Политика конфиденциальности

Толкование

Слова, начинающиеся с заглавной буквы, имеют значения, определённые ниже. Приведённые определения имеют одинаковое значение независимо от того, используются ли они в единственном или во множественном числе.

Определения

Для целей настоящей Политики конфиденциальности:

• Приложение означает веб- или мобильное приложение AACFlow либо связанные с ним сервисы.
• Аккаунт означает уникальную учётную запись, созданную для Вас для доступа к нашему Сервису или его частям.
• Аффилированное лицо означает организацию, которая контролирует сторону, контролируется ею или находится с ней под общим контролем, где «контроль» означает владение 50% или более акций, долей участия или иных ценных бумаг, дающих право голоса на выборах директоров или иного органа управления.
• Business (бизнес) в значении Калифорнийского закона о конфиденциальности потребителей («CCPA») означает Компанию как юридическое лицо, которое собирает персональную информацию потребителей и определяет цели и средства её обработки либо по поручению которого такая информация собирается и которое ведёт деятельность в Калифорнии.
• Компания (далее «Компания», «Мы», «Нас» или «Наш») означает AACFlow.io. Для целей GDPR Компания является контролёром (оператором) данных, когда она определяет цели и средства обработки Персональных данных.
• Cookies — небольшие файлы, которые веб-сайт размещает на Вашем компьютере, мобильном или ином устройстве и которые, среди прочего, содержат сведения об истории Ваших посещений.
• Страна означает Германию. Оператор сервиса — Chibilyaev Alexandr, [[TO BE FILLED: street and number]], [[TO BE FILLED: postal code]] [[TO BE FILLED: city]], Germany (см. Impressum).
• Контролёр (оператор) данных для целей GDPR означает лицо, которое самостоятельно или совместно с другими определяет цели и средства обработки Персональных данных.
• Устройство означает любое устройство, которое может получить доступ к Сервису, например компьютер, мобильный телефон или цифровой планшет.
• Do Not Track (DNT) — концепция, продвигаемая регулирующими органами США, в отношении механизмов, позволяющих пользователям интернета контролировать отслеживание их онлайн-активности на разных сайтах.
• Персональные данные или персональная информация означают информацию, относящуюся к идентифицированному или идентифицируемому физическому лицу. Согласно GDPR к ним относятся такие сведения, как имя, идентификационный номер, данные о местоположении, онлайн-идентификатор или факторы, специфичные для физической, физиологической, генетической, психической, экономической, культурной или социальной идентичности лица. Согласно CCPA к ним относится информация, которая идентифицирует Вас, относится к Вам, описывает Вас, может быть с Вами связана или может быть обоснованно прямо или косвенно с Вами связана.
• Данные Google означают любые данные, контент или метаданные, полученные через API Google, включая API Google Workspace.
• Универсальная модель ИИ/МО означает модель искусственного интеллекта или машинного обучения, предназначенную для широкого обучения на данных нескольких пользователей и не привязанную к данным или поведению одного пользователя.
• Пользовательские функции означают функции, непосредственно видимые отдельному пользователю или используемые им через интерфейс приложения.
• Продажа в значении CCPA означает продажу, аренду, передачу, раскрытие, распространение, предоставление доступа, перенос или иное сообщение персональной информации потребителя другому бизнесу или третьему лицу за денежное или иное ценное встречное предоставление.
• Поставщик услуг означает физическое или юридическое лицо, которое обрабатывает данные по поручению Компании, включая третьих лиц, привлечённых для обеспечения, предоставления, поддержки или анализа Сервиса. Для целей GDPR поставщики услуг являются обработчиками данных.
• Сторонняя социальная сеть означает сайт или социальную сеть, через которую Пользователь может войти в Сервис или создать для него Аккаунт.
• Данные об использовании означают данные, собираемые автоматически — либо возникающие при использовании Сервиса, либо формируемые самой инфраструктурой Сервиса.
• Сайт означает AACFlow, доступный по адресу aacflow.io.
• Вы означает физическое лицо, которое получает доступ к Сервису или использует его, либо компанию или иное юридическое лицо, от имени которого это лицо получает доступ к Сервису или использует его. Согласно GDPR Вы можете быть субъектом данных или Пользователем.

