Политика в отношении обработки персональных данных

Редакция от 25 сентября 2026 года

1. Общие положения

Настоящая Политика — документ, предусмотренный частью 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон). Она определяет порядок обработки персональных данных пользователей сайта aitero.ru (далее — Сайт) и облачного сервиса AItero (далее — Сервис), осуществляемой как с использованием средств автоматизации, так и без них, и сведения о реализуемых требованиях к защите таких данных.

Политика публикуется в свободном доступе на Сайте; Оператор обеспечивает к ней неограниченный доступ.

2. Оператор

Оператор персональных данных — лицо, реквизиты которого приведены в разделе 14 настоящей Политики (далее — Оператор). Обязанности лица, ответственного за организацию обработки персональных данных (статья 22.1 Закона), Оператор исполняет лично. Наёмные работники отсутствуют, персональные данные работников не обрабатываются.

3. Чьи и какие данные обрабатываются

Оператор обрабатывает данные пользователей Сервиса и участников их организаций, представителей клиентов — организаций и индивидуальных предпринимателей, лиц, обратившихся через электронную почту, а также посетителей Сайта в части технических данных:

• адрес электронной почты, указанный при регистрации, в приглашении и при обращении в поддержку;
• имя или иное обозначение пользователя, если он указал его в профиле;
• сведения о доступе к учётной записи: дата последнего входа, IP-адрес и сведения о браузере, с которого открыта сессия, IP-адрес, с которого подана заявка на регистрацию;
• название организации и роль участника в ней;
• идентификаторы участников во внешних системах (например, учётная запись в мессенджере), если они сопоставлены с участником организации для подтверждения действий из этого канала;
• наименование организации и идентификационный номер налогоплательщика — если сообщены при оформлении подписки или оплате по счёту;
• платёжные метаданные, получаемые от платёжного сервиса: сумма, дата, идентификатор и статус платежа, вид способа оплаты и его маскированные реквизиты (например, платёжная система и последние четыре цифры карты);
• технические данные: IP-адрес, сведения о браузере и устройстве, дата и время обращения, файлы cookie;
• содержание обращений в службу поддержки.

Реквизиты банковских карт и иные платёжные данные Оператору не передаются и им не обрабатываются: платёж совершается на стороне платёжного сервиса. Пароль хранится только в виде необратимого криптографического представления.

4. Данные, поступающие в Сервис от пользователей

В Сервис поступают обращения из источников, подключённых пользователем: письма, сообщения из мессенджеров, уведомления внешних систем и произвольные данные, переданные через программный интерфейс. Такие обращения и настройки пользователя могут содержать персональные данные его работников, клиентов и иных лиц.

В отношении этих данных оператором является пользователь: он определяет цели, состав и правовые основания обработки, категории субъектов, обеспечивает наличие необходимых согласий и выбирает, каким внешним сервисам — включая AI-провайдера — они будут переданы при работе настроенных им сценариев.

Оператор обрабатывает такие данные исключительно по поручению пользователя (часть 3 статьи 6 Закона) в объёме, необходимом для предоставления функциональности Сервиса, не определяет цели их обработки и не использует их в собственных целях, в том числе для рекламы, профилирования и обучения моделей. Условия поручения установлены Пользовательским соглашением и публичной офертой. Размещение таких данных на инфраструктуре Оператора само по себе не означает, что Оператор определяет цели их обработки.

5. Цели и правовые основания обработки

Цели обработки: регистрация, идентификация и аутентификация пользователя и предоставление доступа к Сервису; ведение состава участников организации и их прав; исполнение договора с пользователем или клиентом; расчёты за Сервис, приём платежей и формирование документов, подтверждающих оплату; техническая поддержка и связь по вопросам работы Сервиса; уведомление об изменениях Сервиса, тарифов и правовых документов; обеспечение работоспособности и безопасности Сервиса, включая ведение журнала действий; исполнение обязанностей, возложенных законодательством. Обработка, несовместимая с этими целями, не допускается.

Правовые основания: договор, стороной которого является субъект персональных данных, — Пользовательское соглашение и публичная оферта (пункт 5 части 1 статьи 6 Закона); согласие субъекта, подтверждаемое при регистрации (пункт 1 части 1 статьи 6); исполнение обязанностей, возложенных на Оператора законодательством, включая налоговое законодательство и Федеральный закон от 27.11.2018 № 422-ФЗ (пункт 2 части 1 статьи 6); законные интересы Оператора по обеспечению безопасности Сервиса при соблюдении прав субъекта (пункт 7 части 1 статьи 6).

6. Данные, которые Оператор не обрабатывает

Оператор не обрабатывает специальные категории персональных данных (статья 10 Закона) и биометрические персональные данные (статья 11 Закона), не осуществляет распространение персональных данных, требующее отдельного согласия по статье 10.1 Закона, и не использует их для продвижения товаров и услуг третьих лиц. Сервис не предназначен для лиц младше 18 лет.

7. Действия с данными, способы и место обработки

Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных смешанным способом. Решения, порождающие юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки Оператором не принимаются (статья 16 Закона); предложенное Сервисом действие выполняется после подтверждения человеком.

Базы данных, в которых обрабатываются персональные данные граждан Российской Федерации, находятся на серверах на территории Российской Федерации (часть 5 статьи 18 Закона).

