Политика обработки персональных данных
Политика объясняет, какие персональные данные пользователей сервиса «AI-студия» обрабатывает Индивидуальный предприниматель Аргунова Елизавета Александровна, зачем, на каком основании, кому их передаёт, где хранит и как защищает. Политика опубликована по части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее «Закон»). Согласие на обработку данных оформлено отдельным документом.
1. Общие положения
1.1. Оператор: Индивидуальный предприниматель Аргунова Елизавета Александровна, ИНН 780616635978, ОГРНИП 319784700230104, адрес: Санкт-Петербург, Касимовская ул., д. 5, офис 302, почта: school@steblovskiy.ru, телефон: +7 965 030-71-10 (далее «Оператор»). Номер в реестре операторов персональных данных: [уточнить: регистрационный номер в реестре операторов персональных данных Роскомнадзора]
1.2. Ответственный за организацию обработки персональных данных: Аргунова Елизавета Александровна [уточнить: или другое лицо, назначенное приказом], почта school@steblovskiy.ru.
1.3. Политика действует для данных, которые Оператор получает через сайт ai.steblovskiy.ru (далее «Сайт») и в связи с услугами сервиса «AI-студия» (далее «Сервис»), включая оплату через интернет-эквайринг АО «ТБанк». Обработку данных учеников школы вне Сервиса описывают документы школы.
1.4. Термины используются в значении Закона. Персональные данные: любая информация, прямо или косвенно относящаяся к человеку. Обработка: любые действия с данными. Трансграничная передача: передача данных на территорию иностранного государства. Запрос, Результат, Генерация и Модель: как в оферте.
1.5. Оператор не принимает решения, порождающие юридические последствия, только на основании автоматизированной обработки. Автоматический фильтр может отклонить отдельный Запрос, а ограничить доступ к учётной записи решает человек.
2. Чьи данные обрабатываются
- пользователи Сервиса (у кого есть учётная запись) и покупатели подписки;
- посетители публичных страниц Сайта (только технические данные, раздел 9);
- люди, которые написали в поддержку или отправили отзыв;
- люди, чьи изображения, голос или другие данные пользователь загрузил в Запрос. Пользователь обязан иметь их согласие или иное законное основание (раздел 2 Правил). Оператор обрабатывает такие данные только чтобы выполнить Запрос и хранит их в общие сроки для файлов.
3. Цели, данные, основания и сроки
3.1. Для каждой цели Оператор обрабатывает только нужные ей данные:
| Цель | Какие данные | Основание | Срок хранения |
|---|---|---|---|
| Учётная запись и вход | логин, хэш пароля (сам пароль не хранится), адрес почты, дата создания, сессии входа | согласие (пункт 1 части 1 статьи 6 Закона), исполнение договора (пункт 5 части 1 статьи 6) | пока действует учётная запись и до 30 дней после её удаления |
| Генерации и студии | Запросы (тексты, настройки, ссылки), загруженные изображения, видео и аудио (в них могут быть изображение и голос людей), Результаты, история генераций (дата, модель, стоимость), материалы студий и дизайн-кодов | исполнение договора, согласие | файлы и Результаты 90 дней с момента генерации; музыкальные треки и записи истории пока действует учётная запись |
| Чат и память чата | сообщения чата; короткие сведения о пользователе в памяти чата (их можно посмотреть, удалить и выключить в профиле) | исполнение договора, согласие | пока действует учётная запись или до удаления пользователем |
| Голосовой ввод | запись голоса с микрофона | исполнение договора, согласие | на Сайте не сохраняется: передаётся на распознавание, на Сайте остаётся только текст |
| Оплата, подписка и учёт | почта для чека, заказ (тариф, сумма, дата, номер), статус оплаты, подписки и автопродления, движение кредитов. Данные банковской карты Оператор не получает | исполнение договора; обязанности по закону (пункт 2 части 1 статьи 6): 54-ФЗ, Налоговый кодекс РФ, 402-ФЗ «О бухгалтерском учёте» | 5 лет после окончания года, в котором прошла операция |
| Поддержка, отзывы, претензии | почта, логин, текст обращения, скриншоты, переписка | исполнение договора, согласие | 3 года после ответа (срок исковой давности) |
| Безопасность и защита от злоупотреблений | IP-адрес, сведения о браузере, время входов и запросов, журналы сервера, отметки фильтра контента | законный интерес Оператора (пункт 7 части 1 статьи 6), исполнение договора | журналы сервера не дольше 6 месяцев, сессии входа не дольше 30 дней |
| Рекламные рассылки | почта, имя (если указано), сведения о подписке, чтобы присылать подходящие письма | отдельное согласие на рассылки (статья 18 Федерального закона «О рекламе») | до отзыва согласия |
3.2. Специальные категории данных (здоровье, убеждения и другие) и биометрические данные Оператор не собирает. Фотографии и видео используются только для Генерации и не применяются для установления личности, поэтому не являются биометрическими персональными данными в смысле статьи 11 Закона.
