Политика обработки персональных данных Kloklo

Настоящая Политика определяет порядок обработки персональных данных пользователей онлайн-сервиса Kloklo и применяется к сайту, Telegram-боту, платежным страницам, web-интерфейсам, сервисам поддержки и иным интерфейсам Сервиса.

1. Общие положения

1.1. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», иными применимыми актами Российской Федерации и фактической архитектурой Kloklo.

1.2. Использование Kloklo означает, что Пользователь ознакомился с настоящей Политикой. В случаях, когда требуется отдельное согласие, Оператор запрашивает его через сайт, Telegram-бот, платежный интерфейс или иной интерфейс Сервиса.

1.3. Политика применяется вместе с Публичной офертой, Cookie Policy, интерфейсными согласиями и уведомлениями, которые отображаются Пользователю в конкретных сценариях использования.

1.4. Согласия Пользователя, если они требуются, оформляются отдельно от иных документов и действий, в явной форме, позволяющей подтвердить факт их получения.

1.5. Если отдельный пользовательский сценарий требует дополнительного уведомления или подтверждения, такое уведомление может отображаться в Telegram-боте, на платежной странице, перед загрузкой файла, перед передачей данных AI-провайдеру, при подключении автопродления или в ином релевантном интерфейсе.

2. Оператор персональных данных

2.1. Оператором персональных данных является Общество с ограниченной ответственностью «ИММ0РТАЛ».

2.2. Адрес Оператора: 125124, г. Москва, ул. Правды, д. 24, стр. 2, пом. 1/1.

2.3. ОГРН 1257700437136, ИНН 9714081731, КПП 771401001.

2.4. Контакт по вопросам персональных данных: privacy@kloklo.ai.

2.5. Сведения о записи Оператора в реестре операторов персональных данных Роскомнадзора указываются после подачи и обработки уведомления об обработке персональных данных.

2.6. Оператор определяет цели обработки персональных данных, состав обрабатываемых данных, действия с данными, сроки хранения, состав получателей и меры защиты данных в рамках работы Kloklo.

3. Какие данные обрабатываются

3.1. Оператор обрабатывает только те данные, которые необходимы для предоставления доступа, обработки запросов, оплаты, поддержки, безопасности, исполнения закона и защиты прав Оператора.

3.2. Kloklo не предназначен для загрузки паролей, OTP-кодов, ключей ЭЦП, банковских доступов, медицинских данных, биометрических данных, данных детей, специальных категорий персональных данных и персональных данных третьих лиц без законного основания. Если Пользователь направляет такие данные вопреки правилам, Оператор вправе удалить материалы, ограничить обработку или заблокировать функцию/аккаунт.

4. Карта обработки

5. Принципы обработки персональных данных

5.1. Оператор обрабатывает персональные данные законно и добросовестно, ограничивает обработку достижением конкретных, заранее определенных и законных целей и не допускает обработки, несовместимой с такими целями.

5.2. Оператор исходит из принципов минимизации данных, ограничения сроков хранения, конфиденциальности, разграничения доступа и соразмерности обработки пользовательскому сценарию.

5.3. Оператор стремится не собирать и не передавать больше данных, чем необходимо для конкретной функции: демо-доступа, оплаты, обработки запроса, анализа файла, поддержки, безопасности или исполнения закона.

5.4. Если данные становятся избыточными для заявленных целей, Оператор удаляет, уничтожает, блокирует или обезличивает их в порядке и сроки, предусмотренные настоящей Политикой, внутренними регламентами и законодательством РФ.

6. Цели и правовые основания обработки

6.1. Оператор обрабатывает персональные данные только для заранее определенных и законных целей, связанных с работой Kloklo, предоставлением доступа к Сервису, исполнением Условий использования, соблюдением требований законодательства и защитой прав Оператора, Пользователей и третьих лиц.

6.2. Основные цели обработки персональных данных:

