Политика обработки персональных данных

Проект Lumetrix Студии от 13 октября 2026 года. Не является подтверждением соответствия инфраструктуры законодательству РФ. До публичного сбора данных нужно заполнить реквизиты, проверить процессы и утвердить действующую редакцию.

1. Оператор и контакты

Оператор: [ЗАПОЛНИТЬ: полное наименование/ФИО и статус]. Адрес: [ЗАПОЛНИТЬ: адрес оператора]. ИНН и ОГРН/ОГРНИП: [ЗАПОЛНИТЬ: реквизиты]. Email по вопросам данных: [ЗАПОЛНИТЬ: рабочий адрес]. Сайт: [ЗАПОЛНИТЬ: постоянный домен]. Ответственный за обработку: [ЗАПОЛНИТЬ: ответственное лицо/подразделение].

Политика раскрывает предполагаемую обработку данных взрослого пользователя и ребёнка, а также фактически реализованную обработку в локальном прототипе. Публичная демонстрация и рабочий кабинет не должны смешиваться: во временном предпросмотре нет отправки фото и регистрации.

2. Принципы и основания

Данные используются для конкретных целей и в необходимом объёме. Возможные основания — отдельное согласие, исполнение договора с надлежащим участием представителя и исполнение законных обязанностей оператора. Для каждой цели перед запуском определяется применимое основание; публикация политики сама по себе не заменяет согласие.

Согласие на обработку оформляется отдельно от соглашения и оферты. Маркетинг, размещение в портфолио и расширение целей не считаются автоматически разрешёнными созданием аккаунта. Нельзя включать неопределённое «любое использование» детских материалов.

3. Взрослый пользователь: данные и цели

• Email: подтверждение входа, связь по проекту и технические уведомления.
• Идентификатор аккаунта и сессионные данные: разграничение доступа к приватному кабинету.
• Запросы кодов, время и технический адрес соединения: ограничение злоупотреблений и проверка безопасности.
• Обращения в поддержку: рассмотрение вопроса и восстановление нарушенных прав.
• Подтверждения согласий и выбранные версии документов: доказательство конкретных разрешённых действий; полная система такого аудита ещё не внедрена.

Рассылки рекламного характера сейчас не подключены. Их возможное включение потребует отдельного добровольного выбора и простого отказа. Отказ от рекламы не блокирует заказ.

4. Ребёнок: данные и цели

Для персонализации используются имя, возраст в годах и месяцах, цвет глаз, фотография, выбранный персонаж и производные изображения. В будущем могут добавляться персональные видео и аудио с именем. Не требуется точный адрес ребёнка, место учёбы, полная дата рождения, документы или сведения о здоровье.

Фото служит референсом для изображения персонажа; в текущем коде не выполняется биометрический вход или установление личности по лицу. Юридическая квалификация зависит от фактических операций и поставщиков. Если обработка приобретёт биометрическую цель, понадобится отдельная оценка требований статьи 11 152-ФЗ; этот проект не разрешает её автоматически.

Данные ребёнка вводит законный представитель. Подтверждение статуса — не разрешение собирать сведения о любом ребёнке. Процедура проверки полномочий при споре должна ограничиваться необходимыми сведениями и защищённым каналом.

5. Операции с данными

В зависимости от этапа возможны получение, запись, хранение, уточнение, использование для формирования задания, предоставление указанному поставщику, выдача результата владельцу, блокирование и уничтожение. Результаты не должны публиковаться как общедоступные файлы по умолчанию. Реестр поставщиков и условия поручения обработки оформляются до подключения каждого сервиса.

Код прототипа приводит фото к JPEG, уменьшает его до 1800 пикселей и удаляет исходные метаданные. Это уменьшение избыточных данных, но не обезличивание: лицо остаётся узнаваемым.

6. Фактические локальные сроки

• Временный проект до подтверждения email: 30 минут от начала пути; очистка при работающем сервере примерно раз в минуту либо при следующем запуске.
• Одноразовый код входа: действителен 10 минут; это не срок автоматического удаления всей записи из базы.
• Cookie сессии: до 30 дней. Cookie временной загрузки: до 30 минут.
• История попыток загрузки по IP: код удаляет записи старше двух дней.
• Приватные фото, анкеты и выбранные персонажи после входа: автоматический максимальный срок хранения не реализован; доступно удаление владельцем.
• Локальные записи кодов, истёкших сессий и подтверждений: общая политика автоматической очистки ещё требует реализации.

Эти параметры описывают код, а не утверждают достаточность хранения для публичного запуска. Коммерческие сроки исходных фото, кандидатов, кадров, фильмов, технических журналов и подтверждений: [ЗАПОЛНИТЬ: сроки и процедуры по каждой категории]. Резервные копии: [ЗАПОЛНИТЬ: место, срок ротации и порядок удаления].

7. Локализация данных граждан РФ

До запуска российского сервиса нужно проверить предусмотренные частью 5 статьи 18 152-ФЗ требования к базам данных при сборе сведений граждан РФ. Согласие пользователя не заменяет эти требования. Текущее наличие SQLite на рабочем компьютере не подтверждает размещение баз в РФ или готовность production инфраструктуры.

Основное хранилище, обработчики загрузок, журналы, резервные копии и почтовая интеграция должны быть включены в карту данных. [ЗАПОЛНИТЬ: российский провайдер, местонахождение баз, архитектура сбора и договоры]. Временный Cloudflare Tunnel не объявляется российским хранилищем; технические данные его посетителей могут обрабатываться внешней инфраструктурой.

