Настоящая Политика конфиденциальности и обработки персональных данных (далее - «Политика») определяет порядок, цели и принципы обработки и защиты информации о Пользователях сервиса Daisy, доступного через веб-приложение (далее - «Сервис»), разработана в соответствии с требованиями Закона Республики Казахстан «О персональных данных и их защите» № 94-V от 21 мая 2013 года и применяет меры информационной безопасности, основанные на общепринятых международных практиках, включая отдельные принципы стандарта ISO/IEC 27001.
Обработка персональных данных осуществляется в соответствии с применимым законодательством о персональных данных указанных государств в части, не противоречащей законодательству Республики Казахстан как юрисдикции регистрации Оператора.
1. ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ
1.1. Оператор (Администрация Сервиса, «Мы») - ТОО «Daisy Labs», зарегистрированное в соответствии с законодательством Республики Казахстан, БИН: 260740027366, юридический адрес: г. Костанай, 6-1-81, уполномоченные сотрудники которого организуют и (или) осуществляют обработку персональных данных, определяют цели и содержание обработки.
1.2. Пользователь (Субъект персональных данных) - физическое лицо, достигшее 18 (восемнадцати) лет, использующее Сервис через веб-приложение.
1.3. Персональные данные - любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.
1.4. Чувствительные (специальные) персональные данные - данные, раскрывающие психологическое и эмоциональное состояние субъекта, его личные переживания, семейные и межличностные ситуации. В контексте настоящей Политики к чувствительным данным относятся прежде всего текстовые сообщения Пользователя в диалоге с AI-ассистентом Сервиса.
1.5. Обработка персональных данных - любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение.
1.6. Конфиденциальность персональных данных - обязательное требование не допускать распространения персональных данных без согласия субъекта или наличия иного законного основания.
1.7. AI-ассистент - программный модуль Сервиса на основе языковой модели и алгоритмов анализа поведения, осуществляющий диалог с Пользователем, генерирующий ответы и поведенческие рекомендации.
1.8. Обезличивание - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.
1.9. Система управления информационной безопасностью (СМИБ) - система менеджмента, основанная на оценке рисков, направленная на установление, внедрение, эксплуатацию и улучшение информационной безопасности в соответствии с принципами ISO/IEC 27001.
1.10. Cookies - небольшой фрагмент данных, отправленный веб-сервером и хранимый на устройстве Пользователя, который передается веб-серверу при каждом обращении к веб-приложению Сервиса.
1.11. IP-адрес - уникальный сетевой адрес узла в компьютерной сети, построенной по протоколу IP.
2. ВАЖНОЕ ПРЕДУПРЕЖДЕНИЕ О ХАРАКТЕРЕ СЕРВИСА
2.1. Daisy является цифровым wellness-сервисом, инструментом эмоциональной поддержки и саморефлексии. Сервис не является медицинской организацией, психотерапевтической или психиатрической службой, телемедицинским сервисом или кризисной службой психологической помощи.
2.2. AI-ассистент Сервиса не ставит медицинских и психиатрических диагнозов, не осуществляет клиническую оценку состояния Пользователя и не заменяет консультацию квалифицированного специалиста - психолога, психотерапевта или врача.
2.3. Сервис не предназначен для кризисного вмешательства, предотвращения суицида или оказания экстренной психологической помощи. При наличии неотложного психологического кризиса Пользователь обязан незамедлительно обратиться к профессиональным специалистам или в экстренные службы своей страны.
2.4. Ограничения использования при уязвимых состояниях.
Сервис не предназначен и не рекомендуется для использования лицами, находящимися в состоянии:
- острого психологического кризиса или эмоционального срыва;
- суицидальных мыслей или намерений;
- тяжёлых психических расстройств, требующих клинического вмешательства;
- иных состояний, при которых самостоятельная работа без сопровождения специалиста может причинить вред.
