Политика конфиденциальности FormGoat
Основной версией настоящего документа является английская. Русский текст предоставляется для удобства; при расхождениях преимущественную силу имеет английская версия (раздел 11).
1. Контролёр данных
Контролёром персональных данных («контролёр», «мы», «нас») является:
Pavel Kanakhistov — индивидуальный предприниматель (autónomo)
NIF: Z1825610J
Страна учреждения: Испания
Почтовый адрес: предоставляется по запросу (контакт ниже)
Контакт по вопросам конфиденциальности, реализации прав и жалоб: [email protected]. Этот адрес служит единой точкой обращения по всем режимам защиты данных, применимым к Сервису (раздел 13).
Представитель в ЕС (ст. 27 GDPR) не требуется — контролёр учреждён в ЕС (Испания).
2. Какие данные мы собираем
2.1. Профиль пользователя и вход в аккаунт
- Имя и адрес электронной почты — из Google при авторизации через Google.
- Идентификатор аккаунта Google.
- Sign in with Apple (мобильное приложение): идентификатор пользователя Apple и имя и адрес электронной почты, которые Apple передает нам. Если вы выберете скрыть свой адрес электронной почты, Apple предоставит нам адрес для пересылки (…@privaterelay.appleid.com) вместо вашего реального.
- Вход по одноразовому коду на email. Если вы входите по коду, мы сохраняем ваш адрес электронной почты, криптографический хеш кода (сам код в открытом виде не хранится), срок его действия — 10 минут — и счётчик попыток ввода. Запись удаляется сразу после успешного входа или по истечении срока.
- Служебные записи защиты от злоупотреблений: счётчики частоты запросов кода, привязанные к адресу и к сервису в целом.
- Откуда вы пришли. Если вы разрешили аналитические cookie, при создании аккаунта на сайте мы сохраняем метки кампании (
utm_source,utm_medium,utm_campaign,utm_term,utm_content) ссылки, по которой вы впервые пришли на сайт, страницу, на которую вы попали, и дату. Так мы видим, какие каналы приводят пользователей. Без этого согласия метки не читаются и не сохраняются. - Дата регистрации, тарифный план, остаток баланса.
Пароль мы не получаем и не храним ни при одном способе входа.
2.2. Данные подписки и транзакций
- Тарифный план, история платежей, счета.
- Обработку платежей выполняет Stripe; данные банковской карты к нам не поступают и у нас не хранятся. Мы получаем от Stripe идентификатор клиента, статус подписки и данные счёта.
- Покупки в мобильном приложении осуществляются через Google Play или Apple App Store; ваши платежные данные не поступают к нам. От магазина мы получаем токен покупки или идентификатор транзакции, информацию о продукте, статусе подписки и её сроке действия — при совершении покупки и впоследствии через уведомления от сервера магазина (обновление, отмена, возврат).
- Чаевые за FG: Audiobook Maker (раздел 2.10), оплаченные на formgoat.ai, обрабатывает Stripe; данные банковской карты к нам не поступают. От Stripe мы получаем ваш адрес электронной почты, сумму, вид чаевых (разовые или ежемесячные), идентификатор клиента и статус платежа. Аккаунт FormGoat для чаевых не создаётся. Чаевые в версии приложения из Mac App Store обрабатывает Apple, которая не передаёт нам сведения о вашей личности.
2.3. Данные документов и анкет
Загружаемые вами документы (паспорта, опросники, справки, брони, предыдущие анкеты и т. п.) обрабатываются с помощью OCR и AI для извлечения данных. В связи с оказанием Сервиса мы обрабатываем:
- загруженные файлы — до их автоматического удаления (раздел 4);
- извлечённый профиль — структурированные данные, полученные из документов;
- данные по страницам анкеты — какие поля заполнены и какими значениями;
- данные массового импорта — при загрузке сводной таблицы (Excel / CSV) мы сохраняем исходные пары «название поля — значение» по каждому человеку, чтобы использовать их при заполнении анкеты. Один такой файл, как правило, содержит данные многих лиц (раздел 2.5);
- ответ на секретный вопрос DS-160 — если вы его сохраняете или его вводит в форму расширение DS-160 Chrome Extension, мы храним его на сервере вместе с анкетой, чтобы он был доступен вам с любого устройства и подставлялся при заполнении. Этот ответ необходим для восстановления анкеты на
ceac.state.gov; обращайтесь с ним как с реквизитом доступа. Хранение и удаление — по правилам раздела 4; - сведения об источнике каждого значения — из какого документа оно получено.
