Политика обработки персональных данных

1. Общие положения

Настоящая Политика определяет порядок обработки и защиты персональных данных индивидуальным предпринимателем Храмцовой Ксенией Андреевной (ИНН 560705615950, ОГРНИП 322565800038690; далее — Оператор, Gerwin AI, мы).

Политика применяется к домену gerwin.ai и его поддоменам, журналу, справочному центру и программному сервису Gerwin AI (совместно — Ресурсы). Если на отдельном Ресурсе опубликовано специальное уведомление, оно дополняет настоящую Политику.

Мы обрабатываем персональные данные в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», иными применимыми нормами и требованиями уполномоченных органов.

Термины используются в значении, установленном законодательством Российской Федерации. Под обработкой понимается любое действие с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, предоставление, блокирование, удаление и уничтожение. Трансграничная передача — передача персональных данных на территорию иностранного государства иностранному органу власти, физическому или юридическому лицу.

2. Сведения об Операторе

Оператором персональных данных является индивидуальный предприниматель Храмцова Ксения Андреевна, ИНН 560705615950, ОГРНИП 322565800038690. Вопросы и обращения по поводу обработки персональных данных направляйте на team@gerwin.ai.

3. К кому относится Политика

Политика относится к:

посетителям корпоративного сайта, журнала и справочного центра;
зарегистрированным и потенциальным пользователям сервиса;
плательщикам, представителям организаций и индивидуальным предпринимателям;
лицам, обращающимся в поддержку, направляющим отзывы, заявки или претензии;
получателям информационных и рекламных сообщений, если они дали отдельное согласие;
представителям контрагентов и иным лицам, взаимодействующим с Gerwin AI.

Ресурсы не предназначены для самостоятельного использования лицами младше 18 лет. Если законный представитель полагает, что несовершеннолетний передал нам данные без надлежащего основания, он может потребовать их удаления.

4. Какие данные мы обрабатываем

В зависимости от способа использования Ресурсов мы можем обрабатывать следующие категории данных.

4.1. Данные посетителей

IP-адрес, дата и время обращения;
тип и версия браузера, операционная система, язык, часовой пояс, тип устройства;
адрес запрошенной страницы, источник перехода, технические события и ошибки;
cookie-файлы, локальные идентификаторы и выбранные настройки;
агрегированные сведения о взаимодействии со страницами — только в предусмотренных Политикой cookie случаях.

4.2. Данные учетной записи

имя или псевдоним, адрес электронной почты, номер телефона, изображение профиля;
идентификатор пользователя и сведения о статусе учетной записи;
хэш пароля, токены сессии, сведения о входах и действиях безопасности;
идентификаторы и данные профиля, полученные от выбранного пользователем провайдера входа, например Яндекса или Telegram, в объеме, показанном таким провайдером при авторизации;
организация, должность и реквизиты, если пользователь действует от имени юридического лица или ИП.

Мы не храним пароль в открытом виде.

4.3. Пользовательский контент

запросы, инструкции, тексты, изображения, файлы и иные материалы, направленные пользователем;
результаты, созданные сервисом;
история операций, выбранные модели, параметры генерации, оценки и обратная связь;
содержащиеся в материалах персональные данные, если пользователь сам включил их в запрос или файл.

Не передавайте специальные категории персональных данных, биометрические данные, государственные тайны, медицинские сведения, платежные реквизиты или данные третьих лиц, если это не необходимо и у вас нет законного основания. Gerwin AI не просит использовать такие данные для обычной работы сервиса.

4.4. Платежные и договорные данные

выбранный тариф, сумма, валюта, дата, статус и идентификатор платежа;
маскированные сведения о платежном средстве и данные чека, которые возвращает платежный партнер;
ИНН, наименование, адрес, банковские и иные реквизиты для договора, счета или закрывающих документов;
сведения о подписке, начислениях, возвратах и обращениях по оплате.

Полные данные банковской карты обычно вводятся на защищенной странице платежного партнера и не поступают Gerwin AI. Конкретный платежный партнер указывается в интерфейсе оплаты.

4.5. Обращения и коммуникации

содержание писем, чатов, заявок, отзывов и претензий;
имя, контактные данные, вложения и технические сведения, необходимые для ответа;
записи согласий, отказов, договорных акцептов и юридически значимых уведомлений.

4.6. Данные о безопасности

признаки автоматизированной активности, попыток несанкционированного доступа и нарушений;
технические идентификаторы, журналы аудита, сведения об ограничениях и жалобах;
иные данные, объективно необходимые для защиты Ресурсов, пользователей и прав третьих лиц.

