УТВЕРЖДЕНА
приказом Генерального директора
ООО «Цифра» от «25» августа 2026 г. № 1
ПОЛИТИКА
Общество с ограниченной ответственностью «Цифра» в отношении обработки персональных данных
(Приложение № 1 к Приказу № 1 от «25» августа 2026 г.)
1. Общие положения
1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана во исполнение требований пункта 2 части 1 статьи 18.1 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее — Федеральный закон № 152-ФЗ) и определяет позицию Общества с ограниченной ответственностью «Цифра» (далее — Оператор) в области обработки и защиты персональных данных субъектов персональных данных.
1.2. Политика распространяется на все персональные данные субъектов, обрабатываемые Оператором с использованием средств автоматизации и без использования таких средств, полученные Оператором в связи с оказанием услуг информационной системы «NexyTect AI», размещённой на сайте nexytectai.online (далее — Сервис).
1.3. Основные понятия, используемые в Политике, соответствуют понятиям, определённым статьёй 3 Федерального закона № 152-ФЗ.
1.4. Политика подлежит опубликованию на сайте Оператора nexytectai.online в разделе, доступном для неограниченного круга лиц.
1.5. Политика вступает в силу с даты её утверждения и действует бессрочно до её замены новой редакцией.
2. Оператор и его реквизиты
2.1. Оператором персональных данных является:
Полное наименование: Общество с ограниченной ответственностью «Цифра».
Сокращённое наименование: ООО «Цифра».
ОГРН: 1268600005211. ИНН: 8600003390. КПП: 860001001.
Юридический адрес: 628301, Россия, Ханты-Мансийский автономный округ — Югра, г. Нефтеюганск, корпус ГСК Электрон-2, стр. 7/6.
Адрес электронной почты для запросов субъектов персональных данных: privacy@nexytectai.online.
Телефон: +7 922 440-47-22.
2.2. Ответственным за организацию обработки персональных данных у Оператора назначен Генеральный директор Исмаилов Сэнан Бахрамович (приказ № 1 от 25 августа 2026 г.).
3. Цели обработки персональных данных
3.1. Оператор осуществляет обработку персональных данных в следующих целях:
3.1.1. заключение и исполнение договора (публичной оферты) об оказании услуг Сервиса, включая регистрацию учётной записи Пользователя, идентификацию и аутентификацию Пользователя, предоставление доступа к функционалу Сервиса, тарификация и учёт использованных Пользователем ресурсов;
3.1.2. приём, обработка и рассмотрение обращений Пользователей и иных субъектов персональных данных;
3.1.3. направление Пользователю уведомлений, связанных с работой Сервиса (транзакционных, сервисных и информационных), в том числе через электронную почту и мессенджер Telegram;
3.1.4. исполнение обязательств Оператора, установленных законодательством Российской Федерации о налогах и сборах, о бухгалтерском учёте, о применении контрольно-кассовой техники, о противодействии легализации доходов, полученных преступным путём;
3.1.5. обеспечение информационной безопасности Сервиса и защита прав и законных интересов Оператора, Пользователей и иных лиц;
3.1.6. направление Пользователю рекламных сообщений — только при условии получения его отдельного согласия в соответствии с частью 1 статьи 18 Федерального закона от 13 марта 2006 г. № 38-ФЗ «О рекламе»;
3.1.7. осуществление статистических и иных исследований на основе обезличенных данных.
4. Правовые основания обработки
4.1. Правовыми основаниями обработки персональных данных являются:
4.1.1. Конституция Российской Федерации;
4.1.2. Гражданский кодекс Российской Федерации;
4.1.3. Трудовой кодекс Российской Федерации (в части обработки данных работников Оператора);
4.1.4. Налоговый кодекс Российской Федерации;
4.1.5. Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;
4.1.6. Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
4.1.7. Федеральный закон от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи»;
4.1.8. Федеральный закон от 22 мая 2003 г. № 54-ФЗ «О применении контрольно-кассовой техники…»;
4.1.9. Устав ООО «Цифра»;
4.1.10. согласие субъекта персональных данных на обработку его персональных данных, предоставляемое в форме, установленной Оператором, — в случаях, когда обработка осуществляется на основании согласия;
4.1.11. договор (публичная оферта) о предоставлении услуг Сервиса — в случаях, когда обработка необходима для его исполнения.
