Политика конфиденциальности

УТВЕРЖДЕНА
Оператором Сервиса «RAG Support Bot»
«26» апреля 2026 г.

ПОЛИТИКА КОНФИДЕНЦИАЛЬНОСТИ

Программный комплекс «RAG Support Bot»

Редакция № 1 от «26» апреля 2026 года

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящая Политика конфиденциальности (далее — «Политика») разработана в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ), Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», а также с учётом рекомендаций Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).

1.2. Политика регулирует порядок сбора, хранения, использования, передачи и защиты персональных данных, обрабатываемых в рамках работы сервиса «RAG Support Bot» (далее – Сервис).

1.3. Оператором персональных данных является юридическое лицо (индивидуальный предприниматель), осуществляющее техническую эксплуатацию Сервиса (далее — «Оператор»). Реквизиты Оператора указаны в Разделе 13 настоящей Политики.

1.4. Настоящая Политика распространяется на следующие категории субъектов:

1.4.1 Пользователи — физические и юридические лица, зарегистрировавшиеся в Сервисе для создания и управления Чат-ботами поддержки клиентов.

1.4.2 Конечные пользователи — физические лица, взаимодействующие с Чат-ботами Пользователей через мессенджер Телеграм, социальную сеть «ВКонтакте», веб-виджет или иные каналы интеграции.

1.4.3 Посетители официального сайта Сервиса.

1.5. Регистрация в Сервисе, а также фактическое использование Сервиса означает полное и безоговорочное согласие субъекта персональных данных с условиями настоящей Политики. В случае несогласия с Политикой использование Сервиса должно быть прекращено.

1.6. Настоящая Политика является публичным документом и размещена на официальном сайте Сервиса в постоянном открытом доступе.

2. ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ

3. СОСТАВ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ

Оператор обрабатывает персональные данные следующих категорий субъектов.

3.1. Персональные данные Пользователей Сервиса:

3.2. Данные Конечных пользователей, обрабатываемые по поручению Пользователя:

3.3. Оператор не обрабатывает специальные категории персональных данных (расовая или национальная принадлежность, политические взгляды, религиозные убеждения, состояние здоровья, биометрические данные), за исключением случаев, когда такие данные намеренно сообщены субъектом в тексте диалога. В подобных случаях их обработка ограничивается хранением и передачей языковой модели для формирования ответа.

3.4. Данные несовершеннолетних. Сервис не предназначен для лиц моложе 18 лет. При обнаружении факта обработки данных несовершеннолетнего Оператор принимает меры к незамедлительному удалению таких данных.

4. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Оператор не осуществляет обработку персональных данных в целях, несовместимых с заявленными, без дополнительного согласия субъекта.

5. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ

5.1. Обработка персональных данных Пользователей осуществляется на следующих правовых основаниях:

5.1.1 Исполнение договора, стороной которого является субъект персональных данных — акцепт Публичной оферты путём регистрации в Сервисе (пункт 5 части 1 статьи 6 Закона № 152-ФЗ).

5.1.2 Законный интерес Оператора в обеспечении информационной безопасности, предотвращении несанкционированного доступа и мошеннических действий (пункт 7 части 1 статьи 6 Закона № 152-ФЗ).

5.1.3 Исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации (в части финансовых транзакций и налогового учёта) — пункт 6 части 1 статьи 6 Закона № 152-ФЗ.

5.1.4 Согласие субъекта персональных данных — для маркетинговых коммуникаций (пункт 1 части 1 статьи 6 Закона № 152-ФЗ). Согласие даётся при явном оформлении подписки и может быть отозвано в любое время.

5.2. Цели обработки персональных данных включают:

• установление и поддержание делового взаимодействия по вопросам заключения, исполнения и сопровождения договорных отношений;
• рассмотрение обращений, заявок и запросов, связанных с использованием Сервиса;
• заключение, исполнение, изменение и прекращение договоров;
• предварительную оценку возможности заключения договора и предоставления услуг;
• предоставление доступа к информации о заключаемых и заключённых договорах, тарифах, расчётах и условиях обслуживания;
• предоставление доступа к функционалу Сервиса, программным продуктам и связанным услугам;
• сопровождение Пользователей в процессе использования Сервиса, включая консультационную и техническую поддержку;
• предоставление возможности актуализации персональных данных через интерфейс Сервиса либо путём направления соответствующего обращения Оператору;
• техническое сопровождение программного обеспечения, используемого при работе с Сервисом;
• контроль качества обслуживания, проведение опросов и анализ качества предоставляемых услуг;
• формирование единого пользовательского профиля для обеспечения удобного и непрерывного взаимодействия с сервисами Оператора;
• идентификацию и аутентификацию Пользователя, обеспечение безопасности учётной записи, а также использование функций автозаполнения при наличии соответствующего функционала;
• ведение внутренней административной, финансовой и операционной деятельности Оператора в объёме, необходимом для оказания услуг;
• исполнение обязанностей, предусмотренных законодательством Российской Федерации, включая бухгалтерский, налоговый и иной обязательный учёт и отчётность;
• выявление, предотвращение и пресечение мошеннических, противоправных и недобросовестных действий, обеспечение информационной безопасности, расследование инцидентов и спорных операций.

