Политика в отношении обработки персональных данных

Редакция от 16.07.2026

1. Общие положения

Настоящая Политика в отношении обработки персональных данных (далее - Политика) издана и опубликована в соответствии со статьёй 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее - Закон) и определяет порядок обработки персональных данных и сведения о реализуемых требованиях к их защите.

Оператор персональных данных (далее - Оператор) указан в блоке реквизитов в начале настоящей страницы. Оператору принадлежит сервис Aisello, размещённый по адресу aisello.ru (далее - Сервис): облачная платформа, позволяющая владельцу сайта разместить на нём виджет с ИИ-агентом, который общается с посетителями, собирает заявки и передаёт их владельцу сайта.

Термины «персональные данные», «обработка персональных данных», «оператор», «субъект персональных данных», «блокирование», «обезличивание», «уничтожение» и иные используются в значениях, определённых статьёй 3 Закона.

Политика распространяется на все персональные данные, обрабатываемые Оператором как с использованием средств автоматизации, так и без их использования. Политика не распространяется на содержание сайтов клиентов Оператора и на обработку персональных данных, которую клиенты осуществляют самостоятельно или с привлечением иных лиц.

Обработка персональных данных ведётся на основе принципов законности и справедливости, соответствия целей обработки полномочиям Оператора, соответствия состава и объёма данных заявленным целям, достоверности и достаточности данных, а также ограничения обработки достижением конкретных, заранее определённых и законных целей (статья 5 Закона).

2. Роли Оператора при обработке данных

Оператор выступает в двух различных ролях, и от роли зависит объём его обязанностей:

• оператором персональных данных Оператор является в отношении данных своих клиентов, их работников и представителей, а также лиц, обратившихся через формы сайта aisello.ru;
• лицом, осуществляющим обработку персональных данных по поручению оператора (обработчиком) Оператор является в отношении данных посетителей сайтов клиентов, полученных виджетом. Оператором этих данных выступает клиент, разместивший виджет; он определяет цели обработки, обеспечивает правовое основание и отвечает перед субъектом за действия Оператора (часть 5 статьи 6 Закона). Условия поручения установлены разделом 5 Пользовательского соглашения (оферты) и соответствуют части 3 статьи 6 Закона.

Действуя по поручению клиента, Оператор не обязан получать согласие субъекта персональных данных на обработку его данных, но обязан соблюдать принципы и правила обработки, установленные Законом.

3. Категории субъектов персональных данных и состав обрабатываемых данных

Оператор не обрабатывает специальные категории персональных данных (статья 10 Закона) и биометрические персональные данные (статья 11 Закона). Клиентам запрещено настраивать ИИ-агента на их сбор. Оператор не проверяет содержание диалогов на предмет наличия в них таких сведений и не использует их; при выявлении таких данных они подлежат удалению.

Оператор не осуществляет обработку персональных данных, разрешённых субъектом для распространения (статья 10.1 Закона), и не размещает персональные данные в общедоступных источниках.

4. Цели обработки, правовые основания и сроки

Каждая цель обработки соотнесена ниже с конкретным основанием части 1 статьи 6 Закона и со сроком обработки.

Обработка персональных данных, несовместимая с целями сбора, не допускается. Персональные данные, обрабатываемые для одной цели, не используются для другой без нового правового основания.

5. Способы обработки. Отсутствие автоматизированного принятия решений

Оператор совершает с персональными данными следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

Обработка является смешанной: осуществляется как с использованием средств автоматизации, так и без их использования, с передачей по информационно-телекоммуникационным сетям и без таковой. Распространение персональных данных неограниченному кругу лиц не осуществляется.

В соответствии со статьёй 16 Закона Оператор не принимает решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных. В частности:

• ответы ИИ-агента носят справочно-информационный характер, не являются офертой, не влекут для посетителя юридических последствий и не заменяют решение человека;
• автоматическая пометка обращения как заявки, определение её приоритета и иные подобные операции носят вспомогательный характер; решение о дальнейших действиях принимает работник клиента;
• решения об ограничении доступа к Сервису, приостановлении обслуживания и отказе в заключении договора принимаются с обязательным участием работника Оператора;
• профилирование в целях принятия юридически значимых решений в отношении субъекта не ведётся.

Если субъект полагает, что в отношении него принято решение на основании исключительно автоматизированной обработки, он вправе заявить возражение и потребовать пересмотра решения человеком, направив обращение по адресу info@aisello.ru.

