Обработка персональных данных на Сервисе Svaya

1. Оператор

1.1Общество с ограниченной ответственностью «БизнесМатика», ОГРН 1127847409656, ИНН 7810878325, КПП 780401001. Оператор находится по адресу 195267, г. Санкт-Петербург, муниципальный округ Прометей, проспект Просвещения, д. 85, литера А, помещ. 279.

1.2За организацию обработки персональных данных отвечает Федотова Е. С., ответственная за организацию обработки персональных данных Связаться с оператором можно по адресу info@bm-it.ru или телефону +7 (963) 309-21-05.

1.3Документ действует в отношении Сервиса по адресу svaya.bm-it.ru. Обработка на сайте bm-it.ru описана отдельной политикой оператора.

2. Чьи данные обрабатываются

2.1Посетителя Сервиса. Это тот же человек, которого оферта называет Пользователем. Часть данных из п. 3.3 обрабатывается и до регистрации, пока человек просто открыл сайт или заполняет форму.

2.2Людей, чьи персональные данные оказались внутри загруженных посетителем файлов (сотрудников, контрагентов и клиентов его организации). Они Сервисом не пользуются и о загрузке могут не знать. Порядок обращения для них описан в разделе 8.

3. Какие данные обрабатываются

3.1Адрес электронной почты, указанный при регистрации, и домен этого адреса.

3.2Отрасль, выбранная посетителем при первом входе.

3.3Технические данные и признаки защиты от злоупотреблений. Это IP-адрес и подсеть, признаки браузера и устройства, поведенческие признаки (частота действий, шаблоны регистрации), техническая метка браузера сессии входа. Такие данные признаются персональными (определение Верховного Суда РФ № 5-КГ21-195 от 02.06.2022).

3.4События использования Сервиса. Это то, какие технические решения открывались, какие запуски были, на каком шаге посетитель остановился. Без содержимого данных.

3.5Содержимое загруженных файлов в том объеме, в каком его загрузил посетитель, включая персональные данные третьих лиц, если они там есть (фамилии и имена, телефоны, адреса, реквизиты). Сервис ищет их автоматически и найденное маскирует перед передачей внешнему провайдеру языковой модели (п. 6.1). Поиск может пропустить непривычную запись, полноту оператор не гарантирует (п. 6.2).

3.6Переписка с поддержкой Сервиса. Заявка на пилот полей для текста не имеет, ее содержание это факт обращения.

4. Цели и правовые основания

4.1Оператор дает доступ к Сервису и исполняет условия оценочного использования на двух основаниях. Это согласие субъекта и заключение договора по его инициативе (п. 1 и п. 5 ч. 1 ст. 6 152-ФЗ).

4.2Показ результата на данных посетителя идет на основании его согласия. В отношении персональных данных третьих лиц внутри загруженных файлов оператор действует по поручению посетителя (ч. 3 ст. 6 152-ФЗ). Правовое основание передачи обеспечивает посетитель, что он и подтверждает отметкой при загрузке.

4.3Защита от злоупотреблений, учет израсходованных прогонов и токенов, удержание Сервиса в рабочем состоянии опираются на законный интерес оператора (п. 7 ч. 1 ст. 6 152-ФЗ).

4.4Связь по интересу к пилоту, включая передачу контекста менеджеру оператора, идет на основании согласия субъекта. Содержимое загруженных файлов сотрудникам отдела продаж не передается.

4.5Обеспечение безопасности и разбор инцидентов входят в обязанности оператора по законодательству о персональных данных.

4.6Рекламной рассылки на Сервисе нет. Отдельного согласия на нее здесь не запрашивается и не подразумевается.

5. Сроки хранения и границы удаления

5.1Загруженные файлы, распознанный из них текст, результаты прогонов и настройки демонстрационной организации хранятся 30 суток с момента загрузки либо до нажатия кнопки «Удалить все сейчас».

5.2Аккаунт и адрес почты хранятся до удаления аккаунта посетителем. Аккаунт без входов дольше 6 месяцев удаляется вместе с данными после уведомления на почту.

5.3Журнал доступа и действий хранится 12 месяцев.

5.4События использования Сервиса хранятся 6 месяцев.

5.5Признаки защиты от злоупотреблений хранятся 6 месяцев.

5.6Контекст интереса, переданный менеджеру, и переписка хранятся не дольше 5 лет после последнего взаимодействия, как это установлено общей политикой оператора.

5.7Кнопка в кабинете удаляет то, что вы загрузили, и то, что из этого получилось (файлы, распознанный текст, результаты прогонов, настройки демонстрационной организации). Служебные записи из пп. 5.3-5.6 она не удаляет, у них свои сроки. Чтобы удалить и их, напишите на почту оператора.

6. Кому передаются данные

6.1Внешнему провайдеру языковой модели уходит только маскированный текст запроса, где обнаруженные персональные данные заменяются метками до отправки. Обратная подстановка выполняется на стороне оператора. Используются провайдеры, размещенные в Российской Федерации.

