Политика обработки персональных данных

Реквизиты Оператора

1. Общие положения

1.1. Оператор — Общество с ограниченной ответственностью «Принципал», ИНН 7100075330, ОГРН 1267100004511, КПП 710001001, юридический адрес: 300045, Тульская область, г. Тула, ул. Оборонная, д. 102В, кв. 379.

1.2. Контактные данные ответственного за организацию обработки персональных данных:

• ФИО: Жукова Дарья Олеговна (Генеральный директор);
• E-mail: hello@principalai.ru;
• Телефон: +7 (921) 272-29-65.

1.3. Настоящая Политика применяется к любой информации, которую Оператор может получить о Субъекте при использовании им сайта Оператора (https://principalai.ru), программы для ЭВМ «Принципал» (далее — Сервис), а также в рамках исполнения договоров с Субъектом.

1.4. Оператор уведомляет Роскомнадзор о намерении осуществлять обработку персональных данных в порядке, предусмотренном ст. 22 152-ФЗ.

2. Принципы обработки

2.1. Обработка персональных данных у Оператора осуществляется на основе следующих принципов (ст. 5 152-ФЗ):

• законности и справедливой основы;
• ограничения целями обработки;
• соответствия объёма и характера обрабатываемых данных целям обработки;
• точности и достаточности данных;
• хранения не дольше, чем требуют цели обработки;
• уничтожения или обезличивания по достижении целей либо при отзыве согласия.

3. Состав обрабатываемых персональных данных

3.1. Оператор обрабатывает следующие категории персональных данных Субъектов:

А. Данные, предоставляемые Субъектом самостоятельно

• фамилия, имя, отчество;
• адрес электронной почты;
• номер мобильного телефона;
• наименование организации, должность (при наличии);
• ИНН (для целей выставления документов);
• логин и криптографический хэш пароля доступа — сам пароль в открытом виде не хранится;
• содержание диалогов с AI-агентами и иной контент, размещаемый Субъектом в Сервисе.

Б. Данные, получаемые автоматически

• IP-адрес;
• информация о браузере и устройстве (User-Agent);
• cookie-файлы;
• данные о действиях в Сервисе (просмотренные страницы, время сессии, использованные функции);
• информация из систем веб-аналитики (Яндекс.Метрика — только на основании согласия Субъекта, полученного через cookie-баннер).

В. Платёжные данные

• сведения о факте и сумме платежа;
• последние 4 цифры номера карты, тип платёжной системы;
• идентификатор транзакции платёжного провайдера.

Полный номер карты, CVV, PIN — Оператором не запрашиваются и не хранятся. Данные карты обрабатываются непосредственно банком-эквайером (АО «Тинькофф Банк», сервис Т-Касса) и не передаются на серверы Оператора.

3.2. Оператор не обрабатывает специальные категории персональных данных (расовая принадлежность, политические взгляды, состояние здоровья и пр.) и биометрические персональные данные.

3.3. Оператор не обрабатывает персональные данные несовершеннолетних без согласия их законных представителей.

3.4. Оператор не принимает решения, порождающие юридические последствия в отношении Субъекта, исключительно на основании автоматизированной обработки персональных данных (ст. 16 152-ФЗ).

4. Цели обработки

4.1. Оператор обрабатывает персональные данные в следующих целях:

• идентификация Субъекта и предоставление доступа к Сервису;
• исполнение обязательств по договору с Субъектом (Публичная оферта — /terms, договор оказания услуг);
• информирование Субъекта о статусе обслуживания, изменениях в Сервисе, технических работах;
• выставление документов для оплаты (счета, акты, УПД);
• рассмотрение претензий и обращений Субъекта;
• маркетинговые рассылки и информирование о новых тарифах — исключительно при наличии отдельного согласия Субъекта, оформленного отдельным чекбоксом;
• исполнение требований законодательства РФ (налогового, бухгалтерского, о противодействии легализации доходов).