• идентификация Пользователя в Telegram-боте, на сайте, платежной странице и иных интерфейсах Сервиса;
• предоставление Пользователю доступа к функционалу ПО Kloklo, демо-доступу, подписке, пакету доступа и сервисным токенам;
• обработка Запросов Пользователя и формирование Результатов с использованием AI-функций;
• обработка загружаемых Пользователем файлов, документов, изображений, таблиц, сообщений и иных материалов;
• ведение внутреннего учета доступа, подписок, начисления и списания сервисных токенов, платежных событий, возвратов, спорных операций и технических корректировок;
• прием и обработка платежей, фискализация, направление чеков, оформление возвратов, обработка платежных споров и взаимодействие с платежными провайдерами;
• предоставление поддержки Пользователю, рассмотрение обращений, запросов на возврат, жалоб, претензий и запросов на удаление данных;
• обеспечение безопасности Сервиса, предотвращение мошенничества, злоупотреблений, мультиаккаунтинга, обхода лимитов, несанкционированного доступа и иных недобросовестных действий;
• соблюдение требований законодательства РФ, включая требования о персональных данных, защите прав потребителей, налоговом и бухгалтерском учете, применении ККТ, хранении платежных и учетных документов;
• ведение логов акцептов, согласий, версий документов, платежных и технических событий;
• анализ работы Сервиса, устранение ошибок, улучшение пользовательского пути, качества интерфейсов и стабильности работы Сервиса;
• защита прав и законных интересов Оператора, включая рассмотрение споров, подготовку ответов на обращения, фиксацию нарушений и взаимодействие с государственными органами.

6.3. Правовыми основаниями обработки персональных данных являются:

• исполнение договора с Пользователем, включая Условия использования Kloklo, правила оплаты, подписки, сервисных токенов, демо-доступа и возвратов;
• согласие Пользователя на обработку персональных данных, если для конкретного сценария обработки требуется отдельное согласие;
• отдельное согласие или уведомление Пользователя о передаче данных AI-провайдерам, включая иностранных AI-провайдеров, если такая передача необходима для обработки Запроса и формирования Результата;
• исполнение обязанностей Оператора, предусмотренных законодательством РФ, включая налоговое, бухгалтерское, потребительское законодательство, законодательство о персональных данных и контрольно-кассовой технике;
• необходимость защиты прав и законных интересов Оператора, Пользователей и третьих лиц, включая безопасность Сервиса, антифрод, рассмотрение споров, фиксацию нарушений и предотвращение злоупотреблений;
• иные основания, предусмотренные законодательством РФ.

6.4. Обработка данных для сервисных сообщений, связанных с аккаунтом, оплатой, безопасностью, изменением документов, техническими уведомлениями и работой Сервиса, осуществляется в рамках исполнения договора и обеспечения работы Сервиса.

6.5. Обработка данных для рекламных, маркетинговых и промо-коммуникаций осуществляется только при наличии отдельного согласия Пользователя, если такое согласие требуется законодательством РФ.

6.6. Kloklo не предназначен для обработки специальных категорий персональных данных, биометрических персональных данных, данных детей, медицинских данных, банковских секретов, паролей, ключей ЭЦП, кодов подтверждения и иных данных повышенной чувствительности, если только Оператор прямо не предусмотрел отдельный режим обработки таких данных. Пользователь обязан не направлять такие данные в Сервис.

6.7. Согласие Пользователя, когда оно требуется, должно быть свободным, конкретным, предметным, информированным, сознательным и однозначным. Факт получения согласия может подтверждаться техническими логами, нажатием кнопки, чекбоксом, записью в интерфейсе Сервиса, платежным событием, Telegram ID, IP-адресом, версией документа или иным способом, позволяющим подтвердить действие Пользователя.

6.8. Пользователь вправе отозвать согласие на обработку персональных данных. Отзыв согласия может повлечь невозможность дальнейшего использования Сервиса или отдельных функций, если обработка соответствующих данных необходима для предоставления доступа, обработки Запросов, оплаты, поддержки, безопасности или исполнения требований закона.

7. Действия с персональными данными

7.1. В отношении персональных данных Оператор может совершать следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение, обновление, изменение, извлечение, использование, передачу, предоставление, доступ, обезличивание, блокирование, ограничение обработки, удаление и уничтожение.

7.2. Обработка может осуществляться с использованием средств автоматизации, без использования средств автоматизации или смешанным способом.

7.3. Обработка данных может происходить через сайт, Telegram-бот, платежные страницы, серверную часть Сервиса, внутреннюю систему учета доступа, системы хранения файлов, AI-инфраструктуру, платежные интерфейсы, системы поддержки, аналитические инструменты, журналы событий и иные технические компоненты, необходимые для работы Kloklo.

7.4. Оператор может предоставлять доступ к персональным данным сотрудникам, подрядчикам и поставщикам технических сервисов только в объеме, необходимом для выполнения их функций: поддержки пользователей, сопровождения инфраструктуры, обработки платежей, обеспечения безопасности, устранения ошибок, обработки AI-запросов и исполнения закона.

7.5. Оператор вправе обезличивать данные и использовать обезличенную статистику для анализа работы Сервиса, улучшения интерфейсов, качества функций, диагностики технических ошибок, оценки нагрузки и развития продукта, если по таким данным невозможно определить конкретного Пользователя.

