Политика конфиденциальности

Настоящая Политика описывает, как сервис «Взлетим» (далее — «Сервис», «мы») собирает, хранит, использует и удаляет персональные данные пользователей. Политика составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и доступна по прямой ссылке без регистрации, как требует ст. 18.1.

1. Кто оператор

Оператором персональных данных является лицо, реквизиты которого приведены в блоке «Реквизиты» в конце документа. Ответственный за организацию обработки персональных данных (DPO) указан в разделе «Реквизиты». Контактный email DPO доступен по запросу через форму обратной связи.

2. Какие данные мы собираем

Регистрационные: email, пароль (в виде хэша), при оплате — имя, телефон.
Технические: IP-адрес, User-Agent, реферер, сведения о посещённых страницах и действиях в конструкторе. Эти данные собираются автоматически при входе.
Платёжные: сумма, тариф, статус и идентификатор платежа в ЮKassa, отметка о согласии с офертой и версия оферты на момент оплаты. Реквизиты карт и токен платёжного метода (payment_method_id) мы не получаем и не храним — они находятся на стороне ООО НКО «ЮMoney» (ЮKassa); мы храним только публичный идентификатор платежа и статус.
Содержимое проектов: промпты, сгенерированный ИИ HTML/CSS/JS, загруженные пользователем изображения и файлы.
Биометрические данные (при наличии согласия): фотография лица, загружаемая в качестве аватара аккаунта. Обрабатывается только при наличии отдельного согласия (ст. 11 152-ФЗ).
Cookie: служебные cookie сессии и гостевая cookie vz_guest со сроком жизни 7 дней.
UTM-атрибуция: utm_source, utm_medium, utm_campaign и прочие UTM-параметры, а также путь лендинга и реферер — однократно при первом визите, для оценки эффективности рекламных каналов.

3. Цели обработки и правовые основания

Цель	Правовое основание
Предоставление доступа к Сервису, работа конструктора	Договор (ст. 6 ч. 1 п. 5)
Идентификация пользователя, восстановление доступа	Договор (ст. 6 ч. 1 п. 5)
Исполнение договора-оферты, выставление и приём оплаты, выдача кассовых чеков (54-ФЗ)	Договор / Закон (ст. 6 ч. 1 п. 2, 5)
Защита от мошенничества и злоупотреблений	Законный интерес (ст. 6 ч. 1 п. 7)
Информирование пользователя о работе сервиса (сервисные письма)	Договор (ст. 6 ч. 1 п. 5)
ИИ-генерация сайтов, включая передачу ИИ-агрегаторам и трансграничную передачу	Согласие (ст. 6 ч. 1 п. 1, ст. 12)
Маркетинговая аналитика (UTM-атрибуция)	Согласие (ст. 6 ч. 1 п. 1)
Обработка биометрических данных (аватар-фото)	Отдельное согласие (ст. 11)
Исполнение требований законодательства РФ	Закон (ст. 6 ч. 1 п. 2)

4. Сроки хранения

Категория данных	Срок хранения
Учётная запись, проекты, согласия	Активный аккаунт + 90 дней после удаления
Платёжные записи (чеки, статусы платежей)	5 лет (п. 1 ст. 29 НК РФ)
Журналы безопасности (audit_log)	1 год
Логи входа (сессии)	До истечения сессии или выхода, но не более 90 дней
Гостевые проекты без активности	30 дней
UTM-атрибуция	3 года или до удаления аккаунта
Биометрические данные (аватар)	До удаления аватара пользователем или удаления аккаунта
Данные у LLM-провайдеров (промпты)	До 30 дней на стороне провайдера (политика провайдера)

5. Обработчики ПДн (DPA-статус)

При передаче обработки третьим лицам мы заключаем с ними соглашения об обработке персональных данных (DPA) в соответствии со ст. 6 ч. 3 152-ФЗ.

