Политика обработки персональных данных

1. Общие положения

Настоящая Политика обработки персональных данных (далее — «Политика») определяет порядок обработки персональных данных и меры по обеспечению их безопасности у Оператора (раздел 2) в связи с предоставлением сервиса OfferHack (далее — «Сервис») по адресу offerhack.tech.

Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Конституцией Российской Федерации, Гражданским кодексом Российской Федерации, иными нормативными актами Российской Федерации.

Политика применяется ко всем персональным данным, обрабатываемым Оператором с использованием средств автоматизации, а также без таковых.

Используя Сервис, Пользователь подтверждает ознакомление с настоящей Политикой. Согласие на обработку персональных данных оформляется отдельным документом — Согласием на обработку персональных данных.

2. Сведения об Операторе

Оператором персональных данных является:

Индивидуальный предприниматель Маслов Павел Викторович
ИНН: 233711456369
ОГРНИП: 326237500225791
Электронная почта: admin@offerhack.tech
Сайт: offerhack.tech

Оператор зарегистрирован в качестве оператора, осуществляющего обработку персональных данных, в Реестре операторов Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).

3. Категории субъектов персональных данных

Оператор обрабатывает персональные данные следующих категорий субъектов:

Пользователи Сервиса — физические лица, прошедшие регистрацию в Сервисе и/или совершившие иные действия по акцепту Договора-оферты;
Посетители Сайта — физические лица, посещающие Сайт без регистрации (в части технических данных и cookies);
Лица, обращающиеся в службу поддержки — физические лица, направляющие обращения по электронной почте или иными доступными каналами;
Третьи лица, данные которых могут содержаться в пользовательских материалах, аудио, изображениях экрана, скриншотах, документах, запросах или ином пользовательском контенте, переданном Пользователем в Сервис. Пользователь обязан не передавать данные третьих лиц без законного основания.

4. Цели обработки персональных данных

Оператор обрабатывает персональные данные в целях:

заключения и исполнения Договора-оферты на оказание услуг доступа к Сервису;
идентификации Пользователя при входе в Личный кабинет и предоставлении доступа к Сервису;
формирования AI-ответов в ответ на запросы Пользователя;
обработки платежей за подписку и формирования чеков об оплате в порядке, установленном применяемым налоговым режимом Оператора;
направления Пользователю служебных уведомлений (подтверждение регистрации, восстановление пароля, информирование о предстоящих списаниях по подписке, об изменениях условий обслуживания);
обработки обращений Пользователя в службу поддержки;
анализа использования Сервиса в статистической, агрегированной и/или псевдонимизированной форме для улучшения качества услуг;
обеспечения безопасности Сервиса, предотвращения мошеннических и иных недобросовестных действий;
учёта использования кредитов, лимитов, тарифов и функций Сервиса;
выявления и предотвращения платёжного фрода, злоупотреблений, мультиаккаунтинга, автоматизированного использования, обхода лимитов, несанкционированного доступа и иных нарушений Договора и Правил пользования;
обработки платёжных споров, возвратов и chargeback-процедур;
диагностики ошибок, crash reports, мониторинга стабильности Сайта и клиентского приложения;
фиксации факта акцепта, согласий, версий юридических документов, уведомлений о подписке, цене и автосписаниях;
направления рекламных и информационных сообщений — при наличии отдельно выраженного согласия Пользователя;
исполнения обязанностей, возложенных на Оператора применимым законодательством.

5. Состав обрабатываемых персональных данных

5.1. Данные, предоставляемые Пользователем

При регистрации: адрес электронной почты, пароль (хранится исключительно в виде криптографического хеша), отображаемое имя или никнейм (по желанию Пользователя).
При обращении в поддержку: содержимое сообщений, прикреплённые файлы.
При использовании Сервиса: содержимое запросов Пользователя к AI, выбранные настройки, информация о предпочтениях.

