Политика обработки персональных данных

§01Оператор и контакты

Настоящая Политика обработки персональных данных (далее — «Политика») определяет порядок обработки и защиты персональных данных физических лиц (далее — «Пользователь», «Субъект»), осуществляемой Оператором в рамках сервиса Rupor.ai (далее — «Сервис»), доступного по адресу https://rupor.ai.

Политика разработана в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ»), включая обязанности, установленные статьёй 18.1 указанного закона, а также иными нормативными правовыми актами Российской Федерации.

По любым вопросам, связанным с обработкой персональных данных, Пользователь может обратиться по адресу privacy@rupor.ai. Срок ответа — не более 10 рабочих дней с момента поступления обращения.

§02Какие персональные данные мы собираем

Оператор обрабатывает следующие категории персональных данных Пользователей, добровольно предоставленных при регистрации, использовании Сервиса и оплате тарифов:

2.1. Регистрационные данные

• адрес электронной почты;
• имя или псевдоним (опционально);
• пароль в виде криптографического хеша (исходный пароль не сохраняется);
• идентификатор внешнего OAuth-провайдера (если регистрация через Yandex ID, Google, GitHub).

2.2. Технические данные

• IP-адрес;
• тип и версия браузера, операционная система, разрешение экрана;
• cookie-файлы и иные идентификаторы устройства;
• дата и время посещения, реферер, путь по сайту.

2.3. Данные об использовании Сервиса

• выбранный тариф и история его изменений;
• домены и бренды, добавленные Пользователем для мониторинга, и подтверждение владения ими;
• история запущенных аудитов: дата, продолжительность, статус, набор использованных промптов, идентификаторы LLM-моделей;
• результаты аудитов и сформированные отчёты;
• журналы технических ошибок и трасс выполнения, в том числе передаваемые в систему мониторинга Sentry.

2.4. Платёжные данные

Реквизиты банковских карт и счетов Сервис не собирает и не хранит. Приём платежей осуществляется через АО «ЮKassa» (ИНН 7714842760), которое выступает самостоятельным оператором персональных данных в части платёжных реквизитов. Сервис сохраняет только идентификатор транзакции, сумму, валюту, статус оплаты, дату и тип использованного способа платежа (карта, СБП и т.п.).

Обработка специальных категорий персональных данных (раса, национальность, политические взгляды, состояние здоровья и т.п.) Сервисом не осуществляется. Биометрические персональные данные не обрабатываются.

§03Цели обработки

Оператор обрабатывает персональные данные исключительно в следующих целях:

1. регистрация и аутентификация Пользователя в Сервисе, ведение и сопровождение учётной записи;
2. исполнение договора (Публичной оферты) — оказание информационных услуг по мониторингу упоминаний бренда в публичных моделях искусственного интеллекта;
3. осуществление расчётов: приём платежей, формирование чеков по 54-ФЗ, возвраты и сверки;
4. техническая поддержка Пользователей и обработка их обращений;
5. рассылка сервисных уведомлений (изменение статуса аудита, истечение подписки, проблемы с оплатой) и — при наличии отдельного согласия — маркетинговых сообщений;
6. анализ работоспособности Сервиса, выявление и устранение ошибок, защита от мошенничества и злоупотреблений;
7. исполнение требований законодательства Российской Федерации, в том числе предоставление сведений по мотивированным запросам государственных органов.

§04Правовые основания

Обработка персональных данных осуществляется на следующих основаниях (ст. 6 ч. 1 152-ФЗ):

• пункт 1 — согласие субъекта персональных данных, выраженное путём отметки соответствующего чекбокса при регистрации либо иным недвусмысленным действием, подтверждающим ознакомление с настоящей Политикой;
• пункт 5 — необходимость исполнения договора (Публичной оферты), стороной которого является субъект персональных данных, либо для совершения действий по его инициативе;
• пункт 2 — необходимость исполнения обязанностей, возложенных на Оператора законодательством Российской Federation (в том числе налоговым, бухгалтерским, антифрод-законодательством);
• пункт 7 — обработка для осуществления и защиты законных интересов Оператора (например, для обеспечения информационной безопасности Сервиса), при условии что не нарушаются права и свободы субъекта.

Согласие на обработку персональных данных может быть отозвано Пользователем в любой момент способом, указанным в разделе 7 настоящей Политики. Отзыв согласия не освобождает Оператора от обязанности продолжить обработку персональных данных в объёме и сроках, необходимых для исполнения требований законодательства (например, налоговый учёт).

§05Передача третьим лицам и трансграничка

Оператор может поручать обработку персональных данных третьим лицам — обработчикам — в объёме, необходимом для оказания услуг Сервиса. На момент редакции Политики к таким обработчикам относятся:

Перечень обработчиков может изменяться. Актуальная редакция всегда доступна на настоящей странице.

5.1. Локализация баз данных (152-ФЗ ст. 18 ч. 5)

Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, физически расположенных на территории Российской Федерации.