5. Цели, состав данных и правовые основания

Мы обрабатываем только данные, которые необходимы для определенной цели.

Цель	Основные данные	Основание
Работа сайта, передача страниц и сохранение обязательных настроек	технические данные, необходимые cookie	действия по запросу пользователя; осуществление прав и законных интересов Оператора в обеспечении работы и безопасности Ресурсов при условии, что не нарушаются права и свободы субъекта
Регистрация, идентификация и управление учетной записью	контактные, профильные и авторизационные данные	заключение и исполнение договора; отдельное согласие, когда оно требуется
Выполнение запросов и предоставление функций ИИ	пользовательский контент, параметры и технические события	исполнение договора и действий по запросу пользователя
Оплата, чеки, бухгалтерский и налоговый учет	платежные, договорные и учетные данные	исполнение договора и обязанностей по закону
Поддержка, рассмотрение заявлений и претензий	контакты, переписка, данные учетной записи	исполнение договора, обязанность по закону, осуществление и защита прав и законных интересов Оператора
Предотвращение злоупотреблений и обеспечение безопасности	журналы, IP-адрес, события безопасности	исполнение обязанностей по обеспечению безопасности; осуществление прав и законных интересов Оператора при условии, что не нарушаются права и свободы субъекта
Улучшение качества и аналитика	события использования, обезличенные или псевдонимизированные идентификаторы	предварительное согласие для необязательной аналитики
Рассылки о продукте, предложениях и мероприятиях	имя, электронная почта, предпочтения	отдельное предварительное согласие на рекламу и обработку данных
Публикация отзыва, кейса, имени или изображения	материалы публикации	отдельное согласие, включая согласие на распространение, когда оно требуется
Защита прав и исполнение требований органов	необходимые сведения и доказательства	обязанность по закону и защита законных прав

Если закон требует согласия, оно предоставляется конкретно, предметно, информированно, сознательно и однозначно. Согласие на обработку персональных данных оформляется отдельно от иных документов. Отказ от необязательного согласия не ограничивает доступ к функциям, для которых такая обработка не нужна.

Мы не принимаем исключительно на основании автоматизированной обработки решения, которые порождают юридические последствия для пользователя или иным образом существенно затрагивают его права.

6. Как мы получаем данные

Мы получаем данные:

непосредственно от пользователя при посещении, регистрации, оплате, использовании функций или обращении;
автоматически от браузера и устройства;
от выбранного пользователем провайдера авторизации;
от платежного партнера — сведения о статусе операции;
от организации или представителя, предоставившего доступ пользователю;
из открытых источников или от контрагента, если получение и дальнейшая обработка законны.

Лицо, передающее нам данные другого человека, подтверждает наличие надлежащего основания и обязанность предоставить этому человеку необходимую информацию. Это не освобождает Оператора от собственных обязанностей.

7. Пользовательский контент и данные третьих лиц

Пользователь самостоятельно определяет содержание своих запросов и файлов. Если материалы содержат персональные данные третьих лиц, пользователь обязан иметь законное основание для их обработки и передачи Gerwin AI, соблюдать принципы минимизации и не использовать сервис вопреки целям первоначального сбора.

В зависимости от конкретной операции Gerwin AI может действовать как оператор персональных данных либо как лицо, обрабатывающее данные по поручению пользователя. Для корпоративных сценариев условия поручения могут быть закреплены отдельным договором. Пользователь не должен загружать данные, обработку которых нельзя законно поручить Gerwin AI или выбранному поставщику модели.

Пользовательский контент передается выбранным поставщикам моделей только в объеме, необходимом для выполнения запроса. Gerwin AI не использует личные запросы и файлы для обучения собственных общедоступных моделей и не разрешает их использование в рекламе без отдельного явного согласия. Сведения о конкретном поставщике и существенных условиях обработки должны быть доступны в интерфейсе, документации или специальном уведомлении до отправки запроса.

Обязательные cookie используются для сессии, безопасности, балансировки, сохранения языка и выбора пользователя. Они необходимы для запрошенной функции.

Необязательная аналитика, включая Яндекс Метрику, включается только после согласия через баннер или центр настроек. До согласия соответствующий код не должен загружаться. Пользователь может в любое время отозвать выбор через ссылку «Настройки cookie» в подвале сайта.

Подробности, категории, сроки и способы управления описаны в Политике использования cookie.