6. Сроки обработки и порядок уничтожения

Сроки обработки по каждой цели указаны в разделе 4. Обработка прекращается при наступлении любого из следующих обстоятельств: достижение цели обработки либо утрата необходимости в её достижении; истечение срока, указанного в разделе 4; отзыв согласия, если оно являлось единственным основанием обработки; выявление неправомерной обработки; ликвидация Оператора.

Оператор применяет следующие сроки, установленные статьёй 21 Закона:

• при достижении цели обработки данные уничтожаются в срок, не превышающий 30 дней с даты достижения цели, если иное не предусмотрено договором или законом;
• при отзыве согласия обработка прекращается, и, если сохранение данных более не требуется, данные уничтожаются в срок, не превышающий 30 дней с даты поступления отзыва;
• при выявлении неправомерной обработки она прекращается в срок, не превышающий 3 рабочих дня; если обеспечить правомерность невозможно, данные уничтожаются в срок, не превышающий 10 рабочих дней с даты выявления;
• при подтверждении факта неточности данные уточняются в течение 7 рабочих дней со дня представления подтверждающих сведений, после чего блокирование снимается.

Уничтожение производится способом, исключающим восстановление данных: удаление записей из баз данных и из резервных копий по мере их плановой ротации, но не позднее 30 дней после уничтожения записи в основной базе. Факт уничтожения подтверждается актом об уничтожении персональных данных и выгрузкой из журнала регистрации событий информационной системы, оформляемыми по требованиям уполномоченного органа.

Переписка и заявки, собранные ИИ-агентом, удаляются автоматически по истечении срока, установленного клиентом в настройках личного кабинета. Клиент вправе удалить данные конкретного посетителя раньше срока в разделе «Заявки» своего кабинета либо по обращению на info@aisello.ru.

7. Передача персональных данных третьим лицам

Оператор не продаёт персональные данные, не передаёт их в рекламных целях третьим лицам и не предоставляет доступ к ним лицам, не указанным ниже. Получателями данных могут быть:

• клиент Оператора - в отношении данных посетителей его сайта; такая передача является целью обработки по поручению клиента;
• подключённые клиентом системы - amoCRM, Битрикс24, Telegram, электронная почта клиента, его собственные вебхуки и API; передача осуществляется исключительно по указанию клиента и в объёме, необходимом для работы интеграции; за правомерность передачи в эти системы отвечает клиент;
• поставщики моделей искусственного интеллекта - по умолчанию российские сервисы GigaChat (ПАО Сбербанк) и YandexGPT (сервисы Яндекса), обрабатывающие запросы на территории Российской Федерации. Модель для сайта подключает Оператор. Если подключена зарубежная модель (Anthropic PBC, OpenAI, L.L.C., США), персональные данные посетителя перед отправкой такой модели маскируются - заменяются синтетическими значениями, подробнее в разделе 8. Модели получают только текст диалога и материалы базы знаний, необходимые для формирования ответа;
• провайдер размещения серверов - в объёме предоставления вычислительных мощностей и каналов связи на территории Российской Федерации;
• операторы связи и сервисы доставки сообщений - в объёме, необходимом для доставки электронных писем и уведомлений;
• платёжные сервисы - в объёме, необходимом для проведения платежа и возврата средств; реквизиты банковских карт вводятся на стороне платёжного сервиса, Оператору не передаются и им не хранятся;
• государственные органы - по мотивированным запросам в объёме и порядке, установленных законодательством Российской Федерации;
• консультанты Оператора (аудиторы, юридические представители) - при необходимости защиты прав Оператора, на условиях конфиденциальности.

Каждое лицо, привлекаемое Оператором к обработке персональных данных, действует на основании договора, содержащего поручение по части 3 статьи 6 Закона, с определением перечня данных, перечня действий, обязанностей по обеспечению конфиденциальности и требований к защите данных по статье 19 Закона.

8. Трансграничная передача персональных данных

По умолчанию трансграничная передача персональных данных Оператором не осуществляется: базы данных размещены в Российской Федерации, а модели искусственного интеллекта, используемые по умолчанию (GigaChat, YandexGPT), обрабатывают запросы на территории Российской Федерации.

