Политика обработки персональных данных ООО «ОПТИМУС»

Настоящая Политика обработки персональных данных (далее — Политика) разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ), Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и другими нормативными правовыми актами Российской Федерации.

Политика определяет порядок и условия обработки персональных данных оператором — Общество с ограниченной ответственностью «ОПТИМУС» (далее — Оператор) и действует в отношении всех персональных данных, которые Оператор получает от субъектов персональных данных:

• при использовании ими платформы OpenLex, в том числе ботов OpenLex в мессенджерах Telegram и МАКС (далее — Платформа);
• при осуществлении трудовых и гражданско-правовых отношений;
• при взаимодействии с контрагентами и посетителями сайта Оператора.

Политика распространяется на все процессы обработки персональных данных, осуществляемые Оператором, в том числе с использованием средств автоматизации и без использования таких средств.

Целью Политики является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

Основные понятия, используемые в настоящей Политике, применяются в значениях, предусмотренных статьей 3 Закона № 152-ФЗ:

• персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
• оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
• обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
• автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;
• распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
• предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
• блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
• уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
• обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
• информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
• трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Правовыми основаниями обработки персональных данных Оператором являются:

• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Трудовой кодекс Российской Федерации;
• Налоговый кодекс Российской Федерации;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»;
• Федеральный закон от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
• Федеральный закон от 08.02.1998 № 14-ФЗ «Об обществах с ограниченной ответственностью»;
• иные федеральные законы и принятые на их основе нормативные правовые акты, регулирующие отношения, связанные с деятельностью Оператора;
• учредительные документы Оператора;
• договоры (соглашения), заключаемые между Оператором и субъектами персональных данных;
• согласия субъектов персональных данных на обработку их персональных данных, в том числе согласие на трансграничную передачу и отдельное согласие на обработку персональных данных, разрешенных для распространения;
• поручения пользователей Платформы на обработку персональных данных третьих лиц, сведения о которых пользователь размещает на Платформе (часть 3 статьи 6 Закона № 152-ФЗ).

Обработка персональных данных осуществляется Оператором в соответствии с принципами и условиями, предусмотренными статьями 5 и 6 Закона № 152-ФЗ.

Оператор собирает и обрабатывает персональные данные субъектов в следующих целях:

• Регистрация и ведение учетной записи — рассмотрение заявки на регистрацию администратором (до одобрения заявки доступны анкета и демонстрационный режим с вымышленным делом; при отклонении заявки учетная запись удаляется), вход в Личный кабинет, в том числе через мессенджер МАКС.
• Обеспечение функционирования Платформы — работа Личного кабинета: дела и материалы, распознавание текста и расшифровка аудио, календарь и сроки, картотека «Люди», почта @openlex.ru, «Сообщения» и игры между пользователями, демонстрационный режим.
• Формирование ответов ИИ-ассистента — обработка запросов пользователя, подготовка справочной информации и документов по запросу, поиск по правовой базе и, когда ответу нужны свежие сведения, по официальным источникам в сети «Интернет», проверка ответа на соответствие текстам норм.
• Мониторинг и проверки по запросу пользователя — отслеживание судебных дел и проверка контрагентов в государственных реестрах и на сайтах судов по данным, которые указал пользователь.
• Работа ботов OpenLex в мессенджерах Telegram и МАКС.
• Подбор новостей в ленте «Для вас» — в порядке, установленном Правилами применения рекомендательных технологий.
• Публикация страницы юриста — только при наличии отдельного согласия на обработку персональных данных, разрешенных для распространения.
• Расчеты — оплата подписки и дополнительных пакетов, в том числе автопродление подписки по явному выбору пользователя, применение промокодов, возвраты, бухгалтерский и налоговый учет.
• Обращения и сервисные сообщения — рассмотрение обращений пользователей и сообщений об ошибках, направление уведомлений, связанных с работой Платформы.
• Безопасность и учет юридически значимых действий — ведение журналов, ограничение частоты запросов, выявление и расследование инцидентов, подтверждение данных согласий, выгрузки и удаления данных, доступа службы поддержки.
• Контроль качества ответов ИИ-ассистента — в порядке, указанном в разделе 10 Политики.
• Осуществление трудовых и иных непосредственно связанных с трудовыми отношений с работниками и соискателями, в том числе ведение кадрового и бухгалтерского учета, содействие в трудоустройстве (подбор персонала), соблюдение трудового законодательства.
• Заполнение и передача в уполномоченные органы требуемых форм отчетности, соблюдение налогового законодательства.
• Осуществление хозяйственной деятельности Оператора — заключение, исполнение и прекращение договоров с контрагентами.
• Продвижение услуг Оператора, направление информационных и рекламных рассылок — только с отдельного согласия субъекта.