В указанных случаях необходимо обратиться к квалифицированному специалисту - психологу, психиатру или в соответствующую службу экстренной помощи. Оператор не несет ответственности за последствия использования Сервиса при наличии указанных состояний.
2.5. Настоящее предупреждение является неотъемлемой частью условий использования Сервиса. Продолжая пользоваться Сервисом, Пользователь подтверждает, что понимает и принимает его немедицинский характер и ограничения применимости.
3. СОГЛАСИЕ НА ОБРАБОТКУ ЧУВСТВИТЕЛЬНЫХ ДАННЫХ И AI-АНАЛИЗ
Настоящий раздел содержит информированное согласие на обработку чувствительных персональных данных в соответствии со статьёй 8 Закона РК «О персональных данных и их защите» № 94-V, требующей получения явного согласия субъекта на обработку данных, касающихся его психологического и эмоционального состояния.
3.1. Пользователь осознаёт и подтверждает, что при использовании Сервиса он добровольно предоставляет информацию, относящуюся к его эмоциональному, психологическому и личному состоянию, которая является чувствительными персональными данными по смыслу законодательства Республики Казахстан.
3.2. Регистрируясь в Сервисе и принимая настоящую Политику, Пользователь дает отдельное информированное согласие на:
- автоматизированную обработку и анализ текстовых сообщений алгоритмами искусственного интеллекта;
- выявление и хранение эмоциональных и поведенческих паттернов;
- хранение истории переписки для формирования персонализированных рекомендаций;
- трансграничную передачу и обработку данных в инфраструктуре облачных провайдеров, в том числе в странах, не обеспечивающих уровень защиты данных, эквивалентный законодательству страны проживания Пользователя.
3.3. Пользователь понимает, что без обработки указанных данных предоставление функционала Сервиса технически невозможно.
3.4. Согласие, данное при регистрации, может быть отозвано в любое время путём направления запроса по адресу hello@talktodaisy.com. Отзыв согласия влечёт прекращение доступа к Сервису, поскольку обработка указанных данных является условием его предоставления.
4. ОБЩИЕ ПОЛОЖЕНИЯ. ПРИНЦИПЫ ОБРАБОТКИ
4.1. Использование Пользователем Сервиса означает его согласие с настоящей Политикой. Согласие на обработку чувствительных персональных данных даётся отдельно в порядке, предусмотренном разделом 3 настоящей Политики.
4.2. В случае несогласия с условиями Политики Пользователь должен немедленно прекратить использование Сервиса.
4.3. Обработка персональных данных Оператором осуществляется на основе следующих принципов:
- законности, справедливости и прозрачности;
- ограничения обработки заранее определенными и законными целями;
- минимизации данных - сбор только тех данных, которые необходимы для заявленных целей;
- точности и актуальности данных;
- ограничения хранения - персональные данные в форме, позволяющей идентифицировать субъекта, не хранятся дольше, чем этого требуют цели обработки;
- обеспечения адекватного уровня безопасности, включая защиту от несанкционированной или неправомерной обработки, а также от случайной утраты, уничтожения или повреждения.
4.4. Настоящая Политика применяется к Сервису Daisy в полном объёме. Оператор не контролирует и не несёт ответственности за сайты и сервисы третьих лиц, на которые Пользователь может перейти по ссылкам, доступным в Сервисе.
4.5. Пользователь несёт ответственность за достоверность предоставляемых им данных. Оператор не обязан проверять достоверность информации, предоставленной Пользователем, за исключением случаев, когда такая проверка требуется применимым законодательством или необходима для обеспечения безопасности Сервиса.
4.6 Данные, используемые для улучшения алгоритмов, предварительно проходят обезличивание/анонимизацию и не содержат прямых идентификаторов. Такие данные могут храниться дольше, включая длительное хранение, поскольку не позволяют идентифицировать Пользователя.
