Информация о защите данных

Общие положения

Настоящая информация о защите данных определяет порядок обращения с персональными данными при использовании сервисов, веб-интерфейсов, интеграций и сопутствующих технических функций Loxia AI. Документ подготовлен как юридическая информация и предназначен для разъяснения принципов конфиденциальности, оснований обработки данных, мер безопасности данных, а также прав субъектов данных, предусмотренных применимым законодательством, включая GDPR и RGPD, если такое законодательство подлежит применению.

Под персональными данными в рамках настоящего документа понимается любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу. К таким данным могут относиться имя, контактные сведения, учетные идентификаторы, сведения о взаимодействии с интерфейсами, данные переписки, а также технические и поведенческие параметры, связанные с использованием сервисов. Обработка данных осуществляется в объеме, необходимом для предоставления функциональности, обеспечения безопасности, ведения операционной деятельности и соблюдения правовых обязанностей.

Настоящая политика конфиденциальности дополняет и, при необходимости, уточняет иные документы, регулирующие использование сервисов, включая условия обслуживания, пользовательские соглашения, документы по API, положения о файлах cookie и системную информацию. При наличии противоречий приоритет имеет специальная норма, регулирующая соответствующий процесс обработки или передачу данных.

Категории данных и цели обработки

В процессе оказания услуг могут обрабатываться следующие категории данных: идентификационные данные, контактные данные, данные учетной записи, журнал событий, технические метаданные, сведения о настройках интеграций, а также содержимое сообщений или запросов, если оно передается через интерфейсы или API и необходимо для исполнения функции. Для корпоративных клиентов возможна обработка данных, относящихся к сотрудникам, представителям, клиентам или иным контактным лицам, если такие данные передаются в рамках использования сервиса.

Цели обработки данных включают предоставление доступа к функциональности, маршрутизацию запросов, обработку аутентификации, поддержку работоспособности сервисов, устранение ошибок, ведение диагностики, обеспечение безопасности данных, контроль целостности, соблюдение правовых требований и ведение коммуникации по техническим вопросам. В отдельных случаях обработка может осуществляться для подготовки статистической или агрегированной информации, если это не позволяет прямо идентифицировать субъект данных.

Обработка данных также может быть необходима для выполнения договорных обязательств, настройки интеграций с внешними системами, регистрации событий доступа, предотвращения злоупотреблений и расследования инцидентов. Например, если клиент использует API для обработки обращений в разных временных зонах — включая Дубай, Лондон, Кипр, Москву или Санкт-Петербург, — система может хранить журналы обращений и технические идентификаторы для подтверждения корректной передачи данных и диагностики ошибок.

Правовые основания и согласие на обработку

Обработка персональных данных осуществляется на основании правовых оснований, предусмотренных применимым правом. В зависимости от контекста это может быть согласие на обработку, необходимость исполнения договора, соблюдение юридической обязанности, защита жизненно важных интересов, а также законный интерес, если он не нарушает права и свободы субъекта данных. В рамках GDPR и RGPD каждое основание применяется только в пределах, допускаемых соответствующим режимом регулирования.

Если обработка требует согласия, оно должно быть добровольным, информированным и выраженным однозначно. Согласие может предоставляться через интерфейс, форму, настройки учетной записи или иным технически подтверждаемым способом. Субъект данных вправе отозвать согласие в любой момент, если обработка основана именно на нем. Отзыв согласия не влияет на законность обработки, осуществленной до момента отзыва.

Отдельные операции обработки могут не требовать согласия, если они необходимы для оказания услуги или для соблюдения правовой обязанности. Например, хранение логов доступа может быть оправдано необходимостью обеспечения безопасности данных и предотвращения несанкционированного доступа. При этом всегда применяется принцип минимизации: собираются только те данные, которые действительно нужны для заявленной цели.

Хранение данных, сроки и передача данных

Хранение данных осуществляется в течение срока, необходимого для достижения целей обработки, исполнения договорных обязательств, урегулирования споров, выполнения требований закона и обеспечения технической прослеживаемости операций. Конкретный срок зависит от категории данных, характера взаимодействия и обязательных сроков хранения, предусмотренных применимым законодательством. По истечении этого срока данные подлежат удалению, обезличиванию либо иной допустимой форме прекращения обработки.

