Политика в отношении обработки персональных данных
1. Общие положения
1.1. Настоящая Политика определяет, какие персональные данные обрабатывает индивидуальный предприниматель Вербовицкий Владимир Анатольевич (далее — «Оператор») при работе сервиса epicai, с какими целями, на каком основании, как долго хранит их, кому передаёт и как субъект персональных данных может защитить свои права. Политика составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон»).
1.2. Политика действует в отношении всех персональных данных, которые Оператор получает при использовании сайта epicai.ru, мобильных приложений epicai (iOS, Android, RuStore), а также при обращении в службу поддержки.
1.3. Политика опубликована на сайте, через который Оператор собирает персональные данные, и доступна без регистрации. Краткое изложение Политики приведено в документе «Политика конфиденциальности». Согласие на обработку персональных данных оформляется отдельно: «Согласие на обработку персональных данных».
2. Оператор
2.1. Оператор: индивидуальный предприниматель Вербовицкий Владимир Анатольевич, ИНН 345926890152, ОГРНИП 324940100022712, дата государственной регистрации 18.04.2024, регистрирующий орган — Межрайонная инспекция Федеральной налоговой службы № 1 по Луганской Народной Республике. Адрес для корреспонденции и обращений субъектов персональных данных: Луганская Народная Республика, г. Антрацит, ул. Молодогвардейская, д. 6, кв. 25.
2.2. Контакт для вопросов о персональных данных и обращений субъектов: support@epicai.ru.
2.3. Оператор направил в Роскомнадзор уведомление об обработке персональных данных и уведомление о намерении осуществлять трансграничную передачу персональных данных.
2.4. Базы данных с персональными данными граждан Российской Федерации расположены на территории Российской Федерации (ч. 5 ст. 18 Закона).
3. Основные понятия
3.1. Понятия «персональные данные», «обработка», «блокирование», «уничтожение», «обезличивание», «трансграничная передача» используются в значении, определённом ст. 3 Закона.
3.2. «Пользователь» — физическое лицо, использующее сайт или приложение epicai. «Субъект» — физическое лицо, к которому относятся персональные данные.
3.3. Оператор обрабатывает данные следующих категорий субъектов: пользователи сервиса; посетители сайта и гости бесплатных инструментов без регистрации; авторы отзывов; лица, чьи данные содержатся в материалах, которые загружает пользователь; представители субъектов.
4. Принципы обработки
4.1. Оператор обрабатывает данные на законной и справедливой основе, только для заранее определённых и законных целей и только те данные, которые нужны для этих целей.
4.2. Оператор не объединяет базы данных, обрабатываемых в несовместимых целях, и хранит данные не дольше, чем этого требуют цели обработки. Когда цель достигнута, данные уничтожаются или обезличиваются в порядке, указанном в п. 12.6.
5. Цели, состав данных, основания и сроки
5.1. Оператор обрабатывает персональные данные только для целей, перечисленных в таблице.
| Цель | Какие данные | Основание | Срок хранения |
|---|---|---|---|
| Регистрация, вход и ведение учётной записи | адрес электронной почты; пароль в виде хэша; сведения об ограничении сессии; реферальный код; дата регистрации и последнего посещения | договор с Пользователем (п. 5 ч. 1 ст. 6 Закона), согласие (п. 1 ч. 1 ст. 6) | пока существует учётная запись; учётная запись без входа более 365 суток может быть удалена после уведомления на электронную почту за 30 дней; после удаления адрес и остаток токенов хранятся 33 дня для защиты от повторного получения бонусов |
| Выполнение запросов к моделям искусственного интеллекта и хранение результатов | тексты запросов и ответов, названия чатов, загруженные файлы, изображения, звук, результаты; настройки чатов | договор (п. 5 ч. 1 ст. 6); согласие на передачу поставщикам моделей (п. 1 ч. 1 ст. 6, ч. 3 ст. 6) | чат — до удаления пользователем либо до удаления учётной записи; чаты без запросов более 300 суток могут быть удалены автоматически |
| Использование бесплатных инструментов без регистрации (гости) | IP-адрес, текст запроса, токен капчи | договор (п. 5 ч. 1 ст. 6); согласие (п. 1 ч. 1 ст. 6, ч. 3 ст. 6), выраженное отметкой на странице инструмента | IP-адрес — 1 сутки, затем счётчик очищается |
