Политика обработки персональных данных

Редакция от 2026-10-30

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — Политика) составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и определяет порядок обработки и меры по обеспечению безопасности персональных данных пользователей сайтов https://cyraxai-chat.ru и https://cyraxai.ru и сервиса «Avron» (далее — Сервис).

1.2. Оператор персональных данных (далее — Оператор): Торосян Сурен Сосович (самозанятый), ИНН 616210120876. Электронная почта для обращений по вопросам персональных данных: avrontechnologies@outlook.com.

1.3. Политика действует в отношении всех персональных данных, которые Оператор получает от пользователей Сервиса. Политика опубликована в свободном доступе по адресу https://cyraxai-chat.ru/privacy.

1.4. Используя Сервис, пользователь подтверждает, что ознакомился с Политикой. Обработка персональных данных для регистрации и работы аккаунта осуществляется на основании отдельного согласия пользователя (https://cyraxai-chat.ru/consent) и договора (Пользовательского соглашения), стороной которого является пользователь.

2. Какие данные обрабатываются

Категория	Состав	Источник
Учётные данные	адрес электронной почты; хэш пароля (сам пароль не хранится); имя или псевдоним, если пользователь его указал	пользователь при регистрации
Данные входа через VK ID	идентификатор аккаунта VK ID, имя и фамилия (как указаны в VK), адрес электронной почты (если VK его передал), ссылка на фото профиля. У аккаунтов, созданных до 19.10.2026, также хранятся ранее полученные данные входа через Telegram, Google или Яндекс ID (идентификатор, имя, имя пользователя) — до удаления аккаунта; новые такие данные не собираются	VK ID при нажатии кнопки входа
Содержимое общения	сообщения пользователя и ответы ИИ, названия диалогов, загруженные изображения, видео и документы, запросы на генерацию изображений и видео, поисковые запросы, которые Сервис формирует по сообщению	пользователь
Настройки и персонализация	стиль общения, язык, пол и возраст (если пользователь их указал), выводы «Эмоционального интеллекта» (настроение, предпочтения, факты, которые пользователь сообщил о себе в диалогах)	пользователь; автоматический анализ сообщений
Платёжные данные	сумма, тариф, статус и идентификатор платежа. Данные банковских карт Оператор не получает и не хранит — их обрабатывает платёжный сервис ЮKassa	ЮKassa
Технические данные	IP-адрес, дата и время запросов, cookie авторизации, сведения о браузере в журналах сервера; при получении пробного доступа — необратимый хеш IP-адреса (до 60 дней, для защиты от злоупотреблений); журнал входов и устройств — IP-адрес, тип браузера и устройства, время входа (сеансы — до 90 дней, журнал безопасности — до 180 дней), чтобы владелец аккаунта видел, где открыт аккаунт, и получал предупреждения о подозрительных входах; открытая часть ключа доступа (passkey), если пользователь его добавил	автоматически

Оператор не обрабатывает специальные категории персональных данных (о расовой, национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни) и биометрические данные намеренно. Пользователь не должен сообщать такие сведения в диалогах; если он сделает это по собственной инициативе, они обрабатываются только как часть содержимого диалога и могут быть удалены пользователем в любой момент.

3. Цели обработки

Регистрация и идентификация пользователя, предоставление доступа к Сервису.
Оказание услуг Сервиса: формирование ответов искусственного интеллекта, хранение истории диалогов, персонализация ответов, генерация и анализ изображений.
Исполнение Пользовательского соглашения: учёт тарифа, лимитов и платежей, направление кассовых чеков.
Направление служебных сообщений: кодов подтверждения, уведомлений об оплате.
Обеспечение безопасности Сервиса: защита от подбора паролей, злоупотреблений и несанкционированного доступа.
Ответы на обращения пользователей.

Оператор не использует персональные данные для рекламных рассылок и не передаёт их третьим лицам в рекламных целях.

4. Правовые основания

Согласие субъекта персональных данных (п. 1 ч. 1 ст. 6 Закона); исполнение договора, стороной которого является пользователь (п. 5 ч. 1 ст. 6 Закона); исполнение обязанностей, возложенных на Оператора законодательством, в том числе Федеральным законом № 422-ФЗ «О проведении эксперимента по установлению специального налогового режима „Налог на профессиональный доход“» и № 402-ФЗ «О бухгалтерском учёте» (п. 2 ч. 1 ст. 6 Закона).

5. Действия с данными и способы обработки

Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных. Обработка — автоматизированная, с передачей по информационно-телекоммуникационным сетям.

Ответы ИИ и выводы «Эмоционального интеллекта» формируются автоматически. Решений, порождающих юридические последствия для пользователя или иным образом затрагивающих его права, на основании исключительно автоматизированной обработки Оператор не принимает.

