Политика в отношении обработки персональных данных

Редакция от [ДАТА УТВЕРЖДЕНИЯ].

1. Общие положения

1.1. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и определяет порядок и условия обработки персональных данных в Сервисе.

1.2. Оператор: [НАИМЕНОВАНИЕ ОПЕРАТОРА — ИП / ООО], ИНН [ИНН], ОГРН/ОГРНИП [ОГРН], адрес: [АДРЕС], электронная почта для обращений по персональным данным: [E-MAIL]. Сервис — Legis AI, сайт https://legis-ai.ru (далее — «Сервис»).

1.3. Политика опубликована на странице https://legis-ai.ru/legal/privacy_policy и доступна без регистрации.

2. Какие данные мы обрабатываем и зачем

2.1. Пользователи Сервиса (граждане, юристы, адвокаты, сотрудники организаций):

• адрес электронной почты, имя или наименование организации, роль в Сервисе;
• пароль — только в виде необратимого хеша (Argon2id), исходный пароль не хранится;
• технические данные: IP-адрес, дата и время входа, идентификатор сессии;
• сведения о данных согласиях: вид согласия, версия и контрольная сумма текста, дата, IP-адрес.

Цели: регистрация и идентификация пользователя, предоставление функций Сервиса, обеспечение безопасности (защита от подбора паролей и несанкционированного доступа), исполнение договора (пользовательского соглашения), выполнение требований законодательства.

Правовые основания: согласие субъекта (п. 1 ч. 1 ст. 6 Закона), исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6 Закона).

2.2. Данные в загружаемых документах. Пользователь загружает материалы судебных дел, которые могут содержать персональные данные третьих лиц (сторон, представителей, свидетелей), в том числе специальных категорий (сведения о здоровье, о судимости). В отношении таких данных Оператор действует по поручению пользователя (ч. 3 ст. 6 Закона) и только для анализа документов по запросу пользователя. Пользователь, загружающий документы, отвечает за наличие правовых оснований для их обработки. Собственные сведения специальных категорий пользователь предоставляет на основании отдельного письменного согласия (ст. 10 Закона).

3. Как мы обрабатываем данные

3.1. Действия с данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ) обработчикам по п. 4, обезличивание, блокирование, удаление, уничтожение. Обработка — с использованием средств автоматизации.

3.2. Локализация. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона). Трансграничная передача персональных данных не осуществляется.

3.3. Искусственный интеллект. Анализ документов выполняется языковыми моделями российских провайдеров, размещёнными на территории Российской Федерации. Провайдеры обязуются не использовать переданные данные для обучения моделей [ПОДТВЕРЖДЕНИЕ ПРОВАЙДЕРА — Ю-8]. Результаты работы ИИ являются черновиками и не заменяют консультацию юриста.

3.4. Сроки. Данные учётной записи хранятся до её удаления пользователем или отзыва согласия; документы дела — до удаления дела пользователем. После удаления данные уничтожаются в течение [30] дней, включая резервные копии, если иное не требуется законом. Журнал безопасности хранится [1 год].

4. Кому передаются данные

Оператор привлекает обработчиков, действующих по поручению Оператора и обязанных соблюдать конфиденциальность и требования ст. 19 Закона:

• [ООО «Яндекс.Облако»] — размещение инфраструктуры, хранение данных, распознавание текста и работа языковых моделей;
• [ПАО Сбербанк — GigaChat] — работа языковых моделей (при использовании);
• [ПЛАТЁЖНЫЙ ПРОВАЙДЕР — ЮKassa] — приём платежей (при оплате; данные банковских карт Оператор не получает).

Данные не продаются и не передаются третьим лицам в рекламных целях.

5. Права субъекта персональных данных

Субъект вправе (ст. 14–17 Закона): получить сведения об обработке своих данных; потребовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные или обрабатываются незаконно; отозвать согласие; обжаловать действия Оператора в Роскомнадзоре или в суде.

Запросы направляются на [E-MAIL] или через раздел настроек учётной записи. Срок ответа — 10 рабочих дней (может быть продлён на 5 рабочих дней с уведомлением).

6. Защита данных

Оператор применяет меры по ст. 18.1 и 19 Закона: изоляция данных разных пользователей на уровне базы данных, шифрование каналов связи (HTTPS), хранение паролей только в виде хешей, ограничение и журналирование доступа, защита от подбора паролей, резервное копирование, назначение ответственного за организацию обработки персональных данных — [ФИО, ДОЛЖНОСТЬ].

7. Файлы cookie

7.1. В личных кабинетах, на страницах входа и регистрации Сервис использует только технически необходимые cookie: идентификатор сессии и защитный токен от подделки запросов (CSRF).

7.2. На открытых страницах Сервиса (главная страница, страница статуса, правовые документы) используется сервис веб-аналитики «Яндекс.Метрика» (ООО «ЯНДЕКС»): аналитические cookie, сведения о посещении страниц, действиях на странице и запись сеанса (Вебвизор) для улучшения Сервиса. Содержимое форм обратной связи в записи сеанса скрывается. В личных кабинетах «Яндекс.Метрика» не используется: документы, материалы дел и сообщения пользователей в неё не передаются. Пользователь может отключить cookie в настройках браузера.

[ЮРИСТУ: проверить основание обработки и необходимость отдельного согласия на аналитические cookie; условия использования «Яндекс.Метрики» — yandex.ru/legal/metrica_termsofuse.]

8. Заключительные положения

Оператор вправе изменять Политику; новая редакция действует с момента публикации. Уведомление об обработке персональных данных направлено в Роскомнадзор [ДАТА, РЕГИСТРАЦИОННЫЙ НОМЕР — Ю-17].