Правила
Политика обработки персональных данных
Проект. Редакция от 7 октября 2026 г. До утверждения владельцем сервиса документ носит информационный характер.
1. Общие положения
1.1. Настоящая Политика определяет порядок и условия обработки персональных данных пользователей сервиса LexaAI: сайта https://lexaai.ru, личного кабинета https://app.lexaai.ru и программного интерфейса https://api.lexaai.ru (далее – Сервис). Политика принята во исполнение части 2 статьи 18.1 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных).
1.2. Оператор персональных данных – [наименование оператора], ОГРН или ОГРНИП [ОГРН/ОГРНИП], ИНН [ИНН], адрес: [адрес], электронная почта: info@lexaai.ru (далее – Оператор).
1.3. Сведения о включении Оператора в реестр операторов, осуществляющих обработку персональных данных: [регистрационный номер].
1.4. Политика опубликована в открытом доступе на странице https://lexaai.ru/legal/privacy. Термины используются в значениях, установленных статьей 3 Закона о персональных данных.
2. Чьи данные обрабатываются
2.1. Оператор обрабатывает персональные данные:
- пользователей личного кабинета и API, в том числе представителей организаций;
- лиц, направивших запрос через форму на сайте.
2.2. Оператор не запрашивает специальные категории персональных данных и биометрические персональные данные. Пользователь не должен включать такие сведения в запросы и сообщения.
3. Состав данных, цели и сроки
| Данные | Откуда | Цель | Срок хранения |
|---|---|---|---|
| Адрес электронной почты | регистрация и вход | идентификация пользователя, вход по коду, связь по вопросам Сервиса | до удаления учетной записи |
| Имя и организация (по желанию пользователя) | профиль в личном кабинете | обращение к пользователю, рассмотрение запросов на смену плана | до удаления сведений пользователем или удаления учетной записи |
| Служебные сведения учетной записи: роль, план, даты регистрации и подтверждения адреса | создаются Сервисом | предоставление доступа по плану | до удаления учетной записи |
| Код входа | создается Сервисом и направляется на почту | подтверждение входа | код действует 10 минут; в базе хранится только его хеш |
| Сессия входа | создается при входе | сохранение входа в личном кабинете | 30 дней; в базе хранится только хеш идентификатора сессии |
| Ключи API: хеш, первые 11 символов, название, даты выпуска, последнего использования и отзыва | выпуск ключа в личном кабинете | доступ к API | до удаления учетной записи |
| Учет запросов к API | создается шлюзом API | соблюдение лимитов, отображение использования в личном кабинете, безопасность | до 400 дней |
| Тексты запросов к API | запросы пользователя | формирование ответа | в учете запросов не сохраняются, см. пункт 3.2 |
| История диалогов в приложении: вопросы, ответы, найденные источники | сообщения пользователя | работа функции диалога | до удаления диалога пользователем или удаления учетной записи |
| Обращения через форму на сайте: имя, организация, адрес электронной почты, текст | форма на сайте | ответ на обращение | уточняется |
| Технические журналы: IP-адрес, дата и время, адрес запроса, код ответа | работа серверов | безопасность, диагностика, ограничение частоты запросов | уточняется |
3.1. Учет запросов к API содержит время, эндпоинт, код ответа, списанные единицы, режим, признак деградации, число вызовов языковых моделей, число токенов, стоимость вызовов, длительность и идентификатор ключа. Тексты вопросов и ключи API в учет не попадают.
3.2. Текст запроса к API используется для формирования ответа и не сохраняется в учете запросов. На время выполнения длительного запроса текст вопроса хранится в оперативной памяти шлюза для отображения хода выполнения – не более 15 минут после последнего обновления. В режиме тестирования, который включается Оператором на ограниченный срок для разбора качества ответов, тексты запросов и найденные материалы записываются в журнал трассировки и хранятся не более 14 дней. Ключи API в журнал трассировки не записываются.
3.3. IP-адрес используется для ограничения частоты запросов: при запросе кода входа – в течение часа, при обращении к API без действующего ключа – в течение минуты. IP-адрес и адрес электронной почты, указанные при отправке формы на сайте, используются для ограничения числа обращений – в течение часа. Эти сведения хранятся в оперативной памяти серверов; при срабатывании ограничения формы или ее защиты от автоматической отправки IP-адрес записывается в технический журнал.