5. ПРЕДМЕТ ПОЛИТИКИ. СОСТАВ ДАННЫХ
5.1. Настоящая Политика устанавливает обязательства Оператора по неразглашению и обеспечению режима защиты и конфиденциальности персональных данных, которые Пользователь предоставляет при использовании Сервиса.
5.2. Данные, предоставляемые Пользователем напрямую:
- адрес электронной почты;
- имя или псевдоним (при наличии);
- данные авторизации через сторонних провайдеров входа (например, Google), если Пользователь использует соответствующий способ входа;
- язык интерфейса;
- страна проживания (при наличии).
5.2.1. При использовании авторизации через сторонних поставщиков идентификации (например, Google) Оператор может получать минимальный объём данных, необходимый для создания и обслуживания учётной записи, включая имя пользователя, адрес электронной почты и уникальный идентификатор аккаунта.
5.3. Чувствительные данные - содержимое переписки:
Основным типом обрабатываемых данных являются текстовые сообщения Пользователя в диалоге с AI-ассистентом. Эти сообщения могут содержать описание эмоциональных состояний, личных переживаний, семейных и межличностных ситуаций, тревожных мыслей и психоэмоционального состояния.
Оператор рассматривает содержимое переписки как чувствительные персональные данные и обеспечивает их повышенный уровень защиты в соответствии со статьей 8 Закона РК № 94-V.
5.4. Поведенческие и аналитические данные:
Сервис анализирует динамику эмоционального состояния, повторяющиеся темы и паттерны реакций Пользователя исключительно в целях персонализации диалога и улучшения качества поддержки. Данный анализ носит вспомогательный, немедицинский характер и не является клинической оценкой.
5.5. Технические данные:
Оператор может автоматически собирать технические данные, включая:
- IP-адрес;
- тип устройства;
- тип браузера;
- операционную систему;
- сведения о действиях Пользователя в Сервисе;
- журналы ошибок;
- данные cookies и аналогичных технологий.
Указанные данные используются исключительно для обеспечения безопасности, функционирования, диагностики и улучшения работы Сервиса.
6. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Оператор обрабатывает персональные данные Пользователя в следующих целях:
6.1. Идентификация Пользователя и предоставление доступа к функционалу Сервиса.
6.2. Обеспечение диалога с AI-ассистентом, персонализация ответов и формирование поведенческих рекомендаций.
6.3. Хранение истории переписки для обеспечения контекста будущих диалогов и отслеживания прогресса Пользователя.
6.4. Улучшение качества Сервиса, алгоритмов персонализации и AI-функций на основе обезличенных либо агрегированных данных при наличии отдельного согласия Пользователя, если такое согласие требуется применимым законодательством.
6.5. Установление обратной связи с Пользователем, обработка запросов и заявок.
6.6. Предоставление эффективной клиентской и технической поддержки.
6.7. Информирование Пользователя с его согласия об обновлениях Сервиса и новых функциях.
6.8. Обработка платежей за подписку на Сервис.
6.9. Обеспечение безопасности Сервиса и противодействие мошенничеству.
6.10. Выполнение требований действующего законодательства.
Оператор не использует данные Пользователя для рекламного таргетинга в интересах третьих лиц и не продает персональные данные третьим лицам.
7. КАК РАБОТАЕТ AI-АССИСТЕНТ: ОБРАБОТКА ДАННЫХ И ОГРАНИЧЕНИЯ ТЕХНОЛОГИИ
7.1. Текстовые сообщения Пользователя обрабатываются AI-ассистентом Сервиса для генерации ответов, формирования рекомендаций на основе техник саморефлексии, эмоциональной регуляции, когнитивного переосмысления и иных немедицинских подходов к поддержке эмоционального благополучия.
7.2. История переписки сохраняется для обеспечения контекста диалога и персонализации. Сервис использует выборочное контекстное извлечение данных, а не полный линейный анализ всей истории переписки.
7.3. AI-ассистент не принимает юридически значимых решений, медицинских решений или каких-либо автоматических решений, затрагивающих права Пользователя.