5.2. Данные, собираемые автоматически

Технические данные устройства: тип и версия операционной системы, тип и версия браузера, разрешение экрана, язык интерфейса, временная зона, идентификаторы устройства.
Данные сетевой активности: IP-адрес, время посещений, маршрут перехода на Сайт, URL-страницы просмотра.
Данные cookies и аналогичных технологий:см. раздел 13.
Данные использования: история обращений к функциям Сервиса, продолжительность сессий, действия в интерфейсе, журналы ошибок.
Данные веб-аналитики (Яндекс.Метрика, Вебвизор): статистические и аналитические сведения о поведении на Сайте — просмотренные страницы, источники переходов, движения курсора, прокрутка и клики; могут включать псевдонимизированные идентификаторы. Базовая статистика собирается с момента посещения; запись действий (Вебвизор) — только после согласия Пользователя. Подробнее — раздел 13.2.

5.3. Платёжные данные

При оплате подписки Оператор получает от платёжного провайдера ООО НКО «ЮMoney» (сервис «ЮKassa») ограниченный набор данных: идентификатор транзакции, сумма, дата, последние четыре цифры платёжной карты, тип карты, страна выпуска. Полные данные платёжной карты Оператором не обрабатываются и не хранятся — они обрабатываются напрямую платёжным провайдером в соответствии со стандартом безопасности PCI DSS.

5.4. Запись голоса и изображений экрана

В рамках отдельных функций Сервиса (голосовой ввод вопросов, анализ скриншотов задач и т.п.) Оператор может обрабатывать записи голоса Пользователя и изображения его экрана. Указанные данные обрабатываются исключительно для целей формирования AI-ответов.

Оператор не использует голос, изображения экрана, лицо, изображение человека или иные данные для идентификации или аутентификации личности, не создаёт голосовые слепки, биометрические шаблоны и профили идентификации. По указанной причине обработка голоса в составе пользовательских запросов не образует обработку биометрических персональных данных в смысле статьи 11 Федерального закона № 152-ФЗ.

Сроки хранения записей: сырые аудиофрагменты — до завершения транскрибации, но не более 24 часов; сырые изображения экрана и скриншоты — до завершения обработки и формирования AI-ответа, но не более 30 дней; полученные транскрипты и AI-ответы — в течение срока хранения истории диалогов или до удаления Пользователем.

5.5. AI-ответы и пользовательские материалы

Оператор обрабатывает также:

содержимое AI-ответов, историю диалогов, транскрипты, результаты обработки аудио, изображений и скриншотов;
пользовательские материалы: файлы, документы, конспекты, резюме, легенды, системные промпты, пользовательский контекст, изображения, скриншоты, аудиофайлы, текстовые материалы и иные данные, загружаемые или передаваемые Пользователем в Сервис;
данные подписки: тариф, статус подписки, даты списаний и автопродления, факт отмены автопродления, удаления платёжного средства, направленные уведомления о цене и списаниях;
данные клиентского приложения: версия приложения, операционная система и её версия, crash-logs, диагностические события, состояние выданных приложением разрешений (микрофон, экран и т.п.), ошибки overlay/hotkeys/ обработки аудио и скриншотов;
согласия и версии документов: версия Договора-оферты, Политики, Согласия на обработку персональных данных и иных юридических документов, дата и время согласия/ акцепта, IP-адрес и user-agent в момент акцепта, события уведомлений о существенных изменениях.

5.6. Антифрод-данные и сведения о платежах

Для предотвращения мошенничества, платёжного фрода, обхода лимитов, мультиаккаунтинга, автоматизированного использования и иных нарушений Договора Оператор обрабатывает технические признаки и сигналы, включая:

risk-score, anti-abuse signals, признаки подозрительной активности, признаки мультиаккаунтинга и автоматизации;
частоту запросов, расход кредитов, события входа и выхода, события безопасности;
идентификаторы устройства, параметры сессии, подозрительные IP, гео-сигналы;
платёжные события, сведения о платёжных спорах и chargeback, историю блокировок и санкционных списков.

5.7. Категории данных, которые Оператор не запрашивает

Оператор не запрашивает целенаправленно и не требует предоставления специальных категорий персональных данных (расовая или национальная принадлежность, политические взгляды, религиозные убеждения, состояние здоровья, интимная жизнь), биометрических персональных данных и персональных данных лиц, не достигших 18 (восемнадцати) лет.

