Политика конфиденциальности

1.1. Настоящая Политика конфиденциальности (далее — «Политика») определяет порядок обработки и защиты персональных данных пользователей сервиса АО ЦОММ(далее — «Сервис»).

1.2. Оператором персональных данных является Автономная некоммерческая организация «Центр Организации Массовых Мероприятий», зарегистрированное по адресу: Москва.

1.3. Настоящая Политика носит информационный характер и не заменяет отдельное согласие на обработку персональных данных. Согласие даётся субъектом отдельным действием в соответствующих формах Сервиса (ст. 9 ФЗ-152). Если вы не согласны с условиями Политики, не используйте Сервис и не направляйте персональные данные.

1.4. Мы можем обновлять настоящую Политику. При внесении существенных изменений мы уведомим вас по электронной почте или через уведомления в Сервисе.

3.1. Мы используем ваши персональные данные для следующих целей:

• Предоставление доступа к Сервису и его функциям
• Идентификация пользователя и управление учетной записью
• Обработка заявок, обращений и проектных материалов
• Связь с вами по вопросам использования Сервиса
• Отправка уведомлений о важных событиях
• Обеспечение безопасности и предотвращение мошенничества
• Улучшение качества Сервиса и разработка новых функций
• Соблюдение законодательных требований
• Статистический анализ и аналитика (в обезличенном виде)

4.1. Обработка персональных данных осуществляется на основании:

• Вашего согласия на обработку персональных данных
• Необходимости исполнения договора (Пользовательского соглашения)
• Требований законодательства Российской Федерации
• Защиты жизни, здоровья или иных жизненно важных интересов

5.1. Мы применяем технические и организационные меры для защиты ваших персональных данных от несанкционированного доступа, изменения, раскрытия или уничтожения.

5.2. Меры безопасности включают:

• Шифрование паролей с использованием алгоритма bcrypt
• Использование защищенного протокола HTTPS
• Защита от SQL-инъекций и XSS-атак
• Регулярное резервное копирование данных
• Ограничение доступа к персональным данным
• Мониторинг подозрительной активности
• Уведомления о входах с новых устройств

5.3. Сроки хранения персональных данных по категориям:

5.4. После удаления учетной записи ваши персональные данные удаляются или обезличиваются в течение 30 дней.

5.5. Сквозное шифрование сообщений (E2EE):

Сообщения между пользователями в рамках Сервиса защищены сквозным шифрованием (End-to-End Encryption, E2EE) с использованием алгоритма P-256 (ECDH с кривой prime256v1). Ключи шифрования генерируются непосредственно на устройстве пользователя с помощью WebCrypto API. Приватный ключ никогда не покидает устройство пользователя и недоступен серверу Сервиса. Мы технически не можем расшифровать содержимое ваших сообщений. На серверах хранятся только зашифрованные данные.

6.1. Мы не продаём и не передаём ваши персональные данные третьим лицам, за исключением случаев, описанных ниже.

6.2. Поручители обработки персональных данных:

Поставщики за пределами РФ привлекаются на основании ст. 12 ФЗ-152. Идентификаторы аккаунта (ФИО, email, телефон) в запросы к ИИ и STT не подставляются, однако голосовое сообщение и текст запроса сами по себе могут содержать персональные данные субъекта.

6.3. По требованию закона данные могут быть переданы государственным органам при наличии законного запроса.

6.4. Все поручители обработки обязаны соблюдать конфиденциальность и использовать данные только для указанных целей на основании заключённых соглашений.

6.5. Google Analytics (GA4) не используется. Аналитика посещаемости ограничена Яндекс.Метрикой, скрипт которой загружается только после вашего согласия на категорию cookies «Аналитика» (см. раздел 8).

7.1. В соответствии с ФЗ-152 вы имеете право:

• Доступ к данным: получить информацию о том, какие данные мы храним о вас
• Исправление данных: исправить неточные или неполные данные
• Удаление данных: запросить удаление ваших персональных данных
• Ограничение обработки: ограничить обработку ваших данных
• Портируемость данных: получить копию ваших данных в структурированном формате
• Отзыв согласия: отозвать согласие на обработку данных в любое время
• Возражение: возразить против обработки ваших данных

7.2. Для реализации своих прав вы можете воспользоваться разделом«Мои данные» в личном кабинете или связаться с нами по email:info@gucomm.ru

8.1. Мы используем cookies и аналогичные технологии для улучшения работы Сервиса, аналитики и персонализации.

