Licitex
Скачать PDF Печать На главную

Политика обработки персональных данных

Настоящая Политика в отношении обработки персональных данных (далее — «Политика») разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ»), Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Конституцией Российской Федерации, а также иными нормативными правовыми актами Российской Федерации в области защиты персональных данных.

Политика устанавливает порядок обработки и обеспечения безопасности персональных данных Индивидуальным предпринимателем Исаровой Ксенией Михайловной (далее — «Оператор», «Licitex») и распространяется на все персональные данные, обрабатываемые Оператором в связи с предоставлением сервиса Licitex (доменное имя licitex.ru, далее — «Сервис»).

Действующая редакция Политики постоянно размещена в свободном доступе по адресу licitex.ru/privacy.

1. Общие положения и сведения об Операторе

1.1. Оператор персональных данных:

Индивидуальный предприниматель Исарова Ксения Михайловна

ОГРНИП: 322619600235845

ИНН: 612705391078

Адрес: 347570, Ростовская область, Песчанокопский район, село Песчанокопское, площадь Павших борцов, дом 29

Электронная почта: privacy@licitex.ru

Сайт: licitex.ru

1.2. Лицо, ответственное за организацию обработки персональных данных у Оператора, — Исарова Ксения Михайловна. Запросы по вопросам обработки персональных данных направляются по адресу электронной почты privacy@licitex.ru.

1.3. Действие Политики распространяется на всех субъектов персональных данных, чьи данные Оператор обрабатывает в связи с функционированием Сервиса, в том числе на пользователей Сервиса, потенциальных и фактических заказчиков услуг, тендерных специалистов, посетителей сайта licitex.ru, а также на физических лиц, чьи персональные данные могут содержаться в загружаемой пользователями документации.

1.4. Политика подлежит изменению и дополнению при изменении законодательства Российской Федерации, технологий обработки персональных данных, а также по решению Оператора. Актуальная редакция Политики размещается на сайте licitex.ru/privacy и доступна для ознакомления круглосуточно.

1.5. Существенные изменения настоящей Политики, затрагивающие правовые основания обработки, состав получателей персональных данных или перечень иностранных государств, на территорию которых осуществляется передача, требуют получения нового согласия Субъекта. До получения нового согласия обработка персональных данных Субъекта продолжается в соответствии с предыдущей редакцией Политики, действовавшей на момент получения ранее предоставленного согласия.

2. Принципы обработки персональных данных

2.1. Оператор обрабатывает персональные данные на основе следующих принципов, прямо предусмотренных статьёй 5 152-ФЗ:

  • законность и справедливость целей и способов обработки;
  • ограничение обработки персональных данных достижением конкретных, заранее определённых и законных целей; недопустимость обработки, несовместимой с целями сбора;
  • недопустимость объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
  • соответствие содержания и объёма обрабатываемых персональных данных заявленным целям обработки (принцип минимизации, часть 5 статьи 5 152-ФЗ);
  • обеспечение точности, достаточности и актуальности персональных данных;
  • уничтожение или обезличивание персональных данных по достижении целей обработки или утрате необходимости в их достижении.

2.2. Privacy by Design (защита данных по умолчанию).

Оператор реализует принцип минимизации на технологическом уровне применительно к передаче персональных данных внешним получателям. До направления любых данных внешним AI-провайдерам специализированный программный модуль Оператора (далее — «Sanitizer») автоматически удаляет из подлежащего передаче текста прямые идентификаторы физических лиц (фамилии, имена, отчества, номера телефонов, адреса электронной почты, паспортные данные, СНИЛС, банковские реквизиты физических лиц, личные адреса) и заменяет их типизированными плейсхолдерами.

Sanitizer применяется принудительно через единый внутренний шлюз («AI Gateway») — программный модуль Оператора, через который проходят все вызовы внешних AI-сервисов. Обход Sanitizer на уровне бизнес-логики Сервиса технически невозможен.

2.3. Минимизация при передаче применяется только в момент направления данных внешним получателям. Внутри инфраструктуры Оператора (на серверах, расположенных на территории Российской Федерации) персональные данные обрабатываются в исходном виде на основании согласия Субъекта, предоставленного при регистрации в Сервисе. Это позволяет отображать Пользователю содержимое Документации закупки в исходном виде в личном кабинете, при этом во внешние AI-сервисы передаётся минимизированный текст.

2.4. Применение Sanitizer не отменяет статус передаваемой информации как персональных данных в случаях, когда личность субъекта может быть установлена с использованием дополнительной информации (в том числе из общедоступных реестров, таких как Единая информационная система в сфере закупок zakupki.gov.ru, ЕГРЮЛ, ЕГРИП). В таких случаях Оператор квалифицирует обработку как обработку персональных данных и обеспечивает соблюдение всех требований 152-ФЗ, в том числе наличие правового основания, согласия на трансграничную передачу и уведомления уполномоченного органа.

