Политика конфиденциальности
1. Общие положения
1.1. Настоящая Политика конфиденциальности (далее — «Политика») определяет порядок обработки и защиты персональных данных при использовании сервиса OliFlow — сайта oliflow.ru и веб-приложения app.oliflow.ru (далее — «Сервис»).
1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».
1.3. Обработку персональных данных осуществляет гражданин Российской Федерации Подобед Сергей Александрович, ИНН 772590737722 (далее — «Администрация»).
1.4. Используя Сервис, Пользователь подтверждает ознакомление с Политикой. Политика является неотъемлемой частью Пользовательского соглашения.
2. Роли: оператор и обработчик
2.1. В отношении данных, которые Администрация собирает самостоятельно (учётные записи, созданные Администрацией; обращения в поддержку; технические журналы серверов), Администрация выступает оператором персональных данных и самостоятельно определяет цели их обработки.
2.2. В отношении персональных данных сотрудников Компаний, внесённых в Сервис самими Компаниями (профили сотрудников, оргструктура, результаты обучения и оценок), оператором является Компания-работодатель, а Администрация осуществляет обработку по её поручению в соответствии с частью 3 статьи 6 Закона № 152-ФЗ. Условия такой обработки определены Поручением на обработку персональных данных.
3. Состав обрабатываемых данных
3.1. Учётные данные: логин, фамилия, имя, отчество, должность, адрес электронной почты (если указан). Пароль хранится исключительно в виде криптографического хеша (bcrypt) и не доступен в открытом виде никому, включая Администрацию.
3.2. Организационные данные, вносимые Компанией: подразделение, руководитель, роли и права доступа, компетенции, назначенные курсы и результаты обучения, участие в опросах и оценках, задачи и цели.
3.3. Технические данные: IP-адрес в журналах сервера, идентификатор сессии, сведения о браузере.
3.4. Данные обращений в поддержку: содержание обращения и контактные данные, указанные при обращении.
3.5. Данные заявки на ранний доступ, оставленной на сайте oliflow.ru: имя, адрес электронной почты, название компании, размер команды, а также дата и факт предоставления согласия на обработку.
3.6. Сервис не собирает специальные категории персональных данных (статья 10 Закона № 152-ФЗ) и биометрические данные (статья 11 Закона № 152-ФЗ).
4. Цели обработки
4.1. Данные обрабатываются исключительно для:
- предоставления доступа к Сервису и работы его функций (задачи, цели, база знаний, обучение, команда);
- обеспечения безопасности: авторизация, разграничение прав, расследование инцидентов;
- ответов на обращения в поддержку;
- рассмотрения заявки на ранний доступ и ответа на неё — на основании согласия, данного при отправке формы (п. 3.5); заявка хранится до предоставления доступа либо до отзыва согласия и удаляется по требованию заявителя;
- исполнения требований законодательства Российской Федерации.
4.2. Администрация не использует персональные данные для рекламы и маркетинга, не занимается профилированием и не передаёт данные третьим лицам в коммерческих целях.
5. Правовые основания
- исполнение договора — Пользовательского соглашения (пункт 5 части 1 статьи 6 Закона № 152-ФЗ);
- поручение оператора — Компании (часть 3 статьи 6 Закона № 152-ФЗ);
- согласие субъекта персональных данных (пункт 1 части 1 статьи 6 Закона № 152-ФЗ);
- исполнение возложенных законодательством обязанностей (пункт 2 части 1 статьи 6 Закона № 152-ФЗ).
6. Cookie и локальное хранилище
6.1. В веб-приложении (app.oliflow.ru) используется техническая cookie — идентификатор сессии, необходимый для авторизации. Без неё вход в Сервис невозможен. Если Компания не отказалась от веб-аналитики (п. 6.4), в веб-приложении дополнительно устанавливаются cookie сервиса веб-аналитики. На информационном сайте oliflow.ru cookie сервиса веб-аналитики устанавливаются всегда (п. 6.3).
6.2. Настройки интерфейса (например, тема оформления) сохраняются в локальном хранилище браузера и не передаются на сервер.
6.3. На информационном сайте oliflow.ru может применяться сервис веб-аналитики Яндекс.Метрика (ООО «Яндекс», Российская Федерация) для сбора обезличенной статистики посещений, включая обезличенную запись действий посетителей на странице (технология «Вебвизор»: перемещения курсора, прокрутка, клики). Также на сайте oliflow.ru ведётся собственная обезличенная статистика посещаемости (количество просмотров страниц и переходов): в локальном хранилище браузера сохраняется случайный идентификатор, не позволяющий установить личность посетителя; IP-адреса и cookie для этих целей не используются.
