Политика обработки персональных данных

152-ФЗ «О персональных данных». Версия 0.1 (черновик). Согласована с типовым шаблоном Роскомнадзора; финальная версия — после ревизии юриста.

1. Оператор персональных данных

Оператором персональных данных является ИП [ФИО], ОГРНИП [номер], зарегистрированный в качестве оператора в Реестре операторов, ведущих обработку персональных данных (Роскомнадзор), регистрационный номер [после подачи уведомления].

2. Категории обрабатываемых персональных данных

идентификационные данные: email-адрес;
технические данные: IP-адрес, user-agent, идентификатор сессии;
пользовательский контент: тексты запросов и ответов моделей;
финансовые данные: идентификатор операции у платёжного провайдера, сумма.

Биометрические, специальные категории персональных данных, данные о здоровье, политических взглядах, религиозных убеждениях — не обрабатываются.

3. Правовые основания обработки

согласие субъекта (предоставляется при регистрации);
исполнение договора оказания услуг (публичной оферты);
исполнение требований закона (54-ФЗ — фискальные чеки, 115-ФЗ — антифрод).

4. Локализация и трансграничная передача

Базы данных Оператора с персональными данными граждан РФ размещены на серверах, физически находящихся на территории Российской Федерации (виртуальные машины у российского провайдера Selectel / Timeweb Cloud), что соответствует требованию ч. 5 ст. 18 152-ФЗ.

При использовании языковых моделей, размещённых за пределами РФ (DeepSeek — КНР), текст запроса временно передаётся за рубеж. Такая передача осуществляется только при явно выраженном согласии Пользователя (отдельная галочка в форме регистрации). Уведомление в Роскомнадзор по форме №1 подано [дата].

5. Меры защиты

шифрование канала передачи (TLS 1.3);
шифрование данных на диске (Postgres pgcrypto для чувствительных полей);
разграничение доступа: административный доступ только с whitelisted IP;
журналирование действий администраторов (AuditLog хранится 5 лет);
ежедневное резервное копирование с шифрованием;
политика паролей и физический доступ к оборудованию не применимы (облачная инфраструктура).

6. Сроки обработки

до момента отзыва согласия Пользователя — для большинства данных;
90 дней после последней активности — для содержимого диалогов;
5 лет — для финансовых транзакций (Налоговый кодекс РФ);
30 дней после удаления аккаунта — на анонимизацию всех связанных данных.

7. Права субъектов персональных данных (ст. 14 152-ФЗ)

Пользователь имеет право:

получать сведения об обработке своих данных;
требовать уточнения, блокировки или уничтожения данных;
отозвать согласие на обработку;
обжаловать действия Оператора в Роскомнадзор или в суд.

8. Порядок реализации прав

Запросы направляются на email privacy@getcon.ru или почтой по юридическому адресу. Срок ответа — 10 рабочих дней. Идентификация субъекта — по email-адресу, зарегистрированному в системе.

9. Изменения политики

Оператор вправе вносить изменения в настоящую Политику. О существенных изменениях Пользователи уведомляются по email не менее чем за 14 дней до вступления в силу.