Политика в отношении обработки персональных данных
Документ описывает, какие данные мы собираем, на каких основаниях обрабатываем и какие права есть у Пользователя в соответствии с Федеральным законом №152-ФЗ.
Сервис: outqlo (AI Vision Studio) — сервис генерации изображений товаров с помощью искусственного интеллекта.
Оператор персональных данных: Индивидуальный предприниматель Осипова Наталья Михайловна, ОГРНИП 324547600026055, ИНН 544508151221 (далее — «Оператор», «мы»).
Сайт: outqlo.com (далее — «Сайт», «Сервис»).
1. Общие положения
1.1. Настоящая Политика обработки персональных данных (далее — «Политика») разработана во исполнение требований п.2 ч.1 ст.18.1 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» (далее — «Закон №152-ФЗ») и определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных, предпринимаемые Оператором.
1.2. Оператор ставит своей важнейшей целью и условием осуществления своей деятельности соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
1.3. Действие настоящей Политики распространяется на все персональные данные, обрабатываемые Оператором с использованием средств автоматизации, а также без использования таких средств.
1.4. Политика подлежит изменению, дополнению в случае появления новых законодательных актов и иных регламентирующих документов по обработке и защите персональных данных. Актуальная редакция Политики размещается по адресу: https://outqlo.com/privacy.
2. Основные понятия
Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
Оператор — индивидуальный предприниматель, указанный в преамбуле настоящей Политики, самостоятельно или совместно с другими лицами организующий и (или) осуществляющий обработку персональных данных, а также определяющий цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Пользователь — физическое лицо, зарегистрированное на Сайте Оператора и/или использующее Сервис.
Cookies — небольшой фрагмент данных, отправленный веб-сервером и хранимый на компьютере Пользователя.
3. Сведения об Операторе
| Поле | Значение |
|---|---|
| ФИО | Осипова Наталья Михайловна |
| Статус | Индивидуальный предприниматель |
| ОГРНИП | 324547600026055 |
| ИНН | 544508151221 |
| Электронная почта | fotografer.osipova@yandex.ru |
| Ответственный за организацию обработки ПДн (ст. 22.1 Закона №152-ФЗ) | Осипова Наталья Михайловна (Индивидуальный предприниматель) |
Почтовый адрес для официальной корреспонденции предоставляется по запросу через указанный адрес электронной почты.
4. Цели обработки персональных данных
Оператор обрабатывает персональные данные Пользователей в следующих целях:
- Регистрация и аутентификация Пользователя на Сайте и предоставление доступа к личному кабинету.
- Оказание Пользователю услуг Сервиса: приём загружаемых Пользователем изображений (референсов товаров), генерация изображений с помощью технологий искусственного интеллекта, хранение и предоставление Пользователю результатов генерации.
- Учёт и расчёты по подпискам и пакетам кредитов, включая обмен данными с платёжным агентом для проведения платежей.
- Информирование Пользователя о статусе заказов, изменениях в Сервисе, ответах на обращения.
- Защита прав и законных интересов Оператора и Пользователей, в том числе предотвращение и пресечение неправомерного использования Сервиса.
- Исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации, в том числе налоговым, бухгалтерским и законодательством о персональных данных.
- Улучшение качества Сервиса в обезличенном виде — анализ агрегированной статистики использования.
5. Правовые основания обработки персональных данных
5.1. Обработка персональных данных осуществляется на следующих правовых основаниях (ст. 6 Закона №152-ФЗ):
| Основание | Применимо к |
|---|---|
| Согласие субъекта персональных данных на обработку его персональных данных (п.1 ч.1 ст.6) | Регистрация на Сайте, использование Сервиса, маркетинговые коммуникации (при отдельном согласии) |
| Исполнение договора, стороной которого является субъект персональных данных (п.5 ч.1 ст.6) | Предоставление Сервиса в соответствии с публичной офертой / пользовательским соглашением |
| Достижение целей, предусмотренных международным договором или законом, осуществление возложенных законодательством функций (п.2 ч.1 ст.6) | Налоговый, бухгалтерский учёт; ответы на запросы государственных органов |
| Осуществление прав и законных интересов Оператора при условии, что не нарушаются права и свободы субъекта (п.7 ч.1 ст.6) | Безопасность Сервиса, предотвращение неправомерного использования |
5.2. Согласие на обработку персональных данных предоставляется Пользователем при регистрации на Сайте путём проставления соответствующей отметки и нажатия кнопки регистрации.
