Политика в отношении обработки персональных данных

1. Общие положения

1.1. Оператор персональных данных — ИП Агрызков Антон Сергеевич, ИНН 562101885524, ОГРНИП 314565809200165 (далее — Оператор). Оператор внесён в реестр операторов, осуществляющих обработку персональных данных, под номером 56-26-023204. Адрес места нахождения указан в ЕГРИП по ОГРНИП и сообщается по запросу на i@hixl.ru.

1.2. Политика действует в отношении данных, которые Оператор получает через сайт hixl.ru (включая аккаунты и служебные адреса сайта) и навыки голосового ассистента «Алиса» «CatFox» и «Заметки», работающие на этом сайте (далее — Сервис).

1.3. Политика опубликована во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ), доступна без регистрации и никем не «принимается». Документ описывает обработку в Сервисе; полный перечень целей Оператора по всей его деятельности — в реестре операторов Роскомнадзора.

2. Термины

2.1. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу. Обработка — любое действие с ними, от сбора до уничтожения. Распространение — раскрытие неопределённому кругу лиц. Cookie — небольшой файл, который сайт сохраняет в браузере.

3. Правовые основания

3.1. Обработка ведётся в соответствии с 152-ФЗ, Гражданским кодексом РФ и Федеральным законом № 149-ФЗ «Об информации, информационных технологиях и о защите информации».

3.2. Основания обработки (ч. 1 ст. 6 152-ФЗ):

• исполнение договора, стороной которого является субъект (п. 5), — аккаунт и навыки Алисы по Пользовательскому соглашению; отдельное согласие для этого не требуется;
• законные интересы Оператора (п. 7) — защита Сервиса, журналы, статистика посещаемости, отчёты серверов;
• исполнение обязанностей Оператора по закону (п. 2) — ответы на обращения субъектов и законные запросы.

3.3. Отметка при регистрации подтверждает принятие Пользовательского соглашения и ознакомление с Политикой.

4. Цели, состав данных и сроки

4.1. Способ обработки для всех целей — автоматизированная обработка с передачей по сети интернет. По истечении срока данные удаляются из базы данных, а из резервных копий — по мере их ротации, не позднее 6 месяцев.

4.2. Аккаунт

• Субъекты: зарегистрированные пользователи.
• Данные: имя, адрес электронной почты, пароль (только в виде необратимого хеша), отметка о подтверждении почты, роль, даты создания и изменения; запись о принятии Пользовательского соглашения — редакция документов, дата и время, IP-адрес и сведения о браузере (User-Agent).
• Основание: п. 5 ч. 1 ст. 6; хранение записи о принятии Соглашения после удаления аккаунта — п. 7 (доказательство заключения договора в споре).
• Срок: до удаления аккаунта по заявлению пользователя, но не дольше 3 лет с последнего входа. Запись о принятии Соглашения — весь срок действия аккаунта и 3 года после его удаления (срок исковой давности); после удаления аккаунта она хранится с адресом почты вместо ссылки на аккаунт, по истечении срока обезличивается.

4.3. Служебные письма

• Субъекты: зарегистрированные пользователи.
• Данные: адрес почты, имя, ссылка подтверждения или восстановления пароля.
• Основание: п. 5 ч. 1 ст. 6. Письма рекламой не являются.
• Срок: ссылка подтверждения действует сутки, ссылка восстановления — в пределах срока, установленного сайтом; сами письма Оператор не хранит.

4.4. Навыки Алисы

• Субъекты: пользователи голосового ассистента «Алиса», запустившие навык «CatFox» или «Заметки».
• Источник: ООО «Яндекс» передаёт навыку сведения о запросе по правилам платформы навыков.
• Данные: идентификатор пользователя или приложения, который платформа передаёт навыку, идентификатор сессии, распознанный текст фразы, ответ навыка, признак новой сессии; для «Заметок» и служебного режима — текст заметки и отметка об её отправке. Голосовые записи навыку не передаются — только текст.
• Основание: п. 5 ч. 1 ст. 6 (пользование навыком по Пользовательскому соглашению); журнал запросов — п. 7 (разбор сбоев).
• Срок: журнал запросов и заметки — 12 месяцев с даты запроса; в Telegram-чате Оператора заметка хранится до её удаления Оператором.
• Не диктуйте навыкам персональные данные — свои и чужие: для работы навыков они не нужны.

4.5. Отчёты серверов

• Субъекты: лица, запустившие на своём сервере скрипт настройки с адреса hixl.ru/setup (скрипт предназначен для серверов Оператора).
• Данные: имя пользователя операционной системы, имя и тип системы сервера, внутренний и внешний IP-адрес, число добавленных ключей.
• Основание: п. 7 ч. 1 ст. 6.
• Срок: 12 месяцев.

4.6. Безопасность и работа сайта

• Субъекты: все посетители.
• Данные: IP-адрес, сведения о браузере (User-Agent), идентификатор сессии, дата и время запросов, технические журналы ошибок.
• Основание: п. 7 ч. 1 ст. 6.
• Срок: сессия — 120 минут бездействия; журналы веб-сервера и приложения — по мере ротации, как правило не дольше 30 дней; счётчики ограничения частоты запросов — минуты.

4.7. Статистика посещаемости

• Субъекты: посетители сайта.
• Данные: cookie и идентификаторы счётчика, IP-адрес, сведения о браузере и устройстве, адреса страниц, источники переходов, клики и иные действия на страницах (раздел 5).
• Основание: п. 7 ч. 1 ст. 6; отказаться можно способами из п. 5.3.
• Срок: на условиях Яндекс.Метрики; в браузере — до удаления cookie.

4.8. Обращения

• Субъекты: лица, написавшие Оператору по контактам с сайта, и пользователи, отправившие сообщение формой «Написать владельцу» в личном кабинете.
• Данные: имя, контакт, текст обращения и ответа. Для формы «Написать владельцу» это текст сообщения, а также имя и адрес почты из вашего аккаунта: они подставляются сами, чтобы Оператор знал, кому отвечать.
• Основание: п. 5 ч. 1 ст. 6 (действия по инициативе субъекта), для обращений о персональных данных — п. 2.
• Срок: 3 года с даты последнего сообщения.

5. Cookie и статистика

5.1. Сайт использует технические cookie (сессия, защита форм от подделки запросов, вход в аккаунт) и localStorage браузера (отметка, что вы закрыли уведомление о cookie; на сервер не передаётся).

5.2. На страницах сайта, включая личный кабинет, работает Яндекс.Метрика (ООО «Яндекс»): cookie, IP-адрес, сведения о браузере и устройстве, просмотренные страницы, клики, карта кликов, переходы по ссылкам. Включён Вебвизор — запись действий на странице (движения, клики, прокрутка, отображаемое содержимое). Поля паролей Яндекс.Метрика не записывает. Статистика используется в обобщённом виде, без попыток установить личность посетителя.

5.3. Отказаться от статистики можно: запретить или удалить cookie в браузере, включить блокировщик счётчиков или установить блокировщик Яндекс.Метрики. Сайт останется доступен; без технических cookie не будет работать вход в аккаунт.

6. Кому передаются данные

• ООО «Регистратор доменных имён РЕГ.РУ» — хостинг: серверы сайта и базы данных в России, обработка по поручению Оператора;
• ООО «Яндекс» — Яндекс.Метрика (раздел 5); ответы навыков возвращаются на платформу Алисы;
• почтовый сервер, через который сайт отправляет служебные письма, — адрес почты и имя;
• Telegram — текст заметок навыков и отчёты серверов (раздел 7);
• государственные органы — по законному запросу.

6.2. Мы не продаём персональные данные и не передаём их для рекламы третьих лиц.

7. Трансграничная передача

7.1. В Telegram (серверы за пределами России, компания зарегистрирована в ОАЭ) передаются: текст заметок навыка «Заметки» и служебного режима навыков — без идентификатора пользователя Алисы; отчёты серверов из п. 4.5 — имя пользователя системы, имя сервера и IP-адреса; сообщения из формы «Написать владельцу» (п. 4.8) — текст сообщения, имя и адрес почты отправителя. Цель — доставить их Оператору. Иные данные за пределы России не передаются.

8. Хранение в России

8.1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан России ведутся в базе данных на серверах в России (ч. 5 ст. 18 152-ФЗ).

9. Распространение

9.1. Оператор не распространяет персональные данные пользователей: профиль аккаунта и фразы навыкам посторонним не видны. Реквизиты на странице /b2b — сведения о самом Операторе.

10. Права субъекта и сроки ответа

10.1. Вы вправе:

• получить сведения об обработке своих данных;
• потребовать уточнить, заблокировать или уничтожить данные, если они неполные, неточные, незаконно получены или не нужны для цели обработки, и удалить аккаунт;
• отозвать согласие, если обработка велась на его основании, и возразить против обработки на основании законного интереса;
• обжаловать действия Оператора в Роскомнадзоре или в суде.

10.2. Как обратиться: письмом на i@hixl.ru с адреса почты аккаунта либо с данными, по которым вас можно идентифицировать (почта аккаунта; для навыков — дата и время запроса и произнесённая фраза), и сутью требования. Удаление аккаунта — тем же письмом.

10.3. Сроки: сведения — 10 рабочих дней с получения запроса (может быть продлён ещё на 5 рабочих дней с мотивированным уведомлением); уточнение — 7 рабочих дней; уничтожение неправомерно обрабатываемых данных — 10 рабочих дней; при отзыве согласия — прекращение обработки и уничтожение в течение 30 дней.

10.4. Отзыв согласия или требование удаления не прекращают обработку, которая ведётся на ином основании (договор, закон, защита прав Оператора в споре); о таких данных мы сообщим в ответе.

11. Меры защиты

11.1. Ответственный за организацию обработки — сам Оператор. Применяемые меры:

• разграничение доступа: служебные разделы доступны только администратору;
• передача данных по протоколу HTTPS (TLS);
• хранение паролей только в виде хеша, ограничение частоты попыток входа, регистрации и запросов к навыкам;
• ежедневное резервное копирование с ограниченным сроком хранения копий;
• журналы событий; определение угроз безопасности и уровня защищённости данных в соответствии с требованиями Правительства РФ к защите персональных данных в информационных системах.

12. Инциденты

12.1. При неправомерной или случайной передаче персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов о произошедшем и в течение 72 часов — о результатах внутреннего расследования.

13. Дети

13.1. Аккаунты предназначены для совершеннолетних. Навыки Алисы не запрашивают персональных данных. Если нам станет известно, что данные предоставил несовершеннолетний без согласия законного представителя, мы удалим их.

14. Изменение политики

14.1. Новая редакция действует с момента публикации на этой странице; дата редакции указана под заголовком. Прежние редакции — по запросу.

15. Контакты

15.1. ИП Агрызков Антон Сергеевич, ИНН 562101885524, ОГРНИП 314565809200165. Почта для обращений по персональным данным: i@hixl.ru.

Связанный документ: Пользовательское соглашение.