ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

ООО «АЙТИ БИЗНЕС ПАРТНЕР»

Редакция № 2. Дата публикации и вступления в силу: 23 сентября 2026 года

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») определяет основные принципы, цели, условия и способы обработки персональных данных, осуществляемой Обществом с ограниченной ответственностью «АЙТИ БИЗНЕС ПАРТНЕР» (далее — «Оператор»), категории субъектов и персональных данных, сроки их обработки и хранения, порядок реализации прав субъектов персональных данных, а также меры, принимаемые Оператором для обеспечения безопасности персональных данных.

1.2. Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ»), Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 13.03.2006 № 38-ФЗ «О рекламе», постановлением Правительства Российской Федерации от 01.11.2012 № 1119, иными нормативными правовыми актами Российской Федерации в области обработки и защиты персональных данных.

1.3. Политика опубликована во исполнение части 2 статьи 18.1 152-ФЗ, является общедоступным документом и размещается на сайте Оператора https://shining-ai.ru/ (далее — «Сайт»), а также доступна на страницах Сайта и в интерфейсах Сервисов, где осуществляется сбор персональных данных.

1.4. Оператор обеспечивает защиту прав и свобод человека и гражданина при обработке персональных данных, в том числе права на неприкосновенность частной жизни, личную и семейную тайну.

1.5. Политика применяется к персональным данным, которые Оператор получает и обрабатывает:

1.5.1. при использовании Сайта;

1.5.2. при регистрации и использовании Личного кабинета и Сервисов «Сияние» (ИИ Хаб и ИИ-платформа «Сияние»);

1.5.3. при заключении и исполнении договоров, включая договор, заключённый на условиях Публичной оферты о заключении договора на оказание услуг доступа к Сервисам «Сияние» (далее — «Оферта»);

1.5.4. при взаимодействии с заказчиками, контрагентами, потенциальными заказчиками и их представителями;

1.5.5. при обработке обращений, запросов и заявок;

1.5.6. при осуществлении иных видов деятельности Оператора.

1.6. Оператор осуществляет обработку персональных данных в двух качествах:

1.6.1. как оператор, самостоятельно определяющий цели и состав обработки (разделы 4–6 Политики);

1.6.2. как лицо, осуществляющее обработку персональных данных по поручению Заказчика в соответствии с частью 3 статьи 6 152-ФЗ, — в отношении персональных данных, содержащихся в Контенте Заказчика (раздел 7 Политики).

1.7. Политика не является договором и не заменяет согласие субъекта персональных данных. В случаях, когда для обработки требуется согласие, оно предоставляется отдельно (раздел 5 Политики).

2. Основные понятия

2.1. В Политике используются понятия в значениях, установленных 152-ФЗ, а также следующие термины:

2.1.1. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).

2.1.2. Обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без их использования, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

2.1.3. Оператор — ООО «АЙТИ БИЗНЕС ПАРТНЕР» (ОГРН 1227700432838, ИНН 9718197871). В Оферте, Условиях использования Сервисов и Условиях использования внешних моделей и инструментов Оператор именуется «Исполнитель».

2.1.4. Субъект персональных данных — физическое лицо, к которому относятся персональные данные.

2.1.5. Заказчик — юридическое лицо, заключившее с Оператором договор на условиях Оферты или Индивидуальный договор о предоставлении доступа к Сервисам.

2.1.6. Пользователь — физическое лицо (работник или иной представитель Заказчика), которому Заказчик предоставил доступ к Сервисам.

2.1.7. Сервисы — ИИ Хаб и ИИ-платформа «Сияние», предоставляемые Оператором по облачной модели, включая Личный кабинет.

2.1.8. Контент — Запросы, Результаты, история диалогов, журналы прогонов ИИ-агентов, документы баз знаний, настройки ИИ-агентов и иные данные, загруженные Заказчиком в Сервисы или сформированные в Сервисах в результате их использования Заказчиком.

2.1.9. Модель — программная модель искусственного интеллекта, доступная через Сервисы. Внешняя Модель — Модель, Запросы к которой обрабатываются на инфраструктуре Провайдера, в том числе за пределами Российской Федерации. Внутренняя Модель — Модель, размещённая на инфраструктуре, используемой Оператором на территории Российской Федерации.