Информационный характер Платформы. Платформа OpenLex не предоставляет юридические консультации и адвокатские услуги. Платформа является исключительно информационной платформой, предоставляющей справочную информацию по запросу пользователя. Ответы, формируемые встроенным ИИ-ассистентом, носят справочно-информационный характер и не являются юридической консультацией, заключением специалиста или адвокатским советом.

Оператор обрабатывает персональные данные следующих категорий субъектов:

• пользователи Платформы OpenLex (зарегистрированные и незарегистрированные), в том числе заявители, чья заявка на регистрацию еще не рассмотрена;
• пользователи ботов OpenLex в мессенджерах Telegram и МАКС;
• посетители сайта Оператора;
• работники Оператора, их родственники (члены их семей);
• соискатели (кандидаты для приема на работу к Оператору);
• бывшие работники Оператора;
• клиенты и контрагенты Оператора (физические лица);
• представители клиентов и контрагентов Оператора (юридических лиц);
• лица, сведения о которых пользователи размещают на Платформе (доверители, контрагенты, участники споров и иные лица).

Перечень персональных данных, обрабатываемых Оператором, определяется целями обработки. При обработке персональных данных Оператор ограничивается достижением конкретных, заранее определенных и законных целей.

В отношении зарегистрированных пользователей Платформы Оператор обрабатывает персональные данные, предоставляемые пользователем при регистрации и использовании Платформы или формируемые при таком использовании:

• учетная запись: фамилия, имя, отчество, адрес электронной почты, логин, пароль (хранится только в виде хеша), роль, номер телефона;
• анкета: дата и место рождения, реквизиты адвоката (при наличии статуса), места работы, сведения об образовании и скан диплома, фотография (проходит ручную проверку перед показом), направления практики;
• адреса электронной почты пользователя и почтовый ящик @openlex.ru с хранящимися в нем письмами;
• дела и материалы: файлы, распознанный текст, заметки, досье, сроки, события календаря;
• беседы с ИИ-ассистентом, переписка в разделе «Сообщения», записи партий в играх;
• карточки картотеки «Люди», в том числе заполняемые автоматически из материалов дел и из текста сообщений пользователя в чате;
• объекты мониторинга (номера дел, наименования и ИНН организаций, ФИО сторон);
• профиль интересов для ленты новостей (сигналы просмотров, закладок, реакций и сформированная по ним фраза профиля);
• обращения в поддержку, в том числе снимок экрана, приложенный к обращению;
• сведения о платежах: сумма, статус, примененный промокод, последние 4 цифры банковской карты и идентификатор ее привязки для автопродления (полный номер карты Оператору не передается);
• журнал действий: входы, открытые страницы, IP-адрес, сведения о браузере и устройстве;
• журнал юридически значимых действий (согласия, выгрузка и удаление данных, доступ службы поддержки, возвраты) и записи о данных согласиях;
• идентификаторы учетных записей в мессенджерах — при их привязке к Личному кабинету.

Незарегистрированные посетители, задающие вопросы ИИ-ассистенту на общедоступной странице. Учетная запись не создается, беседа не сохраняется. Обрабатываются текст вопроса — в объеме, необходимом для подготовки ответа (в том числе с передачей получателям, указанным в разделе 7 Политики), и необратимый хеш IP-адреса — исключительно для суточного ограничения числа бесплатных обращений. Сам IP-адрес в этом учете не сохраняется, записи учета удаляются в течение двух суток.

Пользователи ботов OpenLex в мессенджерах Telegram и МАКС, в том числе не зарегистрированные на Платформе. Обрабатываются идентификатор и имя в мессенджере и история переписки с ботом; история хранится в ограниченном объеме — сохраняется заданное число последних сообщений, более ранние удаляются автоматически. Согласие на обработку дается использованием бота на условиях, указанных в его приветственном сообщении.