Персональные данные, которые Вы предоставляете

При регистрации, подключении аккаунтов или использовании функций Вы можете предоставить Персональные данные, например:

• Имя и адрес электронной почты
• Номер телефона и почтовый адрес
• Изображение профиля, настройки и предпочтения
• Загружаемый Вами контент, включая документы и файлы
• Данные, которые Вы явно вводите или подключаете, в том числе через интеграции с Google

Данные Google через области доступа API (scopes)

Если Вы решите подключить свой аккаунт Google, включая Google Workspace, Gmail, Drive, Calendar или Contacts, мы можем запрашивать определённые области доступа (scopes). Данные Google, к которым мы можем получать доступ, включают:

• Основную информацию профиля, включая имя и адрес электронной почты
• Файлы Drive
• События календаря
• Контакты
• Сообщения Gmail — только если они явно запрошены для конкретной функции
• Иной контент или метаданные Google Workspace, необходимые для включённой функции

Мы запрашиваем только минимально необходимые области доступа для включённых Вами функций. Мы не запрашиваем области доступа для нереализованных функций.

Данные об использовании

Мы можем собирать информацию о том, как осуществляется доступ к Сервису и как он используется. Данные об использовании могут включать Ваш IP-адрес (Internet Protocol), тип и версию браузера, посещённые страницы, дату и время посещения, время, проведённое на страницах, уникальные идентификаторы Устройства и прочие диагностические данные.

Если Вы получаете доступ к Сервису с мобильного Устройства, мы можем собирать тип Устройства, его уникальный идентификатор, IP-адрес Устройства, мобильную операционную систему, тип мобильного браузера и прочие диагностические данные. Мы также можем собирать информацию, которую отправляет Ваш браузер при посещении Сервиса или доступе к нему.

Данные отслеживания и Cookies

Мы используем Cookies и аналогичные технологии отслеживания, включая маяки (beacons), теги, скрипты, локальное хранилище и пиксели, для отслеживания активности и хранения определённой информации. Там, где требуется согласие, необязательные Cookies отключены, пока Вы не сделаете выбор через баннер cookie. Необходимые Cookies остаются включёнными, поскольку без них Сервис не может работать. Вы можете принять, отклонить или настроить категории необязательных Cookies, а позднее изменить или отозвать этот выбор.

В Политике использования Cookie перечислены Cookies, устанавливаемые AACFlow и его поставщиками, их цели, сроки действия, поставщики и способы изменения или отзыва выбора.

Там, где применяется GDPR, AACFlow опирается на правовые основания, предусмотренные ст. 6(1), следующим образом:

В отношении обработки на основании законных интересов AACFlow проводит оценку баланса интересов, учитывающую преследуемый интерес, необходимость обработки, а также права и разумные ожидания затронутых лиц. Вы вправе возражать против такой обработки на основании ст. 21 GDPR, как описано в разделе 14.

AACFlow не опирается на общественный интерес по ст. 6(1)(e) или жизненно важные интересы по ст. 6(1)(d) ни для какой текущей обработки. AACFlow не обрабатывает специальные категории данных по ст. 9 при предоставлении Сервиса.

Если AACFlow обрабатывает контент клиента по поручению клиента, AACFlow выступает обработчиком, клиент — контролёром, и именно клиент определяет применимое правовое основание. Такая обработка регулируется Соглашением об обработке данных (Data Processing Addendum) и документированными указаниями клиента.

Мы используем собранные данные для следующих целей:

• Для предоставления и поддержки Сервиса
• Для уведомления Вас об изменениях в Сервисе
• Чтобы позволить Вам участвовать в интерактивных функциях, когда Вы этого желаете
• Для оказания клиентской поддержки
• Для предоставления анализа или информации, помогающих нам улучшать Сервис
• Для мониторинга использования Сервиса
• Для выявления, предотвращения и устранения технических проблем
• Для управления Вашим Аккаунтом
• Для исполнения нашего договора с Вами
• Для связи с Вами по электронной почте, телефону, SMS или аналогичными электронными средствами связи
• Для обеспечения и поддержки включённых пользователем интеграций с сервисами Google, включая синхронизацию файлов или календаря, персонализацию, подсказки и пользовательскую автоматизацию
• Для выявления и предотвращения мошенничества, злоупотреблений и инцидентов безопасности
• Для соблюдения юридических обязанностей

Любые Данные Google, используемые в AACFlow, применяются только для функций, привязанных к конкретному пользователю, и не используются для обучения универсальных моделей ИИ/МО или для общего улучшения моделей между пользователями.

