Политика конфиденциальности FormGoat
Основной версией настоящего документа является английская. Русский текст предоставляется для удобства; при расхождениях преимущественную силу имеет английская версия (раздел 11).
1. Контролёр данных
Контролёром персональных данных («контролёр», «мы», «нас») является:
Pavel Kanakhistov — индивидуальный предприниматель (autónomo)
NIF: Z1825610J
Страна учреждения: Испания
Почтовый адрес: предоставляется по запросу (контакт ниже)
Контакт по вопросам конфиденциальности, реализации прав и жалоб: [email protected]. Этот адрес служит единой точкой обращения по всем режимам защиты данных, применимым к Сервису (раздел 13).
Представитель в ЕС (ст. 27 GDPR) не требуется — контролёр учреждён в ЕС (Испания).
2. Какие данные мы собираем
2.1. Профиль пользователя и вход в аккаунт
- Имя и адрес электронной почты — из Google при авторизации через Google.
- Идентификатор аккаунта Google.
- Вход по одноразовому коду на email. Если вы входите по коду, мы сохраняем ваш адрес электронной почты, криптографический хеш кода (сам код в открытом виде не хранится), срок его действия — 10 минут — и счётчик попыток ввода. Запись удаляется сразу после успешного входа или по истечении срока.
- Служебные записи защиты от злоупотреблений: счётчики частоты запросов кода, привязанные к адресу и к сервису в целом.
- Дата регистрации, тарифный план, остаток баланса.
Пароль мы не получаем и не храним ни при одном способе входа.
2.2. Данные подписки и транзакций
- Тарифный план, история платежей, счета.
- Обработку платежей выполняет Stripe; данные банковской карты к нам не поступают и у нас не хранятся. Мы получаем от Stripe идентификатор клиента, статус подписки и данные счёта.
2.3. Данные документов и анкет
Загружаемые вами документы (паспорта, опросники, справки, брони, предыдущие анкеты и т. п.) обрабатываются с помощью OCR и AI для извлечения данных. В связи с оказанием Сервиса мы обрабатываем:
- загруженные файлы — до их автоматического удаления (раздел 4);
- извлечённый профиль — структурированные данные, полученные из документов;
- данные по страницам анкеты — какие поля заполнены и какими значениями;
- данные массового импорта — при загрузке сводной таблицы (Excel / CSV) мы сохраняем исходные пары «название поля — значение» по каждому человеку, чтобы использовать их при заполнении анкеты. Один такой файл, как правило, содержит данные многих лиц (раздел 2.5);
- ответ на секретный вопрос DS-160 — если вы его сохраняете, мы храним его на сервере вместе с анкетой, чтобы он был доступен вам с любого устройства и подставлялся при заполнении. Этот ответ необходим для восстановления анкеты на
ceac.state.gov; обращайтесь с ним как с реквизитом доступа. Хранение и удаление — по правилам раздела 4; - сведения об источнике каждого значения — из какого документа оно получено.
2.4. Специальные категории данных (ст. 9 GDPR)
Документы для заполнения визовых и иных официальных форм могут содержать специальные категории персональных данных — в частности, данные, раскрывающие расовое или этническое происхождение (гражданство, место рождения, имя в национальном алфавите), а в отдельных случаях биометрические данные (фотографии в документах).
Мы обрабатываем такие данные исключительно на основании вашего явного согласия (ст. 9(2)(a) GDPR), которое вы предоставляете при загрузке документов. Вы можете отозвать согласие в любой момент, удалив соответствующие данные или аккаунт; отзыв не затрагивает законность обработки до отзыва.
2.5. Данные третьих лиц и работа через агентство
Вы можете загружать документы, содержащие данные других лиц — родственников или клиентов, если вы используете Сервис как агент, миграционный или иной представитель, в том числе при массовом импорте сводной таблицы. В этом случае вы выступаете контролёром в отношении таких данных и гарантируете, что имеете законное основание на их обработку: являетесь субъектом данных, его законным представителем либо получили его явное согласие (включая согласие на специальные категории данных по ст. 9 GDPR).
Мы обрабатываем такие данные как процессор по вашему поручению исключительно в целях оказания услуг, за которыми вы обращаетесь к FormGoat. Договор об обработке данных (DPA) для бизнес-пользователей предоставляется по запросу. В терминах индийского законодательства о защите данных в этом сценарии вы являетесь Data Fiduciary, а мы — Data Processor.
2.6. Улучшение качества сервиса
Мы можем использовать данные, обработанные в ходе оказания Сервиса, для улучшения качества наших алгоритмов и сервиса в целом, включая разработку и обучение наших моделей.
