Privacy Policy – how we handle personal data

Редакция от 20 октября 2026 г. · v2026-10-20

Настоящая Политика в отношении обработки персональных данных (далее – Политика) определяет порядок обработки и защиты персональных данных в сервисе «Arwaro» (ранее «i37b») и разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

Политика применяется ко всем персональным данным, которые обрабатывает оператор: данным пользователей сервиса, а также данным работников, соискателей, контрагентов, клиентов, посетителей сайта, учащихся и студентов (раздел 13). Используя сервис, вы подтверждаете, что ознакомились с настоящей Политикой.

1. Оператор

Общество с ограниченной ответственностью «АРВАРО» (ООО «АРВАРО»), ОГРН 1261600023981, ИНН 1655514200, КПП 165501001.

Адрес: 420074, Республика Татарстан, г. Казань, ул. Петербургская, д. 52.

Оператором назначено лицо, ответственное за организацию обработки персональных данных (ст. 22.1 152-ФЗ). Обращения по вопросам обработки персональных данных направляйте на support@arwaro.ai или ceo@arwaro.ai.

Сервис включает сайт arwaro.ai, веб-приложение app.arwaro.ai, документацию docs.arwaro.ai, сообщество forum.arwaro.ai и Telegram-бот сервиса.

2. Правовые основания обработки

Оператор обрабатывает персональные данные на следующих основаниях:

согласие субъекта на обработку персональных данных (ст. 6 и ст. 9 152-ФЗ), которое вы даёте при регистрации;
исполнение договора (пользовательского соглашения), стороной которого является субъект персональных данных;
исполнение обязанностей, возложенных на оператора законодательством Российской Федерации;
осуществление прав и законных интересов оператора, не нарушающих прав и свобод субъекта.

3. Категории субъектов и состав персональных данных

Оператор обрабатывает данные пользователей, которые регистрируются в сервисе и работают в нём, а также данные о работниках, контрагентах и клиентах компаний-пользователей – в объёме, который пользователи сами вносят в сервис (см. раздел 8).

Перечень обрабатываемых персональных данных пользователя:

фамилия, имя, отчество (или указанное вами имя);
адрес электронной почты;
номер мобильного телефона;
пароль в виде необратимого хеша (сам пароль оператору неизвестен);
идентификатор и открытые данные профиля внешнего сервиса, если вы входите через Яндекс или VK ID;
фотография профиля (аватар), если вы её загрузили;
должность и роль в компании, к которой вы присоединены в сервисе;
данные, которые вы сами вносите в сервис: контрагенты, работники, суммы, комментарии, файлы и вложения;
техническая информация: IP-адрес, данные браузера и устройства (User-Agent), язык интерфейса, дата и время действий, журналы ошибок;
история переписки со службой поддержки и с ИИ-помощником сервиса.

Оператор не обрабатывает специальные категории персональных данных (о расе, национальности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни) и биометрические персональные данные. Фото и видео изображение лица и запись голоса оператор использует только в случаях, указанных в разделе 13, и не применяет их для установления личности.

4. Цели обработки

Персональные данные обрабатываются исключительно для того, чтобы:

зарегистрировать пользователя, создать аккаунт и подтвердить, что вход выполняет именно он;
предоставлять функциональность сервиса и хранить внесённые пользователем данные;
разграничивать доступ участников компании к данным и подтверждать полномочия;
отправлять служебные сообщения: подтверждение регистрации, восстановление пароля, уведомления о событиях в сервисе, изменения условий;
вести расчёты по тарифам, выставлять и подтверждать оплату;
обеспечивать работоспособность и безопасность: диагностика сбоев, защита от несанкционированного доступа и злоупотреблений;
отвечать на обращения в службу поддержки;
улучшать сервис на основании обезличенной статистики использования;
исполнять обязанности, возложенные на оператора законом.

Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки персональных данных, и не использует данные для рекламных рассылок третьих лиц.

5. Порядок и способы обработки

Оператор совершает с персональными данными следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение.

Обработка ведётся смешанным способом – с использованием средств автоматизации и без них. Запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, расположенных на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).

6. Передача данных и поручение обработки

Оператор не продаёт персональные данные и не передаёт их третьим лицам для их собственных целей. Часть операций выполняют поставщики инфраструктуры, действующие по поручению оператора и обязанные обеспечивать конфиденциальность и безопасность данных:

размещение серверов, баз данных и файлового хранилища;
отправка электронной почты и уведомлений;
сбор технических журналов и отчётов об ошибках для диагностики сбоев;
приём платежей по тарифам сервиса;
поставщики языковых моделей искусственного интеллекта – только в объёме сообщений и данных, которые пользователь сам отправляет ИИ-помощнику. Пользователю доступны четыре модели: две от поставщиков из США, одна из Китая и одна российского поставщика; модель выбирает сам пользователь, и данные передаются поставщику выбранной им модели (см. раздел 7 о трансграничной передаче);
мессенджеры и внешние сервисы входа – только если пользователь сам подключил соответствующую интеграцию (например Telegram) или вошёл через внешний сервис (Яндекс, VK ID);
банки и сервисы банковских интеграций – только если пользователь сам подключил банковский счёт для загрузки выписок.

Оператор передаёт данные государственным органам, если этого требует закон и в предусмотренном законом порядке.

7. Трансграничная передача

Трансграничная передача возникает прежде всего при работе с ИИ-помощником: пользователю доступны четыре языковые модели – две от поставщиков из США, одна из Китая и одна российского поставщика (обрабатывается на территории Российской Федерации). Модель выбирает сам пользователь; данные, которые он отправляет ИИ-помощнику, передаются поставщику выбранной модели в соответствующую страну (США, Китай или Россия). Отдельные поставщики инфраструктуры также могут находиться за пределами Российской Федерации.

До начала трансграничной передачи персональных данных оператор направляет в Роскомнадзор отдельное уведомление о намерении осуществлять трансграничную передачу – независимо от того, обеспечивает ли государство получателя адекватную защиту прав субъектов персональных данных (ст. 12 152-ФЗ в редакции, действующей с 01.03.2023). Это уведомление подаётся отдельно от уведомления об обработке персональных данных.

При передаче в государства, не обеспечивающие адекватной защиты, оператор дополнительно получает от получателей сведения о принимаемых мерах защиты персональных данных и об условиях их обработки; уполномоченный орган вправе ограничить или запретить такую передачу. В этом случае передача осуществляется на основании отдельного согласия субъекта на трансграничную передачу.

8. Данные третьих лиц, которые вносит пользователь

Внося в сервис данные других людей – работников, контрагентов, клиентов своей компании, – пользователь подтверждает, что имеет на это правовое основание, а оператором в отношении этих данных является сам пользователь (его компания). Оператор сервиса обрабатывает такие данные по поручению пользователя, в объёме, необходимом для работы сервиса, и не использует их в своих целях.

Обращения субъектов по таким данным следует адресовать оператору сервиса – он перенаправит их соответствующей компании и поможет исполнить требование.

9. Сроки хранения

Персональные данные хранятся, пока существует аккаунт пользователя, а после удаления аккаунта – не дольше, чем это необходимо для целей обработки, за исключением данных, которые оператор обязан хранить по закону (в частности документы бухгалтерского и налогового учёта – в течение установленных законом сроков).

Факт предоставления согласия фиксируется в журнале: дата и время, версия документа, IP-адрес и данные браузера. Эта запись сохраняется как подтверждение согласия и после удаления аккаунта.

Ориентировочные сроки хранения: учётные и профильные данные – до удаления аккаунта; запись о факте предоставления согласия – 3 года после его отзыва (для подтверждения правомерности обработки); документы бухгалтерского и налогового учёта – в течение установленных законом сроков (как правило, 5 лет).

По достижении целей обработки, истечении срока хранения или в случае отзыва согласия персональные данные подлежат уничтожению или обезличиванию не позднее 30 дней; факт уничтожения оператор фиксирует документально.

10. Меры защиты персональных данных

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий (ст. 18.1 и ст. 19 152-ФЗ), в том числе:

назначение лица, ответственного за организацию обработки персональных данных;
ограничение и разграничение доступа к персональным данным по ролям;
шифрование данных при передаче и хранение паролей в виде необратимого хеша;
размещение инфраструктуры с персональными данными граждан РФ на территории Российской Федерации;
ведение журналов доступа и действий, регулярное резервное копирование;
контроль за поставщиками, действующими по поручению оператора.

