Политика конфиденциальности

Настоящая Политика конфиденциальности (далее — «Политика») определяет порядок обработки и защиты персональных данных пользователей (далее — «Субъекты данных» или «Пользователи») онлайн-платформы AI Design Space (далее — «Платформа»), расположенной по адресу https://aidesignspace.pro, включая Telegram-бот @aidesignspace_bot (далее — «Бот»).

Оператором персональных данных является ИП Панова Эльвира Викторовна (далее — «Оператор»).

1. Общие положения

1.1. Правовые основания

1.1.1. Настоящая Политика разработана в соответствии с:

• Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ);
• Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Постановлением Правительства РФ от 01.11.2012 № 1119;
• Приказами и методическими документами Роскомнадзора;
• Общим регламентом по защите данных ЕС (GDPR) — в части, применимой к российским операторам.

1.2. Термины и определения

Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу.

Обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными.

Оператор — лицо, организующее и/или осуществляющее обработку персональных данных.

Субъект персональных данных — физическое лицо, к которому относятся персональные данные.

Cookies — небольшие текстовые файлы, размещаемые на устройстве Пользователя при посещении веб-сайта.

Обезличивание данных — действия, в результате которых становится невозможным определить принадлежность данных конкретному субъекту.

1.3. Принципы обработки

1.3.1. Обработка на законной и справедливой основе.

1.3.2. Обработка ограничивается конкретными, заранее определёнными и законными целями.

1.3.3. Данные не являются избыточными по отношению к заявленным целям.

1.3.4. Оператор принимает меры по обеспечению точности и актуальности данных.

1.3.5. Хранение — не дольше, чем этого требуют цели обработки.

2. Какие данные мы собираем

2.1. Данные при регистрации

2.2. Автоматически собираемые данные

• IP-адрес — безопасность, предотвращение мошенничества;
• User-Agent — информация о браузере, ОС и устройстве;
• Cookies и сессии — аутентификация и персонализация;
• Данные о посещениях — время входа, страницы, referrer;
• Логи взаимодействия — клики, генерации, загрузки, ошибки.

2.3. Данные при использовании сервисов

• Промпты — текстовые запросы для AI-генераций;
• Загруженные файлы (ассеты) — изображения, видео, аудио;
• Сгенерированный контент — результаты AI-генераций;
• Метаданные проектов — названия, настройки генераций;
• История генераций — лог всех генераций с временными метками.

2.4. Финансовые данные

• Данные о транзакциях (сумма, дата, тариф);
• Обезличенный токен карты, статус платежа (Оператор не хранит полные реквизиты карт);
• Счета и чеки; для юрлиц — реквизиты организации.

2.4.2. Данные банковских карт

При сохранении банковской карты для автоматических платежей данные передаются непосредственно платёжному провайдеру и обрабатываются в соответствии со стандартом PCI DSS Level 1.

Данные, хранящиеся на Платформе:

• Уникальный токен карты (невозможно использовать для проведения платежей вне Платформы);
• Последние 4 цифры номера карты;
• Бренд платёжной системы (Visa, Mastercard, МИР);
• Срок действия карты;
• Статус привязки (активна / отвязана).

Данные, которые Оператор НЕ хранит:

• Полный номер банковской карты;
• CVV/CVC-код;
• PIN-код;
• Иные данные, позволяющие совершить платёж без участия платёжного провайдера.

Правовое основание: согласие субъекта персональных данных (п. 1 ч. 1 ст. 6 ФЗ-152), явно выраженное при сохранении карты.

Сроки хранения:

• Токен карты — до момента отзыва согласия Пользователем или удаления учётной записи;
• Данные о транзакциях — 3 (три) года с момента совершения операции (в соответствии с требованиями бухгалтерского учёта);
• Согласие на сохранение карты (факт, дата, IP-адрес) — весь срок действия подписки + 1 год.

Меры безопасности:

• Шифрование токенов при хранении;
• Доступ к данным карт ограничен сертифицированным платёжным провайдером;
• Регулярный аудит безопасности;
• Немедленное удаление токенов при отзыве согласия.

Права Пользователя:

• Просмотреть список сохранённых карт в «Аккаунт → Платежи»;
• Удалить любую сохранённую карту;
• Отозвать согласие на сохранение карт (все токены удаляются немедленно);
• Запросить информацию об обработке данных карт.

2.5. Данные реферальной/партнёрской программы

• Реферальные ссылки, статистика привлечений;
• Реквизиты для выплат (карта, кошелёк, р/с);
• Документы партнёров (реквизиты ИП/ООО, акты).

3. Цели обработки персональных данных

3.2. Дополнительные цели (с отдельным согласием)

• Использование примеров генераций в маркетинге;
• Обучение AI-моделей (обезличенные данные);
• Email-рассылки промо-материалов (с возможностью отписки).

4. Правовые основания обработки

4.1. Согласие субъекта данных

Основное правовое основание — согласие субъекта (ч. 1 ст. 6 152-ФЗ). Предоставляется при регистрации (акцепт оферты), галочкой согласия, продолжением использования.

4.2. Исполнение договора

Обработка для исполнения Договора-оферты (п. 5 ч. 1 ст. 6 152-ФЗ).

4.3. Законные интересы Оператора

Предотвращение мошенничества, обеспечение безопасности, защита интеллектуальной собственности (п. 7 ч. 1 ст. 6 152-ФЗ).