2.1.10. Провайдер — третье лицо, предоставляющее Оператору доступ к Модели (разработчик, оператор Модели либо посредник — агрегатор, реселлер, оператор шлюза доступа).

2.1.11. Внешний Инструмент — Внешняя Модель, а также информационная система, API, MCP-сервер, база данных или иной программный компонент, не входящий в состав Сервисов, в который данные передаются из Сервисов по инициативе и в соответствии с настройками Заказчика или Пользователя.

2.1.12. Карточка Модели — размещённые в Личном кабинете сведения о Модели, включая Провайдера и иных лиц, участвующих в обработке Запросов, государства их местонахождения, место обработки данных и условия обработки данных.

2.1.13. Уполномоченный орган — Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).

3. Принципы обработки персональных данных

3.1. Обработка персональных данных осуществляется на законной и справедливой основе.

3.2. Обработка персональных данных ограничивается достижением конкретных, заранее определённых и законных целей. Не допускается обработка персональных данных, несовместимая с целями их сбора.

3.3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

3.4. Обработке подлежат только персональные данные, которые отвечают целям их обработки. Содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки; не допускается избыточность обрабатываемых персональных данных по отношению к заявленным целям.

3.5. При обработке персональных данных обеспечивается их точность, достаточность и, в необходимых случаях, актуальность по отношению к целям обработки. Оператор принимает необходимые меры либо обеспечивает их принятие по удалению или уточнению неполных или неточных данных.

3.6. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

4. Цели обработки, категории субъектов и персональных данных, правовые основания и сроки

4.1. Оператор обрабатывает персональные данные в собственных целях в объёме и на основаниях, указанных в таблице.

4.2. Оператор не осуществляет обработку специальных категорий персональных данных (статья 10 152-ФЗ) и биометрических персональных данных (статья 11 152-ФЗ) в собственных целях. Включение таких данных в Контент Заказчика запрещено условиями Оферты (пункт 11.7 Оферты).

4.3. Оператор не осуществляет обработку персональных данных, разрешённых субъектом для распространения, в целях распространения.

4.4. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных (статья 16 152-ФЗ). Использование Заказчиком Сервисов для принятия таких решений допускается только в случаях и порядке, предусмотренных статьёй 16 152-ФЗ, под ответственность Заказчика.

5. Правовые основания обработки и согласие

5.1. Правовыми основаниями обработки персональных данных являются основания, предусмотренные частью 1 статьи 6 152-ФЗ и указанные для каждой цели обработки в разделе 4 Политики, в том числе:

5.1.1. договоры, стороной которых, выгодоприобретателем или поручителем по которым является субъект персональных данных, а также договоры, заключаемые по инициативе субъекта;

5.1.2. необходимость исполнения обязанностей, возложенных на Оператора законодательством Российской Федерации;

5.1.3. необходимость осуществления прав и законных интересов Оператора или третьих лиц при условии, что при этом не нарушаются права и свободы субъекта персональных данных;

5.1.4. согласие субъекта персональных данных — в случаях, когда иное основание неприменимо, а также в случаях, когда получение согласия прямо предусмотрено законом (направление рекламных сообщений, использование необязательных файлов cookie).

5.2. Согласие на обработку персональных данных является конкретным, предметным, информированным, сознательным и однозначным и оформляется отдельно от иной информации и документов, которые подписываются или подтверждаются субъектом (часть 1 статьи 9 152-ФЗ в редакции Федерального закона от 24.06.2025 № 156-ФЗ). На Сайте и в Сервисах согласие предоставляется путём проставления отметки в отдельном поле, не отмеченном по умолчанию, рядом с которым размещены ссылки на текст Согласия на обработку персональных данных и на Политику. Согласие на получение рекламных сообщений и согласие на использование необязательных файлов cookie оформляются отдельными отметками.

5.3. Ознакомление с Политикой само по себе не является согласием на обработку персональных данных. Принятие Оферты, Условий использования Сервисов или иных документов Оператора также не является согласием на обработку персональных данных.

