ПОЛИТИКА КОНФИДЕНЦИАЛЬНОСТИ

2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

2.2. Обработка персональных данных — любое действие (операция) или совокупность действий, совершаемых с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.

2.3. Пользователь — физическое или юридическое лицо (либо индивидуальный предприниматель), использующее Сервис.

2.4. Cookies — небольшие текстовые файлы, сохраняемые браузером Пользователя при посещении Сайта.

2.5. Контент — тексты, изображения, данные о бренде и иные материалы, созданные или загруженные Пользователем в Сервис, а также сгенерированные Сервисом результаты.

5.1. Сбор персональных данных осуществляется при:

• регистрации Аккаунта на Сайте;
• входе через Яндекс ID или VK ID;
• оформлении подписки и осуществлении платежей (только подтверждение факта оплаты);
• обращении в службу поддержки.

5.2. Использование Сайта без регистрации предполагает автоматический сбор неперсонализированных данных (п. 3.2) с помощью cookies и инструментов аналитики. Подробнее — в Политике использования файлов Cookie: https://brandlyo.io/legal/cookies.

5.3. Оператор не собирает специальные категории персональных данных (расовую принадлежность, политические взгляды, религиозные убеждения, состояние здоровья, биометрические данные).

5.4. Сервис не предназначен для лиц моложе 18 лет. Оператор не осуществляет осознанный сбор данных несовершеннолетних. При обнаружении факта регистрации лица моложе 18 лет Оператор вправе заблокировать и удалить соответствующий Аккаунт.

6.1. Персональные данные Пользователей (email, имя, данные OAuth-провайдеров) хранятся в базе данных Оператора, размещённой на серверах подрядчиков Оператора.

6.2. Часть обработки персональных данных (модели искусственного интеллекта, хостинг) выполняется поставщиками, расположенными за пределами Российской Федерации. Перечень поставщиков приведён в разделе 7.

6.3. Сроки хранения данных:

6.4. По истечении срока хранения данные уничтожаются или обезличиваются.

7.1. Оператор вправе передавать данные следующим категориям лиц:

Платёжный процессинг:

• ЮKassa (ООО НКО «ЮМани») — для проведения платежей, сохранения способа оплаты для автоматического продления и формирования кассовых чеков (передаются только данные, необходимые для обработки платежа, и адрес электронной почты для чека; Оператор не хранит данные банковских карт).

Инфраструктура и технологии:

• Supabase — база данных, аутентификация Пользователей, файловое хранилище и зашифрованное хранение ключей доступа к подключённым каналам.
• Vercel — хостинг Сайта и выполнение серверной части Сервиса.
• Upstash — очереди фоновых задач, кэширование и ограничение частоты запросов (передаются служебные идентификаторы задач).

Модели искусственного интеллекта:

• OpenRouter — шлюз, через который запросы направляются к текстовым моделям Anthropic (Claude), OpenAI (GPT) и Google (Gemini). Модели используются для изучения сведений о бизнесе, подготовки стратегии, планов и текстов, работы ассистента Сервиса и проверки изображений; модель Google Gemini применяется как резервная для отдельных проверок текстов и изображений.
• fal.ai — создание изображений (в том числе с использованием модели Google Nano Banana) и отделение изображения от фона.

В указанные сервисы передаются сведения, необходимые для выполнения поручения Пользователя: описание бизнеса и бренда, ссылки на сайт и каналы, тексты постов, правки и пожелания к ним, сообщения ассистенту Сервиса (в том числе текст, распознанный из голосовых сообщений), изображения, загруженные для подготовки и проверки постов, технические параметры запросов и результаты генерации. Данные учётной записи — имя, адрес электронной почты, номер телефона, платёжные данные — в эти сервисы не передаются. Запросы к текстовым моделям (в том числе разбор изображений текстовой моделью) Оператор направляет с условием обработки, по которому поставщик не хранит содержание запроса и ответа после выполнения и не использует его для обучения моделей. Это условие не распространяется на создание изображений (оно осуществляется на условиях поставщика генерации изображений), распознавание речи, чтение сайтов, сведения о поисковом спросе, а также на хранение данных в самом Сервисе, включая журналы и резервные копии (раздел 6 и пункт 18.3 Публичной оферты). Провайдеры обрабатывают переданные данные только для выполнения запроса. В мобильном приложении Сервис запрашивает согласие Пользователя на такую передачу перед первым запросом к моделям.

Сбор сведений о бизнесе и распознавание речи:

• Firecrawl — чтение общедоступных страниц сайта бренда по ссылке, указанной Пользователем.
• Яндекс Поиск API и Яндекс Вордстат (Yandex Cloud) — сведения о поисковом спросе и поисковой выдаче по нише бренда (передаются только поисковые формулировки и регион; данные учётной записи и материалы бренда не передаются).
• Yandex SpeechKit (Yandex Cloud) — распознавание голосовых сообщений в текст; аудиозапись не хранится после распознавания.

Вход, публикация и уведомления:

• Яндекс ID и VK ID — вход в Сервис (п. 3.5).
• Telegram и MAX — работа с ботом Сервиса, публикация постов в подключённых Пользователем каналах и уведомления; в Telegram — также служебные уведомления команды Сервиса.
• ВКонтакте — публикация постов в сообществах, подключённых Пользователем, и получение статистики по опубликованным постам.
• Resend — доставка писем на адрес электронной почты Пользователя (передаются адрес и содержание письма).
• Сервисы push-уведомлений мобильных платформ (Apple, Google, RuStore) — доставка уведомлений в мобильное приложение (передаются только идентификатор устройства и служебные идентификаторы, без содержания постов).

