Политика в области обработки персональных данных

Настоящая Политика в области обработки персональных данных (далее — Политика) применяется Рузановым Александром Викторовичем, самозанятым (плательщик налога на профессиональный доход), ИНН 503807107431 (далее — Оператор), к обработке персональных данных, получаемых при использовании сайта https://myrentai.ru (далее — Сайт) и сервиса RentAI.

Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и иными нормативно-правовыми актами Российской Федерации, включая Постановление Правительства РФ от 01.11.2012 № 1119 и приказы Роскомнадзора в части трансграничной передачи персональных данных.

Термины

• Пользователь (Хост) — физическое лицо, индивидуальный предприниматель, самозанятый, юридическое лицо или его уполномоченный представитель, использующий Сайт и Сервис для оказания услуг краткосрочной аренды.
• Гость — физическое лицо, чьи персональные данные передаются Хостом в Сервис в связи с бронированием, заселением или коммуникацией в рамках услуг краткосрочной аренды (например, через чат-бот, виджет, форму бронирования).
• Оператор — Рузанов Александр Викторович, ИНН 503807107431.
• Сайт — сайт https://myrentai.ru.
• Сервис — программное обеспечение RentAI: AI-генерация и обработка фотографий, видео, текстов объявлений, виртуальный хоумстейджинг, AI-ассистент для общения с Гостями, скрининг и иные функции.
• ПДн — персональные данные.
• ТГП — трансграничная передача персональных данных (передача за пределы Российской Федерации).
• Обезличивание — действия, в результате которых становится невозможно определить принадлежность ПДн конкретному субъекту без использования дополнительной информации.

1. Категории субъектов персональных данных

Оператор обрабатывает персональные данные следующих категорий субъектов:

• Физические лица — Пользователи (Хосты), регистрирующиеся в Сервисе самостоятельно как физлица.
• Индивидуальные предприниматели и самозанятые — как Пользователи Сервиса.
• Представители юридических лиц (ООО, АО и иных организационно-правовых форм) — как Пользователи Сервиса от имени организации.
• Гости — физические лица, данные которых передаются Хостами в Сервис в рамках исполнения договора краткосрочного найма (в отношении ПДн Гостей Оператор выступает обработчиком по поручению Хоста, см. раздел 9).

2. Цели обработки персональных данных

• Предоставление доступа к Сервису и оказание платных услуг.
• Идентификация Пользователя как стороны Договора-оферты.
• Обработка платежей и ведение учёта оказанных услуг.
• Связь с Пользователем (техническая поддержка, информирование).
• Автоматическое формирование ответов Гостям через AI-ассистента (модуль M04).
• Скрининг Гостей и ведение blacklist (модуль M05) по поручению Хоста.
• Улучшение качества Сервиса (агрегированная аналитика по обезличенным данным).
• Выполнение требований законодательства РФ (налоговый, бухгалтерский учёт).

Оператор не собирает и не обрабатывает персональные данные, которые не требуются для достижения указанных целей.

3. Состав обрабатываемых персональных данных

3.1. Данные Пользователей (Хостов)

• Фамилия, имя, отчество (при добровольном указании).
• Наименование компании, организационно-правовая форма, ИНН, КПП, ОГРН (для ИП/юрлиц).
• Адрес электронной почты.
• Номер телефона (при указании).
• Реквизиты для безналичных расчётов (для B2B-договоров).
• Идентификатор транзакции и способ оплаты (без хранения реквизитов банковских карт).
• Технические данные: IP-адрес, cookie-файлы, тип браузера, версия ОС, действия в Сервисе.
• Контент, загруженный в Сервис: фотографии и описания объектов недвижимости.

3.2. Данные Гостей (обрабатываются по поручению Хоста)

• Имя, фамилия Гостя (при наличии).
• Номер телефона, мессенджер-идентификатор (Telegram username/ID, WhatsApp-номер).
• Адрес электронной почты Гостя (при указании).
• Содержание переписки и голосовых сообщений Гостя с AI-ассистентом.
• Даты и параметры бронирования (заезд/выезд, количество гостей).
• Паспортные данные / документ, удостоверяющий личность (при загрузке Хостом для заселения, скрининга, blacklist).
• Сведения о ранее произошедших инцидентах (для blacklist по решению Хоста).