2.5. Оператор не принимает решения, порождающие юридические последствия в отношении субъекта персональных данных, исключительно на основании автоматизированной обработки персональных данных. Результаты автоматизированной обработки моделями искусственного интеллекта (AI-отчёты, ответы AI-чата, проекты документов) носят исключительно рекомендательный характер. Решения, основанные на таких результатах, принимаются уполномоченными представителями Пользователя самостоятельно.

3. Термины и определения

В настоящей Политике используются следующие термины и определения:

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

Обработка персональных данных — любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без них, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение.

Субъект — физическое лицо, чьи персональные данные обрабатывает Оператор.

Пользователь — лицо, использующее Сервис, в том числе зарегистрированное в Сервисе в качестве владельца организации, тендерного менеджера, сотрудника организации или тендерного специалиста.

Заказчик — организация (юридическое лицо или индивидуальный предприниматель), от имени которой действует Пользователь, заключившая с Оператором договор на условиях публичной оферты.

Документация закупки — файлы и иные материалы, относящиеся к конкретной закупке, размещённые на тендерных площадках или загружаемые Пользователем в Сервис вручную.

AI-анализ — автоматизированная обработка Документации закупки моделями искусственного интеллекта, в том числе предоставленными третьими лицами (AI-провайдерами), с целью формирования отчёта по закупке.

AI-провайдер — третье лицо, предоставляющее доступ к моделям искусственного интеллекта в формате программного интерфейса (API), используемое Оператором (непосредственно или через Партнёрскую организацию) для оказания услуг AI-анализа и AI-чата. По состоянию на дату публикации настоящей Политики основным AI-провайдером Оператора является DeepSeek (Китайская Народная Республика). Также используются Anthropic PBC и OpenAI L.L.C. (Соединённые Штаты Америки) — через Партнёрскую организацию.

Партнёрская организация — иностранное юридическое лицо, расположенное в Республике Узбекистан, привлекаемое Оператором на основании договора поручения на обработку персональных данных в порядке, установленном частью 3 статьи 6 152-ФЗ, для целей передачи персональных данных AI-провайдерам, в отношении которых заключение прямого договора с Оператором (российским индивидуальным предпринимателем) затруднено или невозможно по причинам, не зависящим от Оператора. Партнёрская организация заключает прямые договоры с такими AI-провайдерами, обеспечивает техническую интеграцию и направляет в их адрес минимизированный текст, полученный от Оператора.

Минимизированный текст — текстовый фрагмент Документации закупки или иного материала, прошедший автоматическую обработку Sanitizer, в котором прямые идентификаторы физических лиц удалены или заменены типизированными плейсхолдерами.

Sanitizer / AI Gateway — программные модули Оператора, обеспечивающие реализацию принципа минимизации (раздел 2.2 настоящей Политики).

Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или юридическому лицу.

4. Цели обработки персональных данных

4.1. Оператор обрабатывает персональные данные исключительно в следующих целях:

  • регистрация и идентификация Пользователей в Сервисе, ведение учётных записей;
  • заключение, исполнение, изменение и расторжение договоров с Заказчиками и тендерными специалистами;
  • оказание Пользователям услуг Сервиса, в том числе AI-анализа Документации закупки, AI-чата по закупке, ведения закупок и контрактов, управления командой;
  • проведение расчётов, включая пополнение внутреннего баланса Заказчика, списание средств в счёт оплаты услуг, выплаты комиссий и реферальных вознаграждений тендерным специалистам, возврат денежных средств;
  • направление Пользователю информационных и сервисных уведомлений, связанных с использованием Сервиса;
  • обеспечение работы службы поддержки, обработка обращений Пользователей;
  • обеспечение информационной безопасности Сервиса, выявление и предотвращение неправомерных действий, защита прав и законных интересов Оператора и Пользователей;
  • ведение бухгалтерского и налогового учёта, исполнение требований законодательства Российской Федерации о применении контрольно-кассовой техники (54-ФЗ);
  • направление рекламных и маркетинговых сообщений (исключительно при наличии отдельного согласия Субъекта).

4.2. Обработка персональных данных в иных целях, не предусмотренных настоящей Политикой, не допускается. При необходимости расширения целей обработки Оператор обязан получить дополнительное согласие Субъекта или иное законное основание.