| Приём платежей и расчёты | идентификатор платежа, сумма, пакет токенов, дата, промокод; адрес электронной почты для чека; история списаний и начислений токенов (дата, модель, количество) | договор (п. 5 ч. 1 ст. 6); исполнение обязанностей по налоговому и бухгалтерскому учёту (п. 2 ч. 1 ст. 6) | в течение сроков, установленных законодательством о налогах (4 года) и бухгалтерском учёте (до 5 лет); после удаления учётной записи привязка к ней удаляется |
| Поддержка пользователей, отчёты об ошибках | текст обращения и переписка; страница, модель, чат, на которых возникла ошибка; технические сведения о браузере, устройстве; вложения | договор (п. 5 ч. 1 ст. 6); законный интерес Оператора (п. 7 ч. 1 ст. 6) | вложения удаляются через 60 дней после разбора обращения; текст обращения хранится не дольше 3 лет после устранения ошибки; после удаления учётной записи привязка к ней удаляется |
| Безопасность, защита от злоупотреблений бонусами и от мошенничества | IP-адрес, User-Agent, журнал попыток входа, токен капчи, адрес почты в виде хэша (псевдонимизированный), метка браузера | законный интерес Оператора (п. 7 ч. 1 ст. 6) | журналы попыток — до 2 суток; метка браузера — 365 суток; хэш адреса — пока существует соответствующий вид награды, чтобы награду нельзя было получить повторно |
| Бонусы за задания, отзывы, приглашения, акции | идентификатор в ВКонтакте и Telegram, ссылка на отзыв и имя его автора, реферальная связь, данные заявки | договор о бонусной программе (п. 5 ч. 1 ст. 6) | невыплаченные ежедневные заявки — 30 суток, выплаченные — 180 суток; журнал действий — 120 суток; разовые награды — признак получения (хэш адреса) хранится, пока существует награда; прочее — до удаления учётной записи |
| Публикация отзывов на сайте | имя (или псевдоним), текст, оценка, аватар по желанию автора; адрес электронной почты (не публикуется) и IP-адрес отправителя | согласие автора (п. 1 ч. 1 ст. 6, ст. 10.1 Закона) | до требования автора о прекращении публикации; прекращается в течение 3 рабочих дней |
| Статистика посещений и улучшение сайта | идентификаторы cookie, действия на страницах, сведения о браузере и устройстве, источник перехода | законный интерес Оператора (п. 7 ч. 1 ст. 6) | события собственной аналитики — 90 суток; затем остаются показатели по учётной записи до её удаления, после удаления — без привязки к ней; cookie — по таблице раздела 10 |
| Подтверждение согласия и условий | дата, IP-адрес, User-Agent, версия документов на момент принятия | исполнение обязанности доказать согласие (ч. 3 ст. 9 Закона) | в течение всего срока действия согласия и 3 лет после его прекращения (отзыва, удаления учётной записи), затем уничтожается |
| Исполнение требований законодательства | данные, которые запрашивает уполномоченный орган в пределах закона | п. 2 ч. 1 ст. 6 Закона | в пределах срока, указанного в требовании или законе |
5.2. Оператор не запрашивает фамилию, имя и отчество, номер телефона, дату рождения, пол, паспортные данные, гражданство, национальность, адрес проживания. Если вы сообщите такие сведения в запросе или обращении, они будут обработаны только для выполнения этого запроса или обращения.
5.3. Оператор не запрашивает специальные категории персональных данных (о расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни) и биометрические персональные данные. Не загружайте такие сведения о себе и о других людях в запросы без законных оснований; о правилах загрузки сведений о других лицах сказано в разделе 9.
5.4. Оператор не принимает решения, порождающие юридические последствия для субъекта, исключительно на основании автоматизированной обработки, кроме случаев, предусмотренных федеральными законами, либо при наличии письменного согласия субъекта. Ограничение регистрации по адресу электронной почты (одноразовые адреса, список допустимых доменов) не является таким решением: субъект вправе зарегистрироваться с другим адресом или обратиться в поддержку.
6. Порядок и условия обработки
6.1. Обработка ведётся смешанным способом: с использованием средств автоматизации и без них. Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение данных.
