> ⚠️ **ПЕРЕД ЗАПУСКОМ В ПРОДАКШН — ОБЯЗАТЕЛЬНЫЙ ЧЕКЛИСТ:** > 1. Замените `` → фактический ИНН организации > 2. Замените `` → фактический ОГРН > 3. Замените `` → юридический адрес > 4. Замените `privacy@expertvitte.ru` → реальный e-mail DPO/ответственного за ПДн > 5. Подайте уведомление в РКН (pd.rkn.gov.ru) — обязательно по 152-ФЗ ст.22 > 6. Пройдите юридическую экспертизу политики у специалиста по ПДн > > **Файл не готов к production пока хотя бы один пункт не выполнен.** # Политика конфиденциальности ЭкспертВитте **Дата вступления в силу:** 17 июня 2026 года **Версия:** 2.0 **Оператор:** ООО «ЭкспертВитте» **ИНН:** **ОГРН:** **Юридический адрес:** **Ответственный за обработку ПДн (DPO):** privacy@expertvitte.ru --- ## 1. Общие положения Настоящая Политика конфиденциальности (далее — «Политика») определяет порядок обработки и защиты персональных данных пользователей сервиса «ЭкспертВитте» (далее — «Сервис») оператором ООО «ЭкспертВитте» (далее — «Оператор») в соответствии с: - Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»; - Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите ПДн при их обработке в информационных системах»; - Приказом ФСТЭК России от 18.02.2013 № 21. Пользователь, давая согласие на обработку персональных данных через интерфейс Сервиса, подтверждает ознакомление с настоящей Политикой. --- ## 2. Состав обрабатываемых персональных данных (ст. 9 ч. 4 № 152-ФЗ) В соответствии с ч. 4 ст. 9 Федерального закона № 152-ФЗ Оператор обрабатывает следующие категории персональных данных: | Категория ПДн | Источник | Обязательность | |---|---|---| | ФИО преподавателей и сотрудников, указанные в документах | Загружаемые документы (РПД, учебные планы) | Нет — зависит от содержания документа | | Наименования кафедр, структурных подразделений | Загружаемые документы | Нет | | IP-адрес пользователя | Технические журналы | Да (обеспечение безопасности) | | Тип браузера и ОС (User-Agent) | Технические журналы | Да (обеспечение работы) | | Идентификатор сессии | Сервис | Да (обеспечение функционирования) | Оператор **не собирает** специальные категории ПДн (здоровье, биометрия, религия, политические взгляды и т.п.). --- ## 3. Цели обработки персональных данных Персональные данные обрабатываются исключительно в следующих целях: 1. **Оказание услуг Сервиса** — автоматизированный анализ рабочих программ дисциплин (РПД) на соответствие требованиям ФГОС ВО. 2. **Обеспечение безопасности** — защита от несанкционированного доступа, мошенничества, DoS-атак. 3. **Улучшение качества Сервиса** — обезличенная статистика использования. 4. **Выполнение требований законодательства РФ** — хранение журналов в соответствии с требованиями регуляторов. --- ## 4. Действия при обработке персональных данных Оператор совершает следующие действия с ПДн: **сбор, запись, систематизация, накопление, хранение, уточнение (обновление), использование, передача (в обезличенном виде), блокирование, удаление, уничтожение**. Обработка осуществляется **смешанным способом** (с использованием средств автоматизации и без таковых). --- ## 5. Технология PII Guard — анонимизация до передачи в LLM До передачи текстов на серверы LLM-провайдеров Сервис применяет технологию PII Guard: 1. Все ПДн (ФИО, телефоны, ИНН, СНИЛС, паспортные данные, e-mail) **автоматически заменяются токенами-заглушками** (например: «Иванов Иван Иванович» → «[PERSON_1]»). 2. Токенизированный текст передаётся LLM-провайдеру. 3. Маппинг токенов хранится **только в оперативной памяти** в рамках одного запроса и **уничтожается** по завершении. 