5. Правовые основания обработки

5.1. Оператор обрабатывает персональные данные на следующих правовых основаниях (ст. 6 152-ФЗ):

• согласие Субъекта, выраженное в порядке, установленном ст. 9 152-ФЗ (форма согласия размещена на сайте по адресу /consent);
• исполнение договора, стороной которого является Субъект (Публичная оферта, договор оказания услуг);
• исполнение функций, обязанностей, полномочий, возложенных на Оператора законодательством РФ (налоговое, бухгалтерское);
• законный интерес Оператора при отсутствии нарушения прав Субъекта (обеспечение безопасности Сервиса, защита от мошенничества и DDoS-атак).

6. Способы обработки

6.1. Оператор обрабатывает персональные данные:

• с использованием средств автоматизации (информационные системы Оператора, в том числе Сервис «Принципал»);
• без использования средств автоматизации — на бумажных носителях в исключительных случаях (заключение договоров на бумаге).

6.2. Обработка включает: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

7. Передача персональных данных третьим лицам

7.1. Оператор передаёт персональные данные следующим категориям третьих лиц, находящимся на территории Российской Федерации:

7.2. При передаче данных обработчику Оператор заключает с ним договор, содержащий обязанность сохранять конфиденциальность и обеспечивать безопасность данных при их обработке (ч.3 ст. 6 152-ФЗ).

7.3. Оператор при передаче данных сервисам GigaChat и YandexGPT осуществляет обезличивание запросов: ФИО, ИНН, контактные данные заменяются на условные обозначения.

7.4. Трансграничная передача персональных данных не осуществляется (п. 1 ст. 12 152-ФЗ).

7.5. Все серверы, на которых хранятся персональные данные граждан РФ, расположены на территории Российской Федерации (п. 5 ст. 18 152-ФЗ).

8. Сроки хранения

8.1. Сроки хранения персональных данных:

8.2. По истечении срока хранения персональные данные подлежат уничтожению или обезличиванию в течение 30 рабочих дней.

8.3. Субъект вправе потребовать удаления своих ПДн досрочно, за исключением сведений, обязанность хранения которых установлена законодательством РФ.

9. Меры защиты персональных данных

9.1. Оператор применяет комплекс мер, соответствующий Уровню защищённости 3 (УЗ-3) по классификации Постановления Правительства РФ №1119 от 01.11.2012, реализуемых в соответствии с приказом ФСТЭК России №21 от 18.02.2013.

Обоснование УЗ-3:

• Оператор не обрабатывает специальные категории ПДн;
• Оператор не обрабатывает биометрические ПДн;
• Число субъектов ПДн, обрабатываемых Оператором, менее 100 000;
• Актуальны угрозы 3 типа (без использования недекларированных возможностей ОС).

9.2. Организационные меры:

• назначен ответственный за организацию обработки персональных данных (Приказ №2 от 18.07.2026);
• утверждены локальные акты по защите ПДн (Политика, Положение, Регламенты);
• утверждена Модель угроз ПДн для УЗ-3;
• проводится инструктаж работников, имеющих доступ к данным;
• ведётся журнал учёта лиц, имеющих доступ к данным;
• установлен режим коммерческой тайны;
• утверждён Регламент реагирования на инциденты (уведомление РКН в течение 24 часов).

9.3. Технические меры:

• применяются средства защиты от несанкционированного доступа (брандмауэр Caddy, фильтрация запросов, rate limiting);
• пароли пользователей хранятся в виде криптографических хэшей (bcrypt cost ≥ 12);
• применяется шифрование канала связи (HTTPS / TLS 1.2+ с актуальными сертификатами, HSTS);
• ведётся журналирование действий с данными;
• применяется row-level security (RLS) в базе данных Сервиса;
• данные резервируются и хранятся в зашифрованном виде;
• применяется Content Security Policy на веб-приложении;
• применяются рекомендуемые security headers (X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy);
• зарубежные провайдеры мониторинга (в т.ч. Sentry в облачном варианте) и иные внешние SaaS для сбора телеметрии не используются — весь мониторинг и логирование ведётся на инфраструктуре в РФ.