2.4. Специальные категории данных (ст. 9 GDPR)
Документы для заполнения визовых и иных официальных форм могут содержать специальные категории персональных данных — в частности, данные, раскрывающие расовое или этническое происхождение (гражданство, место рождения, имя в национальном алфавите), а в отдельных случаях биометрические данные (фотографии в документах).
Мы обрабатываем такие данные исключительно на основании вашего явного согласия (ст. 9(2)(a) GDPR), которое вы предоставляете при загрузке документов. Вы можете отозвать согласие в любой момент, удалив соответствующие данные или аккаунт; отзыв не затрагивает законность обработки до отзыва.
2.5. Данные третьих лиц и работа через агентство
Вы можете загружать документы, содержащие данные других лиц — родственников или клиентов, если вы используете Сервис как агент, миграционный или иной представитель, в том числе при массовом импорте сводной таблицы. В этом случае вы выступаете контролёром в отношении таких данных и гарантируете, что имеете законное основание на их обработку: являетесь субъектом данных, его законным представителем либо получили его явное согласие (включая согласие на специальные категории данных по ст. 9 GDPR).
Мы обрабатываем такие данные как процессор по вашему поручению исключительно в целях оказания услуг, за которыми вы обращаетесь к FormGoat. Договор об обработке данных (DPA) для бизнес-пользователей предоставляется по запросу. В терминах индийского законодательства о защите данных в этом сценарии вы являетесь Data Fiduciary, а мы — Data Processor.
2.6. Улучшение качества сервиса
Мы можем использовать данные, обработанные в ходе оказания Сервиса, для улучшения качества наших алгоритмов и сервиса в целом, включая разработку и обучение наших моделей.
Для этих целей мы используем данные в обезличенном виде: перед использованием из них удаляются идентифицирующие элементы (имена, номера документов, даты рождения, адреса и иные прямые идентификаторы). В той мере, в какой такие данные являются анонимными, они не подпадают под действие GDPR. В остальной части мы опираемся на законный интерес (ст. 6(1)(f) GDPR) — совершенствование Сервиса — и применяем технические и организационные меры минимизации данных. Вы вправе возразить против такой обработки (ст. 21 GDPR), написав нам.
2.7. Телеметрия качества заполнения
Чтобы понимать, где алгоритм ошибается, мы фиксируем по каждому заполненному полю только факт: было ли предложено значение и изменил ли его пользователь, а также уверенность модели, источник значения и идентификатор страницы анкеты.
Значения полей в телеметрию не попадают — ни предложенные, ни исправленные. Отдельно фиксируется факт, что приложение DS-160 или расширение DS-160 Chrome Extension встретило незнакомую структуру страницы, чтобы мы могли выпустить поддержку изменённой формы.
Журнал сетевых запросов в приложении DS-160 ведётся только в памяти устройства и служит для самодиагностики; на сервер он не передаётся. Вы можете скопировать его и прислать нам сами при обращении в поддержку — в этом случае вы контролируете, что именно отправляете.
Правовое основание — законный интерес (ст. 6(1)(f) GDPR) в обеспечении работоспособности и качества Сервиса.
2.8. Мобильное приложение
- Файлы и фотографии. Приложение отправляет на сервер только те файлы и фотографии, которые вы выбираете или делаете для конкретного заполнения. Оно использует системные инструменты для выбора файлов и фотографий и не запрашивает доступ ко всей вашей библиотеке фотографий. Исходные файлы удаляются с сервера сразу после завершения обработки; заполненный документ и рабочая сессия сохраняются в течение периодов, указанных в разделе 4.
- История заполнений — название формы, дата, количество полей и ссылка на заполненный документ — хранится до тех пор, пока вы не удалите запись или свой аккаунт.
- На устройстве приложение сохраняет ваш токен в защищённом хранилище Android Keystore / iOS Keychain и документы, которые вы скачиваете, в своей собственной папке. Когда вы выходите из своего аккаунта или удаляете его, то токен и документы удаляются с устройства. Удаление приложения удаляет документы. На Android это также удаляет токен. В iOS система сохраняет токен в Keychain даже после удаления приложения. Если вы установите приложение снова, то автоматически войдёте в свой аккаунт. Чтобы удалить токен, выйдите из своего аккаунта перед удалением приложения.