3.3. Оператор не распространяет персональные данные (не делает их доступными неограниченному кругу лиц) и не публикует Запросы и Результаты пользователей.
3.4. Сервис предназначен для лиц старше 18 лет. Изображения детей в Запросах допустимы только с согласия их родителей или законных представителей (Правила, пункт 2.1).
4. Что Оператор делает с данными
4.1. Действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
4.2. Обработка смешанная: с использованием средств вычислительной техники и без них (например, переписка с поддержкой).
4.3. Доступ к данным есть только у Оператора и уполномоченных им лиц, которые обслуживают Сервис, в объёме, нужном для их работы, и с обязательством соблюдать конфиденциальность.
5. Кому передаются данные
5.1. Оператор поручает обработку или передаёт данные следующим лицам, только в объёме, нужном для цели:
| Кто | Зачем и какие данные | Страна |
|---|---|---|
| GetCourse, платформа онлайн-школ [уточнить: полное наименование, ИНН и адрес компании, которая управляет платформой GetCourse] | школа Оператора на платформе: база учеников (имя, почта, покупки), письма | Россия |
| Т-Банк, интернет-эквайринг АО «ТБанк», ИНН 7710140679, ОГРН 1027739642281, 127287, г. Москва, ул. 2-я Хуторская, д. 38А, стр. 26 | приём оплаты картой и через СБП на платёжной странице банка, автоматические списания по сохранённой карте; данные карты получает только банк | Россия |
| Онлайн-касса и оператор фискальных данных [уточнить: АТОЛ Онлайн или другая касса, наименование оператора фискальных данных, ИНН, адреса] | кассовые чеки: почта покупателя, состав и сумма покупки | Россия |
| Time4VPS, хостинг [уточнить: наименование и адрес компании, по открытым данным UAB «Interneto vizija», Вильнюс] | серверы Сайта и сборки роликов: на них хранятся и обрабатываются данные Сервиса | Литва |
| ArgoLink (argolink.io) [уточнить: наименование, страна и адрес компании] | доступ к моделям изображений и видео: Запросы, загруженные файлы, Результаты | [уточнить] |
| UnificAlly (unifically.com) [уточнить: наименование, страна и адрес компании] | доступ к моделям изображений, видео, музыки, улучшения качества и языковым моделям: Запросы, файлы, Результаты, сообщения чата и память чата | [уточнить] |
| APIMart (apimart.ai) [уточнить: наименование, страна и адрес компании] | запасной доступ к языковым моделям и распознавание голоса: сообщения чата, записи голоса | [уточнить] |
| Google LLC, почта Gmail [уточнить: если служебная почта Сайта работает не на Gmail, указать свой почтовый сервис] | служебные письма Сайта и отзывы администратору: почта, текст отзыва, скриншоты | США |
5.2. Разработчики Моделей. Поставщики API направляют Запросы и материалы разработчику Модели, которую выбрал пользователь: Google (Nano Banana, Veo), OpenAI (GPT Image, GPT), Anthropic (Claude), Kuaishou (Kling), ByteDance (Seedance, Seedream), Alibaba (Wan), MiniMax (Hailuo), xAI (Grok), Black Forest Labs (Flux), Suno, Topaz Labs и другим разработчикам по списку Моделей в Сервисе. Им передаётся только содержимое Запроса, без логина, почты и платёжных данных. Эти компании обрабатывают данные по своим условиям. [уточнить: сверить перечень разработчиков с моделями, которые подключены в Сервисе на дату публикации]
5.3. Государственным органам данные передаются только в случаях, предусмотренных законом.
5.4. Оператор не продаёт данные, не передаёт их рекламным сетям и не использует на Сайте сторонние счётчики посещений и рекламные cookie.
6. Трансграничная передача
6.1. Чтобы выполнить Генерацию, Запросы, загруженные файлы и Результаты передаются за пределы России поставщикам API и разработчикам Моделей (раздел 5). Сервер Сайта находится в Литве (раздел 7). Страны, куда передаются данные: Литва, США, Китай [уточнить: и страны регистрации и серверов ArgoLink, UnificAlly, APIMart].
6.2. Часть этих государств (например, США и Китай) не входит в утверждённый Роскомнадзором перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных. Защита данных там может быть слабее, чем в России, а потребовать удалить данные может быть сложнее. На такую передачу пользователь соглашается в согласии на обработку данных.
