ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

ПРЕАМБУЛА

Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с частью 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и определяет порядок и условия обработки персональных данных, а также меры по обеспечению их безопасности, применяемые [Полное наименование юридического лица], ОГРН [], ИНН [], адрес: [__] (далее — «Платформа», «Оператор», «мы»).

Политика распространяется на все персональные данные, которые Оператор получает в связи с использованием сайта [masthave.___], его поддоменов, программного интерфейса (API) и иных сервисов Платформы (далее совместно — «Сервисы») Пользователями, Разработчиками, Посетителями и иными лицами.

Политика является неотъемлемой частью Пользовательского соглашения и Лицензионного договора с Разработчиком. Термины, написанные с заглавной буквы и не определённые в разделе 1, имеют значение, установленное указанными документами.

Оператор включён в Реестр операторов, осуществляющих обработку персональных данных: уведомление направлено в Роскомнадзор [ДД.ММ.ГГГГ], регистрационный номер [__]. (Заполнить после подачи уведомления по ст. 22 152-ФЗ. Подача — до начала обработки.)

1. ТЕРМИНЫ

1.1. Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (Субъекту ПДн).

1.2. Субъект ПДн — физическое лицо, к которому относятся ПДн: Пользователь, Разработчик, Посетитель, Третье лицо.

1.3. Пользователь — лицо, заключившее с Оператором Пользовательское соглашение.

1.4. Разработчик — лицо, заключившее с Оператором Лицензионный договор с Разработчиком, а также его представители и работники, чьи данные передаются Оператору.

1.5. Посетитель — лицо, использующее Сайт без регистрации.

1.6. Третье лицо — Субъект ПДн, не являющийся Пользователем или Разработчиком, чьи ПДн вводятся Пользователем в Сессию, загружаются в Материалах или иным образом передаются Платформе Пользователем (например, клиенты, контрагенты, авторы отзывов, сотрудники Пользователя).

1.7. Данные Сессии — содержимое Сессий Пользователя с Агентами: Промпты, загруженные Материалы, Результаты, промежуточные данные и служебные метаданные Запусков.

1.8. Базовая модель — большая языковая или иная генеративная модель, к которой Роутер направляет запросы при выполнении Запуска. Перечень Базовых моделей, страны размещения и провайдеры приведены в Тарифах (Приложение № 1 к Пользовательскому соглашению).

1.9. Провайдер Базовой модели — лицо, предоставляющее доступ к Базовой модели через API.

1.10. Обработка ПДн — любое действие с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

1.11. Обработчик — лицо, осуществляющее обработку ПДн по поручению Оператора на основании части 3 статьи 6 152-ФЗ.

1.12. Трансграничная передача — передача ПДн на территорию иностранного государства органу власти, физическому или юридическому лицу иностранного государства.

1.13. RU-only режим — режим выполнения Запусков, при котором Данные Сессии направляются исключительно к Базовым моделям, размещённым на серверах, физически находящихся на территории Российской Федерации.

1.14. Инцидент — неправомерная или случайная передача (предоставление, распространение, доступ) ПДн, повлекшая нарушение прав Субъектов ПДн.

2. ОБЩИЕ ПОЛОЖЕНИЯ

2.1. Оператор обрабатывает ПДн на основе принципов законности, справедливости, ограничения обработки достижением конкретных заранее определённых целей, недопустимости объединения баз данных с несовместимыми целями, обработки только тех ПДн, которые отвечают целям, точности и достаточности, хранения не дольше, чем требуют цели обработки (статья 5 152-ФЗ).

2.2. Оператор осуществляет обработку с использованием средств автоматизации и без использования таких средств, в информационных системах ПДн Оператора.

2.3. Оператор назначил лицо, ответственное за организацию обработки ПДн (статья 22.1 152-ФЗ): [должность, ФИО], контакт: [privacy@masthave.___].

2.4. Политика публикуется в открытом доступе и доступна по ссылке в подвале каждой страницы Сайта, на странице регистрации и в интерфейсе Личного кабинета. При изменении Политики публикуется новая редакция с указанием даты.

2.5. Оператор не осуществляет обработку ПДн, несовместимую с целями сбора. Обработка в иных целях допускается только с отдельного согласия Субъекта.

3. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ

Оператор обрабатывает ПДн на следующих основаниях (статья 6 152-ФЗ):

3.6. Согласие на обработку ПДн, разрешённых Субъектом для распространения (статья 10.1 152-ФЗ), оформляется отдельно и применяется только к публичным профилям Разработчиков (раздел 15).

4. ЦЕЛИ, КАТЕГОРИИ ДАННЫХ, СРОКИ

4.1. Регистрация и ведение аккаунта Пользователя

• Данные: e-mail; телефон (при входе по номеру); имя/псевдоним; пароль (хэш); идентификатор аккаунта; идентификаторы сторонних сервисов авторизации; настройки; режим Потребитель/Предприниматель; для Предпринимателей — наименование, ИНН, ОГРН/ОГРНИП, юридический адрес.
• Основание: п. 3.1.
• Срок: срок действия Соглашения + [3] года (срок исковой давности).

