Политика конфиденциальности

1. Оператор персональных данных

Оператор — Индивидуальный предприниматель Воинков Андрей Владимирович (ИНН 775106904545, ОГРНИП 325774600140655), адрес: 108802, г. Москва, район Коммунарка, дер. Николо-Хованское, д. 201. Контактный e-mail: voinkovandrew@yandex.ru. Сервис размещён на домене prmly.ru.

Уведомление о намерении осуществлять обработку персональных данных подано Оператором в Роскомнадзор в порядке ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Регистрационный номер в Реестре операторов будет указан в настоящей Политике после его присвоения уполномоченным органом.

Настоящая Политика разработана в соответствии с требованиями 152-ФЗ, Постановления Правительства РФ от 01.11.2012 № 1119, приказа ФСТЭК России от 18.02.2013 № 21 (в части мер защиты ИСПДн).

1.1. Правовое основание обработки

Основания обработки персональных данных Оператором:

• п. 1 ч. 1 ст. 6 152-ФЗ — согласие субъекта (даётся при регистрации и принятии настоящей Политики);
• п. 5 ч. 1 ст. 6 152-ФЗ — для исполнения договора, стороной которого является субъект (Публичная оферта);
• п. 7 ч. 1 ст. 6 152-ФЗ — для осуществления прав и законных интересов Оператора либо пользователя сервиса (в отношении данных контактов пользователя);
• ст. 9 152-ФЗ — обработка осуществляется на основании конкретного, информированного и сознательного согласия субъекта; согласие может быть отозвано в любой момент.

2. Категории персональных данных

2.1. Данные пользователя сервиса:

• Email и имя из Google-аккаунта (через Google OAuth).
• Telegram chat_id и username (если привязан бот).
• Настройки уведомлений: тихие часы, lead-time дней рождения.
• Google OAuth-токены — только для синхронизации с Google Calendar; не передаются третьим лицам и не используются для иных целей.
• Данные о подписке и платежах (тариф, статус, история транзакций; реквизиты карт хранятся в платёжном сервисе ЮKassa, оператору не передаются).
• Технические события активности (создание контакта, выполнение напоминания) — для улучшения продукта.

2.2. Данные третьих лиц, добавленные пользователем:

• Имя, фамилия, отчество.
• Телефон, e-mail.
• Адрес.
• Дата рождения.
• Место работы, должность, индустрия.
• Фотография.
• Заметки пользователя о контакте.
• История взаимодействий: тип (звонок / встреча / сообщение), дата, заметка.
• Связи и группы (тип отношений, тег, приоритет).

Правовое основание обработки данных третьих лиц: п. 7 ч. 1 ст. 6 152-ФЗ — обработка необходима для осуществления прав и законных интересов оператора либо лица, в чьих интересах обрабатываются данные (пользователя сервиса), при условии что не нарушаются права субъекта персональных данных.

3. Цели обработки

• Предоставление функций сервиса: контакты, напоминания, синхронизация с календарём, Telegram-бот, AI-сводки.
• Учёт подписки, выставление счетов, проведение платежей через ЮKassa.
• Информационные уведомления (изменения тарифов, сервисные сообщения, рассылка только с согласия).
• Анализ продуктовых метрик в обезличенном виде для улучшения сервиса.
• Обеспечение безопасности и защита от злоупотреблений.
• Исполнение требований законодательства РФ.

4. Способы обработки

Обработка осуществляется автоматизированным способом с использованием серверного программного обеспечения. Действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

5. Местонахождение базы данных

Первичная запись и хранение персональных данных граждан РФ осуществляется на серверах, расположенных на территории Российской Федерации (Yandex Cloud, регион ru-central1, г. Москва), в соответствии с ч. 5 ст. 18 152-ФЗ.

На переходный период до завершения миграции (Phase 20) данные могут временно располагаться на серверах Supabase (США). Об окончании миграции и финальном местоположении баз данных пользователи будут уведомлены отдельно. Доступ к сервису в это время доступен только по приглашению ограниченному кругу тестировщиков.

5.1. Трансграничная передача персональных данных

В соответствии со ст. 12 152-ФЗ Оператор уведомляет, что в рамках оказания услуги Сервиса персональные данные пользователя и добавленных им контактов могут быть переданы операторам в иностранных государствах:

• Google LLC (США) — для аутентификации (OAuth) и записи событий в Google Calendar по явному разрешению пользователя.
• Google LLC (США), сервис Gemini API — обработка заметок и истории общения для генерации краткого AI-резюме по прямому запросу пользователя. Передача является обезличенной в части идентификаторов пользователя.
• Telegram Messenger Inc. (Великобритания, ОАЭ) — при использовании Telegram-бота, в объёме данных, необходимых для обмена сообщениями.
• Cloudflare Inc. (США) — обработка HTTP-запросов (CDN, защита от DDoS), временно — без хранения содержимого.
• Supabase Inc. (США) — на переходный период до завершения миграции в Yandex Cloud (РФ).

