Политика обработки персональных данных

1. Оператор

Оператор персональных данных — ИП Отабаев Алишер Камолович (ИНН 772836794441, ОГРНИП 324508100462661, адрес: 141143, Московская обл., г.о. Щёлково, д. Большие Жеребцы, мкр Восточный, д. 1, корп. 9, кв. 104; далее — «Оператор»). Сайт Сервиса — https://business.newlevelsecrets.ru. Контакт по вопросам обработки ПДн (в т.ч. отзыв согласия, запросы субъекта): support@newlevelsecrets.ru.

2. Термины

«Сервис» — AI-платформа по адресу сайта. «Пользователь» — физлицо, зарегистрированное в Сервисе. «Клиентские данные» — персональные данные третьих лиц (например, клиентов Пользователя), которые Пользователь самостоятельно вносит в Сервис (CRM, чаты, формы).

3. Категории обрабатываемых персональных данных

3.1. ПДн Пользователя:

• регистрационные: адрес электронной почты, имя (если указано), пароль (хранится только в виде необратимого хеша);
• платёжные: факт, сумма и идентификатор платежа. Данные банковской карты Оператор не получает и не хранит — их обрабатывает платёжный сервис ЮKassa;
• пользовательский контент: тексты сообщений, файлы и запросы, отправленные в Сервис, и результаты работы ИИ;
• технические: IP-адрес, тип устройства/браузера, журналы доступа, cookie (см. §10).

3.2. Клиентские данные. В отношении ПДн третьих лиц, которые Пользователь вносит в Сервис, оператором является сам Пользователь, а Оператор действует как обработчик по поручению (ч. 3 ст. 6 152-ФЗ) — обрабатывает такие данные исключительно по указанию Пользователя и в объёме, необходимом для работы Сервиса (см. §8).

4. Цели обработки

Регистрация и авторизация; предоставление доступа к Сервису и его работа; учёт баланса токен-кредитов и проведение платежей; поддержка Пользователей; обеспечение безопасности и предотвращение злоупотреблений; исполнение требований законодательства.

5. Правовые основания

Согласие субъекта ПДн (п. 1 ч. 1 ст. 6 152-ФЗ); исполнение договора — Публичной оферты, стороной которой является субъект (п. 5 ч. 1 ст. 6); законные интересы Оператора в части безопасности; требования законодательства РФ. Обработка Клиентских данных — на основании поручения Пользователя (ч. 3 ст. 6).

6–7. Получатели данных и трансграничная обработка

Для ИИ-функций платформа передаёт выбранный пользователем контекст через шлюз provod.ai поставщику используемой модели. Контекст может содержать исходный пользовательский текст и персональные данные. Автоматическое обезличивание каждого запроса и отсутствие хранения у внешнего поставщика не гарантируются этой политикой. Не загружайте данные третьих лиц без законного основания.

Обычный интерфейс Google Calendar работает отдельно: запросы идут через серверы Оператора и собственную установку Nango к Google. Содержимое событий не передаётся provod.ai, Джарвису или другим ИИ-провайдерам. Правила доступа, использования и удаления Google-данных приведены в разделе Google Calendar политики. Подключение Google не является согласием на передачу событий ИИ.

ЮKassa получает данные, необходимые для платежа. Sentry получает технические сведения об ошибках с фильтрацией секретов и персональных полей; маршруты обычного Calendar исключены из отправки в Sentry. В обработке также участвуют провайдеры серверной инфраструктуры Оператора. Google, ИИ-провайдеры и Sentry могут обрабатывать данные за пределами страны нахождения пользователя. Это описание маршрутов обработки не заменяет необходимые правовые основания и согласия.

8. Поручение на обработку (для Пользователей-операторов)

Внося в Сервис ПДн своих клиентов, Пользователь поручает Оператору их обработку и подтверждает, что имеет законное основание на такую передачу. Оператор обрабатывает Клиентские данные только по указанию Пользователя, обеспечивает их конфиденциальность и меры защиты (§9), не использует их в собственных целях. Для корпоративных клиентов по запросу заключается отдельное соглашение о поручении обработки (DPA) — support@newlevelsecrets.ru.