Пользователю запрещается передавать такие данные через Сервис, если это не требуется для использования Сервиса и у Пользователя нет законного основания. Если такие данные переданы Пользователем по собственной инициативе в составе запроса или пользовательского материала, они обрабатываются исключительно в рамках выполнения соответствующего запроса и подлежат удалению в общем порядке.

6. Правовые основания обработки

Оператор обрабатывает персональные данные на следующих правовых основаниях, предусмотренных частью 1 статьи 6 Федерального закона № 152-ФЗ:

Согласие субъекта (пункт 1) — выраженное в форме Согласия на обработку персональных данных;
Исполнение договора (пункт 5) — Договора-оферты, стороной которого является Пользователь;
Исполнение обязанностей оператора, возложенных законодательством (пункт 2) — налоговое законодательство, законодательство о бухгалтерском учёте;
Осуществление прав и законных интересов оператора (пункт 7) — обеспечение безопасности Сервиса, предотвращение мошеннических действий, улучшение качества услуг — при условии, что эти интересы не нарушают прав и свобод субъекта персональных данных.

Указанные материалы могут содержать персональные данные самого Пользователя или третьих лиц, если Пользователь самостоятельно включил их в запрос или материал. Пользователь обязан не передавать в Сервис данные третьих лиц при отсутствии законного основания и не передавать охраняемую законом тайну.

7. Способы и сроки обработки

Обработка персональных данных осуществляется смешанным способом — с использованием средств автоматизации (программных и аппаратных) и без использования таковых.

Оператор совершает следующие действия с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.

Сроки хранения данных:

Сырые аудиофрагменты — до завершения транскрибации, но не более 24 часов.
Сырые изображения экрана и скриншоты — до завершения обработки и формирования AI-ответа, но не более 30 дней.
AI-ответы, транскрипты и история диалогов — в течение срока существования учётной записи или до удаления Пользователем соответствующих диалогов.
Пользовательские материалы (файлы, конспекты, резюме, легенды, системные промпты, пользовательский контекст) — в течение срока существования учётной записи или до удаления Пользователем.
Данные учётной записи — в течение всего срока существования учётной записи. После удаления учётной записи — уничтожение в течение 30 (тридцати) календарных дней.
Данные о платежах — 5 (пять) лет с момента совершения операции (для целей налогового законодательства).
Антифрод- и chargeback-данные — до 3 (трёх) лет, если хранение необходимо для рассмотрения платёжных споров, защиты прав Оператора и обеспечения безопасности.
Согласия, версии юридических документов и сведения об акцепте — в течение срока действия Договора и 3 (трёх) лет после его прекращения.
Данные обращений в поддержку — 3 (три) года с момента закрытия обращения.
Журналы доступа и логи безопасности — 1 (один) год.
Обезличенные аналитические данные, не позволяющие идентифицировать субъекта, могут храниться бессрочно. Псевдонимизированные аналитические данные, связанные с идентификатором пользователя или устройства, хранятся не дольше срока существования учётной записи и 12 месяцев после её удаления.

8. Передача персональных данных третьим лицам

Оператор не продаёт персональные данные.Передача персональных данных третьим лицам осуществляется исключительно в случаях, предусмотренных настоящим разделом.