7.6. Оператор не принимает исключительно автоматизированных решений, которые сами по себе порождают для Пользователя юридические последствия или иным образом существенно затрагивают его права. Результаты AI-обработки формируются по Запросу Пользователя и являются вспомогательными материалами, которые Пользователь обязан самостоятельно проверять перед использованием.

7.7. Если обработка данных связана с безопасностью, антифродом, спорными платежами, нарушением Условий или обращением Пользователя, Оператор вправе временно ограничить обработку, заблокировать отдельные данные, сохранить технические логи и иные сведения, необходимые для проверки обстоятельств и защиты прав.

8. Источники данных

8.1. Персональные данные поступают Оператору из следующих источников:

• непосредственно от Пользователя при запуске Telegram-бота, использовании Сервиса, направлении Запросов, загрузке файлов, оплате, обращении в поддержку или отправке иных материалов;
• из Telegram при использовании Telegram-бота, включая Telegram ID, username, имя профиля, язык интерфейса, технические события взаимодействия с ботом и факт акцепта условий;
• от платежных провайдеров, банков, кассовых сервисов, ОФД и иных участников платежного контура в виде платежных статусов, идентификаторов операций, сведений о тарифе, сумме, чеке, возврате, рекуррентном платеже, спорной операции или ином платежном событии;
• из технических систем сайта, Telegram-бота, серверной части Сервиса, внутренней системы учета доступа, логов, систем безопасности, аналитики и антифрода;
• от AI-провайдеров в виде технических статусов обработки, ошибок, параметров выполнения запроса и Результатов, сформированных по Запросу Пользователя;
• от подрядчиков поддержки, инфраструктуры, аналитики, коммуникаций и иных технических поставщиков, если они участвуют в работе Сервиса;
• из обращений Пользователя, переписки с поддержкой, жалоб, запросов на удаление данных, запросов на возврат и иных коммуникаций.

8.2. Пользователь самостоятельно определяет содержание Запросов, файлов и иных материалов, которые он направляет в Сервис. Пользователь обязан не передавать Оператору данные, которые он не вправе передавать, включая персональные данные третьих лиц без законного основания, специальные категории персональных данных, биометрию, медицинские данные, данные детей, пароли, ключи ЭЦП, банковские доступы, коммерческую тайну и иные запрещенные данные.

8.3. Если Пользователь передает в Сервис персональные данные третьих лиц, документы, переписки, изображения, таблицы или иные материалы, Пользователь подтверждает, что у него есть законное основание для такой передачи и обработки таких материалов в Сервисе, включая их передачу AI-провайдерам, если это необходимо для обработки Запроса.

8.4. Оператор не обязан проверять законность каждого материала, направленного Пользователем в Сервис, до начала обработки, но вправе применять технические фильтры, ограничения, ручную проверку отдельных случаев, удаление материалов и иные меры, если имеются признаки нарушения Условий, настоящей Политики, прав третьих лиц или закона.

9. Платежи, платежные провайдеры и внутренний учет доступа

9.1. Оплата доступа к Kloklo осуществляется через платежных провайдеров, подключенных Оператором. Платежный провайдер может обеспечивать платежную страницу, прием платежей, проверку платежных данных, антифрод, передачу статусов платежей, обработку возвратов, рекуррентные списания, фискализацию, кассовые документы и иные платежные функции.

9.2. Оператор не хранит полные данные банковских карт Пользователя, включая номер карты в полном виде, срок действия, CVV/CVC-код и иные платежные секреты. Такие данные обрабатываются платежным провайдером, банком или платежной системой в соответствии с их правилами.

9.3. В системах Оператора могут храниться данные, необходимые для оказания услуги, учета доступа, поддержки, возвратов и защиты прав:

• внутренний идентификатор заказа;
• идентификатор платежа;
• статус платежа;
• сумма и валюта платежа;
• выбранный тариф, подписка или пакет доступа;
• дата и время платежного события;
• статус фискализации и чековые сведения;
• сведения о возврате, спорной операции, отмене платежа или рекуррентном списании;
• сведения о начислении и списании сервисных токенов;
• история изменения статуса доступа.

9.4. Оператор ведет внутреннюю систему учета доступа, в которой фиксируются заказы, платежные события, подписки, начисление и списание сервисных токенов, возвраты, спорные платежи, технические корректировки и статусы доступа Пользователя. Такая система используется для определения доступного Пользователю объема функций Сервиса, обработки возвратов, разрешения платежных споров, исправления технических ошибок и подтверждения исполнения обязательств.

9.5. Если используется Tribute, платежная ссылка или иной платежный фронт, Оператор получает от такого сервиса только данные, необходимые для подтверждения оплаты, начисления доступа или сервисных токенов, фискализации, возвратов, поддержки, сверки платежей, учета и рассмотрения спорных операций.

