Обработка персональных данных на Сервисе Svaya

1. Оператор

1.1Общество с ограниченной ответственностью «БизнесМатика», ОГРН 1127847409656, ИНН 7810878325, КПП 780401001. Оператор находится по адресу 195267, г. Санкт-Петербург, муниципальный округ Прометей, проспект Просвещения, д. 85, литера А, помещ. 279.

1.2За организацию обработки персональных данных отвечает Федотова Е. С., ответственная за организацию обработки персональных данных Связаться с оператором можно по адресу info@bm-it.ru или телефону +7 (963) 309-21-05.

1.3Документ действует в отношении Сервиса по адресу svaya.bm-it.ru. Обработка на сайте bm-it.ru описана отдельной политикой оператора.

2. Чьи данные обрабатываются

2.1Посетителя Сервиса. Это тот же человек, которого оферта называет Пользователем. Часть данных из п. 3.3 обрабатывается и до регистрации, пока человек просто открыл сайт или заполняет форму.

2.2Людей, чьи персональные данные оказались внутри загруженных посетителем файлов (сотрудников, контрагентов и клиентов его организации). Они Сервисом не пользуются и о загрузке могут не знать. Порядок обращения для них описан в разделе 8.

3. Какие данные обрабатываются

3.1Адрес электронной почты, указанный при регистрации, и домен этого адреса.

3.2Отрасль, выбранная посетителем при первом входе.

3.3Технические данные и признаки защиты от злоупотреблений. Это IP-адрес и подсеть, признаки браузера и устройства, поведенческие признаки (частота действий, шаблоны регистрации), техническая метка браузера, держащая вход. Такие данные признаются персональными (определение Верховного Суда РФ № 5-КГ21-195 от 02.06.2022).

3.4События использования Сервиса. Это то, какие технические решения открывались, какие запуски были, на каком шаге посетитель остановился. Без содержимого данных.

3.5Содержимое загруженных файлов в том объеме, в каком его загрузил посетитель, включая персональные данные третьих лиц, если они там есть (фамилии и имена, телефоны, адреса, реквизиты). Сервис ищет их автоматически и найденное маскирует перед передачей внешнему провайдеру языковой модели (п. 6.1). Поиск может пропустить непривычную запись, полноту оператор не гарантирует (п. 6.2).

3.6Переписка с поддержкой Сервиса и заявка на пилот. У заявки нет полей для текста ни в кабинете, ни на публичной форме. Ее содержание - это адрес почты, по которому мы отвечаем, и время подачи. Публичную форму заполняет человек, у которого аккаунта может не быть вовсе, и тогда кроме адреса о нем не известно ничего. Запрос пробного доступа к продукту «Svaya.Доступ к ИИ-моделям» содержит имя и адрес почты, а по желанию заявителя телефон и название компании. Эти данные нужны, чтобы отправить ссылку-приглашение и связаться, если письмо не дошло.

3.7Диалог со встроенным помощником Сервиса - это вопросы посетителя и ответы помощника. Найденные в вопросе персональные данные заменяются метками до передачи внешнему провайдеру языковой модели, и в диалоге сохраняется текст уже с заменами (п. 6.1).

4. Цели и правовые основания

4.1Оператор дает доступ к Сервису и исполняет условия оценочного использования на двух основаниях. Это согласие субъекта и заключение договора по его инициативе (п. 1 и п. 5 ч. 1 ст. 6 152-ФЗ).

4.2Показ результата на данных посетителя идет на основании его согласия. В отношении персональных данных третьих лиц внутри загруженных файлов оператор действует по поручению посетителя (ч. 3 ст. 6 152-ФЗ). Правовое основание передачи обеспечивает посетитель, что он и подтверждает отметкой при загрузке.

4.3Защита от злоупотреблений, учет израсходованных запусков и токенов, удержание Сервиса в рабочем состоянии опираются на законный интерес оператора (п. 7 ч. 1 ст. 6 152-ФЗ).

