Политика обработки персональных данных

1. Общие положения

Настоящая Политика обработки персональных данных (далее — Политика) определяет порядок обработки и защиты персональных данных в сервисе Posti (далее — Сервис), расположенном по адресу https://posti.nexusbots.ru, в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ).

Политика действует в отношении всех персональных данных, которые Оператор обрабатывает как с использованием средств автоматизации, так и без их использования. Использование Сервиса означает согласие пользователя с условиями Политики; для отдельных видов обработки (регистрация, вход) обязательно явное согласие — чекбокс на форме (ст. 9 152-ФЗ).

2. Основные понятия

• Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных);
• Оператор — лицо, организующее обработку персональных данных и определяющее её цели и состав;
• Обработка — любое действие с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача, блокирование, удаление, уничтожение;
• Cookies — небольшие фрагменты данных, которые сайт сохраняет в браузере пользователя.

3. Оператор и контакт для запросов

• Оператор: ИП Акулинин Николай Владимирович
• ОГРНИП 322774600709243 · ИНН 772603180960
• Регистрационный номер в реестре операторов персональных данных Роскомнадзора: 77-26-554007
• Email для запросов по персональным данным: nexusbots.studio@gmail.com

Ответственный за организацию обработки персональных данных — Акулинин Николай Владимирович (оператор). Запросы субъектов рассматриваются в срок, не превышающий 10 рабочих дней с даты поступления (ст. 14 152-ФЗ); срок может быть продлён не более чем на 5 рабочих дней с уведомлением заявителя.

4. Правовые основания обработки

Оператор обрабатывает персональные данные на основаниях:

• согласие субъекта (п. 1 ч. 1 ст. 6 152-ФЗ) — при регистрации и входе в Сервис (явный чекбокс на форме, ст. 9 152-ФЗ);
• исполнение договора (п. 5 ч. 1 ст. 6 152-ФЗ) — обработка, необходимая для предоставления функциональности Сервиса (создание и публикация постов, аналитика, командная работа), стороной которого является пользователь;
• законный интерес (п. 7 ч. 1 ст. 6 152-ФЗ) — обеспечение безопасности Сервиса, защита от несанкционированного доступа и злоупотреблений (rate limiting, журналы безопасности).

Оператор не обрабатывает специальные категории персональных данных (ст. 10 152-ФЗ) и биометрические персональные данные (ст. 11 152-ФЗ). Загруженные пользователем фотографии обрабатываются исключительно как контент для публикации и не используются для идентификации личности.

5. Категории данных и цели обработки

• Данные аккаунта (email, имя и фамилия, идентификатор Яндекс ID при входе через Яндекс) — регистрация, аутентификация, связь с пользователем;
• Токены доступа соцсетей (ВКонтакте, Telegram, Instagram*, Facebook*) — публикация контента от имени пользователя через официальные API по его поручению; токены не отображаются в интерфейсе;
• Пользовательский контент (посты, черновики, медиафайлы, шаблоны, настройки водяных знаков) — предоставление функциональности Сервиса;
• Служебные данные форм ИИ (тема, тон, площадка, длина) — генерация текста по запросу пользователя;
• Технические данные (IP-адрес, User-Agent, cookies, время и журнал сессий) — безопасность, ограничение частоты запросов, фиксация согласий;
• Данные аналитики (обезличенные статистические данные о посещениях через Яндекс.Метрику при наличии согласия пользователя) — анализ посещаемости, улучшение Сервиса;
• Журнал согласий (дата, IP, User-Agent, версия текста согласия) — подтверждение факта получения согласия (ст. 9 ч. 3 152-ФЗ).

При подключении Facebook* (Facebook Login for Business) Сервис по явному разрешению пользователя получает доступ к списку Страниц, которыми он управляет, и к связанным Instagram*-аккаунтам (права на чтение страниц и публикацию постов). Публикация выполняется только по действию пользователя (создание или планирование поста); автоматическая публикация без его ведома не выполняется.

Оператор соблюдает принципы целевого и минимально необходимого сбора (ст. 5 152-ФЗ): обрабатываются только данные, необходимые для заявленных целей.

6. Локализация и сроки хранения

Первичный сбор, запись и накопление персональных данных граждан РФ осуществляются в базах данных, расположенных на территории Российской Федерации (ст. 18 ч. 5 152-ФЗ). Внешние запросы к заблокированным в РФ API (см. раздел 7) выполняются через прокси-сервер оператора, при этом сами данные хранятся только в БД на территории РФ.

Персональные данные хранятся:

• данные аккаунта и настройки — в течение всего срока существования аккаунта;
• посты и медиа — в пределах срока истории, определяемого тарифным планом (от 30 до 730 дней), если иное не установлено пользователем;
• журналы безопасности и согласий — 1 год с момента записи, если иной срок не требуется законом;
• после удаления аккаунта — полная очистка данных в течение 30 календарных дней (см. страницу Удаление данных).

По достижении целей обработки или при утрате необходимости в ней персональные данные уничтожаются либо обезличиваются (ст. 5 ч. 7 152-ФЗ).