В отношении посетителей сайта Оператор обрабатывает IP-адрес, сведения об устройстве и браузере, сведения о посещенных страницах и времени посещения. Используемые файлы cookie и записи в хранилище браузера описаны в Политике в отношении файлов cookie; сторонняя аналитика и рекламные трекеры не используются.

В отношении работников, включая бывших работников, обрабатываются:

• фамилия, имя, отчество, дата и место рождения, пол, сведения о гражданстве;
• место постоянной и временной регистрации, место фактического проживания;
• вид, серия, номер документа, удостоверяющего личность, дата выдачи, наименование выдавшего его органа;
• ИНН, номер СНИЛС;
• сведения о семейном положении, составе семьи, реквизиты свидетельства о регистрации брака, свидетельства о рождении ребенка;
• реквизиты полиса ОМС;
• сведения о трудовой деятельности;
• сведения о воинской обязанности, реквизиты военного билета;
• сведения об образовании, включая реквизиты документов об образовании;
• номер телефона, адрес электронной почты.

В отношении родственников работников (членов их семей) обрабатываются:

• фамилия, имя, отчество, дата и место рождения, пол, сведения о гражданстве;
• место постоянной и временной регистрации, место фактического проживания;
• реквизиты свидетельства о браке (для супруги/супруга), свидетельства о рождении (для ребенка);
• номер телефона.

В отношении клиентов и контрагентов Оператора (физических лиц) и их представителей обрабатываются:

• фамилия, имя, отчество, дата и место рождения, пол, сведения о гражданстве;
• место постоянной и временной регистрации, место фактического проживания;
• вид, серия, номер документа, удостоверяющего личность, дата выдачи, наименование выдавшего его органа;
• реквизиты документа, удостоверяющего полномочия действовать от имени клиента или контрагента Оператора (для представителей);
• номер телефона, адрес электронной почты.

При использовании ИИ-ассистента пользователь может направлять запросы, содержащие его персональные данные, сведения о конкретных ситуациях, в которых он участвует, и иную информацию. Такие запросы сохраняются в беседах пользователя и обрабатываются в целях формирования ответа, в том числе с передачей лицам, указанным в разделах 6 и 7 Политики, по поручению Оператора и в объеме, необходимом для подготовки ответа.

Сведения о третьих лицах, размещаемые пользователем на Платформе. Пользователь, который размещает на Платформе сведения о доверителях, контрагентах, участниках споров и иных лицах (в делах, документах, досье, картотеке «Люди», объектах мониторинга, а также в запросах к ИИ-ассистенту), является оператором в отношении этих данных: он самостоятельно определяет цели и состав обработки и обеспечивает наличие правового основания. Оператор обрабатывает такие данные по поручению пользователя (часть 3 статьи 6 Закона № 152-ФЗ) исключительно в объеме, необходимом для работы функций Платформы: хранение, отображение, поиск, распознавание текста, формирование ответов, мониторинг, резервное копирование. Оператор не использует такие данные для собственных целей, передает их только лицам, указанным в разделах 6 и 7 Политики, в объеме, необходимом для исполнения поручения, и соблюдает требования статьи 19 Закона № 152-ФЗ.

Специальные категории персональных данных (касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, судимости) Оператор для собственных целей не собирает. Такие сведения могут содержаться в материалах дел, которые загружает пользователь; в этом случае Оператор обрабатывает их по поручению пользователя в порядке, указанном в предыдущем пункте, и только в объеме, необходимом для работы с делом.

Биометрические персональные данные Оператором не обрабатываются: фотография профиля не используется для установления личности.

Возраст. Платформа предназначена для лиц, достигших 18 лет. Оператор не собирает намеренно персональные данные несовершеннолетних пользователей; обнаружив, что учетная запись принадлежит несовершеннолетнему, Оператор удаляет ее. Сведения о несовершеннолетних в материалах дел обрабатываются по поручению пользователя в порядке, указанном выше.

Оператор не осуществляет обработку персональных данных, несовместимую с целями их сбора. Обрабатываются только те персональные данные, которые отвечают целям их обработки.

