Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — Политика) подготовлена во исполнение п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о ПДн) и определяет порядок обработки персональных данных Оператором.

1.2. Политика действует в отношении всей информации, которую Оператор может получить о пользователях в связи с использованием сервиса Music-Step (music-step.ru).

1.3. Настоящая Политика опубликована на сайте оператора и является общедоступной (ч. 2 ст. 18.1 Закона о ПДн).

2. Сведения об Операторе

Оператор персональных данных:

• Полное наименование: Гомонюк Любовь Владимировна, применяющая специальный налоговый режим «Налог на профессиональный доход» (самозанятый)
• ИНН: 722408724051
• Адрес: г. Тюмень, ул. Федюнинского, д. 60к2, кв. 147
• Email для вопросов по обработке ПДн: dpo@music-step.ru
• Сайт: music-step.ru

3. Лицо, ответственное за организацию обработки ПДн (ст. 22.1 Закона)

В связи со статусом самозанятого функции ответственного за организацию обработки персональных данных исполняет лично Оператор — Гомонюк Л.В. Контакт для обращений субъектов ПДн и Роскомнадзора: dpo@music-step.ru.

4. Правовые основания обработки

• Конституция РФ
• Гражданский кодекс РФ
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»
• Согласие субъекта ПДн (ст. 6 ч. 1 п. 1 Закона о ПДн) — при регистрации на сайте
• Договор с субъектом ПДн — публичная оферта (ст. 6 ч. 1 п. 5 Закона о ПДн)
• Федеральный закон от 22.05.2003 № 54-ФЗ (для хранения данных о расчётах)

5. Цели обработки персональных данных

• регистрация и идентификация пользователя на сайте;
• оказание услуг генерации музыкального и визуального контента с помощью искусственного интеллекта;
• ведение баланса токенов и истории списаний;
• обработка платежей и оформление фискальных чеков (54-ФЗ);
• техническая поддержка и связь с пользователем;
• соблюдение требований законодательства РФ;
• направление маркетинговых сообщений — только при отдельном согласии (38-ФЗ).

6. Категории субъектов ПДн и обрабатываемые данные

Категория 1 — Пользователи сайта (физические лица):

• адрес электронной почты;
• отображаемое имя (никнейм), при добровольном указании;
• аватар, при добровольном указании;
• IP-адрес и данные User-Agent — для безопасности и антифрода;
• данные о балансе токенов и истории операций;
• тексты промптов, лирики и параметры генерации, направляемые в AI-модели;
• идентификаторы платёжных транзакций (без данных банковских карт).

Специальные категории ПДн (расовая принадлежность, здоровье, судимости и т.п.) и биометрические ПДн — не обрабатываются.

7. Способы и сроки обработки

Обработка осуществляется как с использованием средств автоматизации, так и без них. Способы: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление и трансграничная передача), обезличивание, блокирование, удаление и уничтожение.

Сроки хранения:

• учётная запись и связанные данные — до момента удаления аккаунта пользователем либо до отзыва согласия;
• данные о платежах и фискальные документы — 5 лет с даты операции (ч. 1 ст. 4.1 54-ФЗ);
• логи безопасности — 12 месяцев;
• маркетинговое согласие — до момента отзыва.

8. Место хранения (локализация, ст. 18 ч. 5 Закона о ПДн)

База данных с персональными данными граждан РФ размещена на серверах, физически расположенных на территории Российской Федерации (VPS Timeweb, г. Санкт-Петербург). Первичный сбор, запись, систематизация, накопление, хранение, уточнение и извлечение ПДн осуществляются исключительно на территории РФ.

9. Трансграничная передача (ст. 12 Закона о ПДн)

При использовании функций генерации отдельные данные (тексты промптов, лирика, параметры генерации) передаются на территории иностранных государств:

• США — OpenRouter Inc., Google LLC (Gemini)
• Гонконг / Сингапур — Kie AI Ltd.
• Нидерланды / Германия — Cloudflare R2 (хранение сгенерированного медиа)

Передача осуществляется исключительно с отдельно выраженного письменного согласия субъекта ПДн в соответствии с ч. 4 ст. 12 Закона о ПДн. Согласие может быть отозвано направлением письма на dpo@music-step.ru.

Уведомление Роскомнадзора о намерении осуществлять трансграничную передачу направлено (см. раздел 14).

10. Передача третьим лицам (обработчикам)

Данные могут передаваться следующим лицам-обработчикам по договору поручения:

• ООО «НКО ЮMoney» / ЮKassa — обработка платежей (РФ);
• ООО «Тайм-Веб» — хостинг серверов (РФ);
• OpenRouter Inc., Google LLC, Kie AI Ltd. — обработка запросов к AI-моделям (см. п. 9);
• Cloudflare, Inc. — CDN и хранение медиа (см. п. 9).

11. Меры защиты (ст. 19 Закона о ПДн)

• HTTPS-шифрование трафика (TLS 1.2+);
• хранение паролей в виде bcrypt-хеша, без возможности восстановления;
• row-level security (RLS) в базе данных — изоляция данных пользователей;
• ограничение доступа к серверам по SSH-ключам;
• журналы доступа хранятся 12 месяцев;
• резервные копии базы данных с шифрованием at-rest;
• обработка ПДн — только сотрудниками, допущенными Оператором.

12. Права субъекта ПДн (ст. 14 Закона)

Субъект персональных данных имеет право:

• получать сведения об обработке своих ПДн;
• требовать уточнения, блокирования или уничтожения ПДн;
• отозвать согласие на обработку — направив письмо на dpo@music-step.ru;
• получить экспорт своих данных в машиночитаемом виде — кнопка «Скачать мои данные» в личном кабинете;
• удалить аккаунт — кнопка «Удалить аккаунт» в личном кабинете;
• обжаловать действия Оператора в Роскомнадзор или в суд.

13. Ответы на обращения

Обращения субъектов ПДн рассматриваются в срок не более 10 (десяти) рабочих дней с момента поступления на dpo@music-step.ru. При необходимости срок может быть продлён, но не более чем на 5 (пять) рабочих дней с уведомлением заявителя.

14. Уведомление Роскомнадзора

Оператор внесён в Реестр операторов, осуществляющих обработку персональных данных (уведомление направлено в порядке ст. 22 Закона о ПДн). Проверить сведения об Операторе можно на порталеpd.rkn.gov.ru.

15. Изменения Политики

Оператор вправе изменять настоящую Политику. Новая редакция вступает в силу с момента её публикации на сайте. Пользователи, продолжающие использование сервиса после публикации новой редакции, считаются принявшими её условия.