5.4. Оператор фиксирует факт предоставления согласия (дата, время, идентификатор сеанса или учётной записи, IP-адрес, редакция Согласия, форма или интерфейс, через который предоставлено согласие) и хранит такие сведения в течение срока обработки персональных данных и 3 лет после его окончания для подтверждения наличия согласия.

5.5. Согласие может быть отозвано субъектом в порядке, установленном разделом 15 Политики. Отзыв согласия не влияет на законность обработки, осуществлённой до его отзыва, и не препятствует продолжению обработки при наличии иного законного основания, предусмотренного частью 1 статьи 6 152-ФЗ.

5.6. Оператор не обусловливает заключение договора или предоставление услуг предоставлением согласия на обработку персональных данных, не являющихся необходимыми для заключения и исполнения договора.

6. Категории субъектов и персональных данных, обрабатываемых Оператором в собственных целях

6.1. Категории субъектов персональных данных:

6.1.1. представители и работники Заказчиков и контрагентов;

6.1.2. Пользователи Сервисов;

6.1.3. представители потенциальных заказчиков;

6.1.4. лица, направляющие Оператору обращения, заявки и запросы;

6.1.5. посетители Сайта;

6.1.6. иные физические лица, персональные данные которых поступают Оператору на законных основаниях.

6.2. Категории персональных данных: фамилия, имя, отчество; должность и место работы; сведения об организации, которую представляет субъект, и о его полномочиях; номер телефона; адрес электронной почты; сведения учётной записи и идентификаторы пользователя; сведения о правах доступа; сведения о действиях в Личном кабинете и Сервисах; технические сведения об устройстве, браузере, операционной системе и подключении; IP-адрес; сведения о заключённых договорах и взаиморасчётах; сведения, содержащиеся в обращениях и запросах; иные персональные данные, предоставленные субъектом либо полученные Оператором на законных основаниях в объёме, необходимом для целей, указанных в разделе 4.

6.3. Источники получения персональных данных: непосредственно субъект персональных данных (формы Сайта, регистрация, обращения, переписка); Заказчик — в отношении своих представителей и Пользователей; общедоступные источники (ЕГРЮЛ, официальные сайты организаций) — в объёме сведений о представителях юридических лиц; автоматическая фиксация технических сведений при использовании Сайта и Сервисов.

6.4. Если персональные данные Пользователя получены Оператором от Заказчика, а не от самого Пользователя, Оператор уведомляет Пользователя об обработке его персональных данных при первом входе в Сервисы (часть 3 статьи 18 152-ФЗ); текст уведомления включён в Условия использования Сервисов. Заказчик обеспечивает наличие законных оснований для передачи персональных данных Пользователей Оператору.

7. Обработка персональных данных по поручению Заказчика

7.1. При использовании Сервисов Заказчик может по своему усмотрению загружать в Сервисы Контент, содержащий персональные данные третьих лиц (работников, клиентов, контрагентов Заказчика и иных лиц). В отношении таких персональных данных Заказчик является оператором: он самостоятельно определяет цели, состав и правовые основания обработки, исполняет обязанности перед субъектами персональных данных и Уполномоченным органом и несёт ответственность перед субъектами персональных данных (части 3, 4, 6 статьи 6 152-ФЗ).

7.2. Оператор осуществляет обработку персональных данных, содержащихся в Контенте, исключительно по поручению Заказчика, в пределах целей, состава и операций, определённых договором с Заказчиком. Условия поручения на обработку персональных данных содержатся в разделе 13 Оферты либо в отдельном соглашении (поручении), заключённом с Заказчиком.

7.3. Оператор при обработке персональных данных по поручению Заказчика: соблюдает принципы и правила обработки персональных данных, установленные 152-ФЗ; обеспечивает конфиденциальность и безопасность персональных данных (статья 19 152-ФЗ); не использует такие данные в собственных целях, в том числе для обучения Моделей; уведомляет Заказчика о выявленных инцидентах не позднее 24 часов с момента выявления; уничтожает персональные данные в сроки, предусмотренные договором, и по требованию Заказчика подтверждает уничтожение в порядке, установленном Уполномоченным органом (приказ Роскомнадзора от 28.10.2022 № 179).