- Аналитика приложения. В приложении используется Google Analytics for Firebase, сервис Google, с помощью которого мы считаем установки приложения и оцениваем эффективность нашей рекламы приложения (Google Ads). Он фиксирует события использования — например, первый запуск после установки, сеансы, время, проведённое в приложении, покупки внутри приложения (план и цена), обновления и удаление приложения — вместе с моделью устройства, версиями операционной системы и приложения, языком, приблизительным местоположением (страна, регион, город), полученным на основе IP-адреса, а также, на Android, источником установки, указанным в Google Play. Мы не передаём в него ваше имя, адрес электронной почты, идентификатор учётной записи или любую информацию из ваших документов.
- Идентификаторы — только с согласия. Без вашего согласия эти события передаются без идентификатора экземпляра приложения и без рекламного идентификатора (рекламный идентификатор Android), и не связываются с вами или с вашим устройством. Идентификаторы используются только если вы дадите на это согласие в приложении; когда приложение запрашивает ваше согласие, вы можете отозвать его в любое время в настройках приложения.
- Приложение не получает доступа к местоположению вашего устройства (GPS), не устанавливает файлы cookie и не показывает рекламу.
2.9. DS-160 Chrome Extension
- Где работает. Расширение работает только на страницах формы DS-160 на сайте
ceac.state.govи с нашим серверомformgoat.ai. На странице формы оно считывает поля, чтобы заполнить их данными из вашего профиля анкеты, и проверяет, были ли они заполнены. Оно не считывает данные с других сайтов и не собирает историю ваших посещений. - Что уходит на сервер: документы, которые вы загружаете, — для распознавания и извлечения данных (раздел 2.3); после обработки они не хранятся на сервере, сохраняются только извлечённые из них данные; данные страниц анкеты; номер, который
ceac.state.govприсваивает вашей анкете, и ответ на секретный вопрос, который расширение вводит в форму (раздел 2.3); факт, что страница формы имеет незнакомую структуру (раздел 2.7). С запросами данных аккаунта расширение также передаёт часовой пояс вашего устройства и список языков, заданных в браузере: они используются для определения региона аккаунта (раздел 2.11) и не хранятся. - На устройстве. В хранилище браузера расширение сохраняет ваш токен входа, адрес электронной почты, с которым вы в последний раз входили, номер анкеты и ответ на секретный вопрос — в зашифрованном виде (AES-GCM) с ключом, который нельзя извлечь из браузера, — а также настройки языка и темы и запись о вашем согласии. Оно также сохраняет зашифрованную копию загруженных вами документов, чтобы они могли отображаться рядом с формой, когда вы к ней вернётесь; эта копия никуда не отправляется.
- Удаление с устройства. Выход из аккаунта удаляет токен входа, ответы на секретные вопросы и другую информацию об аккаунте, хранящуюся в расширении; настройки языка и темы остаются. Копия документов сохраняется после выхода из аккаунта: она удаляется при удалении анкеты в расширении или при удалении вашего аккаунта. Удаление расширения из браузера удаляет все его данные с вашего устройства.
- Расширение не устанавливает файлы cookie, не содержит аналитики и не показывает рекламу.
2.10. FG: Audiobook Maker
- Всё происходит на вашем Mac. Приложение читает выбранные вами аудиофайлы, папки и изображения и записывает готовую аудиокнигу в папку, указанную в его настройках. Эти файлы и их содержимое (включая названия, авторов и другие теги) обрабатываются только на вашем устройстве: они не передаются ни нам, ни кому-либо ещё. Аккаунт для работы приложения не нужен.
- На вашем устройстве приложение хранит свои настройки (папку сохранения, параметры звука, медиатеку, в которую добавлять книги), отметку о том, что на этом Mac были оплачены чаевые (чтобы показать кнопку управления платежами), и журнал работы, в котором могут быть имена и пути обработанных файлов. Всё это остаётся в собственном хранилище приложения на вашем Mac и удаляется вместе с данными приложения.
- «Книги» и «Музыка». Если вы выбрали это в настройках, приложение передаёт готовую аудиокнигу в приложение «Книги» или «Музыка» на вашем Mac. Дальнейшее обращение с ней в этих приложениях регулируется условиями Apple.