4. Результаты анализа де-токенизируются до показа пользователю. **Таким образом, ПДн в исходном виде LLM-провайдерам не передаются.** --- ## 6. Передача персональных данных третьим лицам Для обработки запросов используются российские LLM-провайдеры: | Провайдер | Юрисдикция | Что передаётся | |---|---|---| | ПАО Сбербанк (GigaChat API) | Россия | Обезличенный текст (без ПДн) | | ООО «Яндекс» (YandexGPT API) | Россия | Обезличенный текст (без ПДн) | **Трансграничная передача персональных данных не осуществляется** (ч. 5 ст. 18 Федерального закона № 152-ФЗ). Оператор **не продаёт** ПДн третьим лицам и не передаёт их в рекламных целях. --- ## 7. Сроки хранения персональных данных | Категория данных | Срок хранения | Основание | |---|---|---| | Загруженные документы и данные сессии | **30 дней** с момента последней активности | Договор об оказании услуг | | IP-адреса и журналы доступа | **1 год** | Требования законодательства по информационной безопасности | | Данные о согласиях пользователей | **3 года** с момента отзыва | Ч. 3 ст. 9 № 152-ФЗ | По истечении срока хранения данные **уничтожаются** в порядке, установленном Оператором. --- ## 8. Меры по защите персональных данных В соответствии с Постановлением Правительства РФ № 1119 (УЗ-3) приняты следующие меры: - **Анонимизация (PII Guard):** ПДн заменяются токенами до передачи во внешние системы. - **Шифрование канала:** HTTPS/TLS 1.2+ для всех соединений. - **Хранение токен-маппинга:** исключительно в RAM, уничтожается после каждого запроса. - **Разграничение доступа:** загруженные файлы доступны только в рамках сессии. - **Валидация входных данных:** защита от инъекций и path traversal атак. - **Журналирование событий безопасности:** фиксация попыток несанкционированного доступа. - **Ограничение сессий:** автоматическое удаление данных по истечении SESSION_TTL_DAYS. --- ## 9. Права субъектов персональных данных В соответствии с гл. 3 Федерального закона № 152-ФЗ пользователь имеет право: - **Получить информацию** об обрабатываемых ПДн (ст. 14). - **Требовать уточнения** ПДн при их неактуальности (ст. 21). - **Требовать блокирования или уничтожения** ПДн (ст. 21). - **Отозвать согласие** на обработку ПДн в любое время (ст. 9 ч. 2). - **Обжаловать действия Оператора** в Роскомнадзор (rkn.gov.ru) или в судебном порядке. Для реализации прав направьте запрос на privacy@expertvitte.ru с указанием ФИО и контактных данных. Срок ответа — **30 дней**. --- ## 10. Согласие на обработку персональных данных Согласие предоставляется пользователем путём проставления соответствующей отметки (checkbox) в интерфейсе Сервиса перед загрузкой документов. Согласие может быть отозвано в любое время путём направления заявления на privacy@expertvitte.ru. После отзыва согласия данные уничтожаются в течение **30 дней**. --- ## 11. Уведомление Роскомнадзора (L-03) Оператор обязан подать уведомление об обработке персональных данных в Роскомнадзор по адресу: **pd.rkn.gov.ru/operators-registry/operators-list/add/** до начала коммерческой обработки ПДн пользователей. --- ## 12. Изменение Политики Оператор вправе вносить изменения в настоящую Политику. Актуальная версия размещена на Сервисе. При существенных изменениях пользователи уведомляются через интерфейс Сервиса. --- ## 13. Контактные данные | | | |---|---| | **Оператор** | ООО «ЭкспертВитте» | | **ИНН** | | | **Юридический адрес** | | | **E-mail DPO** | privacy@expertvitte.ru | | **Телефон** | | | **Роскомнадзор** | rkn.gov.ru |