5.3. Обработка персональных данных Конечных пользователей осуществляется Оператором по поручению Пользователя на основании статьи 6 Закона № 152-ФЗ. Пользователь, как самостоятельный оператор персональных данных Конечных пользователей, обязан обеспечить надлежащее правовое основание для передачи данных Оператору.

6. ПОРЯДОК И СПОСОБЫ СБОРА ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. Сбор и иная обработка персональных данных осуществляются Оператором законными способами, в объёме, необходимом для достижения целей, указанных в настоящей Политике, с соблюдением требований законодательства Российской Федерации.

Оператор обеспечивает соответствие способов получения персональных данных характеру оказываемых услуг и применяемым технологическим решениям.

6.2. Персональные данные Пользователей Сервиса собираются следующими способами:

6.2.1. Непосредственное предоставление субъектом персональных данных:

• при регистрации в Сервисе;
• при заполнении форм обратной связи;
• при направлении обращений в службу поддержки;
• при изменении данных в личном кабинете.

К таким данным могут относиться:

• адрес электронной почты;
• пароль (с последующим преобразованием в защищённый хэш);
• имя, наименование организации либо иные данные профиля.

6.2.2. Автоматический сбор в процессе использования Сервиса:

• IP-адрес;
• дата и время входа;
• идентификаторы сессий;
• данные об устройстве и браузере;
• журналы событий;
• сведения об использовании функционала;
• метрики нагрузки и потребления ресурсов.

6.2.3. Формирование системой:

• хэши паролей;
• токены авторизации;
• TOTP-секреты при подключении двухфакторной аутентификации;
• хэши API-ключей;
• сведения о тарифах;
• данные баланса;
• история операций;
• технические журналы безопасности.

6.3. Персональные данные Конечных пользователей собираются следующими способами:

6.3.1. Через интеграции с внешними платформами:

• сообщения, полученные через API Telegram (webhook), включая текст сообщения, user_id, username (если доступен), chat_id;
• сообщения, полученные через API ВКонтакте, включая текст сообщения и user_id;
• данные иных подключённых каналов связи при наличии соответствующей интеграции.

6.3.2. Через веб-виджет Пользователя:

• анонимный идентификатор сессии (UUID);
• URL страницы обращения без параметров строки запроса;
• история диалога;
• технические сведения о подключении.

6.3.3. Через лид-формы и формы обратной связи:

• имя;
• адрес электронной почты;
• номер телефона;
• иные данные, добровольно указанные пользователем.

Такие данные собираются только при условии активации соответствующего функционала Пользователем Сервиса.

6.4. Оператор использует Cookies и аналогичные технологии исключительно в целях:

• обеспечения авторизации;
• поддержания пользовательской сессии;
• сохранения настроек интерфейса;
• обеспечения безопасности;
• анализа работы Сервиса (при наличии согласия пользователя, если оно требуется).

Пользователь вправе ограничить использование Cookies через настройки браузера, однако это может повлиять на работоспособность отдельных функций Сервиса.

6.5. Оператор не осуществляет сбор персональных данных из общедоступных источников, сторонних баз данных или иных внешних источников без наличия законных оснований либо без ведома субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.

6.6. Оператор принимает разумные меры для поддержания персональных данных в актуальном состоянии и предоставляет Пользователю возможность изменения данных через интерфейс Сервиса либо путём направления соответствующего обращения.

7. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕТЬИМ ЛИЦАМ

7.1. В ходе оказания услуг персональные данные могут быть переданы следующим категориям получателей:

7.2. Оператор не продаёт, не сдаёт в аренду и не передаёт персональные данные третьим лицам в коммерческих целях, не связанных с оказанием услуг Сервиса.