- Сеть. Приложение не обращается к нашим серверам. Кнопки в приложении открывают страницы formgoat.ai в вашем браузере — наш сайт, страницу чаевых и страницу управления платежами, — и на них действуют правила сайта (раздел 2.2, cookie). После оплаты чаевых страница благодарности открывает приложение по ссылке, которая не содержит персональных данных. В версии из Mac App Store приложение подключается к App Store только для показа и оплаты чаевых.
- Приложение не устанавливает cookie, не содержит аналитики и не показывает рекламу.
2.11. Регион аккаунта
Цены и способы оплаты могут различаться по регионам. Чтобы определить, какие из них применимы к вам, аккаунту присваивается регион: Индия или все остальные страны. На заполнение форм регион не влияет — он определяет только то, какие цены и способы оплаты мы вам предлагаем.
- Как определяется. При первом использовании DS-160 Chrome Extension после входа мы смотрим на три признака: страну вашего IP-адреса — её мы определяем на своём сервере по локально хранящейся базе (IP Geolocation by DB-IP), никому не передавая ваш IP-адрес; часовой пояс вашего устройства; языки, заданные в браузере. Если на Индию указывают два признака из трёх, регион аккаунта — Индия.
- Анкеты. Регион аккаунта становится Индией и в том случае, если три или более анкеты, списанные с баланса аккаунта, оформлены на заявителей, чей домашний адрес по данным, извлечённым из документов (раздел 2.3), находится в Индии.
- Что хранится: регион, способ его определения, страна вашего IP-адреса на тот момент, какие из трёх признаков совпали, и число таких анкет. Ваш IP-адрес, часовой пояс и список языков для этой цели не хранятся.
- Если регион определён неверно, напишите на [email protected]: мы проверим его и исправим вручную.
3. Правовые основания обработки (ст. 6 и ст. 9 GDPR)
| Категория данных | Цель | Правовое основание |
|---|---|---|
| Профиль аккаунта | Аутентификация, ведение учётной записи | Исполнение договора — ст. 6(1)(b) |
| Одноразовые коды входа (хеш) | Проверка владения адресом при входе | Исполнение договора — ст. 6(1)(b) |
| Счётчики частоты запросов | Защита от злоупотреблений и рассылки кодов на чужие адреса | Законный интерес — ст. 6(1)(f) |
| Подписка и баланс | Управление тарифом, биллинг | Исполнение договора — ст. 6(1)(b) |
| Данные о покупках в магазине (мобильное приложение) | Активация и поддержание подписки, приобретенной в Приложении | Исполнение договора — ст. 6(1)(b) |
| Чаевые за FG: Audiobook Maker | Обработка вашего платежа и управление ежемесячными чаевыми | Исполнение договора — ст. 6(1)(b) |
| Обычные данные документов и анкет | Заполнение форм по вашему запросу | Исполнение договора — ст. 6(1)(b) |
| Ответ на секретный вопрос | Подстановка в анкету и доступ к ней с любого устройства | Исполнение договора — ст. 6(1)(b) |
| Специальные категории | Заполнение визовых/официальных форм | Явное согласие — ст. 9(2)(a) |
| Телеметрия качества (без значений полей) | Обнаружение ошибок алгоритма и изменений формы | Законный интерес — ст. 6(1)(f) |
| Регион аккаунта (страна IP-адреса, часовой пояс, языки браузера, страна проживания заявителей) | Предложение цен и способов оплаты вашего региона и предотвращение злоупотреблений ими | Законный интерес — ст. 6(1)(f) |
| Обезличенные данные | Улучшение и обучение алгоритмов, качество сервиса | Законный интерес — ст. 6(1)(f); анонимные данные — вне сферы GDPR |
| Платёжные записи | Соблюдение налогового/бухгалтерского права | Правовая обязанность — ст. 6(1)(c) |
| Записи о согласиях | Доказательство согласия | Правовая обязанность — ст. 6(1)(c), ст. 7(1) |
| Аналитика (cookie) | Улучшение Сервиса | Согласие — ст. 6(1)(a) |
| Метки кампании первого захода (сайт) | Понимать, какие каналы приводят пользователей | Согласие — ст. 6(1)(a) |
| Аналитика приложения без идентификаторов (мобильное приложение) | Подсчёт установок, оценка рекламы приложения | Законный интерес — ст. 6(1)(f) |
| Идентификаторы аналитики приложения (мобильное приложение) | То же, данные связаны с устройством | Согласие — ст. 6(1)(a) |
| Разрешение споров, безопасность | Защита прав и предотвращение злоупотреблений | Законный интерес — ст. 6(1)(f) |
Мы не продаём ваши данные и не используем их для поведенческой рекламы. Все решения по заполнению форм требуют проверки человеком; полностью автоматизированных решений, порождающих юридические последствия (ст. 22 GDPR), мы не принимаем.