7. Трансграничная передача данных

В соответствии со ст. 12 152-ФЗ Оператор раскрывает следующую трансграничную передачу персональных данных, необходимую для предоставления функциональности Сервиса по поручению пользователя:

• Telegram Bot API — текст и медиа публикаций передаются на серверы Telegram LP (юрлицо зарегистрировано вне РФ) при публикации в Telegram-каналы;
• Instagram* / Facebook* (Meta Platforms Inc.) — контент и данные аккаунта передаются в API Meta (США) при подключении и публикации;
• Mistral AI (Франция) — темы и параметры генерации передаются для работы ИИ-ассистента;
• ВКонтакте, Яндекс ID, Яндекс.Метрика — российские операторы, трансграничная передача отсутствует.

Передача осуществляется по поручению и в интересах пользователя (публикация его контента в выбранные им соцсети). Пользователь может отказаться от трансграничной передачи, не подключая соответствующие соцсети и не используя ИИ-функции.

8. Файлы cookie и аналитика

Сервис использует минимально необходимый набор cookie: сессионные cookie (авторизационный токен, httpOnly) и cookie-факта решения по cookie-баннеру. Все ресурсы Сервиса обслуживаются с собственных серверов.

Для анализа посещаемости и улучшения Сервиса используется сервис веб-аналитики Яндекс.Метрика (ООО «ЯНДЕКС», https://yandex.ru/legal/confidential), который собирает обезличенные статистические данные о посещениях (страницы просмотра, реферер, технические параметры браузера и устройства, факты кликов). Яндекс.Метрика не запускается до тех пор, пока пользователь не дал явное согласие через куки-баннер (кнопка «Принять»); при отказе сбор статистики не выполняется. Политика конфиденциальности Яндекс.Метрики: yandex.ru/legal/metrica_termsofuse.

При первом посещении пользователю показывается баннер с равнозначными кнопками «Принять» и «Отказаться»; предустановленные галочки не используются. Отказ от cookie и аналитики не блокирует доступ к публичным страницам Сервиса.

9. Права субъекта персональных данных

Пользователь имеет право (ст. 14–15 152-ФЗ): получить подтверждение факта обработки своих данных и сведения о целях, правовых основаниях, категориях обрабатываемых данных, сроках хранения и получателях; требовать уточнения, блокирования или уничтожения данных; отозвать согласие на обработку; получить информацию о трансграничной передаче; обжаловать действия Оператора в Роскомнадзор или суд.

Портативность данных: пользователь вправе получить свои персональные данные, обрабатываемые Оператором, в структурированном, машиночитаемом формате (например, JSON, CSV) для передачи другому оператору (ст. 14 ч. 7 п. 5 152-ФЗ). Такой запрос рассматривается в те же сроки, что и запрос на доступ к данным (10 рабочих дней с возможным продлением до 5 рабочих дней).

Запросы направляются на nexusbots.studio@gmail.com с адреса электронной почты, указанного при регистрации. Ответ направляется в течение 10 рабочих дней (с возможным продлением до 5 рабочих дней с уведомлением).

Отзыв согласия (ст. 9 ч. 2): согласие на обработку персональных данных может быть отозвано в любой момент путём направления письма на указанный адрес с темы «Отзыв согласия». После отзыва согласия Оператор прекращает обработку, за исключением данных, обработка которых необходима для исполнения договора или требуется законом. Для полного удаления аккаунта воспользуйтесь процедурой на странице Удаление данных.

Оператор не осуществляет рассылки в целях прямого маркетинга без отдельного предварительного согласия (ст. 15 152-ФЗ).

10. Передача обработки третьим лицам

Оператор не продаёт и не передаёт персональные данные третьим лицам, кроме случаев поручения обработки, необходимого для предоставления Сервиса (публикация в соцсети через их официальные API по поручению пользователя, ст. 6 ч. 3 152-ФЗ). Ответственность за действия лиц, действующих по поручению, перед субъектом несёт Оператор.

11. Меры защиты персональных данных

В соответствии со ст. 19 152-ФЗ Оператор принимает правовые, организационные и технические меры защиты:

• шифрование канала передачи данных (HTTPS/TLS);
• хеширование паролей (scrypt) — пароли хранятся только в виде хэшей и не восстанавливаются;
• сессионные токены в httpOnly-cookie, ограничение частоты запросов (rate limiting) для защиты от подбора;
• разграничение прав доступа внутри организаций (роли владелец / администратор / участник);
• токены доступа соцсетей не отображаются в интерфейсе и не передаются другим пользователям;
• ведение журналов операций и фиксация согласий для возможности аудита.

При выявлении инцидента неправомерной передачи персональных данных Оператор уведомляет Роскомнадзор в сроки, установленные ст. 21 ч. 3.1 152-ФЗ (24 часа — о факте, 72 часа — о результатах расследования).

12. Уничтожение и обезличивание

Персональные данные уничтожаются: по достижении целей обработки; при отзыве согласия (в части, обработка которой не имеет иных оснований); при удалении аккаунта пользователем; по истечении сроков, указанных в разделе 6. Уничтожение производится способом, исключающим восстановление содержания данных. Порядок инициирования описан на странице Удаление данных.

13. Изменения Политики

Оператор вправе изменять Политику. Актуальная редакция всегда опубликована на этой странице; дата последнего обновления указывается в начале документа. Существенные изменения дополнительно доводятся до пользователей Сервиса.