Распространение. Обработка персональных данных, разрешенных субъектом для распространения, осуществляется Оператором только на основании отдельного согласия, оформляемого отдельно от иных согласий субъекта (статья 10.1 Закона № 152-ФЗ). Публичная страница юриста показывается только при наличии такого согласия, которое пользователь дает в профиле и там же может отозвать; после отзыва страница снимается с публикации. Оператор обеспечивает субъекту возможность определить перечень персональных данных по каждой категории и не препятствует установлению запретов и условий на их обработку неограниченным кругом лиц.

Обработка персональных данных должна осуществляться с соблюдением следующих принципов:

• обработка на законной и справедливой основе;
• обработка ограничивается достижением конкретных, заранее определенных и законных целей;
• не допускается обработка, несовместимая с целями сбора;
• не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• не допускается избыточность обрабатываемых данных по отношению к заявленным целям;
• обеспечивается точность, достаточность и актуальность персональных данных;
• хранение осуществляется не дольше, чем этого требуют цели обработки;
• уничтожение или обезличивание по достижении целей обработки.

Обработка персональных данных осуществляется Оператором с согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.

Обработка персональных данных без согласия субъекта допускается в случаях, предусмотренных частью 2 статьи 6, частями 2–4 статьи 10, частью 2 статьи 11 Закона № 152-ФЗ.

Оператор осуществляет обработку персональных данных следующими способами:

• сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование;
• передача (предоставление, доступ) — лицам и в случаях, указанных в разделах 6 и 7 Политики; распространение — только при наличии отдельного согласия субъекта;
• обезличивание, блокирование, удаление, уничтожение.

Обработка персональных данных осуществляется:

• с использованием средств автоматизации — в информационных системах персональных данных;
• без использования средств автоматизации — на бумажных носителях, в том числе в соответствии с Постановлением Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

Персональные данные субъектов размещаются Оператором в следующих информационных системах:

• информационная система Платформы OpenLex;
• информационная система персональных данных работников Оператора;
• информационная система персональных данных лиц, не являющихся работниками Оператора, но персональные данные которых Оператор должен обрабатывать в соответствии с трудовым законодательством;
• информационная система персональных данных 1С Бухгалтерия предприятия;
• информационная система персональных данных клиентов и контрагентов Оператора (физических лиц) и представителей клиентов и контрагентов Оператора (физических и юридических лиц).

Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации: база данных, файлы и резервные копии Платформы размещены на серверах в Российской Федерации.

Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки, в сроки, указанные в разделе 8 Политики, если иной срок не установлен федеральным законом или договором.

Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

Оператор поручает обработку персональных данных или предоставляет их следующим лицам — в объеме, необходимом для соответствующей функции Платформы:

• Timeweb (Российская Федерация) — размещение основного сервера Платформы: сайт, база данных, файлы, почтовый сервер, резервные копии;
• собственный сервер Оператора gardar.org (Российская Федерация, оборудование Оператора) — фоновые задачи по делам (обзор дела, записки, протоколы, поиск по делу), проверка ответов ИИ-ассистента, распознавание текста, расшифровка аудио, формулировка профиля интересов; данные передаются по зашифрованному каналу;
• OpenRouter, Inc. (США) и поставщики языковых моделей, к которым он направляет запросы, — Amazon Web Services (Amazon Bedrock), Google, Microsoft Azure (США) — формирование ответов ИИ-ассистента, в том числе ответов в ботах и незарегистрированным посетителям (раздел 7 Политики);
• DuckDuckGo (США) — поисковые запросы, когда ответу нужны свежие сведения из официальных источников (раздел 7 Политики);
• PayKeeper (Российская Федерация) — прием оплаты банковской картой, привязка карты для автопродления, формирование чеков, — когда на Платформе включена оплата картой;
• МАКС (Российская Федерация) — бот OpenLex и вход в Личный кабинет через мессенджер МАКС;
• Telegram (за пределами Российской Федерации) — только если пользователь сам пишет боту OpenLex в Telegram: сообщения проходят через серверы мессенджера;
• суды и государственные реестры (в том числе сайты судов, kad.arbitr.ru, sudact.ru, egrul.nalog.ru) — как получатели запросов, которые инициирует пользователь при мониторинге дел и проверке контрагентов: номера дел, ИНН, ФИО сторон, указанные пользователем;
• Яндекс Диск (Российская Федерация) — чтение публичной ссылки на материалы, которую прислал пользователь;
• приложение календаря, которое пользователь сам подключил по ссылке-подписке: события календаря (названия дел по умолчанию скрыты).