Модель для сайта клиента подключает Оператор. Если для сайта подключена зарубежная модель искусственного интеллекта, персональные данные посетителя перед отправкой запроса маскируются: чувствительные сведения (телефон, почта, паспортные и подобные данные) заменяются синтетическими значениями, а поставщику модели уходит обезличенный текст диалога. Маскирование снижает риск, но не исключает его полностью, поэтому передача текста диалога поставщику модели за пределы Российской Федерации по-прежнему рассматривается как трансграничная передача персональных данных. Государства, в которых расположены указанные поставщики, не являются сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и не включены в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных.

Применительно к таким случаям:

• трансграничная передача в государство, не обеспечивающее адекватной защиты, допускается только при наличии согласия субъекта персональных данных в письменной форме на такую передачу либо иного основания, предусмотренного частью 4 статьи 12 Закона;
• до начала трансграничной передачи оператор обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о намерении осуществлять такую передачу и представить сведения, предусмотренные частями 4 и 5 статьи 12 Закона;
• обязанность получить согласие посетителя и подать уведомление возлагается на клиента как на оператора этих данных; подключая клиенту зарубежную модель, Оператор исходит из того, что необходимые основания у клиента имеются;
• Оператор вправе отключить зарубежные модели у клиента, не подтвердившего наличие правового основания, а также по требованию уполномоченного органа.

Персональные данные клиентов Оператора (учётные записи, платежи, документы) за пределы Российской Федерации не передаются.

9. Место нахождения баз персональных данных

В соответствии с частью 5 статьи 18 Закона запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации осуществляются Оператором с использованием баз данных, находящихся на территории Российской Федерации. Серверы, на которых размещены базы данных Сервиса, находятся в дата-центре в городе Москве.

Уведомление об обработке персональных данных направляется Оператором в уполномоченный орган по защите прав субъектов персональных данных в порядке, установленном статьёй 22 Закона.

10. Файлы cookie и локальное хранилище браузера

Сайт aisello.ru использует файлы cookie. Обязательные cookie обеспечивают работу сайта и авторизацию в личном кабинете и не могут быть отключены без потери доступа к Сервису. Необязательные cookie устанавливаются только после согласия посетителя, выраженного в уведомлении о cookie. Внешние счётчики и рекламные пиксели на сайте не установлены.

Полный перечень файлов cookie с указанием назначения и сроков хранения, сведения о локальном хранилище виджета на сайтах клиентов и порядок отказа приведены в Политике использования файлов cookie.

11. Права субъекта персональных данных и порядок обращения

Субъект персональных данных вправе:

• получать сведения, касающиеся обработки его персональных данных, в объёме части 7 статьи 14 Закона: подтверждение факта обработки, правовые основания и цели, применяемые способы, наименование и место нахождения Оператора, сведения о лицах, имеющих доступ к данным, перечень обрабатываемых данных и источник их получения, сроки обработки и хранения, порядок реализации прав, сведения о трансграничной передаче, сведения о лице, осуществляющем обработку по поручению;
• требовать уточнения персональных данных, их блокирования или уничтожения, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• возражать против обработки в целях продвижения товаров, работ и услуг на рынке и требовать её немедленного прекращения (часть 3 статьи 15 Закона);
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке, а также требовать возмещения убытков и компенсации морального вреда (статья 17 Закона).

Обращение направляется по адресу info@aisello.ru либо почтовым отправлением по адресу Оператора, указанному в блоке реквизитов. В соответствии с частью 3 статьи 14 Закона запрос должен содержать:

• номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
• сведения, подтверждающие участие субъекта в отношениях с Оператором (адрес электронной почты учётной записи, адрес сайта, дата и время диалога с ИИ-агентом, номер договора или счёта), либо сведения, иным образом подтверждающие факт обработки его данных Оператором;
• подпись субъекта персональных данных или его представителя; полномочия представителя подтверждаются доверенностью.

Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.

Оператор предоставляет ответ в течение 10 рабочих дней с даты получения запроса. Указанный срок может быть продлён, но не более чем на 5 рабочих дней, при направлении Оператором в адрес субъекта мотивированного уведомления с указанием причин продления (часть 1 статьи 20 Закона). При отказе в предоставлении сведений Оператор даёт мотивированный ответ в тот же срок со ссылкой на основания, предусмотренные частью 8 статьи 14 Закона.

Если обращение касается данных, обрабатываемых по поручению клиента (данные посетителя сайта клиента), Оператор не вправе самостоятельно предоставлять сведения и распоряжаться этими данными. Такое обращение передаётся клиенту как оператору в течение 3 рабочих дней с даты получения, о чём субъект уведомляется с указанием лица, к которому следует обратиться.

