Положение об обработке и защите персональных данных

Утверждено: [дата] · Редакция от 14 сентября 2026

Требует заполнения перед публикацией

Этот документ технически полон, но везде, где стоит [уточняется], нужны реальные реквизиты — наименование ИП/самозанятого, ИНН, адрес, ответственное лицо. Заполнить после регистрации формы ведения бизнеса. Рекомендуется финальная проверка практикующим юристом по 152-ФЗ перед тем, как полагаться на этот документ как на окончательный.

1. Общие положения

1.1. Настоящее Положение об обработке и защите персональных данных (далее — «Положение») разработано в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и определяет политику Оператора в отношении обработки персональных данных пользователей сервиса Kora (далее — «Сервис»), доступного по адресу korachat.ru.

1.2. Оператор персональных данных: [наименование ИП/самозанятого — уточняется], ИНН [уточняется], адрес: [уточняется] (далее — «Оператор»).

1.3. Целью настоящего Положения является обеспечение защиты прав и свобод пользователя Сервиса (далее — «Субъект персональных данных») при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

2. Термины и определения

Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу.
Обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение.
Оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных.
Kora.id — уникальный обезличенный идентификатор учётной записи пользователя Сервиса.

3. Принципы обработки персональных данных

Обработка осуществляется на законной и справедливой основе.
Обработка ограничивается достижением конкретных, заранее определённых и законных целей.
Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
Обработке подлежат только персональные данные, которые отвечают целям их обработки.
Содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки. Обрабатываемые персональные данные не избыточны по отношению к заявленным целям их обработки.
Хранение персональных данных осуществляется не дольше, чем этого требуют цели обработки.

4. Цели обработки персональных данных

Цель	Категория данных
Регистрация и аутентификация пользователя	Email, хеш пароля
Предоставление функциональности диалога с ИИ, включая долгосрочную память о пользователе	Текст сообщений, извлечённые факты, Kora.id
Распознавание текста на прикреплённых изображениях	Изображения (передаются в Yandex Vision, не хранятся Оператором после обработки)
Защита Сервиса от перегрузки и злоупотреблений	IP-адрес (хранится не более 2 суток)
Уведомление о запуске Сервиса (лист ожидания)	Email
Восстановление доступа к аккаунту	Email

5. Правовые основания обработки

5.1. Обработка персональных данных осуществляется с согласия Субъекта персональных данных на обработку его персональных данных (ст. 6 152-ФЗ), которое предоставляется при регистрации в Сервисе путём проставления отметки в соответствующем поле формы регистрации.

5.2. Текст согласия — в разделе 10 настоящего Положения и отдельно на странице регистрации.

6. Условия обработки. Локализация и трансграничная передача

6.1. В соответствии со ст. 18 ч. 5 152-ФЗ, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации.

Учётные записи пользователей (email, хеш пароля, Kora.id) и данные листа ожидания хранятся на сервере, физически расположенном в Москве (Timeweb Cloud). До 12.09.2026 эти данные временно хранились на инфраструктуре Cloudflare D1 с размещением за пределами РФ — миграция на российский сервер завершена, историческое несоответствие устранено.

6.2. Текст сообщений пользователя передаётся для обработки языковой моделью в Yandex Cloud (обработка происходит на территории РФ).

6.3. Инфраструктура доставки контента и часть служебной инфраструктуры (Cloudflare Workers, вспомогательные временные счётчики) технически распределена глобально в силу архитектуры используемого CDN-провайдера. Персональные данные (email, пароль) в этой части инфраструктуры на постоянной основе не хранятся; обрабатываются только технические данные запроса (включая кратковременно — IP-адрес, не более 2 суток) в объёме, необходимом для доставки сервиса и защиты от перегрузки.

6.4. Трансграничная передача персональных данных на территории иностранных государств, не обеспечивающих адекватную защиту прав субъектов персональных данных, не осуществляется.

7. Сроки обработки и хранения

Данные учётной записи — до момента удаления аккаунта по запросу пользователя или отзыва согласия.
Долгосрочная память (факты о пользователе) — до момента удаления по запросу пользователя.
IP-адрес для защиты от перегрузки — не более 2 суток, автоматическое удаление.
Email в листе ожидания — до отправки уведомления о запуске Сервиса или отзыва согласия, в зависимости от того, что наступит раньше.

8. Права субъекта персональных данных

Субъект персональных данных имеет право:

получать информацию, касающуюся обработки его персональных данных;
требовать уточнения, блокирования или уничтожения его персональных данных в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
отозвать согласие на обработку персональных данных;
обжаловать действия или бездействие Оператора в Роскомнадзоре или в судебном порядке.

Для реализации этих прав — обратиться по контактам, указанным в разделе 11.

9. Меры по обеспечению безопасности персональных данных

Пароли хранятся исключительно в виде необратимого хеша (PBKDF2-SHA256, 100 000 итераций) — Оператор не имеет технической возможности прочитать пароль пользователя в исходном виде.
Передача данных между пользователем и Сервисом осуществляется по защищённому протоколу HTTPS.
Доступ к административным функциям защищён отдельным ключом доступа, сравнение которого выполняется алгоритмом с постоянным временем выполнения (защита от timing-атак).
Установлены ограничения частоты запросов (rate limiting) для защиты от автоматизированных злоупотреблений.
Регулярное резервное копирование данных учётных записей.

10. Согласие на обработку персональных данных

Регистрируясь в Сервисе, Субъект персональных данных даёт свободное, конкретное, информированное и сознательное согласие Оператору на обработку своих персональных данных (email, хеш пароля, содержания сообщений, Kora.id, IP-адреса) способами, указанными в разделе 2 настоящего Положения, в целях, указанных в разделе 4, на условиях, указанных в разделе 6, включая передачу данных для обработки указанным в Политике конфиденциальности третьим лицам (Yandex Cloud, Resend, Cloudflare, Timeweb Cloud) в объёме, необходимом для предоставления функциональности Сервиса.

Согласие действует до момента его отзыва Субъектом персональных данных путём направления соответствующего запроса по контактам из раздела 11 или удаления аккаунта.

11. Ответственное лицо и контакты

Лицо, ответственное за организацию обработки персональных данных: [ФИО — уточняется].

Контакты по вопросам обработки персональных данных: privacy@korachat.ru.

12. Заключительные положения

12.1. Настоящее Положение подлежит пересмотру в случае изменения законодательства РФ о персональных данных или изменения практики обработки данных Оператором.

12.2. Действующая редакция Положения публикуется на сайте Сервиса и доступна по адресу korachat.ru/pdn-policy.