1. Общие положения
Настоящая Политика подготовлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и применяется к обработке данных при использовании сайта pro.deepscan.su, клиентского, партнёрского и административного кабинетов, а также интерфейса участника исследования (далее совместно — «Сервис»).
Термины «персональные данные», «обработка», «оператор», «предоставление», «обезличивание», «блокирование» и «уничтожение» используются в значениях, установленных законодательством Российской Федерации. Политика является общедоступным информационным документом, а не согласием субъекта и не договором об использовании Сервиса. Необходимое согласие запрашивается одной обязательной, явно подписанной отметкой в соответствующей форме; принятие правил Сервиса и публичной оферты подтверждается самим регистрационным действием и фиксируется отдельно. После подтверждения отметки и завершения регистрации доступные по тарифу ИИ-функции включены по умолчанию.
Если организация-заказчик, интегратор или иной пользователь передаёт Оператору сведения о другом человеке, передающее лицо отвечает за наличие законного основания, точность сведений и предварительное информирование субъекта. В Сервис нельзя загружать данные, которые не нужны для заявленной цели исследования или работы кабинета.
2. Принципы и источники данных
Оператор обрабатывает данные на следующих принципах:
- законность, добросовестность и прозрачность обработки;
- наличие заранее определённой и законной цели;
- соответствие состава и объёма данных заявленной цели;
- точность данных и возможность их уточнения;
- ограничение срока хранения целями и требованиями закона;
- конфиденциальность и соразмерная защита данных.
Данные поступают непосредственно от субъекта; от организации-заказчика или её уполномоченного пользователя; через реферальную связь; из действий субъекта в Сервисе; из технических журналов; от платёжного провайдера в виде статуса операции; а также из обращения в поддержку. Оператор не собирает из сторонних источников досье о пользователях и не объединяет их с рекламными профилями.
3. Категории субъектов и обрабатываемых данных
3.1. Посетители сайта
- IP-адрес, дата и время запроса;
- тип браузера, операционной системы и устройства;
- адрес запрошенной страницы, технические ошибки и события безопасности;
- идентификаторы строго необходимых cookies.
3.2. Пользователи и представители организаций-заказчиков
- имя, email, телефон и должность;
- название организации, ИНН и сведения о рабочем профиле;
- данные учётной записи, выбранный тариф и параметры доступа;
- сведения о подтверждении согласия и принятии договорных условий;
- обращения в поддержку и добровольно переданная переписка.
3.3. Интеграторы и крупные партнёры
- имя, email, телефон, ИНН и наименование компании;
- роль, статус и дата регистрации в партнёрской программе;
- реферальный код, связи с приглашёнными партнёрами и клиентами;
- периоды атрибуции, персональная ставка и статистика привлечения;
- начисления, корректировки, выплаты и предоставленные для выплаты реквизиты.
3.4. Участники исследований
- ФИО, email, телефон и должность;
- дата рождения, пол и город — только если заказчик включил эти поля;
- организация, подразделение, руководитель и место в оргструктуре;
- ответы, время и параметры реакции, ход прохождения исследования;
- рассчитанные показатели, профиль, выводы и сформированные отчёты.
3.5. Плательщики и получатели возвратов
- идентификатор, статус, сумма, валюта и время платежа или возврата;
- сведения, необходимые для чека, счёта, бухгалтерского и налогового учёта: наименование плательщика, ИНН, КПП, юридический адрес и email для документов;
- номер счёта, назначение платежа и реквизиты банковской операции при оплате переводом.
Реквизиты банковской карты вводятся на странице платёжного провайдера и Оператору не передаются. Сервис не предназначен для сбора паспортных, биометрических данных, сведений о здоровье, политических или религиозных взглядах и интимной жизни. Оператор не просит вводить такие сведения; их нельзя указывать в свободных полях. При случайном получении таких данных Оператор ограничивает их обработку и принимает решение об удалении или ином законном действии с учётом обстоятельств.
