1. Общие положения
1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») издана и применяется сервисом AI-Декларант, именуемым в дальнейшем «Оператор».
1.2. Политика разработана в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о персональных данных»). Документ определяет порядок обработки персональных данных и меры по обеспечению их безопасности, предпринимаемые Оператором на веб-сайте ai-declarant.ru (и его поддоменах, далее — «Сайт» / «Сервис»).
1.3. Главной целью Оператора при обработке данных является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
1.4. Использование Сервиса, регистрация Личного кабинета или направление данных через формы обратной связи означает выражение Пользователем согласия с настоящей Политикой. В случае несогласия с условиями Пользователь должен прекратить использование Сервиса.
2. Категории субъектов и объем собираемых данных
Оператор обрабатывает персональные данные следующих категорий субъектов:
- Пользователи Сервиса: Физические лица, индивидуальные предприниматели, а также представители, руководители или сотрудники юридических лиц, прошедшие регистрацию на Сайте.
- Лица, получившие корпоративный доступ к Сервису или доступ в составе организации-клиента: Сотрудники и уполномоченные представители корпоративных заказчиков Сервиса.
- Третьи лица, сведения о которых содержатся в загружаемых документах: Водители автотранспортных средств (для формирования CMR/ТТН), декларанты, грузоотправители, грузополучатели и иные физические лица, чьи данные фигурируют в инвойсах, спецификациях и упаковочных листах, загружаемых Пользователем для распознавания.
Состав обрабатываемых данных
В зависимости от сценария использования Сервиса, к персональным данным могут относиться исключительно:
- Базовые анкетные данные: Фамилия, имя, отчество.
- Контактные данные: Адрес электронной почты (email), номера контактных телефонов.
- Идентификационные данные: ИНН, адрес регистрации или проживания (если применимо для формирования документов).
- Профессиональные сведения: Сведения о месте работы, занимаемой должности, профессии или специальности (если это требуется для целей заполнения таможенных документов).
- Графические и фотоматериалы: Скан-образы, фотографии и цифровые копии коммерческих и логистических документов (включая водительские удостоверения, инвойсы, спецификации, упаковочные листы, CMR, ТТН), загружаемые Пользователем для автоматического распознавания (OCR).
- Технические (обезличенные) данные: Файлы cookie, IP-адрес, тип устройства, параметры браузера и сведения о действиях на Сайте, собираемые автоматизированными системами веб-аналитики (Яндекс Метрика).
3. Правовые основания и цели обработки данных
3.1. Обработка персональных данных осуществляется исключительно на законной и справедливой основе. Правовыми основаниями для обработки данных Оператором являются уставные и регистрационные документы Оператора, договоры, заключаемые между Оператором и субъектом персональных данных, а также согласие субъекта на обработку его персональных данных.
3.2. Структура целей, правовых оснований и перечня действий по обработке персональных данных представлена в таблице ниже:
| Цель обработки персональных данных | Правовое основание обработки | Действия и способы обработки |
|---|---|---|
| Регистрация Пользователя, предоставление доступа к Личному кабинету Сервиса, его техническая кастомизация и надлежащее исполнение условий Договора оказания услуг. | Заключение и исполнение Договора, стороной которого либо выгодоприобретателем по которому является субъект персональных данных (п. 2, п. 5 ч. 1 ст. 6 Закона о персональных данных). | Сбор, запись, систематизация, накопление, хранение, извлечение, использование, блокирование, уничтожение. Автоматизированная обработка. |
| Автоматизация заполнения таможенных документов, распознавание (OCR) и структурирование данных из документов, загружаемых корпоративными клиентами. | Поручение на обработку персональных данных, выданное Пользователем (юридическим лицом или ИП), выступающим первоначальным Оператором данных (ч. 3 ст. 6 Закона о персональных данных). | Запись, систематизация, автоматизированное извлечение отдельных обрабатываемых полей, структурирование, передача ИТ-провайдерам, уничтожение. |
| Автоматизация заполнения таможенных документов и распознавание данных из документов, загружаемых Пользователями — физическими лицами (декларантами). | Прямое, информированное и сознательное согласие субъекта персональных данных (п. 1 ч. 1 ст. 6 Закона о персональных данных). | Сбор, запись, извлечение отдельных обрабатываемых полей, систематизация, анализ программными алгоритмами, удаление. |
| Направление Пользователям Сервиса системных информационных писем, официальных уведомлений, ответов на запросы в службу поддержки. | Исполнение условий заключенного Договора оказания услуг, а также законный интерес Оператора по информированию клиентов. | Использование контактных данных, отправка электронных сообщений (email). |
| Псевдонимизация и последующее добровольное обезличивание данных для целей машинного обучения, улучшения ИИ-моделей Сервиса. | Согласие субъекта персональных данных, выраженное в форме акцепта условий настоящей Политики (п. 7 ст. 5 Закона о персональных данных). | Псевдонимизация, преобразование методами обезличивания, запись, накопление обособленных датасетов. |
| Сбор технических данных и статистики Сайта для проведения веб-аналитики, повышения уровня информационной безопасности и удобства интерфейса. | Согласие Пользователя с условиями использования файлов cookie, выраженное через интерактивный баннер Сайта. | Сбор, запись, накопление, автоматизированный статистический анализ системами Яндекс Метрика. |
4. Порядок, способы и условия обработки персональных данных
4.1. Обработка персональных данных осуществляется Оператором с использованием средств вычислительной техники (автоматизированная обработка).
