Политика обработки персональных данных

1. Общие положения

Настоящая Политика определяет порядок обработки персональных данных и меры по их защите в ООО «ТРИАЛИКС» (далее - Trialix, Оператор) в соответствии со статьёй 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Оператор: ОБЩЕСТВО С ОГРАНИЧЕННОЙ ОТВЕТСТВЕННОСТЬЮ «ТРИАЛИКС» (ООО «ТРИАЛИКС»), ИНН 9726118009, КПП 772601001, ОГРН 1267700300218, адрес: 117105, Москва, муниципальный округ Донской, Варшавское шоссе, д. 1А, помещ. 33К/6. Электронная почта для обращений по персональным данным: support@trialix.ru.

Ответственный за организацию обработки персональных данных назначается приказом Оператора; обращения к ответственному направляются на support@trialix.ru.

Политика действует в отношении всех персональных данных, которые Trialix получает через сайт trialix.ru (включая страницу состояния status.trialix.ru), портал app.trialix.ru, программный интерфейс api.trialix.ru, по электронной почте и в рамках договоров с компаниями-клиентами.

Trialix выступает в двух ролях. Как оператор персональных данных - в отношении данных посетителей сайта, представителей и сотрудников компаний-клиентов (учётные записи, расчёты, поддержка), подписчиков страницы состояния и собственных работников.

Как лицо, обрабатывающее персональные данные по поручению оператора (часть 3 статьи 6 Закона № 152-ФЗ), - в отношении содержимого, которое компания-клиент и её сотрудники загружают в платформу: тексты запросов, файлы, базы знаний, данные подключённых систем и каталогов сотрудников. Оператором таких данных является компания-клиент; условия поручения - в документе «Поручение обработки персональных данных» (https://trialix.ru/legal/dpa).

Платформой Trialix пользуются только юридические лица и индивидуальные предприниматели. Физические лица без статуса ИП не могут быть стороной договора; их данные Trialix обрабатывает как данные представителей и сотрудников клиентов, посетителей сайта и подписчиков.

2. Цели, категории данных, основания и сроки

Trialix обрабатывает персональные данные только для целей, перечисленных ниже. Для каждой цели указаны субъекты, категории данных, правовое основание и срок хранения.

Содержимое запросов, файлов, баз знаний, подключённых систем и каталогов сотрудников компаний-клиентов Trialix обрабатывает по поручению компании для предоставления ей функций платформы. Категории субъектов и данных в таком содержимом определяет компания. Сроки хранения такого содержимого: сообщения и файлы чатов - до их удаления сотрудником или администратором компании, но не дольше срока действия договора; файлы от моделей и медиа - 30 дней (компания может настроить от 1 до 365 дней); базы знаний и шаблоны - до удаления администратором компании; данные подключённых систем - до 30 дней для входящих событий и 12 месяцев для журнала вызовов.

Trialix не обрабатывает специальные категории персональных данных (раса, национальность, политические взгляды, религиозные и философские убеждения, здоровье, интимная жизнь) и биометрические персональные данные и запрещает компаниям-клиентам загружать их в платформу (оферта, раздел 6). Запись голоса при голосовом вводе используется только для перевода речи в текст и не используется для установления личности.

Trialix не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки его персональных данных (статья 16 Закона № 152-ФЗ). Ответы моделей искусственного интеллекта формируются автоматически по запросу пользователя и не являются решением Trialix в отношении субъекта.

3. Действия и способы обработки

Действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Распространение (раскрытие неопределённому кругу лиц) Trialix не осуществляет.

Способ: автоматизированная обработка с использованием средств вычислительной техники; при ответах на обращения, выставлении счетов и поддержке - смешанная обработка (программные средства и действия работников Trialix).

К персональным данным имеют доступ только работники и исполнители Trialix, которым доступ нужен для выполнения обязанностей, в объёме, определённом перечнем лиц с доступом. Администратор платформы входит в пространство компании-клиента («Войти как владелец») только для поддержки, с двухфакторной аутентификацией; каждый такой вход записывается в журнал компании и виден её администраторам.