6. Категории субъектов персональных данных
Оператор обрабатывает персональные данные следующих категорий субъектов:
- Пользователи Сервиса — физические лица, зарегистрированные на Сайте.
- Лица, обратившиеся с запросами в адрес Оператора, без регистрации на Сайте.
Оператор не осуществляет обработку специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни.
Оператор не использует загружаемые Пользователями изображения для установления личности физических лиц и не осуществляет обработку биометрических персональных данных в целях идентификации субъекта персональных данных.
Пользователю запрещается загружать в Сервис изображения, содержащие узнаваемые лица людей, изображения несовершеннолетних, публичных персон и иные изображения, позволяющие прямо или косвенно идентифицировать человека. Соответствующие ограничения установлены Правилами использования Сервиса.
7. Категории и состав обрабатываемых персональных данных
7.1. Оператор обрабатывает следующие категории персональных данных Пользователей:
| Категория | Состав | Источник получения |
|---|---|---|
| Идентификационные данные | адрес электронной почты, имя пользователя (если указано) | Предоставляются Пользователем при регистрации |
| Технические данные | IP-адрес, информация о браузере (User-Agent), идентификатор сессии, время доступа | Автоматически при использовании Сайта |
| Пользовательский контент | загружаемые Пользователем изображения (референсы товаров), параметры генерации (промпты, стили, выбранные настройки), сгенерированные изображения | Создаётся Пользователем в процессе использования Сервиса |
| Платёжные сведения | сведения о подписке (план, статус, даты), идентификаторы транзакций платёжного агента, суммы платежей | Предоставляются платёжным агентом после совершения платежа |
| Учётные данные | сведения об активности в Сервисе (количество генераций, активные сессии съёмки) | Автоматически в процессе использования Сервиса |
7.2. Оператор НЕ хранит: реквизиты банковских карт, CVV/CVC коды, ПИН-коды. Сведения, необходимые для проведения платежа, передаются платёжному агенту напрямую и не сохраняются в системах Оператора.
7.3. Пароль Пользователя хранится исключительно в виде криптографического хеша. Оператор не имеет технической возможности восстановить пароль в исходном виде.
8. Порядок и условия обработки персональных данных
8.1. Обработка персональных данных Оператором осуществляется следующими способами:
- сбор;
- запись, систематизация;
- хранение;
- уточнение (обновление, изменение);
- извлечение, использование;
- передача (предоставление, доступ) — только указанным в разделе 10 категориям третьих лиц;
- обезличивание;
- блокирование;
- удаление, уничтожение.
8.2. Обработка персональных данных осуществляется как с использованием средств автоматизации, так и без таковых.
8.3. Локализация баз данных персональных данных (ч.5 ст.18 Закона №152-ФЗ). Первичная запись (сбор и систематизация) персональных данных граждан Российской Федерации, а также основное хранение баз данных персональных данных осуществляется с использованием баз данных, расположенных на территории Российской Федерации.
9. Сроки обработки и хранения персональных данных
9.1. Оператор обрабатывает персональные данные в течение срока, необходимого для достижения целей, указанных в разделе 4 настоящей Политики, с учётом следующих минимальных сроков хранения:
| Категория данных | Срок хранения |
|---|---|
| Идентификационные и учётные данные | В течение срока действия учётной записи Пользователя |
| Пользовательский контент | В течение срока действия учётной записи Пользователя, если иное не предусмотрено пользовательским соглашением |
| Данные о платежах (для целей налогового и бухгалтерского учёта) | 5 лет с даты совершения операции (в соответствии с НК РФ и ФЗ «О бухгалтерском учёте») |
| Технические логи (IP, User-Agent) | 90 дней |
9.2. По истечении срока хранения персональные данные подлежат уничтожению, обезличиванию или передаче на хранение в архив в порядке, установленном законодательством Российской Федерации.
9.3. В случае отзыва согласия Пользователем или поступления требования об удалении персональных данных, Оператор прекращает обработку и уничтожает соответствующие персональные данные в срок, не превышающий 30 дней с момента получения такого требования, за исключением случаев, когда обработка должна быть продолжена на иных правовых основаниях (например, налоговый учёт).
