Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — Политика) определяет порядок и условия обработки персональных данных в сервисе «Курлык чат», доступном на сайте kurlyk-chat.ru (далее — Сервис), и меры по обеспечению их безопасности. Политика составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных).

1.2. Оператор персональных данных (далее — Оператор):

1.3. Лицо, ответственное за организацию обработки персональных данных, — Рябиковский Дмитрий Андреевич. Обращения по вопросам обработки персональных данных принимаются по адресу электронной почты info@kurlyk-chat.ru.

1.4. Политика опубликована в свободном доступе по адресу kurlyk-chat.ru/privacy и действует в отношении всех персональных данных, которые Оператор получает через Сервис.

1.5. Термины, используемые в Политике:

• Сервис — онлайн-чат «Курлык чат»: сайт kurlyk-chat.ru, кабинет по адресу kurlyk-chat.ru/inbox и виджет чата, который пользователи размещают на своих сайтах.
• Пользователь — лицо, зарегистрировавшее кабинет в Сервисе, чтобы общаться с посетителями своего сайта.
• Посетитель — лицо, которое пишет в чат на сайте Пользователя через виджет Сервиса.
• Гость сайта — лицо, просматривающее сайт kurlyk-chat.ru без входа в кабинет.
• Иные термины («персональные данные», «обработка», «оператор», «уничтожение» и др.) понимаются так, как они определены в Законе о персональных данных.

2. Принципы обработки

2.1. Обработка ведётся законно и справедливо, ограничивается достижением конкретных, заранее определённых целей; не допускается обработка, несовместимая с целями сбора, и объединение баз данных, обработка которых ведётся в несовместимых целях.

2.2. Обрабатываются только те данные, которые отвечают целям обработки, в объёме, не избыточном по отношению к ним. Оператор принимает меры по удалению или уточнению неполных и неточных данных.

2.3. Данные хранятся не дольше, чем этого требуют цели обработки, если срок хранения не установлен законом или договором.

3. Чьи данные, какие, зачем и на каком основании

3.1. Оператор не обрабатывает специальные категории персональных данных (о расе, национальности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни) и биометрические персональные данные. Если такие сведения окажутся в сообщении, Оператор не использует их ни для каких целей, кроме передачи сообщения адресату.

3.2. Оператор не принимает решений, порождающих юридические последствия для субъекта, на основании исключительно автоматизированной обработки.

3.3. Регистрироваться в Сервисе могут только лица, достигшие 18 лет.

4. Как ведётся обработка

4.1. Обработка ведётся с использованием средств автоматизации. Оператор совершает с данными следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

4.2. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации ведутся с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона). Серверы Сервиса расположены в г. Санкт-Петербурге и предоставляются хостинг-провайдером FastVPS.

4.3. Оператор не продаёт персональные данные, не передаёт их рекламным сетям и не использует их для рекламы. Доступ к данным третьи лица получают только в случаях, указанных в разделе 6, или по законному требованию государственных органов.

5. Данные посетителей сайтов: обработка по поручению

5.1. Когда Посетитель пишет в чат на сайте Пользователя, оператором его персональных данных является Пользователь — владелец сайта. Оператор Сервиса обрабатывает эти данные по поручению Пользователя, данному в Пользовательском соглашении (ч. 3 ст. 6 Закона), только для передачи сообщений, показа их в кабинете Пользователя, защиты чата от спама и — если Пользователь включил ИИ-бота — автоматических ответов Посетителю.

5.2. По поручению Оператор соблюдает конфиденциальность данных, обеспечивает их безопасность в соответствии со ст. 19 Закона, хранит их в базах данных на территории РФ и не использует в собственных целях.

5.3. Пользователь самостоятельно определяет цели обработки данных своих Посетителей, отвечает перед ними за правомерность обработки и размещает на своём сайте собственную политику обработки персональных данных; её можно показать Посетителям и в чате — ссылкой или текстом. С вопросами о своих данных в переписке Посетителю следует в первую очередь обращаться к владельцу сайта; Оператор Сервиса поможет ему исполнить такой запрос.

6. Передача данных и трансграничная передача

6.1. Персональные данные могут быть переданы:

• хостинг-провайдеру FastVPS (Россия, г. Санкт-Петербург) — для размещения Сервиса и хранения данных на серверах в РФ;
• поставщику языковой модели, которую выбрал Пользователь, — только если он включил ИИ-бота на своём сайте, для формирования ответа Посетителю: ООО «Яндекс.Облако» (Россия, модели YandexGPT) или ООО «Облачные технологии» (Россия, сервис Cloud.ru, модели GigaChat), см. п. 6.3;
• государственным органам — в случаях и в порядке, предусмотренных законодательством РФ.

