Политика обработки персональных данных

Политика действует в отношении сайта https://lekha-ai.ru, его поддоменов и сервиса «Лекха AI» (далее — Сервис).

Оператор персональных данных — Общество с ограниченной ответственностью «Лекхаген» (краткое наименование — ООО «Лекха»), ИНН 5800019401, КПП 580001001, ОГРН 1255800007540, адрес: 440046, Пензенская область, г. Пенза, ул. Мира, д. 64, кв. 5; email: support@lekha-ai.ru.

Политика применяется к посетителям, зарегистрированным пользователям, заявителям и, когда пользователь правомерно передаёт соответствующие сведения, к иным людям, упомянутым или изображённым в Материалах. В разных процессах Оператор может действовать самостоятельно либо по документированному поручению организации-пользователя.

Сайт, регистрация и безопасность

• IP-адрес и User-Agent при запросе, а также их HMAC-хеши;
• технически необходимые cookie, идентификаторы сессии и выбранная тема;
• имя, логин, email, хеш пароля, сведения о подтверждении email и даты действий;
• при добровольной установке аватара — одна текущая очищенная копия WebP 256×256, технические параметры, время и редакция подтверждения права на изображение; исходный файл не хранится;
• при выборе Yandex ID — устойчивый идентификатор, email, имя, фамилия, логин и технические сведения OAuth-потока, предоставленные поставщиком.

Проекты, кампании и обращения

• идентификаторы аккаунта, организации и роли;
• названия, описания, цели, исходные сведения, уточнения и версии кампаний;
• редакции и контрольные суммы принятых документов, время принятия и технические доказательства;
• контакты, содержание и вложения обращения в поддержку.

Материалы проекта

• документы, таблицы, изображения, аудио и видео, их имя, размер, формат, контрольная сумма и технические метаданные;
• извлечённый локально текст OCR/ASR, признаки наличия людей и категории найденных персональных данных;
• очищенные производные файлы, черновики и итоговые результаты;
• выбор пользователя о людях в материале, разрешённых операциях и площадках.

Оператор не использует Материалы для обучения моделей и не направляет рекламу без отдельного предварительного согласия. Оператор не принимает решения, порождающие юридические последствия для человека, исключительно автоматически.

Возможны сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача определённому обработчику или Площадке, обезличивание, блокирование, удаление и уничтожение — автоматизированно и, при поддержке или проверке спорного случая, с участием уполномоченного лица.

Объём данных ограничивается заявленной целью. Псевдонимизированные сведения, для которых Оператор хранит таблицу соответствий, продолжают защищаться как персональные данные. Обезличенными они считаются только тогда, когда без дополнительной информации нельзя определить конкретного человека.

Узкая загрузка аватара обрабатывается отдельно от общей загрузки Материалов: браузер выполняет кадрирование без отправки оригинала, сервер ограничивает поток одним мегабайтом, проверяет сигнатуру через безопасное декодирование, отклоняет анимацию и повторно кодирует изображение. Имя файла, EXIF, GPS, встроенные миниатюры и иные исходные метаданные не записываются.

При включённой загрузке Материал сначала потоково шифруется в карантине, проверяется по типу и сигнатуре, локальным ClamAV и безопасным обработчиком. Изображения пересобираются без EXIF/GPS, документы с активным содержимым, макросами, внешними связями или опасными вложениями отклоняются, а медиа пересобираются без исходных метаданных. Сохраняется только очищенная производная копия и, когда он получен, локально извлечённый зашифрованный текст; исходный объект карантина уничтожается.

Данные не распространяются неопределённому кругу лиц без отдельного основания. Публикация в социальной сети выполняется только после явного действия пользователя и не заменяет требуемое согласие субъекта на распространение.

Данные поступают от пользователя, его браузера и устройства, от Yandex ID при выбранном входе и, в будущем, от подключённой пользователем Площадки. Данные других людей могут поступить только из Материалов, переданных пользователем на применимом законном основании.

В необходимом объёме данные могут быть доступны:

• российской инфраструктуре Timeweb Cloud — хостинг, база данных, резервирование и транзакционная почта;
• поставщику Yandex ID — при выбранной пользователем авторизации; он действует также по своим документам;
• проверенным поставщикам ИИ — только в объёме и режиме, указанном в публичном реестре;
• VK, Одноклассникам, Telegram или MAX — только по явной команде пользователя после подключения Площадки;
• государственным органам — в случаях и объёме, предусмотренных законом.

Лицо, обрабатывающее данные по поручению, получает документированные цели, перечень данных и операций, требования конфиденциальности, локализации, безопасности, удаления, подтверждения исполнения и уведомления об инцидентах.

Целевой текстовый маршрут: извлечение в российском контуре → выявление персональных данных → токенизация приложением → проверка исходящего текста → обработка обезличенного задания внешней моделью → повторная проверка → восстановление допустимых значений в российском контуре.

Недоступность локального шага, низкая уверенность или обнаружение остаточных идентификаторов останавливают внешний запрос. Настройка провайдера «обфускация» используется только как дополнительная мера и не заменяет локальную проверку.