8.2. Типы используемых cookies:

• Необходимые cookies: обеспечивают базовую функциональность (аутентификация, безопасность)
• Функциональные cookies: запоминают ваши предпочтения (язык, тема)
• Аналитические cookies (Яндекс.Метрика): помогают понять, как используется Сервис

8.3. Аналитические cookies Яндекс.Метрика:

8.3. Вы можете управлять cookies через настройки вашего браузера. Обратите внимание, что отключение cookies может ограничить функциональность Сервиса.

9.1. Сервис может использоваться несовершеннолетними только при наличии согласия родителя или иного законного представителя в случаях, предусмотренных интерфейсом и внутренними процедурами Сервиса.

9.2. Если вы являетесь родителем или законным представителем и обнаружили, что данные несовершеннолетнего были предоставлены без требуемого согласия, свяжитесь с нами по адресу info@gucomm.ru для проверки, ограничения обработки или удаления данных.

10.1. Первичный сбор, систематизация, накопление, хранение и обработка персональных данных пользователей — граждан РФ осуществляется с использованием баз данных, находящихся на территории Российской Федерации (Timeweb Cloud, регион ru-1).

10.2. ФИО, email, телефон и платёжные реквизиты как поля профиля в зарубежные базы Оператором не выгружаются. За пределы РФ в рамках отдельных функций Сервиса передаются:

• текст запроса к ИИ-функциям (без идентификаторов аккаунта) — OpenAI и OpenRouter;
• аудио голосового сообщения и полученный текст расшифровки — OpenRouter / Groq / OpenAI Whisper (при использовании серверной транскрибации);
• IP-адрес и технические данные устройства — Cloudflare Turnstile (если капча ещё не переключена на Yandex SmartCaptcha);
• IP-адрес при загрузке файла модели распознавания речи — CDN Hugging Face;
• первые 5 символов SHA-1 хеша пароля (k-anonymity) — Have I Been Pwned;
• диагностические сведения об ошибках — Sentry (если ключ включён на проде).

10.3. Указанные поставщики обрабатывают данные на основании ст. 12 ФЗ-152, с минимизацией состава передаваемых сведений и без прямой идентификации субъекта ПДн. Если в дальнейшем состав зарубежных поставщиков изменится, эта таблица и уведомление в РКН (при необходимости) будут обновлены.

10.4. Полный перечень поручителей обработки данных, включая указанных выше зарубежных поставщиков, приведён в разделе 6 настоящей Политики.

11.1. По вопросам, связанным с обработкой персональных данных, вы можете связаться с нами:

11.2. Мы обязуемся рассмотреть ваше обращение в течение 30 дней с момента получения.

12.1. Мы оставляем за собой право вносить изменения в настоящую Политику. Актуальная версия всегда доступна на этой странице.

12.2. При внесении существенных изменений мы уведомим вас по электронной почте или через уведомления в Сервисе не менее чем за 7 дней до вступления изменений в силу.

12.3. Продолжение использования Сервиса после вступления изменений в силу означает ваше согласие с обновленной Политикой.

13.1. Настоящая Политика регулируется законодательством Российской Федерации.

13.2. Все споры, связанные с обработкой персональных данных, разрешаются путем переговоров. В случае недостижения согласия спор передается на рассмотрение в суд по месту нахождения Оператора.

13.3. Вы также имеете право обратиться в Роскомнадзор с жалобой на обработку ваших персональных данных.

14.1. В случае выявления инцидента безопасности, повлёкшего несанкционированный доступ к персональным данным пользователей, Оператор обязуется:

• В течение 24 часов с момента обнаружения уведомить Роскомнадзор (РКН) в соответствии со ст. 21.1 ФЗ-152 и приказом РКН № 178 от 14.11.2022.
• В течение 72 часов направить уведомление пострадавшим пользователям с описанием характера инцидента, категорий затронутых данных и рекомендациями по защите.

14.2. Уведомление пользователям направляется на email-адрес, указанный при регистрации. Дополнительно размещается общее уведомление на сайте Сервиса.

14.3. Оператор ведёт внутренний реестр инцидентов безопасности с фиксацией даты обнаружения, характера инцидента, затронутых категорий данных и принятых мер по устранению последствий.

14.4. По вопросам, связанным с инцидентами безопасности, вы можете обратиться по адресу: security@gucomm.ru