5. Правовые основания обработки персональных данных

5.1. Обработка персональных данных Оператором осуществляется на следующих правовых основаниях:

  • согласие Субъекта на обработку его персональных данных (пункт 1 части 1 статьи 6 152-ФЗ), предоставляемое при регистрации в Сервисе и при совершении иных юридически значимых действий;
  • необходимость исполнения договора, стороной которого является Субъект (пункт 5 части 1 статьи 6 152-ФЗ);
  • необходимость осуществления прав и законных интересов Оператора или третьих лиц при условии, что при этом не нарушаются права и свободы Субъекта (пункт 7 части 1 статьи 6 152-ФЗ) — в том числе для целей обработки Пользователем Документации закупки в его собственных деловых интересах при подготовке заявки на участие в закупке;
  • необходимость исполнения возложенных на Оператора законом обязанностей (пункт 2 части 1 статьи 6 152-ФЗ), в том числе по налоговому, бухгалтерскому учёту и применению контрольно-кассовой техники;
  • отдельное согласие Субъекта на трансграничную передачу персональных данных (статья 12 152-ФЗ) — для целей передачи минимизированного текста и иных персональных данных AI-провайдерам и операторам мессенджеров с международной инфраструктурой;
  • отдельное согласие Субъекта на получение рекламных и информационных рассылок (часть 1 статьи 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»).

5.2. В отношении персональных данных, ставших общедоступными в силу прямого указания закона (в том числе сведения, размещённые на официальном портале Единой информационной системы в сфере закупок zakupki.gov.ru в порядке, установленном Федеральным законом от 05.04.2013 № 44-ФЗ «О контрактной системе» и Федеральным законом от 18.07.2011 № 223-ФЗ «О закупках товаров, работ, услуг отдельными видами юридических лиц»), применяются положения статьи 8 152-ФЗ. Обработка таких данных осуществляется в целях, соответствующих целям их публикации (обеспечение прозрачности закупок и возможность участникам ознакомиться с документацией). Это не освобождает Оператора от соблюдения принципов обработки, установленных статьёй 5 152-ФЗ, в том числе принципа минимизации.

6. Категории субъектов и обрабатываемых персональных данных

6.1. Пользователи — представители организаций (владельцы, тендерные менеджеры, сотрудники).

Обрабатываются: фамилия, имя, отчество; адрес электронной почты; номер мобильного телефона; учётные данные (логин, хешированный пароль); должность и роль в организации; идентификатор Telegram (chat_id) и иные идентификаторы для отправки уведомлений; IP-адрес и иные технические данные сессии; история действий в Сервисе; загружаемое Пользователем фото профиля (по желанию).

6.2. Тендерные специалисты.

Обрабатываются: фамилия, имя, отчество; адрес электронной почты; номер мобильного телефона; учётные данные; идентификаторы для уведомлений; банковские реквизиты для выплаты комиссий и реферальных вознаграждений; статус налогоплательщика (самозанятый / индивидуальный предприниматель), ИНН; история начислений, выплат и реферальной активности; учётные данные тендерных площадок (логин и пароль для авторизации на тендерных площадках, хранящиеся в зашифрованном виде).

Учётные данные тендерных площадок используются Оператором исключительно для обеспечения работы автоматизированных функций Сервиса по поручению Пользователя (получение информации о закупках, скачивание документации). Оператор не использует указанные данные для иных целей, не передаёт их третьим лицам и не инициирует от имени Пользователя действий, выходящих за рамки явных команд, поданных Пользователем через интерфейс Сервиса.

6.3. Заказчики — индивидуальные предприниматели и физические лица.

Обрабатываются: фамилия, имя, отчество; ОГРНИП; ИНН; адрес регистрации; банковские реквизиты; адрес электронной почты; номер телефона; иные сведения, предоставленные при регистрации организации.

6.4. Посетители сайта licitex.ru.

Обрабатываются: IP-адрес; сведения о браузере и операционной системе; технические идентификаторы сессии; сведения о действиях на сайте (для целей обеспечения работоспособности и безопасности Сервиса). Системы внешней веб-аналитики (Яндекс.Метрика, Google Analytics и аналогичные) Оператором не используются.

6.5. Третьи лица, чьи данные могут содержаться в Документации закупки.

Документация закупки, загружаемая Пользователями в Сервис или подгружаемая автоматически с тендерных площадок, может содержать персональные данные третьих лиц (фамилии, имена, отчества подписантов, контактных лиц заказчика закупки, исполнителей и иных лиц). Оператор не является источником таких данных и не имеет прямых отношений с указанными третьими лицами.

Применение Sanitizer. До направления Документации закупки внешним AI-провайдерам Оператор автоматически применяет Sanitizer, удаляющий прямые идентификаторы физических лиц (раздел 2.2 настоящей Политики). Это обеспечивает соблюдение принципа минимизации (часть 5 статьи 5 152-ФЗ): внешним AI-провайдерам передаётся не оригинальный текст Документации закупки, а минимизированный текст с типизированными плейсхолдерами вместо прямых идентификаторов физических лиц.

