Согласие на обработку персональных данных

Сведения об Операторе (общие для всех согласий)

Оператор: Смирнова Юлия Александровна, самозанятый (плательщик налога на профессиональный доход) ИНН: 772326022991 Адрес: г. Москва Email для обращений по персональным данным: privacy@andish.ru Ответственный за организацию обработки персональных данных (назначен Оператором по собственной инициативе): Смирнова Юлия Александровна

ЧАСТЬ А. Согласие на обработку персональных данных

Полный текст, размещаемый по адресу https://andish.ru/consent.

А.1. Порядок дачи согласия

Согласие даётся пользователем (далее — «Субъект») при регистрации в Сервисе путём проставления отметки. Идентификация Субъекта — по адресу электронной почты, метке времени, IP-адресу и User-Agent, зафиксированным в момент проставления отметки (простая электронная подпись в смысле ст. 9 Федерального закона от 06.04.2011 № 63-ФЗ). Текст согласия доступен до регистрации по адресу https://andish.ru/consent.

А.2. Перечень персональных данных

Субъект даёт согласие на обработку следующих своих данных: адрес электронной почты; хэш пароля (пароль в открытом виде не хранится); фамилия, имя, отчество (при добровольном указании); название организации, должность, название рабочего пространства (при добровольном указании); технические данные (IP-адрес, User-Agent, идентификаторы сессий и cookie); сведения о согласиях (метка времени, IP, User-Agent, версия текста); контент Субъекта (загружаемые документы, тексты запросов, результаты обработки); данные формы обратной связи (текст обращения и контакт — при добровольном указании). Реквизиты юридического лица и сведения о платежах обрабатываются после подключения приёма платежей.

А.3. Цели обработки

Регистрация и аутентификация; предоставление функциональности Сервиса (обработка контента, формирование ответов); обработка обращений через форму обратной связи; информирование о технических работах и изменении условий; обеспечение информационной безопасности; анализ качества Сервиса в обезличенном виде; исполнение обязанностей по законодательству РФ. Использование данных для маркетинговых рассылок — только при отдельном согласии.

А.4. Перечень действий и способы обработки

Субъект даёт согласие на действия в значении ст. 3 ФЗ-152: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ) процессорам в §А.5, блокирование, удаление, уничтожение, обезличивание. Обработка — как с использованием средств автоматизации, так и без.

А.5. Передача персональных данных процессорам

Передача в Google LLC и DeepSeek регулируется отдельно Частью Б как трансграничная — в том числе когда обращение к их моделям идёт через российский шлюз polza.ai.

А.6. Срок действия и порядок отзыва

Согласие действует с момента дачи и до отзыва Субъектом, но не более 5 лет с даты последнего обращения к Сервису. Субъект вправе отозвать согласие в любой момент путём удаления учётной записи в личном кабинете или направления заявления на privacy@andish.ru. Отзыв согласия в части обработки контента прекращает действие договора-оферты, поскольку обработка контента — существенное условие предоставления Сервиса. Отзыв не имеет обратной силы к обработке, уже осуществлённой. После отзыва Оператор прекращает обработку, для которой согласие было единственным основанием, за исключением данных, обрабатываемых на иных правовых основаниях. Порядок и последствия удаления учётной записи описаны в п. 8.1 Политики конфиденциальности.

А.7. Подтверждение информированности

Субъект подтверждает, что ознакомлен с Политикой конфиденциальности; понимает, что обработка данных — необходимое условие предоставления Сервиса; ознакомлен со своими правами по гл. 3 ФЗ-152; понимает порядок обращений к Оператору и в Роскомнадзор.

ЧАСТЬ Б. Согласие на трансграничную передачу персональных данных

Оформляется отдельно в соответствии с ч. 4 ст. 12 ФЗ-152. Без отдельного согласия Сервис не может предоставить функциональность извлечения сущностей и генерации ответов зарубежными AI-моделями на базовом тарифе.

Б.1. Иностранные получатели

• Google LLC — Соединённые Штаты Америки; обработка фрагментов контента моделью Gemini для извлечения сущностей. Государство не включено в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных (приказ Роскомнадзора от 05.08.2022 № 128).
• Hangzhou DeepSeek Artificial Intelligence Co., Ltd. — Китайская Народная Республика; обработка фрагментов контента моделью DeepSeek для формирования ответов. Государство включено в перечень, утверждённый приказом Роскомнадзора от 05.08.2022 № 128.

Обращения к указанным моделям Оператор направляет через привлечённого им российского посредника — шлюз polza.ai (Часть А, раздел А.5). Наличие посредника на территории Российской Федерации не изменяет характера передачи: конечную обработку контента выполняют модели иностранных правообладателей, поэтому Оператор оформляет такую передачу как трансграничную.

Б.2. Категории передаваемых данных

Передаются: фрагменты загружаемых документов (chunks); тексты пользовательских запросов; агрегированный контекст из графа знаний для формирования ответа. Не передаются трансгранично: email, хэш пароля, ФИО, наименование организации, реквизиты, данные о платежах, IP-адрес и иные технические идентификаторы, контакт из формы обратной связи.

Б.3. Цели трансграничной передачи

Извлечение именованных сущностей и связей (передача в Google LLC через шлюз polza.ai); формирование ответов на запросы (передача в DeepSeek через шлюз polza.ai); обеспечение функциональности Сервиса. Иные цели (маркетинг, анализ профиля, продажа данных) исключены.