6.2. Оператор не публикует персональные данные пользователей и не передаёт их неопределённому кругу лиц, кроме отзывов, которые автор публикует на сайте (п. 5.1). Результаты генерации и загруженные файлы хранятся по адресам, которые не показываются другим пользователям и не индексируются, но открываются по прямой ссылке без входа в учётную запись. Не делитесь ссылками на результаты, содержащие персональные данные. Результаты, созданные во внешнем сервисе (например, документы Gamma), могут быть доступны по ссылке на стороне этого сервиса.
6.3. Для российских получателей обработка по поручению осуществляется на основании договора, который обязывает получателя соблюдать конфиденциальность и меры защиты, в том числе требования ст. 18.1 и 19 Закона. Иностранные поставщики моделей получают данные на условиях собственных публичных документов (условий использования и обработки данных).
6.4. Оператор может передавать обезличенные данные в государственную информационную систему по требованию уполномоченного органа (ст. 13.1 Закона).
7. Получатели данных
7.1. Оператор передаёт данные только в объёме, необходимом для достижения целей, указанных в разделе 5.
| Получатель | Для чего | Что передаётся |
|---|---|---|
| Поставщики моделей искусственного интеллекта: OpenAI, Anthropic, OpenRouter и подключённые через него провайдеры, Kie.ai, Legnext (Midjourney), Gamma и др.; находятся за пределами РФ, в том числе в США; модели, подключённые через OpenRouter, могут выполняться провайдерами в других государствах; состав зависит от выбранной модели | выполнение запроса пользователя и возврат результата | текст запроса и история чата, файлы и изображения, звук; внутренний идентификатор учётной записи и чата; адрес электронной почты поставщикам не передаётся |
| ЮKassa (платёжный сервис) | приём платежей, формирование чека | сумма, описание платежа (в нём указан адрес электронной почты), адрес электронной почты для чека, идентификатор учётной записи, пакет токенов, промокод, идентификатор клиента Яндекс.Метрики. Данные банковской карты вводятся в форме платёжного сервиса и Оператору не передаются |
| Яндекс (Яндекс.Метрика, сервисы входа Яндекс ID) | статистика посещений, в том числе запись действий на странице («Вебвизор»); вход через Яндекс ID | технические данные посетителя и действия на страницах; сведения о платеже (сумма, пакет) и идентификатор операции, содержащий внутренний идентификатор учётной записи, для учёта конверсий |
| ВКонтакте (VK), Mail.ru, Одноклассники | вход через эти сервисы (адрес электронной почты Оператор получает от сервиса); проверка подписки на сообщество; обращения через сообщество | идентификатор пользователя ВКонтакте для проверки подписки; при входе передаются только технические параметры авторизации; переписка через сообщество обрабатывается и этим сервисом по его правилам |
| Telegram | проверка выполнения задания (подписка на канал); обращения через бот поддержки | идентификатор и имя пользователя в Telegram; переписка обрабатывается и этим сервисом по его правилам |
| Google (reCAPTCHA) | защита форм регистрации и входа от автоматических запросов | IP-адрес, технические данные браузера |
| Почтовый сервис отправки писем | доставка служебных писем | адрес электронной почты, содержание письма |
| Государственные органы | исполнение требований законодательства | данные, указанные в законном требовании |
7.2. Если вы подключаете интеграции в настройках учётной записи (Google Диск, Gmail, Календарь, Яндекс.Диск, Яндекс.Почта, Яндекс.Календарь), доступ предоставляется только к тем данным и только на те действия, которые вы разрешили. Каждое действие инструмента выполняется с вашего подтверждения. Отозвать доступ можно в настройках и в личном кабинете соответствующего сервиса.
7.3. Для отдельных бесплатных моделей, подключённых через OpenRouter, конечный поставщик модели может сохранять запросы и использовать их для улучшения своих моделей. Не отправляйте в такие модели сведения, которые не хотите раскрывать.
7.4. Срок хранения запросов у поставщиков моделей определяется их правилами. Оператор не направляет им запросы на удаление, кроме файлов OpenAI, которые удаляются вместе с чатом или учётной записью.
8. Трансграничная передача
8.1. Поставщики моделей искусственного интеллекта, получающие данные по п. 7.1, находятся за пределами Российской Федерации, в том числе в Соединённых Штатах Америки; поставщика и государство определяет модель, которую вы выбираете. Все модели на сайте предоставляются иностранными поставщиками, поэтому выполнить запрос без передачи данных за рубеж нельзя. Согласие на такую передачу включено в Согласие на обработку персональных данных.