Для этих целей мы используем данные в обезличенном виде: перед использованием из них удаляются идентифицирующие элементы (имена, номера документов, даты рождения, адреса и иные прямые идентификаторы). В той мере, в какой такие данные являются анонимными, они не подпадают под действие GDPR. В остальной части мы опираемся на законный интерес (ст. 6(1)(f) GDPR) — совершенствование Сервиса — и применяем технические и организационные меры минимизации данных. Вы вправе возразить против такой обработки (ст. 21 GDPR), написав нам.
2.7. Телеметрия качества заполнения
Чтобы понимать, где алгоритм ошибается, мы фиксируем по каждому заполненному полю только факт: было ли предложено значение и изменил ли его пользователь, а также уверенность модели, источник значения и идентификатор страницы анкеты.
Значения полей в телеметрию не попадают — ни предложенные, ни исправленные. Отдельно фиксируется факт, что приложение встретило незнакомую структуру страницы, чтобы мы могли выпустить поддержку изменённой формы.
Журнал сетевых запросов в приложении DS-160 ведётся только в памяти устройства и служит для самодиагностики; на сервер он не передаётся. Вы можете скопировать его и прислать нам сами при обращении в поддержку — в этом случае вы контролируете, что именно отправляете.
Правовое основание — законный интерес (ст. 6(1)(f) GDPR) в обеспечении работоспособности и качества Сервиса.
3. Правовые основания обработки (ст. 6 и ст. 9 GDPR)
| Категория данных | Цель | Правовое основание |
|---|---|---|
| Профиль аккаунта | Аутентификация, ведение учётной записи | Исполнение договора — ст. 6(1)(b) |
| Одноразовые коды входа (хеш) | Проверка владения адресом при входе | Исполнение договора — ст. 6(1)(b) |
| Счётчики частоты запросов | Защита от злоупотреблений и рассылки кодов на чужие адреса | Законный интерес — ст. 6(1)(f) |
| Подписка и баланс | Управление тарифом, биллинг | Исполнение договора — ст. 6(1)(b) |
| Обычные данные документов и анкет | Заполнение форм по вашему запросу | Исполнение договора — ст. 6(1)(b) |
| Ответ на секретный вопрос | Подстановка в анкету и доступ к ней с любого устройства | Исполнение договора — ст. 6(1)(b) |
| Специальные категории | Заполнение визовых/официальных форм | Явное согласие — ст. 9(2)(a) |
| Телеметрия качества (без значений полей) | Обнаружение ошибок алгоритма и изменений формы | Законный интерес — ст. 6(1)(f) |
| Обезличенные данные | Улучшение и обучение алгоритмов, качество сервиса | Законный интерес — ст. 6(1)(f); анонимные данные — вне сферы GDPR |
| Платёжные записи | Соблюдение налогового/бухгалтерского права | Правовая обязанность — ст. 6(1)(c) |
| Записи о согласиях | Доказательство согласия | Правовая обязанность — ст. 6(1)(c), ст. 7(1) |
| Аналитика (cookie) | Улучшение Сервиса | Согласие — ст. 6(1)(a) |
| Разрешение споров, безопасность | Защита прав и предотвращение злоупотреблений | Законный интерес — ст. 6(1)(f) |
Мы не продаём ваши данные и не используем их для поведенческой рекламы. Все решения по заполнению форм требуют проверки человеком; полностью автоматизированных решений, порождающих юридические последствия (ст. 22 GDPR), мы не принимаем.
4. Сроки хранения данных
| Категория | Срок | Примечание |
|---|---|---|
| Профиль пользователя (имя, email, аккаунт) | До удаления аккаунта | Хранится, пока активен аккаунт |
| Загруженные файлы | 14 дней с момента загрузки | Автоматическое удаление |
| Извлечённые данные, профили анкет, данные страниц | 1 год | Автоматическое удаление по расписанию |
| Данные массового импорта (таблицы) | 1 год | Удаляются вместе с данными анкеты |
| Ответ на секретный вопрос | До удаления анкеты или аккаунта, но не дольше 1 года | Удаляется вместе с данными анкеты |
| Телеметрия качества (флаги без значений полей) | Хранится, пока существует аккаунт; обезличивается при удалении | Значений полей не содержит; при удалении анкеты или аккаунта связь с вами перестаёт существовать (раздел 9) |
| Одноразовые коды входа | 10 минут или до успешного входа | Хранится только хеш |
| Счётчики частоты запросов | до 24 часов | Служебные записи |
| Записи о согласиях | Срок действия аккаунта + срок исковой давности | Доказательство согласия (ст. 7(1) GDPR) |
| Платёжные записи и счета | 6 лет (Código de Comercio, ст. 30) | Правовая обязанность; не удаляются по запросу до истечения срока |
Особенности по продуктам
Chrome Extension: загруженный файл — 14 дней; результаты заполнения — 1 год.