Б.4. Информированность о правовом режиме государств-получателей

Субъект информирован и подтверждает, что:

• Соединённые Штаты Америки не включены в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных (приказ Роскомнадзора от 05.08.2022 № 128);
• Китайская Народная Республика в этот перечень включена;
• включение государства в перечень не означает, что в нём действует тот же правовой режим, что в Российской Федерации: и в США, и в КНР могут применяться правила доступа государственных органов к данным, отличающиеся от российских;
• Оператор передаёт данные по защищённому каналу (TLS 1.3), только фрагментами, без идентификаторов Субъекта, с отказом от использования переданных данных для обучения моделей в пределах технической возможности;
• Оператор не может гарантировать тот же уровень защиты данных, что установлен российским законодательством, и Субъект сознательно соглашается на такую передачу.

Перечень государств утверждается Роскомнадзором и может меняться. Действующая редакция перечня приводится в §7.2.1 Политики конфиденциальности.

Б.5. Срок действия и порядок отзыва

Согласие действует с момента дачи и до отзыва, но не более 5 лет с даты последнего обращения к Сервису. Субъект вправе отозвать согласие на трансграничную передачу, не отзывая Часть А; в этом случае Сервис прекращает операции, требующие трансграничной передачи (обработка новых документов, формирование ответов зарубежными моделями), при сохранении доступа к ранее обработанному контенту. Отзыв не имеет обратной силы к уже переданным данным.

Отозвать или уничтожить фрагменты, ранее переданные иностранным получателям, Оператор технически не может и такого обязательства на себя не принимает. То же относится к удалению документа или учётной записи: удаление закрывает доступ к данным в Сервисе, но не затрагивает то, что ушло раньше. Удаление учётной записи необратимо — email и хэш пароля стираются сразу, периода восстановления нет (§8.1 Политики конфиденциальности).

Б.6. Уведомление Роскомнадзора

Оператор направляет в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу персональных данных до начала такой передачи (ч. 3 ст. 12 ФЗ-152). Передачу в государства, включённые в перечень (Б.4), Оператор вправе вести после направления уведомления (ч. 10 ст. 12 ФЗ-152); передачу в государства, не включённые в перечень, — не ранее истечения десяти рабочих дней рассмотрения уведомления (ч. 9 и ч. 11 ст. 12 ФЗ-152).

Реквизиты направленных уведомлений:

• уведомление об обработке персональных данных (ст. 22 ФЗ-152): [дата направления], [регистрационный номер записи в реестре операторов];
• уведомление о намерении осуществлять трансграничную передачу (ч. 3 ст. 12 ФЗ-152): [дата направления], [номер (код) уведомления].

ЧАСТЬ В. Подтверждение об отсутствии намерения загружать ПДн третьих лиц

Отдельное волеизъявление Пользователя (соответствует живой галке agreed_no_pdn). Часть В — договорное обязательство, а не согласие в смысле ст. 9 ФЗ-152; она снижает применимый штраф через институт вины потерпевшего и фиксирует основание для мер по разделу 4.5 Пользовательского соглашения.

В.1. Содержание

Проставляя отдельную отметку, Субъект подтверждает: «Я не буду загружать в Andish персональные данные третьих лиц без их согласия. Я понимаю, что Andish предназначен для управления технической документацией и знаниями, а не для хранения персональных данных третьих лиц. Я понимаю, что тариф или опция без обращения к языковым моделям иностранных правообладателей Оператором не предоставляется. Если мне потребуется обрабатывать персональные данные третьих лиц — я напишу Оператору на support@andish.ru и буду обсуждать условия отдельно.»

В.2. Обязательства Субъекта

Не загружать в Сервис ПДн третьих лиц без правовых оснований (ст. 6 ФЗ-152); не загружать специальные категории ПДн, биометрию, данные несовершеннолетних, сведения о судимости; при инцидентном упоминании — обеспечить основание обработки; при обнаружении нарушения — в срок не позднее 3 рабочих дней удалить контент и уведомить Оператора. Нарушение влечёт последствия по разделу 4.5 Пользовательского соглашения, включая регрессивную компенсацию штрафов Роскомнадзора (п. 4.5.4).

Приглашая коллегу в рабочее пространство, Субъект сам указывает его рабочий адрес электронной почты и подтверждает, что вправе это сделать. Обязательство «не загружать персональные данные третьих лиц» на такое указание не распространяется. Причина: порядок обработки адреса приглашённого лица прямо описан в п. 3.1.7 Политики конфиденциальности и в п. 5.3.7 Договора-оферты.

В.3. Сохранение статуса оператора

Часть В не освобождает Оператора от обязанностей оператора персональных данных по ФЗ-152 — Оператор применяет меры защиты по Политике конфиденциальности вне зависимости от данного подтверждения.

Подписание в электронной форме

Проставление отметок в форме приравнивается к простой электронной подписи (ст. 9 Федерального закона от 06.04.2011 № 63-ФЗ). Идентификация подписавшего — по email, IP-адресу и метке времени, зафиксированным Оператором.

Связанные документы

• Политика конфиденциальности — privacy-policy-beta-final-2026-07-02.md
• Договор-оферта — oferta-beta-final-2026-07-02.md
• Пользовательское соглашение — terms-beta-final-2026-07-02.md
• ADR-018 (модель согласий при регистрации) — docs/technical/decisions.md