Политика обработки персональных данных

Редакция от 19 октября 2026 года. Действует с [ДАТА_ВСТУПЛЕНИЯ].

1 Общие положения

Настоящая Политика определяет, как Индивидуальный предприниматель Ромашенко Роман Александрович, ИНН 236101223048, ОГРНИП 315236100011203, адрес г. Санкт-Петербург, набережная Дудергофского канала, д. 4, корп. 1, кв. 428, обрабатывает персональные данные при работе сайта https://buyora.ai и сервиса Buyora.ai. Обращения по персональным данным принимаются по адресу info@buyora.ai.

Buyora.ai помогает обрабатывать закупочные заявки и коммерческие предложения, сопоставлять позиции и готовить сравнение для проверки человеком. На текущем этапе для обработки документов используются сторонние большие языковые модели и связанные с ними сервисы. При ИИ-обработке действует цепочка: основной сервер в Москве → прокси-сервер владельца в Германии → API OpenRouter → OpenAI в США. Прокси используется для передачи и, по действующей схеме владельца, не выполняет постоянное хранение документов. Техническая обработка и доступ в Германии также учитываются при оценке трансграничной передачи. Получатели, страны, передаваемые сведения и условия обработки раскрыты в документе «Использование ИИ и внешние обработчики» по адресу https://buyora.ai/legal/ai-processors.

Политика применяется к данным посетителей, заявителей, пользователей, клиентов — физических лиц, представителей организаций, ИП и контрагентов, а также к персональным данным, которые могут содержаться в загружаемых документах. Сведения о юридическом лице сами по себе не являются персональными данными; сведения об ИП и контактных лицах могут относиться к персональным данным.

2 Роли при обработке данных

Для собственных целей сайта, управления учетными записями, связи с клиентами, расчетов и безопасности оператором является Индивидуальный предприниматель Ромашенко Роман Александрович. При предоставлении сервиса гражданину для его личных нужд владелец сервиса также определяет цели необходимой обработки собственных данных этого гражданина и действует как оператор. Поручение компании не заменяет оснований этой обработки.

Когда организация или ИП загружает документы с персональными данными для своих закупочных задач и определяет цели их обработки, такая организация или ИП является оператором этих данных, а владелец Buyora.ai обрабатывает их по поручению клиента. Условия поручения размещены по адресу https://buyora.ai/legal/data-processing. Самостоятельные цели владельца сервиса не подменяются поручением клиента.

Клиент обеспечивает законные основания обработки данных работников, представителей поставщиков и иных лиц, а также получения необходимого согласия на поручение обработки и привлечение конкретных обработчиков, если такое согласие требуется законом. Согласие человека, загрузившего файл, не является согласием других лиц, указанных в этом файле.

3 Цели данные основания и сроки

3 1 Ответ на заявку и проведение демонстрации

Субъекты: лица, самостоятельно направившие заявку, и представители потенциальных клиентов. Данные: имя, рабочие email и телефон, наименование организации, должность при указании, содержание обращения, дата и статус обращения. Обязательные поля отмечаются в форме; остальные заполняются добровольно. Основание: отдельное согласие на обработку данных заявки; применимое договорное основание используется только при наличии условий пункта 5 части 1 статьи 6 Закона № 152-ФЗ. Срок: до завершения общения, но не более шести месяцев после последнего содержательного контакта, если не возникло самостоятельное законное основание дальнейшей обработки.

3 2 Учетная запись и сопровождение

Субъекты: пользователи — физические лица, администраторы и приглашенные пользователи организаций, индивидуальные предприниматели. Данные: имя, рабочий email, телефон при использовании, организация, должность при указании, роль и идентификатор учетной записи, сведения о входах и обращениях в поддержку. Пароли, если используются, хранятся в виде защищенных производных, не предназначенных для восстановления исходного пароля. Основания: договор, когда субъект является его стороной или выгодоприобретателем; отдельное согласие пользователя в остальных случаях; законные интересы обеспечения безопасности при соблюдении прав субъекта. Срок: период использования учетной записи и исполнения обязательств. После прекращения отношений данные удаляются в установленном ниже порядке, кроме необходимых сведений, для которых сохраняется отдельное основание.