9. Передача данных

Мы не продаем персональные данные. Доступ предоставляется только в необходимом объеме:

работникам и привлеченным специалистам, связанным обязанностью конфиденциальности;
провайдерам хостинга, хранения данных, доставки сообщений, мониторинга и защиты — при соблюдении требований к локализации и передаче данных;
платежным организациям, банкам и операторам фискальных данных;
провайдерам авторизации, если пользователь выбрал такой способ входа;
поставщикам ИИ-моделей, которых пользователь выбрал для выполнения запроса;
Яндексу — для аналитики только после согласия;
аудиторам, юристам и консультантам при наличии законного основания и режима конфиденциальности;
государственным органам и судам в случаях и порядке, установленных законом;
правопреемнику при реорганизации или передаче бизнеса с сохранением применимых обязанностей.

Конкретный поставщик модели, доступный в интерфейсе, может меняться вместе с составом моделей. До передачи пользовательского контента сведения о соответствующем получателе и существенных особенностях обработки предоставляются в интерфейсе, документации или специальном уведомлении. Мы заключаем необходимые договоры, определяем цели и перечень разрешенных действий и проверяем, чтобы привлеченное лицо применяло надлежащие меры защиты.

10. Локализация и трансграничная передача

При сборе персональных данных граждан Российской Федерации, в том числе через интернет, Оператор не осуществляет их запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных, находящихся за пределами Российской Федерации, кроме прямо предусмотренных законом случаев. Первичный сбор и указанные операции организуются с использованием баз данных на территории Российской Федерации.

Некоторые функции могут предполагать последующую трансграничную передачу части пользовательского контента иностранному поставщику выбранной модели. До начала такой деятельности Оператор:

определяет правовое основание, цель, состав данных, категории субъектов, получателя и государство передачи;
получает от иностранного получателя предусмотренные законом сведения о нем, применяемых мерах защиты и условиях прекращения обработки, а в необходимых случаях — о регулировании соответствующего государства;
оценивает соблюдение получателем конфиденциальности и безопасности данных;
отдельно от общего уведомления об обработке направляет в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу;
для государства, не обеспечивающего адекватную защиту, не начинает передачу до истечения установленного законом десятидневного срока рассмотрения уведомления, а также соблюдает решения Роскомнадзора об ограничении или запрещении передачи.

Если обязательные условия не выполнены либо передача запрещена или ограничена, соответствующая функция не должна передавать персональные данные иностранному получателю. Согласие, выбор иностранной модели или поручение пользователя сами по себе не отменяют требования о локализации, уведомлении и оценке получателя.

После получения необходимой информации и предоставления требуемого согласия пользователь поручает передать выбранному поставщику только тот контент, который необходим для выполнения запроса. Не включайте в запрос данные, которые по закону, договору или режиму конфиденциальности не могут передаваться такому получателю или за пределы Российской Федерации.

11. Сроки хранения

Мы храним данные не дольше, чем этого требуют цели обработки, договор или закон. Обычно применяются следующие ориентиры:

данные учетной записи — пока действует учетная запись, затем в течение срока, необходимого для закрытия взаиморасчетов и защиты требований, как правило не более трех лет;
бухгалтерские, налоговые и платежные документы — в течение обязательного срока, установленного законом;
журналы безопасности и технические события — как правило до 12 месяцев, если более длительный срок не нужен для расследования;
обращения в поддержку и претензии — до трех лет после закрытия, а при споре — до его окончательного разрешения;
доказательства согласий и акцептов — в течение срока действия соответствующей обработки и применимого срока защиты требований;
пользовательский контент — пока он доступен в учетной записи либо до удаления пользователем или прекращения договора; резервные копии очищаются по технологическому циклу;
аналитические идентификаторы — в сроки, указанные в Политике использования cookie.

По достижении цели обработки либо после отзыва согласия обработка прекращается, а данные уничтожаются в срок не более 30 дней, если договор или закон не допускает продолжение обработки без согласия. По требованию субъекта обработка прекращается в срок не более 10 рабочих дней; срок может быть продлен не более чем на 5 рабочих дней с направлением мотивированного уведомления, если продолжение обработки не допускается законом.

Если немедленное уничтожение в установленный срок технически невозможно, данные блокируются и уничтожаются не позднее 6 месяцев, если иной срок не установлен федеральным законом. Уничтожение подтверждается в порядке, установленном Роскомнадзором. Отдельные сведения могут храниться дольше только для исполнения конкретной обязанности по закону, договора, предотвращения повторного злоупотребления или защиты прав и только в необходимом объеме.