Обработчик	Страна	Назначение
ООО «Селектел» (Selectel)	РФ	Managed PostgreSQL и S3-хранилище: база данных, файлы, опубликованные сайты
ООО «Таймвэб» (Timeweb Cloud)	РФ	Серверная инфраструктура приложения (VPS/PaaS)
ООО НКО «ЮMoney» (ЮKassa)	РФ	Приём платежей, выдача кассовых чеков (54-ФЗ)
ООО «Яндекс» (Yandex ID)	РФ	Опциональный OAuth-вход через Яндекс ID
SMTP-провайдер	РФ	Доставка писем подтверждения email и сброса пароля
ofox.ai (агрегатор LLM)	РФ → США*	Проксирование запросов к LLM-моделям для ИИ-генерации сайтов
routerai.ru (агрегатор LLM)	РФ → США*	Проксирование запросов к LLM-моделям для ИИ-генерации сайтов
fichi.ai (агрегатор LLM)	РФ → США*	Проксирование запросов к LLM-моделям для ИИ-генерации сайтов

* Данные передаются через российских агрегаторов, которые далее передают промпты иностранным поставщикам LLM-моделей. Юридическая ответственность оператора за трансграничную передачу остаётся на Взлетим (ст. 12 152-ФЗ).

6. Поставщики ИИ-моделей и трансграничная передача (ст. 12)

Сервис генерирует сайты с помощью больших языковых моделей. Текст вашего запроса в чате конструктора (промпт), а также имя проекта, ранее сгенерированный код страницы и список файлов передаются иностранным поставщикам больших языковых моделей (LLM-провайдерам), в том числе расположенным в США, для получения ответа модели. Конкретный поставщик выбирается администратором Сервиса или вами в настройках проекта и может меняться без отдельного уведомления, при условии что новый поставщик соответствует целям и режиму обработки, описанным в настоящем параграфе.

Передача в указанные страны является трансграничной в смысле ст. 12 152-ФЗ. США не входят в перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных. Поэтому такая передача осуществляется только при наличии вашего согласия, которое вы даёте при регистрации, входе гостем или оплате, принимая настоящую Политику, и исключительно для целей, прямо указанных в этой Политике (генерация и редактирование сайтов).

Иностранные LLM-провайдеры могут хранить переданные им данные в течение ограниченного срока (как правило, около 30 дней) для целей детектирования злоупотреблений, после чего удаляют их. Если вы не хотите, чтобы ваши промпты передавались за пределы РФ, не пользуйтесь функцией ИИ-генерации или отзовите согласие в настройках аккаунта (см. §8).

Передача государственным органам — только по мотивированному запросу в случаях, предусмотренных законом.

7. Хранение данных на территории РФ (ст. 18 ч. 5)

Первичный сбор и обработка персональных данных граждан РФ (учётная запись, email, журналы входа, проекты, согласия) выполняются в базе данных PostgreSQL и объектном хранилище, размещённых у ООО «Селектел» (Selectel) в дата-центрах на территории Российской Федерации (регион «Санкт-Петербург»), как того требует ч. 5 ст. 18 152-ФЗ. Серверная логика приложения исполняется на инфраструктуре ООО «Таймвэб» (Timeweb Cloud) в дата-центрах на территории Российской Федерации и обращается к российской базе данных по защищённому соединению — ПДн за пределы РФ не передаются. Резервные копии создаются и хранятся в том же ЦОДе провайдера.

8. Права субъекта (ст. 14–21)

Вы вправе:

получить доступ к своим данным (кнопка «Скачать мои данные» в настройках аккаунта);
уточнить или исправить свои данные;
отозвать согласие, что влечёт прекращение обработки и удаление аккаунта (кнопка «Удалить аккаунт» в настройках);
потребовать блокирования или уничтожения данных;
обратиться с жалобой в РКН (pd.rkn.gov.ru).

Запрос направляется по email ответственного за обработку ПДн, указанному в блоке «Реквизиты». Срок ответа — 30 дней.

9. Защита данных

Мы применяем разумные организационные и технические меры: шифрование TLS, хранение паролей в виде bcrypt-хэша, разграничение доступа сотрудников, журналирование действий администраторов, регулярное обновление зависимостей.

10. Уведомление РКН (ст. 22)

Оператор обязан подать уведомление в РКН до начала обработки персональных данных. Статус уведомления: см. реквизиты. При выявлении инцидента с ПДн оператор уведомляет РКН в течение 24 ч. (факт) и 72 ч. (результаты расследования) в соответствии со ст. 21.1 152-ФЗ (поправки 2022 г.).

11. Изменения Политики

Мы можем обновлять Политику. Действующая редакция всегда доступна по адресу /legal/privacy. О существенных изменениях сообщаем письмом на email пользователя или баннером в Сервисе не менее чем за 7 дней до вступления изменений в силу.