4.4Связь по интересу к пилоту идет на основании согласия субъекта, и на публичной форме заявки это согласие дается отдельной отметкой. Менеджеру оператора на том же основании передаются контекст интереса и диалог со встроенным помощником Сервиса, если они есть. У заявки с публичной формы ни контекста работы, ни диалога нет, и менеджер получает только адрес и время. По запросу пробного доступа оператор платформы получает имя, адрес, время и, если они указаны, телефон и название компании, и на том же основании согласия отправляет на адрес ссылку-приглашение. Содержимое загруженных файлов сотрудникам отдела продаж не передается.

4.5Обеспечение безопасности и разбор инцидентов входят в обязанности оператора по законодательству о персональных данных.

4.6Рекламной рассылки на Сервисе нет. Отдельного согласия на нее здесь не запрашивается и не подразумевается.

5. Сроки хранения и границы удаления

5.1Загруженные файлы, распознанный из них текст, результаты запусков, настройки демонстрационной организации и диалог со встроенным помощником Сервиса хранятся 30 суток либо до нажатия кнопки «Удалить все сейчас».

5.2Аккаунт и адрес почты хранятся до удаления аккаунта посетителем либо до истечения срока, названного здесь же. Если в аккаунт не входили дольше 6 месяцев, Сервис присылает на этот же адрес письмо с предупреждением, а через 30 суток после письма удаляет аккаунт вместе со всем, что перечислено в пункте 5.1. Вход в аккаунт отменяет удаление и начинает отсчет шести месяцев заново. Отдельного письма о том, что удаление отменено, Сервис не присылает.

5.3Журнал доступа и действий хранится 6 месяцев.

5.4События использования Сервиса хранятся 6 месяцев. Сюда же входит счетчик заходов на публичные страницы. Он считает запросы страниц по дате и адресу самой страницы, без сведений о том, кто их открыл.

5.5Признаки защиты от злоупотреблений хранятся 6 месяцев.

5.6Контекст интереса, переданный менеджеру, и переписка хранятся не дольше 5 лет после последнего взаимодействия, как это установлено общей политикой оператора. Диалог со встроенным помощником Сервиса под этот срок не подпадает, его срок задан п. 5.1.

5.7Кнопка в кабинете удаляет то, что вы загрузили, и то, что из этого получилось (файлы, распознанный текст, результаты запусков, настройки демонстрационной организации), а также диалог со встроенным помощником Сервиса. Служебные записи из пп. 5.3-5.6 она не удаляет, у них свои сроки. Чтобы удалить и их, напишите на почту оператора.

5.8Заявка с публичной формы хранится 30 суток, как и остальные данные посетителя. Аккаунта у нее может не быть вовсе, поэтому кнопка в кабинете ее не касается. Чтобы удалить заявку раньше срока, напишите на почту оператора. Переписка, которая начнется по заявке, хранится по сроку из п. 5.6.

6. Кому передаются данные

6.1Внешнему провайдеру языковой модели уходит только маскированный текст запроса, где обнаруженные персональные данные заменяются метками до отправки. Обратная подстановка выполняется на стороне оператора. Используемые провайдеры размещены в Российской Федерации. Провайдер, размещенный за пределами Российской Федерации, используется в двух случаях. Это явный выбор Пользователем иностранной языковой модели на странице запуска и диалог со встроенным помощником Сервиса, который работает на иностранной языковой модели. Правило маскирования действует в обоих случаях. Какая модель выбрана для запуска, видно в момент выбора и в разборе каждого запуска.

6.2Если поиск персональных данных что-то пропустил, переданный текст отозвать уже нельзя. Оператор уменьшает вероятность пропуска правилом «сомневаешься, маскируй», но не сводит ее к нулю.

6.3Во внешние справочные источники Сервис сегодня не ходит вовсе. Проверка контрагента идет по выгрузке реестров, загруженной оператором заранее, и дата этой выгрузки показана на экране проверки. Если такой выход появится, он будет описан здесь до того, как заработает.