4.2. Оператор обязуется обеспечивать конфиденциальность персональных данных. Данные не подлежат раскрытию третьим лицам и распространению без согласия субъекта, если иное не предусмотрено законодательством РФ.
4.3. Взаимодействие с третьими лицами и внешними ИТ-сервисами: Для выполнения технических операций по автоматическому распознаванию текста (OCR) и верификации реквизитов контрагентов Оператор вправе передавать отдельные обрабатываемые поля данных в сторонние проверенные сервисы. Передача данных в указанные системы осуществляется в минимально необходимом объеме или в строго зашифрованном виде. Сторонние сервисы обрабатывают данные на своих защищенных мощностях в соответствии со своими внутренними регламентами безопасности.
4.4. Локализация баз данных: Хранение персональных данных граждан РФ осуществляется исключительно на базах данных, физически расположенных на территории Российской Федерации (с использованием защищенной облачной инфраструктуры хостинг-провайдеров).
4.5. Обработка персональных данных третьих лиц, полученных от Пользователя: В случаях, когда Пользователь в рамках использования Сервиса загружает документы (инвойсы, спецификации, CMR, ТТН), содержащие данные третьих лиц (водителей, декларантов, представителей контрагентов), Пользователь признает себя лицом, организовавшим обработку указанных данных. Пользователь безоговорочно гарантирует, что им до момента загрузки любых документов в Сервис были получены все необходимые, явные и юридически действительные согласия от указанных третьих лиц на передачу их данных Оператору и их последующую автоматизированную обработку алгоритмами Сервиса. Оператор не обязан осуществлять проверку наличия у Пользователя указанных согласий и не несет ответственности перед третьими лицами за неправомерную обработку их данных, вызванную неправомерными действиями Пользователя.
5. Сроки хранения персональных данных
5.1. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели их обработки. Сроки хранения персональных данных зафиксированы Оператором по конкретным категориям и целям обработки:
- Данные учетной записи Пользователя (Личного кабинета): Обрабатываются в течение всего срока активности Личного кабинета Пользователя и подлежат хранению в течение 3 (трех) лет с момента направления Пользователем заявления на удаление Личного кабинета (в целях обеспечения доказательственной базы в рамках общего срока исковой давности по закону РФ).
- Документы, загружаемые для формирования таможенных деклараций: Хранятся в интерфейсе Сервиса и базах данных в течение 5 (пяти) лет с момента проведения автоматической обработки, что строго соответствует установленному периоду таможенного контроля и обязанности хранения документов таможенного оформления согласно ст. 310 Таможенного кодекса ЕАЭС.
- Маркетинговые и информационные данные (email, телефон): Обрабатываются с момента предоставления согласия Пользователем и хранятся до момента явного отзыва согласия субъектом персональных данных.
6. Права субъектов персональных данных
6.1. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, на их уточнение, блокирование или уничтожение в случае, если они являются неполными, устаревшими, неточными или незаконно полученными.
6.2. Субъект персональных данных имеет право в любой момент отозвать предоставленное ранее согласие на обработку данных, направив официальное уведомление Оператору.
6.3. Право на обжалование действий Оператора: Если субъект персональных данных считает, что Оператор осуществляет обработку его персональных данных с нарушением требований Закона о персональных данных или иным образом нарушает его права и свободы, субъект имеет безусловное право обжаловать действия или бездействие Оператора в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) или в судебном порядке.