4. Цели, правовые основания и критерии срока обработки
Конкретный срок определяется целью, договором и обязательными сроками по закону. По запросу субъекта Оператор сообщает применимый к его данным срок или критерий его определения.
| Субъекты и цель | Данные | Основание | Срок или критерий |
|---|---|---|---|
| Посетители: работа сайта, защита сессии и расследование сбоев | Технические данные и необходимые cookies | Обеспечение законных прав Оператора; согласие — когда оно требуется законом | Сессия и период, объективно необходимый для безопасности и разбора инцидента |
| Пользователи: регистрация, доступ, подписка и поддержка | Контактные, учётные, организационные данные и переписка | Согласие; заключение и исполнение договора; требования закона | Пока действует учётная запись или договор, затем — пока данные нужны для обязательного учёта, требований и споров |
| Участники: проведение исследования, расчёт и предоставление результатов | Анкетные данные, ответы, показатели и связь с оргструктурой | Согласие субъекта; договор и законное поручение заказчика | Срок исследования и доступности результата заказчику, далее — по договору и до прекращения применимого основания |
| Партнёры: реферальная атрибуция, начисления и выплаты | Контактные, регистрационные, реферальные и расчётные данные | Согласие; заключение и исполнение партнёрского договора; требования учёта | Участие в программе и расчёты, затем — обязательные сроки учёта и период разрешения требований |
| Плательщики: платёж, возврат, чек и финансовый учёт | Параметры операции без реквизитов карты | Исполнение договора и обязанностей по бухгалтерскому, налоговому и кассовому учёту | Сроки, прямо установленные применимым законодательством |
| Все категории: претензии, защита прав и исполнение требований органов | Минимально необходимая часть относящихся к вопросу данных | Требование закона и осуществление законных прав Оператора или третьих лиц | До окончательного разрешения вопроса и истечения применимого срока предъявления требований |
Сервисные письма с кодами, уведомлениями о доступе, оплате и безопасности направляются для исполнения договора и работы Сервиса. Рекламные рассылки без отдельного предварительного согласия не направляются.
5. Действия с данными и способы обработки
Оператор совершает сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, сопоставление, предоставление, обезличивание, блокирование, удаление и уничтожение персональных данных. Обработка ведётся автоматизированно и без использования средств автоматизации, в том числе при поддержке, расчётах, проверке обращений и исполнении обязанностей по закону.
Расчёт показателей и подготовка аналитических материалов выполняются автоматически. DEEPSCAN не ставит медицинские диагнозы. Оператор не публикует данные в открытом доступе и не считает их разрешёнными для распространения.
6. Получатели данных и лица, действующие по поручению
В объёме, необходимом для соответствующей цели, данные могут получать:
- организация-заказчик и её уполномоченные пользователи — данные приглашённых участников, результаты и сведения об оргструктуре;
- крупный партнёр — имя, email, компания, статус и агрегированная статистика приглашённого им интегратора; интегратор или крупный партнёр — название, ИНН и статус клиента, зарегистрированного по его ссылке, без доступа к ответам и результатам исследований;
- ООО НКО «ЮМани» (ЮKassa, лицензия Банка России № 3510-К) — сведения, необходимые для платежа, возврата и подтверждения операции;
- REG.RU — адрес email и содержание регистрационного, сервисного или восстановительного сообщения для его доставки;
- внешний оператор сервиса ИИ, зарегистрированный в Китайской Народной Республике, — псевдонимизированный контекст запросов к внешним ИИ-функциям и технические метаданные API только в составе и на условиях, описанных в разделе 7;
- поставщики размещения, резервного копирования, связи и технической поддержки — в пределах поручения, договора и режима конфиденциальности;
- государственные органы — только в случаях и порядке, предусмотренных законом.
Оператор не продаёт персональные данные. При поручении обработки другому лицу Оператор определяет цель и перечень действий, требует соблюдать конфиденциальность, обеспечивать безопасность и обрабатывать данные только в пределах поручения.
