Политика в отношении обработки персональных данных
1. Общие положения
1.1.Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) и определяет цели, правовые основания, порядок и условия обработки персональных данных, а также меры по их защите.
1.2.Политика применяется ко всем персональным данным, которые Оператор получает при использовании сервиса «Айлу» (далее — Сервис): сайта ailu.online и его поддоменов, веб-кабинетов, мобильных приложений «Айлу» и «Айлу Pro», программного интерфейса api.ailu.online.
1.3.Политика является общедоступным документом и публикуется по адресу, указанному в заголовке, в соответствии с ч. 2 ст. 18.1 Закона о персональных данных.
1.4.Термины используются в значениях, установленных ст. 3 Закона о персональных данных.
1.5.Согласие на обработку персональных данных оформляется отдельно от настоящей Политики и иных документов:
- для пользователей с 14 лет — Согласие на обработку персональных данных;
- для детей до 14 лет — Согласие законного представителя.
2. Сведения об Операторе
| Оператор | Индивидуальный предприниматель Будучев Артем Петрович |
|---|---|
| ИНН | 720319516465 |
| Адрес для обращений по вопросам персональных данных | privacy@ailu.online |
| Служба поддержки | support@ailu.online |
| Лицо, ответственное за организацию обработки персональных данных | Будучев Артем Петрович |
| Место хранения баз данных | Российская Федерация |
3. Категории субъектов персональных данных
3.1.Оператор обрабатывает персональные данные следующих категорий субъектов:
- несовершеннолетние пользователи семейного Сервиса «Айлу» (детские профили);
- родители и иные законные представители несовершеннолетних;
- совершеннолетние пользователи Сервиса;
- работники и представители организаций, использующих Сервис: педагоги, администраторы, руководители;
- клиенты организаций (учащиеся и их родители), сведения о которых организация вносит в Сервис;
- лица, обратившиеся к Оператору с вопросами и претензиями.
4. Цели обработки, состав данных и правовые основания
4.1.Оператор обрабатывает только те персональные данные, которые отвечают заявленным целям. Обработка, не совместимая с этими целями, не допускается (ч. 2 ст. 5 Закона о персональных данных).
| Цель | Персональные данные | Правовое основание |
|---|---|---|
| Регистрация и вход в Сервис | адрес электронной почты, номер телефона, пароль в защищённом виде, имя, тип учётной записи | п. 1 и п. 5 ч. 1 ст. 6 Закона: согласие и исполнение договора |
| Общение с ИИ-собеседником текстом и голосом | текст сообщений, голосовые сообщения, сведения об интересах, возраст и класс ребёнка | п. 1 ч. 1 ст. 6, ст. 9 Закона: согласие субъекта или законного представителя |
| Поиск занятий и маршрутов | город, адрес, координаты — только при включении геолокации родителем | согласие |
| Родительский контроль и безопасность ребёнка | связь родительского и детского профилей, уведомления о событиях риска | согласие законного представителя |
| Работа организаций: расписание, посещаемость, мессенджер, звонки | имя, контакты, роль, сообщения и вложения, сведения о занятиях | исполнение договора; поручение организации (ч. 3 ст. 6 Закона) |
| Приём оплаты занятий и подписок | сумма, статус и номер платежа, контакт для чека; полные реквизиты карт Оператор не получает | исполнение договора; ст. 1.2 Федерального закона № 54-ФЗ |
| Ответы на обращения и претензии | имя, контакты, текст обращения | исполнение договора, обязанность по закону |
| Обеспечение работы и защиты Сервиса | IP-адрес, сведения об устройстве и браузере, журналы событий, токены уведомлений | исполнение договора, законный интерес Оператора |
| Исполнение требований законодательства | данные, затребованные уполномоченными органами | п. 2 ч. 1 ст. 6 Закона |
4.2.Оператор не обрабатывает специальные категории персональных данных (ст. 10 Закона) и биометрические персональные данные (ст. 11 Закона). Голос используется только для распознавания речи и не применяется для установления личности.
4.3.Оператор не принимает на основании исключительно автоматизированной обработки решения, порождающие юридические последствия для субъекта (ст. 16 Закона).
5. Порядок и условия обработки
5.1.Обработка осуществляется с использованием средств автоматизации и включает сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение.
5.2.При сборе персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона).
5.3.Персональные данные несовершеннолетних до 14 лет обрабатываются только с согласия законного представителя. Пользователи от 14 до 18 лет дают согласие самостоятельно; функции семейного Сервиса для них доступны при участии родителя.
5.4.Аудиозаписи голосовых сообщений не используются для обучения моделей искусственного интеллекта третьих лиц.
6. Передача персональных данных третьим лицам
6.1.Оператор поручает обработку или передаёт персональные данные следующим лицам в объёме, необходимом для указанных целей:
| Получатель | Цель | Страна |
|---|---|---|
| Провайдер хостинга | хранение баз данных и работа Сервиса | Россия |
| ООО «Яндекс.Облако» (Yandex Cloud: YandexGPT, SpeechKit) | генерация ответов, распознавание и синтез речи | Россия |
| DeepSeek | генерация ответов ИИ-собеседника | Китайская Народная Республика |
| OpenAI | резервная генерация ответов при недоступности основных провайдеров | США |
| ООО «Хроники», ИНН 7203431728, платёжный сервис PayKeeper, АО «Альфа-Банк», ООО «Банк Точка» | приём оплаты занятий, возвраты, расчёты с организациями | Россия |
| ООО НКО «ЮМани» (ЮKassa) | приём оплаты подписок на Сервис | Россия |
| Apple Inc., Google LLC | доставка push-уведомлений на устройство | США |
| Почтовый сервис | отправка писем с доменов ailu.online | Россия |
| Организация, в которую пользователь записан | ведение учёта занятий и связь с клиентом | Россия |
6.2.Лица, которым поручена обработка, обязаны соблюдать принципы и правила обработки, конфиденциальность и меры защиты, предусмотренные ст. 18.1 и ст. 19 Закона о персональных данных.