10. Права Субъекта персональных данных

10.1. Субъект имеет право:

• получить информацию о составе, целях, сроках, способах и источниках получения его персональных данных (ст. 14 152-ФЗ) — Оператор отвечает в течение 10 рабочих дней;
• требовать уточнения, блокирования, уничтожения данных, если они неполны, устарели, недостоверны, незаконно получены или избыточны;
• отозвать согласие на обработку — Оператор прекращает обработку и уничтожает данные в течение 30 рабочих дней (за исключением данных, которые должны храниться в силу закона);
• обжаловать действия Оператора в Роскомнадзоре (rkn.gov.ru) или в судебном порядке;
• получить копию обрабатываемых о нём данных в машиночитаемом формате (JSON / CSV);
• возражать против обработки, осуществляемой в маркетинговых целях;
• удалить свой аккаунт через настройки Сервиса или через обращение по e-mail.

10.2. Запросы Субъект направляет на e-mail Оператора hello@principalai.ru с указанием:

• ФИО Субъекта;
• сведений, подтверждающих отношение к обрабатываемым данным;
• содержания запроса;
• подписи Субъекта (для письменного запроса) или подтверждения через email, с которого производилась регистрация в Сервисе.

10.3. Оператор отвечает в течение 10 рабочих дней с момента получения запроса. Срок может быть продлён до 30 рабочих дней с уведомлением Субъекта о причинах продления.

11. Особенности обработки в Сервисе «Принципал»

11.1. При использовании Сервиса Субъект может загружать в диалог с AI-агентами тексты документов, расчёты, сведения о контрагентах, иные данные, способные содержать персональные данные третьих лиц.

11.2. Субъект самостоятельно несёт ответственность за наличие у него законного основания для передачи Оператору персональных данных третьих лиц (контрагентов, сотрудников и т. п.) для целей обработки в Сервисе.

11.3. Оператор обезличивает запросы Субъекта при передаче их LLM-сервисам — поставщикам моделей (GigaChat, YandexGPT). ФИО, ИНН, контактные данные заменяются на условные обозначения.

11.4. Логи диалогов хранятся в зашифрованном виде с применением режима коммерческой тайны.

12. Использование cookie-файлов

12.1. Сайт Оператора использует cookie-файлы двух категорий:

Технические cookie (обязательные для функционирования):

• сохранение сессии авторизации;
• запоминание выбранных настроек интерфейса;
• защита от подделки межсайтовых запросов (CSRF).

Аналитические cookie (только с согласия):

• Яндекс.Метрика — используется для агрегированного анализа посещений сайта (только при согласии через cookie-баннер).

12.2. При первом посещении сайта Субъект уведомляется об использовании cookie через cookie-баннер и даёт согласие путём:

• нажатия кнопки «Принимаю» (согласие на все cookie);
• нажатия кнопки «Только необходимые» (согласие только на технические);
• или отказа через настройки браузера.

12.3. Согласие фиксируется в localStorage браузера сроком на 12 месяцев.

12.4. Субъект вправе в любой момент отозвать согласие через настройки браузера или обращение в поддержку.

13. Изменение Политики

13.1. Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция всегда доступна по адресу https://principalai.ru/privacy.

13.2. Существенные изменения, затрагивающие права Субъектов, доводятся до Субъектов дополнительно — путём направления уведомления на электронную почту не позднее чем за 10 календарных дней до вступления изменений в силу.

14. Контактная информация

Орган, осуществляющий контроль за деятельностью Оператора:
Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор)
Адрес: 109074, Москва, Китайгородский проезд, д. 7, стр. 2
Сайт: rkn.gov.ru
Портал ПДн: pd.rkn.gov.ru

Дата утверждения настоящей редакции: 18 июля 2026. Приказ №1 от 18.07.2026. Версия документа: 3.0.