Ваша информация, включая Персональные данные, может передаваться на компьютеры, расположенные за пределами Вашего штата, провинции, страны или иной государственной юрисдикции, и храниться на них, где законодательство о защите данных может отличаться. Если Вы находитесь за пределами Соединённых Штатов и предоставляете нам информацию, мы передаём данные в Соединённые Штаты и обрабатываем их там. Основной регион размещения AACFlow — AWS us-east-1 в Соединённых Штатах. Актуальный список Поставщиков услуг ведётся на странице субобработчиков (Sub-processors).

Предоставление Персональных данных само по себе не является согласием на международную передачу. Если AACFlow опирается на согласие, оно даётся свободно, конкретно, информированно и однозначно, получается отдельно путём активного действия и фиксируется.

Международные передачи из Европейской экономической зоны или Великобритании осуществляются с применением надлежащих гарантий, включая:

• Стандартные договорные положения Европейской комиссии, принятые Имплементационным решением (ЕС) 2021/914, а для передач из Великобритании — UK International Data Transfer Addendum
• Соглашения об обработке данных с каждым субобработчиком, включающие применимые положения о передаче
• Оценки воздействия передачи (transfer impact assessments), где это требуется
• Технические и организационные меры, описанные в разделе 5, включая шифрование при передаче и хранении, контроль доступа и журналирование

Копия применимых положений о передаче доступна по запросу на privacy@aacflow.io.

Корпоративные сделки

Если Компания участвует в слиянии, поглощении или продаже активов, Ваши Персональные данные могут быть переданы. Мы уведомим Вас до того, как Ваши Персональные данные будут переданы и станут предметом иной Политики конфиденциальности.

Правоохранительные органы

Компания может быть обязана раскрыть Ваши Персональные данные, если этого требует закон или в ответ на надлежащие запросы государственных органов, включая суд или государственное ведомство, а также для выполнения требований национальной безопасности или правоохранительных органов.

Требования закона

AACFlow может раскрыть Ваши Персональные данные, добросовестно полагая, что это необходимо для того, чтобы:

• Исполнить юридическую обязанность
• Защитить права или имущество AACFlow
• Предотвратить или расследовать возможные нарушения, связанные с Сервисом
• Защитить личную безопасность пользователей Сервиса или общества
• Защититься от юридической ответственности

Безопасность Ваших данных важна для нас, однако ни один способ передачи по интернету и ни один способ электронного хранения не является абсолютно безопасным. Мы применяем технические и организационные меры, предназначенные для защиты Персональных данных, включая шифрование при передаче и хранении, контроль доступа, ролевые разрешения, журналирование и аудит. Мы используем коммерчески приемлемые меры защиты Персональных данных, но не можем гарантировать абсолютную безопасность.

Мы привлекаем сторонние компании и физических лиц для обеспечения работы Сервиса, предоставления Сервиса от нашего имени, оказания сопутствующих услуг или помощи в анализе использования Сервиса. Эти Поставщики услуг могут получать доступ к Персональным данным только для выполнения порученных задач от нашего имени и не вправе раскрывать их или использовать для иных целей.

Правовое основание для раскрытия Персональных данных Поставщикам услуг зависит от соответствующей услуги:

• Необходимость для исполнения договора — ст. 6(1)(b) GDPR: поставщики, необходимые для предоставления Сервиса, интеграций, выставления счетов или иных запрошенных Вами функций
• Законные интересы — ст. 6(1)(f) GDPR: поставщики, используемые для безопасности, хостинга, мониторинга и инструментов поддержки, где интересы AACFlow состоят в эксплуатации, защите, обслуживании и поддержке Сервиса
• Согласие — ст. 6(1)(a) GDPR: поставщики аналитики и рекламы, активируемые через необязательные Cookies или аналогичные технологии

Каждый Поставщик услуг, обрабатывающий Персональные данные от имени AACFlow, привлекается на основании письменного соглашения об обработке данных, устанавливающего конфиденциальность, ограничение целей, безопасность и контроль над субобработчиками. Каждый поставщик проходит проверку безопасности перед подключением и периодически после него и действует только по документированным указаниям AACFlow. Актуальный список поставщиков ведётся на странице субобработчиков (Sub-processors).