7.4. Оператор не определяет содержание Контента, не осуществляет его предварительную проверку, не определяет необходимость получения согласия субъектов персональных данных, содержащихся в Контенте, и не осуществляет его получение: обеспечение наличия правового основания обработки, включая получение согласий в случаях, когда они требуются, возлагается на Заказчика (часть 4 статьи 6 152-ФЗ). Заказчику запрещено включать в Контент специальные категории персональных данных, биометрические персональные данные и иные сведения, указанные в пункте 11.7 Оферты, если иное прямо не предусмотрено Индивидуальным договором.

7.5. Состав персональных данных и категории субъектов, содержащихся в Контенте, определяются Заказчиком исходя из содержания загружаемого Контента; Оператор не устанавливает их заранее.

7.6. Привлечение Оператором третьих лиц к обработке персональных данных по поручению Заказчика (Провайдеров, поставщиков инфраструктуры) осуществляется в соответствии с договором с Заказчиком и разделами 9–10 Политики.

8. Способы обработки персональных данных

8.1. Оператор осуществляет обработку персональных данных с использованием средств автоматизации (информационные системы Оператора, Сайт, Сервисы) и без использования средств автоматизации (бумажные документы), а также смешанным способом.

8.2. Обработка включает следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Распространение персональных данных (раскрытие неопределённому кругу лиц) Оператором не осуществляется.

9. Передача персональных данных третьим лицам

9.1. Оператор вправе поручать обработку персональных данных третьим лицам и предоставлять им доступ к персональным данным на основании договора при наличии законного основания и в объёме, необходимом для достижения соответствующей цели обработки. К таким лицам относятся:

9.1.1. поставщик облачной инфраструктуры, на которой размещены Сайт и Сервисы, — оператор облачной платформы Yandex Cloud (ООО «Яндекс.Облако», ИНН 7704458262, ОГРН 1187746678580); серверы и базы данных находятся на территории Российской Федерации;

9.1.2. Провайдеры Моделей и посредники, через которых осуществляется доступ к Моделям, — только в отношении Контента и только при выборе Заказчиком соответствующей Модели (раздел 10);

9.1.3. оператор электронного документооборота (ООО «Компания «Тензор», система Saby (СБИС)) — в отношении сведений о представителях Заказчиков, содержащихся в электронных документах;

9.1.4. банки и платёжные провайдеры — в объёме, необходимом для проведения расчётов;

9.1.5. поставщики сервисов электронной почты, рассылок и технической поддержки — Яндекс 360 для бизнеса; сервиса веб-аналитики — Яндекс Метрика (ООО «ЯНДЕКС»); указанные сервисы размещены на территории Российской Федерации;

9.1.6. лица, привлекаемые для взыскания задолженности и юридической защиты интересов Оператора.

9.2. При поручении обработки третьему лицу Оператор заключает с ним договор (поручение), содержащий условия, предусмотренные частью 3 статьи 6 152-ФЗ, и принимает меры для обеспечения соблюдения таким лицом требований 152-ФЗ. Ответственность перед субъектом персональных данных за действия лица, осуществляющего обработку по поручению Оператора, несёт Оператор (часть 5 статьи 6 152-ФЗ).

9.3. При обработке персональных данных по поручению Заказчика привлечение третьих лиц осуществляется на условиях, предусмотренных договором с Заказчиком; сведения о привлекаемых лицах, включая Провайдеров и посредников, размещаются в Карточках Моделей в Личном кабинете, а в отношении поставщиков инфраструктуры и сервисов — в пункте 9.1 Политики.

9.4. Персональные данные могут быть предоставлены государственным органам, органам местного самоуправления, судам и иным уполномоченным организациям в случаях и порядке, предусмотренных законодательством Российской Федерации.

9.5. Оператор не продаёт персональные данные и не передаёт их третьим лицам для целей их собственного маркетинга.