4.4. Соблюдение правовых обязательств

Предоставление данных по запросам государственных органов, хранение данных для налоговой отчётности (п. 2 ч. 1 ст. 6 152-ФЗ).

5. Хранение и защита персональных данных

5.1. Сроки хранения

По истечении сроков данные уничтожаются или обезличиваются.

5.2. Меры защиты

Организационные: назначение ответственного, локальные нормативные акты, разграничение прав доступа, учёт носителей данных.

Технические:

• HTTPS (TLS 1.2+) для всех соединений;
• Шифрование паролей (bcrypt), сессий (JWT), конфиденциальных полей;
• OAuth 2.0, Telegram Auth, MFA (опционально);
• Мониторинг и логирование операций с данными;
• Ежедневные бэкапы БД с шифрованием;
• WAF, Cloudflare DDoS-защита, регулярные обновления ПО;
• SSH-ключи, VPN, запрет доступа по паролю.

5.3. Место хранения

• PostgreSQL — Render (Oregon, USA);
• Cloudflare R2 — распределённая глобальная инфраструктура;
• Логи и бэкапы — защищённые серверы с ограниченным доступом.

Все провайдеры соответствуют ISO 27001, SOC 2.

6. Трансграничная передача персональных данных

Гарантии: согласие субъекта, договоры с провайдерами, обезличивание данных при передаче для аналитики.

Пользователь вправе отозвать согласие на трансграничную передачу (aidesignspace.pro@gmail.com), что может ограничить функционал.

7. Cookies и технологии отслеживания

Управление cookies — через настройки браузера. Блокировка может привести к неработоспособности Платформы.

Сервисы аналитики: Google Analytics, Яндекс.Метрика. Отключение — через браузерные расширения (GA Opt-out и др.).

8. Права субъектов персональных данных

8.1. Право на доступ

Запрос на aidesignspace.pro@gmail.com. Ответ — в течение 30 календарных дней.

8.2. Право на исправление

Через интерфейс (Настройки → Профиль) или через поддержку.

8.3. Право на удаление (право на забвение)

Для удаления аккаунта направьте запрос на aidesignspace.pro@gmail.com с адреса, связанного с учётной записью, или обратитесь в поддержку. Самостоятельное удаление аккаунта через интерфейс в текущей версии не предусмотрено. После подтверждения принадлежности учётной записи данные удаляются в течение 30 дней. Исключение: данные, которые Оператор обязан хранить по законодательству.

8.4. Право на ограничение обработки

Запрос на aidesignspace.pro@gmail.com с указанием причины.

8.5. Право на переносимость данных

Копия данных в JSON/CSV. Обработка — 14 календарных дней.

8.6. Право на отзыв согласия

Заявление на aidesignspace.pro@gmail.com. Отзыв не влияет на законность ранее проведённой обработки. Может привести к невозможности использования Платформы.

8.7. Право на возражение

Отписка от рассылок — ссылка «Отписаться» в email или настройки Платформы.

8.8. Право на подачу жалобы

• К Оператору: aidesignspace.pro@gmail.com;
• В Роскомнадзор: rkn.gov.ru;
• В суд: по месту жительства или месту нахождения Оператора (г. Москва).

9. Раскрытие данных третьим лицам

Все третьи лица обязаны: обеспечивать конфиденциальность, не использовать данные вне согласованных целей, соблюдать 152-ФЗ, уведомлять об инцидентах.

При смене владельца Платформы — уведомление за 30 дней. Новый владелец обязан соблюдать Политику или получить новое согласие.

10. Безопасность данных несовершеннолетних

10.1. Платформа не предназначена для лиц младше 18 лет (кроме случаев с согласия родителей).

10.2. Оператор не осуществляет целенаправленный сбор данных несовершеннолетних.

10.3. Данные несовершеннолетнего, собранные без согласия родителей, удаляются в течение 3 рабочих дней.

10.4. Запрос на удаление — aidesignspace.pro@gmail.com с документом, подтверждающим родство.

11. Уведомление об инцидентах безопасности

11.1. При утечке или несанкционированном доступе Оператор:

• Незамедлительно принимает меры по устранению;
• Уведомляет Роскомнадзор в течение 24 часов;
• Уведомляет затронутых Пользователей в течение 72 часов;
• Публикует информацию об инциденте на Платформе.

11.2. Уведомление содержит: описание инцидента, категории затронутых данных, последствия, принятые меры, рекомендации.

12. Изменение Политики конфиденциальности

12.1. Оператор вправе вносить изменения в любое время.

12.2. О существенных изменениях — email-уведомление за 14 дней, всплывающее уведомление, публикация на главной.

12.3. Продолжение использования = согласие с новой редакцией.

12.4. При несогласии Пользователь вправе прекратить использование Платформы и до вступления изменений в силу направить Оператору запрос на удаление аккаунта по адресу aidesignspace.pro@gmail.com.

13. Контактная информация

Сроки рассмотрения обращений:

• Запросы на доступ к данным — до 30 календарных дней;
• Удаление/исправление — до 10 рабочих дней;
• Жалобы и претензии — до 10 рабочих дней;
• Технические вопросы — до 3 рабочих дней.

14. Заключительные положения

14.1. Настоящая Политика является неотъемлемой частью Договора-оферты.

14.2. Споры разрешаются по законодательству РФ.

14.3. При противоречии с другими документами Платформы приоритет имеет настоящая Политика.

14.4. Недействительность отдельных положений не влечёт недействительности Политики в целом.