Политика конфиденциальности и Соглашение об обработке данных

aifa.works Ltd выступает Контролёром данных. Наш DPO доступен по адресу contact@codeofdigitaleternity.com. Все записи по ст. 30 GDPR, DPIA и оценки законных интересов хранятся и предоставляются по запросу. Назначены представители в ЕС и Великобритании согласно ст. 27. Запросы CCPA обрабатываются в установленные сроки с ведением аудита в течение шести лет.

Обрабатываются идентификаторы, контактные данные, телеметрия устройств, биометрические эмбеддинги (голос, геометрия лица) с согласия по BIPA, медицинские выводы по Washington My Health My Data Act и логи генеративного ИИ. Чувствительные данные обрабатываются только при явном согласии. Биометрические шаблоны хранятся в виде необратимых хэшей с криптографической солью.

Обработка основана на согласии, исполнении договора, законных интересах и юридических обязательствах. Передачи в США и Сингапур осуществляются по SCC 2021, UK IDTA и BCR. Ежегодно проводятся Transfer Impact Assessments. Доступны опции локализации данных для Quebec Law 25 и LGPD. Все субпроцессоры связаны эквивалентными договорными обязательствами по защите данных; мы выбираем надёжных провайдеров, но не заявляем о наличии у нас или у них какой-либо конкретной сертификации.

Согласно EU AI Act и GDPR ст. 13-22 пользователи получают уведомление о взаимодействии с чат-ботами. Генеративные выводы маркируются и водяными знаками. Доступен запрос на human review автоматизированных решений. Ведутся model cards, provenance данных и отчёты по bias. Отказ от профилирования выполняется в течение 48 часов.

Данные хранятся только необходимое время или по требованиям закона (DORA, налоги). Логи взаимодействий — 90 дней; биометрия удаляется за 30 дней после закрытия аккаунта. По запросу выдаются сертификаты криптографического удаления. Метрики удаления по CPRA публикуются ежегодно.

Данные шифруются AES-256-GCM в покое и TLS 1.3 в транзите. Ключи хранятся в FIPS 140-3 HSM. Мы стремимся к высокой доступности в соответствии с практиками DORA, периодический пентест и планы реагирования; конкретный uptime не гарантируется, сервис предоставляется «по мере доступности». Уведомление о breaches — в течение 72 часов регуляторам и без промедления субъектам.

Субъекты могут запрашивать доступ, исправление, удаление, ограничение, переносимость, возражение и отзыв согласия. Жители Калифорнии могут запросить категории проданных данных и отказаться от cross-context рекламы. Запросы аутентифицируются MFA. Ответ в течение 30 дней (продление до 60 дней по GDPR).

Платформа не предназначена для детей младше 13 (COPPA) или 16 (GDPR). Для 13-17 лет применяются California Age-Appropriate Design Code: приватность по умолчанию, раскрытие времени и запрет dark patterns. Возраст подтверждается ID или согласием опекуна. Случайно собранные данные детей удаляются немедленно.

Используются только необходимые, performance и consented marketing cookies. Запрещены dark patterns по DSA ст. 25 и DMA. Баннер требует явного действия; отказ равнозначен согласию. Аналитика агрегирована и IP-анонимизирована в ЕС. Настройки доступны в consent management platform.

Список субпроцессоров: aifa.works/legal/subprocessors. Существенные изменения уведомляются за 30 дней. Ежегодный независимый аудит по всем режимам. Документ является полным соглашением и заменяет предыдущие версии. Продолжение использования означает принятие обновлений.

Взаимодействуя с AIfa, пользователь выражает явное и безотзывное согласие на сбор, анализ и неизменяемое вечное хранение своих диалогов в децентрализованном блокчейне Arweave. Этот уровень долгосрочной памяти (PADAM) спроектирован для вечного сохранения контекстов взаимодействия. Будучи записанными, эти данные децентрализованы и не могут быть изменены или удалены ни одним центральным органом, включая aifa.works.

aifa.works предоставляет исключительно протокол неизменяемого хранения. Пользователь несёт 100% ответственности за любые данные (личные, коммерческие, проприетарные или конфиденциальные), переданные ИИ. Ни при каких обстоятельствах aifa.works не несёт ответственности за любые прямые, косвенные, штрафные или побочные убытки, связанные с хранением данных на блокчейне. Пользователь полностью отказывается от любых претензий в пределах 200% от уплаченных сервисных сборов.