9.6. Если используются рекуррентные платежи, платежный провайдер может хранить платежный токен или иной технический идентификатор платежного средства. Оператор получает только данные, необходимые для подтверждения согласия на автопродление, даты следующего списания, статуса платежа, отмены подписки и обработки возврата.

9.7. Если в Сервисе используется Telegram Stars, Telegram или связанная платежная инфраструктура могут обрабатывать сведения о покупке, количестве Stars, идентификаторе платежа и возврате в соответствии с правилами Telegram. Оператор получает данные, необходимые для предоставления доступа, поддержки и учета соответствующего платежного события.

9.8. Актуальный платежный провайдер, способ оплаты, платежная страница и существенные условия платежа отображаются в интерфейсе оплаты. Пользователь не должен совершать оплату через неофициальные ссылки, аккаунты, QR-коды, кошельки, чаты или каналы, не указанные в официальном интерфейсе Сервиса.

9.9. Платежные и учетные данные могут храниться в течение сроков, необходимых для исполнения договора, налогового и бухгалтерского учета, возвратов, обработки претензий, споров, chargeback, антифрода и защиты прав Оператора.

10. AI-обработка, AI-провайдеры и пользовательские материалы

10.1. Для обработки пользовательских Запросов и формирования Результатов Kloklo может использовать собственные программные компоненты, внешние AI-модели, AI-провайдеров, вычислительную инфраструктуру и иные технические средства.

10.2. В зависимости от выбранной функции и содержания Запроса AI-провайдерам могут передаваться:

• текст Запроса;
• контекст диалога, необходимый для формирования ответа;
• содержимое загруженных файлов, документов, изображений, таблиц, голосовых сообщений или иных материалов, если Пользователь использует соответствующую функцию;
• технические параметры запроса;
• сведения о выбранной модели, тарифе, лимитах и техническом режиме обработки;
• Результат или технический статус обработки, если это необходимо для работы функции.

10.3. Оператор стремится не передавать AI-провайдерам больше данных, чем необходимо для обработки конкретного Запроса и формирования Результата. Для этого Оператор вправе применять техническую минимизацию, фильтрацию, маскирование, обезличивание, исключение идентификаторов, ограничение контекста, запрет отдельных типов файлов и иные меры, если они доступны в конкретном сценарии.

10.4. Несмотря на меры минимизации, Пользователь понимает, что если он направляет в Запросе или файле персональные данные, конфиденциальные сведения, коммерческую тайну или данные третьих лиц, такие данные могут попасть в состав передаваемого AI-провайдеру материала, если это необходимо для обработки Запроса. Пользователь обязан заранее оценивать содержание передаваемых материалов и не направлять запрещенные данные.

10.5. Оператор не использует пользовательский контент для обучения собственных AI-моделей без отдельного согласия Пользователя. Если условия конкретного AI-провайдера предполагают использование данных для улучшения его сервисов или моделей, такая информация раскрывается в интерфейсе, настоящей Политике или приложении к ней до начала соответствующей передачи, насколько это применимо к выбранному сценарию.

10.6. Оператор вправе ограничивать AI-обработку, если Запрос или файл содержит запрещенные данные, нарушает Условия использования, настоящую Политику, права третьих лиц, требования закона, правила AI-провайдера или создает риск для безопасности Сервиса.

10.7. AI-провайдеры используются как внешний API/вычислительный слой. Они не являются самим ПО Kloklo. При этом отдельные AI-провайдеры могут обрабатывать полученные данные в соответствии со своими условиями, политиками и техническими настройками, если такие условия применимы к выбранному сценарию обработки.

10.8. Пользовательские Запросы, файлы и Результаты могут храниться в истории Сервиса в течение сроков, указанных в настоящей Политике, если Пользователь не удалил их ранее или не выбрал иной доступный режим хранения.

10.9. При обращении в поддержку Пользователь не должен направлять пароли, коды, ключи ЭЦП, банковские доступы, медицинские данные, биометрию, данные детей и иные запрещенные данные. Если такие данные направлены в поддержку, Оператор вправе удалить их или ограничить обработку.

11. Трансграничная передача

11.1. Если для оказания услуги требуется передача персональных данных иностранным AI-провайдерам, платежным провайдерам, инфраструктурным подрядчикам или иным иностранным получателям, такая передача является трансграничной передачей персональных данных.

11.2. До начала трансграничной передачи Оператор направляет в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу персональных данных в случаях и порядке, предусмотренных законодательством РФ.