При этом Оператор признаёт, что в ряде случаев личность подписанта или иного лица может быть установлена путём сопоставления минимизированного текста с публично доступной информацией (в том числе с данными zakupki.gov.ru, ЕГРЮЛ, ЕГРИП). В таких случаях Оператор квалифицирует обработку как обработку персональных данных и обеспечивает соблюдение всех требований 152-ФЗ применительно к такой обработке, в том числе наличие правового основания и согласия Субъекта на трансграничную передачу.

Загружая или инициируя загрузку Документации закупки в Сервис, Пользователь гарантирует Оператору наличие всех правовых оснований для передачи и последующей обработки персональных данных третьих лиц, включая (при необходимости) согласия таких лиц, основания, предусмотренные законом, или обезличивание данных. Пользователь в полном объёме несёт ответственность за нарушение требований законодательства Российской Федерации о персональных данных, допущенное при загрузке Документации закупки, в том числе перед третьими лицами и контролирующими органами.

В случае предъявления к Оператору требований, претензий или санкций со стороны третьих лиц или государственных органов в связи с обработкой персональных данных, содержащихся в загруженной Пользователем Документации закупки, Пользователь обязан возместить Оператору все понесённые в связи с этим расходы, включая суммы штрафов, компенсаций, судебных и юридических издержек.

Пользователь обязан по возможности исключать из Документации закупки избыточные персональные данные третьих лиц и осуществлять их обезличивание (удаление или замену прямых идентификаторов), если это не препятствует достижению цели AI-анализа. Оператор вправе удалять, фильтровать или иным образом ограничивать обработку загруженных материалов в случае выявления нарушения Пользователем требований законодательства о персональных данных.

Оператор обрабатывает персональные данные третьих лиц, содержащиеся в Документации закупки, исключительно с целью оказания услуг AI-анализа и не использует их в иных целях.

6.6. Запрет на обработку специальных категорий персональных данных.

Оператор не предназначен для обработки специальных категорий персональных данных (касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, наличия судимости) и биометрических персональных данных. Загрузка Пользователями материалов, содержащих такие данные, в Сервис запрещена.

В случае обнаружения в Документации закупки персональных данных специальных категорий или биометрических персональных данных Оператор вправе незамедлительно прекратить обработку соответствующих материалов, удалить их из Сервиса и приостановить оказание услуг Пользователю до выяснения обстоятельств.

7. Способы и сроки обработки персональных данных

7.1. Обработка персональных данных Оператором осуществляется как с использованием средств автоматизации (в составе программно-аппаратного комплекса Сервиса), так и без таковых.

7.2. Обработка персональных данных включает: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), трансграничную передачу, обезличивание, блокирование, удаление и уничтожение персональных данных.

7.3. Сроки обработки и хранения персональных данных:

  • персональные данные Пользователей и Заказчиков обрабатываются в течение всего срока действия учётной записи в Сервисе и в течение 3 (трёх) лет после её удаления — для целей урегулирования возможных споров и исполнения обязательств, предусмотренных законодательством;
  • персональные данные, содержащиеся в Документации закупки, хранятся в зависимости от статуса закупки: для выигранных контрактов — 365 дней с даты изменения статуса; для проигранных закупок — 90 дней; для закупок со статусом «Не подходит» — 30 дней; для иных активных закупок — пока Пользователь не удалит их из Сервиса;
  • персональные данные, содержащиеся в финансовых документах (история платежей, чеки, акты, реквизиты, использованные для пополнения и возврата), хранятся в течение сроков, установленных законодательством Российской Федерации о бухгалтерском и налоговом учёте, но не менее 5 (пяти) лет;
  • логи действий, аудит-логи и журналы безопасности — в течение 12 (двенадцати) месяцев;
  • логи запросов к AI-провайдерам (промпт-логи) — хранятся в обезличенном виде, в отдельном защищённом контуре, со сроком хранения не более 30 (тридцати) календарных дней; по истечении срока — автоматическое удаление;
  • персональные данные, обрабатываемые на основании отдельного согласия (например, для рекламных рассылок), — до отзыва согласия Субъектом.

7.4. По истечении сроков хранения, а также при достижении целей обработки, отзыве согласия Субъекта или утрате необходимости в обработке Оператор уничтожает или обезличивает персональные данные, если это не противоречит требованиям законодательства Российской Федерации.

8. Передача персональных данных третьим лицам

8.1. В целях соблюдения требований законодательства о персональных данных Оператор различает три категории третьих лиц, которым может передаваться обработка персональных данных:

Категория А — лица, осуществляющие обработку по поручению Оператора (часть 3 статьи 6 152-ФЗ). С такими лицами Оператор заключает договор поручения на обработку персональных данных, содержащий перечень обрабатываемых персональных данных, цели обработки, обязанности по соблюдению конфиденциальности и обеспечению безопасности.