DS-160 Desktop App: данные анкеты — 1 год. По тарифу BUSINESS срок хранения согласуется индивидуально и может быть бессрочным — в этом случае данные хранятся до удаления анкеты или аккаунта. При ручном удалении анкеты все относящиеся к ней персональные данные, включая ответ на секретный вопрос и данные страниц, уничтожаются без неоправданной задержки; для статистики остаётся запись без персональных данных.
PDF Goat: рабочая сессия — 24 часа; история заполнений — 1 год.
Устаревшие данные документов удаляются автоматически по расписанию. Профиль пользователя и платёжные записи этим процессом не затрагиваются.
5. Получатели данных и процессоры
Для оказания Сервиса мы привлекаем процессоров — поставщиков услуг, обрабатывающих данные по нашему поручению (в сценарии раздела 2.5, где мы действуем как ваш процессор, они являются субпроцессорами). С каждым заключён либо принят договор об обработке данных (ст. 28 GDPR). Ниже раскрыты категории получателей — поимённо названы те, с которыми вы взаимодействуете напрямую.
| Категория получателя | Регион |
|---|---|
| Хостинг приложения и база данных | ЕС (Нидерланды) |
| Распознавание документов (OCR) и AI-извлечение данных | США |
| Приём платежей — Stripe | США |
| Доставка электронной почты, включая коды входа | США |
| Защита сайта и доставка контента (CDN) | Глобальная сеть |
| Магазины приложений — Microsoft Store, Chrome Web Store | США |
| Веб-аналитика — Google Analytics · согласие на cookie — iubenda (только после согласия) | США · ЕС |
Содержимое загруженных документов получают только поставщики OCR и AI, хостинг и база данных; остальные категории его не получают. Состав поставщиков OCR и AI может меняться — требования к ним и гарантии передачи по разделу 6 остаются те же.
Полный актуальный список поставщиков предоставляется по запросу на [email protected], а бизнес-пользователям — в составе DPA вместе с порядком уведомления о смене субпроцессора.
6. Международная передача данных
Хостинг и база данных находятся в ЕС (Нидерланды) — передача за пределы ЕС/ЕЭЗ для них не производится. Поставщики OCR и AI, приёма платежей, доставки почты и CDN обрабатывают данные в США или за пределами ЕС/ЕЭЗ. При такой передаче мы обеспечиваем гарантии Главы V GDPR: стандартные договорные положения (SCC), утверждённые Европейской комиссией, и/или сертификацию получателя в рамках EU-U.S. Data Privacy Framework (DPF). Копию гарантий и перечень получателей можно запросить на [email protected].
7. Безопасность
Мы применяем соответствующие технические и организационные меры защиты в соответствии со ст. 32 GDPR:
- шифрование при передаче — HTTPS / TLS на всех соединениях;
- шифрование при хранении на уровне инфраструктуры — управляемые базы данных и дисковые тома шифруются поставщиком инфраструктуры;
- авторизация через OAuth 2.0 / OpenID Connect и одноразовые коды — мы не получаем и не храним ваш пароль; одноразовые коды хранятся только в виде хеша;
- защищённые токены авторизации и проверка владельца данных при каждом запросе;
- изоляция данных пользователей;
- ограничение частоты запросов и защита от автоматизированных злоупотреблений;
- минимизация: телеметрия качества не содержит значений полей, журнал приложения не покидает устройство.
Ни одна система не обеспечивает абсолютной безопасности. В случае нарушения, влекущего риск для ваших прав, мы уведомим надзорный орган в течение 72 часов (ст. 33) и, при высоком риске, вас (ст. 34). Для субъектов данных в Индии применяется порядок раздела 13.
8. Ваши права (GDPR)
- Доступ (ст. 15) — запросить копию данных.
- Исправление (ст. 16) — исправить неточности.
- Удаление (ст. 17) — удалить данные; право не абсолютно — платёжные записи хранятся в силу правовой обязанности.
- Ограничение обработки (ст. 18).
- Переносимость (ст. 20) — получить данные в машиночитаемом формате.
- Возражение (ст. 21) против обработки на основании законного интереса.
- Отзыв согласия (ст. 7(3)) — в любой момент, без влияния на законность прошлой обработки.
Для реализации прав: [email protected]. Ответ в течение 30 дней.
Право на жалобу. Вы вправе подать жалобу в надзорный орган по защите данных (ст. 77 GDPR) — в стране вашего проживания или в стране учреждения контролёра. Надзорный орган контролёра: Agencia Española de Protección de Datos (AEPD), www.aepd.es.
9. Удаление аккаунта
Как удалить: через настройки приложения или письмом на [email protected].