Помимо указанных лиц, персональные данные передаются:

• по запросам государственных органов (суд, прокуратура, следственные органы, органы внутренних дел и др.) в случаях и порядке, предусмотренных законодательством;
• контрагентам, обеспечивающим деятельность Оператора (бухгалтерские, юридические услуги, услуги связи), — в объеме и на условиях, необходимых для оказания соответствующих услуг;
• иным лицам — с согласия субъекта персональных данных.

Лица, осуществляющие обработку по поручению Оператора, обязаны соблюдать принципы и правила обработки, предусмотренные Законом № 152-ФЗ, конфиденциальность персональных данных и требования к их защите (часть 3 статьи 6, статья 19 Закона № 152-ФЗ).

Цель. Оператор осуществляет трансграничную передачу персональных данных в целях формирования ответов ИИ-ассистента (в Личном кабинете, в ботах и на общедоступной странице) и поиска по официальным источникам, когда ответу нужны свежие сведения.

Получатели и государства:

• OpenRouter, Inc. (США), который направляет запрос одному из поставщиков языковых моделей: Amazon Web Services — Amazon Bedrock, Google, Microsoft Azure (США). Запросы направляются только тем поставщикам, которые не хранят запросы и не используют их для обучения моделей; OpenRouter, Inc. содержание запросов не хранит;
• DuckDuckGo (США) — только текст поискового запроса, направляемый с сервера Оператора; открываются только официальные сайты органов власти и сайты из перечня Оператора;
• Telegram (за пределами Российской Федерации) — только сообщения пользователя, который сам пишет боту OpenLex в Telegram.

Состав передаваемых данных. Текст вопроса, история беседы, выдержки из приложенных материалов и материалов дела, относящиеся к вопросу, тексты норм из правовой базы. Оригиналы файлов, адрес электронной почты и имя учетной записи не передаются.

Скрытие перед передачей. Перед отправкой из текста автоматически убираются фамилии, имена и отчества, телефоны, адреса электронной почты, номера документов (паспорта, СНИЛС, ИНН, счетов, карт), адреса и даты рождения. Скрытие выполняется автоматически и не является полным обезличиванием: обстоятельства дела, суммы и даты событий не скрываются, поскольку без них ответ по делу невозможен.

Основание. Соединенные Штаты Америки не включены в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных. Передача осуществляется на основании согласия субъекта на трансграничную передачу его персональных данных (часть 10 статьи 12 Закона № 152-ФЗ), после уведомления уполномоченного органа по защите прав субъектов персональных данных (часть 3 статьи 12 Закона № 152-ФЗ). Для обработки данных третьих лиц, размещенных пользователем, наличие такого основания обеспечивает пользователь как оператор этих данных.

Отказ от передачи. Согласие на трансграничную передачу дается отдельно от иных согласий и может быть отозвано отдельно, в том числе в настройках Личного кабинета, без удаления учетной записи. Если такого согласия нет или оно отозвано, ответы ИИ-ассистента в Личном кабинете формирует языковая модель на собственном сервере Оператора в Российской Федерации, без передачи за рубеж.

Передача персональных данных на территорию Китайской Народной Республики не осуществляется.

Фоновые задачи по делам, распознавание текста, расшифровка аудио, проверка ответов и формулировка профиля интересов выполняются на собственном сервере Оператора в Российской Федерации и трансграничной передачи не требуют.

Администратор Платформы, подключивший собственный аккаунт ChatGPT (OpenAI, США), направляет в OpenAI свои запросы и запросы коллег, которым он открыл этот аккаунт. Запросы иных пользователей этим способом не передаются.

