ПРОЕКТ ДОКУМЕНТА. До юридического утверждения регистрация новых пользователей отключена.
# HAOS — Политика обработки и защиты персональных данных **ПРОЕКТ · ТРЕБУЕТ ЗАПОЛНЕНИЯ И ЮРИДИЧЕСКОЙ ПРОВЕРКИ ПЕРЕД ПУБЛИКАЦИЕЙ** Версия проекта: `privacy-draft-r3-2026-10-31`. Дата: **[ДАТА]**. Оператор данных / юридическое лицо: **[НАИМЕНОВАНИЕ, АДРЕС, КОНТАКТ ПО ВОПРОСАМ ПД]**. Применимые юрисдикции: **[РФ / ЕЭЗ / ИНЫЕ, УТОЧНИТЬ]**. Место первичного хранения: **[СТРАНА И ПРОВАЙДЕР, ПОДТВЕРДИТЬ]**. ## 1. Какие данные обрабатываются - Регистрационные: email, отметка о его проверке, отображаемое имя, идентификатор аккаунта, выбранный язык, события акцепта. - Учётные и защитные: хеш пароля (без исходного пароля), уникальные идентификаторы внешних провайдеров, методы MFA, публичные ключи WebAuthn, хеши резервных кодов, данные сессий и ограниченные события безопасности. - Пользовательский контент: рабочие пространства, роли, задачи, чаты, файлы, пользовательские настройки; сообщения подключённых мессенджеров — только в рамках предоставленных прав и подключений. - Технические сведения: минимально необходимые записи о событиях входа, диагностики и предотвращения злоупотреблений, с установленными сроками хранения. - Платежи при включении платных функций: только сведения, необходимые для договора и отчётности; полные реквизиты карт в HAOS не должны храниться без специальной необходимости. ## 2. Для чего и на каком основании Создание/защита аккаунта; предоставление запрошенных функций; выполнение договорных обязательств; исполнение обязательных требований; предотвращение злоупотреблений; реализация отдельных необязательных функций на основании согласия там, где оно необходимо. **Для каждого процесса определить конкретное правовое основание отдельно по применимому праву**; не считать любую обработку автоматически основанной на согласии. ## 3. Нейтральность HAOS HAOS не продаёт пользовательские разговоры рекламодателям, не использует их для обучения собственных моделей и не предоставляет сотрудникам произвольный доступ к приватному содержимому. Технический доступ ограничен функциями сервиса, разрешениями пользователей, поддержкой по авторизованному обращению и законными обязанностями; обращение к содержимому ради поддержки или инцидента, если необходимо, должно иметь регламент, учёт и контроль. ## 4. Кто получает данные Участники общих пространств — только по назначенным ролям. Внешние ИИ, мессенджеры и провайдеры входа — в объёме нужных подключений и отдельных разрешений. Подрядчики инфраструктуры и почты — **[ПОЛНЫЙ СПИСОК/КАТЕГОРИИ, ОСНОВАНИЯ, СТРАНЫ, ДОГОВОРЫ]**. Данные Telegram-переписок не становятся публичными из-за подключения ChatGPT. ## 5. Хранение, местоположение, передача Сроки по категориям: аккаунт **[СРОК]**, сессии/события безопасности **[СРОК]**, неподтверждённые регистрации **[СРОК]**, резервные копии **[СРОК]**, удалённые пользователем данные **[СРОК И ИСКЛЮЧЕНИЯ]**. Если собираются ПД граждан РФ, проверить требование локализации на территории РФ и наличие законных оснований для возможной трансграничной передачи. Для пользователей ЕЭЗ отдельно оценить применимость GDPR, правовые основания и механизмы международной передачи. ## 6. Защита Шифрованная передача HTTPS; защитные сессионные cookie, ограничение попыток входа, контроль ролей/доступов, аудит критичных действий, резервное копирование, отзыв токенов внешних подключений. **Не объявлять E2E-шифрование, сертификацию или конкретную защиту реализованной без технического подтверждения**. ## 7. Права пользователя Просмотр и изменение данных профиля; отзыв необязательных согласий; отключение внешних подключений; экспорт; запрос на исправление/ограничение/удаление в предусмотренных законом случаях; обращение по **[КОНТАКТ]**. В общих рабочих пространствах может потребоваться учёт прав других участников и обязательств хранения. ## 8. Cookies и локальное устройство Используются строго необходимые cookie для авторизации и безопасности. Дополнительные аналитические/рекламные механизмы — **[УКАЗАТЬ И ПРИ НЕОБХОДИМОСТИ ПОЛУЧИТЬ СОГЛАСИЕ]**. Встроенное хранилище PWA не должно постоянно сохранять приватные данные после выхода, если это создаёт риск общедоступного устройства. ## 9. Дети и образовательные пространства **[РЕШИТЬ РЕЖИМ УЧАСТИЯ НЕСОВЕРШЕННОЛЕТНИХ, РОДИТЕЛЬСКОГО/ЗАКОННОГО ПРЕДСТАВИТЕЛЯ, СРОКИ И ОСОБЫЕ КАТЕГОРИИ ДАННЫХ]**. Не включать хранение чувствительных данных учащихся без отдельной оценки прав и доступа. ## 10. Изменения Текущая версия, дата публикации и история изменений доступны пользователю. При существенном изменении основания обработки или перечня целей требуется соответствующее уведомление и новый запрос согласия, если он необходим.К регистрации