Мы можем агрегировать или анонимизировать данные, не относящиеся к Google и не связанные с личностью, для внутренней аналитики, улучшения продукта, анализа тенденций использования или мониторинга производительности. Такие данные не могут быть сопоставлены с отдельными пользователями и не используются для обучения универсальных моделей ИИ/МО на Данных Google.

Компания использует сервисы ремаркетинга Google Ads, Twitter и Facebook для показа рекламы на сторонних сайтах после Вашего посещения Сервиса. Эти сервисы работают через необязательные Cookies и аналогичные технологии. Маркетинговые Cookies и персонализация рекламы включаются только после того, как Вы дадите согласие на категорию «Маркетинг» в баннере cookie. Google Ads может загружаться до этого согласия с отключённым хранением рекламных данных и отправлять ограниченные сигналы согласия без cookie, как описано в Политике использования Cookie.

Вы можете изменить или отозвать согласие в любое время по ссылке на настройки cookie. Если Ваш браузер или расширение отправляет сигнал Global Privacy Control, мы рассматриваем его как отзыв согласия на аналитические и маркетинговые Cookies. В Политике использования Cookie объясняются технологии, поставщики, цели, сроки действия и доступные средства управления.

Средства управления на стороне поставщиков остаются доступными как дополнительный способ:

• Google Ads: Google Ads Settings
• Twitter: Personalization and data settings
• Facebook: Ad preferences

Мы можем предлагать платные продукты или услуги в рамках Сервиса и использовать сторонних платёжных процессоров. Мы не храним и не собираем данные Вашей платёжной карты. Эти данные передаются непосредственно платёжному процессору, использование Персональных данных которым регулируется его политикой конфиденциальности. Платёжные процессоры соблюдают стандарт безопасности данных PCI (PCI Data Security Standard), управляемый PCI Security Standards Council. Платёжный процессор, который мы используем, — Stripe.

Подтверждение и соблюдение требований

Использование, хранение, обработка и передача AACFlow Данных Google, как исходных, так и производных, строго соответствуют Политике Google API Services User Data Policy, включая требования Limited Use, а также, где применимо, политике пользовательских данных API Google Workspace. Мы подтверждаем, что:

• AACFlow не использует, не передаёт и не допускает использования Данных Google для обучения, улучшения или разработки универсальных или неперсонализированных моделей ИИ/МО.
• Обработка Данных Google ограничивается предоставлением или улучшением пользовательских функций, видимых в интерфейсе приложения.
• Мы не разрешаем третьим лицам доступ к Данным Google для обучения или улучшения моделей.
• Передача Данных Google запрещена, за исключением ограниченных допустимых случаев, описанных ниже.

Допустимые передачи и использование данных

Мы можем передавать Данные Google, исходные или производные, третьим лицам только на следующих ограниченных условиях и в соответствии с уведомлениями пользователей и их согласием:

• Для предоставления или улучшения пользовательских функций с явного согласия пользователя
• Для обеспечения безопасности, расследования злоупотреблений или целостности системы
• Для соблюдения законов или юридических обязанностей
• В рамках слияния, поглощения, выделения или продажи активов с явного согласия пользователя

Ограничения доступа сотрудников

Ни один сотрудник, подрядчик или агент не вправе просматривать Данные Google, если не выполняется одно из следующих условий:

• Пользователь дал явное, документированное согласие на просмотр конкретных элементов, например разрешил службе поддержки просмотреть определённое письмо или файл.
• Доступ необходим для обеспечения безопасности, расследования злоупотреблений или судебной процедуры.
• Данные агрегированы и анонимизированы и используются только для внутренних операций без повторной идентификации.

Минимизация и обоснование областей доступа

Мы запрашиваем только области доступа, необходимые для функций, которые Вы включаете. Мы не запрашиваем широкие или неиспользуемые разрешения. Для каждой запрашиваемой области доступа Google API мы ведём внутреннюю документацию, объясняющую, зачем она нужна и почему более узкой области недостаточно. Где возможно, мы используем инкрементальную авторизацию и запрашиваем дополнительные области доступа только по мере необходимости в контексте.

Безопасное обращение и хранение

• Данные Google шифруются при передаче с использованием TLS/HTTPS и при хранении.
• Контроль доступа, ролевые разрешения, журналирование и аудит защищают Данные Google.
• Токены OAuth и учётные данные надёжно хранятся с использованием шифрованного хранилища (vault) или защищённых средств управления ключами.
• Мы регулярно пересматриваем практики безопасности и инфраструктуру.
• Если инцидент безопасности затрагивает Данные Google, мы уведомляем Google в установленном порядке и в полной мере сотрудничаем.