6.3.Оператор не продаёт персональные данные и не передаёт их рекламодателям.
7. Трансграничная передача
7.1.Для формирования ответов ИИ-собеседника текст сообщений пользователя и необходимый для ответа контекст передаются поставщикам технологий искусственного интеллекта на территории КНР (DeepSeek) и США (OpenAI). Эти государства не входят в перечень стран, обеспечивающих адекватную защиту прав субъектов персональных данных.
7.2.Трансграничная передача осуществляется после уведомления уполномоченного органа по защите прав субъектов персональных данных в порядке ст. 12 Закона о персональных данных и только на основании согласия субъекта или его законного представителя.
7.3.Пользователь вправе не давать согласие на трансграничную передачу. В этом случае ответы формируются только с помощью российских провайдеров, если это технически возможно, либо функция общения с ИИ становится недоступной.
8. Сроки обработки и хранения
| Данные | Срок |
|---|---|
| Учётная запись | до удаления учётной записи или 3 года отсутствия активности |
| Переписка с ИИ-собеседником | 12 месяцев или до удаления учётной записи, если это наступит раньше |
| Голосовые сообщения | до окончания распознавания речи, но не более 24 часов |
| Уведомления о событиях безопасности | 12 месяцев |
| Технические журналы сервера | 90 дней |
| Сведения о данных и отозванных согласиях | 3 года после отзыва |
| Сведения о платежах | 5 лет — срок хранения первичных учётных документов (ст. 29 Федерального закона № 402-ФЗ) |
8.1.По достижении целей обработки или истечении срока персональные данные уничтожаются в течение 30 дней, если иное не предусмотрено законом или договором (ч. 4 ст. 21 Закона).
9. Права субъекта персональных данных
9.1.Субъект персональных данных или его законный представитель вправе:
- получить сведения об обработке своих персональных данных (ч. 7 ст. 14 Закона);
- требовать уточнения, блокирования или уничтожения неполных, устаревших, неточных или незаконно полученных данных;
- отозвать согласие на обработку;
- обжаловать действия или бездействие Оператора в Роскомнадзоре или в суде.
9.2.Обращение направляется на privacy@ailu.online с адреса, указанного в учётной записи, либо в письменной форме. Обращение должно позволять установить личность заявителя и его связь с Оператором (ч. 3 ст. 14 Закона). Законный представитель подтверждает свои полномочия.
9.3.Оператор отвечает на обращение в течение 10 рабочих дней со дня получения. Срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления (ч. 3 ст. 14, ч. 1 ст. 20 Закона).
9.4.При отзыве согласия Оператор прекращает обработку и уничтожает персональные данные в течение 30 дней, если отсутствуют иные законные основания обработки (ч. 5 ст. 21 Закона). Отзыв согласия может сделать невозможным дальнейшее использование Сервиса.
9.5.При выявлении неправомерной обработки Оператор прекращает её в течение 3 рабочих дней, а если обеспечить правомерность невозможно — уничтожает данные в течение 10 рабочих дней (ч. 3 ст. 21 Закона).
10. Меры защиты персональных данных
10.1.Оператор принимает правовые, организационные и технические меры, предусмотренные ст. 18.1 и ст. 19 Закона о персональных данных, в том числе:
- назначение лица, ответственного за организацию обработки;
- издание локальных актов по вопросам обработки и ознакомление с ними лиц, допущенных к данным;
- разграничение доступа по ролям и журналирование административного доступа;
- шифрование соединений (HTTPS/TLS) и хранение паролей только в виде необратимых хешей;
- резервное копирование на территории Российской Федерации;
- фильтрацию запросов и ответов в детском Сервисе;
- оценку вреда, который может быть причинён субъектам при нарушении Закона.
11. Инциденты с персональными данными
11.1.При неправомерной или случайной передаче персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор (ч. 3.1 ст. 21 Закона):
- в течение 24 часов — об инциденте, его предполагаемых причинах, вреде, принятых мерах и контактном лице;
- в течение 72 часов — о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента (при наличии).
11.2.Оператор информирует затронутых пользователей, а при инциденте с данными ребёнка — его законного представителя.
12. Файлы cookie
12.1.Порядок использования cookie и локального хранилища описан в Политике cookie.
13. Заключительные положения
13.1.Оператор вправе изменять Политику. Новая редакция вступает в силу с момента публикации, если в ней не указано иное. О существенных изменениях, затрагивающих детский Сервис, родители уведомляются по электронной почте.
13.2.Связанные документы: Пользовательское соглашение, Безопасность детей, Удаление аккаунта.
Индивидуальный предприниматель Будучев Артем Петрович
ИНН 720319516465
Электронная почта: privacy@ailu.online