7.4. Ограничения технологии искусственного интеллекта.
AI-ассистент использует вероятностную языковую модель. Ответы генерируются автоматически на основе статистических алгоритмов и могут быть:
- неполными - не охватывающими все аспекты ситуации Пользователя;
- неточными или ошибочными - в том числе содержать фактически некорректную информацию (так называемые «галлюцинации» языковой модели);
- неподходящими для конкретной жизненной ситуации Пользователя.
Сервис не гарантирует психологическую, эмоциональную или практическую применимость рекомендаций AI-ассистента. Пользователь принимает и использует рекомендации на собственное усмотрение и под собственную ответственность.
7.5. Оператор не несёт ответственности за точность, применимость или последствия рекомендаций AI в конкретных жизненных ситуациях Пользователя.
7.6. Пользователь понимает и соглашается, что ответы AI-ассистента формируются автоматически без участия человека и могут не отражать позицию Оператора.
8. ПРАВОВЫЕ ОСНОВАНИЯ И СРОКИ ОБРАБОТКИ
8.1. Обработка персональных данных осуществляется на основании:
- согласия Пользователя, выраженного в соответствии с разделом 3 настоящей Политики;
- необходимости заключения и исполнения договора об оказании услуг Сервиса, стороной которого является Пользователь;
- законных интересов Оператора по обеспечению безопасности и улучшению Сервиса - в той мере, в которой они не нарушают права и свободы Пользователя.
8.2. Сроки обработки персональных данных:
| Категория данных | Срок хранения |
|---|---|
| Данные аккаунта | В течение срока действия аккаунта + 30 (тридцать) календарных дней после его удаления |
| История переписки | В течение срока действия аккаунта + 30 (тридцать) календарных дней после его удаления |
| Технические журналы | До 12 (двенадцати) месяцев, если более длительное хранение не требуется для расследования инцидента безопасности |
| Платежная информация | В соответствии с требованиями платёжного провайдера и законодательства |
| Обезличенные данные для обучения AI | Без ограничения срока |
8.3. По истечении срока обработки персональные данные подлежат уничтожению или обезличиванию в порядке, установленном внутренними процедурами Оператора, соответствующими требованиям ISO/IEC 27001 и законодательства Республики Казахстан.
8.4. После удаления аккаунта отдельные данные могут храниться дольше в случаях, предусмотренных законодательством, для разрешения споров, исполнения договорных обязательств или соблюдения требований государственных органов.
9. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ
9.1. Оператор вправе передавать персональные данные третьим лицам в следующих случаях:
- пользователь выразил согласие на такие действия;
- передача необходима для обеспечения функционирования Сервиса (поставщикам облачной инфраструктуры; поставщикам AI-технологий и вычислительных сервисов; поставщикам услуг хранения данных; поставщикам аналитических сервисов; поставщикам сервисов аутентификации пользователей; платёжным провайдерам; государственным органам в случаях, предусмотренных законодательством.
9.2. Все третьи лица, обрабатывающие персональные данные от имени Оператора, связаны обязательствами по конфиденциальности и защите данных на основании соответствующих договоров.
9.3. Оператор не передает персональные данные третьим лицам для рекламного таргетинга и не продаёт их ни в какой форме.
9.4. Актуальный перечень основных категорий поставщиков услуг может периодически изменяться по мере развития Сервиса.
9.5. Трансграничная передача данных.
В связи с использованием облачной инфраструктуры персональные данные Пользователя передаются и обрабатываются на серверах, которые могут располагаться за пределами Республики Казахстан и страны проживания Пользователя, в том числе в государствах, не обеспечивающих уровень защиты персональных данных, эквивалентный законодательству страны проживания Пользователя.
Принимая настоящую Политику и давая согласие в порядке, предусмотренном разделом 3, Пользователь прямо выражает согласие на такую трансграничную передачу своих персональных данных.