6.4Больше никому. В отличие от сайта bm-it.ru, Сервис не использует внешние счетчики посещаемости. События использования собираются собственными средствами Сервиса.

6.5Базы данных, в которых обрабатываются персональные данные, находятся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). Персональные данные за границу не передаются: иностранному провайдеру (когда Пользователь выбрал иностранную языковую модель или написал встроенному помощнику Сервиса) уходит только маскированный текст без обнаруженных персональных данных (п. 6.1). Поиск персональных данных автоматический, и если он что-то пропустил, применяется п. 6.2.

6.6Сотрудники оператора. Минимальный круг эксплуатации получает доступ для отладки и разбора злоупотреблений, с записью действий в журнал.

7. Права субъекта персональных данных

7.1Получить сведения об обработке, потребовать уточнения, блокирования или уничтожения данных, отозвать согласие, обжаловать действия оператора в Роскомнадзор или в суд (ст. 14, 20, 21 152-ФЗ).

7.2Отзыв согласия делается письмом на info@bm-it.ru с пометкой «Отзыв согласия на обработку персональных данных». Оператор прекращает обработку в срок не более 10 рабочих дней, если нет иных законных оснований для ее продолжения.

7.3Часть прав исполняется без письма и сразу. Кабинет показывает состав загруженного и удаляет его кнопкой. Это не заменяет обращение, а избавляет от него в простом случае.

8. Если ваши данные загрузил кто-то другой

8.1Посетитель, загружая файл, подтверждает наличие правового основания на передачу его содержимого. В отношении этого содержимого оператор действует по поручению посетителя. Но обращение субъекта оператор принимает и исполняет сам, не отсылая человека к загрузившему.

8.2Обращение направляется на info@bm-it.ru с пометкой «Сервис Svaya, обращение субъекта персональных данных».

8.3Чтобы данные можно было найти, укажите фамилию, имя и отчество, адрес почты или телефон, по возможности название организации, которая могла загрузить документ, и примерный период. Без опознавательных признаков поиск в чужих загрузках невозможен.

8.4Получение обращения оператор подтверждает в течение 3 рабочих дней.

8.5Ответ по существу и исполнение оператор дает в срок не более 10 рабочих дней со дня получения обращения.

8.6Что делает оператор. Находит загрузки по указанным признакам, удаляет их вместе с распознанным текстом и результатами (независимо от того, нажал ли кнопку удаления загрузивший), и сообщает заявителю результат. Загрузивший уведомляется об удалении.

8.7Чего оператор сделать не может. Отозвать текст, уже переданный внешнему провайдеру в виде с заменами. Об этом сказано в п. 6.2, и это одна из причин ограничений на загрузку.

9. Чем защищены данные

9.1Канал связи шифруется.

9.2Резервные копии шифруются.

9.3Администраторы входят по двухфакторной аутентификации.

9.4Сеть разделена на зоны, доступ между ними выдается под задачу. У публичной части Сервиса нет ни учетных данных к внутренним базам данных, ни доступа к ним.

9.5Операции записываются в журнал, журнал разбирается не реже раза в месяц и при каждом подозрении на инцидент.

9.6Программное обеспечение обновляется.

9.7Каждый загружаемый файл проверяется на входе: отсекаются исполняемые файлы и скрипты, а также файлы с известной вредоносной сигнатурой. Это не антивирусный движок с обновляемыми базами - такой ставится вместе с рабочей версией на ваших серверах.

9.8Файл принимается размером до 20 МБ, только в объявленных форматах и без вложенных архивов.

9.9Файл разбирается в отдельном процессе, без доступа к чужим данным.

9.10Персональные данные маскируются до передачи внешнему провайдеру.

9.11Действуют дневные лимиты обработки.

9.12Пункты 9.1-9.6 - это общие меры оператора, пункты 9.7-9.11 добавлены на самом Сервисе.