12. Защита данных

Мы применяем необходимые правовые, организационные и технические меры с учетом характера данных и актуальных угроз, включая:

разграничение доступа и принцип минимально необходимых полномочий;
защищенную передачу, управление секретами и хэширование паролей;
журналирование значимых действий, резервное копирование и восстановление;
контроль уязвимостей, обновление компонентов и защиту от злоупотреблений;
договорные обязательства о конфиденциальности;
оценку подрядчиков и реагирование на инциденты;
внутренние документы, обучение и контроль соблюдения требований.

Ни один способ передачи или хранения не обеспечивает абсолютной безопасности. Пользователь обязан защищать данные входа, использовать надежный пароль и незамедлительно сообщать о подозрительной активности.

При неправомерной или случайной передаче, предоставлении, распространении либо доступе к персональным данным, повлекших нарушение прав субъектов, мы принимаем меры по прекращению нарушения и снижению последствий. Роскомнадзор уведомляется в течение 24 часов с момента выявления инцидента, а результаты внутреннего расследования направляются в течение 72 часов. Затронутые лица уведомляются в случаях и порядке, предусмотренных законом или необходимых для снижения существенного риска.

13. Права субъекта персональных данных

Субъект вправе:

получить сведения об обработке своих данных;
потребовать уточнения, блокирования или удаления неполных, устаревших, неточных, незаконно полученных или ненужных данных;
отозвать согласие и отказаться от рекламных сообщений;
возражать против обработки, основанной на законном интересе, если такое право предусмотрено применимым законом;
обжаловать действия Оператора в Роскомнадзор или суд;
потребовать прекращения обработки, если выполнены установленные законом условия;
пользоваться иными правами, предусмотренными применимым законодательством.

Запрос можно направить на team@gerwin.ai. Укажите фамилию, имя, контакт для ответа, суть требования и сведения, подтверждающие участие в отношениях с Оператором или факт обработки данных. Для запроса сведений, предусмотренных статьей 14 Закона № 152-ФЗ, закон также требует указать реквизиты документа, удостоверяющего личность, и поставить подпись; электронный запрос подписывается электронной подписью. Не направляйте копию паспорта, если она отдельно не запрошена и не необходима для проверки.

Сведения об обработке предоставляются в течение 10 рабочих дней; срок может быть продлен не более чем на 5 рабочих дней с направлением мотивированного уведомления. Подтвержденные неточные данные уточняются в течение 7 рабочих дней. Неправомерная обработка прекращается в срок не более 3 рабочих дней с момента ее выявления, а если обеспечить правомерность невозможно, данные уничтожаются в срок не более 10 рабочих дней. Требование о прекращении обработки исполняется в течение 10 рабочих дней с возможным продлением не более чем на 5 рабочих дней в предусмотренном законом порядке.

Если требование нельзя исполнить полностью, мы направим мотивированный отказ со ссылкой на закон. Отзыв согласия не влияет на законность обработки до отзыва и не прекращает обработку, для которой сохраняется самостоятельное законное основание.

14. Рассылки и реклама

Рекламные и маркетинговые сообщения направляются только при наличии отдельного предварительного согласия, если оно требуется законом. Сервисные письма о безопасности, оплате, изменении существенных условий и исполнении договора рекламой не являются.

От рекламной рассылки можно отказаться по ссылке в письме, в настройках учетной записи или через team@gerwin.ai. Отказ обрабатывается без неоправданной задержки.

15. Публичные материалы

Отзывы, имя, изображение, кейсы и иные персональные данные публикуются для неограниченного круга лиц только при наличии требуемого отдельного согласия на распространение либо иного законного основания. Пользователь может устанавливать разрешенные условия и запреты в пределах закона.

Не размещайте персональные данные в публичных комментариях или материалах, если не хотите, чтобы их увидели другие лица.

16. Применимость иностранных норм

Доступность Ресурсов из другой страны сама по себе не означает целенаправленного предложения услуг в каждой иностранной юрисдикции. Если к конкретной обработке императивно применяется законодательство иной страны, Gerwin AI соблюдает обязательные требования в соответствующем объеме и может опубликовать специальное дополнение.

17. Изменение Политики

Мы пересматриваем Политику при изменении Ресурсов, состава получателей или законодательства. Новая версия действует с указанной даты публикации. О существенных изменениях, затрагивающих ранее предоставленное согласие или договор, мы сообщаем доступным способом и, когда требуется, запрашиваем новое согласие.

18. Контакты

Вопросы, заявления и требования по обработке персональных данных направляйте Оператору по электронной почте: team@gerwin.ai.