3 3 Обработка закупочных документов по поручению

Субъекты: работники и представители клиента, поставщиков и иных контрагентов, ИП. Данные: ФИО, должность, рабочие контактные сведения, наименование и реквизиты ИП, а также относящиеся к этим лицам сведения о заявке и предложении, законно включенные в документы. Объем ограничивается задачей сравнения. Основания определяет клиент как оператор; Buyora.ai действует по документированному поручению и в пределах законно предоставленных полномочий. Срок: срок поручения; при его прекращении предусмотрены выгрузка и последующее удаление в пределах согласованных и законных сроков. Хранение для самостоятельных целей владельца сервиса возможно только при отдельном основании.

3 4 Заключение договора и расчеты

Субъекты: клиенты — физические лица, ИП, уполномоченные представители и контактные лица организаций. Данные: ФИО, рабочие контакты, должность, сведения о полномочиях, реквизиты ИП, сведения о договоре, счетах, платежах, возвратах, кассовых чеках и закрывающих документах; email или телефон для электронного чека. Полные реквизиты карт вводятся в защищенной платежной форме эквайера и не должны сохраняться владельцем Buyora.ai. Получатель платежных данных: [ЮРЛИЦО_АДРЕС_И_ССЫЛКА_ЭКВАЙРИНГА]. Основания: исполнение договора и обязанностей, установленных законом; законный интерес ведения деловой переписки и защиты прав при соблюдении прав субъектов. Сроки первичных учетных и налоговых документов определяются применимым законодательством; для бухгалтерских документов применяется установленный законом срок, в том числе не менее пяти лет после отчетного года в случаях статьи 29 Закона № 402-ФЗ. Остальные документы не хранятся автоматически в течение того же срока без самостоятельного основания.

3 5 Безопасность и работоспособность

Субъекты: посетители и пользователи. Данные: IP-адрес, дата и время запросов, технические сведения об устройстве и браузере, идентификаторы сессии, события входа, ошибок и операций. Основания: исполнение обязательств по защите данных и законный интерес предотвращения злоупотреблений при соблюдении прав субъектов. Обычные технические журналы хранятся до 90 дней; относящиеся к расследованию инцидента или спору записи могут храниться отдельно на необходимый для этой цели срок. Содержимое КП и секреты доступа в обычные технические журналы не включаются.

3 6 Аналитика и реклама

Необязательная аналитика применяется только при наличии соответствующего выбора посетителя. Состав сведений, конкретный сервис и сроки указаны в Политике cookie и отдельном согласии на аналитику. При отсутствии подключенной аналитики такая обработка не производится.

Для рекламных сообщений используются только имя и email, предоставленные для этой цели, сведения о подтверждении подписки и предпочтениях. Основания: отдельное согласие на обработку данных для продвижения и отдельное согласие на получение рекламы. Срок: до отзыва либо не более двух лет с последнего подтверждения подписки, после чего требуется новое подтверждение. Отказ от рекламы не ограничивает доступ к сервису.

4 Способы и ограничения обработки

Обработка осуществляется автоматизированным и, при необходимости рассмотрения обращений и проверки результатов, смешанным способом. В зависимости от цели выполняются сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление или доступ конкретным уполномоченным лицам, блокирование, удаление и уничтожение. Трансграничная передача допускается только для отдельно определенных задач и получателей при соблюдении закона.

Сервис не предназначен для загрузки паспортов, платежных карт, сведений о здоровье, политических и религиозных взглядах, интимной жизни, биометрии для установления личности, данных несовершеннолетних и иной информации, не необходимой для закупочной задачи. Ненужные сведения, подписи, личные телефоны и адреса рекомендуется удалять до загрузки. Обнаруженные избыточные сведения блокируются для дальнейшей обработки и удаляются в установленном порядке.

Удаление имени из текста не гарантирует обезличивания, если человек остается определимым по другим данным. Персональные данные не публикуются для неограниченного круга лиц на основании этой Политики.

5 Локализация и трансграничная передача

При сборе персональных данных граждан РФ должны соблюдаться требования части 5 статьи 18 Закона № 152-ФЗ: использование зарубежных баз данных для перечисленных в этой норме операций при сборе не допускается, кроме установленных законом исключений. Основная база, файлы и место первичного сбора для сервиса: Российская Федерация, г. Москва; основной сервер, база и загружаемые файлы размещены совместно. Хостинг и адрес ЦОД: [ХОСТИНГ_РФ_И_АДРЕС_ЦОД]. Фактическая схема последующей обработки и иностранных получателей раскрывается в реестре обработчиков. Наличие российской базы само по себе не подтверждает правомерность любой последующей зарубежной обработки.