12. Актуализация, блокирование и уничтожение по требованию

Оператор обеспечивает точность персональных данных, их достаточность и актуальность по отношению к целям обработки. Клиент самостоятельно поддерживает актуальность данных своей учётной записи в личном кабинете.

При выявлении неправомерной обработки или неточности данных по обращению субъекта либо по запросу уполномоченного органа Оператор блокирует соответствующие персональные данные на период проверки. По подтверждении факта неточности данные уточняются в течение 7 рабочих дней со дня представления подтверждающих сведений, блокирование снимается, а субъект уведомляется о внесённых изменениях и предпринятых мерах. При подтверждении факта незаконного получения данных или их ненужности для заявленной цели данные уничтожаются в течение 7 рабочих дней, о чём субъект также уведомляется.

13. Меры по обеспечению безопасности персональных данных

Оператор принимает меры, необходимые и достаточные для обеспечения исполнения обязанностей, предусмотренных Законом. Правовые и организационные меры (статья 18.1 Закона):

• назначено лицо, ответственное за организацию обработки персональных данных;
• изданы локальные акты: настоящая Политика, положение об обработке и защите персональных данных, перечень обрабатываемых данных, порядок доступа к информационной системе, порядок реагирования на инциденты, форма акта об уничтожении;
• осуществляется внутренний контроль соответствия обработки Закону и локальным актам;
• произведена оценка вреда, который может быть причинён субъектам персональных данных в случае нарушения Закона, и соотнесение этого вреда с принимаемыми мерами;
• работники, непосредственно осуществляющие обработку, ознакомлены с положениями законодательства о персональных данных и локальными актами Оператора; с ними подписаны обязательства о неразглашении;
• настоящая Политика опубликована в свободном доступе на сайте Оператора.

Технические меры (статья 19 Закона):

• определены угрозы безопасности персональных данных при их обработке в информационной системе и применяются организационные и технические меры, необходимые для выполнения требований к защите, установленных Правительством Российской Федерации;
• передача данных между браузером и Сервисом защищена шифрованием (HTTPS/TLS); пароли хранятся в виде необратимых хэшей; ключи и токены подключённых интеграций хранятся в зашифрованном виде;
• реализовано разграничение прав доступа по ролям по принципу минимально необходимых полномочий; доступ работников Оператора к данным клиентов ограничен и предоставляется только для решения обращения;
• ведётся журналирование действий в личном кабинете и административных действий, обеспечивающее обнаружение фактов несанкционированного доступа и возможность восстановления сведений;
• выполняется резервное копирование с контролем сроков хранения копий и возможностью восстановления данных, модифицированных или уничтоженных вследствие несанкционированного доступа;
• осуществляется контроль принимаемых мер и оценка их эффективности, а также контроль за действиями лиц, привлечённых к обработке.

Реагирование на инциденты. Оператор обеспечивает взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак. В случае выявления инцидента, повлёкшего неправомерную или случайную передачу (предоставление, распространение, доступ) персональных данных и нарушение прав субъектов, Оператор:

• в течение 24 часов с момента выявления инцидента уведомляет уполномоченный орган по защите прав субъектов персональных данных о произошедшем инциденте, предполагаемых причинах, предполагаемом вреде правам субъектов, принятых мерах по устранению последствий, а также представляет сведения о лице, уполномоченном на взаимодействие по вопросам инцидента;
• в течение 72 часов с момента выявления инцидента уведомляет уполномоченный орган о результатах внутреннего расследования и представляет сведения о лицах, действия которых стали причиной инцидента, при наличии таких сведений;
• если инцидент затрагивает данные, обрабатываемые по поручению клиента, уведомляет клиента в течение 12 часов с момента выявления, чтобы клиент как оператор мог исполнить собственную обязанность по уведомлению в течение 24 часов.

14. Порядок изменения Политики

Оператор вправе вносить изменения в настоящую Политику. Действующая редакция с указанием даты её утверждения постоянно доступна по адресу https://aisello.ru/legal/privacy.

О существенных изменениях, затрагивающих цели, состав данных, сроки или круг получателей, Оператор уведомляет клиентов по адресу электронной почты учётной записи не позднее чем за 10 календарных дней до вступления новой редакции в силу. Продолжение использования Сервиса после вступления новой редакции в силу означает ознакомление с ней; при несогласии субъект вправе отозвать согласие и потребовать прекращения обработки. Предыдущие редакции Политики предоставляются по запросу на info@aisello.ru.