6. Передача данных третьим лицам

Для оказания услуг Оператор поручает обработку или передаёт данные следующим лицам в объёме, необходимом для конкретной цели:

Поставщики моделей искусственного интеллекта (шлюзы AgentPlatform и aitunnel и используемые ими поставщики моделей) — текст сообщений, фрагмент истории диалога и загруженные изображения передаются для формирования ответа. Адрес почты, пароль и платёжные данные не передаются. Часть поставщиков моделей может находиться за пределами Российской Федерации — в этом случае осуществляется трансграничная передача (раздел 7).
ООО НКО «ЮМани» (сервис ЮKassa) — сумма и назначение платежа, адрес почты для направления чека.
Поисковые сервисы — только если поиск в интернете включён (он включён по умолчанию и выключается кнопкой «Поиск» у поля ввода) и для ответа он нужен: поисковый запрос составляется по сообщению и предыдущим репликам диалога (в том числе с помощью модели ИИ из раздела выше), собственный поисковый сервер Оператора передаёт текст поискового запроса поисковым системам (Google, Bing, Яндекс, DuckDuckGo, Qwant, Brave); также запрос может уходить в Википедию, Google News, сервисы курсов валют (ЦБ РФ), погоды (Open-Meteo) и курсов криптовалют (CoinGecko). Найденные страницы Сервис открывает со своего сервера. Адрес почты, имя и IP-адрес пользователя не передаются. Часть сервисов находится за пределами Российской Федерации (раздел 7).
Википедия (Wikimedia Foundation, США) — фото в ответах: сервер Оператора запрашивает у Википедии название статьи (его выбирает модель ИИ — например, имя известного человека или название города), сам скачивает фото и показывает его пользователю со своего адреса. Данные пользователя (почта, имя, IP-адрес, текст переписки) Википедии не передаются.
ООО «ВК» (VK ID) — только если пользователь выбрал вход через VK ID; Оператор получает от VK данные, перечисленные в разделе 2, и не передаёт в VK содержимое общения. Вход через иностранные сервисы на Сайте не используется.
Проверка пароля по базе утечек (сервис Have I Been Pwned) — передаются только первые 5 символов хэша пароля; сам пароль, его полный хэш и адрес почты не передаются.
Почтовый сервис, через который отправляются коды подтверждения, — адрес почты.
Хостинг-провайдер, на оборудовании которого размещён Сервис.
Государственные органы — в случаях и в порядке, предусмотренных законодательством.

7. Трансграничная передача

Трансграничная передача персональных данных осуществляется только в объёме, необходимом для формирования ответа ИИ (текст запроса и контекст диалога), поиска в интернете (текст поискового запроса), в соответствии со ст. 12 Закона, после уведомления уполномоченного органа по защите прав субъектов персональных данных. Пользователь может не указывать в сообщениях сведения, позволяющие установить его личность.

8. Хранение и сроки

При сборе персональных данных граждан Российской Федерации их запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона).

Данные аккаунта, диалоги, настройки и «Эмоциональный интеллект» — до удаления аккаунта пользователем или отзыва согласия.
Диалоги, которые пользователь удалил, хранятся в разделе «Корзина» 30 дней (чтобы их можно было вернуть), затем стираются полностью; пользователь может стереть их сразу.
Коды подтверждения — не более 15 минут, в базе хранится только их хэш.
Сведения о платежах — 5 лет (ст. 29 Закона № 402-ФЗ), после удаления аккаунта — в обезличенном виде.
Журналы сервера — не более 6 месяцев.

По достижении целей обработки или при отзыве согласия данные уничтожаются в течение 30 дней, если иное не предусмотрено законом.

9. Cookie и хранилище браузера

Сервис использует только технически необходимые cookie (все — HttpOnly): avron_token — вход в аккаунт (SameSite=Lax); avron_oauth — одноразовая отметка входа через VK ID (до 10 минут); avron_qr — вход по QR-коду (несколько минут). В хранилище браузера (localStorage) сохраняются настройки интерфейса (тема, уровень анимаций, открытая вкладка) и служебные отметки, например о скрытом уведомлении. Сервис не использует рекламные и аналитические cookie и не подключает сторонние счётчики. Отключение cookie в браузере сделает вход в аккаунт невозможным.

10. Права пользователя

Пользователь вправе (ст. 14–17 Закона):

получить сведения об обработке своих персональных данных;
потребовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели;
отозвать согласие на обработку — удалив аккаунт в разделе «Настройки → Аккаунт → Удалить аккаунт» или направив заявление Оператору;
очистить историю «Эмоционального интеллекта» и диалоги в любой момент в интерфейсе Сервиса;
обжаловать действия Оператора в Роскомнадзоре или в суде.

Запросы направляются на электронную почту avrontechnologies@outlook.com. Оператор отвечает в срок не более 10 рабочих дней с даты получения запроса (ч. 3 ст. 14 Закона); срок может быть продлён не более чем на 5 рабочих дней с уведомлением о причинах.

11. Меры защиты

Оператор принимает правовые, организационные и технические меры по ст. 18.1 и 19 Закона, в том числе: шифрование соединения (HTTPS, TLS 1.2/1.3); хранение паролей только в виде стойкого хэша (scrypt, уникальная соль); сеансы входа хранятся на сервере и могут быть завершены пользователем; двухфакторная защита и ключи доступа (passkey) по желанию пользователя; защита от подбора паролей и автоматизированных запросов; разграничение доступа к данным — каждый пользователь видит только свои диалоги; ограничение доступа к серверу и базе данных; резервное копирование; учёт действий администраторов.

12. Несовершеннолетние

Сервис не предназначен для лиц младше 14 лет. Лица в возрасте от 14 до 18 лет пользуются Сервисом с согласия законных представителей. Если Оператору станет известно, что данные получены от лица младше 14 лет без согласия законного представителя, такие данные будут удалены.

13. Изменение Политики

Оператор вправе изменять Политику. Новая редакция вступает в силу с момента публикации. Если изменения затрагивают состав данных или цели обработки, при следующем входе пользователь увидит новую редакцию и сможет дать согласие заново или удалить аккаунт.