Оператор принимает надлежащие договорные и организационные меры для обеспечения защиты передаваемых данных на уровне, соответствующем требованиям законодательства Республики Казахстан.
Для обеспечения функционирования AI-ассистента Оператор может передавать отдельные данные Пользователя поставщикам технологий искусственного интеллекта, выступающим в качестве обработчиков данных от имени Оператора.
9.6 Локализация и ограничения
В случае если законодательство страны проживания Пользователя устанавливает требования к локализации или иным условиям обработки персональных данных, Оператор предпринимает разумные меры для соблюдения таких требований. Если соблюдение невозможно по техническим или правовым причинам, Оператор вправе ограничить предоставление отдельных функций Сервиса на соответствующей территории.
10. ИСПОЛЬЗОВАНИЕ ДАННЫХ ДЛЯ ОБУЧЕНИЯ AI
10.1. Обезличенные данные диалогов могут использоваться для улучшения качества сервиса, алгоритмов персонализации и AI-функций только при соблюдении всех следующих условий:
- данные очищены от прямых и косвенных идентификаторов личности;
- Пользователь не воспользовался правом на отказ, предусмотренным п. 10.2 настоящей Политики;
- использование не влечет раскрытия личности Пользователя.
10.2. Пользователь вправе в любой момент запретить использование своих диалогов для обучения алгоритмов до начала использования Сервиса или в процессе его использования путём:
- изменения соответствующей настройки в интерфейсе Сервиса (при наличии такой функции); либо
- направления запроса по адресу: hello@talktodaisy.com.
Отказ вступает в силу с момента его получения Оператором и не влияет на доступность функционала Сервиса.
10.3. Обезличенные данные не передаются и не подлежат продаже третьим лицам.
11. МЕРЫ ЗАЩИТЫ. СООТВЕТСТВИЕ ISO/IEC 27001
11.1. Оператор предпринимает необходимые и достаточные организационные и технические меры для защиты персональных данных Пользователя от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения и иных неправомерных действий.
11.2. Меры защиты включают, но не ограничиваются:
- управление доступом - политика разграничения прав доступа к персональным данным;
- шифрование - применение средств криптографической защиты (TLS/SSL) при передаче данных и шифрование при хранении;
- регулярный мониторинг и анализ рисков в рамках функционирования СМИБ;
- управление инцидентами - наличие процедуры реагирования на инциденты безопасности, связанные с персональными данными;
- обучение и информирование - инструктажи для сотрудников, имеющих доступ к персональным данным;
- периодические внутренние аудиты и пересмотр мер защиты.
11.3. В случае инцидента безопасности Оператор действует в соответствии с требованиями применимого законодательства и, при необходимости, уведомляет затронутых Пользователей в разумный срок.
12. ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ
В соответствии с законодательством Республики Казахстан Пользователь имеет право:
12.1. На получение информации о целях, способах и содержании обработки его персональных данных.
12.2. На доступ к своим персональным данным, их уточнение и исправление.
12.3. На отзыв согласия на обработку персональных данных. Отзыв согласия на обработку чувствительных данных влечёт прекращение доступа к Сервису в соответствии с п. 3.4 настоящей Политики.
12.4. На уничтожение своих персональных данных и (или) прекращение их обработки, если данные являются неполными, устаревшими, недостоверными или не являются необходимыми для заявленных целей.
12.5. На отказ от использования диалогов для обучения AI-алгоритмов в порядке, предусмотренном разделом 10 настоящей Политики.
Для реализации своих прав Пользователь направляет запрос по электронной почте: hello@talktodaisy.com. Оператор рассматривает запрос в сроки, предусмотренные применимым законодательством, но стремится предоставить ответ не позднее 30 календарных дней.
13. ВОЗРАСТНЫЕ ОГРАНИЧЕНИЯ
13.1. Сервис предназначен исключительно для лиц, достигших 18 (восемнадцати) лет. Оператор сознательно не собирает данные несовершеннолетних.