5. Категории обрабатываемых персональных данных
5.1. Оператор обрабатывает следующие категории персональных данных Пользователей — физических лиц (в том числе представителей юридических лиц):
5.1.1. фамилия, имя, отчество (при наличии);
5.1.2. адрес электронной почты;
5.1.3. номер мобильного телефона;
5.1.4. имя пользователя (username) и/или идентификатор чата (chat_id) в мессенджере Telegram — при добровольной привязке аккаунта;
5.1.5. должность, наименование организации-работодателя — при указании Пользователем;
5.1.6. данные учётной записи: логин, хеш пароля, идентификатор сессии, дата регистрации, дата последнего входа;
5.1.7. IP-адрес, идентификатор устройства (User-Agent), сведения о браузере и операционной системе — собираются автоматически при использовании Сервиса;
5.1.8. журналы действий Пользователя в Сервисе (audit log), в том числе даты и типы совершённых операций;
5.1.9. содержимое загруженных Пользователем документов и предоставленных ответов на вопросы Сервиса — в объёме, необходимом для оказания услуг;
5.1.10. платёжные данные в объёме, передаваемом платёжным провайдером (ЮKassa) для целей приёма платежа и формирования кассового чека, без хранения полного номера банковской карты Оператором.
5.2. Оператор не обрабатывает специальные категории персональных данных (сведения о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни), а также биометрические персональные данные.
5.3. Оператор не обрабатывает персональные данные несовершеннолетних. Пользователем Сервиса может стать только дееспособное физическое лицо, достигшее возраста 18 лет, либо юридическое лицо в лице уполномоченного представителя.
6. Порядок и условия обработки
6.1. Обработка персональных данных осуществляется Оператором с использованием средств автоматизации и без использования таких средств.
6.2. Оператор осуществляет следующие действия с персональными данными: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
6.3. Хранение персональных данных граждан Российской Федерации осуществляется исключительно на территории Российской Федерации в дата-центре провайдера ООО «Веб-Сервис» (торговая марка «Timeweb Cloud»), г. Новосибирск, в соответствии с частью 5 статьи 18 Федерального закона № 152-ФЗ.
6.4. Оператор осуществляет трансграничную передачу персональных данных на территорию Королевства Испания в целях функционирования шлюза доступа к языковым моделям искусственного интеллекта. Условия и порядок такой передачи установлены Разделом 8 настоящей Политики. Иностранные государства, на территорию которых осуществляется передача, обеспечивают адекватную защиту прав субъектов персональных данных согласно решению Роскомнадзора.
6.5. Оператор не принимает решения, порождающие юридические последствия в отношении субъекта персональных данных или иным образом затрагивающие его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных.
6.6. Сроки обработки и хранения:
6.6.1. персональные данные, обрабатываемые для исполнения договора, — до истечения 3 (трёх) лет с даты прекращения договорных отношений с Пользователем, если иной срок не установлен законодательством;
6.6.2. данные о согласии на обработку персональных данных (журнал согласий) — 3 (три) года после отзыва согласия или прекращения договора, в соответствии с частью 4 статьи 9 Федерального закона № 152-ФЗ;
6.6.3. кассовые документы, счета, акты — 5 (пять) лет в соответствии со статьёй 29 Федерального закона от 6 декабря 2011 г. № 402-ФЗ «О бухгалтерском учёте»;
6.6.4. журналы действий (audit log) — 12 (двенадцать) месяцев;
6.6.5. содержимое рабочего пространства Пользователя (загруженные документы, отчёты, сгенерированные документы) — весь срок действия договора и в течение 90 (девяноста) календарных дней после его прекращения, после чего подлежит уничтожению;
6.6.6. первый бесплатный отчёт по итогам wow-аудита — весь срок существования учётной записи Пользователя, если Пользователь не запросил его удаление.
7. Меры защиты персональных данных
7.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных.
7.2. К мерам защиты, применяемым Оператором, относятся:
7.2.1. назначение ответственного за организацию обработки персональных данных;
7.2.2. разработка и утверждение локальных нормативных актов по вопросам обработки и защиты персональных данных;
7.2.3. осуществление внутреннего контроля за соответствием обработки требованиям Федерального закона № 152-ФЗ;
7.2.4. ознакомление работников Оператора с положениями законодательства и локальных актов о персональных данных;
7.2.5. использование средств защиты информации: криптографической защиты каналов связи (TLS 1.3, mTLS для внутренних каналов), шифрования секретов приложения (AES-256-GCM), межсетевого экрана (UFW), системы противодействия перебору аутентификации (fail2ban);
7.2.6. разграничение прав доступа: реализация принципа наименьших привилегий, изоляция данных разных Пользователей на уровне базы данных (Row-Level Security);
7.2.7. ведение журнала действий (audit log) с фиксацией всех значимых операций;
7.2.8. регулярное создание резервных копий и хранение их на защищённом объектном хранилище на территории Российской Федерации;
7.2.9. проведение внешнего теста на проникновение до начала публичного оказания услуг.