Хранение и удаление

Мы храним данные только столько, сколько необходимо для заявленных целей:

Когда Вы отзываете доступ, удаляете Аккаунт или прекращаете использовать функцию, мы удаляем связанные данные в указанные выше сроки. Вы можете запросить удаление через настройки приложения или связавшись с нами.

AACFlow — платформа для создания и запуска ИИ-агентов. Модели ИИ обрабатывают промпты, файлы, записи, данные интеграций и иной контент, который пользователи решают отправить через свои рабочие процессы.

Поставщики моделей привлекаются в качестве субобработчиков на основании Соглашений об обработке данных и указаны на странице субобработчиков (Sub-processors). Контент клиента, отправленный поставщику модели, не используется ни AACFlow, ни этим поставщиком для обучения или улучшения универсальных или общих моделей. Это обязательство применяется к контенту клиента в целом и для Данных Google повторяет обязательство об ограниченном использовании Данных Google из раздела 10.

Пользователи сами выбирают, какие модели и поставщиков вызывают их рабочие процессы. Пользователи также могут использовать собственные учётные данные поставщиков. Если пользователь предоставляет учётные данные поставщика, обработка выбранным поставщиком по-прежнему регулируется соглашением пользователя с этим поставщиком, а также конфигурацией рабочего процесса, выбранной пользователем.

Результаты работы ИИ носят вероятностный характер и могут быть неполными, неточными или непригодными для конкретной цели. Пользователям следует проверять результаты и не полагаться на них как на единственное основание для решения, влекущего юридические или аналогичные существенные последствия для физического лица.

AACFlow не осуществляет автоматизированное принятие решений, влекущее юридические или аналогичные существенные последствия для физических лиц, в значении ст. 22 GDPR. Если это изменится, мы обновим настоящую Политику конфиденциальности и обеспечим гарантии, требуемые ст. 22, включая информацию о задействованной логике и право на вмешательство человека, на изложение своей точки зрения и, где применимо, на оспаривание решения.

Промпты и результаты хранятся в соответствии с категорией данных и контекстом, в котором они обрабатываются. Контент Аккаунта и рабочих процессов следует сроку хранения Данных Аккаунта из таблицы хранения в разделе 10; Данные Google, Журналы использования и Записи о транзакциях следуют своим срокам из этой таблицы. Вопросы об обработке ИИ можно направлять на privacy@aacflow.io.

Наш Сервис может содержать ссылки на сайты, которыми мы не управляем. Если Вы перейдёте по ссылке третьей стороны, Вы попадёте на сайт этой третьей стороны. Мы рекомендуем ознакомиться с политикой конфиденциальности каждого посещаемого Вами сайта. Мы не контролируем и не несём ответственности за содержание, политики конфиденциальности или практики сторонних сайтов и сервисов.

Сервис не предназначен для лиц младше 18 лет, и AACFlow сознательно не собирает и не обрабатывает Персональные данные детей. Если Персональные данные детей были случайно собраны без надлежащего согласия родителей, AACFlow предпримет необходимые меры для их удаления из своих записей. Любому, кто полагает, что AACFlow собрало Персональные данные детей, следует написать на privacy@aacflow.io, чтобы вопрос был оперативно рассмотрен.

Мы можем время от времени обновлять настоящую Политику конфиденциальности. Мы уведомим Вас, опубликовав обновлённую Политику на этой странице и изменив дату «Последнее обновление». О существенном изменении мы уведомим Вас по электронной почте или заметным уведомлением в Сервисе до вступления изменения в силу. Изменения вступают в силу с момента публикации, если в уведомлении не указано иное.

Если Вы находитесь в Европейской экономической зоне, у Вас есть следующие права в области защиты данных:

• Доступ: право получить подтверждение того, обрабатываем ли мы Ваши Персональные данные, и получить копию этих данных.
• Исправление: право исправить неточные Персональные данные и дополнить неполные Персональные данные.
• Удаление: право потребовать удаления Ваших Персональных данных при выполнении применимых условий.
• Возражение: право возражать против обработки на основании законных интересов и в любое время возражать против обработки для целей прямого маркетинга.
• Ограничение: право потребовать ограничения обработки при выполнении применимых условий.
• Переносимость данных: право получить предоставленные Вами Персональные данные в структурированном, распространённом и машиночитаемом формате и передать их другому контролёру, где это применимо.
• Отзыв согласия: право в любое время отозвать согласие, если AACFlow опирается на согласие. Отзыв не затрагивает законность обработки, осуществлённой до отзыва.