6.2. Push-уведомления. Если Пользователь сам включил push-уведомления в кабинете, уведомление о новом сообщении (имя или обозначение Посетителя, название сайта и текст сообщения) доставляется через push-сервис браузера Пользователя: Google Firebase Cloud Messaging, Apple Push Notification service, Mozilla Push Service или Microsoft Windows Push Notification Services — в зависимости от браузера. Серверы этих сервисов могут находиться за пределами РФ, в том числе в государствах, не обеспечивающих адекватной защиты прав субъектов персональных данных, поэтому такая доставка является трансграничной передачей (ст. 12 Закона). Содержимое уведомления шифруется по стандарту Web Push ключами, которые хранятся только в браузере Пользователя, поэтому push-сервис получает лишь зашифрованные данные и служебный адрес подписки. Пользователь может в любой момент выключить push-уведомления в настройках кабинета — тогда передача прекращается.

6.3. ИИ-бот. Если Пользователь включил ИИ-бота, для ответа Посетителю поставщику языковой модели передаются текст сообщений Посетителя, история диалога, а также сведения о бизнесе Пользователя из анкеты и материалов бота. Модель выбирает Пользователь в кабинете из доступных в Сервисе: YandexGPT (ООО «Яндекс.Облако», серверы в РФ; запросы отправляются с запретом на их сохранение) или GigaChat в сервисе Cloud.ru (ООО «Облачные технологии», серверы в РФ). Пока Пользователь не выбрал модель, отвечает модель, назначенная Оператором. Все модели Сервиса обрабатывают данные на серверах в РФ: трансграничной передачи для работы ИИ-бота не производится. Результаты работы модели не порождают для Посетителя юридических последствий.

7. Cookie и хранилище браузера

7.1. Сайт kurlyk-chat.ru использует единственную cookie — pc_session: она нужна, чтобы Пользователь оставался в кабинете после входа. Рекламных, аналитических и сторонних cookie нет. Виджет чата на сайтах Пользователей cookie не устанавливает и использует хранилище браузера (localStorage), чтобы Посетитель видел свою переписку при возвращении.

7.2. Подробно — в Политике использования cookie.

8. Как мы защищаем данные

8.1. Оператор принимает правовые, организационные и технические меры, предусмотренные ст. 18.1 и 19 Закона, в том числе:

• назначено лицо, ответственное за организацию обработки персональных данных; доступ к данным имеет только оно;
• все соединения с Сервисом защищены протоколом HTTPS (TLS);
• пароли хранятся только в виде хэша по алгоритму Argon2, cookie сессии недоступна скриптам страницы (httpOnly);
• IP-адреса Посетителей хранятся в базе в виде хэша с секретной «солью»; в оперативных счётчиках защиты от спама — не дольше суток;
• действуют ограничения частоты запросов, защита от перебора паролей и автоматических рассылок;
• доступ к серверам — только по ключам, программное обеспечение своевременно обновляется;
• ведётся резервное копирование базы данных; резервные копии хранятся на том же сервере в РФ и удаляются по мере устаревания;
• каждый Пользователь видит в кабинете только переписки своих сайтов.

8.2. При выявлении неправомерной передачи (утечки) персональных данных Оператор уведомляет Роскомнадзор в сроки, установленные ч. 3.1 ст. 21 Закона, и принимает меры по устранению последствий.

9. Ваши права

9.1. Субъект персональных данных вправе:

• получить сведения об обработке своих персональных данных (ч. 7 ст. 14 Закона);
• потребовать уточнить, заблокировать или уничтожить свои данные, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленных целей;
• отозвать согласие на обработку персональных данных;
• обжаловать действия или бездействие Оператора в Роскомнадзоре или в суде.

9.2. Запрос направляется на info@kurlyk-chat.ru (Пользователю — с адреса, указанного при регистрации). Запрос должен содержать сведения, позволяющие идентифицировать субъекта, и, если он подписан представителем, — подтверждение полномочий.

9.3. Оператор отвечает на запрос в течение 10 рабочих дней с даты получения. Срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления.

9.4. При отзыве согласия Оператор прекращает обработку и уничтожает персональные данные не позднее 30 дней с даты поступления отзыва, если иное не предусмотрено законом или договором. Отзыв согласия Пользователем означает отказ от использования Сервиса: кабинет и связанные с ним данные удаляются.

10. Заключительные положения

10.1. Оператор вправе изменять Политику. Новая редакция вступает в силу с момента публикации на этой странице, если в ней не указано иное. О существенных изменениях Пользователи уведомляются по электронной почте.

10.2. К Политике и отношениям, связанным с её применением, применяется законодательство Российской Федерации.

10.3. Действующая редакция — от 6 ноября 2026 г.