Политика обработки персональных данных Spectorn RU

Предпубликационный проект — не вступил в силу. Публичная регистрация и оплата закрыты до утверждения российского оператора, его реквизитов, номера уведомления Роскомнадзора, перечня обработчиков и даты вступления в силу. Этот проект не подменяет обязательные сведения об операторе.

Дата проверки проекта: 3 ноября 2026 года

1. Контур и роли

Политика описывает планируемую обработку в российском продуктовом контуре Spectorn. Будущий оператор самостоятельно отвечает за данные учётной записи, платежей, безопасности сервиса и прямой поддержки. При обработке промптов, ответов, политик и событий по документированному поручению организации-клиента Spectorn может выступать обработчиком, а клиент — оператором. Фактические роли и поручение на обработку фиксируются договором и не определяются одним названием стороны.

Субъекты персональных данных: пользователи и представители клиентов, лица, обращающиеся в поддержку, посетители сайта, а также лица, сведения о которых содержатся в запросах клиента, когда Spectorn обрабатывает их по поручению клиента.

Юридическое наименование, адрес, ИНН/ОГРН и номер уведомления оператора ещё не утверждены. До их внесения и проверки регистрация должна оставаться выключенной.

2. Какие данные планируется обрабатывать

учётные данные: имя, email, хэш пароля, passkey, организация, роль и настройки безопасности; если будет включён и использован вход через Яндекс ID или VK ID, Spectorn получает от провайдера идентификатор учётной записи, email и имя, а провайдер обрабатывает вход по своим правилам;
договорные и платёжные метаданные: тариф, счёт, статус оплаты, сведения для чека; полные данные банковской карты Spectorn хранить не должен;
технические данные: IP-адрес, user agent, идентификаторы сессий, время и результат запроса, события безопасности;
данные клиента: промпты, ответы моделей, политики и результаты проверок, если клиент направил их в сервис; хранение исходного содержимого по умолчанию должно быть отключено;
обращения в поддержку и приложенные пользователем материалы.

Специальные категории, биометрия, медицинская, банковская, государственная тайна, данные КИИ и иная регулируемая информация не должны передаваться без отдельного письменного режима, законного основания и требуемых разрешений.

3. Цели и основания

Планируемые цели: создание и защита учётной записи; исполнение договора; маршрутизация выбранного пользователем запроса; применение политик безопасности; учёт объёма услуг; поддержка; предупреждение злоупотреблений и инцидентов; исполнение бухгалтерских и иных обязанностей.

Основание определяется для каждой цели по статье 6 152-ФЗ: договор, обязанность по закону, согласие для действительно добровольной обработки либо иное применимое основание. Согласие не используется для маскировки обработки, без которой услуга фактически невозможна, и не заменяет требования к трансграничной передаче.

С данными планируется совершать следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение. Обработка смешанная: автоматизированная и с участием человека.

4. Локализация российского контура

При сборе персональных данных граждан Российской Федерации через RU-контур первичные запись, систематизация, накопление, хранение, уточнение и извлечение данных учётной записи должны выполняться с использованием базы данных в России. Global и RU имеют раздельные базы, учётные записи и ключи доступа.

Отдельный сервер мониторинга получает только технические метрики и сигналы здоровья без промптов, ответов и идентификаторов клиента. Любое обнаружение tenant-метки или исходного payload в телеметрии является инцидентом границы данных.

5. Иностранные модели и трансграничная передача

RU-контур не означает, что выбранная клиентом иностранная AI-модель находится в России. До включения маршрута интерфейс должен назвать провайдера и доступную географию обработки. Маршрут включается явно для конкретного тенанта и может быть отключён.

Оператор Spectorn обязан выполнить собственные требования статьи 12 152-ФЗ, включая предварительную оценку и уведомление, когда они применимы. Клиент как оператор данных payload обязан определить основание, уведомить субъектов, выполнить своё уведомление и отраслевые требования. Подтверждение клиента не освобождает Spectorn от его собственных обязанностей. Данные, которые нельзя законно передать выбранному провайдеру, отправлять запрещено.

Служебные письма RU-контура (подтверждение адреса, восстановление доступа, уведомления безопасности) сейчас не отправляются. Их будет доставлять почтовый провайдер, обрабатывающий данные в России; его наименование вносится в реестр обработчиков до включения. Почтовые серверы за пределами России для служебной почты RU-контура не используются.

6. Получатели и обработчики

Данные могут получать только утверждённые категории лиц: инфраструктурный провайдер RU-контура, выбранный клиентом модельный провайдер, платёжный/кассовый провайдер, сервис доставки обязательных сообщений и подрядчик поддержки — в минимально необходимом объёме и на договорном основании. Имена, цели и страны обработки должны быть опубликованы в реестре обработчиков до запуска; реестр ещё не утверждён, поэтому регистрация закрыта.

По поручению клиента результаты проверок могут передаваться в указанную им систему, например в его SIEM.

Передача государственным органам производится только при наличии законного основания и в установленном порядке. Персональные данные не продаются.

7. Сроки, удаление и резервные копии

Финальная версия должна содержать проверенный график для учётной записи, договорных документов, событий безопасности, payload, поддержки и резервных копий. До утверждения графика нельзя обещать автоматическое удаление за срок, который продукт ещё не подтверждает тестом. Данные подлежат удалению или обезличиванию после достижения цели, отзыва согласия при отсутствии иного основания и в иных случаях, предусмотренных законом; обязательные документы хранятся в установленный законом срок.

8. Защита и инциденты

Планируемые меры включают TLS, хэширование паролей, passkeys, разграничение доступа, изоляцию тенантов, аудит, rate limits, резервное копирование и процедуру реагирования. Оператор обязан оценить угрозы и выполнить статьи 18.1 и 19 152-ФЗ, а также уведомление об инциденте, когда оно требуется. Наличие мер не является гарантией отсутствия любого инцидента.

9. Права субъекта

Субъект вправе получить сведения об обработке, потребовать уточнения, блокирования или уничтожения, отозвать согласие, если обработка основана на нём, и обжаловать действия оператору, в Роскомнадзор или суд. Личность заявителя проверяется соразмерно риску. По данным, где оператором является организация- клиент, запрос направляется ей, а Spectorn оказывает предусмотренное законом и договором содействие.

10. Cookies, сообщения и несовершеннолетние

Обязательные cookies используются для сессии, защиты и настроек. Необязательная аналитика и реклама требуют отдельной проверки и механизма выбора. Сервисные и безопасностные сообщения отделяются от рекламы; рекламные сообщения требуют надлежащего согласия и возможности отказаться.

Сервис предназначен для лиц от 18 лет. Обработка данных несовершеннолетних не входит в первоначальный релиз.

11. Контакт и изменения

До утверждения контролируемого адреса на домене spectorn.ai вопросы по проекту можно направлять на security@spectorn.ai. Финальная версия должна содержать полные реквизиты оператора, ответственного за обработку, дату вступления в силу и порядок обращений до открытия регистрации.

Существенные изменения версионируются и доводятся до пользователя способом, которого требует закон. Простое продолжение использования не считается универсальной заменой согласия.