11.3. Возможными странами трансграничной передачи являются Китайская Народная Республика и иные страны, если они используются подключенными AI-провайдерами, платежными провайдерами, инфраструктурными подрядчиками или техническими сервисами, необходимыми для работы Kloklo.

11.4. Целями трансграничной передачи могут быть:

• обработка Запроса Пользователя;
• формирование AI-ответа;
• анализ загруженного файла или иного пользовательского материала;
• техническая диагностика;
• обеспечение работы AI-функций;
• обеспечение платежного сценария, если используется иностранный платежный или платформенный сервис;
• безопасность, антифрод, обработка технических ошибок и поддержка.

11.5. В зависимости от сценария иностранным получателям могут передаваться текст Запроса, контекст диалога, содержимое файла, технические параметры запроса, платежные события, идентификаторы, технические логи и иные данные, необходимые для конкретной функции. Оператор не передает иностранным получателям данные, не связанные с соответствующим сценарием обработки.

11.6. Оператор вправе запрашивать отдельное согласие Пользователя или отображать отдельное уведомление о передаче данных AI-провайдерам, если это необходимо для конкретного сценария использования Сервиса.

11.7. Оператор принимает разумные меры для проверки иностранных получателей данных, включая анализ страны передачи, характера передаваемых данных, целей обработки, условий хранения, возможности дальнейшей передачи, условий использования данных для обучения моделей и доступных технических мер защиты.

11.8. Если Роскомнадзор примет решение об ограничении или запрете конкретной трансграничной передачи либо если выбранный провайдер перестанет соответствовать требованиям Оператора, Оператор вправе изменить AI-провайдера, ограничить функцию, отключить передачу данных, изменить маршрутизацию Запросов или предложить Пользователю иной доступный режим использования Сервиса.

11.9. Актуальные категории иностранных получателей, стран, типов данных и целей передачи раскрываются в интерфейсе Сервиса, настоящей Политике или приложении к ней. При существенном изменении характера передачи Оператор обновляет документы, интерфейсные уведомления и, если требуется, направляет соответствующие уведомления в уполномоченные органы.

11.10. Если Запрос или файл передается иностранному AI-провайдеру в обезличенном виде и не позволяет прямо или косвенно определить Пользователя, такая передача может не являться трансграничной передачей персональных данных. При этом Оператор вправе применять к такой передаче аналогичные меры осторожности, если характер данных или содержание Запроса создает повышенный риск.

12. Cookies и аналитика

12.1. Сайт Kloklo может использовать cookies, пиксели, локальное хранилище браузера, SDK и аналогичные технологии для работы сайта, сохранения настроек, безопасности, аналитики, улучшения Сервиса и маркетинга.

12.2. Подробные правила использования cookies приведены в Cookie Policy Kloklo.

12.3. Если cookies или аналогичные технологии позволяют идентифицировать Пользователя, Оператор обрабатывает такие данные в соответствии с настоящей Политикой.

12.4. Пользователь может управлять cookies через настройки браузера, cookie-баннер или иной доступный интерфейс, если такой интерфейс подключен на сайте.

13. Передача данных третьим лицам

13.1. Оператор может передавать или предоставлять доступ к персональным данным следующим категориям лиц в объеме, необходимом для конкретной цели:

• хостинг-провайдерам и провайдерам инфраструктуры;
• платежным провайдерам, банкам, ОФД, кассовым сервисам и участникам платежного контура;
• AI-провайдерам, включая иностранных AI-провайдеров;
• провайдерам email, Telegram-уведомлений и иной коммуникационной инфраструктуры;
• CRM/helpdesk-сервисам и подрядчикам поддержки;
• сервисам аналитики и антифрода;
• разработчикам и техническим подрядчикам, если доступ необходим для сопровождения Сервиса;
• государственным органам, судам и иным лицам в случаях, предусмотренных законом.

13.2. Оператор не продает персональные данные Пользователей и не передает их третьим лицам для самостоятельного использования, не связанного с работой Kloklo, без законного основания.

13.3. Если обработка персональных данных поручается подрядчику, Оператор определяет цели и состав поручения, а подрядчик обязан соблюдать конфиденциальность, меры защиты и ограничения обработки, предусмотренные договором и применимым законодательством.

14. Хранение персональных данных

14.1. Первичная база персональных данных Пользователей РФ, собираемых через интернет, размещается на территории Российской Федерации.

14.2. Точные сроки могут зависеть от технической архитектуры, настроек Пользователя, требований закона, платежных споров, инцидентов безопасности и фактического сценария обработки.

15. Удаление данных

15.1. Пользователь вправе запросить удаление аккаунта, истории запросов, файлов, Telegram-привязки или иных данных через команды /delete или /delete_me, интерфейс Сервиса или обращение в поддержку, если соответствующие функции доступны.