7. Локализация и трансграничная внешняя ИИ-обработка
При сборе персональных данных граждан Российской Федерации через интернет их запись, систематизация, накопление, хранение, уточнение и извлечение выполняются с использованием базы данных на территории РФ.
Для автоматических ИИ-заключений, генерации hard-skills, свободного текстового ИИ-обсуждения и административного тестирования промптов Сервис обращается по API к внешнему оператору сервиса ИИ, указанному в разделе 6 и находящемуся в Китайской Народной Республике (КНР). При вызове соответствующей функции запрос передаётся с сервера Оператора в КНР, а сформированный ответ возвращается в Сервис. Это является трансграничной передачей персональных данных.
Такая передача выполняется после первичной записи и хранения данных в РФ только для ИИ-функций, выбранных пользователем или предусмотренных соответствующим сценарием Сервиса. При регистрации клиентского аккаунта обязательная общая отметка подтверждает применимые условия обработки, а после её фиксации и завершения регистрации доступные по тарифу ИИ-функции включены по умолчанию. Для нового исследования Сервис фиксирует согласие участника версии 2026-08-12-ai2. Для работы с ранее законно переданными результатами Сервис требует актуального подтверждения условий внешней ИИ-обработки уполномоченным пользователем заказчика; оно является документированным указанием в пределах поручения по Оферте, но не выдаётся за согласие самого участника. Заказчик отвечает за применимое основание и информирование субъектов. Передача начинается только после выполнения применимых требований законодательства, включая предварительное уведомление Роскомнадзора. КНР включена в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, утверждённый приказом Роскомнадзора от 05.08.2022 № 128. Это не отменяет локализацию, фиксацию согласия и иные применимые требования.
В конкретный запрос включаются только сведения, необходимые для выбранной функции:
- псевдонимы или условные обозначения участников, должности, даты, время, длительность и номер попытки;
- названия и значения рассчитанных показателей, их модальности и необходимые пояснения к шкалам;
- схема организационной структуры с условными обозначениями вида «Участник N», без прямых идентификаторов;
- введённый пользователем свободный текст после локальной проверки прямых идентификаторов, необходимая для ответа псевдонимизированная история ИИ-обсуждения и предыдущие ответы ИИ;
- для административного тестирования — административный промпт, названия и описания показателей и синтетический тестовый контекст;
- технические метаданные API: параметры запроса, время, IP-адрес сервера Оператора, объём использования и идентификаторы журналов API.
При автоматическом формировании запроса ФИО, email, телефон и внутренние идентификаторы сотрудников, пользователей, участников и исследований не передаются внешнему оператору сервиса ИИ. Вместо них передаётся псевдонимизированный контекст: условные обозначения участников, должности, значения показателей и структура связей. Также автоматически не передаются ИНН, исходные ответы и последовательности реакций, сведения о платежах и банковских картах, а также пароли. Свободный текст и административные промпты до отправки проходят локальную проверку: известные системе ссылки на сотрудников заменяются условными токенами, а сообщения с email, телефоном или распознанным внутренним идентификатором блокируются и не передаются внешнему оператору сервиса ИИ.
Передаваемый набор не считается обезличенным: псевдоним, должность, контекст оргструктуры, показатели и свободный текст по отдельности или вместе могут позволить определить человека. Поэтому Оператор рассматривает такой набор как персональные данные и применяет к нему соответствующие требования.
По опубликованным на дату этой редакции условиям API внешний оператор сервиса ИИ получает ввод и формирует вывод через API; при этом его общая политика конфиденциальности прямо не устанавливает правила обработки данных конечных пользователей стороннего приложения. Документация API сообщает, что для каждого запроса по умолчанию создаются дисковые кэш-префиксы ввода и вывода; неиспользуемые записи обычно удаляются в течение нескольких часов или дней. Публичные условия API не определяют точное место такого хранения, полный срок хранения и полный перечень привлечённых обработчиков, поэтому Оператор не сообщает эти сведения как установленные факты. Для целей российского законодательства предоставление данных внешнему оператору сервиса ИИ в КНР рассматривается как трансграничная передача в КНР.