Собственные данные пользователей Сервиса (учётные, платёжные, технические) Оператор за пределы Российской Федерации не передаёт. Если пользователь подключил AI-провайдера или иную внешнюю систему, находящуюся за пределами Российской Федерации, содержимое обрабатываемых им обращений направляется туда по его поручению и по его решению; в отношении таких данных оператором является пользователь, и требования статьи 12 Закона обеспечивает он.

8. Передача третьим лицам

Для оплаты пользователь переходит на страницу платёжного сервиса, подключённого Оператором. Оператор передаёт такому сервису сумму, назначение платежа и служебные идентификаторы счёта и получает от него сведения о результате платежа и платёжные метаданные; реквизиты способа оплаты пользователь сообщает платёжному сервису самостоятельно, и в отношении собираемых им данных такой сервис действует как самостоятельный оператор.

Инфраструктуру Сервиса обслуживает российский хостинг-провайдер, обрабатывающий данные по поручению Оператора с обязательством соблюдать конфиденциальность и требования безопасности. Письма Сервиса — подтверждение регистрации, приглашения, уведомления о счетах и восстановление пароля — отправляются через почтовую инфраструктуру Оператора.

Персональные данные не продаются и не передаются иным третьим лицам, за исключением случаев, прямо предусмотренных законодательством, включая мотивированные запросы уполномоченных органов.

9. Сроки обработки и уничтожение

Персональные данные обрабатываются в течение срока действия учётной записи и договора. Завершённые задачи и связанные с ними записи хранятся не более 90 дней с момента завершения, журнал действий — не более 12 месяцев, после чего удаляются автоматически. Сессии доступа прекращаются по истечении их срока.

После удаления учётной записи или организации, достижения целей обработки или отзыва согласия данные уничтожаются в срок, не превышающий 30 дней, за исключением сведений, срок хранения которых установлен законодательством, в частности документов по расчётам; из резервных копий — в срок их штатной ротации. Факт уничтожения фиксируется в порядке, установленном требованиями Роскомнадзора.

10. Меры защиты и действия при инцидентах

Во исполнение статей 18.1 и 19 Закона Оператор:

• применяет настоящую Политику и внутренние документы по вопросам обработки персональных данных, лично исполняя обязанности ответственного за организацию обработки;
• определяет актуальные угрозы безопасности и применяет меры, необходимые для требуемого уровня защищённости;
• ограничивает и разграничивает доступ к персональным данным, изолирует данные разных организаций-пользователей друг от друга, ведёт учёт допущенных лиц и регистрацию действий в информационных системах;
• шифрует каналы связи (HTTPS/TLS), хранит ключи доступа и иные секреты пользователей в зашифрованном виде, выполняет резервное копирование и контроль восстановления;
• выявляет факты несанкционированного доступа, устраняет их последствия и контролирует соответствие обработки Закону.

При выявлении неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов — о произошедшем, предполагаемой причине и принятых мерах, и в течение 72 часов — о результатах внутреннего расследования (часть 3.1 статьи 21 Закона), а также уведомляет затронутых пользователей, если это необходимо для защиты их прав.

11. Согласие, его отзыв и права субъекта

Согласие на обработку и хранение персональных данных на условиях настоящей Политики даётся при регистрации учётной записи проставлением отметки в форме регистрации — до отправки заявки с адресом электронной почты — и подтверждается повторно при завершении регистрации, а при вступлении в организацию по приглашению — в форме принятия приглашения. Без подтверждённого согласия заявка не принимается и учётная запись не создаётся; факт и время согласия фиксируются Оператором. Согласие может быть отозвано в любой момент обращением к Оператору: обработка прекращается, а данные уничтожаются в срок, не превышающий 30 дней, если их сохранение не требуется по иным основаниям, предусмотренным законом. Отзыв согласия влечёт невозможность дальнейшего предоставления Сервиса.

Субъект персональных данных вправе получать сведения об обработке своих данных (часть 7 статьи 14 Закона), требовать их уточнения, блокирования или уничтожения, отозвать согласие, возражать против обработки и обжаловать действия Оператора в Роскомнадзор или в суд. Обращение направляется по контактным данным Оператора и должно содержать сведения, позволяющие идентифицировать субъекта; ответ предоставляется в срок, не превышающий 30 дней, который может быть продлён не более чем на 5 рабочих дней с уведомлением заявителя.

Если персональные данные субъекта попали в Сервис от пользователя — например, вместе с его обращением в службу поддержки этого пользователя, — по вопросам их обработки следует обращаться к самому пользователю как к оператору таких данных. Обращение, поступившее Оператору, будет переадресовано ему.

12. Файлы cookie и веб-аналитика

Сайт и Сервис используют файлы cookie, необходимые для работы: сохранение сессии, интерфейсные настройки, безопасность. Пользователь может запретить сохранение cookie в настройках браузера; при этом вход в Сервис и отдельные его функции станут недоступны.

На Сайте может быть подключён счётчик посещаемости Яндекс.Метрики и собственная система статистики Оператора. Счётчик собирает обезличенные сведения о посещении (IP-адрес, сведения о браузере и устройстве, просмотренные страницы, источник перехода) и устанавливает собственные файлы cookie; в отношении собираемых им данных ООО «ЯНДЕКС» действует на основании собственных документов. Рекламные трекеры не используются.

13. Изменение Политики

Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента публикации на Сайте, если иное не указано в самой редакции.

14. Реквизиты и контакты Оператора

Обращения по вопросам обработки персональных данных, включая запросы, отзыв согласия и требования об уточнении или уничтожении данных, направляйте по контактным данным ниже.