Сервисы предназначены исключительно для использования физическими лицами, достигшими восемнадцати (18) лет (либо более высокого возраста цифрового совершеннолетия в юрисдикции Пользователя), и, получая доступ, Пользователь самостоятельно подтверждает соответствие этому требованию. Мы сознательно не собираем, не запрашиваем и не обрабатываем Персональные данные детей и несовершеннолетних и не адресуем им контент в значении Закона США COPPA, статьи 8 GDPR/UK-GDPR или аналогичного закона; поскольку Сервисы не предлагаются несовершеннолетним, мы не запрашиваем и не обрабатываем проверяемое согласие родителей или опекунов, и ни одна функция не является услугой информационного общества, предлагаемой непосредственно ребёнку. Любое заявление о возрасте является собственным заявлением Пользователя, мы вправе полагаться на него как на достоверное и не обязаны проверять возраст сверх возрастного барьера. Если нам станет известно, что предоставлены Персональные данные лица, не достигшего применимого возраста, мы отключим соответствующий аккаунт и удалим либо крипто-уничтожим такие данные в коммерчески разумный срок, и такое удаление является единственным и исключительным средством правовой защиты. Родитель или опекун, полагающий, что несовершеннолетний предоставил данные, может обратиться к нам за их удалением; данное право не создаёт для нас обязанностей по мониторингу, проверке или удостоверению возраста.

Пользователь не вправе направлять, загружать, вводить или иным образом передавать в Сервисы любые Персональные данные третьих лиц, а также данные особых категорий (ст. 9 GDPR — расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения, членство в профсоюзе, генетические или биометрические данные, здоровье, половая жизнь или сексуальная ориентация) либо эквивалентную чувствительную персональную информацию по CCPA/CPRA или иному закону, за исключением случаев наличия самостоятельного, действительного и документально подтверждённого законного основания и всех необходимых согласий. Если Пользователь предоставляет такие данные — включая данные, изображения, голос, тексты, переписку или память умершего человека, которые он желает сохранить или симулировать, — он выступает самостоятельным контролёром данных (или бизнесом), а мы действуем исключительно как обработчик или поставщик услуг, исполняющий его указания, и Пользователь несёт исключительную ответственность за правомерность обработки и за все обязанности по прозрачности, согласию, уведомлению и правам субъектов данных перед третьим лицом, включая посмертные права, права на изображение и права наследственной массы. Пользователь заверяет, что обладает всеми правами, полномочиями и согласиями (в том числе, где применимо, от переживших родственников, душеприказчиков или субъекта данных при жизни), предоставит письменное подтверждение по запросу, и обязуется защищать, возмещать и ограждать Архитектора и операторов от любых претензий, регуляторных действий, штрафов или расходов, возникающих из такого предоставления в нарушение настоящего раздела. Мы не собираем, не фиксируем, не храним, не используем, не распространяем и не извлекаем выгоду из каких-либо биометрических идентификаторов или биометрической информации в значении Закона Иллинойса BIPA (740 ILCS 14), Закона Техаса о биометрических идентификаторах, RCW 19.375 Вашингтона или сопоставимого закона, и Сервисы не осуществляют распознавание лиц, распознавание голоса или биометрическую идентификацию; любое изображение, аудио или видео, добровольно направленное Пользователем, обрабатывается только как неструктурированный предоставленный им медиаконтент для запрошенной функции и не регистрируется и не сканируется для создания биометрического шаблона. Мы не являемся охватываемым субъектом или деловым партнёром по HIPAA и не являемся поставщиком медицинских, диагностических или телемедицинских услуг; мы сознательно не собираем потребительских данных о здоровье в значении Закона Вашингтона My Health My Data (RCW 19.373), SB 370 Невады или Закона Коннектикута, не используем геолокацию для вывода состояния здоровья, не создаём геозон вокруг медицинских учреждений и не продаём такие данные. Любой контент о самочувствии, настроении или здоровье, добровольно раскрытый Пользователем, является незапрошенным и на его риск, и в той мере, в какой такой закон всё же признан применимым, добровольное предоставление Пользователем вместе с подтверждением настоящего раздела образует утвердительное добровольное согласие, предусмотренное такими законами, для ограниченной цели предоставления запрошенной диалоговой функции. Мы вправе, но не обязаны и без ответственности, фильтровать, отклонять, редактировать или удалять контент, по всей видимости содержащий такие данные, но не принимаем обязанности по мониторингу и не даём гарантий работоспособности такого контроля.

