Политика обработки персональных данных

1. Общие положения

Настоящая Политика обработки персональных данных FORMA определяет порядок обработки и защиты персональных данных пользователей сайта и онлайн-сервиса FORMA. Политика применяется к сайту https://formakot.ru, связанным страницам сервиса и функциям личного кабинета.

Оператором персональных данных является Индивидуальный предприниматель Алешина Галина Андреевна, ИНН 245009519672, ОГРНИП 311231106800034, адрес: г. Краснодар, ул. Зиповская, д. 5. Обращения по вопросам персональных данных направляются на info@formakot.ru.

Политика разработана с учётом требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и иных применимых нормативных актов Российской Федерации.

2. Основные понятия

Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу. Обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них.

Пользователь — физическое лицо, посещающее сайт или использующее FORMA. Пользовательский контент — фотографии, изображения, тексты, описания, референсы и иные материалы, которые пользователь загружает или создаёт в сервисе.

Технические данные — сведения о сессии, IP-адресе, браузере, устройстве, действиях в интерфейсе, событиях безопасности, ошибках и иных параметрах, необходимых для работы и защиты сервиса.

3. Категории обрабатываемых данных

В зависимости от способа использования FORMA могут обрабатываться: имя или отображаемое имя; адрес электронной почты; идентификатор аккаунта; идентификатор и сведения, полученные от выбранного провайдера авторизации; данные сессии и технические идентификаторы.

При оплате обрабатываются сведения о заказе, выбранном пакете, сумме, статусе платежа, номере заказа, email для электронного чека и факте принятия действующей версии публичной оферты. FORMA не получает полный номер банковской карты, CVC/CVV-код и иные секретные реквизиты карты, если оплата проводится на стороне платёжного провайдера.

При работе с сервисом обрабатываются загруженные фотографии и изображения товаров, текстовые описания, настройки проекта, запросы к AI-функциям, результаты анализа и генерации, история операций, сведения о проектах и связанных файлах.

При обращении в поддержку могут обрабатываться имя, email, содержание переписки, идентификаторы проекта, заказа или операции, а при использовании внешнего канала поддержки — также технический идентификатор чата, username и отображаемое имя, переданные таким каналом. Пользователь не должен сообщать в поддержку пароль, коды из SMS, CVC/CVV или полный номер банковской карты.

4. Цели обработки персональных данных

Персональные данные обрабатываются для регистрации и авторизации пользователя, создания и обслуживания аккаунта, сохранения проектов и пользовательских настроек, предоставления функций FORMA и выполнения запросов пользователя.

Данные также обрабатываются для проведения платежей, формирования и подтверждения заказов, предоставления оплаченных возможностей, ведения истории операций, возвратов и разрешения спорных ситуаций.

Технические данные и журналы событий используются для обеспечения безопасности, предотвращения мошенничества и злоупотреблений, защиты бесплатных бонусов от массового получения, диагностики ошибок, восстановления незавершённых операций, контроля нагрузки и улучшения стабильности сервиса.

Отдельные сведения могут обрабатываться для исполнения обязанностей Оператора, установленных законодательством Российской Федерации, бухгалтерского и налогового учёта, ответа на законные запросы государственных органов и защиты прав Оператора или пользователей.

5. Правовые основания обработки

Основаниями обработки являются заключение и исполнение договора с пользователем, выполнение действий по запросу пользователя до заключения договора, исполнение обязанностей Оператора, установленных законом, а также согласие пользователя в случаях, когда оно требуется законодательством.

Для целей, не необходимых для исполнения договора или требований закона, соответствующее согласие запрашивается отдельно. Принятие публичной оферты само по себе не означает согласие на рекламные рассылки или иные необязательные цели обработки.

Пользователь вправе отозвать ранее данное согласие, если обработка основана именно на согласии. Отзыв не влияет на законность обработки, осуществлённой до его получения Оператором, и не прекращает обработку, если для неё существует иное законное основание.

6. Регистрация и внешние провайдеры авторизации

FORMA может предоставлять вход через внешних поставщиков идентификации, включая Google, Яндекс ID, VK ID, Telegram или иной способ, доступный в интерфейсе. Конкретный набор способов авторизации зависит от текущей конфигурации сервиса.

При таком входе FORMA получает только сведения, предусмотренные выбранным способом авторизации и разрешённые пользователем и поставщиком идентификации, например уникальный идентификатор, email и отображаемое имя. Пароль от внешнего аккаунта FORMA не получает.

Использование внешнего способа входа также регулируется правилами и политикой конфиденциальности соответствующего поставщика.

7. Пользовательские фотографии, файлы и проекты

Загруженные пользователем оригиналы, производные изображения для анализа и сгенерированные результаты могут храниться как отдельные объекты. Метаданные и принадлежность файлов аккаунту хранятся в базе данных, а сами файлы — в закрытом локальном либо S3-совместимом объектном хранилище в зависимости от конфигурации сервиса.