8.2. Государства, на территорию которых передаются данные, могут не обеспечивать адекватной защиты прав субъектов персональных данных. Оператор осуществляет такую передачу после направления уведомления в Роскомнадзор и в сроки, установленные ст. 12 Закона, а получателям передаются только данные, необходимые для выполнения вашего запроса.
8.3. Если вы не согласны с передачей данных за рубеж, вы вправе отозвать согласие. Без такой передачи сервис работать не сможет, поэтому по вашему заявлению учётная запись будет закрыта, а данные уничтожены в сроки, указанные в п. 12.3.
9. Загружаемые материалы и сведения о других лицах
9.1. Загружая в запросы изображения, звук и тексты с данными третьих лиц, пользователь гарантирует, что имеет на это законное основание или согласие этих лиц.
9.2. Оператор не просматривает содержимое чатов в штатном режиме и не использует его для маркетинга. Доступ к содержимому возможен только в случаях, предусмотренных законом, для расследования жалобы либо с разрешения пользователя при обращении в поддержку. Если запрос отклонён автоматической модерацией, первые 300 знаков текста записываются в технический журнал и могут быть просмотрены администратором; при жалобе на ответ администратору направляется текст жалобы.
9.3. Тексты запросов, которые направляются на проверку модерацией (определение недопустимого содержимого), могут передаваться поставщику модерации (OpenAI). Результат проверки кэшируется без самого текста.
10. Cookie и аналитика
10.1. Сайт использует cookie и локальное хранилище браузера для работы входа, настроек интерфейса и статистики. В браузерной версии при первом посещении сайт показывает уведомление об использовании cookie.
| Идентификатор | Назначение | Срок |
|---|---|---|
| PHPSESSID | сессия, вход в учётную запись, защита форм | до закрытия браузера |
| user__token | автоматический вход («запомнить меня») | 300 суток |
| cookies_accept | запоминает, что уведомление о cookie показано | 365 суток |
| referral_code | реферальный код из ссылки приглашения | 14 суток |
| epic_ft | первый источник перехода (utm-метки) для статистики | 30 суток |
| epic_dev | метка браузера для защиты бонусов от злоупотреблений | 365 суток |
| _ym_* (Яндекс.Метрика) | статистика посещений, карта кликов, запись действий на странице («Вебвизор») | до 1 года |
| Cookie Google reCAPTCHA и ЮKassa | устанавливаются этими сервисами при отправке форм регистрации и при оплате | определяются правилами этих сервисов |
| Локальное хранилище (epicai_theme и др.) | настройки интерфейса, черновики запросов; остаётся в вашем браузере | пока не очищено |
10.2. Вы можете отключить и удалить cookie в настройках браузера либо заблокировать счётчик Яндекс.Метрики средствами браузера. Если отключить cookie сеанса, вход в учётную запись станет невозможен, а настройки интерфейса не сохранятся.
10.3. Обработка технических данных ведётся для того, чтобы сайт работал и Оператор понимал, что в нём улучшить. Данные не используются для рекламных объявлений, продажи или передачи рекламным сетям. Яндекс.Метрика работает на условиях Яндекса; Оператор не включает рекламные аудитории и ретаргетинг.
11. Меры защиты персональных данных
11.1. Оператор принимает правовые, организационные и технические меры, предусмотренные ст. 19 Закона:
- передача данных между вашим устройством и сайтом защищена протоколом HTTPS;
- пароли хранятся в виде хэша с солью, а не в открытом виде; номера банковских карт Оператор не получает и не хранит;
- токены подключённых сервисов хранятся в зашифрованном виде;
- доступ к базе данных и журналам ограничен лицами, которым он нужен для работы сайта;
- базы данных граждан РФ расположены на территории Российской Федерации.
11.2. При утечке персональных данных, которая привела к нарушению прав субъектов, Оператор в течение 24 часов с момента выявления сообщает об этом в Роскомнадзор, а в течение 72 часов направляет результаты внутреннего расследования (ч. 3.1 ст. 21 Закона).
11.3. Резервные копии формируются перед обновлениями сайта и хранятся до удаления копии, но не дольше, чем это необходимо для восстановления работы сайта.