ИИ-компаньон представляет собой открытый интерфейс свободного ввода текста, и Пользователь несёт единоличную ответственность за контент, который решает вводить, вставлять или загружать. Пользователь должен исходить из того, что всё направленное таким образом может храниться, обрабатываться сторонними провайдерами моделей, использоваться для формирования ответов, индексироваться, эмбеддиться и — если Пользователь выбрал архивирование — постоянно и неизменно записываться в блокчейн в зашифрованном виде, с удалением исключительно посредством крипто-уничтожения. Пользователь не должен раскрывать пароли, приватные ключи, seed-фразы, номера платёжных карт или финансовых счетов, государственные идентификаторы, сведения, охраняемые конфиденциальностью или привилегией, а также любую информацию, сохранения которой не желает. Поскольку контент диалога формируется и хранится на основе предоставленного Пользователем, мы не осуществляем и не можем осуществлять предварительную проверку, верификацию или гарантию его точности, законности или чувствительности, и Пользователь принимает все риски своих раскрытий. Пользователь признаёт, что все Персональные данные и содержание диалогов, обрабатываемые Сервисами, предоставляются добровольно и с осознанием обработки, описанной в настоящем Уведомлении, и соглашается, что обработка в соответствии с ним и указаниями Пользователя санкционирована и ожидаема, не является в высокой степени оскорбительной для разумного лица и не вторгается в юридически защищённую зону уединения или разумного ожидания приватности. В максимально допустимой законом степени Пользователь отказывается от любых требований о вторжении в уединение, публичном раскрытии частных фактов или посягательстве на частную жизнь по общему праву, возникающих из обработки в соответствии с настоящим Уведомлением. Настоящий раздел дополняет, не ограничивая, положения Условий о принятии риска, возмещении и необратимости блокчейна.

Персональные данные хранятся только в течение срока, необходимого для достижения целей сбора, для предоставления выбранной Пользователем функции постоянного архивирования, для соблюдения юридических, налоговых, бухгалтерских, антифрод- и связанных с разрешением споров обязательств и для установления, осуществления или защиты правовых требований, после чего удаляются, анонимизируются или крипто-уничтожаются. Категории данных, цели, законные основания (ст. 6 GDPR, а также ст. 9(2) при добровольном предоставлении данных особых категорий) и сроки хранения изложены в Графике хранения и законных оснований, публикуемом вместе с настоящим Уведомлением, включённом посредством ссылки и обновляемом без умаления материальных прав. Если Пользователь выбрал постоянное архивирование в блокчейне, он понимает и поручает, что зашифрованная запись предназначена для бессрочного сохранения в децентрализованном неизменяемом реестре, что применимый срок хранения является соответственно бессрочным и что удаление осуществляется исключительно посредством крипто-уничтожения (уничтожения ключей), а не удаления записи в цепочке; данное поручение образует документированное указание Пользователя и, где применимо, его прямое согласие на такое бессрочное хранение. Мы привлекаем сторонних субобработчиков и поставщиков услуг (включая облачный хостинг, базы данных, электронную почту, платежи, аналитику, ИИ-модели и децентрализованное хранение), актуальный перечень основных категорий которых предоставляется по запросу или через опубликованный реестр. В случаях, требуемых GDPR или сопоставимым законом, каждый связан письменными условиями, по существу не менее защитными, чем те, которым подчиняемся мы (перенос по ст. 28); мы вправе добавлять, заменять или исключать субобработчиков, и если право возражать является императивным, Пользователь может реализовать его, прекратив использование и расторгнув Сервисы до вступления изменения в силу, при этом продолжение использования означает согласие. Мы не несём ответственности за самостоятельные действия субобработчика сверх перенесённых обязательств, и настоящий раздел не увеличивает пределы ответственности Условий. Мы вправе создавать, извлекать и бессрочно хранить обезличенные, агрегированные, псевдонимизированные и анонимизированные данные и связанные с улучшением моделей выводы, полученные из Сервисов и контента Пользователя, при условии что они не могут в разумной степени идентифицировать лицо; такие данные не являются Персональными данными для целей применимого права и могут использоваться, лицензироваться и раскрываться для любой законной цели без дополнительного уведомления, согласия, вознаграждения или обязательства по удалению. В соответствии с CCPA/CPRA и пунктом 26 преамбулы GDPR мы поддерживаем разумные меры против повторной идентификации, обязуемся не предпринимать попыток повторной идентификации, кроме проверки эффективности обезличивания, и обязываем к тому же получателей. После необратимого обезличивания, агрегирования или крипто-уничтожения запросы об удалении, исправлении или доступе не могут быть удовлетворены, поскольку необходимая связь более не существует, и такая техническая невозможность не является отказом в реализации права субъекта данных.