10. Что происходит при утечке

10.1При обнаружении несанкционированного доступа к персональным данным оператор в течение 24 часов уведомляет Роскомнадзор и в тот же срок закрывает доступ, через который прошел инцидент. В течение 72 часов оператор сообщает Роскомнадзору результаты внутреннего расследования. Оба срока установлены ч. 3.1 ст. 21 152-ФЗ. Затронутых субъектов оператор уведомляет на известные ему адреса без промедления, как только установит круг затронутых.

11. Техническая метка в браузере

11.1Сервис ставит в браузере одну техническую метку - куку входа. Она держит вход и хранится на устройстве до 90 дней; закрытие браузера её не удаляет. Если вы возвращаетесь, когда до конца срока осталось меньше 45 дней, метка выдаётся заново на полные 90 дней. Метка удаляется, когда вы выходите из аккаунта; после смены пароля прежняя метка перестаёт открывать кабинет. Рекламных и внешних аналитических меток нет. Без этой метки вход не работает.

12. Подключённые хранилища документов: Google Drive, Яндекс Диск, NextCloud

12.1Администратор организации может подключить к Сервису хранилище документов своей организации: Google Drive, Яндекс Диск или NextCloud. Он же выбирает, какие папки или диски Сервис читает. Доступ только на чтение: файлы в хранилище Сервис не создаёт, не изменяет и не удаляет. У Google для этого запрашивается право «просмотр и скачивание файлов Google Диска» (область доступа drive.readonly), у Яндекса - чтение Диска, у NextCloud используется пароль приложения. Пока хранилище не подключено, Сервис к нему не обращается.

12.2Из выбранных папок Сервис читает содержимое файлов и сведения о них (название, путь, дату изменения, автора, настройки доступа), а также журнал изменений хранилища, чтобы обновлять свою копию. Цель одна: построить поисковый указатель по документам организации и отвечать ее сотрудникам на вопросы по этим документам в чате. Кому из сотрудников какие документы видны, задает администратор организации в кабинете, папками и группами. Права, настроенные в самом хранилище, на это не влияют и в Сервис не переносятся.

12.3Копии текстов, указатель и служебные сведения хранятся на серверах оператора на территории Российской Федерации (п. 6.5). Признак доступа к хранилищу, выданный поставщиком, хранится в зашифрованном виде под ключом организации и используется только для чтения выбранных папок и обновления копии.

12.4Действует раздел 6 целиком. Внешнему провайдеру языковой модели уходят только фрагменты текста, нужные для ответа на конкретный вопрос, после маскирования персональных данных (п. 6.1). Данные из подключенных хранилищ оператор не продает, не передает рекламным сетям и брокерам данных, не использует для показа рекламы и для обучения или улучшения языковых моделей и иных моделей машинного обучения. Сотрудники оператора эти данные не читают, кроме разбора инцидентов безопасности и обращений самой организации, с записью действий в журнал (п. 6.6).

12.5Администратор отключает хранилище в кабинете в любой момент. При отключении Сервис стирает учетные данные хранилища и признак доступа; отозвать доступ можно и на стороне поставщика: у Google на странице https://myaccount.google.com/permissions, у Яндекса в настройках безопасности Яндекс ID. Что делать с уже загруженными копиями документов, администратор выбирает при отключении: удалить их из Сервиса или оставить сотрудникам организации. Оставленные копии удаляются администратором в кабинете; новые данные из хранилища после отключения не читаются.

12.6Использование и передача в любое другое приложение сведений, полученных из Google API, подчиняются Политике Google в отношении пользовательских данных для API-сервисов (Google API Services User Data Policy), включая требования об ограниченном использовании (Limited Use): https://developers.google.com/terms/api-services-user-data-policy#additional_requirements_for_specific_api_scopes. То же на английском, как того требует Google: Svaya's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

13. Как меняется этот документ

13.1Дата редакции стоит вверху страницы. Документ действует до замены новой редакцией, актуальный текст лежит на этой странице.

Google user data (English version of section 12)

This section explains in English how Svaya accesses, uses, shares, protects, keeps and deletes data received from Google APIs. It restates section 12 above and adds the details that Google's API Services User Data Policy asks for.