4. Сроки хранения данных
| Категория | Срок | Примечание |
|---|---|---|
| Профиль пользователя (имя, email, аккаунт) | До удаления аккаунта | Хранится, пока активен аккаунт |
| Загруженные файлы | 14 дней с момента загрузки | Автоматическое удаление |
| Извлечённые данные, профили анкет, данные страниц | 1 год | Автоматическое удаление по расписанию |
| Данные массового импорта (таблицы) | 1 год | Удаляются вместе с данными анкеты |
| Ответ на секретный вопрос | До удаления анкеты или аккаунта, но не дольше 1 года | Удаляется вместе с данными анкеты |
| Телеметрия качества (флаги без значений полей) | Хранится, пока существует аккаунт; обезличивается при удалении | Значений полей не содержит; при удалении анкеты или аккаунта связь с вами перестаёт существовать (раздел 9) |
| Одноразовые коды входа | 10 минут или до успешного входа | Хранится только хеш |
| Счётчики частоты запросов | до 24 часов | Служебные записи |
| Записи о согласиях | Срок действия аккаунта + срок исковой давности | Доказательство согласия (ст. 7(1) GDPR) |
| Регион аккаунта | До удаления аккаунта | Только регион, способ определения, страна IP-адреса и совпавшие признаки (раздел 2.11) |
| Платёжные записи и счета | 6 лет (Código de Comercio, ст. 30) | Правовая обязанность; не удаляются по запросу до истечения срока |
Особенности по продуктам
Chrome Extension: загруженный файл — 14 дней; результаты заполнения — 1 год.
DS-160 Desktop App и DS-160 Chrome Extension: загруженные документы не хранятся на сервере после обработки; данные анкеты — 1 год. По тарифу BUSINESS срок хранения согласуется индивидуально и может быть бессрочным — в этом случае данные хранятся до удаления анкеты или аккаунта. При ручном удалении анкеты все относящиеся к ней персональные данные, включая ответ на секретный вопрос и данные страниц, уничтожаются без неоправданной задержки; для статистики остаётся запись без персональных данных. На вашем устройстве расширение DS-160 Chrome Extension хранит копию документов, пока вы не удалите анкету, свой аккаунт или само расширение, а токен входа — пока вы не выйдете из аккаунта (раздел 2.9).
FormGoat Docs: рабочая сессия — 24 часа; история заполнений — 1 год.
FG: Audiobook Maker: о том, как вы пользуетесь приложением, на наших серверах ничего не хранится; данные на вашем Mac хранятся, пока вы не удалите их или приложение. Записи о чаевых хранятся как платёжные документы (см. таблицу выше).
Мобильное приложение: исходные файлы — удаляются сразу после завершения обработки; рабочая сессия — 24 часа; заполненный документ — 14 дней; история заполнений — до момента удаления записи или вашего аккаунта; события аналитики приложения — Google Analytics хранит не более 14 месяцев.
Устаревшие данные документов удаляются автоматически по расписанию. Профиль пользователя и платёжные записи этим процессом не затрагиваются.
5. Получатели данных и процессоры
Для оказания Сервиса мы привлекаем процессоров — поставщиков услуг, обрабатывающих данные по нашему поручению (в сценарии раздела 2.5, где мы действуем как ваш процессор, они являются субпроцессорами). С каждым заключён либо принят договор об обработке данных (ст. 28 GDPR). Ниже раскрыты категории получателей — поимённо названы те, с которыми вы взаимодействуете напрямую.
| Категория получателя | Регион |
|---|---|
| Хостинг приложения и база данных | ЕС (Нидерланды) |
| Распознавание документов (OCR) и AI-извлечение данных | США |
| Обработка платежей — Stripe; в приложениях из магазинов — Google Play, Apple App Store | США |
| Вход — через Google, Apple (только через выбранный вами метод) | США |
| Доставка электронной почты, включая коды входа | США |
| Защита сайта и доставка контента (CDN) | Глобальная сеть |
| Магазины приложений — Microsoft Store, Chrome Web Store, Google Play, Apple App Store | США |
| Веб-аналитика — Google Analytics · согласие на cookie — iubenda (только после согласия) | США · ЕС |
| Аналитика приложения — Google Analytics for Firebase (идентификаторы — только после согласия) | США |
Содержимое загруженных документов получают только поставщики OCR и AI, хостинг и база данных; остальные категории его не получают. Состав поставщиков OCR и AI может меняться — требования к ним и гарантии передачи по разделу 6 остаются те же.