Персональные данные хранятся в следующие сроки:

• учетная запись, анкета, дела и материалы, беседы, файлы, почта, переписка и иное содержимое Личного кабинета — до удаления пользователем соответствующих данных или учетной записи;
• журнал действий (входы, открытые страницы, IP-адрес) — 12 месяцев;
• журнал юридически значимых действий (согласия, выгрузка и удаление данных, доступ службы поддержки, возвраты) — 3 года;
• сведения о просмотрах новостей — 90 дней;
• учет вопросов незарегистрированного посетителя (хеш IP-адреса) — 2 суток;
• метрики ответов ИИ-ассистента — 120 дней; черновики правок ответа — 30 дней;
• резервные копии базы данных — хранятся две последние ночные копии, более ранние удаляются;
• платежные и первичные учетные документы — 5 лет, как того требует законодательство о бухгалтерском учете.

Удаление учетной записи. Пользователь удаляет учетную запись самостоятельно в разделе «Настройки → Данные» Личного кабинета. При удалении содержимое Личного кабинета удаляется, за следующими исключениями: публикации и комментарии в общих разделах Платформы и материалы, размещенные пользователем в делах других пользователей, сохраняются в обезличенном виде; дела организации переходят к ее оставшимся участникам; сведения, срок хранения которых установлен законом, хранятся до истечения этого срока. Удаленные данные исчезают из резервных копий по мере их обновления.

При отклонении заявки на регистрацию учетная запись заявителя удаляется.

Персональные данные при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных, в специальных разделах или на полях форм (бланков).

При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы.

Для обработки различных категорий персональных данных для каждой категории используется отдельный материальный носитель.

Оператор обеспечивает раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях.

При хранении материальных носителей установлены меры, обеспечивающие сохранность персональных данных и исключающие несанкционированный доступ к ним.

Оператор и лица, получившие доступ к персональным данным, не раскрывают третьим лицам и не распространяют персональные данные без согласия субъекта, если иное не предусмотрено федеральным законом. Запросы пользователя к ИИ-ассистенту и материалы Личного кабинета передаются только лицам, указанным в разделах 6 и 7 Политики, по поручению Оператора и в объеме, необходимом для соответствующей функции.

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий, в том числе:

• определение угроз безопасности персональных данных при их обработке в информационных системах;
• шифрование файлов пользователей при хранении на диске (ключ хранится отдельно от файлов) и шифрование передачи данных по протоколу TLS;
• хранение паролей только в виде хеша; возможность завершить все сеансы входа;
• разграничение доступа: к делу и его материалам имеют доступ только пользователи, которым доступ предоставлен;
• доступ службы поддержки к данным пользователя — только по отдельному допуску, в режиме чтения, на срок не более 7 суток, с записью в журнал и уведомлением пользователя;
• регистрация юридически значимых действий и действий с учетной записью в журналах;
• ограничение частоты запросов для защиты от подбора паролей и автоматизированного сбора данных;
• резервное копирование базы данных и регулярная проверка восстановления из резервной копии;
• обнаружение фактов несанкционированного доступа и принятие мер по их устранению;
• ознакомление работников с требованиями к защите персональных данных и контроль за принимаемыми мерами.

При обработке персональных данных в информационных системах Оператор руководствуется требованиями Постановления Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и Приказа ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

При обработке персональных данных без использования средств автоматизации Оператор соблюдает требования, установленные Положением об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденным Постановлением Правительства РФ от 15.09.2008 № 687.

Контроль качества ответов ИИ-ассистента. Для проверки и улучшения качества ответов уполномоченные работники Оператора используют сохраненные ответы и черновики правок ответа (хранятся 30 дней), связанные с беседой пользователя. Эти данные не обезличиваются. Данные пользователей для обучения языковых моделей не используются — ни Оператором, ни поставщиками, указанными в разделе 7 Политики.

Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

• подтверждение факта обработки персональных данных Оператором;
• правовые основания и цели обработки персональных данных;
• цели и применяемые Оператором способы обработки персональных данных;
• наименование и место нахождения Оператора, сведения о лицах, которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;
• обрабатываемые персональные данные, относящиеся к соответствующему субъекту, источник их получения;
• сроки обработки персональных данных, в том числе сроки их хранения;
• порядок осуществления прав, предусмотренных Законом № 152-ФЗ;
• информацию об осуществленной или о предполагаемой трансграничной передаче данных;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора;
• информацию о способах исполнения Оператором обязанностей, установленных ст. 18.1 Закона № 152-ФЗ;
• иные сведения, предусмотренные Законом № 152-ФЗ.

