Политика конфиденциальности

1. Оператор

Общество с ограниченной ответственностью «АЙ37Б» (ООО «АЙ37Б»), ОГРН 1261600023981, ИНН 1655514200, КПП 165501001.

Адрес: 420074, Республика Татарстан, г. Казань, ул. Петербургская, д. 52.

Оператором назначено лицо, ответственное за организацию обработки персональных данных (ст. 22.1 152-ФЗ); обращения по вопросам обработки персональных данных – на support@arwaro.ai.

Адрес для обращений по вопросам обработки персональных данных: support@arwaro.ai.

Сервис включает сайт arwaro.ai, веб-приложение app.arwaro.ai, документацию docs.arwaro.ai, сообщество forum.arwaro.ai и Telegram-бот сервиса.

2. Правовые основания обработки

Оператор обрабатывает персональные данные на следующих основаниях:

• согласие субъекта на обработку персональных данных (ст. 6 и ст. 9 152-ФЗ), которое вы даёте при регистрации;
• исполнение договора (пользовательского соглашения), стороной которого является субъект персональных данных;
• исполнение обязанностей, возложенных на оператора законодательством Российской Федерации;
• осуществление прав и законных интересов оператора, не нарушающих прав и свобод субъекта.

3. Категории субъектов и состав персональных данных

Оператор обрабатывает данные пользователей, которые регистрируются в сервисе и работают в нём, а также данные о работниках, контрагентах и клиентах компаний-пользователей – в объёме, который пользователи сами вносят в сервис (см. раздел 8).

Перечень обрабатываемых персональных данных пользователя:

• фамилия, имя, отчество (или указанное вами имя);
• адрес электронной почты;
• номер мобильного телефона;
• пароль в виде необратимого хеша (сам пароль оператору неизвестен);
• идентификатор и открытые данные профиля внешнего сервиса, если вы входите через Яндекс или VK ID;
• фотография профиля (аватар), если вы её загрузили;
• должность и роль в компании, к которой вы присоединены в сервисе;
• данные, которые вы сами вносите в сервис: контрагенты, работники, суммы, комментарии, файлы и вложения;
• техническая информация: IP-адрес, данные браузера и устройства (User-Agent), язык интерфейса, дата и время действий, журналы ошибок;
• история переписки со службой поддержки и с ИИ-помощником сервиса.

Оператор не обрабатывает специальные категории персональных данных (о расе, национальности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни) и биометрические персональные данные.

4. Цели обработки

Персональные данные обрабатываются исключительно для того, чтобы:

• зарегистрировать пользователя, создать аккаунт и подтвердить, что вход выполняет именно он;
• предоставлять функциональность сервиса и хранить внесённые пользователем данные;
• разграничивать доступ участников компании к данным и подтверждать полномочия;
• отправлять служебные сообщения: подтверждение регистрации, восстановление пароля, уведомления о событиях в сервисе, изменения условий;
• вести расчёты по тарифам, выставлять и подтверждать оплату;
• обеспечивать работоспособность и безопасность: диагностика сбоев, защита от несанкционированного доступа и злоупотреблений;
• отвечать на обращения в службу поддержки;
• улучшать сервис на основании обезличенной статистики использования;
• исполнять обязанности, возложенные на оператора законом.

Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки персональных данных, и не использует данные для рекламных рассылок третьих лиц.

5. Порядок и способы обработки

Оператор совершает с персональными данными следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение.

Обработка ведётся смешанным способом – с использованием средств автоматизации и без них. Запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, расположенных на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).

6. Передача данных и поручение обработки

Оператор не продаёт персональные данные и не передаёт их третьим лицам для их собственных целей. Часть операций выполняют поставщики инфраструктуры, действующие по поручению оператора и обязанные обеспечивать конфиденциальность и безопасность данных:

• размещение серверов, баз данных и файлового хранилища;
• отправка электронной почты и уведомлений;
• сбор технических журналов и отчётов об ошибках для диагностики сбоев;
• приём платежей по тарифам сервиса;
• поставщики языковых моделей искусственного интеллекта – только в объёме сообщений и данных, которые пользователь сам отправляет ИИ-помощнику. Пользователю доступны четыре модели: две от поставщиков из США, одна из Китая и одна российского поставщика; модель выбирает сам пользователь, и данные передаются поставщику выбранной им модели (см. раздел 7 о трансграничной передаче);
• мессенджеры и внешние сервисы входа – только если пользователь сам подключил соответствующую интеграцию (например Telegram) или вошёл через внешний сервис (Яндекс, VK ID);
• банки и сервисы банковских интеграций – только если пользователь сам подключил банковский счёт для загрузки выписок.

Оператор передаёт данные государственным органам, если этого требует закон и в предусмотренном законом порядке.