7. Обеспечение безопасности персональных данных и порядок реагирования на инциденты
7.1. Безопасность персональных данных, обрабатываемых Оператором, обеспечивается путем реализации правовых, организационных и технических мер, необходимых и достаточных для выполнения требований ст. 18.1 и 19 Закона о персональных данных в полном объеме.
7.2. Правовые и организационные меры включают: разработку локальных нормативных актов Оператора (включая настоящую Политику); разграничение прав доступа к базам данных Сервиса; проведение регулярной внутренней оценки вреда, который может быть причинен субъектам данных в случае нарушения закона, и соотнесение масштаба вреда с принимаемыми мерами защиты.
7.3. Технические меры защиты включают: применение методов сквозного шифрования трафика (HTTPS/SSL); использование строгой парольной политики и многофакторной аутентификации для администраторов; автоматизированное ведение журналов регистрации технических событий (журналирование/логирование фактов авторизации, модификации и выгрузки данных); использование антивирусного ПО и межсетевых экранов (WAF); размещение баз данных в сертифицированных облачных дата-центрах на территории РФ с регулярным автоматическим созданием резервных копий (бэкапов).
7.4. Регламент реагирования на инциденты безопасности: В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных (инцидента безопасности/утечки), Оператор в соответствии с требованиями ч. 3.1 ст. 21 Закона о персональных данных обязуется:
- В течение 24 часов с момента обнаружения инцидента направить в Роскомнадзор первичное уведомление о произошедшем инциденте, о причинах, повлекших нарушение прав субъектов, предполагаемом вреде и принятых Оператором неотложных мерах по локализации инцидента.
- В течение 72 часов с момента обнаружения инцидента направить в Роскомнадзор повторное (итоговое) уведомление о результатах внутреннего расследования инцидента с обязательным указанием лиц, действия которых стали причиной инцидента (при их наличии).
8. Псевдонимизация, обезличивание данных и взаимодействие с ИИ
8.1. В рамках технологического цикла Сервиса, направленного на распознавание текстов и классификацию по кодам ТН ВЭД, Оператор осуществляет первичную программную псевдонимизацию входящих потоков данных (замену явных идентификаторов личности на хэш-коды) во избежание прямой компрометации данных.
8.2. На основании п. 7 ст. 5 Закона № 152-ФЗ Оператор имеет право осуществлять добровольное обезличивание персональных данных Пользователей и третьих лиц, содержащихся в документах, в целях аналитики и дообучения алгоритмов машинного обучения. Обезличивание проводится строго методами, утвержденными Приказом Роскомнадзора от 05.09.2013 № 996 (включая методы введения идентификаторов, изменения состава или семантики, декомпозиции, перемешивания).
8.3. В случае отзыва Пользователем согласия на обработку персональных данных, массивы данных, которые к моменту получения отзыва прошли процедуру полного и необратимого обезличивания методами Приказа РКН № 996, уничтожению и удалению не подлежат. Данные массивы теряют правовой статус персональных данных (так как связь с конкретным физическим лицом не может быть восстановлена без использования ключей кодирования) и могут использоваться Оператором бессрочно в научно-исследовательских и технологических целях.
8.4. В соответствии с требованиями Федерального закона от 08.08.2024 № 233-ФЗ, Оператор признает законное право и корреспондирующую обязанность по передаче сформированных обезличенных наборов данных в государственную информационную систему (ГИС) обезличенных данных по мотивированному запросу Министерства цифрового развития, связи и массовых коммуникаций РФ (Минцифры России) в порядке, предусмотренном действующим законодательством.
9. Актуализация, исправление, удаление и уничтожение данных
9.1. В случае подтверждения факта неточности персональных данных или неправомерности их обработки, Оператор обязан актуализировать их в течение 7 рабочих дней с момента получения уведомления.
9.2. Для реализации прав на изменение, блокирование, отзыв согласия или уничтожение персональных данных Пользователь направляет Оператору официальный запрос по адресу электронной почты службы поддержки: support@ai-declarant.com.
9.3. Оператор обязан рассмотреть поступивший запрос и направить ответ субъекту в течение 10 рабочих дней с даты официального получения обращения.
10. Заключительные положения
10.1. Настоящая Политика является общедоступным открытым документом. Актуальная версия в свободном доступе всегда размещена в сети Интернет на Сайте Сервиса.
10.2. Оператор оставляет за собой право в одностороннем порядке вносить изменения в текст настоящей Политики при изменении технологических процессов или нормативно-правовой базы РФ. Новая редакция Политики вступает в силу с момента ее публикации.