Субъект персональных данных вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

Субъект персональных данных имеет право отозвать согласие на обработку персональных данных в любой момент.

Субъект персональных данных вправе обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

Право субъекта на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе в случаях, указанных в ч. 8 ст. 14 Закона № 152-ФЗ.

Субъекты персональных данных обязаны исполнять обязанности, предусмотренные Законом № 152-ФЗ и иными нормативными правовыми актами.

Зарегистрированный пользователь Платформы реализует часть указанных прав самостоятельно в Личном кабинете: выгрузка копии своих данных в машиночитаемом формате и удаление учетной записи — в разделе «Настройки → Данные»; просмотр, пересчет и удаление профиля интересов и отключение его сбора — в разделе «Настройки → Ассистент → Профиль интересов»; отзыв согласия на распространение — в профиле; отключение автопродления — в разделе «Тариф и оплата».

Оператор вправе:

• самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом № 152-ФЗ;
• в порядке, установленном ч. 3 ст. 6 Закона № 152-ФЗ, поручать обработку персональных данных другому лицу с согласия субъекта персональных данных;
• в случае отзыва субъектом согласия продолжить обработку при наличии оснований, указанных в п. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 Закона № 152-ФЗ.

Оператор обязан:

• предоставить субъекту по его просьбе информацию, предусмотренную ч. 7 ст. 14 Закона № 152-ФЗ;
• разъяснить субъекту юридические последствия отказа предоставить персональные данные, если предоставление является обязательным;
• до начала обработки данных, полученных не от субъекта, предоставить последнему соответствующую информацию (за исключением случаев, предусмотренных ч. 4 ст. 18 Закона № 152-ФЗ);
• обеспечить запись, систематизацию, накопление, хранение, уточнение, извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации;
• принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Политикой и Законом № 152-ФЗ;
• ознакомить своих работников, непосредственно осуществляющих обработку персональных данных, с Политикой и локальными актами по вопросам обработки персональных данных;
• обеспечивать обучение работников, непосредственно осуществляющих обработку персональных данных, положениям законодательства Российской Федерации о персональных данных, в том числе требованиям к защите персональных данных (пункт 6 части 1 статьи 18.1 Закона № 152-ФЗ);
• до начала обработки персональных данных направить в Роскомнадзор уведомление о намерении осуществлять обработку персональных данных для внесения сведений в реестр операторов, за исключением случаев, предусмотренных частью 2 статьи 22 Закона № 152-ФЗ (статья 22 Закона № 152-ФЗ), а до начала трансграничной передачи — уведомление о намерении ее осуществлять (часть 3 статьи 12 Закона № 152-ФЗ);
• осуществлять внутренний контроль и (или) аудит соответствия обработки персональных данных требованиям Закона № 152-ФЗ, требованиям к защите персональных данных, настоящей Политике и локальным актам Оператора (пункт 4 части 1 статьи 18.1 Закона № 152-ФЗ);
• проводить оценку вреда, который может быть причинен субъектам персональных данных в случае нарушения Закона № 152-ФЗ, в соответствии с требованиями, установленными Роскомнадзором, и соотносить указанный вред с принимаемыми Оператором мерами защиты (пункт 5 части 1 статьи 18.1 Закона № 152-ФЗ);
• исполнять иные обязанности, предусмотренные законодательством.

Опубликование Политики. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать настоящую Политику и сведения о реализуемых требованиях к защите персональных данных на страницах принадлежащего Оператору сайта в сети «Интернет», с использованием которых осуществляется сбор персональных данных, и обеспечить возможность доступа к указанному документу (часть 2 статьи 18.1 Закона № 152-ФЗ).

В случае подтверждения факта неточности персональных данных Оператор обязан уточнить их в течение семи рабочих дней со дня представления сведений и снять блокирование.

Оператор осуществляет блокирование персональных данных в следующих случаях:

• при выявлении неправомерной обработки — с момента обращения субъекта на период проверки;
• при выявлении неточных данных — с момента обращения на период проверки;
• при отсутствии возможности уничтожения в срок, указанный в ч. 3–5.1 ст. 21 Закона № 152-ФЗ, — до момента уничтожения.