4. Где хранятся данные и локализация

Базы данных и файлы платформы размещены на сервере, арендованном у российского хостинг-провайдера FirstVDS, в центре обработки данных на территории Российской Федерации (г. Москва). Резервные копии хранятся в зашифрованном виде на том же сервере (7 дней) и в объектном хранилище Yandex Object Storage (ООО «Яндекс.Облако», Российская Федерация) до 6 месяцев.

Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации выполняются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона № 152-ФЗ).

5. Передача третьим лицам и трансграничная передача

Trialix передаёт персональные данные третьим лицам только в случаях, указанных ниже, и только в объёме, необходимом для цели.

Поставщики, обрабатывающие данные по поручению Trialix на территории Российской Федерации: хостинг-провайдер FirstVDS (размещение сервера); ООО «Яндекс.Облако» (резервные копии; сервисы Yandex AI Studio: модели, распознавание текста и речи, перевод); ООО «Яндекс» (корпоративная почта, задачи и документы команды в Яндекс 360; Яндекс Метрика); ООО «МТС Веб Сервисы» (модели TRX, при подключении).

Иностранные поставщики моделей искусственного интеллекта и поиска, которых компания-клиент может выбрать в настройках платформы: Anthropic PBC (США), OpenAI, L.L.C. (США), Google LLC (США), xAI (США), Hangzhou DeepSeek Artificial Intelligence Co., Ltd. (КНР), AlphaAI Technologies Inc. (Tavily, США, веб-поиск). При выборе такой модели или поиска содержимое запроса передаётся поставщику - это трансграничная передача персональных данных, содержащихся в запросе.

Перед отправкой текста иностранному поставщику Trialix по умолчанию заменяет фамилии, имена, названия организаций, ИНН, ОГРН, СНИЛС, номера счетов и карт, паспортные данные, телефоны, адреса электронной почты, почтовые адреса и даты рождения на обезличенные метки; реальные значения остаются на сервере Trialix и подставляются в ответ. Изображения, отправленные на вход модели, референсные изображения для генерации и аудиозаписи для распознавания речи передаются иностранному поставщику без изменений. Компания может запретить иностранные модели политикой «Только российские модели» и выбрать российские сервисы распознавания речи и изображений.

Данные заявок с сайта, учётных записей и расчётов за пределы Российской Федерации не передаются. Трансграничная передача содержимого запросов происходит по поручению и выбору компании-клиента, которая как оператор этих данных самостоятельно исполняет обязанности, связанные с трансграничной передачей, включая уведомление Роскомнадзора (документ «Поручение обработки персональных данных», раздел 6).

Ответы моделей могут быть доставлены сотруднику компании в Telegram, если сотрудник сам привязал бота Trialix; серверы Telegram находятся за пределами Российской Федерации.

Персональные данные могут быть переданы государственным органам в случаях и порядке, предусмотренных законом.

6. Права субъекта персональных данных

Субъект вправе: получить подтверждение факта обработки, сведения о целях, основаниях, способах, сроках обработки, о лицах с доступом и о трансграничной передаче (статья 14 Закона № 152-ФЗ); требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для цели; отозвать согласие; обжаловать действия Trialix в Роскомнадзор или в суд.

Обращение направляется на support@trialix.ru с адреса, указанного при обращении или регистрации, либо почтой по адресу Оператора. В обращении указываются сведения, подтверждающие участие субъекта в отношениях с Trialix (адрес почты, наименование компании), либо реквизиты документа, удостоверяющего личность, если обращение направляется почтой (часть 3 статьи 14).

Сроки: сведения об обработке - в течение 10 рабочих дней с даты обращения (с возможным продлением не более чем на 5 рабочих дней с уведомлением о причинах); уточнение данных - в течение 7 рабочих дней; прекращение обработки по отзыву согласия и уничтожение - в течение 30 дней; прекращение обработки по требованию субъекта - в течение 10 рабочих дней.

Если субъект - сотрудник компании-клиента или лицо, чьи данные содержатся в загруженном компанией содержимом, Trialix обрабатывает данные по поручению этой компании. Trialix сообщит субъекту наименование компании-оператора (в объёме, допустимом договором) и передаст обращение компании, а сам исполнит требование по указанию компании.