США отнесены к иностранным государствам, не обеспечивающим адекватную защиту прав субъектов персональных данных (Приказ Роскомнадзора от 05.08.2022 № 128). Передача персональных данных в США, иные государства, не обеспечивающие адекватную защиту, осуществляется только при наличии письменного согласия субъекта в соответствии с ч. 4 ст. 12 152-ФЗ. Регистрируясь в Сервисе, пользователь подтверждает информированное согласие на трансграничную передачу указанных выше данных в указанные страны для целей, указанных в настоящей Политике.

Уведомление о намерении осуществлять трансграничную передачу персональных данных направлено Оператором в Роскомнадзор в порядке ч. 3 ст. 12 152-ФЗ.

5.2. Обогащение контактов через ИИ

По явному согласию пользователя (отдельная галочка при загрузке переписки) текст сообщений матченных контактов передаётся сервису Google Gemini API (Google LLC, США) для формирования краткой сводки о человеке.

Что передаётся в Gemini:

• Текст сообщений и даты переписки с конкретным контактом.
• Персональные идентификаторы (телефон, e-mail, адрес из карточки контакта) в запрос не включаются.

Что не сохраняется:

• Сырой текст переписки — ни на серверах Оператора, ни в логах. Текст существует только в памяти запроса на время генерации.
• Google не использует данные, переданные через Gemini API, для обучения публичных моделей (согласно условиям Gemini API Terms of Service).

Что сохраняется у Оператора:

• Только готовая сводка: краткое описание (3–5 предложений), список тем общения и фактов о человеке.

Правовое основание: ст. 6 ч. 1 п. 1 Федерального закона № 152-ФЗ (явное согласие субъекта, даётся отдельно per-импорт); ст. 12 152-ФЗ (трансграничная передача данных в США — согласие явное, per-импорт).

Право на удаление: пользователь может удалить готовую сводку по конкретному контакту через карточку контакта (кнопка «Удалить сводку») или удалить все сводки разом в разделе Настройки → «Удалить все ИИ-сводки».

6. Передача третьим лицам

Данные передаются исключительно для предоставления функций сервиса:

• Google LLC — для аутентификации (OAuth) и записи событий в Google Calendar пользователя по его явному разрешению.
• Telegram Messenger Inc. — при использовании Telegram-бота, обмен сообщениями.
• Google Gemini API — обезличенные данные контакта отправляются для генерации AI-сводки по запросу пользователя. По соглашению с провайдером данные не используются для обучения публичных моделей.
• ЮKassa (ООО НКО «ЮMoney») — для приёма платежей. Реквизиты банковских карт оператору не передаются.
• Государственные органы — по обоснованному требованию в случаях, установленных законодательством РФ.

Маркетинговая передача данных третьим лицам не производится.

7. Сроки обработки и хранения

Данные обрабатываются с момента регистрации до момента отзыва согласия либо удаления аккаунта. После удаления аккаунта данные стираются в течение 30 дней, кроме случаев, когда хранение требуется по законодательству РФ (например, документы о расчётах — 5 лет согласно НК РФ).

8. Права субъекта персональных данных

• Получить копию своих данных (Настройки → Скачать мои данные, формат JSON).
• Изменить или удалить любую запись через интерфейс сервиса.
• Удалить аккаунт целиком (Настройки → Удалить аккаунт). Удаление каскадное.
• Отозвать согласие на обработку (через email оператора).
• Обжаловать действия или бездействие оператора в Роскомнадзор или в судебном порядке.

9. Меры безопасности

• Все соединения по TLS 1.2+.
• На уровне БД — Row Level Security: пользователь видит только свои строки.
• Секреты (API-ключи, токены) хранятся в защищённом хранилище секретов и не попадают в репозиторий и логи.
• Доступ оператора к продакшен-данным — по принципу наименьших привилегий, с журналированием.
• Бэкапы шифруются (AES-256).
• Регулярная ротация ключей доступа.

10. Cookies и технические данные

Сервис использует строго необходимые cookies (session, auth, theme). Аналитические и маркетинговые cookies не устанавливаются без явного согласия пользователя.

11. Согласие пользователя на обработку данных третьих лиц

Загружая в сервис данные третьих лиц (контактов), пользователь подтверждает, что:

• имеет правовое основание для такой обработки (например, сложившиеся личные / деловые отношения);
• обрабатывает данные в личных или семейных целях, либо в интересах исполнения договора с пользователем;
• обязуется по запросу третьего лица предоставить ему возможность ознакомления, исправления или удаления данных.

Сервис предоставляет инструменты для удаления данных по запросу субъекта (раздел Настройки или письмо на voinkovandrew@yandex.ru).

12. Изменения политики

Политика может обновляться. О существенных изменениях пользователи уведомляются через интерфейс сервиса или по e-mail не менее чем за 7 дней до вступления изменений в силу.

13. Контакты

По вопросам обработки персональных данных, отзыва согласия, реализации прав субъекта — на e-mail оператора: voinkovandrew@yandex.ru.