10. Использование ИИ-моделей и Внешних Инструментов

10.1. Сервисы предоставляют Заказчику и Пользователям доступ к Моделям, включая Внешние Модели, а также возможность подключения Внешних Инструментов. Использование конкретной Модели или Внешнего Инструмента является выбором Заказчика (или Пользователя, действующего от его имени), сделанным с учётом сведений Карточки Модели и Условий использования внешних моделей и инструментов.

10.2. При использовании Внешней Модели Запрос и относящийся к нему контекст (в том числе персональные данные, если Заказчик включил их в Контент) передаются Провайдеру и указанным в Карточке Модели посредникам для обработки. Обработка данных Внешней Моделью осуществляется в соответствии с условиями Провайдера, указанными в Карточке Модели. При использовании Внутренней Модели данные не покидают инфраструктуру, используемую Оператором на территории Российской Федерации.

10.3. Оператор не использует Контент, включая содержащиеся в нём персональные данные, для обучения, дообучения или улучшения Моделей и не передаёт его третьим лицам для таких целей. Внешние Модели подключаются на условиях Провайдеров, не предусматривающих использование передаваемых данных для обучения моделей Провайдера; актуальные сведения об условиях обработки данных конкретным Провайдером, включая использование данных для обучения и сроки их хранения, указываются в Карточке Модели с датой актуализации сведений. При изменении Провайдером условий обработки данных Оператор актуализирует Карточку Модели и уведомляет Заказчика в порядке, предусмотренном Офертой.

10.4. Персональные данные, обрабатываемые Оператором в собственных целях (раздел 4), не передаются во Внешние Модели и Внешние Инструменты; внешние ИИ-сервисы в службе поддержки, рассылках и веб-аналитике Оператора не используются.

10.5. Сервисы могут включать средства автоматического выявления и маскирования персональных данных и иной чувствительной информации в Запросах перед их передачей Моделям и Внешним Инструментам. Такие средства носят вспомогательный характер, не гарантируют выявление всех персональных данных и не заменяют обязанность Заказчика обеспечить законное основание обработки и обезличить персональные данные в случаях, предусмотренных законом и договором.

10.6. Заказчик и Пользователи обязаны не направлять в Модели и Внешние Инструменты персональные данные третьих лиц без наличия предусмотренных законом оснований; перед передачей данных во Внешний Инструмент интерфейс Сервисов отображает соответствующее предупреждение.

11. Локализация и трансграничная передача персональных данных

11.1. При сборе персональных данных граждан Российской Федерации, в том числе посредством Сайта и Сервисов, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 152-ФЗ). Сайт и Сервисы размещены на инфраструктуре облачной платформы Yandex Cloud (ООО «Яндекс.Облако», ИНН 7704458262, ОГРН 1187746678580); серверы и базы данных находятся на территории Российской Федерации.

11.2. Оператор не осуществляет трансграничную передачу персональных данных, обрабатываемых им в собственных целях (раздел 4).

11.3. Направление Заказчиком или Пользователем во Внешнюю Модель или Внешний Инструмент, обрабатывающий данные за пределами Российской Федерации, Контента, содержащего персональные данные, является трансграничной передачей персональных данных (пункт 11 статьи 3 152-ФЗ). В этой цепочке Заказчик является оператором персональных данных, Оператор — лицом, осуществляющим обработку (включая передачу) по поручению Заказчика, а Провайдер и посредники — лицами, привлечёнными Оператором к обработке в интересах Заказчика. Заказчик как оператор обязан до начала передачи обеспечить соблюдение требований статьи 12 152-ФЗ (в редакции Федерального закона от 26.07.2026 № 265-ФЗ), включая направление в Уполномоченный орган уведомления о намерении осуществлять трансграничную передачу, и соблюдать иные установленные законодательством ограничения и условия такой передачи с учётом государства обработки данных. Сведения о государствах обработки данных каждой Внешней Моделью указываются в Карточке Модели.

11.4. Заказчик вправе обезличить персональные данные до направления Запроса во Внешнюю Модель, если это позволяет исключить передачу персональных данных; Сервисы могут предоставлять для этого вспомогательные средства (пункт 10.5). Внешние Модели, инфраструктура которых находится за пределами Российской Федерации, не должны использоваться для первичного сбора персональных данных граждан Российской Федерации с нарушением требований части 5 статьи 18 152-ФЗ.