7. Cookie и счётчики

Сайт trialix.ru сохраняет в браузере только технически необходимые записи (выбор посетителя в баннере cookie, тема оформления). Счётчик Яндекс Метрики подключается только после нажатия «Согласен» в баннере; при выборе «Только необходимые» внешние запросы со страниц сайта не выполняются. Изменить выбор можно по ссылке «Настройки cookie» в подвале сайта. Полный перечень записей и сроки - в «Политике использования cookie» (https://trialix.ru/legal/cookies).

Портал app.trialix.ru использует только технически необходимые cookie: сессия, защита от подделки запросов, выбранное пространство компании, тема. Сторонних счётчиков в портале нет.

8. Рекламные рассылки

Trialix не ведёт рекламных рассылок. Письма, которые получают представители и сотрудники компаний-клиентов, - служебные уведомления по договору: коды входа, приглашения, счета, лицензия и места, пороги расхода, изменения условий, сообщения о сбоях. Такие письма рекламой не являются и отправляются без отдельного согласия.

Новости и предложения Trialix будут направляться только тем, кто дал отдельное согласие на рассылку - необязательным флажком «Согласен получать новости и предложения Trialix» в форме заявки на сайте (текст - https://trialix.ru/legal/consent-marketing). В каждом письме рассылки будет ссылка «Отписаться», отписка выполняется сразу. Отказ от рассылки не влияет на договор с компанией и служебные уведомления.

9. Меры защиты

Правовые: политика и локальные акты, договоры с поставщиками, поручения с компаниями-клиентами, ознакомление работников.

Организационные: назначение ответственного, перечень лиц с доступом, разграничение ролей (владелец, администратор, руководитель отдела, сотрудник), журнал действий, в том числе действий поддержки, регламент реагирования на инциденты, внутренний контроль не реже одного раза в год.

Технические: шифрование каналов связи (TLS), вход по одноразовым кодам и корпоративному единому входу, обязательная двухфакторная аутентификация администраторов, автоматический выход по неактивности, изоляция данных компаний на уровне базы данных, шифрование доступов к системам клиентов, зашифрованные резервные копии с ключом, хранящимся вне сервера, антивирусная проверка загрузок, обезличивание данных перед отправкой иностранным моделям с отказом в отправке при недоступности обезличивания, ограничение сетевого доступа, регулярные проверки уязвимостей, мониторинг.

Уровень защищённости информационных систем персональных данных определяется Оператором в соответствии с требованиями, установленными Правительством Российской Федерации (постановление от 01.11.2012 № 1119). Сертифицированные средства криптографической защиты информации не применяются.

10. Уничтожение данных

Персональные данные уничтожаются по достижении цели обработки, по истечении срока хранения, по отзыву согласия или по требованию субъекта, если иное не предусмотрено законом. Данные, необходимые для бухгалтерского и налогового учёта, хранятся в течение установленного законом срока.

Уничтожение выполняется удалением записей из баз данных и файлов с носителей программными средствами платформы; факт уничтожения подтверждается актом или выпиской из журнала платформы. Данные в резервных копиях уничтожаются по мере ротации копий, не позднее 6 месяцев.

По окончании договора с компанией-клиентом данные её пространства удаляются в течение 30 дней с даты прекращения договора или получения заявки компании, кроме данных, хранение которых требует закон.

11. Инциденты

При неправомерной или случайной передаче персональных данных Trialix уведомляет Роскомнадзор в течение 24 часов с момента выявления и в течение 72 часов сообщает результаты внутреннего расследования (часть 3.1 статьи 21 Закона № 152-ФЗ), а компании-клиенты, чьи данные затронуты, уведомляет не позднее 12 часов с момента выявления, чтобы они могли исполнить свои обязанности оператора.

12. Редакции и заключительные положения

Политика пересматривается при изменении законодательства, целей обработки, состава поставщиков или не реже одного раза в год. Новая редакция публикуется на сайте с указанием даты; прежние редакции доступны на этой странице по ссылкам в списке редакций и предоставляются по запросу.

Вопросы по Политике: support@trialix.ru.