачи данных своих клиентов в сервис, известить их об обработке и получить необходимые согласия лежит на организации-заказчике. Распределение ролей и условия поручения закреплены разделом 8 публичной оферты и отдельным договором или дополнительным соглашением.
2.5. Обрабатывая данные по поручению, Оператор соблюдает требования ч. 3 ст. 6, ст. 18.1 и ст. 19 152-ФЗ, включая конфиденциальность и меры безопасности, наравне с обработкой собственных данных.
2.6. Данные посетителей сайта сервиса, обратившихся в чат-виджет на kristina-ai.ru. В отношении этих данных оператором является владелец сервиса: он сам определяет цель обработки — ответить на вопрос о сервисе и передать обращение менеджеру — и обрабатывает их в собственных интересах.
3. Категории субъектов и обрабатываемых данных
3.1. Пользователи сервиса: адрес электронной почты; пароль в виде криптографического хеша; роль в организации и статус учётной записи; наименование организации и связь пользователя с ней; сведения о доступе — даты входа, подтверждения адреса электронной почты, изменения пароля; сведения о тарифе, платежах и сроке доступа; дата и редакция принятых документов.
3.2. Клиенты и посетители организаций-заказчиков, а также посетители сайта сервиса, обратившиеся в чат-виджет: сведения, которые они сообщают в обращении, — имя, телефон, адрес электронной почты, содержание переписки; сведения о сформированной заявке; технические идентификаторы обращения, необходимые для того, чтобы диалог продолжался, а ответ приходил тому, кто задал вопрос.
3.3. Технические данные обращений к сервису, включая IP-адрес и данные, сохраняемые браузером, — в объёме, необходимом для работы входа, продолжения диалога и защиты от злоупотреблений. Их состав и назначение раскрыты в правилах cookie.
3.4. Специальные категории персональных данных и биометрические персональные данные Оператор не запрашивает и целенаправленно не обрабатывает. Заказчик обязуется не передавать их в сервис.
4. Цели обработки и правовые основания
4.1. Обработка ведётся исключительно в перечисленных целях и на следующих основаниях:
- регистрация, аутентификация и предоставление доступа к сервису — исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6 152-ФЗ), и согласие субъекта (п. 1 ч. 1 ст. 6 152-ФЗ);
- приём оплаты, направление чека, бухгалтерский и налоговый учёт — исполнение договора и обязанности, возложенные на Оператора законом (п. 2 ч. 1 ст. 6 152-ФЗ);
- обработка обращений клиентов организации-заказчика и формирование заявок — поручение организации-заказчика (ч. 3 ст. 6 152-ФЗ);
- ответы на обращения в чат-виджете на сайте сервиса и связь с обратившимся по существу обращения — действия, предшествующие заключению договора по инициативе субъекта (п. 5 ч. 1 ст. 6 152-ФЗ), и законные интересы Оператора (п. 7 ч. 1 ст. 6 152-ФЗ);
- рассмотрение обращений, претензий и заявлений на возврат, защита прав Оператора и заказчиков — законные интересы Оператора (п. 7 ч. 1 ст. 6 152-ФЗ);
- защита сервиса от несанкционированного доступа и злоупотреблений — законные интересы Оператора (п. 7 ч. 1 ст. 6 152-ФЗ);
- подтверждение факта, даты и редакции полученного согласия — исполнение обязанности доказать его наличие (ч. 1 ст. 9 152-ФЗ).
4.2. Рекламные и маркетинговые сообщения направляются только при наличии отдельного, добровольно данного согласия. Отказ дать такое согласие или его отзыв не влияет на регистрацию, доступ к сервису и условия тарифа.
4.3. Обработка в иных целях не ведётся. Появление новой цели требует самостоятельного правового основания и изменения настоящей политики до начала такой обработки.
5. Передача третьим лицам
5.1. Оператор не продаёт персональные данные и не передаёт их в рекламных целях.
5.2. Данные передаются только тем лицам, чьё участие необходимо для оказания услуг: поставщикам вычислительной инфраструктуры, платёжному сервису, сервисам доставки сообщений в подключённых каналах, поставщикам языковых моделей и системам, в которые заказчик сам распорядился выгружать заявки. Каждая передача допускается лишь при наличии правового основания и договора, обязывающего получателя соблюдать конфиденциальность и обрабатывать данные только по поручению Оператора.
5.3. Состав таких лиц зависит от того, какие каналы и интеграции подключила организация. Действующий перечень предоставляется заказчику по запросу и закрепляется в договоре или поручении на обработку до начала обработки.
5.4. Оператор не использует содержание переписки и персональные данные для обучения моделей искусственного интеллекта и не передаёт их кому-либо в этих целях. Порядок использования переданных ему данных поставщиком языковой модели определяется условиями этого поставщика.