Оператор не обрабатывает биометрические ПДн (за исключением фотографий помещений, не позволяющих идентифицировать физическое лицо) и не обрабатывает специальные категории ПДн (расовая, национальная принадлежность, политические взгляды, состояние здоровья, интимная жизнь).

4. Правовые основания обработки

• Согласие субъекта ПДн (ст. 6 ч. 1 п. 1 152-ФЗ) — выражается проставлением отметок в чек-боксах при регистрации и при первом обращении Гостя к AI-ассистенту.
• Исполнение Договора-оферты со стороной которого является субъект ПДн (ст. 6 ч. 1 п. 5 152-ФЗ).
• Поручение оператора на обработку (ст. 6 ч. 3 152-ФЗ) — в отношении ПДн Гостей, передаваемых Хостом.
• Законные интересы Оператора (ст. 6 ч. 1 п. 7 152-ФЗ) — обеспечение безопасности Сервиса, противодействие мошенничеству.
• Отдельное согласие на трансграничную передачу (ст. 12 ч. 4 152-ФЗ) — для передачи обезличенных данных AI-провайдерам за пределами РФ.

5. Принципы обработки и обезличивание

Оператор реализует архитектуру разделения контуров обработки:

5.1. Российский контур

Все идентифицируемые персональные данные хранятся и обрабатываются исключительно на серверах, расположенных на территории Российской Федерации (Yandex Cloud, регион ru-central1, г. Москва). База данных PostgreSQL, файловое хранилище (фотографии, документы), резервные копии — всё физически в РФ. Это соответствует требованиям ч. 5 ст. 18 152-ФЗ и ФЗ-242 от 21.07.2014.

5.2. Зарубежный контур (технический)

Для использования зарубежных AI-моделей и для работы с заблокированными в РФ API мессенджеров (Telegram Bot API) Оператор использует прокси-сервер, расположенный в Европейском Союзе. На прокси-сервере не хранятся персональные данные — он выполняет исключительно функцию транспортного посредника.

5.3. Обезличивание перед передачей

Перед передачей данных в зарубежный контур и AI-провайдерам российский контур выполняет следующие операции обезличивания:

• Фамилия, имя, отчество → заменяются на условный псевдоним («Гость», «Хост»).
• Номер телефона → удаляется или заменяется на хэш SHA-256 с серверной солью.
• Точный адрес объекта → заменяется на район/округ города.
• Паспортные и иные документы → не передаются в AI-провайдеров ни при каких условиях.
• Фотографии → автоматически удаляются метаданные EXIF, включая GPS-координаты, дату съёмки, серийный номер камеры.
• Связка «псевдоним ↔ реальный субъект» хранится исключительно в российском контуре и не передаётся за рубеж.

6. Трансграничная передача персональных данных

В соответствии со ст. 12 152-ФЗ Оператор уведомляет Роскомнадзор о намерении осуществлять трансграничную передачу персональных данных и осуществляет такую передачу только после получения соответствующего согласия субъекта ПДн.

6.1. Страны, в которые осуществляется передача

• Страны Европейского Союза (Германия, Нидерланды, Финляндия, Франция) — для размещения технического прокси-сервера.
• Соединённые Штаты Америки — для передачи запросов AI-провайдерам (см. раздел 6.3).
• Великобритания — для отдельных AI-провайдеров.
• Иные страны при появлении новых AI-провайдеров — после обновления настоящей Политики и подачи дополнения в Роскомнадзор.

6.2. Категории передаваемых данных

• Текст сообщений и переписки в обезличенной форме (без ФИО, телефонов и иных прямых идентификаторов).
• Параметры объекта недвижимости (тип, площадь, удобства, район — без точного адреса).
• Фотографии помещений (без EXIF/GPS).
• Технические идентификаторы запроса (UUID).

Категорически НЕ передаются за рубеж: ФИО, паспортные данные, точные адреса, номера телефонов в открытом виде, фотографии документов, реквизиты счетов.