8.1. Поставщики услуг

Облачная инфраструктура: Yandex Cloud / VK Cloud / Selectel / иной российский провайдер — размещение серверов и баз данных на территории Российской Федерации.
Платёжный провайдер: ООО НКО «ЮMoney» (сервис «ЮKassa») — обработка платежей за подписку.
Федеральная налоговая служба России — формирование чеков об оплате в порядке, установленном применяемым Оператором налоговым режимом.
Сервисы доставки электронной почты: для направления служебных и иных уведомлений Пользователю.
AI-провайдеры и провайдеры обработки данных: поставщики больших языковых моделей, мультимодальных моделей, моделей распознавания речи (транскрибации), обработки изображений и скриншотов и иных AI-инструментов — формирование AI-ответов и выполнение функциональных возможностей Сервиса.
Сервисы мониторинга, логирования и продуктовой аналитики: сервисы сбора ошибок (error monitoring), логирования, метрик, продуктовой аналитики — обеспечение стабильности, безопасности и улучшения качества Сервиса.
Сервисы доставки уведомлений: сервисы доставки электронной почты и иных уведомлений — направление служебных, платёжных, безопасностных и иных уведомлений Пользователю.
CDN, WAF, хостинг и сетевые провайдеры: обеспечение работы Сайта и Сервиса, защита от атак, доставка контента.
Сервис веб-аналитики: ООО «ЯНДЕКС» (сервис «Яндекс.Метрика», включая функцию «Вебвизор») — анализ посещаемости и поведения Пользователей на Сайте в статистической и/или псевдонимизированной форме. Данные обрабатываются на серверах на территории РФ; подробнее — раздел 13.2.

Конкретный состав поставщиков в пределах указанных категорий может изменяться. Изменение состава поставщиков в пределах указанных категорий и целей не требует отдельного уведомления Пользователя и не является изменением Политики.

Передача данных таким поставщикам осуществляется на основании договоров, обязывающих их соблюдать конфиденциальность и обрабатывать данные исключительно в целях, согласованных с Оператором.

8.2. Передача в государственные органы

Оператор раскрывает персональные данные уполномоченным государственным органам Российской Федерации в случаях и порядке, предусмотренных применимым законодательством, в том числе по обоснованным запросам правоохранительных, налоговых, судебных и иных уполномоченных органов.

8.3. Передача при реорганизации

В случае реорганизации Оператора, продажи бизнеса или активов персональные данные могут быть переданы правопреемнику с предварительным уведомлением Пользователя по электронной почте не менее чем за 30 (тридцать) календарных дней до даты передачи.

9. Трансграничная передача персональных данных

Оператор может осуществлять трансграничную передачу персональных данных в иностранные государства, в которых расположены AI-провайдеры, провайдеры обработки данных, мониторинга, логирования, продуктовой аналитики, CDN/WAF, хостинга и иные привлекаемые Оператором подрядчики.

Трансграничная передача персональных данных осуществляется после направления Оператором соответствующего уведомления в Роскомнадзор в порядке части 4 статьи 12 Федерального закона № 152-ФЗ. При расширении состава иностранных получателей Оператор актуализирует уведомление до начала такой передачи.

Объём передаваемых данных при трансграничной передаче минимизируется: AI-провайдерам не передаются учётные идентификаторы Пользователя (например, email аккаунта), если это не требуется для работы Сервиса. При этом содержимое запросов, файлов, аудио, изображений или пользовательского контекста может содержать персональные данные, если Пользователь самостоятельно включил их в запрос.

Условия обработки данных AI-провайдерами и иными иностранными подрядчиками зависят от конкретного провайдера и тарифа. Оператор использует коммерческие/API-режимы обработки там, где это доступно, и стремится выбирать провайдеров, которые не используют данные API-запросов для обучения моделей без согласия клиента. Актуальные условия публикуются в документации соответствующего провайдера.

10. Локализация баз данных на территории РФ

В соответствии с частью 5 статьи 18 Федерального закона № 152-ФЗ и Федеральным законом от 21.07.2014 № 242-ФЗ Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

Физическое размещение серверов и баз данных, содержащих персональные данные граждан Российской Федерации, осуществляется в дата-центрах российских облачных провайдеров на территории Российской Федерации.

11. Меры защиты персональных данных

Оператор применяет необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий, в том числе:

назначение лица, ответственного за организацию обработки персональных данных;
использование шифрования передаваемых данных (HTTPS/TLS) и хранения паролей в виде криптографических хешей;
разграничение прав доступа к информационным системам обработки персональных данных;
ограничение доступа сотрудников и подрядчиков к персональным данным по принципу минимально необходимого доступа;
журналирование административного доступа к пользовательским данным;
двухфакторная аутентификация для административных аккаунтов, где технически применимо;
шифрование чувствительных пользовательских материалов при хранении, где технически применимо;
автоматическое удаление сырых аудиофрагментов и изображений экрана по истечении установленных сроков (раздел 7);
контроль доступа к API-ключам, секретам и токенам;
регулярное обновление зависимостей, мониторинг и устранение уязвимостей;
регулярное резервное копирование данных и тестирование процедур восстановления;
внутренний порядок реагирования на инциденты информационной безопасности (incident response).