7.3. При привлечении третьих лиц (субпроцессоров) Оператор обязывает их соблюдать конфиденциальность персональных данных и применять надлежащие технические и организационные меры защиты не ниже уровня, применяемого Оператором.

7.4. Трансграничная передача персональных данных. Для генерации ответов языковыми моделями данные могут передаваться поставщику AITUNNEL, серверы которого могут быть расположены за пределами Российской Федерации. Передача осуществляется на основании пункта 4 части 1 статьи 12 Закона № 152-ФЗ — в целях исполнения договора с субъектом или в его интересах. Оператор предпринимает меры к минимизации объёма передаваемых данных и не передаёт данные, идентифицирующие Конечного пользователя, за исключением текста его сообщений.

8. СРОКИ ХРАНЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ

8.1. По истечении срока хранения персональные данные подлежат уничтожению или обезличиванию в порядке, предусмотренном статьёй 21 Закона № 152-ФЗ, если иное не обусловлено законодательными требованиями.

9. МЕРЫ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

9.1. В соответствии с требованиями Закона № 152-ФЗ (статья 19) и постановления Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» Оператор применяет следующий комплекс технических и организационных мер защиты:

9.2. Технические меры:

9.2.1 Шифрование конфиденциальных данных. Токены мессенджеров (Телеграм, ВКонтакте) и секреты двухфакторной аутентификации хранятся в зашифрованном виде с применением алгоритма Fernet (симметричное шифрование AES-128-CBC с HMAC-SHA256) с поддержкой ротации ключей.

9.2.2 Хэширование паролей. Пароли Пользователей хранятся исключительно в форме хэша, вычисленного с применением алгоритма bcrypt с адаптивным параметром сложности.

9.2.3 Хэширование API-ключей. API-ключи хранятся исключительно в форме хэша SHA-256; в интерфейсе отображается только префикс (первые 8 символов) для идентификации.

9.2.4 Разграничение доступа. Применяется ролевая модель управления доступом (RBAC) с четырьмя уровнями полномочий: владелец, администратор, оператор, наблюдатель. Права доступа проверяются на уровне каждого API-запроса.

9.2.5 Ограничение частоты запросов. Применяется rate limiting для предотвращения атак методом перебора паролей и злоупотребления API. Стандартный лимит — 20 сообщений в минуту от одного Конечного пользователя.

9.2.6 Верификация вебхуков. Входящие уведомления от Телеграм верифицируются посредством HMAC-сравнения секретного токена, используя криптографически безопасное сравнение строк (timing-safe comparison).

9.2.7 Дедупликация входящих событий. Повторная обработка одного и того же update_id исключается посредством Redis, что предотвращает двойную обработку сообщений.

9.2.8 Безопасная передача. Все данные передаются по протоколу HTTPS/TLS. В производственной среде принудительно применяется шифрование канала.

9.2.9 Проверка источника виджета. Запросы виджета проверяются по заданному Пользователем списку разрешённых источников (CORS whitelist).

9.2.10 Очистка URL. При записи URL-адреса, с которого инициирован диалог виджета, параметры строки запроса автоматически удаляются для минимизации случайного сбора персональных данных.

9.3. Организационные меры:

9.3.1 Назначение ответственного за организацию обработки персональных данных.

9.3.2 Ознакомление сотрудников Оператора, имеющих доступ к персональным данным, с требованиями Закона № 152-ФЗ и локальными актами Оператора об обработке персональных данных.

9.3.3 Ограничение числа лиц, имеющих доступ к персональным данным, кругом сотрудников, которым такой доступ необходим для выполнения служебных обязанностей.

9.3.4 Ведение журналов аудита значимых действий с данными Пользователей.

9.3.5 Периодическое обновление программного обеспечения и применение обновлений безопасности.

9.4. Уровень защищённости. На основании Постановления Правительства РФ № 1119 Оператор определяет уровень защищённости персональных данных исходя из состава обрабатываемых данных и применяет соответствующий комплекс мер.

9.5. В случае выявления инцидента, повлёкшего несанкционированный доступ к персональным данным, Оператор обязуется уведомить Уполномоченный орган (Роскомнадзор) в течение 24 часов с момента обнаружения инцидента и субъектов персональных данных — в случае, если инцидент может повлечь негативные последствия для их прав и законных интересов.

10. ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

10.1. В соответствии со статьями 14–17 Закона № 152-ФЗ каждый субъект персональных данных имеет право:

10.1.1 Получить информацию об обработке своих персональных данных: подтверждение факта обработки, цели, сроки, состав обрабатываемых данных, сведения о третьих лицах, которым данные могут передаваться.