Вы можете направить запрос на privacy@aacflow.io, через настройки Аккаунта в приложении (для доступа и удаления) или по почтовому адресу из раздела 17.

Мы отвечаем без неоправданной задержки и в течение одного месяца после получения запроса. Этот срок может быть продлён ещё на срок до двух месяцев, если это необходимо в силу сложности или количества запросов. Если требуется продление, мы сообщим Вам об этом в течение первого месяца и объясним причину.

Запросы обрабатываются бесплатно. Если запрос явно необоснован, чрезмерен или повторяется, мы можем взять разумную плату, исходя из административных расходов, или отказаться действовать. Если мы откажем или возьмём плату, мы укажем причины и разъясним доступные права на жалобу и судебную защиту.

Перед выполнением запроса мы можем запросить информацию, необходимую для подтверждения Вашей личности. Информация, собранная для проверки, будет использоваться только для этой цели.

Вы вправе подать жалобу в надзорный орган государства-члена, в котором Вы проживаете, работаете или в котором произошло предполагаемое нарушение (ст. 77 GDPR), без ущерба для любых иных административных или судебных средств защиты.

Те же права предоставляются субъектам данных в Великобритании в соответствии с UK GDPR.

Если Вы проживаете в Калифорнии, у Вас есть права по CCPA и Калифорнийскому закону о правах на конфиденциальность (California Privacy Rights Act), включая право знать, какую персональную информацию мы собираем, право на удаление персональной информации и право отказаться от продажи или передачи («sharing») персональной информации.

Не продавать и не передавать мою персональную информацию

Мы не продаём персональную информацию за денежное вознаграждение. Некоторые раскрытия для целей аналитики или рекламы могут считаться «продажей» или «передачей» по законодательству Калифорнии. Вы можете отказаться, написав на privacy@aacflow.io или воспользовавшись ссылкой на настройки cookie.

Global Privacy Control

Мы распознаём и учитываем сигналы Global Privacy Control. Когда Ваш браузер отправляет сигнал Global Privacy Control, мы рассматриваем его как действительный запрос об отказе от продажи или передачи персональной информации.

Раздел 1798.83 Гражданского кодекса Калифорнии (California Civil Code) позволяет жителям Калифорнии запрашивать информацию о категориях персональной информации, раскрытой третьим лицам в целях прямого маркетинга в течение предыдущего календарного года. Запросы по CCPA, California Privacy Rights Act или закону Shine the Light можно направлять по контактам из раздела 17.

AACFlow стремится сохранять безопасность данных, предотвращая несанкционированное раскрытие информации. Этот раздел содержит для исследователей безопасности инструкции по поиску уязвимостей и сообщению об обнаруженных уязвимостях.

Правила

• Сообщите нам как можно скорее после обнаружения реальной или потенциальной проблемы безопасности.
• Дайте нам разумное время устранить проблему до публичного раскрытия.
• Избегайте нарушений конфиденциальности, ухудшения пользовательского опыта, нарушения работы производственных систем, а также уничтожения или изменения данных.
• Используйте эксплойты лишь в той мере, в какой это необходимо для подтверждения существования уязвимости. Не используйте эксплойт для компрометации или получения данных, получения доступа к командной строке, закрепления в системе или перехода к другим системам.
• Если Вы обнаружили чувствительные данные, включая Персональные данные, финансовую информацию, служебную информацию или коммерческую тайну, прекратите тестирование, немедленно уведомите нас и сохраните конфиденциальность данных.
• Не отправляйте большое количество некачественных отчётов.

Разрешение

Исследования безопасности, проведённые в соответствии с настоящей политикой, считаются допустимыми. Мы будем сотрудничать с Вами, чтобы понять и устранить проблему, и AACFlow не будет предлагать или предпринимать юридические действия в связи с исследованием, соответствующим политике.

Область применения

Настоящая политика применяется к следующим системам и сервисам:

• Сайт aacflow.io
• Веб-приложение AACFlow
• API-сервисы AACFlow

Сервис, прямо не указанный выше, включая связанные сторонние сервисы, находится вне области применения, и его тестирование не допускается. Уязвимости в сторонних продуктах, используемых AACFlow, не охватываются и должны быть переданы соответствующему поставщику в соответствии с его политикой раскрытия. Если Вы не уверены, входит ли система или конечная точка в область применения, свяжитесь с security@aacflow.io до начала тестирования.