4.2. Приём платежей, ведение Баланса, фискализация

• Данные: сумма и дата операций; маскированный номер карты (4 цифры); платёжная система; токен платёжного средства (хранится у платёжного провайдера); e-mail/телефон для чека; история списаний; ИНН Предпринимателя.
• Основание: п. 3.1, 3.2.
• Срок: [5] лет с даты операции (ст. 29 402-ФЗ, подп. 8 п. 1 ст. 23 НК РФ).
• Примечание: полные данные карт Оператор не получает и не хранит; приём платежей — через провайдера, сертифицированного по PCI DSS.

4.3. Выполнение Запусков и ведение Сессий

• Данные: Данные Сессии; идентификаторы Агентов; метаданные Запусков (время, токены, стоимость, статус, код завершения, Базовая модель); технические логи Sandbox.
• Основание: п. 3.1; в части ПДн Третьих лиц — п. 3.5 (Поручение, Приложение № 1).
• Срок: Данные Сессии — [12] месяцев с последнего Запуска либо до удаления Пользователем (что раньше); метаданные биллинга — [5] лет; обезличенные технические логи — [90] дней.

4.4. Аккаунт Разработчика, выплаты вознаграждения

• Данные: ФИО; дата рождения; гражданство; ИНН; статус НПД (по данным сервиса ФНС); ОГРНИП/ОГРН; паспортные данные — только при необходимости идентификации (115-ФЗ, НК РФ); банковские реквизиты; адрес; телефон; e-mail; контактное лицо юрлица; сведения об Агентах, Начислениях, Сторно, выплатах; чеки «Мой налог».
• Основание: п. 3.1, 3.2.
• Срок: срок действия Лицензионного договора + [5] лет после последней выплаты.

4.5. Модерация, безопасность, предотвращение нарушений

• Данные: IP; данные устройства и браузера; журналы действий и входов; отпечаток устройства; признаки автоматизированной активности; данные о нарушениях AUP; переписка с поддержкой; код Агентов (в объёме модерации, раздел 13 Лицензионного договора).
• Основание: п. 3.4, 3.2.
• Срок: журналы доступа — [12] месяцев; данные о нарушениях — [3] года; переписка с поддержкой — [3] года.

4.6. Обращения, претензии, жалобы правообладателей

• Данные: ФИО, контакты заявителя; содержание обращения; приложенные документы.
• Основание: п. 3.1, 3.2, 3.4.
• Срок: [3] года с даты окончательного ответа.

4.7. Информационные и рекламные рассылки

• Данные: e-mail; телефон; имя; данные о взаимодействии с рассылкой; история использования Агентов для персонализации.
• Основание: п. 3.3 (Приложение № 3).
• Срок: до отзыва, но не более [3] лет с последней активности.

4.8. Аналитика и улучшение Сервисов

• Данные: cookie-идентификаторы; обезличенные данные о посещениях и функциях; агрегированные показатели использования Агентов.
• Основание: п. 3.3 (необязательные cookie), п. 3.4 (технически необходимые).
• Срок: согласно Приложению № 4.

4.9. Рекомендательные технологии

• Данные: история Запусков (идентификаторы и категории Агентов), оценки, поисковые запросы на Витрине, регион по IP.
• Основание: п. 3.1, 3.4. Правила — раздел 13 Пользовательского соглашения.
• Срок: [12] месяцев.

4.10. По истечении сроков ПДн уничтожаются или обезличиваются в течение [30] дней с составлением акта (Приказ Роскомнадзора от 28.10.2022 № 179). Обезличенные данные могут использоваться без ограничения срока.

5. ЧТО ПЛАТФОРМА НЕ СОБИРАЕТ И НЕ ДЕЛАЕТ

5.1. Оператор не обрабатывает специальные категории ПДн (ст. 10 152-ФЗ) и биометрические ПДн Пользователей, Разработчиков и Посетителей. Если Пользователь вводит такие данные в Сессию в нарушение раздела 9 Пользовательского соглашения, Оператор вправе удалить их и приостановить Сессию.

5.2. Оператор не использует Данные Сессии для обучения или дообучения каких-либо моделей и договорно требует того же от Провайдеров Базовых моделей (раздел 9).

5.3. Оператор не продаёт и не передаёт ПДн третьим лицам в маркетинговых целях.

5.4. Оператор не предоставляет Разработчикам доступ к Данным Сессии и ПДн Пользователей; Разработчики получают только агрегированную статистику и обезличенные логи ошибок (раздел 12 Лицензионного договора).

5.5. Оператор не принимает юридически значимых решений исключительно на основе автоматизированной обработки (ст. 16 152-ФЗ), за исключением: (а) остановки Запуска при исчерпании Холда/Лимита; (б) временной блокировки при признаках атаки или мошенничества — с ручным рассмотрением по обращению в срок до [3] рабочих дней.