7. Трансграничная передача

Трансграничная передача возникает прежде всего при работе с ИИ-помощником: пользователю доступны четыре языковые модели – две от поставщиков из США, одна из Китая и одна российского поставщика (обрабатывается на территории Российской Федерации). Модель выбирает сам пользователь; данные, которые он отправляет ИИ-помощнику, передаются поставщику выбранной модели в соответствующую страну (США, Китай или Россия). Отдельные поставщики инфраструктуры также могут находиться за пределами Российской Федерации.

До начала трансграничной передачи персональных данных оператор направляет в Роскомнадзор отдельное уведомление о намерении осуществлять трансграничную передачу – независимо от того, обеспечивает ли государство получателя адекватную защиту прав субъектов персональных данных (ст. 12 152-ФЗ в редакции, действующей с 01.03.2023). Это уведомление подаётся отдельно от уведомления об обработке персональных данных.

При передаче в государства, не обеспечивающие адекватной защиты, оператор дополнительно получает от получателей сведения о принимаемых мерах защиты персональных данных и об условиях их обработки; уполномоченный орган вправе ограничить или запретить такую передачу. В этом случае передача осуществляется на основании отдельного согласия субъекта на трансграничную передачу.

8. Данные третьих лиц, которые вносит пользователь

Внося в сервис данные других людей – работников, контрагентов, клиентов своей компании, – пользователь подтверждает, что имеет на это правовое основание, а оператором в отношении этих данных является сам пользователь (его компания). Оператор сервиса обрабатывает такие данные по поручению пользователя, в объёме, необходимом для работы сервиса, и не использует их в своих целях.

Обращения субъектов по таким данным следует адресовать оператору сервиса – он перенаправит их соответствующей компании и поможет исполнить требование.

9. Сроки хранения

Персональные данные хранятся, пока существует аккаунт пользователя, а после удаления аккаунта – не дольше, чем это необходимо для целей обработки, за исключением данных, которые оператор обязан хранить по закону (в частности документы бухгалтерского и налогового учёта – в течение установленных законом сроков).

Факт предоставления согласия фиксируется в журнале: дата и время, версия документа, IP-адрес и данные браузера. Эта запись сохраняется как подтверждение согласия и после удаления аккаунта.

Ориентировочные сроки хранения: учётные и профильные данные – до удаления аккаунта; запись о факте предоставления согласия – 3 года после его отзыва (для подтверждения правомерности обработки); документы бухгалтерского и налогового учёта – в течение установленных законом сроков (как правило, 5 лет).

По достижении целей обработки, истечении срока хранения или в случае отзыва согласия персональные данные подлежат уничтожению или обезличиванию не позднее 30 дней; факт уничтожения оператор фиксирует документально.

10. Меры защиты персональных данных

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий (ст. 18.1 и ст. 19 152-ФЗ), в том числе:

• назначение лица, ответственного за организацию обработки персональных данных;
• ограничение и разграничение доступа к персональным данным по ролям;
• шифрование данных при передаче и хранение паролей в виде необратимого хеша;
• размещение инфраструктуры с персональными данными граждан РФ на территории Российской Федерации;
• ведение журналов доступа и действий, регулярное резервное копирование;
• контроль за поставщиками, действующими по поручению оператора.

При установлении факта неправомерной или случайной передачи персональных данных (в том числе утечки) оператор уведомляет Роскомнадзор в течение 24 часов о самом инциденте и в течение 72 часов – о результатах внутреннего расследования (ч. 3.1 ст. 21 152-ФЗ). Если инцидент затрагивает данные, внесённые компанией-пользователем, оператор уведомляет также эту компанию.

11. Файлы cookie и технические данные

Сервис использует файлы cookie и аналогичные технологии (локальное хранилище браузера) для работы аутентификации, сохранения настроек интерфейса и обеспечения безопасности. Часть этих данных является технической и необходима для функционирования сервиса; без неё вход и работа в сервисе невозможны.

Вы можете ограничить использование cookie в настройках браузера, однако это может нарушить работу сервиса.

12. Права субъекта персональных данных

Субъект персональных данных вправе:

• получать информацию об обработке своих персональных данных;
• требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны или обрабатываются неправомерно;
• отозвать согласие на обработку персональных данных;
• обжаловать действия или бездействие оператора в Роскомнадзор или в судебном порядке.

Обращения по этим вопросам направляйте на support@arwaro.ai. Ответ на запрос о предоставлении информации об обработке оператор даёт в срок не позднее 10 рабочих дней со дня обращения (срок может быть продлён не более чем на 5 рабочих дней с уведомлением заявителя). При выявлении неправомерной обработки или неточности данных оператор блокирует или уточняет их в срок до 7 рабочих дней. Порядок отзыва согласия описан в документе «Согласие на обработку персональных данных».

13. Изменения Политики

Действующая редакция Политики всегда опубликована на этой странице. Оператор вправе изменять Политику; при изменениях, затрагивающих существо обработки (цели, состав данных или круг получателей), оператор извещает пользователей в сервисе или по электронной почте.