Категория Б — самостоятельные получатели персональных данных, передача которым осуществляется на основании отдельного согласия Субъекта (в том числе согласия на трансграничную передачу по статье 12 152-ФЗ). С такими получателями Оператор не вступает в отношения поручения; основанием передачи является волеизъявление Субъекта, информированного об условиях и рисках передачи. Заключение договоров поручения на обработку персональных данных с лицами данной категории невозможно по причине их расположения в иностранных юрисдикциях, не готовых заключать договоры в форме, соответствующей требованиям российского законодательства.

Категория В — получатели в силу прямого указания закона. Согласие Субъекта не требуется. К данной категории относятся государственные органы Российской Федерации, которым персональные данные передаются по запросу суда, прокуратуры, правоохранительных органов, налоговой службы и иных уполномоченных органов в порядке, предусмотренном законодательством.

8.2. Категория А — обработчики по поручению Оператора.

К данной категории относятся:

ООО «Региональный Технический Центр» (товарный знак Timeweb), Россия — поставщик услуг хостинга, обеспечивающий размещение программно-аппаратной инфраструктуры Сервиса;

Партнёрская организация (Республика Узбекистан) — привлекается Оператором на основании договора поручения на обработку персональных данных, заключённого в порядке, установленном частью 3 статьи 6 152-ФЗ. Используется для целей передачи минимизированного текста AI-провайдерам Anthropic PBC, OpenAI L.L.C. и иным AI-провайдерам с инфраструктурой за пределами Российской Федерации, заключение прямого договора с которыми Оператором (российским индивидуальным предпринимателем) затруднено или невозможно. Партнёрская организация заключает прямые договоры с указанными AI-провайдерами, обеспечивает техническую интеграцию и применяет меры защиты, предусмотренные договором поручения и требованиями российского законодательства о персональных данных. Дальнейшая передача персональных данных Партнёрской организацией в адрес AI-провайдеров квалифицируется как самостоятельная передача в режиме, определяемом пользовательскими соглашениями соответствующих AI-провайдеров;

платёжные операторы (агрегаторы платежей) — для приёма пополнений баланса и осуществления возвратов, а также для формирования фискальных документов в соответствии с 54-ФЗ. Передаются: фамилия, имя, отчество плательщика, сумма платежа, контактные данные для отправки чека;

операторы фискальных данных (ОФД) — для передачи в Федеральную налоговую службу сведений о расчётах в порядке, установленном 54-ФЗ;

кредитные организации (банки) — для перечисления выплат тендерным специалистам и возвратов Заказчикам;

привлекаемые Оператором лица, оказывающие услуги в области бухгалтерского, налогового и юридического сопровождения, — на основании договоров, предусматривающих обязательства по сохранению конфиденциальности и обработке персональных данных по поручению Оператора.

8.3. Категория Б — самостоятельные получатели на основании отдельного согласия Субъекта.

К данной категории относятся:

DeepSeek (Китайская Народная Республика) — основной AI-провайдер Оператора, используемый для целей AI-анализа Документации закупки и работы AI-чата. Получает минимизированный текст после применения Sanitizer непосредственно от Оператора.

Anthropic PBC, OpenAI L.L.C. и иные AI-провайдеры с инфраструктурой в Соединённых Штатах Америки — получают минимизированный текст через Партнёрскую организацию (Категория А, пункт 8.2 настоящей Политики). Указанные AI-провайдеры являются самостоятельными получателями персональных данных в значении настоящего пункта; они обрабатывают полученные данные в соответствии с собственными пользовательскими и сервисными соглашениями и публичными политиками конфиденциальности.

Telegram FZ-LLC и аффилированные с ним лица (Объединённые Арабские Эмираты и иные страны размещения инфраструктуры) — оператор мессенджера, используемого для доставки Пользователям сервисных и информационных уведомлений. Получает идентификатор учётной записи Пользователя в мессенджере (chat_id) и тексты направляемых уведомлений.

WhatsApp LLC (Соединённые Штаты Америки) — оператор мессенджера, подключаемого Пользователем по его инициативе для доставки уведомлений. Передача осуществляется только при явной привязке Пользователем своего номера к учётной записи в Сервисе.

Оператор сервиса MAX — оператор мессенджера, подключаемого Пользователем по его инициативе для доставки уведомлений.

8.4. Реализация принципа минимизации при передаче.

8.4.1. До направления каких-либо данных AI-провайдерам Оператор автоматически применяет Sanitizer (раздел 2.2 настоящей Политики), удаляющий прямые идентификаторы физических лиц. AI-провайдерам передаётся минимизированный текст, не содержащий прямых идентификаторов физических лиц, а не оригинальные документы Пользователя.