Полный актуальный список поставщиков предоставляется по запросу на [email protected], а бизнес-пользователям — в составе DPA вместе с порядком уведомления о смене субпроцессора.
6. Международная передача данных
Хостинг и база данных находятся в ЕС (Нидерланды) — передача за пределы ЕС/ЕЭЗ для них не производится. Поставщики OCR и AI, приёма платежей, доставки почты, аналитики и CDN обрабатывают данные в США или за пределами ЕС/ЕЭЗ. При такой передаче мы обеспечиваем гарантии Главы V GDPR: стандартные договорные положения (SCC), утверждённые Европейской комиссией, и/или сертификацию получателя в рамках EU-U.S. Data Privacy Framework (DPF). Копию гарантий и перечень получателей можно запросить на [email protected].
7. Безопасность
Мы применяем соответствующие технические и организационные меры защиты в соответствии со ст. 32 GDPR:
- шифрование при передаче — HTTPS / TLS на всех соединениях;
- шифрование при хранении на уровне инфраструктуры — управляемые базы данных и дисковые тома шифруются поставщиком инфраструктуры;
- авторизация через OAuth 2.0 / OpenID Connect и одноразовые коды — мы не получаем и не храним ваш пароль; одноразовые коды хранятся только в виде хеша;
- защищённые токены авторизации и проверка владельца данных при каждом запросе;
- в мобильном приложении, токен авторизации хранится в защищенном хранилище устройства Android Keystore / iOS Keychain;
- в расширении DS-160 Chrome Extension токен входа, ответы на секретные вопросы и копия документов хранятся на устройстве в зашифрованном виде (AES-GCM) с ключом, который невозможно извлечь из браузера;
- изоляция данных пользователей;
- ограничение частоты запросов и защита от автоматизированных злоупотреблений;
- минимизация: телеметрия качества не содержит значений полей, журнал приложения не покидает устройство.
Ни одна система не обеспечивает абсолютной безопасности. В случае нарушения, влекущего риск для ваших прав, мы уведомим надзорный орган в течение 72 часов (ст. 33) и, при высоком риске, вас (ст. 34). Для субъектов данных в Индии применяется порядок раздела 13.
8. Ваши права (GDPR)
- Доступ (ст. 15) — запросить копию данных.
- Исправление (ст. 16) — исправить неточности.
- Удаление (ст. 17) — удалить данные; право не абсолютно — платёжные записи хранятся в силу правовой обязанности.
- Ограничение обработки (ст. 18).
- Переносимость (ст. 20) — получить данные в машиночитаемом формате.
- Возражение (ст. 21) против обработки на основании законного интереса.
- Отзыв согласия (ст. 7(3)) — в любой момент, без влияния на законность прошлой обработки.
Для реализации прав: [email protected]. Ответ в течение 30 дней.
Право на жалобу. Вы вправе подать жалобу в надзорный орган по защите данных (ст. 77 GDPR) — в стране вашего проживания или в стране учреждения контролёра. Надзорный орган контролёра: Agencia Española de Protección de Datos (AEPD), www.aepd.es.
9. Удаление аккаунта
Как удалить: через настройки в Приложении (в мобильном приложении: Settings → Delete Account), или путем обращения по адресу [email protected]. Пошаговые инструкции: formgoat.ai/delete-account.
Удаление вашего аккаунта не отменяет подписку, приобретенную через Google Play или App Store: отменить её необходимо в магазине (Политика покупок и возврата, раздел 3.2).
Удаляется: имя, email, все загруженные файлы, извлечённые данные, профили и данные анкет всех продуктов, включая ответ на секретный вопрос, и регион аккаунта — в течение 14 дней с момента запроса. Остаточные копии в резервных хранилищах удаляются в ходе штатной ротации. Удаление аккаунта в расширении DS-160 Chrome Extension также удаляет с вашего устройства копии документов, которые хранит расширение (раздел 2.9). Отдельные процессоры могут хранить данные в течение собственных ограниченных сроков в соответствии с их условиями, на которые мы не всегда можем повлиять.