15.2. Перед удалением Оператор вправе запросить подтверждение личности или контроля над аккаунтом, чтобы исключить удаление данных третьим лицом.

15.3. Удаление данных из активных систем не всегда означает немедленное удаление из резервных копий; такие данные удаляются по циклу ротации backup.

15.4. Оператор вправе сохранить часть данных в ограниченном архиве, если это необходимо для исполнения закона, налогового и бухгалтерского учета, возвратов, безопасности, антифрода, претензий и защиты прав.

15.5. Отзыв согласия может повлечь невозможность дальнейшего использования Сервиса или отдельных функций.

16. Права Пользователя

16.1. Пользователь как субъект персональных данных вправе:

• получать информацию об обработке своих персональных данных;
• требовать уточнения, блокирования или уничтожения персональных данных в случаях, предусмотренных законом;
• отозвать согласие на обработку персональных данных;
• направлять запросы и обращения Оператору;
• обжаловать действия или бездействие Оператора в уполномоченный орган или суд;
• реализовывать иные права, предусмотренные законодательством РФ.

16.2. Запросы направляются на email privacy@kloklo.ai или через иной канал, указанный в интерфейсе Сервиса. В запросе желательно указать данные, позволяющие идентифицировать аккаунт: email при наличии, Telegram ID, user ID, дату обращения и суть требования.

16.3. Оператор вправе запросить сведения, необходимые для подтверждения личности, контроля над аккаунтом или полномочий заявителя, если это необходимо для защиты данных от неправомерного доступа или удаления.

17. Защита персональных данных

17.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.

17.2. Меры защиты определяются с учетом характера обрабатываемых данных, пользовательских сценариев Kloklo, использования Telegram-бота, платежных провайдеров, AI-провайдеров, файлов, технических логов и иных компонентов Сервиса.

17.3. К правовым и организационным мерам защиты относятся или могут относиться:

• назначение лица, ответственного за организацию обработки персональных данных;
• утверждение внутренних правил обработки и защиты персональных данных;
• определение перечня лиц, имеющих доступ к персональным данным;
• разграничение прав доступа сотрудников, подрядчиков и технических специалистов;
• проверка подрядчиков, которые получают доступ к персональным данным или участвуют в работе Сервиса;
• включение в договоры с подрядчиками условий о конфиденциальности, безопасности, целях обработки, возврате или удалении данных;
• ведение учета процессов обработки, категорий данных, получателей данных и сроков хранения;
• обучение или инструктаж сотрудников и лиц, имеющих доступ к персональным данным;
• установление порядка обработки запросов Пользователей по персональным данным;
• установление порядка удаления, блокирования, ограничения обработки и уничтожения данных;
• установление порядка реагирования на инциденты с персональными данными.

17.4. К техническим мерам защиты относятся или могут относиться:

• ограничение доступа к системам по ролям и принципу минимально необходимого доступа;
• аутентификация пользователей, сотрудников и подрядчиков;
• контроль доступа к серверной части Сервиса, внутренней системе учета доступа, платежным событиям, файлам, логам и support-системам;
• ведение журналов доступа, технических событий, акцептов, согласий, платежных событий и действий с данными;
• использование защищенной инфраструктуры, резервного копирования и мониторинга работоспособности;
• применение шифрования, маскирования, фильтрации, обезличивания или иных мер ограничения данных, если это применимо к конкретному сценарию;
• ограничение сроков хранения истории запросов, файлов, демо-данных, технических логов и резервных копий;
• технические ограничения загрузки файлов и обработки запрещенных данных;
• антифрод-проверки, лимиты запросов, защита от автоматизированного злоупотребления, спама и несанкционированного доступа;
• регулярная проверка технических настроек, прав доступа и событий безопасности.

17.5. Оператор применяет принцип минимизации данных: обрабатывает только те данные, которые необходимы для конкретного сценария использования Сервиса, и стремится не передавать AI-провайдерам, платежным провайдерам и подрядчикам больше данных, чем требуется для выполнения соответствующей функции.

17.6. При обработке Запросов и файлов Оператор вправе использовать технические фильтры, ограничения, маскирование, исключение отдельных идентификаторов, ограничение контекста, запрет отдельных типов файлов и иные меры, направленные на снижение риска передачи запрещенных или избыточных данных.

17.7. При работе с платежами Оператор не хранит полные данные банковских карт Пользователя. Такие данные обрабатываются платежным провайдером, банком или платежной системой. Оператор хранит только сведения, необходимые для подтверждения платежа, учета доступа, фискализации, возврата, обработки спорных операций и защиты прав.