Аналитика:

• Яндекс Метрика — статистика посещений Сайта с использованием файлов cookie в порядке, установленном Политикой использования файлов Cookie (раздел 11).

7.2. Все указанные получатели данных привлечены на основании соглашений об обработке данных (DPA) и обязаны соблюдать требования конфиденциальности, сопоставимые с требованиями настоящей Политики.

7.3. Оператор не продаёт персональные данные третьим лицам.

7.4. Оператор вправе передать персональные данные органам государственной власти и управления по законным требованиям, предусмотренным законодательством Российской Федерации.

8.1. Данные хранятся на серверах подрядчиков Оператора; часть обработки (модели искусственного интеллекта, хостинг) выполняется поставщиками, расположенными за пределами Российской Федерации, перечень — в разделе 7.

8.2. Для функционирования Сервиса и генерации Контента Оператор может передавать неперсонализированные данные (такие как промпты, технические параметры запросов, результаты генерации) в сторонние сервисы и модели искусственного интеллекта, в том числе расположенные за пределами Российской Федерации. При этом Оператор принимает все разумные меры для обезличивания таких данных и исключения возможности их связи с конкретным Пользователем.

В соответствии с ФЗ-152 Пользователь имеет право:

• 9.1. Получить информацию об обработке своих персональных данных (ст. 14 ФЗ-152): состав данных, цели и основания обработки, сроки, перечень третьих лиц.
• 9.2. Уточнить персональные данные — потребовать исправления неточных, неполных или устаревших данных.
• 9.3. Получить копию персональных данных — запросить выгрузку данных, связанных с Аккаунтом (право на портируемость).
• 9.4. Отозвать согласие на обработку персональных данных. Отзыв согласия не влечёт незаконности обработки, осуществлявшейся до отзыва, и не распространяется на обработку, осуществляемую на иных правовых основаниях (например, исполнение договора).
• 9.5. Потребовать прекращения обработки и удаления данных — право на забвение. После удаления Аккаунта Оператор удаляет персональные данные в течение 90 дней, за исключением данных, хранение которых обязательно по законодательству РФ (п. 6.3).
• 9.6. Возражать против обработки на основании законного интереса, в том числе против маркетинговых коммуникаций.
• 9.7. Обратиться с жалобой в Роскомнадзор (rkn.gov.ru) в случае нарушения Оператором требований ФЗ-152.

Порядок подачи запроса:

Для реализации любого из перечисленных прав Пользователь направляет письменный запрос на адрес privacy@brandlyo.io с темой письма «Запрос субъекта ПДн». Запрос должен содержать:

• ФИО (для физических лиц);
• email, указанный при регистрации;
• суть требования.

Оператор рассматривает запрос и направляет ответ на указанный email в сроки, установленные Федеральным законом № 152-ФЗ «О персональных данных» (статьи 20 и 21) для соответствующего вида обращения:

10.1. Оператор принимает организационные и технические меры, необходимые для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий:

• шифрование данных при передаче (HTTPS/TLS 1.2+);
• хранение паролей в хэшированном виде (bcrypt/Argon2);
• разграничение прав доступа к данным внутри Сервиса и инфраструктуры;
• регулярный аудит безопасности и мониторинг событий;
• обучение сотрудников (при их наличии), имеющих доступ к данным.

10.2. В случае выявления утечки персональных данных Оператор обязуется в течение 24 часов с момента обнаружения уведомить Роскомнадзор в соответствии с требованиями ФЗ-152 (ст. 21.1) и информировать затронутых Пользователей в течение 72 часов.

Порядок использования cookies и технологий отслеживания изложен в отдельном документе — Политика использования файлов Cookie, доступной по адресу: https://brandlyo.io/legal/cookies.

12.1. Оператор направляет маркетинговые рассылки (новости, предложения, обновления продукта) исключительно Пользователям, давшим явное согласие на их получение (чекбокс при регистрации или отдельная подписка).

12.2. Пользователь вправе в любое время отказаться от маркетинговых рассылок, нажав ссылку «Отписаться» в теле письма или направив запрос на privacy@brandlyo.io.

12.3. Транзакционные письма (подтверждение оплаты, системные уведомления, ответы на обращения в поддержку) направляются всем зарегистрированным Пользователям в рамках исполнения Договора и не требуют отдельного согласия.

13.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её публикации на Сайте по адресу https://brandlyo.io/legal/privacy.

13.2. Об изменениях, существенно затрагивающих права Пользователей, Оператор уведомляет по электронной почте и/или через личный кабинет Пользователя не менее чем за 10 (десять) календарных дней до вступления в силу новой редакции.

13.3. Продолжение использования Сервиса после вступления изменений в силу означает принятие обновлённой Политики. Если Пользователь не согласен с изменениями, он вправе удалить свой Аккаунт в порядке, предусмотренном разделом 9 настоящей Политики.

Настоящая Политика составлена и применяется в соответствии с законодательством Российской Федерации. Все споры, связанные с обработкой персональных данных, разрешаются в соответствии с законодательством РФ с учётом претензионного порядка, предусмотренного Публичной офертой.

По всем вопросам, связанным с обработкой персональных данных: