Политика в отношении обработки персональных данных

1. Оператор

Оператор персональных данных: ОБЩЕСТВО С ОГРАНИЧЕННОЙ ОТВЕТСТВЕННОСТЬЮ "НЕЙРОНЫЧ", ОГРН 1267800070020, ИНН 7804722513, КПП 780401001. Юридический адрес: 195297, г. Санкт-Петербург, вн.тер.г. муниципальный округ Прометей, пр-кт Светлановский, д. 117, литера А, кв. 56.

Политика применяется к сайту, личному кабинету, поддерживаемым мессенджерам, бизнес-пространству, партнёрскому API и иным интерфейсам Нейроныча, где Оператор сам определяет цели и средства обработки персональных данных.

2. Принципы обработки

• обработка ведётся для конкретных и законных целей;
• собирается только тот объём данных, который нужен для соответствующей функции;
• несовместимые цели не объединяются незаметно для пользователя;
• данные хранятся не дольше, чем этого требуют цель, договор или закон;
• доступ ограничивается, секреты и токены не должны попадать в публичные журналы;
• пользователь получает средства доступа, исправления, экспорта и удаления там, где это предусмотрено законом и техническим контуром сервиса.

3. Категории субъектов

Оператор может обрабатывать данные пользователей сервиса, представителей и работников корпоративных клиентов, партнёров API, плательщиков, заявителей в поддержку и иных лиц, которые взаимодействуют с Нейронычем.

4. Какие данные могут обрабатываться

• Аккаунт и идентификация: внутренний ID, ID/username канала, отображаемое имя, email или телефон, если пользователь сам их указал или связал.
• Авторизация и безопасность: идентификаторы сессий, IP-адрес, user-agent, технические события, время входа, сведения о привязке каналов.
• Диалоги и контент: сообщения, prompts, файлы, изображения, видео, созданные результаты, сохранённые факты, настройки памяти, задачи и напоминания.
• Платежи: заказ, сумма, продукт, статус, идентификатор платежа, технический идентификатор сохранённого способа оплаты. Полные реквизиты карты Оператор не получает.
• Бизнес-контур: рабочее пространство, роли, проекты, действия аудита, ID подключаемых аккаунтов и зашифрованные технические credentials.
• Поддержка: текст обращения, вложения и контактный идентификатор.
• Согласия: версия документа, факт и время подтверждения или отзыва, а также технические сведения, необходимые для доказательства факта волеизъявления.

Оператор не требует сообщать специальные категории персональных данных или биометрию для обычного использования. Пользователь не должен помещать чувствительные сведения в запрос, если они не нужны для его задачи и у него нет законного основания на их обработку.

5. Цели обработки

1. создание и ведение аккаунта, связывание каналов и аутентификация;
2. исполнение запросов пользователя, хранение памяти, файлов, задач и результатов;
3. оказание платных услуг, расчёты, возвраты, чеки и бухгалтерский учёт;
4. работа бизнес-пространств, ролей, API, webhooks и интеграций;
5. защита сервиса, предотвращение злоупотреблений, расследование инцидентов;
6. поддержка и рассмотрение обращений;
7. исполнение требований законодательства и защита прав Оператора и пользователей;
8. аналитика качества сервиса — только в объёме и на основании, допустимых законом.

6. Правовые основания

Оператор обрабатывает данные на основаниях, предусмотренных законодательством Российской Федерации, включая необходимость исполнения договора, выполнение обязанностей, установленных законом, и согласие субъекта в тех случаях, когда оно требуется. Согласие на обработку ПДн не включается скрыто в оферту или иные документы; когда оно необходимо, пользователь подтверждает его отдельно.

7. Действия с данными

В зависимости от функции возможны сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача в объёме, необходимом для выбранной интеграции, обезличивание, блокирование и уничтожение. Обработка может быть автоматизированной, неавтоматизированной или смешанной.

8. Российские базы и трансграничная передача

При сборе персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение выполняются с соблюдением требований о локализации баз данных на территории Российской Федерации.

Отдельные пользовательские команды могут требовать обращения к иностранному AI/API-поставщику. До трансграничной передачи Оператор должен выполнить применимые требования законодательства, включая отдельное уведомление уполномоченного органа в предусмотренных законом случаях, оценку получателя и минимизацию передаваемых данных. Если законная передача невозможна, соответствующая функция должна быть ограничена.

9. Получатели и внешние сервисы

Данные могут передаваться только в объёме, необходимом для выбранной функции: платёжным провайдерам; владельцам подключаемых каналов и OAuth-сервисов; поставщикам AI/генерации; поставщикам инфраструктуры; контрагентам по защите и эксплуатации сервиса. Подключение необязательной интеграции инициирует сам пользователь.

Если обработка поручается другому лицу, договор должен определять цели, перечень данных и операций, обязанности по конфиденциальности и защите, а также иные обязательные условия.

10. Сроки хранения и уничтожение

Данные хранятся до достижения заявленной цели либо прекращения правового основания. Данные активного аккаунта могут храниться в течение срока использования сервиса. После удаления аккаунта часть сведений удаляется или обезличивается, а сведения, которые требуется сохранить по закону, для бухгалтерского учёта, расчётов, предотвращения повторного мошенничества или защиты прав, сохраняются только на соответствующий обязательный срок.

Файлы и результаты внешних провайдеров могут иметь собственный технический TTL. Удаление ссылки из интерфейса не должно трактоваться как обещание мгновенного удаления у независимого получателя, если применимое поручение или закон предусматривает иной срок.

11. Меры защиты

Оператор применяет правовые, организационные и технические меры с учётом рисков: разграничение доступа и tenant-изоляцию, шифрование/секрет-хранилища там, где применимо, TLS, журналирование административных действий, резервное копирование, контроль уязвимостей, ограничение прав сервисных учётных записей и редактирование чувствительных данных в логах.

12. Права субъекта

Субъект вправе получать информацию об обработке своих данных, требовать уточнения, блокирования или уничтожения данных при наличии оснований, отозвать согласие, обжаловать действия Оператора и реализовывать иные права по закону. В интерфейсе сервиса также могут быть доступны экспорт и удаление аккаунта.

13. Как направить запрос или отозвать согласие

Запрос можно направить через поддержку или письменно по юридическому адресу. Оператор вправе запросить сведения, достаточные для подтверждения личности и связи заявителя с соответствующим аккаунтом, но не должен требовать избыточные данные.

Отзыв согласия прекращает обработку, основанную именно на согласии, если иное правовое основание не позволяет или не требует продолжить отдельную обработку.

14. Изменение Политики

Актуальная версия постоянно доступна по адресу /privacy. Существенные изменения, затрагивающие уже выданное согласие или права пользователя, не считаются автоматически принятыми только из-за продолжения посещения сайта.

15. Реквизиты Оператора