Мы применяем технические и организационные меры, соразмерные риску, включая шифрование архивных записей, однако безопасность является вопросом разумных усилий, а не гарантией: ни один метод передачи или хранения не является абсолютно безопасным, и ни одна подключённая к интернету или децентрализованная система не может быть гарантирована от любого вторжения. В максимально допустимой законом степени мы не гарантируем бесперебойности, безошибочности или защищённости от потерь и отказываемся от любой строгой, абсолютной или безвиновной ответственности за инцидент, произошедший несмотря на разумные меры. В случае нарушения безопасности персональных данных мы проведём расследование и уведомим затронутых лиц и компетентные надзорные органы только тогда, в те сроки (включая применимый семидесятидвухчасовой срок) и тем способом, которые требуются применимым правом, и такое уведомление не является признанием вины; наша совокупная ответственность из любого инцидента подчиняется положениям Условий о принятии риска, форс-мажоре и ограничении ответственности, включая установленный предел. Мы вправе получать доступ, сохранять и раскрывать Персональные данные и информацию об аккаунте, когда обоснованно полагаем, что это требуется действительной повесткой, судебным приказом, ордером, законом или иным законным государственным или судебным запросом либо необходимо для защиты прав, собственности или безопасности Архитектора, операторов, Пользователей или общества или для выявления или предотвращения мошенничества, проблем безопасности или технических проблем; где юридически разрешено, мы будем стремиться к разумной прозрачности, но закон может запрещать нам уведомлять Пользователя, и мы не несём ответственности за раскрытие при добросовестном доверии к формально действительному правовому процессу. Пользователь признаёт, что записи, которые он решает архивировать в публичный или децентрализованный блокчейн, по своей конструкции реплицируются между независимыми узлами в нескольких юрисдикциях и не находятся в нашем владении или под контролем после записи; такие записи могут быть доступны государствам, судам или третьим лицам и находятся вне нашей возможности удалить их или защитить несмотря на шифрование, и мы не заявляем, что ограничения о локализации данных, суверенитете или государственном доступе могут быть принудительно применены к неизменяемому распределённому реестру, при этом Пользователь принимает данный риск.

Мы утвердительно обязуемся, что не осуществляем и не будем осуществлять продажу Персональных данных и не передаём их для межконтекстной поведенческой рекламы в значении CCPA/CPRA и сопоставимых законов в обмен на денежное или иное ценное встречное предоставление; в силу этого никакой финансовый стимул в рамках «Не продавать и не передавать» не предлагается, поскольку не требуется. Любое раскрытие субобработчикам осуществляется на письменных условиях поставщика услуг или обработчика, ограничивающих использование данных исполнением Сервисов и запрещающих их продажу или самостоятельное использование. Если Пользователь добровольно предоставляет чувствительную персональную информацию, мы ограничиваем её использование и раскрытие целями, разрешёнными § 1798.121 CCPA/CPRA, и не используем её для вывода характеристик. Мы не будем дискриминировать Пользователя или применять ответные меры за реализацию права на конфиденциальность — путём отказа в Сервисах, иной цены либо иного уровня или качества, — кроме случаев, когда различие разумно связано с ценностью данных и допускается законом, и никакая реализация права на удаление или отказ не может толковаться как требующая отмены уже завершённой неизменяемой записи в блокчейне, что технически невозможно. За исключением случаев, когда неотчуждаемое право на частный иск прямо предоставлено императивным применимым правом, обязательства настоящего Уведомления адресованы и подлежат исполнению только через компетентный надзорный или регулирующий орган и не создают самостоятельного частного основания иска, договорной гарантии или права третьего лица, реализуемого любым лицом. Любое требование о конфиденциальности или защите данных, которое может быть законно предъявлено, подчиняется оговоркам, ограничениям, исключениям, арбитражу, порядку уведомления и устранения и отказам от групповых/представительских исков Условий в той мере, в какой это не запрещено императивным правом. В случае инцидента с данными Пользователь соглашается предоставить нам разумную возможность расследовать и устранить его до предъявления требования, смягчать убытки и — если применимый закон допускает выбор или снижение установленных законом или минимальных убытков при добросовестном устранении — что мы можем ссылаться на такое устранение. Ничто в настоящем разделе не ограничивает императивного права Пользователя подать жалобу в надзорный орган или на средство защиты, от которого нельзя отказаться по закону.