13.2. Если Пользователю стало известно, что несовершеннолетний использует Сервис, необходимо незамедлительно сообщить об этом по адресу: hello@talktodaisy.com.
14. ОБЯЗАТЕЛЬСТВА СТОРОН
14.1. Пользователь обязан:
- предоставлять достоверные персональные данные и своевременно их обновлять;
- не использовать Сервис в целях, противоречащих его назначению и требованиям законодательства;
- при наступлении кризисной психологической ситуации обращаться за профессиональной помощью, не полагаясь исключительно на Сервис.
14.2. Оператор обязуется:
- использовать данные исключительно для целей, указанных в разделе 6 настоящей Политики;
- обеспечивать конфиденциальность данных и не раскрывать их третьим лицам без согласия Пользователя, кроме случаев, предусмотренных законодательством;
- не осуществлять продажу, обмен, публикацию или разглашение персональных данных Пользователя в иных целях;
- принимать все предусмотренные Политикой и законодательством меры для защиты данных;
- в случае обнаружения инцидента безопасности, связанного с персональными данными Пользователя, незамедлительно уведомить Пользователя;
- осуществить блокирование персональных данных с момента получения соответствующего запроса Пользователя на период проверки в случае выявления недостоверных данных или неправомерных действий.
15. ОТВЕТСТВЕННОСТЬ СТОРОН
15.1. Оператор, не исполнивший свои обязательства, несёт ответственность за убытки, понесённые Пользователем в связи с неправомерным использованием его персональных данных, в соответствии с законодательством Республики Казахстан.
15.2. Оператор не несёт ответственности, если данные:
- стали публичным достоянием до их утраты или разглашения по вине Оператора;
- были получены от третьей стороны до момента их получения Оператором;
- были разглашены с согласия Пользователя.
15.3. Оператор не несёт ответственности за ущерб, прямо или косвенно возникший вследствие использования рекомендаций AI-ассистента вместо профессиональной психологической, психиатрической или медицинской помощи. Пользователь осознаёт и принимает, что Сервис является инструментом самопомощи и эмоциональной поддержки, а не профессиональным лечением.
15.4. Оператор не несёт ответственности за последствия использования Сервиса лицами, находящимися в состояниях, указанных в п. 2.4 настоящей Политики.
15.5. Пользователь понимает и соглашается, что никакие меры информационной безопасности не обеспечивают абсолютную защиту данных, и Оператор не гарантирует полное отсутствие рисков, связанных с использованием сети Интернет и информационных технологий.
16. РАЗРЕШЕНИЕ СПОРОВ
16.1. До обращения в суд обязательным является соблюдение претензионного порядка урегулирования спора.
16.2. Получатель претензии в течение 30 (тридцати) календарных дней с момента её получения письменно уведомляет заявителя о результатах рассмотрения.
16.3. При недостижении согласия спор подлежит рассмотрению в судебном порядке в соответствии с действующим законодательством Республики Казахстан.
16.4. К настоящей Политике и отношениям между Пользователем и Оператором применяется действующее законодательство Республики Казахстан.
17. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
17.1. Оператор вправе вносить изменения в настоящую Политику в любое время. В случае существенных изменений Оператор может уведомить Пользователей посредством интерфейса Сервиса, электронной почты либо иным разумным способом. Новая редакция вступает в силу с момента публикации, если иной срок не указан в уведомлении.
17.2. Новая редакция Политики вступает в силу с момента её размещения на сайте Сервиса, если иное не предусмотрено новой редакцией.
17.3. Продолжение использования Сервиса после вступления изменений в силу означает согласие Пользователя с обновлённой Политикой.
17.4. Настоящая Политика составлена на русском языке. При наличии версий на иных языках в случае расхождения приоритет имеет русскоязычная версия.
17.5. Все предложения или вопросы по настоящей Политике следует направлять по адресу: hello@talktodaisy.com