Удаляется: имя, email, все загруженные файлы, извлечённые данные, профили и данные анкет всех продуктов, включая ответ на секретный вопрос, — в течение 14 дней с момента запроса. Остаточные копии в резервных хранилищах удаляются в ходе штатной ротации. Отдельные процессоры могут хранить данные в течение собственных ограниченных сроков в соответствии с их условиями, на которые мы не всегда можем повлиять.
Сохраняется: платёжные записи (на срок налогового хранения, раздел 4) и записи о полученных согласиях как доказательство их получения — без содержимого ваших документов.
Учётные записи для статистики. Мы ведём учёт объёма выполненной работы — сколько анкет было обработано, какие модели применялись, метрики качества заполнения. При удалении данных такие записи не удаляются, а обезличиваются: персональные поля обнуляются, а сама запись остаётся без содержимого ваших документов и без данных, позволяющих вас идентифицировать. Правовое основание — законный интерес в ведении учёта и контроле качества (ст. 6(1)(f) GDPR), как описано в разделе 2.6; вы вправе возразить против такой обработки (ст. 21 GDPR).
10. Несовершеннолетние
Владельцем аккаунта должно быть лицо, достигшее 18 лет (или возраста совершеннолетия в вашей юрисдикции). Сервис может использоваться для обработки данных несовершеннолетних, когда владелец аккаунта действует как их законный представитель (например, при заполнении визовой анкеты на ребёнка). Мы сознательно не создаём аккаунты для несовершеннолетних, не отслеживаем поведение детей и не показываем им целевую рекламу.
11. Изменения Политики
При существенных изменениях уведомим по email не менее чем за 14 дней. Предыдущие версии хранятся в репозитории документации.
Настоящая Политика может быть переведена на другие языки для удобства. При расхождениях преимущественную силу имеет английская версия, за исключением случаев, когда императивные нормы требуют толкования на языке субъекта данных.
12. Контакты
[email protected]
Почтовый адрес: предоставляется по запросу.
13. Глобальный стандарт и региональные особенности
13.1. Единый стандарт. Мы применяем один стандарт защиты персональных данных ко всем пользователям, независимо от страны их нахождения. За основу взят GDPR: правовые основания обработки, права субъектов, сроки хранения, требования к процессорам и гарантии передачи из разделов 2–12 действуют для всех. Если императивные нормы страны вашего проживания дают вам больше прав или более короткие сроки, применяются они.
13.2. Роли. В разных правопорядках наша роль называется по-разному — контролёр, Data Fiduciary, controlador, responsable, собственник или оператор базы персональных данных. Распределение обязанностей от этого не меняется: в отношении данных вашего аккаунта контролёром выступаем мы, а в отношении данных ваших клиентов, которые вы загружаете (раздел 2.5), — вы, и мы обрабатываем их по вашему поручению.
13.3. Куда обращаться. Сначала — на [email protected]; мы отвечаем в срок не более 30 дней. Если ответ вас не удовлетворил, вы вправе обратиться в надзорный орган своей юрисдикции, если он предусмотрен местным правом. Надзорный орган контролёра — Agencia Española de Protección de Datos (AEPD), Испания, www.aepd.es; находясь в ЕС/ЕЭЗ, вы можете обратиться и в орган страны своего проживания.
13.4. Региональные особенности. Отдельные правопорядки добавляют к базовому стандарту следующее.
- Индия (Digital Personal Data Protection Act, 2023) — право получить сводку обрабатываемых данных и сведения о получателях, а также назначить другое лицо для реализации ваших прав в случае смерти или недееспособности; жалобы — через контакт выше, далее в Data Protection Board of India; по запросу мы предоставим настоящую Политику на любом языке, указанном в Восьмом приложении к Конституции Индии.
- Латинская Америка — в Бразилии (LGPD) вы вправе запросить пересмотр решения, принятого исключительно автоматизированной обработкой: таких решений в Сервисе нет, итоговые значения проверяет человек (раздел 3), но запрос мы рассмотрим и дадим объяснение. В Мексике настоящая Политика выполняет функцию aviso de privacidad, а права ARCO — доступ, исправление, отмена, возражение — реализуются через тот же контакт.
- Казахстан — обработка выполняется на основании вашего согласия в форме, предусмотренной местным законодательством. Законодательство республики устанавливает требования к месту хранения персональных данных; до того как мы предложим Сервис на условиях, соответствующих этим требованиям, вы соглашаетесь на обработку и хранение данных на серверах, указанных в разделах 5 и 6.
13.5. Иные страны. Если законодательство страны вашего проживания предоставляет права, не перечисленные выше, вы вправе воспользоваться ими, обратившись на [email protected]. Мы применяем базовый стандарт 13.1 и соблюдаем императивные нормы, применимые к обработке ваших данных.