17.8. При работе с AI-провайдерами Оператор принимает разумные меры для ограничения состава передаваемых данных, проверки условий провайдера, учета страны передачи, назначения обработки, сроков хранения, возможности использования данных для обучения моделей и применимых мер защиты.

17.9. Пользователь также обязан соблюдать меры безопасности: не передавать в Сервис пароли, одноразовые коды, ключи ЭЦП, банковские доступы, медицинские данные, биометрию, данные детей, специальные категории персональных данных и персональные данные третьих лиц без законного основания.

17.10. Если Пользователь направляет в Сервис запрещенные или избыточные данные вопреки Условиям использования и настоящей Политике, Оператор вправе удалить такие данные, ограничить их обработку, заблокировать функцию, отказать в обработке Запроса или принять иные меры, необходимые для защиты данных и соблюдения закона.

17.11. Оператор не может гарантировать абсолютную защищенность данных при передаче через интернет, Telegram, платежные интерфейсы, внешних AI-провайдеров или иных третьих лиц, но принимает разумные и необходимые меры для снижения соответствующих рисков.

18. Инциденты с персональными данными

18.1. Под инцидентом с персональными данными в настоящей Политике понимается неправомерная или случайная передача, предоставление, распространение персональных данных, доступ к ним, уничтожение, изменение, блокирование, копирование или иное событие, которое повлекло или может повлечь нарушение прав субъектов персональных данных.

18.2. К возможным инцидентам могут относиться, в частности:

• несанкционированный доступ к аккаунту, файлам, истории запросов, техническим логам или платежным событиям;
• ошибочная передача данных не тому получателю;
• неправомерная или избыточная передача данных AI-провайдеру, платежному провайдеру, подрядчику или иному лицу;
• утрата контроля над учетной записью, техническим ключом, служебным аккаунтом или системой поддержки;
• загрузка Пользователем запрещенных данных, повлекшая необходимость ограничения или удаления таких данных;
• техническая ошибка, которая привела к раскрытию, изменению, утрате или недоступности данных;
• нарушение безопасности со стороны подрядчика, платежного провайдера, AI-провайдера, хостинга или иной инфраструктуры, если оно затрагивает данные Пользователей Kloklo.

18.3. При выявлении или получении информации об инциденте Оператор фиксирует обстоятельства инцидента, дату и время его обнаружения, затронутые категории данных, предполагаемые причины, возможные последствия, круг затронутых пользователей и принятые меры.

18.4. Оператор принимает меры по ограничению последствий инцидента, включая ограничение доступа, отключение затронутой функции, удаление или блокирование данных, изменение прав доступа, отзыв ключей, изменение технических настроек, взаимодействие с подрядчиками и иные разумные действия.

18.5. Оператор проводит внутреннюю проверку инцидента, определяет причины, оценивает риск нарушения прав Пользователей, принимает меры по устранению последствий и снижению вероятности повторения аналогичного события.

18.6. В случаях и сроки, предусмотренные законодательством РФ, Оператор направляет уведомления в уполномоченные органы, включая Роскомнадзор. Если законодательство требует направления первичного уведомления и последующего уведомления по результатам проверки, Оператор действует в установленном порядке и фиксирует соответствующие действия.

18.7. Если инцидент связан с действиями или инфраструктурой платежного провайдера, AI-провайдера, хостинга, Telegram, support-системы или иного подрядчика, Оператор вправе взаимодействовать с таким лицом для расследования инцидента, ограничения последствий, получения технической информации, восстановления данных, подтверждения фактов и предотвращения повторения инцидента.

18.8. Если инцидент создает существенный риск для Пользователя, Оператор вправе уведомить Пользователя доступным способом, включая интерфейс Сервиса, Telegram-бот, email или сообщение поддержки, если такое уведомление необходимо для защиты прав Пользователя, предотвращения вреда или исполнения требований закона.

18.9. Пользователь обязан незамедлительно сообщить Оператору, если ему стало известно о несанкционированном доступе к его Telegram-аккаунту, подозрительных платежах, раскрытии данных, ошибочной отправке файла, получении чужих данных или ином событии, которое может быть связано с инцидентом.

18.10. Сообщение об инциденте или подозрении на инцидент можно направить на privacy@kloklo.ai или support@kloklo.ai. В обращении желательно указать дату, описание события, Telegram ID или иной идентификатор аккаунта, сведения о платеже или файле, если они имеют значение для проверки.

18.11. Оператор вправе хранить сведения об инцидентах, технических проверках, уведомлениях, переписке, логах и принятых мерах в течение срока, необходимого для исполнения закона, расследования обстоятельств, защиты прав Оператора и предотвращения повторных нарушений.