8.4.2. Применение Sanitizer не отменяет обязательность отдельного согласия Субъекта на трансграничную передачу, поскольку (а) минимизированный текст в ряде случаев допускает реидентификацию посредством сопоставления с общедоступной информацией; (б) данные Пользователя (адрес электронной почты, идентификатор учётной записи, иные сведения о действиях в Сервисе) могут быть переданы операторам мессенджеров в немодифицированном виде.

8.4.3. Оператор не передаёт и не продаёт персональные данные Субъектов рекламным сетям и иным третьим лицам в маркетинговых целях, не связанных с непосредственной деятельностью Сервиса.

9. Трансграничная передача персональных данных

9.1. Оператор осуществляет трансграничную передачу персональных данных, в том числе на территорию иностранных государств, не обеспечивающих адекватную защиту прав Субъектов в значении части 4 статьи 12 152-ФЗ.

9.2. Трансграничная передача персональных данных осуществляется исключительно при наличии отдельного согласия Субъекта, оформляемого в соответствии со статьёй 12 152-ФЗ (Согласие № 2 субъекта персональных данных).

9.3. Перечень иностранных государств, на территорию которых может осуществляться передача персональных данных:

Китайская Народная Республика — для целей AI-анализа моделями DeepSeek (передача минимизированного текста после применения Sanitizer непосредственно от Оператора);

Республика Узбекистан — для целей передачи минимизированного текста Партнёрской организации (Категория А) с последующей передачей в адрес AI-провайдеров с инфраструктурой в Соединённых Штатах Америки. Передача в Республику Узбекистан осуществляется на основании договора поручения на обработку персональных данных, заключённого Оператором с Партнёрской организацией в порядке, установленном частью 3 статьи 6 152-ФЗ;

Соединённые Штаты Америки — для целей AI-анализа моделями Anthropic PBC, OpenAI L.L.C., xAI и иных AI-провайдеров с инфраструктурой в США (передача осуществляется Партнёрской организацией в соответствии с договорами, заключёнными ей с указанными AI-провайдерами); а также для целей доставки уведомлений через WhatsApp LLC при подключении Пользователем соответствующего канала;

Объединённые Арабские Эмираты и иные страны размещения инфраструктуры Telegram FZ-LLC — для целей доставки сервисных и информационных уведомлений (передача идентификатора учётной записи Пользователя и текста уведомления);

иные иностранные государства — при подключении к Сервису новых AI-провайдеров или сервисов уведомлений, с предварительным внесением соответствующих изменений в настоящую Политику и подачей уведомления в Роскомнадзор.

9.4. Уровень защиты прав Субъектов в указанных иностранных государствах не признан адекватным федеральным законом или международным договором Российской Федерации. Указанные иностранные государства не входят в перечень стран, обеспечивающих адекватную защиту прав Субъектов, утверждённый Приказом Роскомнадзора.

9.5. Информирование о рисках трансграничной передачи.

Оператор информирует Субъектов о следующих рисках, связанных с трансграничной передачей персональных данных в государства, не обеспечивающие адекватную защиту прав Субъектов:

  • возможность доступа к переданным персональным данным со стороны государственных органов соответствующих иностранных государств в порядке и на основаниях, предусмотренных законодательством этих государств, в том числе без уведомления Субъекта;
  • ограниченные возможности Субъекта по защите своих прав и законных интересов в отношении переданных данных, включая ограничения возможности обращения в иностранные суды и иные органы;
  • возможность дальнейшей передачи данных AI-провайдерами и операторами мессенджеров третьим лицам в порядке, установленном законодательством и пользовательскими соглашениями соответствующих провайдеров;

возможность использования AI-провайдерами переданных данных для обучения и улучшения собственных моделей искусственного интеллекта в соответствии с их публичными политиками. Оператор предпринимает доступные технические меры по отключению использования передаваемых данных для целей обучения моделей у AI-провайдеров, где такие настройки предоставлены провайдером (в том числе на стороне аккаунта Оператора у DeepSeek). При отсутствии или недоступности таких настроек Оператор не имеет возможности ограничить такое использование;

возможность хранения переданных данных в течение сроков, определяемых самими провайдерами и не всегда соответствующих срокам, установленным законодательством Российской Федерации.

Предоставляя согласие на трансграничную передачу, Субъект подтверждает, что осведомлён об указанных рисках и принимает их.

9.6. Состав персональных данных, передаваемых трансгранично.

При AI-анализе закупки и работе AI-чата (передача в адрес DeepSeek): минимизированный текст Документации закупки (после применения Sanitizer), минимизированный профиль организации, минимизированная история взаимодействия с AI в рамках конкретной закупки.