4. Правовые основания
4.1. Оператор обрабатывает персональные данные на следующих основаниях:
- исполнение договора, стороной которого является субъект персональных данных, – Условий использования API LexaAI и правил использования личного кабинета (пункт 5 части 1 статьи 6 Закона о персональных данных);
- согласие субъекта персональных данных – для обработки обращений через форму на сайте (пункт 1 части 1 статьи 6 Закона о персональных данных).
5. Действия с персональными данными
5.1. Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение персональных данных с использованием средств автоматизации.
5.2. Оператор не принимает на основании исключительно автоматизированной обработки решений, порождающих юридические последствия для субъекта персональных данных.
6. Передача третьим лицам
6.1. Почтовому сервису – адрес электронной почты и содержание письма: для отправки кодов входа и для доставки Оператору обращений, направленных через форму на сайте.
6.2. Провайдеру языковых моделей – тексты вопросов к /v1/answer, к агентным режимам /v1/research и к функции диалога в приложении, а также фрагменты найденных материалов: для подготовки ответа и плана поиска. Адрес электронной почты и идентификаторы учетной записи провайдеру не передаются. Запросы к провайдеру направляются через серверы-посредники, обеспечивающие маршрутизацию.
6.3. Государственным органам – в случаях, предусмотренных законодательством Российской Федерации.
6.4. Оператор не продает персональные данные и не передает их третьим лицам для рекламы.
7. Трансграничная передача
7.1. Провайдер языковых моделей и серверы-посредники могут находиться за пределами Российской Федерации, в том числе в государствах, не обеспечивающих адекватную защиту прав субъектов персональных данных. Если текст запроса или сообщения содержит персональные данные, их передача этим лицам является трансграничной.
7.2. Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных о трансграничной передаче в порядке, установленном статьей 12 Закона о персональных данных.
7.3. Пользователь, который не желает трансграничной передачи своих персональных данных, не включает их в тексты вопросов и сообщений.
8. Место хранения
Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона о персональных данных).
9. Права субъекта персональных данных
9.1. Субъект персональных данных вправе:
- получать сведения об обработке своих персональных данных (статья 14 Закона о персональных данных);
- требовать уточнения, блокирования или уничтожения персональных данных, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели обработки;
- отозвать согласие на обработку персональных данных (часть 2 статьи 9 Закона о персональных данных);
- требовать удаления учетной записи;
- обжаловать действия или бездействие Оператора в уполномоченном органе по защите прав субъектов персональных данных или в суде (статья 17 Закона о персональных данных).
9.2. Запрос направляется на адрес info@lexaai.ru с адреса электронной почты, указанного при регистрации, или в письменной форме по адресу Оператора. Оператор отвечает в сроки, установленные статьей 20 Закона о персональных данных: в течение 10 рабочих дней с даты получения запроса; срок может быть продлен не более чем на 5 рабочих дней с направлением мотивированного уведомления.
9.3. При отзыве согласия или достижении цели обработки Оператор прекращает обработку и уничтожает персональные данные в сроки, установленные статьей 21 Закона о персональных данных, если иное не предусмотрено законом или договором с субъектом.
10. Cookie и хранилище браузера
10.1. Личный кабинет https://app.lexaai.ru использует технический cookie auth_token: он хранит идентификатор сессии входа, недоступен для сценариев страницы, передается только по защищенному соединению и действует 30 дней. Без него вход в личный кабинет невозможен; для аналитики и рекламы он не используется.
10.2. Тест-консоль https://api.lexaai.ru/console хранит введенный ключ API и историю последних 10 запросов в хранилище браузера (localStorage). Эти данные остаются на устройстве пользователя и передаются Сервису только в составе запросов к API. Пользователь может удалить их средствами браузера.
10.3. На дату редакции сайт https://lexaai.ru не использует cookie веб-аналитики и рекламы.
11. Защита персональных данных
Оператор принимает правовые, организационные и технические меры защиты персональных данных, в том числе:
- хранит коды входа, идентификаторы сессий и ключи API только в виде хешей;
- передает данные по защищенным соединениям (HTTPS);
- ограничивает доступ к базам данных и серверам;
- ведет учет запросов к API без текстов вопросов и без ключей;
- включает трассировку запросов с текстами только в режиме тестирования и хранит ее не более 14 дней.
12. Изменение Политики
12.1. Оператор вправе изменять Политику. Новая редакция публикуется на этой странице с указанием даты редакции и вступает в силу с момента публикации, если в ней не указано иное.
12.2. По вопросам обработки персональных данных можно обратиться по адресу info@lexaai.ru.