10.1.2 Требовать уточнения, обновления или исправления своих персональных данных, если они являются неполными, устаревшими или недостоверными.

10.1.3 Требовать блокирования своих персональных данных при выявлении их неправомерной обработки.

10.1.4 Требовать уничтожения своих персональных данных в случае их незаконной обработки, достижения цели обработки или её утраты, а также по истечении срока, необходимого для достижения цели.

10.1.5 Отозвать согласие на обработку персональных данных, если обработка осуществляется на основании согласия (для маркетинговых рассылок). Отзыв согласия не влияет на законность обработки, осуществлённой до его отзыва.

10.1.6 Обжаловать действия (бездействие) Оператора в Уполномоченный орган (Роскомнадзор) по адресу: 109074, Москва, Китайгородский пр., д. 7, стр. 2; сайт: rkn.gov.ru.

10.1.7 Обратиться в суд за защитой своих прав в случае нарушения Оператором требований Закона № 152-ФЗ.

10.2. Для реализации перечисленных прав субъект персональных данных направляет письменный запрос Оператору по реквизитам, указанным в Разделе 13 настоящей Политики. Запрос должен содержать:

— фамилию, имя, отчество субъекта (или наименование организации, если запрос направляется юридическим лицом в отношении своих сотрудников);

— адрес электронной почты, зарегистрированный в Сервисе;

— суть требования;

— подпись (для письменных запросов на бумажном носителе).

10.3. Оператор обязан рассмотреть запрос в течение 10 (десяти) рабочих дней и направить мотивированный ответ. В случае необходимости срок рассмотрения может быть продлён до 30 (тридцати) дней с уведомлением субъекта.

10.4. Пользователи Сервиса могут самостоятельно реализовать часть своих прав через интерфейс Сервиса:

— изменение e-mail, пароля и профиля — в разделе «Настройки аккаунта»;

— отзыв API-ключей — в разделе управления API-ключами;

— удаление учётной записи — через форму в разделе «Настройки аккаунта» или по запросу в поддержку;

— удаление диалогов и документов — через интерфейс Рабочего пространства.

11. ФАЙЛЫ COOKIES И ТЕХНОЛОГИИ ОТСЛЕЖИВАНИЯ

11.1. На официальном сайте и в веб-интерфейсе Сервиса Оператор использует следующие типы Cookies:

11.2. Пользователь вправе настроить браузер на блокирование Cookies или уведомление об их установке. При отключении необходимых Cookies функциональность авторизации Сервиса может быть нарушена.

11.3. Оператор не использует межсайтовое отслеживание (cross-site tracking) и не передаёт данные Cookies рекламным сетям.

12. ИЗМЕНЕНИЕ ПОЛИТИКИ КОНФИДЕНЦИАЛЬНОСТИ

12.1. Оператор оставляет за собой право вносить изменения в настоящую Политику в одностороннем порядке. Новая редакция Политики вступает в силу через 30 (тридцать) календарных дней после её публикации на официальном сайте Сервиса, если иной срок не обусловлен требованиями законодательства.

12.2. Оператор уведомляет Пользователей о существенных изменениях Политики путём направления сообщения на адрес электронной почты, зарегистрированный в Сервисе, и (или) публикации уведомления в интерфейсе личного кабинета.

12.3. Продолжение использования Сервиса после вступления в силу изменений Политики означает согласие субъекта с обновлёнными условиями.

12.4. Архивные версии Политики хранятся Оператором в течение 3 (трёх) лет с момента замены и предоставляются по запросу Пользователей или уполномоченных органов.

13. РЕКВИЗИТЫ ОПЕРАТОРА И КОНТАКТНАЯ ИНФОРМАЦИЯ

Оператор персональных данных

Наименование: _________________________________
ИНН: 366230190882

Ответственный за организацию обработки персональных данных:
Должность: ____________________________________
Контактный e-mail: privacy@shokedbrain.ru
Официальный сайт: https://rag-bot.shokedbrain.ru

Для направления запросов о реализации прав субъектов персональных данных,
отзыва согласия, уведомлений об инцидентах и иных обращений:
E-mail: privacy@shokedbrain.ru

Настоящая Политика зарегистрирована в реестре операторов персональных данных Роскомнадзора.
Номер уведомления об обработке персональных данных: ___________________________

Оператор: _________________________ / _____________

(подпись / Ф.И.О. / дата)