Сохраняется: платёжные записи (на срок налогового хранения, раздел 4) и записи о полученных согласиях как доказательство их получения — без содержимого ваших документов.
Учётные записи для статистики. Мы ведём учёт объёма выполненной работы — сколько анкет было обработано, какие модели применялись, метрики качества заполнения. При удалении данных такие записи не удаляются, а обезличиваются: персональные поля обнуляются, а сама запись остаётся без содержимого ваших документов и без данных, позволяющих вас идентифицировать. Правовое основание — законный интерес в ведении учёта и контроле качества (ст. 6(1)(f) GDPR), как описано в разделе 2.6; вы вправе возразить против такой обработки (ст. 21 GDPR).
10. Несовершеннолетние
Владельцем аккаунта должно быть лицо, достигшее 18 лет (или возраста совершеннолетия в вашей юрисдикции). Сервис может использоваться для обработки данных несовершеннолетних, когда владелец аккаунта действует как их законный представитель (например, при заполнении визовой анкеты на ребёнка). Мы сознательно не создаём аккаунты для несовершеннолетних, не отслеживаем поведение детей и не показываем им целевую рекламу.
11. Изменения Политики
При существенных изменениях уведомим по email не менее чем за 14 дней. Предыдущие версии хранятся в репозитории документации.
Настоящая Политика может быть переведена на другие языки для удобства. При расхождениях преимущественную силу имеет английская версия, за исключением случаев, когда императивные нормы требуют толкования на языке субъекта данных.
12. Контакты
[email protected]
Почтовый адрес: предоставляется по запросу.
13. Глобальный стандарт и региональные особенности
13.1. Единый стандарт. Мы применяем один стандарт защиты персональных данных ко всем пользователям, независимо от страны их нахождения. За основу взят GDPR: правовые основания обработки, права субъектов, сроки хранения, требования к процессорам и гарантии передачи из разделов 2–12 действуют для всех. Если императивные нормы страны вашего проживания дают вам больше прав или более короткие сроки, применяются они.
13.2. Роли. В разных правопорядках наша роль называется по-разному — контролёр, Data Fiduciary, controlador, responsable, собственник или оператор базы персональных данных. Распределение обязанностей от этого не меняется: в отношении данных вашего аккаунта контролёром выступаем мы, а в отношении данных ваших клиентов, которые вы загружаете (раздел 2.5), — вы, и мы обрабатываем их по вашему поручению.
13.3. Куда обращаться. Сначала — на [email protected]; мы отвечаем в срок не более 30 дней. Если ответ вас не удовлетворил, вы вправе обратиться в надзорный орган своей юрисдикции, если он предусмотрен местным правом. Надзорный орган контролёра — Agencia Española de Protección de Datos (AEPD), Испания, www.aepd.es; находясь в ЕС/ЕЭЗ, вы можете обратиться и в орган страны своего проживания.
13.4. Региональные особенности. Отдельные правопорядки добавляют к базовому стандарту следующее.
- Индия (Digital Personal Data Protection Act, 2023) — право получить сводку обрабатываемых данных и сведения о получателях, а также назначить другое лицо для реализации ваших прав в случае смерти или недееспособности; жалобы — через контакт выше, далее в Data Protection Board of India; по запросу мы предоставим настоящую Политику на любом языке, указанном в Восьмом приложении к Конституции Индии.
- Латинская Америка — в Бразилии (LGPD) вы вправе запросить пересмотр решения, принятого исключительно автоматизированной обработкой: таких решений в Сервисе нет, итоговые значения проверяет человек (раздел 3), но запрос мы рассмотрим и дадим объяснение. В Мексике настоящая Политика выполняет функцию aviso de privacidad, а права ARCO — доступ, исправление, отмена, возражение — реализуются через тот же контакт.
- Казахстан — обработка выполняется на основании вашего согласия в форме, предусмотренной местным законодательством. Законодательство республики устанавливает требования к месту хранения персональных данных; до того как мы предложим Сервис на условиях, соответствующих этим требованиям, вы соглашаетесь на обработку и хранение данных на серверах, указанных в разделах 5 и 6.
13.5. Иные страны. Если законодательство страны вашего проживания предоставляет права, не перечисленные выше, вы вправе воспользоваться ими, обратившись на [email protected]. Мы применяем базовый стандарт 13.1 и соблюдаем императивные нормы, применимые к обработке ваших данных.