6.3. Перечень AI-провайдеров — получателей обезличенных данных

Текущий перечень AI-провайдеров, которым могут передаваться обезличенные данные:

• Anthropic, PBC (США) — генеративные модели семейства Claude (claude.ai/claude API).
• OpenAI OpCo, LLC (США) — модели GPT-4, GPT-4o, o1, o3, GPT Image и иные.
• Google LLC (США) — модели Gemini, Imagen, Veo (Vertex AI / AI Studio).
• Microsoft Corporation (США) — модели Azure OpenAI, Phi.
• xAI Corp. (США) — модели Grok.
• Meta Platforms, Inc. (США) — модели семейства Llama.
• Cohere Inc. (Канада) — модели Command, Embed.
• Mistral AI (Франция) — модели Mistral, Mixtral, Codestral.
• Stability AI Ltd. (Великобритания) — модели Stable Diffusion.
• Black Forest Labs (Германия) — модели Flux.
• Beijing Baichuan Intelligent Technology Co., Ltd. (КНР) — модели Baichuan.
• Alibaba Cloud (Hangzhou) Co., Ltd. (КНР) — модели Qwen, Tongyi Qianwen.
• DeepSeek (Hangzhou) AI Fundamental Technology Research Co., Ltd. (КНР) — модели DeepSeek-V3, DeepSeek-R1.
• Moonshot AI (КНР) — модели Kimi.
• Zhipu AI / ChatGLM (КНР) — модели GLM-4.
• ByteDance Ltd. (КНР) — модели Doubao, Seed.
• Tencent Cloud (КНР) — модели Hunyuan.
• 01.AI (КНР) — модели Yi.
• MiniMax (КНР) — модели Abab.

Актуальный список используемых провайдеров публикуется на странице https://myrentai.ru/ai-providers и обновляется по мере подключения / отключения провайдеров без необходимости получения нового согласия субъекта, при условии что характер передаваемых данных не меняется.

6.4. Правовая защита в иностранной юрисдикции

Часть указанных стран не включена Роскомнадзором в перечень государств, обеспечивающих адекватную защиту прав субъектов ПДн. Передача данных в такие страны осуществляется исключительно на основании отдельного согласия субъекта ПДн (ст. 12 ч. 4 152-ФЗ), которое запрашивается в момент регистрации в виде самостоятельного чек-бокса.

6.5. Использование данных AI-провайдерами

Оператор использует исключительно API-доступ к AI-моделям. По условиям API-соглашений с указанными провайдерами:

• Anthropic API — данные API-запросов НЕ используются для обучения моделей по умолчанию.
• OpenAI API — данные API-запросов НЕ используются для обучения моделей по умолчанию.
• Google Gemini API — данные API-запросов НЕ используются для обучения моделей в платных тарифах.
• Иные провайдеры — Оператор отбирает только тех, чьи API-соглашения исключают использование данных клиентских запросов для обучения.

Оператор обязуется при подключении нового AI-провайдера убеждаться в наличии указанного условия в API-соглашении.

7. Способы обработки и срок хранения

Оператор обрабатывает ПДн с использованием средств автоматизации (автоматизированная обработка). Действия с ПДн: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление), блокирование, удаление, уничтожение.

Сроки хранения:

• Данные учётной записи Пользователя — до удаления учётной записи или до отзыва согласия + 30 дней на полное удаление из резервных копий.
• Данные Гостей в переписке с AI-ассистентом — 12 месяцев с даты последнего сообщения, далее автоматическое удаление.
• Снимки паспортов и паспортные данные Гостей (серия и номер, кем и когда выдан, дата рождения, адрес регистрации) — 10 календарных дней, считая со дня, следующего за днём выезда; при споре по проживанию — до его разрешения.
• Договор найма с Гостем (ФИО, контакты, сроки и оплата, без паспортных данных) — 3 года с даты выезда (общий срок исковой давности, ст. 196 ГК РФ), если иной срок не установлен законом.
• Данные blacklist — бессрочно до отзыва Хостом или отзыва согласия Гостя.
• Данные бухгалтерского учёта — 5 лет в соответствии с ФЗ-402.
• Данные налогового учёта — 4 года в соответствии со ст. 23 НК РФ.
• Логи трансграничной передачи (факт, дата, обезличенный идентификатор) — 1 год для целей аудита.