8. Поставщики и трансграничная передача

PiAPI: потенциально получает исходное фото, описание внешности и задания; через его инфраструктуру используется Nano Banana 2, а в будущем Kling. Для локального web-этапа предусмотрена только временная загрузка PiAPI. По документации поставщика файл удаляется через 24 часа и доступен по URL без входа. Эти сведения не гарантируют отсутствие иных логов или мгновенное уничтожение всех копий у субподрядчиков.

ElevenLabs: выбран для будущей озвучки; в веб-процессе не подключён. Планируется передавать текст с именем, а не исходное фото. Клонирование голоса ребёнка или родителя этим проектом не разрешается.

Resend: при настройке отправителя получает email и содержание письма с кодом. В публичном статическом предпросмотре отправка писем отсутствует. ImageKit использовался в прежних локальных генерациях, но автоматического переключения на него в новом web-этапе нет. Платёжный провайдер не выбран; данные банковских карт сейчас не собираются.

До подключения нужно установить юридические лица получателей, адреса, страны обработки, субподрядчиков, договорные роли, сроки и ограничения использования материалов. [ЗАПОЛНИТЬ: проверенный реестр получателей]. Нельзя автоматически считать бренды PiAPI, Google, Kling и ElevenLabs юридическими наименованиями получателей.

Если передача является трансграничной, выполняются применимые требования статьи 12 152-ФЗ, включая отдельное уведомление Роскомнадзора и оценку допустимости передачи. Одна галочка не заменяет эту процедуру. Неизвестные страны и условия обработки — препятствие для публичного включения соответствующего этапа, а не основание написать «любые страны».

9. Доступ, защита и персональные ссылки

В локальном приложении пароли не используются; в базе находятся хэши кодов и сессионных токенов. Приватные фото и PNG-кандидаты выдаются после серверной проверки владельца, с запретом кеширования. Секреты API остаются на сервере. Перечисленное не является сертификатом защиты или утверждением полной безопасности.

До production нужны контроль административного доступа, разграничение ролей, защищённые журналы, резервные копии, оценка угроз и необходимые организационные меры. Отдельно следует ограничить загрузку сторонних URL, массовые регистрации и раскрытие референсов. Ссылку временного хостинга нельзя публиковать в общих логах или выдавать в демоверсии.

10. Cookie, браузерное хранилище и внешние запросы

lumetrix_session обеспечивает вход, lumetrix_pending связывает временную загрузку с браузером. Эти cookie нужны соответствующим функциям. Запрет cookie может сделать вход и сохранение временного проекта невозможными. В демо localStorage хранит только шаг и условную букву выбранного варианта; это не место хранения детских фото.

Шрифты размещены вместе с сайтом, Google Fonts не используется. Рекламные счётчики и пользовательская аналитика сейчас не подключены. Перед их добавлением раскрываются цели, состав данных и поставщики, а необходимый выбор пользователя не подменяется общим баннером «продолжая пользоваться».

11. Удаление и отзыв согласия

Удаление фото в проекте очищает локальное фото и кандидатов этого проекта и прекращает их локальную обработку. Отзыв согласия в настройках делает это для всех проектов аккаунта; анкеты остаются. Удаление аккаунта удаляет локальные проекты, фото, кандидатов, сессии, записи баланса и связанные записи кодов. Технические журналы IP не связаны в коде с конкретным аккаунтом и имеют отдельный срок очистки.

Уже принятую задачу внешнего AI-провайдера локальная кнопка не отменяет. Уничтожение у получателя, в копиях и журналах требует отдельной процедуры. Действия кнопок не выдаются за гарантированное удаление всех данных во всех системах.

При отзыве согласия применяются условия и сроки статьи 21 152-ФЗ; в общем случае уничтожение при отсутствии другого законного основания производится не позднее 30 дней. Отдельные данные могут сохраняться для обязательного учёта или законной защиты требований, но не для неопределённого дальнейшего использования детских фото. Каждое такое основание и категория должны быть определены заранее.

12. Права и порядок обращения

Пользователь и законный представитель вправе запросить сведения об обработке, исправление неточностей, блокирование или уничтожение при наличии оснований, отозвать согласие и обратиться в Роскомнадзор или суд. Канал: [ЗАПОЛНИТЬ: email для запросов]. Для идентификации используются минимально необходимые сведения, а не обязательная публичная отправка паспорта.

Сведения по надлежащему запросу предоставляются в предусмотренный законом срок; статья 20 152-ФЗ предусматривает 10 рабочих дней с возможным мотивированным продлением не более пяти рабочих дней. Иные виды обращений имеют свои сроки, и один общий срок поддержки их не заменяет.

Порядок реагирования на инциденты должен включать расследование и предусмотренные законом уведомления. Для инцидентов, подпадающих под часть 3.1 статьи 21, предусмотрены уведомления Роскомнадзора в течение 24 часов и о результатах расследования в течение 72 часов. Такой процесс в текущем прототипе ещё не внедрён.

13. Отсутствие согласия на распространение

Заказ не разрешает использовать ребёнка в рекламе, публикациях студии или обучении её собственных моделей. Разрешение публичного распространения и использования изображения оформляется отдельно, если пользователь добровольно пожелает этого. Отказ не влияет на основную услугу. Условия внешних моделей об использовании переданных материалов нужно проверить отдельно, а не обещать отсутствие обучения без подтверждения поставщика.

14. Обновление политики

Новая редакция публикуется с датой. Изменение политики не создаёт задним числом согласие на новую цель или нового получателя. До активации нового процесса проводится проверка права, договора, уведомлений и согласий. Контакты, страны, сроки и технические настройки документа должны совпадать с реальной системой.