Хранилище не предназначено для публичного доступа. Доступ к пользовательским материалам предоставляется через механизмы сервиса после проверки принадлежности данных соответствующему аккаунту.

Пользователь не должен загружать документы, специальные категории персональных данных, биометрические данные или изображения третьих лиц, если такие сведения не нужны для работы сервиса либо у пользователя отсутствуют законные основания для их обработки и передачи.

8. Обработка данных с использованием искусственного интеллекта

Для выполнения выбранных пользователем AI-операций FORMA может направлять стороннему поставщику искусственного интеллекта текст запроса, необходимые параметры, фотографии или их подготовленные копии. В текущей архитектуре для отдельных AI-функций предусмотрено использование технологий OpenAI.

В службе поддержки отдельные обычные вопросы о работе FORMA могут передаваться автоматическому помощнику первой линии. В этом случае AI-провайдеру может быть передан ограниченный фрагмент переписки, необходимый для ответа. Вопросы, требующие проверки конкретного платежа, возврата, доступа к аккаунту или действий сотрудника, предназначены для обработки специалистом, а не для самостоятельного решения AI.

Передача выполняется только в объёме, необходимом для выполнения конкретной операции. Платёжные данные и сведения, не требующиеся AI-модели, не должны включаться в запрос к AI-провайдеру.

Пользователь должен учитывать, что загруженное изображение само по себе может содержать персональные данные третьих лиц. До отправки таких материалов через AI-функции пользователь обязан иметь законное основание для их обработки.

FORMA не использует пользовательские фотографии для рекламы третьих лиц и не передаёт их платёжному провайдеру для проведения оплаты.

9. Передача данных третьим лицам

Оператор вправе привлекать третьих лиц только в объёме, необходимом для работы сервиса и исполнения договора. К таким лицам могут относиться: платёжный провайдер ЮKassa; поставщики авторизации, выбранные пользователем; поставщик AI-технологий; поставщики серверной инфраструктуры и закрытого объектного хранилища; поставщики электронной почты, мессенджеров, включая Telegram при использовании соответствующего канала поддержки, мониторинга и иных технических сервисов, фактически используемых FORMA.

Если в FORMA включена Яндекс Метрика, она загружается только после отдельного разрешения пользователя на необязательную аналитику. В этом случае Яндекс получает сведения о посещениях и выбранных действиях, а также технические сведения браузера в соответствии с правилами своего сервиса. В настроенные FORMA события не включаются фотографии, тексты запросов к AI, пароли и платёжные реквизиты.

Каждому получателю передаётся только тот объём данных, который необходим для соответствующей функции. Получатели обрабатывают данные на основании договора с Оператором, собственной политики и/или иных предусмотренных законом оснований в зависимости от характера взаимодействия.

Персональные данные могут быть предоставлены государственным органам и иным уполномоченным лицам в случаях и порядке, прямо предусмотренных законодательством Российской Федерации.

10. Трансграничная передача

Отдельные внешние сервисы авторизации или искусственного интеллекта могут использовать инфраструктуру за пределами Российской Федерации. Если выполнение пользовательской операции предполагает трансграничную передачу персональных данных, Оператор осуществляет её только при наличии предусмотренного законом основания и после выполнения применимых требований законодательства Российской Федерации.

Оператор учитывает требования статьи 12 Федерального закона № 152-ФЗ и применимые требования к уведомлению уполномоченного органа до начала соответствующей трансграничной передачи.

Если конкретная функция не может быть законно предоставлена без такой передачи, Оператор вправе временно ограничить её до выполнения необходимых требований.

11. Cookies, сессии и локальное хранение браузера

Для работы авторизации, безопасности и сохранения состояния интерфейса FORMA использует технически необходимые cookie и иные данные сессии. Без них отдельные функции аккаунта могут работать некорректно или быть недоступны.

Браузер пользователя также может временно хранить техническое состояние незавершённых действий, например данные, необходимые для безопасного восстановления незавершённого платежа или рабочей сессии.

FORMA отдельно запрашивает разрешение на необязательную аналитику. После разрешения могут использоваться случайный идентификатор браузера, отдельная аналитическая сессия, источник перехода и журнал выбранных действий: посещение разделов, работа с результатом, открытие пополнения и переход к оплате. Этот журнал помогает понять, на каком шаге пользователи испытывают затруднения. Полные адреса страниц с параметрами, содержимое проектов и данные авторизации в такой журнал не записываются.

Выбор можно изменить в настройках аналитики. Отказ останавливает дальнейший сбор необязательных событий в этом браузере и очищает созданные FORMA аналитические идентификаторы. Основные функции сервиса остаются доступны; сведения о выполненных заданиях, балансе и платежах продолжают храниться для исполнения заказа и технического учёта. Технические cookie и согласие с офертой сами по себе не означают разрешение на аналитику или рекламную рассылку.