10. Передача персональных данных третьим лицам и трансграничная передача
10.1. Оператор передаёт персональные данные Пользователей следующим категориям третьих лиц в следующих целях. Конкретный перечень контрагентов с указанием наименования, страны нахождения и состава передаваемых данных ведётся Оператором во внутреннем перечне поставщиков и предоставляется Пользователю по его запросу в порядке, предусмотренном разделом 12 настоящей Политики.
| Категория получателя | Цель передачи | Состав передаваемых данных | Юрисдикция получателя |
|---|---|---|---|
| Поставщики услуг хостинга и размещения вычислительной инфраструктуры | Размещение инфраструктуры Сервиса | Все данные, обрабатываемые в системе Оператора, в технических целях | Российская Федерация |
| Поставщики услуг облачного хранения данных | Хранение пользовательского контента (загружаемые и генерируемые изображения, файлы) | Загружаемые и генерируемые файлы, метаданные | Российская Федерация |
| Платёжный агент | Проведение платежей по подпискам и пакетам кредитов | Идентификатор Пользователя, адрес электронной почты, сумма и параметры платежа | Российская Федерация |
| Поставщик услуг веб-аналитики | Сбор и анализ обезличенной статистики использования Сайта в целях улучшения качества Сервиса | IP-адрес, User-Agent, идентификаторы сессии, данные о действиях Пользователя на Сайте | Российская Федерация |
| Поставщики услуг искусственного интеллекта (генеративные модели) | Обработка пользовательских промптов и референсных изображений для генерации результата | Текст промпта, выбранные параметры генерации, загружаемые Пользователем референсные изображения | Иностранные государства (см. п. 10.2) |
10.2. Трансграничная передача персональных данных
В целях, указанных в последней строке таблицы п. 10.1 настоящей Политики, Оператор может осуществлять трансграничную передачу персональных данных Пользователя поставщикам услуг искусственного интеллекта, находящимся на территории иностранных государств.
Трансграничная передача осуществляется исключительно для целей обработки пользовательских промптов, параметров генерации и загружаемых Пользователем референсных изображений, необходимых для генерации результата в Сервисе.
Передача персональных данных Пользователя для целей AI-обработки осуществляется при соблюдении следующих условий:
- До начала трансграничной передачи Оператор направляет уведомление о намерении осуществлять трансграничную передачу персональных данных в Роскомнадзор в порядке, установленном ст. 12 Закона №152-ФЗ;
- Оператор ведёт внутренний перечень поставщиков, которым могут передаваться персональные данные, с указанием государства нахождения поставщика, состава передаваемых данных, цели передачи и иных необходимых сведений;
- Состав передаваемых данных минимизирован: передаются только данные, необходимые для генерации результата, включая текст промпта, выбранные параметры генерации и загружаемые Пользователем референсные изображения;
- Данные учётной записи, история платежей, реквизиты платежей и технические логи не передаются поставщикам услуг искусственного интеллекта за пределы Российской Федерации, если такая передача не требуется для оказания услуги и отдельно не указана в настоящей Политике;
- В случаях, когда законодательство Российской Федерации требует получения отдельного согласия Пользователя на трансграничную передачу персональных данных, такая передача осуществляется только после получения соответствующего согласия.
Перечень иностранных государств, в которые осуществляется трансграничная передача персональных данных, а также информация об уведомлении Роскомнадзора предоставляются Пользователю по его запросу в порядке, предусмотренном разделом 12 настоящей Политики.
10.3. Оператор не передаёт персональные данные третьим лицам, кроме случаев, указанных в настоящем разделе или в случаях, прямо предусмотренных законодательством Российской Федерации (в частности, по запросу уполномоченных государственных органов).
11. Меры по обеспечению безопасности персональных данных
11.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных.
11.2. К таким мерам, в частности, относятся:
- Использование защищённых протоколов передачи данных (HTTPS / TLS) между Пользователем и Сервисом;
- Использование защищённых каналов связи между компонентами инфраструктуры Оператора, в том числе при трансграничной передаче;
- Хранение паролей Пользователей в виде криптографических хешей;
- Использование токенов авторизации с ограниченным сроком действия, хранимых в HttpOnly cookies;
- Ограничение доступа к персональным данным узким кругом лиц на основании внутренних регламентов;
- Применение средств антивирусной защиты и контроля доступа;
- Регулярное резервное копирование баз данных;
- Минимизация состава персональных данных, передаваемых третьим лицам, по принципу необходимости и достаточности.