В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов персональных данных, Оператор уведомляет Роскомнадзор в течение 24 часов с момента обнаружения такого факта в соответствии с частью 3.1 статьи 21 Федерального закона № 152-ФЗ. Оператор также направляет сведения о результатах внутреннего расследования инцидента в течение 72 часов в случаях, предусмотренных законодательством.

Несмотря на принимаемые Оператором меры, передача данных в сети Интернет не может быть гарантированно безопасной; Пользователь принимает на себя риск использования сети Интернет для передачи данных Оператору.

12. Права субъекта персональных данных

Пользователь как субъект персональных данных вправе:

Получать информацию о факте обработки своих персональных данных Оператором, целях и способах их обработки, сроках хранения, перечне обрабатываемых данных, источниках получения данных (статьи 14, 18 № 152-ФЗ);
Требовать уточнения своих персональных данных, их блокирования или уничтожения, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
Отозвать согласие на обработку персональных данных, направив соответствующее уведомление Оператору;
Возражать против обработки персональных данных в целях продвижения товаров, работ, услуг на рынке (директ-маркетинг);
Возражать против принятия решений, порождающих юридические последствия, на основании исключительно автоматизированной обработки персональных данных;
Обжаловать действия или бездействие Оператора в Роскомнадзор (federal.rkn.gov.ru) и/или в суд.

Для реализации указанных прав Пользователь направляет письменное обращение на адрес электронной почты Оператора: admin@offerhack.tech.

Срок ответа Оператора — не позднее 10 (десяти) рабочих дней с момента получения обращения (с возможностью продления до 5 рабочих дней по основаниям, предусмотренным частью 8 статьи 14 № 152-ФЗ). Уничтожение данных по требованию субъекта производится в течение 30 (тридцати) календарных дней.

Перед предоставлением сведений или совершением действий по обращению субъекта Оператор вправе провести разумную проверку личности заявителя, в том числе запросить дополнительные данные, подтверждающие принадлежность аккаунта.

Оператор вправе не раскрывать технические детали антифрод-проверок, risk-score, anti-abuse signals, внутренних правил безопасности, логов и алгоритмов выявления нарушений и иных сведений, если раскрытие может создать угрозу безопасности Сервиса, способствовать обходу ограничений, нарушить права третьих лиц или раскрыть конфиденциальные методы защиты Сервиса. Указанное ограничение не отменяет иных прав субъекта персональных данных, предусмотренных законом.

13. Cookies и аналогичные технологии

Сайт использует файлы cookies и аналогичные технологии (далее совместно — «cookies») для обеспечения работы Сайта и улучшения пользовательского опыта.

13.1. Категории используемых cookies

Строго необходимые cookies — обеспечивают базовую работу Сайта (аутентификация, сохранение сессии, корзина настроек). Не могут быть отключены — без них Сайт не функционирует.
Функциональные cookies — запоминают предпочтения Пользователя (выбранный язык, тема, настройки интерфейса). Улучшают удобство использования Сайта.
Аналитические cookies — позволяют Оператору анализировать использование Сайта в статистической и/или псевдонимизированной форме для улучшения качества услуг. Могут включать сервисы Яндекс.Метрики.

Оператор не использует cookies для целей таргетированной рекламы и не передаёт данные cookies в рекламные сети.

13.2. Яндекс.Метрика и Вебвизор

Для анализа посещаемости и поведения Пользователей на Сайте Оператор использует сервис веб-аналитики Яндекс.Метрика, предоставляемый ООО «ЯНДЕКС» (ОГРН 1027700229193, 119021, г. Москва, ул. Льва Толстого, д. 16). ООО «ЯНДЕКС» выступает в качестве лица, обрабатывающего персональные данные по поручению Оператора.