8. Защита персональных данных

Оператор принимает правовые, организационные и технические меры в соответствии со ст. 19 152-ФЗ:

• Шифрование передачи данных (HTTPS/TLS 1.2 и выше).
• Размещение базы данных и хранилища на серверах с уровнем защищённости УЗ-3 (Yandex Cloud, г. Москва, аттестованный ЦОД).
• Шифрование данных при хранении (encryption at rest).
• Разграничение прав доступа: рядовые сотрудники доступа к ПДн не имеют, доступ ограничен системой ролей.
• Реквизиты банковских карт не хранятся: обработка через ЮKassa/YooMoney (сертифицирован по PCI DSS Level 1).
• Регулярное резервное копирование, ежедневные снимки сроком хранения 7 суток.
• Мониторинг безопасности, регистрация событий, журналы доступа.
• Обезличивание ПДн перед любой передачей за рубеж (см. раздел 5.3).

9. Особенности обработки ПДн Гостей: роль обработчика

В отношении персональных данных Гостей, передаваемых Хостами в Сервис (имя, телефон, переписка, паспортные данные, иные документы), Оператор выступает в качестве обработчика по поручению Хоста в соответствии со ст. 6 ч. 3 152-ФЗ. Хост в данных правоотношениях является оператором.

Условия обработки ПДн Гостей определяются Поручением на обработку персональных данных, являющимся неотъемлемой частью Договора-оферты (Приложение № 1 к Договору-оферте; отдельный документ «Поручение на обработку персональных данных»).

Хост гарантирует:

• Наличие правового основания обработки ПДн Гостя (согласие Гостя, договор найма, иные основания).
• Информирование Гостя об использовании Сервиса RentAI для автоматического общения и о возможной обработке его ПДн.
• Достоверность передаваемых сведений.

Оператор обязуется:

• Обрабатывать ПДн Гостей исключительно в целях исполнения поручения Хоста.
• Соблюдать конфиденциальность.
• Применять меры защиты не ниже, чем в отношении ПДн Пользователей.
• По запросу Хоста удалить или предоставить копию ПДн Гостя.

10. Права субъектов персональных данных

Субъект ПДн (Пользователь или Гость) вправе:

• Получить информацию об обработке своих ПДн.
• Требовать уточнения, блокирования или уничтожения данных.
• Отозвать согласие в любой момент.
• Обжаловать действия Оператора в Роскомнадзор (https://rkn.gov.ru) или в суд.

Для реализации прав направьте письменное обращение на nostruomo@yandex.ru. Срок ответа — 10 рабочих дней с даты получения обращения. Порядок ответа определяется внутренним «Регламентом обработки обращений субъектов ПДн».

11. Файлы cookie и аналогичные технологии

Сайт использует следующие категории файлов cookie:

• Технические (строго необходимые) — обеспечивают функционирование Сайта (авторизация, корзина, сессия). Отключение невозможно.
• Аналитические — Яндекс.Метрика (ООО «ЯНДЕКС», Россия) — обезличенный сбор статистики посещаемости. Отключение возможно в баннере cookie.
• Функциональные — запоминание предпочтений (язык, тема).

При первом посещении Сайта отображается баннер согласия с cookie с возможностью выбора «Принять все» / «Только необходимые» / «Настроить». Подробности — в отдельной «Политике использования cookie».

12. Изменение Политики

Оператор вправе обновлять Политику. Актуальная версия публикуется на https://myrentai.ru/policy с указанием даты публикации и номера версии. Существенные изменения (новые AI-провайдеры в новых юрисдикциях, изменение целей обработки) сопровождаются уведомлением Пользователей по email и/или через интерфейс Сервиса.

13. Контактная информация Оператора

Рузанов Александр Викторович

ИНН: 503807107431

Статус: самозанятый (плательщик НПД)

Адрес для корреспонденции: РФ, Московская область, г. Пушкино, г. Красноармейск, тер. ТСН Надежда, д. 13

Email для обращений субъектов ПДн: nostruomo@yandex.ru

Сайт: https://myrentai.ru

Ответственный за организацию обработки ПДн: Рузанов А.В. (Оператор лично).