5.2. Трансграничная передача

Передача обезличенных технических данных в Sentry (США / ЕС) осуществляется только в объёме технических трасс и журналов ошибок без идентификаторов, позволяющих определить личность Пользователя. Перед передачей данные псевдонимизируются. Уведомление о трансграничной передаче направлено в Роскомнадзор в порядке ст. 12 152-ФЗ.

§06Сроки хранения

• Учётные данные и история использования Сервиса — до отзыва согласия или удаления аккаунта Пользователем. После запроса на удаление производится мягкое удаление (soft-delete) на 30 календарных дней — это даёт возможность восстановить аккаунт при ошибочном удалении. По истечении 30 дней данные удаляются автоматически по cron-задаче (hard-delete).
• Платёжная информация и идентификаторы транзакций — 4 года с момента совершения операции, в соответствии с требованиями Федерального закона от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте».
• Журналы аутентификации и технические логи — не более 90 дней с момента записи; затем удаляются автоматически.
• Маркетинговые согласия — до момента отписки. Сам факт согласия и его отзыва хранится бессрочно для подтверждения правомерности рассылки.

§07Права субъекта персональных данных

В соответствии со статьями 14 и 21 152-ФЗ Пользователь имеет право:

• получать сведения об обработке его персональных данных;
• требовать уточнения, блокирования или уничтожения персональных данных в случае их неполноты, неточности или неактуальности;
• отозвать своё согласие на обработку персональных данных;
• возражать против обработки в маркетинговых целях;
• обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке.

Запрос направляется на адрес privacy@rupor.aiс указанием:

1. фамилии, имени, отчества и контактных данных;
2. сведений, подтверждающих факт обработки персональных данных Оператором (например, e-mail регистрации);
3. содержания требования (доступ, уточнение, удаление, отзыв согласия и т.п.);
4. подписи (при отправке скан-копии заявления) или иного способа подтверждения личности.

Срок рассмотрения обращения — не более 10 рабочих дней. В случае, если запрос не может быть исполнен по основаниям, установленным законом (например, данные требуются для исполнения обязанностей по 402-ФЗ), Оператор направляет мотивированный ответ.

§08Меры защиты

Оператор принимает технические и организационные меры, необходимые и достаточные для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий третьих лиц:

• передача данных по каналам связи защищена протоколом TLS 1.2+ (HTTPS, HSTS);
• пароли хранятся в виде криптографических хешей (Argon2id, bcrypt);
• база данных и резервные копии шифруются на уровне диска (encryption at rest);
• доступ к продакшн-инфраструктуре разграничен по принципу минимальных привилегий и журналируется;
• проводится мониторинг подозрительной активности и брутфорс-защита (rate-limit, captcha);
• назначен сотрудник, ответственный за организацию обработки персональных данных (ст. 18.1 ч. 1 п. 1 152-ФЗ);
• с обработчиками персональных данных заключены поручения на обработку, предусматривающие конфиденциальность и безопасность.

§09Cookies и аналитика

Сервис использует cookie-файлы двух категорий:

9.1. Технически необходимые cookies

Используются для работы аутентификации, сохранения сессии, защиты от CSRF-атак. Без этих cookies Сервис работать не сможет, поэтому отдельное согласие на их использование не требуется.

9.2. Аналитические cookies

При наличии согласия Пользователя (баннер на первом посещении) Сервис устанавливает cookies систем веб-аналитики:

• Яндекс Метрика (счётчик в режиме без записи Webvisor’а);
• Google Analytics 4 — только для сегмента ru-en посетителей и в обезличенном режиме.

Согласие на аналитические cookies можно отозвать в любой момент через ссылку «Cookies» в подвале сайта.

§10Изменения политики

Оператор оставляет за собой право вносить изменения в настоящую Политику. О существенных изменениях, затрагивающих права Пользователей, Оператор уведомляет не менее чем за 30 календарных дней до их вступления в силу одним из следующих способов:

• уведомление в личном кабинете при следующем входе;
• e-mail на адрес, указанный при регистрации;
• публикация уведомления в подвале сайта.

Дата редакции и дата вступления в силу указаны в шапке настоящего документа. Архив прежних редакций доступен по запросу на privacy@rupor.ai.

§11Жалобы и обращение в РКН

Если Пользователь считает, что обработка его персональных данных Оператором нарушает требования законодательства Российской Федерации, он вправе обратиться с жалобой в уполномоченный орган по защите прав субъектов персональных данных:

Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор)
адрес: 109074, г. Москва, Китайгородский пр., д. 7, стр. 2;
сайт: rkn.gov.ru;
форма обращения: pd.rkn.gov.ru/feedback.

До обращения в надзорный орган мы просим Пользователя направить претензию непосредственно Оператору на адрес privacy@rupor.ai. Это ускоряет решение вопроса в большинстве случаев.