5.5. Государственным органам данные передаются только по основаниям, в объёме и в порядке, установленным законом.
6. Сроки обработки и хранения
6.1. Данные учётной записи и организации обрабатываются, пока действует договор и существует учётная запись.
6.2. Данные, связанные с оплатой, хранятся в течение сроков, установленных законодательством о бухгалтерском учёте и о налогах и сборах.
6.3. Данные клиентов и посетителей организации-заказчика обрабатываются, пока это необходимо для оказания услуг этой организации, и удаляются по её указанию либо по прекращении договора с ней, если закон не обязывает хранить их дольше.
6.4. Технические данные, собираемые для защиты от злоупотреблений, обрабатываются в течение срока, необходимого для этой цели, и в иных целях не используются.
6.5. По достижении целей обработки, при отзыве согласия или при удалении учётной записи данные уничтожаются или обезличиваются в сроки, установленные ст. 21 152-ФЗ, за исключением данных, обязанность хранить которые возложена на Оператора законом.
7. Трансграничная передача
7.1. Трансграничная передача персональных данных осуществляется только при выполнении требований ст. 12 152-ФЗ, включая направление уполномоченному органу уведомления о намерении осуществлять такую передачу до её начала.
7.2. Для формирования ответов на обращения Оператор привлекает поставщика языковых моделей — Intelligent Cloud Computing (Singapore) Private Limited, Республика Сингапур. Ему передаются содержание обращения и предшествующей переписки, а также фрагменты базы знаний, по которой формируется ответ. Сведения об учётной записи, оплате и реквизитах организации ему не передаются.
7.3. Если для оказания услуг привлекается иное лицо, находящееся за пределами Российской Федерации, состав передаваемых данных и государство передачи раскрываются заказчику и в настоящей политике до начала передачи.
7.4. Оператор обеспечивает, чтобы запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществлялись с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).
8. Безопасность
8.1. Оператор принимает правовые, организационные и технические меры, требуемые ст. 18.1 и ст. 19 152-ФЗ, в том числе: разграничение доступа по ролям, изоляцию данных разных организаций друг от друга, хранение паролей исключительно в виде необратимого криптографического хеша, журналирование действий с персональными данными и ограничение частоты обращений к сервису.
8.2. Доступ к персональным данным предоставляется только лицам, привлечённым Оператором, которым он необходим для исполнения обязанностей, и в объёме, ограниченном этими обязанностями. Такие лица связаны обязанностью соблюдать конфиденциальность.
8.3. Организацию обработки персональных данных Оператор осуществляет лично и утверждает внутренние документы, определяющие её порядок.
8.4. Установив факт неправомерной или случайной передачи персональных данных, Оператор уведомляет уполномоченный орган в сроки, установленные ч. 3.1 ст. 21 152-ФЗ, и извещает затронутых заказчиков.
8.5. Передача данных через сеть «Интернет» не может быть абсолютно безопасной. Принимаемые меры снижают риск, но не устраняют его полностью.
9. Права субъекта персональных данных
9.1. Субъект персональных данных вправе: получить подтверждение факта обработки и сведения о ней в объёме ч. 7 ст. 14 152-ФЗ; требовать уточнения неполных или неточных данных, их блокирования либо уничтожения; отозвать согласие, когда обработка основана на согласии; возражать против решений, порождающих юридические последствия и принятых исключительно на основании автоматизированной обработки (ст. 16 152-ФЗ); обжаловать действия Оператора в уполномоченный орган по защите прав субъектов персональных данных или в суд.
9.2. Запрос направляется через форму обращения либо по контактам из раздела 10. Порядок и сроки рассмотрения описаны на странице «Права и удаление данных».
9.3. До исполнения запроса Оператор вправе запросить сведения, подтверждающие личность заявителя и его участие в отношениях с Оператором (ч. 3 ст. 14 152-ФЗ).
9.4. Если данные обрабатываются по поручению организации-заказчика (п. 2.3), Оператор не вправе распорядиться ими самостоятельно: он передаёт обращение этой организации и извещает об этом заявителя.
10. Реквизиты и контакты оператора
Оператор — самозанятый Лежанкин Евгений Александрович, ИНН 732716427959, адрес электронной почты support@kristina-ai.ru.
Адресом для обращений по персональным данным служит указанная электронная почта.
11. Изменения политики
11.1. Действующая редакция всегда размещена по этому адресу; её номер и дата указаны в начале документа.
11.2. Изменения, затрагивающие цели, правовые основания или состав обрабатываемых данных, вступают в силу не ранее их публикации и не распространяются на обработку, совершённую до этого момента.
11.3. О существенных изменениях Оператор извещает заказчиков способом, позволяющим установить факт извещения.