G1Who we are. Svaya (svaya.bm-it.ru) is operated by BusinessMatika LLC (OOO BiznesMatika), St. Petersburg, Russia. Contact: info@bm-it.ru.

G2What data we access. An organization administrator may connect the Google Drive of the organization. Svaya then requests one Google permission, "See and download all your Google Drive files" (scope drive.readonly). It is read-only: Svaya never creates, changes or deletes files in Google Drive. Svaya reads the email address of the connected Google account, to show which account is connected, and the folder tree of My Drive, shared drives and "Shared with me", so that the administrator can choose folders. Until folders are chosen, no file is copied. From the chosen folders only, Svaya reads file content and file details (name, folder path, type, size, modification time, owner's email address, sharing settings) and keeps a copy of the content. Svaya reads the Drive change log and takes from it only changes in the chosen folders, to keep its copy up to date. Drive sharing settings do not decide who sees a document in Svaya: the administrator decides that. Svaya does not access Gmail, Calendar, Contacts or any other Google service.

G3How we use it. Only to provide the feature the organization turned on: a searchable copy of the chosen documents, so that employees of that organization can ask questions in the Svaya chat and get answers with links to the source documents. The administrator decides which employees see which folders. We use Google user data for no other purpose.

G4Who receives it. We do not sell Google user data. We do not transfer it to advertising platforms, data brokers or information resellers, and we do not use it for advertising or for credit or lending decisions. To answer a question, Svaya sends only the text fragments needed for that answer, after automatic masking of personal data, to the provider of the large language model chosen in the chat: GigaChat (Sber), YandexGPT (Yandex, with request logging turned off), Claude (Anthropic) or GPT (OpenAI). Each of them states that it does not use API requests to train its models. Svaya never sends Google Drive data, or a conversation that contains it, to DeepSeek or Gemini. Requests to providers outside Russia pass through our own relay server in Finland. Our servers are hosted by Yandex Cloud in Russia. We may disclose data when the law requires it. We transfer Google user data to no one else.

G5AI and machine learning. Data received from Google Workspace APIs is not used to develop, improve or train non-personalized AI or ML models. We do not use Google user data, raw or derived, aggregated or anonymized, to develop, improve or train artificial intelligence or machine learning models at all, our own or anyone else's. Text fragments sent to a language model provider are used only to write the answer to the question asked.

G6Human access. Our staff do not read Google user data, except when the organization asks us to (for example, for support), when it is needed for security (investigating abuse or an incident), or when the law requires it. Only a small operations team has technical access to the servers.

G7Protection. Data is transferred over encrypted connections (TLS). Our servers run in Yandex Cloud in Russia, and the cloud platform encrypts all data on its disks at rest, including backups. Each organization's data is separated from other organizations' data in the database. The Google access token, document titles and cached text fragments are additionally encrypted (AES-256-GCM) with a key specific to the organization. Operator administrators sign in with two-factor authentication, and the network is split into zones.

G8Keeping and deleting data. Copies of Drive files are kept while Google Drive stays connected, so that search stays current. When a file is deleted in Drive, moved to the trash or taken out of the chosen folders, Svaya deletes its copy and removes it from search at the next synchronization. The administrator can disconnect Google Drive in the Svaya admin panel at any time: Svaya deletes the Google access token at once and stops reading Drive. With "Disconnect and delete documents" Svaya also deletes the copies and removes them from search; with "Disconnect, keep documents" the copies stay available to employees but no longer update, and the administrator can delete them later. Deleted copies are erased from file storage within 35 days, and backups are overwritten within 10 days, so no copy remains after 45 days. Answers the chat has already given stay in the chat history of the organization's employees. Access can also be revoked in the Google account at https://myaccount.google.com/permissions. On request to info@bm-it.ru we delete the Google user data of an organization within 10 business days.

G9Limited Use. Svaya's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements: https://developers.google.com/terms/api-services-user-data-policy. The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.