6.2Если поиск персональных данных что-то пропустил, переданный текст отозвать уже нельзя. Оператор уменьшает вероятность пропуска правилом «сомневаешься, маскируй», но не сводит ее к нулю.

6.3Во внешние справочные источники Сервис сегодня не ходит вовсе. Проверка контрагента идет по выгрузке реестров, загруженной оператором заранее, и дата этой выгрузки показана на экране проверки. Если такой выход появится, он будет описан здесь до того, как заработает.

6.4Больше никому. В отличие от сайта bm-it.ru, Сервис не использует внешние счетчики посещаемости. События использования собираются собственными средствами внутри установки.

6.5Трансграничная передача не производится. Базы данных, в которых обрабатываются персональные данные, находятся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).

6.6Сотрудники оператора. Минимальный круг эксплуатации получает доступ для отладки и разбора злоупотреблений, с записью действий в журнал.

7. Права субъекта персональных данных

7.1Получить сведения об обработке, потребовать уточнения, блокирования или уничтожения данных, отозвать согласие, обжаловать действия оператора в Роскомнадзор или в суд (ст. 14, 20, 21 152-ФЗ).

7.2Отзыв согласия делается письмом на info@bm-it.ru с пометкой «Отзыв согласия на обработку персональных данных». Оператор прекращает обработку в срок не более 10 рабочих дней, если нет иных законных оснований для ее продолжения.

7.3Часть прав исполняется без письма и сразу. Кабинет показывает состав загруженного и удаляет его кнопкой. Это не заменяет обращение, а избавляет от него в простом случае.

8. Если ваши данные загрузил кто-то другой

8.1Посетитель, загружая файл, подтверждает наличие правового основания на передачу его содержимого. В отношении этого содержимого оператор действует по поручению посетителя. Но обращение субъекта оператор принимает и исполняет сам, не отсылая человека к загрузившему.

8.2Обращение направляется на info@bm-it.ru с пометкой «Сервис Svaya, обращение субъекта персональных данных».

8.3Чтобы данные можно было найти, укажите фамилию, имя и отчество, адрес почты или телефон, по возможности название организации, которая могла загрузить документ, и примерный период. Без опознавательных признаков поиск в чужих загрузках невозможен.

8.4Получение обращения оператор подтверждает в течение 3 рабочих дней.

8.5Ответ по существу и исполнение оператор дает в срок не более 10 рабочих дней со дня получения обращения.

8.6Что делает оператор. Находит загрузки по указанным признакам, удаляет их вместе с распознанным текстом и результатами (независимо от того, нажал ли кнопку удаления загрузивший), и сообщает заявителю результат. Загрузивший уведомляется об удалении.

8.7Чего оператор сделать не может. Отозвать текст, уже переданный внешнему провайдеру в виде с заменами. Об этом сказано в п. 6.2, и это одна из причин ограничений на загрузку.

9. Чем защищены данные

9.1Канал связи шифруется.

9.2Резервные копии шифруются.

9.3Администраторы входят по двухфакторной аутентификации.

9.4Сеть разделена на зоны, доступ между ними выдается под задачу. У публичной части нет ни учетных данных к базам данных установки, ни доступа к ним.

9.5Операции записываются в журнал, журнал разбирается не реже раза в месяц и при каждом подозрении на инцидент.

9.6Работает антивирусная защита, программное обеспечение обновляется.

9.7Каждый загружаемый файл проверяется антивирусом.

9.8Файл принимается размером до 20 МБ, только в объявленных форматах и без вложенных архивов.

9.9Файл разбирается в отдельном процессе, без доступа к чужим данным.

9.10Персональные данные маскируются до передачи внешнему провайдеру.

9.11Действуют дневные лимиты обработки.

9.12Пункты 9.1-9.6 - это общие меры оператора, пункты 9.7-9.11 добавлены на самом Сервисе.

10. Что происходит при утечке

10.1При обнаружении несанкционированного доступа к персональным данным оператор в течение 24 часов уведомляет Роскомнадзор и в тот же срок закрывает доступ, через который прошел инцидент. В течение 72 часов оператор сообщает Роскомнадзору результаты внутреннего расследования. Оба срока установлены ч. 3.1 ст. 21 152-ФЗ. Затронутых субъектов оператор уведомляет на известные ему адреса без промедления, как только установит круг затронутых.

11. Техническая метка в браузере

11.1Сервис ставит в браузере одну техническую метку, куку сессии входа. Она держит вход и пропадает, когда вы выходите из аккаунта или закрываете браузер. Рекламных и внешних аналитических меток нет. Без этой метки вход не работает.

12. Как меняется этот документ

12.1Дата редакции стоит вверху страницы. Документ действует до замены новой редакцией, актуальный текст лежит на этой странице.