При доставке уведомлений (передача в адрес Telegram FZ-LLC, WhatsApp LLC, оператора сервиса MAX): идентификатор учётной записи Пользователя у соответствующего сервиса (Telegram chat_id и аналогичные), текст уведомления.

При передаче AI-провайдерам с инфраструктурой в США через Партнёрскую организацию (Республика Узбекистан): тот же минимизированный текст, что и при передаче в адрес DeepSeek. Партнёрская организация выступает в качестве обработчика по поручению Оператора и далее самостоятельно передаёт минимизированный текст в адрес соответствующего AI-провайдера в соответствии с заключённым ей договором.

9.7. Уведомление уполномоченного органа.

До начала трансграничной передачи Оператор подал в Роскомнадзор уведомление в порядке, установленном статьёй 12 152-ФЗ. При подключении к Сервису новых AI-провайдеров или сервисов уведомлений, влекущих передачу в новые иностранные государства, Оператор направляет соответствующее уведомление об изменении сведений в установленный законом срок.

9.8. Меры защиты при трансграничной передаче.

Применение Sanitizer для минимизации персональных данных до их передачи (раздел 2.2 настоящей Политики).

Принудительное прохождение всех вызовов внешних AI-сервисов через единый внутренний шлюз AI Gateway, исключающий обход Sanitizer.

Передача персональных данных AI-провайдерам по защищённым каналам связи (HTTPS / TLS).

Использование возможностей AI-провайдеров по ограничению использования передаваемых данных для целей обучения моделей искусственного интеллекта (где такие настройки предоставлены провайдером и не противоречат пользовательскому соглашению).

Минимизация объёма передаваемых данных: передаётся только та информация, которая необходима для оказания услуги.

Оператор не гарантирует и не вправе гарантировать конкретный режим использования переданных данных AI-провайдерами и операторами мессенджеров — соответствующие условия определяются публичными политиками этих лиц, актуальная редакция которых доступна на их официальных сайтах.

9.9. Право отзыва согласия на трансграничную передачу.

Субъект вправе в любой момент отозвать согласие на трансграничную передачу своих персональных данных, направив соответствующее заявление по адресу privacy@licitex.ru. Отзыв согласия влечёт прекращение оказания Пользователю услуг, требующих такой передачи (в том числе услуг AI-анализа, AI-чата, доставки уведомлений через привязанные мессенджеры с международной инфраструктурой). Возможность пользоваться остальными функциями Сервиса при этом сохраняется.

10. Меры по обеспечению безопасности персональных данных

10.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий третьих лиц.

10.2. К правовым и организационным мерам относятся: издание Оператором локальных актов, регулирующих обработку персональных данных; назначение лица, ответственного за организацию обработки; ознакомление лиц, имеющих доступ к персональным данным, с положениями законодательства о защите персональных данных и настоящей Политикой; ограничение круга лиц, имеющих доступ к персональным данным.

10.3. К техническим мерам относятся:

  • применение модуля Sanitizer и единого шлюза AI Gateway для принудительной минимизации персональных данных до их передачи внешним AI-провайдерам (раздел 2.2 настоящей Политики);
  • регрессионное тестирование Sanitizer — Оператор поддерживает контрольный набор тестовых документов с заранее размеченными персональными данными и периодически измеряет полноту удаления прямых идентификаторов;
  • автоматическое уничтожение логов запросов к AI-провайдерам (промпт-логов) по истечении срока, установленного пунктом 7.3 настоящей Политики;
  • ведение журналов согласий Субъектов в режиме «только добавление» (append-only) — без возможности изменения или удаления существующих записей, что обеспечивает доказуемость факта и условий получения согласия;
  • хранение паролей Пользователей в виде хешей с применением алгоритма BCrypt (без возможности обратного восстановления);
  • шифрование критически важных секретов (API-ключей AI-провайдеров, учётных данных Пользователей для тендерных площадок) с применением алгоритма AES-GCM с длиной ключа 256 бит;
  • передача всех данных между браузером Пользователя и Сервисом по защищённому протоколу HTTPS с применением сертификата TLS;
  • логическая изоляция данных разных организаций в рамках единой инфраструктуры (multi-tenant изоляция), исключающая доступ Пользователей одной организации к данным другой;
  • защита от межсайтовой подделки запросов (CSRF) для всех операций изменения данных;
  • регулярное создание резервных копий, ведение журналов аудита значимых действий и журналов ошибок;
  • ограничение доступа к серверной инфраструктуре посредством SSH с использованием криптографических ключей;
  • автоматическое уничтожение Документации закупки по истечении сроков хранения, установленных пунктом 7.3 настоящей Политики.

10.4. Перечень применяемых мер не является исчерпывающим и пересматривается Оператором в связи с изменением законодательства, развитием технологий и появлением новых угроз.