6.4. В веб-приложении (app.oliflow.ru) применяется тот же сервис веб-аналитики Яндекс.Метрика — отдельным счётчиком и на следующих условиях:
- собирается статистика использования интерфейса: открытые разделы, переходы, клики, прокрутка, длительность работы;
- содержимое экранов и полей ввода не записывается: запись действий (технология «Вебвизор») ведётся с запретом записи содержимого страниц, поэтому данные Компании — задачи, оценки, имена, документы — в систему аналитики не передаются;
- вместе с визитом передаётся код Компании (для разделения статистики разных Компаний). Имя, логин, адрес электронной почты и идентификатор Пользователя не передаются;
- рекламные трекеры и сервисы ретаргетинга в веб-приложении не применяются; данные аналитики не используются для показа рекламы;
- Компания вправе отказаться от веб-аналитики в веб-приложении, направив запрос по контактам раздела 13. При отказе счётчик не загружается вовсе — запросы к сервису аналитики от Пользователей этой Компании не отправляются.
7. Хранение, локализация и сроки
7.1. Все данные хранятся и обрабатываются на серверах, расположенных на территории Российской Федерации. Трансграничная передача персональных данных не осуществляется.
7.2. Данные учётной записи хранятся до её удаления либо до прекращения договора с Компанией.
7.3. После удаления данные исключаются из рабочей базы незамедлительно, из резервных копий — не позднее 14 (четырнадцати) дней в порядке плановой ротации копий.
7.4. Технические журналы серверов хранятся не более 90 (девяноста) дней.
8. Передача третьим лицам
8.1. Для работы Сервиса привлекается хостинг-провайдер, предоставляющий серверную инфраструктуру на территории Российской Федерации.
8.2. Данные могут быть переданы уполномоченным государственным органам исключительно по основаниям и в порядке, установленным законодательством Российской Федерации.
8.3. Для работы функций на основе искусственного интеллекта привлекаются поставщики, указанные в разделе 9.
8.4. Для сбора обезличенной статистики использования привлекается ООО «Яндекс» (Российская Федерация) на условиях раздела 6; содержимое экранов и полей ввода в систему аналитики не передаётся.
8.5. Иная передача персональных данных третьим лицам не осуществляется.
9. Функции на основе искусственного интеллекта
9.1. Отдельные функции Сервиса выполняются с привлечением языковых моделей: краткий пересказ обсуждения, черновики учебных вопросов, разбор причин по результатам опросов, подсказки к целям и планам развития. Функция срабатывает только по явному действию Пользователя; фоновой обработки данных моделями Сервис не ведёт.
9.2. Привлекаются только российские поставщики ИИ-сервисов — GigaChat, YandexGPT, Cloud.ru. Обработка запросов происходит на территории Российской Федерации; трансграничная передача не осуществляется, иностранные модели в Сервисе не применяются.
9.3. В модель передаётся не массив данных Компании, а фрагмент, необходимый для запрошенной функции, и только в пределах того, что доступно самому Пользователю по его правам доступа. Данные опросов и оценок передаются обезличенно и только при достижении порога анонимности, установленного для соответствующего инструмента; при недостижении порога функция не выполняется.
9.4. Администрация ведёт служебный журнал обращений к моделям: дата, инициатор, вид функции, поставщик, объём запроса. Содержание запросов и ответов в журнале не сохраняется. Срок хранения журнала — не более 62 (шестидесяти двух) дней.
9.5. Результат работы модели носит рекомендательный характер и может содержать ошибки. Решения в отношении Пользователей принимает человек: Сервис не принимает решений, порождающих юридические последствия или иным образом затрагивающих права Пользователя, исключительно на основании автоматизированной обработки (статья 16 Закона № 152-ФЗ).
10. Меры безопасности
- доступ к Сервису — только по защищённому протоколу HTTPS (TLS);
- пароли — только в виде bcrypt-хешей;
- разграничение прав доступа внутри Сервиса: каждый Пользователь видит только те данные, которые доступны его роли;
- изоляция данных Компаний друг от друга;
- ежедневное резервное копирование с ограниченным сроком хранения копий;
- доступ к серверной инфраструктуре ограничен и защищён ключевой аутентификацией.
11. Права субъектов персональных данных
11.1. Субъект персональных данных вправе (статьи 14–17 Закона № 152-ФЗ):
- получать сведения об обработке своих персональных данных;
- требовать уточнения, блокирования или уничтожения неточных либо избыточных данных;
- отозвать согласие на обработку;
- обжаловать действия Администрации в Роскомнадзоре или в суде.
11.2. Запросы направляются на support@oliflow.ru и рассматриваются в течение 10 (десяти) рабочих дней; срок может быть продлён не более чем на 5 (пять) рабочих дней с уведомлением заявителя.
11.3. Если данные внесены в Сервис Компанией-работодателем (п. 2.2), с требованиями об их уточнении или удалении следует обращаться к Компании как к оператору; Администрация содействует исполнению таких требований по поручению Компании.
12. Изменения Политики
12.1. Администрация вправе обновлять Политику. Новая редакция вступает в силу с момента публикации по адресу https://oliflow.ru/privacy.html. О существенных изменениях Пользователи уведомляются дополнительно.
13. Контакты
По вопросам обработки персональных данных: support@oliflow.ru.
Администрация Сервиса: гражданин Российской Федерации Подобед Сергей Александрович, ИНН 772590737722.