5.6. Оператор не осуществляет трансграничную передачу учётных и платёжных данных Пользователей и ПДн Разработчиков.

5.7. Оператор не отслеживает действия Пользователей на сторонних сайтах.

6. ДВЕ РОЛИ ПЛАТФОРМЫ В ОТНОШЕНИИ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. Платформа как Оператор. В отношении ПДн Пользователей, Разработчиков и Посетителей (п. 4.1, 4.2, 4.4–4.9) Платформа самостоятельно определяет цели и состав обработки и является Оператором (п. 2 ст. 3 152-ФЗ).

6.2. Платформа как Обработчик. В отношении ПДн Третьих лиц, которые Пользователь по своей инициативе вводит в Сессию или загружает в Материалах, цели и состав обработки определяет Пользователь. Пользователь — оператор таких ПДн, Платформа — лицо, обрабатывающее ПДн по поручению (ч. 3 ст. 6 152-ФЗ). Условия — в Приложении № 1, акцептуемом вместе с Пользовательским соглашением.

6.3. Пользователь, вводящий ПДн Третьих лиц, гарантирует, что:

• имеет правовое основание для обработки, для поручения обработки Платформе и, при использовании зарубежных Базовых моделей, для трансграничной передачи;
• получил согласия Субъектов либо располагает иным законным основанием;
• исполнил обязанности оператора (уведомление Роскомнадзора, политика, уведомление о трансграничной передаче по ст. 12) — если применимо;
• не вводит данные, запрещённые п. 9.3 Пользовательского соглашения (специальные категории, биометрия, данные несовершеннолетних без основания, платёжные реквизиты Третьих лиц, гостайна).

6.4. Ответственность перед Третьими лицами и Роскомнадзором за наличие правового основания несёт Пользователь (ч. 5 ст. 6 152-ФЗ). Платформа отвечает перед Пользователем за исполнение Поручения.

6.5. Пользователь-физлицо, использующий Платформу исключительно для личных и семейных нужд, при вводе ПДн Третьих лиц действует в рамках п. 1 ч. 2 ст. 1 152-ФЗ; Платформа обрабатывает такие данные как часть Данных Сессии на основании п. 3.1.

7. ДАННЫЕ, ВВОДИМЫЕ В СЕССИИ

7.1. Данные Сессии обрабатываются исключительно для выполнения Запуска, отображения истории Пользователю, биллинга, безопасности и расследования Технических сбоев и Инцидентов.

7.2. Данные Сессии передаются: (а) в Sandbox на инфраструктуре Платформы; (б) через Роутер — Провайдеру Базовой модели согласно Тарифам и режиму Запуска.

7.3. Перед Запуском Пользователь видит перечень Базовых моделей Агента, страну размещения и признак «Трансграничная передача» и вправе включить RU-only режим для аккаунта или Запуска.

7.4. Агенты с отметкой «Обрабатывает персональные данные» выполняются только в RU-only режиме.

7.5. [Опционально: Платформа применяет автоматическое маскирование ПДн перед отправкой к зарубежным моделям; маскирование вероятностно и не гарантирует полного удаления.] (Оставить только при реальном наличии функции.)

7.6. Пользователь вправе удалить любую Сессию. Данные уничтожаются в основных системах в течение [72] часов, в резервных копиях — [30] дней. Метаданные биллинга сохраняются в сроки п. 4.2.

7.7. Сотрудники Платформы получают доступ к содержимому Сессий только: (а) по обращению Пользователя в поддержку; (б) при расследовании Инцидента или нарушения AUP — по решению ответственного лица с записью в журнале; (в) по законному требованию госоргана. Автоматизированная модерация контента не является доступом сотрудников.

8. ПЕРЕДАЧА ДАННЫХ ТРЕТЬИМ ЛИЦАМ

9. ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА

10. ЛОКАЛИЗАЦИЯ

11. МЕРЫ ЗАЩИТЫ

12. ИНЦИДЕНТЫ И УТЕЧКИ

13. ФАЙЛЫ COOKIE И АНАЛИТИКА

14. ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

15. СВЕДЕНИЯ О РАЗРАБОТЧИКАХ

16. НЕСОВЕРШЕННОЛЕТНИЕ

17. ИЗМЕНЕНИЕ ПОЛИТИКИ

18. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

19. КОНТАКТЫ

ПРИЛОЖЕНИЕ № 1

ПОРУЧЕНИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ…

ПРИЛОЖЕНИЕ № 2

СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

ПРИЛОЖЕНИЕ № 3

СОГЛАСИЕ НА ПОЛУЧЕНИЕ РЕКЛАМНО-…

ПРИЛОЖЕНИЕ № 4

ПОЛИТИКА В ОТНОШЕНИИ ФАЙЛОВ COOKIE

…