8. Трансграничная передача персональных данных
8.1. Оператор осуществляет трансграничную передачу персональных данных в Королевство Испания на основании отдельного согласия субъекта персональных данных, предоставляемого в соответствии со статьёй 12 Федерального закона № 152-ФЗ.
8.2. Цель передачи: обеспечение функционирования шлюза (прокси-сервера) доступа к языковым моделям искусственного интеллекта, используемым в составе функционала Сервиса для проверки, генерации и анализа документов Пользователя.
8.3. Получатель на территории Королевства Испания: компания HostKey B.V. (провайдер услуг размещения серверов), выступающая в качестве обработчика по поручению Оператора. Между Оператором и получателем заключено соглашение об обработке персональных данных (Data Processing Agreement).
8.4. При трансграничной передаче на прокси-сервер в Королевстве Испания не передаются и не хранятся следующие данные: фамилия, имя, отчество Пользователя, адрес электронной почты, номер телефона, платёжные данные. Через прокси-сервер осуществляется только транзитная передача обрабатываемого содержимого документов и запросов Пользователя к языковой модели.
8.5. Из Королевства Испания запросы направляются к языковым моделям искусственного интеллекта, находящимся на территории Соединённых Штатов Америки и Европейского союза (провайдеры Anthropic PBC, Voyage AI, Inc.). Указанные страны обеспечивают адекватную защиту прав субъектов персональных данных согласно приказу Роскомнадзора от 15 марта 2023 г. № 26 и последующим решениям.
8.6. Уведомление о трансграничной передаче персональных данных подано Оператором в Роскомнадзор до начала фактической передачи.
8.7. Субъект персональных данных вправе отказаться от трансграничной передачи, не отзывая согласия на обработку персональных данных в целом. В этом случае оказание Сервиса становится невозможным по техническим причинам, и договор с Пользователем подлежит расторжению без применения штрафных санкций.
9. Права субъектов персональных данных
9.1. Субъект персональных данных имеет право:
9.1.1. получать от Оператора сведения об обработке своих персональных данных в порядке, установленном статьёй 14 Федерального закона № 152-ФЗ;
9.1.2. требовать от Оператора уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
9.1.3. отозвать своё согласие на обработку персональных данных полностью или в отношении отдельных целей;
9.1.4. обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в суд;
9.1.5. получить электронную копию всех своих персональных данных, обрабатываемых Оператором, посредством самостоятельного формирования такой копии в личном кабинете Сервиса;
9.1.6. требовать удаления своей учётной записи и связанных с нею персональных данных в порядке, установленном разделом 10 настоящей Политики.
9.2. Запросы субъектов персональных данных направляются на адрес электронной почты Оператора: privacy@nexytectai.online либо по почтовому адресу Оператора, указанному в разделе 2 настоящей Политики. Ответ на запрос предоставляется в течение 10 (десяти) рабочих дней со дня его получения.
10. Порядок отзыва согласия и удаления данных
10.1. Отзыв согласия на обработку персональных данных осуществляется Пользователем самостоятельно в личном кабинете Сервиса либо путём направления письменного заявления Оператору.
10.2. При отзыве согласия Оператор в течение 30 (тридцати) календарных дней прекращает обработку персональных данных, обработка которых осуществлялась исключительно на основании согласия, и обеспечивает их уничтожение, за исключением случаев, когда сохранение персональных данных требуется в соответствии с федеральным законом.
10.3. При запросе на удаление учётной записи Оператор в течение 30 (тридцати) календарных дней осуществляет обезличивание персональных данных Пользователя в базе данных Сервиса. Обезличенные данные могут сохраняться в статистических и аналитических целях без возможности идентификации субъекта.
10.4. Документы, размещённые Пользователем в общем рабочем пространстве организации и не относящиеся к его персональным данным, при удалении учётной записи такого Пользователя не удаляются, если Пользователь не является единственным Владельцем рабочего пространства.
11. Заключительные положения
11.1. Оператор вправе вносить изменения в настоящую Политику. При внесении изменений в заголовке Политики указывается дата последнего обновления редакции.
11.2. Актуальная редакция Политики размещается по постоянному адресу: https://nexytectai.online/legal/privacy.
11.3. Предыдущие редакции Политики сохраняются в архиве и доступны субъекту персональных данных по запросу.
11.4. Настоящая Политика подлежит применению с момента её утверждения приказом Генерального директора Общества и до её замены новой редакцией.
Генеральный директор ООО «Цифра» _____________________ С. Б. Исмаилов
М. П.