6.3. До начала трансграничной передачи Оператор уведомляет Роскомнадзор (часть 3 статьи 12 Закона) и получает от получателей сведения о принимаемых ими мерах защиты (часть 5 статьи 12). [уточнить: дата и номер уведомления о трансграничной передаче]
6.4. Поставщикам Моделей передаётся только содержимое Запроса. Логин, почта и платёжные данные поставщикам Моделей не передаются.
7. Где хранятся данные
7.1. Запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан России Оператор ведёт с использованием баз данных, находящихся в России (часть 5 статьи 18 Закона). Основная база учеников (имя, почта, покупки) ведётся на платформе GetCourse.
[уточнить: сейчас база Сайта (логины, почта, история, файлы) находится на сервере в Литве. Пункт 7.1 верен, только если до публикации база пользователей Сайта переедет на сервер в России или Сайт перестанет хранить у себя почту и другие данные, по которым можно определить человека. Иначе это нарушение части 5 статьи 18 Закона, и пункт нужно переписать]
8. Как данные защищены
8.1. Оператор принимает правовые, организационные и технические меры по статьям 18.1 и 19 Закона: назначен ответственный за организацию обработки, приняты локальные акты по обработке данных, проводится оценка вреда, который может быть причинён субъектам, доступ к данным ограничен, лица с доступом ознакомлены с требованиями закона.
8.2. Технические меры: соединение с Сайтом шифруется (HTTPS); пароли хранятся только в виде хэша (scrypt); ключи доступа к поставщикам хранятся отдельно в защищённом хранилище сервера; вход защищён от перебора паролей; страницы защищены политикой безопасности содержимого; доступ к серверу только по ключам у уполномоченных лиц; резервные копии базы хранятся не дольше 14 дней.
8.3. Если произойдёт неправомерная передача данных, Оператор уведомит Роскомнадзор в течение 24 часов, а о результатах расследования в течение 72 часов (часть 3.1 статьи 21 Закона), и сообщит пользователям, которых это коснулось.
9. Cookie и данные браузера
9.1. Сайт использует только необходимый cookie aigen_session: он нужен, чтобы вы оставались в учётной записи, и действует до 30 дней или до выхода. Без него войти нельзя.
9.2. В локальном хранилище браузера Сайт запоминает настройки интерфейса (например, выбранную модель). Эти данные остаются на вашем устройстве.
9.3. Счётчиков посещений, аналитики и рекламных cookie на Сайте нет. Если они появятся, Оператор обновит Политику и попросит согласие, если оно нужно по закону.
9.4. Платёжная страница АО «ТБанк» использует свои cookie по документам банка.
10. Ваши права
10.1. Вы вправе: получить сведения об обработке своих данных (часть 7 статьи 14 Закона); потребовать уточнить, заблокировать или уничтожить данные, если они неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели; отозвать согласие; потребовать прекратить рекламные рассылки; потребовать прекратить обработку (часть 5.1 статьи 21 Закона); обжаловать действия Оператора в Роскомнадзоре или в суде.
10.2. Как обратиться: письмом на school@steblovskiy.ru или по адресу Санкт-Петербург, Касимовская ул., д. 5, офис 302. Запрос по части 3 статьи 14 Закона содержит сведения о документе, удостоверяющем личность, сведения о ваших отношениях с Оператором (например, логин и дату оплаты) и подпись. Оператор отвечает и на обращения с почты учётной записи, в которых указан логин.
10.3. Сроки: ответ на запрос в течение 10 рабочих дней, срок можно продлить на 5 рабочих дней, объяснив причину (часть 1 статьи 20 Закона); прекращение обработки по требованию в течение 10 рабочих дней (часть 5.1 статьи 21); уничтожение после отзыва согласия в течение 30 дней (часть 5 статьи 21), если нет другого законного основания для обработки.
10.4. Если вы отзовёте согласие или удалите учётную запись, Сервис не сможет оказывать вам услуги. Данные об оплатах Оператор хранит в сроки, установленные законом (раздел 3).
11. Прекращение обработки и уничтожение
11.1. Обработка прекращается, когда достигнута цель, истёк срок хранения, отозвано согласие (если нет иного основания), выявлена неправомерная обработка или прекращена деятельность Оператора.
11.2. Файлы генераций удаляются автоматически по сроку. Остальные данные Оператор уничтожает в течение 30 дней после наступления оснований (часть 4 статьи 21 Закона) и оформляет уничтожение по требованиям Роскомнадзора. Из резервных копий данные исчезают со сменой копий, не позже чем через 14 дней.
12. Изменение Политики
Оператор может обновлять Политику. Новая редакция публикуется по адресу ai.steblovskiy.ru/legal/privacy с номером и датой. Если изменения требуют нового согласия, Оператор попросит его отдельно.