Трансграничная передача осуществляется по определенному правовому основанию, после получения необходимых сведений об иностранном получателе, оценки защиты и выполнения уведомительного порядка статьи 12 Закона № 152-ФЗ. При наличии ограничения или запрета Роскомнадзора соответствующая передача не осуществляется. Согласие пользователя не отменяет эти требования.

Для внешней обработки могут передаваться текст, табличные данные, фрагменты документов, а при использовании соответствующего маршрута — файлы или изображения целиком. Конкретный объем, модель, юридическое лицо получателя, все страны обработки, хранения и доступа, сроки хранения и режим использования для обучения указываются для каждого активного маршрута. Учетные пароли и реквизиты платежных карт в LLM не направляются.

6 Права на документы и обучение моделей

Загрузка не передает владельцу сервиса право собственности или исключительные права на документы клиента. Документы используются в пределах договора и поручения. Публикация кейсов, использование в общей базе знаний и обучение собственных моделей на документах клиента требуют отдельного правового основания и согласованных условий.

Использование переданных сведений самим внешним провайдером для обучения, контроля злоупотреблений, ручной проверки или иных целей зависит от конкретного договора и настроек. Подтвержденные условия каждого активного маршрута указаны в реестре; использование API само по себе не означает отсутствие хранения или обучения. Самостоятельное использование провайдером за пределами поручения не покрывается общим поручением клиента.

7 Защита и доступ

Доступ предоставляется уполномоченным сотрудникам и привлеченным лицам в необходимом объеме с учетом их задач. Применяются организационные и технические меры, соответствующие характеру обработки и требованиям статьи 19 Закона № 152-ФЗ. Сведения о фактически реализованных мерах: [РЕАЛИЗОВАННЫЕ_МЕРЫ_ЗАЩИТЫ]. Информация, раскрытие которой создает угрозу безопасности, публично не размещается.

8 Права субъекта и обращения

Субъект вправе получить предусмотренную законом информацию об обработке, требовать уточнения, блокирования или уничтожения данных при наличии оснований, отозвать согласие, отказаться от рекламы и обжаловать действия оператора. Обращение направляется на info@buyora.ai или по адресу г. Санкт-Петербург, набережная Дудергофского канала, д. 4, корп. 1, кв. 428. Для идентификации запрашиваются только необходимые сведения с учетом требований закона.

Информация по запросу предоставляется в течение десяти рабочих дней; продление не более чем на пять рабочих дней допускается с мотивированным уведомлением в случаях, предусмотренных законом. Для уточнения, прекращения обработки и уничтожения применяются специальные сроки статей 20 и 21 Закона № 152-ФЗ. Рекламная обработка прекращается немедленно по требованию.

Если данные обрабатываются по поручению клиента, обращение передается соответствующему клиенту и исполняется во взаимодействии с ним. Это не ограничивает возможность прямого обращения субъекта и права, предусмотренные законом.

9 Прекращение обработки и уничтожение

После достижения цели или отзыва согласия при отсутствии другого основания обработка прекращается, данные уничтожаются в сроки, предусмотренные статьей 21 Закона № 152-ФЗ, как правило не позднее 30 дней. Данные в резервных копиях также включаются в процедуру прекращения и уничтожения; наличие копии не является самостоятельным основанием бессрочного хранения. При предусмотренной законом невозможности своевременного уничтожения данные блокируются и уничтожаются в срок, установленный частью 6 статьи 21.

Документы, подтверждающие согласие и исполнение требований закона, могут храниться отдельно в минимальном объеме для защиты прав и подтверждения законности обработки при наличии соответствующего основания. Продолжение хранения не означает продолжения рекламного использования.

10 Изменение Политики

Актуальная редакция размещается по адресу https://buyora.ai/legal/privacy. Существенные изменения целей, данных, получателей и оснований доводятся до сведения затронутых лиц; новое согласие получается там, где оно необходимо. Простая публикация новой редакции не заменяет требуемое согласие и не легализует ранее неправомерную обработку.