Для изображения с узнаваемым человеком сохранить внешность и одновременно обезличить изображение невозможно. Такой материал не передаётся внешней модели до подтверждения конкретного получателя, страны, сроков, договора, необходимых уведомлений и прав на каждую операцию. Безопасный вариант по умолчанию — создать обложку без узнаваемых реальных людей.

Аватар профиля в этот внешний маршрут не входит: он хранится и показывается только в авторизованном российском контуре, не анализируется моделью и не используется для установления личности или создания биометрического шаблона.

При сборе данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение выполняются с использованием базы данных на территории Российской Федерации. Регион каждой production-базы, резервной копии, журнала и хранилища проверяется до запуска функции.

Трансграничная передача начинается только после установления точного получателя, страны и маршрута, получения необходимых сведений от получателя, выполнения требований статьи 12 Федерального закона № 152-ФЗ и направления отдельного уведомления Роскомнадзору, когда оно требуется. Требование локализации закреплено в части 5 статьи 18, а порядок трансграничной передачи — в статье 12 Закона № 152-ФЗ. До завершения этих действий идентифицируемые материалы во внешний маршрут не направляются.

Обычный режим Сервиса не предназначен для сведений о здоровье, расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, интимной жизни, судимости и иных специальных категорий.

Сервис не распознаёт личность, не сравнивает лица, не создаёт постоянные шаблоны лица или голоса и не использует их для идентификации. Фото или голос всё равно могут быть обычными персональными данными и объектами самостоятельных прав. Внешняя ИИ-обработка узнаваемых несовершеннолетних в стандартном режиме запрещена.

• OAuth-поток Yandex ID — до 10 минут и затем до ближайшей технической очистки;
• коды регистрации, восстановления и изменения логина или почты — 10 минут; истёкшая запись ставится на удаление после 24-часового защитного интервала;
• ограничение частоты — не более одного часа и затем до ближайшей очистки;
• сессия — до 7 суток, выхода или досрочного прекращения;
• аккаунт, проекты и кампании — пока действует аккаунт; после подтверждённого запроса на удаление — не более 30 дней, если нет иного законного основания;
• текущий аватар — до замены, команды удаления или прекращения аккаунта; при замене прежняя копия уничтожается сразу и не сохраняется для отката;
• минимальная запись об автоматизированном уничтожении аватара без его содержимого — три года с даты уничтожения, затем удаляется;
• исходный карантинный файл — только на время проверки; после принятия очищенной копии или отказа он уничтожается;
• принятый Материал и локально извлечённый текст — до 180 дней, более ранней команды удаления или прекращения аккаунта; продление требует отдельного явного действия;
• метаданные уничтоженного Материала — не более 24 часов для надёжного завершения операции и повторной проверки;
• минимальная запись об уничтожении Материала без имени файла, содержимого, текста и контрольной суммы — три года, затем удаляется;
• таблица токенов обезличивания — не дольше задания и технически необходимого срока безопасного завершения;
• минимальные доказательства принятия документов — пока действует аккаунт; в текущей реализации они удаляются вместе с ним. Отдельное хранение после удаления возможно только после утверждения самостоятельного основания, срока, минимального состава и изолированного контура;
• доказательства будущих команд публикации — по утверждённому до запуска сроку, необходимому для исполнения обязанности и защиты прав сторон.

Исходный prompt и необработанный ответ внешнего ИИ не должны сохраняться в журнале. Сроки файлов, результатов, резервных копий и данных у каждого обработчика утверждаются до запуска соответствующей функции. После достижения цели данные удаляются, уничтожаются или необратимо обезличиваются.

Субъект вправе получать сведения и копию своих данных, требовать уточнения, блокирования, прекращения обработки или удаления, отозвать согласие, заявить ограничения на распространение и обжаловать действия Оператора.

Запрос направляется на support@lekha-ai.ruпо инструкции на странице «Ваши права». Для защиты данных Оператор проверяет личность и связь с аккаунтом в минимально необходимом объёме. Основной срок ответа — 10 рабочих дней; он может быть мотивированно продлён не более чем на 5 рабочих дней.

Подтверждённо неточные данные исправляются в течение 7 рабочих дней. После отзыва или достижения цели данные уничтожаются не позднее 30 дней, если нет другого законного основания. Неправомерная обработка прекращается в сроки, установленные законом.

Оператор применяет правовые, организационные и технические меры, включая разграничение доступа, хеширование паролей и токенов, защищённое соединение, ограничение частоты, контроль сессий, раздельные роли базы данных, резервное копирование и журналирование без содержимого Материалов. Конкретный уровень защищённости и меры утверждаются по результатам обследования информационной системы.

При неправомерной или случайной передаче данных Оператор локализует инцидент, проводит расследование и уведомляет Роскомнадзор в применимые сроки. Актуальная редакция Политики размещается здесь; существенное расширение целей, данных или получателей не применяется задним числом и при необходимости требует нового отдельного согласия.