19. Несовершеннолетние

19.1. Сервис ориентирован на совершеннолетних Пользователей. Использование Сервиса лицами младше 18 лет допускается только при наличии законного основания и согласия законного представителя, если такое согласие требуется законодательством РФ.

19.2. Kloklo не предназначен для самостоятельного использования детьми, а также для загрузки, хранения или обработки персональных данных детей, если Оператор прямо не предусмотрел отдельный режим обработки таких данных.

19.3. Пользователь обязуется не направлять в Сервис персональные данные детей, включая документы, изображения, переписку, сведения о здоровье, обучении, местонахождении, семье или иные данные ребенка, если у Пользователя нет законного основания для такой передачи.

19.4. Если Пользователь передает в Сервис данные несовершеннолетнего, Пользователь подтверждает, что имеет необходимые права, полномочия, согласия законного представителя или иное законное основание для такой передачи и обработки.

19.5. Если Оператору станет известно о неправомерной передаче данных несовершеннолетнего или об использовании Сервиса лицом младше 18 лет без необходимого согласия, Оператор вправе удалить такие данные, ограничить обработку соответствующих материалов, заблокировать функцию, приостановить доступ или запросить подтверждение законного основания использования Сервиса.

19.6. Если законный представитель считает, что несовершеннолетний неправомерно использует Сервис или его персональные данные были переданы в Kloklo без законного основания, он может обратиться к Оператору по адресу privacy@kloklo.ai или support@kloklo.ai. Оператор вправе запросить сведения, необходимые для проверки обращения и подтверждения полномочий заявителя.

19.7. Удаление данных несовершеннолетнего осуществляется в порядке, предусмотренном настоящей Политикой, с учетом необходимости подтверждения личности заявителя, защиты прав Пользователей, требований закона и технических сроков удаления данных из резервных копий.

20. Сервисные и маркетинговые коммуникации

20.1. Оператор может направлять Пользователю сервисные сообщения, связанные с использованием Kloklo, без отдельного маркетингового согласия, если такие сообщения необходимы для исполнения договора, работы Сервиса, безопасности, оплаты, поддержки или соблюдения закона.

20.2. К сервисным сообщениям относятся, в частности:

• сообщения о запуске, акцепте и настройках Сервиса;
• уведомления о демо-доступе, подписке, пакете доступа, начислении или списании сервисных токенов;
• сообщения об оплате, чеке, возврате, спорной операции, рекуррентном платеже или отключении автопродления;
• сообщения о технических ошибках, изменении статуса доступа, блокировке, ограничении функции или восстановлении доступа;
• уведомления о безопасности, подозрительных действиях, изменении документов, удалении данных или инцидентах;
• ответы поддержки на обращения Пользователя.

20.3. Сервисные сообщения могут направляться через Telegram-бот, email, интерфейс Сервиса, платежный интерфейс, push-уведомления, если они доступны, или иные каналы, которые Пользователь использует для взаимодействия с Kloklo.

20.4. Маркетинговые сообщения, рекламные рассылки, промоакции, персональные предложения, реферальные предложения и иные сообщения рекламного характера направляются Пользователю только при наличии отдельного согласия, если такое согласие требуется законодательством РФ.

20.5. Согласие на маркетинговые сообщения не является условием использования основного функционала Сервиса, если иное прямо не связано с участием в отдельной акции, промо-механике или реферальной программе.

20.6. Пользователь может отказаться от маркетинговых сообщений способом, указанным в соответствующем сообщении, через интерфейс Сервиса, Telegram-бот, настройки рассылки или обращение в поддержку.

20.7. Отказ от маркетинговых сообщений не влияет на получение сервисных сообщений, необходимых для работы аккаунта, оплаты, безопасности, исполнения договора, обработки обращений и соблюдения требований закона.

20.8. Оператор вправе хранить сведения о согласии на маркетинговые сообщения, его отзыве, канале получения согласия, версии текста согласия и дате соответствующего действия в течение срока, необходимого для подтверждения правомерности коммуникаций и защиты прав Оператора.

21. Изменение Политики

21.1. Оператор вправе изменять настоящую Политику. Новая редакция размещается на сайте или в ином интерфейсе Сервиса.

21.2. Если изменения существенно затрагивают права Пользователя или характер обработки данных, Оператор вправе запросить повторный акцепт, отдельное согласие или направить уведомление Пользователю.

21.3. Дата редакции Политики указывается в начале документа.

Сервис Kloklo предоставляет ООО «ИММ0РТАЛ»

ОГРН 1257700437136, ИНН 9714081731, КПП 771401001.

Поддержка: support@kloklo.ai