12. Права субъекта
12.1. Субъект вправе:
- получить сведения об обработке своих данных: подтверждение факта обработки, цели, способы, состав данных, источник, получателей, сроки, сведения о трансграничной передаче (ч. 7 ст. 14 Закона);
- потребовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для цели;
- отозвать согласие на обработку данных;
- потребовать прекратить обработку, в том числе для рекламных целей (ст. 15 Закона);
- обжаловать действия или бездействие Оператора в Роскомнадзор или в суд, а также требовать возмещения убытков и компенсации морального вреда (ст. 17 Закона).
12.2. Как обратиться: напишите на support@epicai.ru с адреса электронной почты вашей учётной записи. Так Оператор убеждается, что запрос исходит от субъекта. Если запрос исходит от представителя, приложите документ, подтверждающий полномочия.
12.3. Сроки по закону:
- ответ на запрос о сведениях — 10 рабочих дней, срок может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением (ч. 3 ст. 14 и ст. 20 Закона); мотивированный отказ в предоставлении сведений — 10 рабочих дней (ч. 2 ст. 20 Закона); повторный запрос возможен не ранее чем через 30 дней после предыдущего (ч. 4 ст. 14 Закона);
- уточнение данных — 7 рабочих дней со дня предоставления подтверждающих сведений (ч. 3 ст. 20 и ч. 2 ст. 21 Закона);
- прекращение неправомерной обработки — 3 рабочих дня, уничтожение незаконно обрабатываемых данных — 10 рабочих дней (ч. 3 ст. 21 Закона);
- достижение цели обработки — прекращение и уничтожение в течение 30 дней (ч. 4 ст. 21 Закона);
- прекращение обработки и уничтожение данных после отзыва согласия — 30 дней, если иное не предусмотрено договором или законом (ч. 5 ст. 21 Закона);
- прекращение обработки по требованию субъекта — 10 рабочих дней, срок может быть продлён не более чем на 5 рабочих дней (ч. 5.1 ст. 21 Закона);
- если уничтожить данные в срок невозможно — блокирование и уничтожение не позднее чем через 6 месяцев (ч. 6 ст. 21 Закона).
12.4. Отозвать согласие и удалить данные можно также самостоятельно: кнопка «Удалить аккаунт» в настройках учётной записи удаляет чаты, файлы, запросы, настройки и платёжную историю учётной записи. Токены на балансе после удаления использовать нельзя, поэтому сначала подайте заявление на возврат оплаченного остатка (оферта, раздел 7). Что остаётся после удаления, указано в п. 12.5.
12.5. После удаления учётной записи хранятся:
- служебная запись об удалённой учётной записи (адрес электронной почты, остаток или долг токенов) — 33 дня; используется только для защиты от повторного получения бонусов и учёта долга, восстановить баланс по ней нельзя;
- запись о согласии (дата, IP-адрес, User-Agent, версия документов) — в течение срока, указанного в п. 5.1;
- сведения о платежах без привязки к учётной записи — в течение сроков налогового и бухгалтерского учёта; идентификатор платежа сохраняется, поэтому такие сведения остаются персональными данными;
- текст обращений об ошибках без привязки к учётной записи;
- служебный признак выданных единовременных наград (хэш адреса) — пока существует награда;
- запись о приглашённом пользователе в программе приглашений;
- отзыв на сайте — пока автор не потребует его удалить;
- данные в резервных копиях — до удаления копий;
- данные у поставщиков моделей — по их правилам (п. 7.4).
12.6. Уничтожение данных выполняется удалением записей и файлов с сервера. По требованию Роскомнадзора уничтожение подтверждается актом и выгрузкой из журнала событий, которые хранятся 3 года. Если данные нельзя уничтожить в срок, они блокируются и уничтожаются не позднее чем через 6 месяцев.
13. Несовершеннолетние
13.1. Использование сайта лицами младше 18 лет не допускается. Оператор не собирает персональные данные несовершеннолетних сознательно. Если Оператору станет известно, что учётная запись принадлежит лицу младше 18 лет, доступ к ней блокируется, а данные удаляются или уничтожаются в сроки, установленные ст. 21 Закона, за исключением данных, которые должны храниться по закону.
14. Изменение Политики
14.1. Оператор может изменять Политику. Новая редакция публикуется на этой странице с датой и номером версии. О существенных изменениях целей обработки и состава получателей Оператор уведомляет по электронной почте или в интерфейсе.
14.2. Прежние редакции Политики хранятся Оператором.