Оператор прекращает обработку персональных данных в следующих случаях:

• при устранении причин, вследствие которых осуществлялась обработка специальных категорий данных;
• при выявлении неправомерной обработки — в срок не более трех рабочих дней;
• при достижении целей обработки;
• при отзыве субъектом согласия;
• по требованию субъекта о прекращении обработки — в срок не более десяти рабочих дней (может быть продлен, но не более чем на пять рабочих дней).

Оператор уничтожает персональные данные в следующих случаях:

• при достижении целей обработки — в срок не более тридцати дней, если иное не предусмотрено договором;
• при предоставлении субъектом сведений о незаконности получения — в срок не более семи рабочих дней;
• при выявлении неправомерной обработки и невозможности обеспечить ее правомерность — в срок не более десяти рабочих дней;
• при отзыве субъектом согласия (если сохранение данных более не требуется) — в срок не более тридцати дней.

Уничтожение осуществляется в порядке, определенном Оператором. Документом, подтверждающим уничтожение персональных данных, является Акт об уничтожении персональных данных (при обработке без средств автоматизации). При автоматизированной обработке дополнительно оформляется Выгрузка из журнала регистрации событий в информационной системе. Указанные документы хранятся в течение 3 лет.

Уведомление об инцидентах. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, Оператор обязан уведомить Роскомнадзор (часть 3.1 статьи 21 Закона № 152-ФЗ):

• в течение 24 (двадцати четырех) часов с момента выявления инцидента — о произошедшем инциденте, предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, предполагаемом вреде, о принятых мерах по устранению последствий инцидента, а также предоставить сведения о лице, уполномоченном Оператором на взаимодействие с Роскомнадзором по вопросам инцидента;
• в течение 72 (семидесяти двух) часов с момента выявления инцидента — о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной инцидента (при наличии).

Субъекты персональных данных вправе обращаться к Оператору с запросами:

• на предоставление сведений, указанных в ч. 7 ст. 14 Закона № 152-ФЗ;
• на предоставление информации о наличии персональных данных и возможности ознакомления с ними;
• на уточнение, блокирование или уничтожение персональных данных;
• с требованием прекратить обработку персональных данных.

Запрос направляется на адрес электронной почты hello@openlex.ru (в форме электронного документа, подписанного электронной подписью) либо в письменной форме по адресу Оператора, указанному в начале Политики.

Оператор предоставляет сведения в течение десяти рабочих дней с момента обращения либо получения запроса. Срок может быть продлен, но не более чем на пять рабочих дней, с направлением субъекту мотивированного уведомления о причинах продления (ч. 3 ст. 14, ч. 1 ст. 20 Закона № 152-ФЗ).

Сведения предоставляются в той форме, в которой направлены обращение либо запрос, если иное не указано.

Запрос должен содержать:

• номер основного документа, удостоверяющего личность, сведения о дате выдачи и выдавшем органе;
• сведения, подтверждающие участие субъекта в отношениях с Оператором (например, адрес электронной почты учетной записи);
• подпись субъекта или его представителя.

В случае отказа в предоставлении информации Оператор обязан дать мотивированный ответ со ссылкой на ч. 8 ст. 14 Закона № 152-ФЗ или иной федеральный закон в срок не более десяти рабочих дней; срок может быть продлен не более чем на пять рабочих дней с направлением мотивированного уведомления (ч. 2 ст. 20 Закона № 152-ФЗ).

Настоящая Политика является внутренним документом Оператора и подлежит пересмотру при изменении законодательства Российской Федерации в области персональных данных, а также при изменении состава обрабатываемых данных, целей обработки или лиц, указанных в разделах 6 и 7 Политики.

Оператор вправе вносить изменения в настоящую Политику. При внесении изменений Оператор размещает новую редакцию Политики на сайте Оператора.

Политика размещается на сайте Оператора: https://openlex.ru; https://optimus-it.ru.

Контроль за исполнением требований настоящей Политики осуществляется уполномоченным лицом, ответственным за организацию обработки персональных данных у Оператора.

Все вопросы, не урегулированные настоящей Политикой, разрешаются в соответствии с законодательством Российской Федерации.

Вопросы, связанные с обработкой персональных данных, пользователь может направить Оператору по адресу: hello@openlex.ru.