12. Сроки обработки, хранение и уничтожение персональных данных

12.1. Персональные данные обрабатываются в течение сроков, указанных в разделе 4 Политики, а при обработке по поручению Заказчика — в течение сроков, установленных договором с Заказчиком (пункт 16.5 Оферты).

12.2. Обработка персональных данных прекращается при достижении целей обработки, истечении срока обработки, отзыве согласия (при отсутствии иного законного основания), выявлении неправомерной обработки, а также в иных случаях, предусмотренных 152-ФЗ.

12.3. По достижении целей обработки или при утрате необходимости в их достижении персональные данные уничтожаются в срок, не превышающий 30 дней (часть 4 статьи 21 152-ФЗ), либо обезличиваются, если иное не предусмотрено федеральным законом или договором. Персональные данные, хранение которых требуется законодательством о бухгалтерском и налоговом учёте, архивным законодательством или необходимо для защиты прав Оператора, хранятся в течение установленных сроков с ограничением доступа.

12.4. Уничтожение персональных данных оформляется в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179 (акт об уничтожении и/или выгрузка из журнала регистрации событий информационной системы).

12.5. Уничтожение персональных данных на бумажных носителях производится способом, исключающим восстановление; в информационных системах — способом, исключающим восстановление данных из резервных копий по истечении срока их хранения.

13. Безопасность персональных данных

13.1. Оператор принимает необходимые и достаточные правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий (статья 19 152-ФЗ).

13.2. Состав мер определяется Оператором на основании установленного уровня защищённости персональных данных в соответствии с постановлением Правительства Российской Федерации от 01.11.2012 № 1119 и приказом ФСТЭК России от 18.02.2013 № 21 с учётом характера и объёма обрабатываемых персональных данных, актуальных угроз безопасности и особенностей информационных систем.

13.3. К применяемым мерам относятся:

13.3.1. назначение лица, ответственного за организацию обработки персональных данных;

13.3.2. издание локальных актов по вопросам обработки и защиты персональных данных, ознакомление с ними работников;

13.3.3. определение угроз безопасности персональных данных и уровня защищённости;

13.3.4. разграничение прав доступа, идентификация и аутентификация пользователей информационных систем, парольная политика;

13.3.5. регистрация событий безопасности и действий пользователей, ведение журналов аудита;

13.3.6. защита каналов передачи данных (шифрование), шифрование хранимых учётных данных и секретов интеграций;

13.3.7. изоляция данных разных Заказчиков в Сервисах;

13.3.8. резервное копирование и восстановление данных;

13.3.9. применение средств защиты информации, антивирусной защиты, контроль уязвимостей и обновлений;

13.3.10. обнаружение и предотвращение несанкционированного доступа, реагирование на инциденты;

13.3.11. внутренний контроль соответствия обработки персональных данных требованиям 152-ФЗ, оценка вреда, который может быть причинён субъектам;

13.3.12. обучение работников требованиям законодательства о персональных данных.

13.4. В случае выявления неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов, Оператор уведомляет Уполномоченный орган в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов с момента выявления инцидента (часть 3.1 статьи 21 152-ФЗ). При инциденте с персональными данными, обрабатываемыми по поручению Заказчика, Оператор уведомляет Заказчика в течение 24 часов, чтобы Заказчик мог исполнить указанные обязанности.

13.5. Конкретный состав технических параметров системы защиты, конфигурация средств защиты и архитектура информационных систем не публикуются, поскольку их раскрытие может снизить уровень защищённости.