11. Права Субъектов персональных данных

11.1. Субъект имеет право:

  • получать сведения об Операторе, о месте его нахождения, о наличии у Оператора персональных данных, относящихся к Субъекту;
  • получать ознакомление с такими персональными данными, кроме случаев, предусмотренных законом;
  • требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
  • отозвать согласие на обработку персональных данных;
  • отозвать согласие на трансграничную передачу персональных данных;
  • отозвать согласие на получение рекламных и информационных рассылок;
  • обжаловать действия или бездействие Оператора в Роскомнадзоре или в судебном порядке;
  • защищать свои права и законные интересы, в том числе требовать возмещения убытков и (или) компенсации морального вреда в судебном порядке.

11.2. Для реализации указанных прав Субъект направляет Оператору запрос по адресу электронной почты privacy@licitex.ru либо почтой на адрес, указанный в пункте 1.1 настоящей Политики. Запрос должен содержать сведения, позволяющие идентифицировать Субъекта (фамилию, имя, отчество, идентификатор учётной записи в Сервисе или иные данные), и существо требования.

11.3. Оператор обязан рассмотреть запрос Субъекта и направить мотивированный ответ в течение 10 (десяти) рабочих дней с даты получения запроса. В случаях, предусмотренных законодательством, срок может быть продлён, но не более чем на 5 (пять) рабочих дней, с уведомлением Субъекта о причинах продления.

11.4. Оператор вправе отказать в выполнении требования Субъекта в случаях, прямо предусмотренных законом, с указанием мотивированного обоснования отказа.

12. Порядок отзыва согласия на обработку персональных данных

12.1. Согласие на обработку персональных данных может быть отозвано Субъектом в любое время путём направления Оператору заявления в письменной форме по адресу электронной почты privacy@licitex.ru либо почтой на адрес, указанный в пункте 1.1 настоящей Политики.

12.2. Заявление об отзыве согласия должно содержать: фамилию, имя, отчество Субъекта; сведения, позволяющие идентифицировать учётную запись в Сервисе (адрес электронной почты, идентификатор организации); указание на то, какие именно согласия отзываются (общее согласие на обработку, согласие на трансграничную передачу, согласие на получение рассылок); дату составления заявления.

12.3. Прекращение обработки персональных данных по основанию отозванного согласия осуществляется Оператором в срок, не превышающий 30 (тридцати) дней с даты получения заявления.

12.4. Отзыв общего согласия на обработку персональных данных, как правило, влечёт невозможность дальнейшего пользования Сервисом и расторжение договора с Оператором, поскольку обработка персональных данных является необходимым условием оказания услуг.

12.5. Отзыв согласия на трансграничную передачу влечёт прекращение оказания Пользователю услуг AI-анализа, AI-чата и доставки уведомлений через привязанные мессенджеры с международной инфраструктурой при сохранении возможности пользоваться остальными функциями Сервиса.

12.6. Отзыв согласия на получение рекламных и информационных рассылок не влияет на возможность пользоваться Сервисом и приводит к прекращению направления соответствующих сообщений.

12.7. Оператор вправе продолжить обработку персональных данных без согласия Субъекта в случаях, прямо предусмотренных законом (исполнение договора, исполнение обязанностей по закону, защита прав и законных интересов Оператора в судебном порядке и иные).

13. Уведомление об инцидентах в области защиты персональных данных

13.1. В случае выявления инцидента, повлёкшего неправомерную или случайную передачу (предоставление, распространение, доступ) персональных данных, Оператор уведомляет Роскомнадзор в порядке и в сроки, установленные частью 3.1 статьи 21 152-ФЗ (в течение 24 часов с момента выявления инцидента — о факте инцидента, в течение 72 часов — о результатах внутреннего расследования).

13.2. О факте инцидента, повлёкшего нарушение прав Субъекта, и о принятых мерах Оператор уведомляет Субъекта в разумный срок по адресу электронной почты, указанному при регистрации в Сервисе.

14. Заключительные положения

14.1. Настоящая Политика является общедоступным документом и подлежит размещению на сайте licitex.ru/privacy. Доступ к Политике обеспечивается круглосуточно.

14.2. К отношениям, связанным с обработкой персональных данных Оператором, применяется законодательство Российской Федерации.

14.3. Оператор вправе вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с момента её размещения на сайте, если иной срок не указан в самой новой редакции. Существенные изменения, затрагивающие правовые основания обработки, состав получателей персональных данных или перечень иностранных государств, на территорию которых осуществляется передача, требуют получения нового согласия Субъекта в порядке, предусмотренном пунктом 1.5 настоящей Политики.

14.4. Если какое-либо положение настоящей Политики признаётся недействительным или неисполнимым, это не влияет на действительность и исполнимость остальных положений.

Действующая редакция Политики опубликована по адресу: licitex.ru/privacy