При установлении факта неправомерной или случайной передачи персональных данных (в том числе утечки) оператор уведомляет Роскомнадзор в течение 24 часов о самом инциденте и в течение 72 часов – о результатах внутреннего расследования (ч. 3.1 ст. 21 152-ФЗ). Если инцидент затрагивает данные, внесённые компанией-пользователем, оператор уведомляет также эту компанию.

11. Файлы cookie и технические данные

Сервис использует файлы cookie и аналогичные технологии (локальное хранилище браузера) для работы аутентификации, сохранения настроек интерфейса и обеспечения безопасности. Часть этих данных является технической и необходима для функционирования сервиса; без неё вход и работа в сервисе невозможны.

Вы можете ограничить использование cookie в настройках браузера, однако это может нарушить работу сервиса.

12. Права субъекта персональных данных

Субъект персональных данных вправе:

получать информацию об обработке своих персональных данных;
требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны или обрабатываются неправомерно;
отозвать согласие на обработку персональных данных;
обжаловать действия или бездействие оператора в Роскомнадзор или в судебном порядке.

Обращения по этим вопросам направляйте на support@arwaro.ai. Ответ на запрос о предоставлении информации об обработке оператор даёт в срок не позднее 10 рабочих дней со дня обращения (срок может быть продлён не более чем на 5 рабочих дней с уведомлением заявителя). При выявлении неправомерной обработки или неточности данных оператор блокирует или уточняет их в срок до 7 рабочих дней. Порядок отзыва согласия описан в документе «Согласие на обработку персональных данных».

13. Обработка персональных данных вне сервиса

13.1. Работники и соискатели

Цель: ведение кадрового и бухгалтерского учета, исполнение требований трудового, налогового законодательства, законодательства о страховых взносах и о воинском учете, рассмотрение кандидатов на вакансии.

Правовые основания: Трудовой кодекс РФ, Налоговый кодекс РФ, Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете», Федеральный закон от 28.03.1998 № 53-ФЗ «О воинской обязанности и военной службе», трудовой договор, согласие соискателя.

Состав данных: фамилия, имя, отчество; дата и место рождения; паспортные данные; адрес регистрации и проживания; ИНН; СНИЛС; телефон; адрес электронной почты; сведения об образовании, трудовой деятельности и стаже; должность; сведения о заработной плате; реквизиты банковского счета; семейное положение; сведения о воинском учете; фото изображение лица; сведения о периодах временной нетрудоспособности (без указания диагноза).

Сроки хранения: кадровые документы хранятся в течение сроков, установленных законодательством об архивном деле (как правило, 50 лет); документы бухгалтерского и налогового учета в течение 5 лет; данные соискателя, которому отказано в приеме, уничтожаются в течение 30 дней после принятия решения, если соискатель не дал согласие на включение в кадровый резерв.

13.2. Контрагенты, клиенты и их представители

Цель: подготовка, заключение и исполнение договоров, ведение переписки, выставление счетов и документов.

Правовые основания: договор, стороной которого является субъект или представляемое им лицо; исполнение обязанностей оператора по законодательству о бухгалтерском и налоговом учете.

Состав данных: фамилия, имя, отчество; должность; телефон; адрес электронной почты; ИНН; реквизиты банковского счета и банковской карты; сведения о трудовой деятельности в объеме, необходимом для договора; фото и видео изображение лица и данные голоса при проведении видеовстреч и их записи с согласия участников.

Срок хранения: в течение срока действия договора и 5 лет после его окончания.

13.3. Учащиеся и студенты

Цель: организация стажировок, практики, обучающих мероприятий и вебинаров.

Правовые основания: согласие субъекта, договор о практике или стажировке.

Состав данных: фамилия, имя, отчество; телефон; адрес электронной почты; сведения об образовательной организации и обучении; фото и видео изображение лица и данные голоса при записи обучающих мероприятий с согласия участников.

Срок хранения: до достижения цели или отзыва согласия.

13.4. Посетители сайта

Цель: обеспечение работы сайта, обработка обращений, отправленных через формы сайта, обезличенная статистика посещений.

Правовые основания: согласие субъекта, законный интерес оператора.

Состав данных: имя и контактные данные, указанные в форме; файлы cookie; IP-адрес; данные браузера и устройства.