14. Права субъектов персональных данных

14.1. Субъект персональных данных имеет право:

14.1.1. получать информацию, касающуюся обработки его персональных данных, в объёме, предусмотренном частью 7 статьи 14 152-ФЗ, включая подтверждение факта обработки, правовые основания и цели, способы обработки, наименование и место нахождения Оператора, сведения о лицах, имеющих доступ к персональным данным, сроки обработки и хранения;

14.1.2. требовать уточнения своих персональных данных, их блокирования или уничтожения, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

14.1.3. отозвать согласие на обработку персональных данных, если обработка осуществляется на основании согласия;

14.1.4. отказаться от получения рекламных сообщений;

14.1.5. обжаловать действия или бездействие Оператора в Уполномоченный орган или в судебном порядке;

14.1.6. на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда в судебном порядке;

14.1.7. осуществлять иные права, предусмотренные 152-ФЗ.

14.2. Права субъектов, персональные данные которых содержатся в Контенте Заказчика, реализуются через Заказчика как оператора. Оператор оказывает Заказчику содействие в реализации прав таких субъектов в пределах, предусмотренных договором с Заказчиком. Если такое обращение поступило непосредственно Оператору, Оператор незамедлительно передаёт его Заказчику и информирует об этом субъекта.

15. Порядок обращения субъектов персональных данных

15.1. Для реализации своих прав субъект персональных данных (или его представитель) направляет Оператору запрос:

15.1.1. по электронной почте: boost@aimintegrations.ru;

15.1.2. по почтовому адресу: 107370, г. Москва, вн. тер. г. муниципальный округ Богородское, Тюменский проезд, д. 3, к. 5, кв. 100;

15.1.3. Пользователи — также через форму обращения в Личном кабинете.

15.2. Запрос должен содержать сведения, позволяющие идентифицировать субъекта и относящиеся к нему персональные данные (фамилия, имя, отчество; адрес электронной почты или номер телефона, использованный при обращении или регистрации; для Пользователей — наименование Заказчика), а также существо требования. Запрос, направленный с адреса электронной почты, который субъект использовал при регистрации или обращении, рассматривается без дополнительного подтверждения личности, если у Оператора отсутствуют обоснованные сомнения в том, что запрос направлен субъектом или его представителем. В иных случаях, а также когда это необходимо для исполнения требований части 3 статьи 14 152-ФЗ, Оператор запрашивает у заявителя сведения об основном документе, удостоверяющем личность (номер, дата выдачи и выдавший орган), либо предлагает подписать запрос электронной подписью в соответствии с законодательством Российской Федерации; представитель субъекта прилагает документ, подтверждающий полномочия.

15.3. Оператор предоставляет запрошенные сведения или мотивированный отказ в течение 10 рабочих дней с даты получения запроса; указанный срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления (части 1, 1.1 статьи 20 152-ФЗ).

15.4. При отзыве согласия Оператор прекращает обработку персональных данных, осуществляемую на основании согласия, и уничтожает их в срок, не превышающий 30 дней с даты поступления отзыва (часть 5 статьи 21 152-ФЗ), если иное не предусмотрено договором или федеральным законом либо отсутствует иное законное основание обработки. Отзыв согласия на получение рекламных сообщений исполняется незамедлительно.

15.5. При необходимости подтверждения личности заявителя Оператор вправе запросить дополнительные сведения и документы в случаях и порядке, предусмотренных законодательством Российской Федерации.

16. Файлы cookie и техническая информация

16.1. При использовании Сайта и Сервисов Оператор автоматически получает техническую информацию, необходимую для функционирования Сайта и Сервисов, обеспечения безопасности и анализа их работы: IP-адрес, сведения о браузере, операционной системе, типе устройства, дата и время обращения, адрес запрошенной страницы, идентификаторы сеанса.

16.2. Оператор использует файлы cookie и аналогичные технологии:

16.2.1. обязательные (технические) — необходимые для работы Сайта и Сервисов, аутентификации и безопасности сеанса; их использование не требует согласия и осуществляется на основании пункта 7 части 1 статьи 6 152-ФЗ;

16.2.2. аналитические и функциональные — используемые для анализа работы Сайта и запоминания настроек пользователя; такие файлы cookie устанавливаются только после получения согласия пользователя через уведомление (баннер) на Сайте. Пользователь может отозвать согласие в настройках браузера или через интерфейс баннера. Для веб-аналитики используется сервис Яндекс Метрика (ООО «ЯНДЕКС», ИНН 7736207543, ОГРН 1027700229193); данные обрабатываются на территории Российской Федерации. Код Яндекс Метрики загружается и файлы cookie этого сервиса устанавливаются только после предоставления пользователем согласия на аналитические cookie через баннер; до получения согласия сбор аналитических данных не осуществляется.