Яндекс.Метрика собирает в статистической и/или псевдонимизированной форме:

данные о посещениях — просмотренные страницы, источники переходов, длительность сессии;
технические данные устройства и браузера, IP-адрес, приблизительное местоположение (по IP);
действия Пользователя на странице — движения курсора, прокрутку, клики (функция «Вебвизор»).

Вебвизор — функция Яндекс.Метрики, которая записывает действия Пользователя на странице для последующего воспроизведения Оператором в псевдонимизированной форме с целью улучшения юзабилити Сайта. Содержимое полей форм, содержащих персональные и конфиденциальные данные (адреса электронной почты, номера телефонов, платёжные данные), не записывается и автоматически заменяется на символы «звёздочки». Поля ввода пароля не записываются ни при каких условиях.

Данные обрабатываются Яндекс.Метрикой на серверах, расположенных на территории Российской Федерации, в соответствии с Политикой конфиденциальности Яндекса и Условиями использования сервиса Яндекс.Метрика.

Сбор данных Яндекс.Метрикой осуществляется на двух уровнях:

Базовая статистика (просмотренные страницы, источники переходов, технические данные устройства и браузера, IP-адрес, карта кликов) собирается в статистической, агрегированной и/или псевдонимизированной форме с момента начала использования Сайта — на основании информирования Пользователя посредством уведомления (баннера cookies), отображаемого при первом посещении.
Запись действий Пользователя функцией «Вебвизор» (движения курсора, прокрутка, клики, поведение в интерфейсе) производится только после получения явного согласия Пользователя — путём нажатия кнопки «Принять» в баннере cookies. До выражения такого согласия функция «Вебвизор» не активируется и запись действий не ведётся.

Пользователь вправе отказаться от использования аналитических cookies и отозвать ранее данное согласие, отключив cookies в настройках браузера либо очистив файлы cookies и локальное хранилище (localStorage).

13.3. Управление cookies

Нажатием кнопки «Принять» в баннере cookies Пользователь выражает согласие на расширенный сбор данных, включающий запись действий функцией «Вебвизор». Базовая аналитика и строго необходимые cookies используются на основании законного интереса Оператора и информирования Пользователя. Пользователь может в любое время:

настроить или отключить cookies в настройках своего браузера (раздел «Конфиденциальность» или аналогичный);
удалить ранее установленные cookies через настройки браузера;
включить режим приватного просмотра, при котором cookies удаляются по окончании сессии.

Отключение строго необходимых cookies может привести к невозможности входа в Личный кабинет и использования Сервиса.

14. Несовершеннолетние пользователи

Сервис не предназначен для использования лицами, не достигшими возраста 18 (восемнадцати) лет. Оператор не запрашивает целенаправленно и не обрабатывает персональные данные таких лиц.

Если Оператор узнаёт о том, что им были собраны персональные данные лица, не достигшего 18 лет, такие данные подлежат немедленному уничтожению.

Законные представители несовершеннолетних, обнаружившие, что их ребёнок предоставил Оператору персональные данные без их согласия, могут связаться с Оператором по адресу admin@offerhack.tech для удаления таких данных.

15. Изменение Политики

Оператор вправе изменять настоящую Политику в одностороннем порядке в связи с изменением законодательства, развитием Сервиса или по иным причинам. Новая редакция Политики публикуется на Сайте по постоянной ссылке.

О существенных изменениях Политики Оператор уведомляет Пользователей по электронной почте или путём размещения уведомления в интерфейсе Сервиса не менее чем за 14 (четырнадцать) календарных дней до вступления изменений в силу.

16. Контактная информация

Все обращения, связанные с обработкой персональных данных (запросы, требования, отзыв согласия, жалобы), направляются Оператору на адрес электронной почты: admin@offerhack.tech.

Также Пользователь вправе обратиться в уполномоченный орган по защите прав субъектов персональных данных — Роскомнадзор:

Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор)
Адрес: 109074, г. Москва, Китайгородский проезд, д. 7, стр. 2
Сайт: rkn.gov.ru