Неразрешённое тестирование

Следующие виды тестирования не разрешены:

• Сетевое тестирование отказа в обслуживании (DoS) или распределённого отказа в обслуживании (DDoS)
• Физическое тестирование, включая проникновение в офис, открытые двери или проход следом за сотрудником (tailgating)
• Социальная инженерия, включая фишинг или вишинг
• Иное нетехническое тестирование на уязвимости

Отчётность

Отправляйте отчёты об уязвимостях на security@aacflow.io. Мы подтвердим получение отчёта до следующего рабочего дня. Отчёты можно отправлять анонимно.

Отчёт должен по возможности содержать:

• Описание уязвимости
• Место, где она была обнаружена
• Её потенциальное влияние
• Шаги воспроизведения, включая скрипты и скриншоты, если они есть

Отчёты по возможности следует предоставлять на английском языке. Если Вы укажете контактные данные, мы будем общаться прозрачно и своевременно. Мы подтвердим получение в течение трёх рабочих дней и по мере возможности будем информировать Вас о проверке и устранении.

Вопросы, запросы или жалобы относительно настоящей Политики конфиденциальности или наших практик обработки данных можно направлять:

• Email: privacy@aacflow.io
• Почтовый адрес: Chibilyaev Alexandr, [[TO BE FILLED: street and number]], [[TO BE FILLED: postal code]] [[TO BE FILLED: city]], Germany

Мы ответим на Ваш запрос в сроки, указанные в разделе 14, где эти сроки применимы.

Для пользователей в Российской Федерации персональные данные обрабатываются российским оператором в соответствии с Федеральным законом № 152-ФЗ. См. политику на русском языке по адресу /privacy-ru, где также указаны сведения об операторе и платёжные провайдеры (Bank Tochka, Robokassa).

Для целей ст. 4(7) GDPR контролёром (оператором) данных аккаунта, платежей и сайта, обрабатываемых через aacflow.io, является Chibilyaev Alexandr, [[TO BE FILLED: street and number]], [[TO BE FILLED: postal code]] [[TO BE FILLED: city]], Germany (см. Impressum). Контакт по вопросам конфиденциальности: privacy@aacflow.io. Общий контакт: legal@aacflow.io.

Уполномоченный по защите данных (DPO). Мы не назначали уполномоченного по защите данных, поскольку не обязаны делать это по закону (§ 38 BDSG, ст. 37 GDPR); вопросы направляйте контактному лицу по вопросам конфиденциальности, указанному выше. [[TO BE FILLED: Owner - confirm no DPO is required, or enter the DPO name and e-mail in lib/legal/company.ts]]

Когда мы обрабатываем контент клиента в качестве обработчика для бизнес-клиента, клиент является контролёром, и применяется наше Соглашение об обработке данных (DPA); актуальный список субобработчиков является публичным.

Вы можете подать жалобу в надзорный орган по защите данных (ст. 77 GDPR). Компетентный для нас орган: [[TO BE FILLED: competent data protection supervisory authority (Aufsichtsbehoerde) for the operator's seat, e.g. the Land commissioner for data protection]]. Вы также можете обратиться в орган государства-члена, в котором Вы проживаете или работаете. Пользователи в Великобритании могут обратиться в ICO.

• Если персональные данные покидают ЕЭЗ и передаются в страну без решения об адекватности, мы опираемся на Стандартные договорные положения ЕС (Решение (ЕС) 2021/914) и, для Великобритании, на UK Addendum вместе с дополнительными мерами. Копия доступна по запросу.
• Данные платежей клиентов, оплачивающих через Bank Tochka или Robokassa, обрабатываются в Российской Федерации в соответствии с Федеральным законом № 152-ФЗ (см. /privacy-ru). В отношении России нет решения ЕС об адекватности; эти передачи необходимы для исполнения договора (ст. 49(1)(b) GDPR) и касаются только клиентов, выбравших такие способы оплаты.
• Поставщики моделей (например, OpenAI, Anthropic, OpenRouter) в основном работают в США. Ваши промпты направляются только тем моделям, которые Вы выбираете в своих рабочих процессах. См. список субобработчиков.