16.3. Пользователь может отключить файлы cookie в настройках браузера; при этом отдельные функции Сайта и Сервисов могут стать недоступными.

17. Организация обработки персональных данных и контроль

17.1. Лицо, ответственное за организацию обработки персональных данных, назначается приказом Оператора в соответствии со статьёй 22.1 152-ФЗ; обращения к нему направляются по адресам, указанным в разделе 15 Политики.

17.2. Оператор направил в Уполномоченный орган уведомление об обработке персональных данных в соответствии со статьёй 22 152-ФЗ и актуализирует сведения, содержащиеся в уведомлении, при их изменении в порядке, предусмотренном частью 7 статьи 22 152-ФЗ.

17.3. Оператор проводит внутренний контроль соответствия обработки персональных данных требованиям 152-ФЗ, Политике и локальным актам Оператора, оценку вреда, который может быть причинён субъектам персональных данных в случае нарушения 152-ФЗ, и соотношение указанного вреда и принимаемых мер.

18. Обновление Политики

18.1. Оператор вправе вносить изменения в Политику в связи с изменением законодательства Российской Федерации, используемых технологий, целей и порядка обработки персональных данных и иных обстоятельств.

18.2. Актуальная редакция Политики размещается на Сайте. Дата вступления новой редакции в силу указывается в начале Политики. Предыдущие редакции хранятся Оператором и предоставляются по запросу.

18.3. Изменение Политики не требует получения нового согласия субъектов персональных данных, если не изменяются цели обработки, состав персональных данных или иные условия, указанные в согласии.

19. Сведения об Операторе

Полное наименование: Общество с ограниченной ответственностью «АЙТИ БИЗНЕС ПАРТНЕР»

Сокращённое наименование: ООО «АЙТИ БИЗНЕС ПАРТНЕР»

ОГРН: 1227700432838

ИНН: 9718197871

КПП: 771801001

Юридический и почтовый адрес: 107370, г. Москва, вн. тер. г. муниципальный округ Богородское, Тюменский проезд, д. 3, к. 5, кв. 100

Электронная почта для обращений субъектов персональных данных: boost@aimintegrations.ru

Сайт: https://shining-ai.ru/

20. Сведения о реализуемых требованиях к защите персональных данных

20.1. ООО «АЙТИ БИЗНЕС ПАРТНЕР» принимает необходимые правовые, организационные и технические меры для обеспечения безопасности персональных данных в соответствии с требованиями статьи 19 152-ФЗ, постановления Правительства Российской Федерации от 01.11.2012 № 1119 и приказа ФСТЭК России от 18.02.2013 № 21.

20.2. В рамках системы защиты персональных данных Оператор осуществляет:

20.2.1. определение и документирование требований к обработке и защите персональных данных, определение уровня защищённости и актуальных угроз;

20.2.2. разграничение прав доступа к информационным системам и персональным данным;

20.2.3. идентификацию и аутентификацию пользователей;

20.2.4. регистрацию и контроль событий безопасности;

20.2.5. применение организационных и технических мер защиты информации, включая шифрование каналов передачи данных и хранимых учётных данных;

20.2.6. изоляцию данных разных Заказчиков;

20.2.7. резервное копирование и восстановление данных;

20.2.8. выявление и устранение уязвимостей;

20.2.9. контроль соблюдения требований законодательства Российской Федерации;

20.2.10. внутренний контроль и оценку соответствия обработки персональных данных установленным требованиям;

20.2.11. реагирование на инциденты информационной безопасности и уведомление Уполномоченного органа в установленные сроки;

20.2.12. обучение работников требованиям законодательства Российской Федерации о персональных данных и защите информации.

20.3. Конкретные технические параметры системы защиты, сведения о конфигурации средств защиты, архитектуре информационных систем и иная информация, раскрытие которой может снизить уровень защищённости информационных систем, не публикуются.