12. Сроки хранения

Персональные данные хранятся не дольше, чем этого требуют цели обработки, договорные отношения, разрешение претензий и обязанности Оператора по законодательству, если более длительный срок не установлен законом.

Для подробных событий внутреннего аналитического журнала FORMA установлен период хранения 90 дней; просроченные записи удаляются порциями при очередных запусках фоновой очистки. Отзыв разрешения останавливает дальнейший необязательный сбор, но сам по себе не является запросом на удаление ранее сохранённых данных. Порядок обращения с таким запросом приведён ниже. Сроки хранения сведений внешним сервисом аналитики определяются его правилами и настройками счётчика.

Данные аккаунта, проектов и пользовательских материалов могут храниться в течение периода использования сервиса и до их удаления пользователем или Оператором в установленном порядке. После прекращения использования часть технических и договорных сведений может сохраняться в течение срока, необходимого для разрешения претензий, предотвращения злоупотреблений и исполнения требований закона.

Платёжные, бухгалтерские и налоговые документы хранятся в течение сроков, установленных применимым законодательством. Резервные копии могут сохранять удалённые данные до завершения установленного цикла резервного копирования, после чего они заменяются или уничтожаются в обычном порядке.

13. Удаление и прекращение обработки

Пользователь вправе направить запрос на удаление или прекращение обработки персональных данных по адресу info@formakot.ru. Оператор рассматривает запрос и прекращает обработку либо уничтожает данные в случаях и сроки, предусмотренные законодательством.

Удаление данных из пользовательского интерфейса может приводить к прекращению их доступности в аккаунте, однако не требует удаления сведений, которые Оператор обязан хранить по закону, а также технических записей, необходимых для подтверждения платежей, защиты от мошенничества, разрешения споров или безопасности.

Если данные находятся в резервной копии, их использование в обычной работе прекращается, а окончательное удаление происходит по мере плановой ротации резервных копий, если иное не требуется законом.

14. Меры защиты персональных данных

Оператор применяет организационные и технические меры защиты, соответствующие характеру обрабатываемых данных и актуальным рискам: разграничение доступа, серверные сессии, проверку принадлежности пользовательских данных аккаунту, ограничение публичного доступа к хранилищу, защиту платёжных и инфраструктурных секретов, журналирование событий безопасности и резервное копирование.

Доступ к административным функциям и пользовательским материалам ограничивается полномочиями. Секретные ключи внешних сервисов не должны передаваться в браузер пользователя или публиковаться в открытых материалах.

Несмотря на принимаемые меры, ни один способ передачи или хранения данных не обеспечивает абсолютной безопасности. При выявлении инцидента Оператор действует в соответствии с требованиями законодательства и принимает меры по ограничению последствий.

15. Права пользователя

Пользователь вправе получать сведения об обработке своих персональных данных, требовать их уточнения, блокирования или уничтожения при наличии предусмотренных законом оснований, отзывать согласие, когда обработка основана на согласии, а также обжаловать действия Оператора в уполномоченный орган или суд.

Для реализации прав пользователь может обратиться на info@formakot.ru. В обращении рекомендуется указать email аккаунта и суть запроса. Для защиты данных Оператор вправе запросить разумные сведения, необходимые для подтверждения личности заявителя.

Оператор не запрашивает для подтверждения обращения пароль от аккаунта, полный номер банковской карты, CVC/CVV-код или коды из SMS.

16. Данные несовершеннолетних и чувствительная информация

FORMA не предназначена специально для самостоятельного предоставления услуг малолетним пользователям. Если обработка данных несовершеннолетнего требует согласия законного представителя, такое согласие должно быть получено до передачи данных сервису.

Пользователю не следует загружать в FORMA медицинские документы, паспортные данные, сведения о здоровье, политических или религиозных убеждениях и иные специальные категории персональных данных, если это прямо не требуется функциональностью сервиса и отсутствует надлежащее правовое основание.

17. Изменение Политики

Оператор вправе обновлять настоящую Политику при изменении законодательства, архитектуры сервиса, состава используемых технологий или способов обработки данных. Актуальная редакция публикуется на сайте FORMA.

Если изменение существенно влияет на порядок обработки персональных данных, Оператор может дополнительно уведомить пользователя через интерфейс сервиса или по адресу электронной почты, когда это целесообразно и допускается применимыми правилами.

Дата редакции Политики указывается на странице документа. Пользователю рекомендуется периодически знакомиться с актуальной редакцией.

18. Реквизиты Оператора

Индивидуальный предприниматель Алешина Галина Андреевна. ИНН 245009519672. ОГРНИП 311231106800034.

Адрес: г. Краснодар, ул. Зиповская, д. 5. Орган государственной регистрации: Инспекция Федеральной налоговой службы № 4 по г. Краснодару.

Email для обращений по вопросам персональных данных: info@formakot.ru. Сайт: https://formakot.ru.