11.3. Оператор не несёт ответственности за неправомерные действия третьих лиц, получивших несанкционированный доступ к учётной записи Пользователя вследствие нарушения Пользователем правил безопасности (передача пароля третьим лицам, использование слабого пароля и т.п.).
12. Права субъектов персональных данных и порядок их реализации
12.1. Пользователь (субъект персональных данных) имеет право:
- получать от Оператора информацию, касающуюся обработки его персональных данных, в том числе содержащую сведения, указанные в ст. 14 Закона №152-ФЗ, включая перечень третьих лиц, которым передаются его персональные данные;
- требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
- отозвать согласие на обработку персональных данных, включая отдельное согласие на трансграничную передачу;
- обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке;
- использовать иные права, предусмотренные законодательством Российской Федерации.
12.2. Запросы и обращения по вопросам обработки персональных данных направляются на электронный адрес fotografer.osipova@yandex.ru. Почтовый адрес для направления официальной корреспонденции предоставляется по запросу.
12.3. Оператор отвечает на запрос Пользователя в течение 30 дней с даты получения запроса в порядке, установленном ст. 20 Закона №152-ФЗ. На требования об уточнении, блокировании или уничтожении данных Оператор действует в течение 7 рабочих дней после подтверждения личности заявителя.
12.4. Для идентификации заявителя Оператор может запросить дополнительные сведения, необходимые для подтверждения того, что запрос исходит от субъекта персональных данных, в отношении которого ведётся обработка.
13. Использование cookies и сервисов веб-аналитики
13.1. Сервис использует технически необходимые cookies для обеспечения работы Сайта и аутентификации Пользователя:
| Назначение | Тип | Срок |
|---|---|---|
| Сессионная аутентификация (access-token) | HttpOnly, Secure | 30 минут |
| Обновление сессии (refresh-token) | HttpOnly, Secure | 30 дней |
13.2. Сервис использует систему веб-аналитики Яндекс Метрика (правообладатель — ООО «Яндекс», Российская Федерация) для сбора обезличенной статистики использования Сайта в целях улучшения качества Сервиса. Яндекс Метрика устанавливает cookies и собирает следующие данные: IP-адрес, информация о браузере и устройстве, источник перехода, действия Пользователя на Сайте, в том числе, при необходимости, запись действий Пользователя посредством функционала «Вебвизор».
13.3. Сервис не осуществляет с использованием Яндекс Метрики обработку специальных категорий персональных данных, не использует Яндекс Метрику для индивидуальной идентификации Пользователей и не передаёт собранные данные третьим лицам, кроме самой системы Яндекс Метрика.
13.4. При первом посещении Сайта Пользователю отображается уведомление о cookies с активным выбором: «Принять все» (даёт согласие на использование аналитических cookies, включая систему веб-аналитики, указанную в п. 13.2) или «Только необходимые» (обрабатываются только технически необходимые cookies из п. 13.1). До момента активного выбора Пользователя аналитические cookies не устанавливаются и соответствующие скрипты веб-аналитики не загружаются. Сделанный выбор сохраняется в локальном хранилище браузера Пользователя.
13.5. Пользователь вправе отозвать согласие на использование аналитических cookies в любой момент путём очистки локального хранилища браузера для домена Сайта — при следующем визите уведомление будет отображено повторно. Дополнительно Пользователь может изменить настройки cookies в браузере или отключить сбор данных системой веб-аналитики с помощью официального блокировщика, размещённого по адресу https://yandex.ru/support/metrica/general/opt-out.html. Отключение технически необходимых cookies может привести к неработоспособности отдельных функций Сайта.
14. Заключительные положения
14.1. Настоящая Политика вступает в силу с момента её утверждения Оператором и опубликования на Сайте.
14.2. Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция размещается на Сайте по адресу, указанному в п.1.4. Дата последнего обновления указывается в начале документа.
14.3. По всем вопросам, связанным с обработкой персональных данных, Пользователь может обратиться к Оператору по контактным данным, указанным в разделе 3 настоящей Политики.
14.4. В отношении персональных данных, обрабатываемых Оператором, применяется законодательство Российской Федерации.