Передача данных возможна между внутренними системами, уполномоченными обработчиками, инфраструктурными поставщиками и иными контрагентами, если это необходимо для функционирования сервиса. Такая передача данных осуществляется на основании договорных обязательств и при наличии соответствующих мер защиты. Если данные передаются за пределы Европейской экономической зоны, Соединенного Королевства или иного регулируемого пространства, применяются механизмы, предусмотренные GDPR и RGPD, включая стандартные договорные положения или иные допустимые юридические основания.

В практическом смысле это означает, что технические данные могут передаваться для маршрутизации запросов, хранения резервных копий, мониторинга доступности или обслуживания инфраструктуры. Например, если корпоративный клиент из Лондона подключает многоканальную коммуникацию для команды в Дубае и на Кипре, журналы передачи сообщений и метаданные могут временно обрабатываться распределенной инфраструктурой для обеспечения стабильного ответа и последующей аудиторской проверки.

Безопасность данных и организационные меры

Безопасность данных рассматривается как обязательный элемент всего жизненного цикла обработки. Применяются технические и организационные меры, соразмерные рискам, включая контроль доступа, аутентификацию, разграничение полномочий, журналирование событий, защиту каналов передачи, мониторинг подозрительной активности и процедуры реагирования на инциденты. Меры безопасности оцениваются и обновляются с учетом изменения характера данных, конфигурации сервисов и регуляторных требований.

Важное значение имеет принцип ограниченного доступа. Доступ к персональным данным предоставляется только тем лицам, которым он необходим для выполнения служебных обязанностей или технических функций. Используются процедуры управления учетными записями, ротация ключей, контроль привилегий и проверка событий входа. Если обрабатываются данные, относящиеся к высокочувствительным бизнес-процессам клиентов, применяются дополнительные меры сегментации и контроля.

Несмотря на применение разумных мер, ни одна система не может гарантировать абсолютную защиту от всех рисков. По этой причине предусмотрены процедуры обнаружения, локализации и документирования инцидентов, а также механизмы уведомления, если такое уведомление требуется по закону. При оценке инцидента учитываются характер данных, возможные последствия для субъектов данных и применимые регуляторные сроки.

Права субъектов данных и порядок их реализации

Субъекты данных обладают правами, предусмотренными применимым законодательством, включая право на доступ, исправление, удаление, ограничение обработки, возражение против обработки, переносимость данных, а также право на отзыв согласия, если обработка основана на согласии. В юрисдикциях, где это предусмотрено, могут существовать дополнительные права, включая право на подачу жалобы в надзорный орган.

Для реализации прав субъектов данных может потребоваться подтверждение личности и уточнение характера запроса. Это стандартная мера, направленная на предотвращение неправомерного раскрытия информации. Запросы рассматриваются в разумный срок и в пределах сроков, установленных GDPR, RGPD или иным применимым правом. Если часть данных не может быть удалена из-за юридической обязанности хранения, субъекту данных предоставляется соответствующее разъяснение.

Практически это может относиться, например, к данным представителя гостиничного объекта в Санкт-Петербурге, управляющего запросами гостей, или к контактам лица, отвечающего за VIP-обслуживание в бутике в Москве. Если такие данные хранятся в учетной записи или журнале обращений, субъект данных вправе запросить подтверждение состава данных, источник получения и цели дальнейшего хранения.

Контакт по вопросам данных и юридическая информация

По вопросам, связанным с обработкой персональных данных, конфиденциальностью, передачей данных, хранением данных, а также реализацией прав субъектов данных, используется отдельный контакт по вопросам данных. Обращения по таким вопросам должны содержать достаточно информации для идентификации запроса и понимания сути обращения. Это позволяет корректно определить, относится ли запрос к доступу, исправлению, удалению, ограничению или иной правовой категории.

Юридическая информация, содержащаяся в настоящем документе, может быть дополнена локальными условиями, если конкретная услуга подпадает под особые требования национального права. В случае если применимы GDPR или RGPD, положения настоящего документа толкуются в соответствии с принципами законности, добросовестности, прозрачности, минимизации данных, ограничения цели, точности, ограничения срока хранения, целостности и подотчетности.

Настоящая информация о защите данных носит общий характер и не заменяет индивидуальную правовую оценку в случаях, когда обработка данных осуществляется в рамках специальных договорных отношений, трансграничной передачи или обработки данных, относящихся к нескольким юрисдикциям одновременно. Для корпоративных клиентов, работающих с международными командами и высокочувствительными запросами, рекомендуется регулярно проверять настройки хранения данных, состав интеграций и полномочия доступа, чтобы обеспечить надлежащий уровень конфиденциальности и соблюдение требований применимого законодательства.