Условия API внешнего оператора сервиса ИИ допускают минимальное использование ввода и вывода для работы, развития и улучшения сервиса после заявленных шифрования, деидентификации и необратимости; для аккаунта может быть доступен механизм отказа от улучшения сервиса ИИ. Оператор применяет доступный для аккаунта механизм отказа и в любом случае не может гарантировать немедленное удаление уже переданного запроса из систем поставщика.
Без обязательного подтверждения применимых условий обработки нельзя завершить новую регистрацию клиентского аккаунта или начать новое исследование. После серверной фиксации общей отметки и завершения регистрации доступные по тарифу ИИ-функции работают по умолчанию, включая автоматические операции, предусмотренные выбранным сценарием Сервиса.
8. Прекращение обработки, блокирование и уничтожение
Обработка прекращается при достижении цели, утрате законного основания, удовлетворении требования субъекта или в иных установленных законом случаях. Если данные больше не нужны и отсутствует другое основание для их хранения, Оператор уничтожает их либо обеспечивает уничтожение в сроки, предусмотренные статьёй 21 Федерального закона № 152-ФЗ. Когда немедленное уничтожение технически невозможно, данные блокируются и уничтожаются в установленный законом срок.
На дату этой редакции прекращение активности, окончание договора или удаление учётной записи не во всех процессах означает мгновенную автоматическую очистку всех связанных записей. Обработка требования может включать проверку оснований и контролируемые ручные действия; это не отменяет обязательные сроки закона. Резервные копии могут временно сохранять данные до планового замещения или вывода носителя из эксплуатации, при этом они изолируются от обычной обработки и защищаются.
Договорные, платёжные и бухгалтерские документы сохраняются столько, сколько требует применимое законодательство. Минимальный набор может сохраняться после отзыва согласия, если он нужен для исполнения закона, договора, разрешения действующего спора или защиты законных прав.
9. Права субъекта и порядок обращения
Субъект вправе:
- узнать о наличии и целях обработки, составе, источниках и получателях своих данных;
- получить доступ к относящимся к нему данным в предусмотренном законом объёме;
- потребовать уточнения, блокирования или уничтожения неполных, устаревших, неточных либо незаконно обработанных данных;
- отозвать согласие или потребовать прекратить обработку, когда это допускается законом;
- обжаловать действия или бездействие Оператора в Роскомнадзоре или суде.
Запрос можно направить на info@deepscan.su с темой «Персональные данные» или по юридическому адресу Оператора. Укажите ФИО, email учётной записи либо иной достаточный идентификатор, описание требования и сведения, позволяющие подтвердить полномочия заявителя. Оператор вправе запросить разумно необходимое подтверждение личности, чтобы не раскрыть данные постороннему лицу.
Отзыв согласия не прекращает обработку, для которой сохраняется иное законное основание. Он может сделать невозможными вход в кабинет, хранение результата, расчёты по партнёрской программе или дальнейшее оказание Сервиса. Форма применимого согласия доступна на странице «Согласие на обработку персональных данных».
10. Меры по защите персональных данных
Оператор принимает необходимые правовые, организационные и технические меры с учётом характера данных, актуальных угроз и требований закона. К таким мерам относятся назначение ответственного, локальные правила, разграничение прав доступа, защищённые соединения, защита учётных данных, журналирование событий, резервное копирование, контроль подрядчиков, управление уязвимостями и порядок реагирования на инциденты.
Доступ получают только работники и подрядчики, которым он необходим для выполнения задач. Они обязаны соблюдать конфиденциальность. Оператор оценивает применяемые меры и уточняет их при изменении Сервиса или угроз.
12. Обновление Политики
Оператор пересматривает Политику при изменении законодательства, состава данных, целей, подрядчиков или функций Сервиса. Новая редакция действует с указанной в ней даты и публикуется по тому же адресу. Если изменение требует нового согласия, оно запрашивается одной явно подписанной отметкой до начала соответствующей обработки и фиксируется отдельной версией.