Согласие клиентов Пользователя (ч. 1 ст. 9 152-ФЗ) получает сам Пользователь как оператор. Чтобы это было удобно, Сервис по умолчанию запрашивает такое согласие во всех публичных точках сбора данных (формы и анкеты, запись на встречу, мини-приложение Telegram, чат сайта): посетитель ставит отметку «Даю согласие на обработку персональных данных» со ссылкой на политику Пользователя (если он указал свою в настройках проекта) либо на настоящую Политику, а факт и время согласия сохраняются вместе с ответами. Пользователь может отключить эту отметку для конкретной формы, приняв на себя получение согласия иным способом.

9. Хранение, защита и удаление

Аккаунты, CRM и OAuth-подключения размещаются в инфраструктуре Оператора; OAuth-токены хранятся в собственной установке Nango с шифрованием учётных данных. Доступ ограничен полномочиями, соединения защищены TLS. Базы и их резервные копии не являются одной копией данных: резервный сервер используется отдельно. Содержимое списка Google Calendar не сохраняется в CRM и обрабатывается в памяти серверов и браузера.

По проверке конфигурации 12 октября 2026 года ежедневные локальные резервные копии Nango удаляются ротацией старше 14 дней; шифрованные копии на отдельном резервном сервере — старше 10 дней. При исправной ежедневной ротации и округлении возраста файлов фактическое окно может составлять до 16 дней локально и до 12 дней на резервном сервере. Сбой ротации требует устранения Оператором; эти интервалы не означают немедленное удаление после отзыва доступа. Локальный файл дампа целиком не зашифрован, доступ к нему ограничен правами сервера; OAuth-учётные данные внутри защищены шифрованием Nango. Служебные журналы могут содержать сведения подключения и идентификаторы запросов; автоматический срок их ротации пока не установлен.

Удаление аккаунта, отзыв разрешения Google, удаление подключения Nango, событий и резервных копий выполняются разными механизмами. Запрос на удаление сведений подключения и связанных копий направляется на support@newlevelsecrets.ru с адреса аккаунта; Оператор проверяет полномочия заявителя, прекращает дальнейшую обработку и сообщает результат по каждому хранилищу. Немедленное автоматическое удаление всех копий не обещается. Данные, подлежащие обязательному хранению по закону, обрабатываются в пределах соответствующих целей и сроков.

10. Cookie и аналитика

Сервис использует технически необходимые cookie (сессия авторизации) и cookieless-аналитику (self-hosted, без сторонних трекеров и межсайтовых идентификаторов). Отдельного cookie-баннера не требуется, т.к. маркетинговые/сторонние cookie не устанавливаются. Отключение технических cookie может ограничить работу личного кабинета.

11. Права субъекта ПДн и порядок обращений

11.1. Субъект вправе получить сведения об обработке своих ПДн; требовать их уточнения, блокирования или удаления; отозвать согласие; обжаловать действия Оператора в Роскомнадзоре или суде.

11.2. Обращение направляется в письменной форме или по электронной почте support@newlevelsecrets.ru (с адреса, указанного при регистрации) и должно содержать: ФИО субъекта, сведения для его идентификации (например, e-mail аккаунта), суть требования, подпись (для бумажной формы). Оператор регистрирует обращение и предоставляет мотивированный ответ в сроки, установленные 152-ФЗ (как правило, в течение 10 рабочих дней; в предусмотренных законом случаях — до 30 дней).

12. Уничтожение персональных данных

Уничтожение ПДн производится при отзыве согласия, по обоснованному требованию субъекта, по достижении целей обработки или истечении срока хранения — в сроки, установленные 152-ФЗ. Факт уничтожения фиксируется (акт/запись в журнале). Данные, которые Оператор обязан хранить по закону (например, платёжные — по 54-ФЗ/НК РФ), уничтожаются по истечении соответствующих сроков.

13. Достоверность и загрузка чужих данных

Оператор не проверяет достоверность предоставляемых данных — ответственность за неё несёт субъект. Пользователь обязуется не вносить в Сервис персональные данные и изображения третьих лиц без законного основания (согласия соответствующих субъектов).

14. Несовершеннолетние

Сервис предназначен для лиц старше 18 лет. Оператор не осуществляет целенаправленный сбор ПДн несовершеннолетних.

15. Инциденты

При установлении факта неправомерной передачи (утечки) ПДн Оператор уведомляет Роскомнадзор в порядке и сроки, установленные ч. 3.1 ст. 21 152-ФЗ (в течение 24 часов о факте инцидента).

16. Изменения

Оператор вправе обновлять Политику; актуальная редакция публикуется по адресу https://business.newlevelsecrets.ru/politika с указанием даты редакции.