Политика конфиденциальности

Настоящую Политику принял Шишкин Сергей Николаевич — самозанятый (плательщик налога на профессиональный доход в соответствии с Федеральным законом № 422-ФЗ), ИНН 644011395102, фактический регион ведения деятельности — г. Москва. Далее по тексту — Оператор.

Оператор является собственником и администратором информационно-аналитического сервиса VOLGA AI, размещённого по адресу https://volga-ai.ru (далее — Сервис). Сервис предоставляет AI-аналитику спортивных событий, не принимает ставок, не является букмекером и не оказывает финансовых услуг.

Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — ФЗ-152) в редакции, действующей на дату публикации (включая изменения, внесённые федеральными законами №№ 233-ФЗ от 08.08.2024 и 156-ФЗ от 28.06.2025), и иными нормативными актами Российской Федерации.

Политика — публичный документ. Действующая редакция всегда доступна по адресу https://volga-ai.ru/privacy.

Email для запросов субъектов персональных данных: privacy@volga-ai.ru

Оператор обрабатывает только те данные, которые пользователь сообщает добровольно или которые формируются автоматически при использовании Сервиса.

2.1. При регистрации через email и пароль:

— адрес электронной почты;

— отображаемое имя, указанное пользователем (может быть псевдонимом);

— хеш пароля (открытый пароль не хранится; используется криптостойкий алгоритм семейства bcrypt/Argon2);

— 6-значный код подтверждения email (OTP) — хранится до момента верификации.

2.2. При регистрации через Яндекс ID (OAuth):

— email из профиля Яндекса;

— отображаемое имя из профиля Яндекса;

— внутренний идентификатор Яндекс-аккаунта.

2.3. Автоматически при посещении Сервиса:

— IP-адрес (для защиты от мошенничества и злоупотреблений);

— сведения об устройстве и браузере (User-Agent);

— технические журналы обращений (дата, время, URL, код ответа).

2.4. В процессе использования Сервиса:

— переписка с AI-ассистентом (текст запроса и ответа);

— история просмотренных аналитических обзоров матчей;

— баланс и история списания внутренних кредитов;

— настройки интерфейса (язык, тема);

— настройки email-уведомлений (промо/новости).

2.5. При подключении платёжной функциональности (в настоящее время не активна):

— сумма, дата и идентификатор операции, переданные платёжным агрегатором;

— статус подписки (тариф, срок действия).

Реквизиты банковской карты Оператор не получает и не хранит — они обрабатываются исключительно платёжным агрегатором, имеющим сертификацию PCI-DSS.

Что мы не собираем ни при каких обстоятельствах: паспортные данные, СНИЛС, ИНН пользователей, номер телефона, биометрию, сведения о здоровье, судимости, политических убеждениях, расе, национальности и иные специальные категории персональных данных (ст. 10 ФЗ-152).

Оператор обрабатывает персональные данные исключительно в следующих целях:

— Идентификация и аутентификация пользователя в Сервисе — на основании п. 5 ч. 1 ст. 6 ФЗ-152 (исполнение договора);

— Подтверждение принадлежности email при регистрации и смене адреса — на основании согласия субъекта ПД (п. 1 ч. 1 ст. 6 ФЗ-152);

— Защита Сервиса от мошенничества и атак — на основании законных интересов Оператора (п. 7 ч. 1 ст. 6 ФЗ-152);

— Оказание услуги AI-аналитики и формирование контекста для последующих ответов AI — на основании исполнения договора;

— Маркетинговые рассылки — только при отдельном согласии, отзываемом одним кликом;

— Подтверждение оплаты и бухгалтерский учёт — на основании исполнения договора и требований Федерального закона № 402-ФЗ «О бухгалтерском учёте».

Оператор не использует персональные данные для:

— продажи третьим лицам;

— автоматизированного принятия решений, влекущих юридические последствия для пользователя (ст. 16 ФЗ-152);

— профилирования за пределами целей оказания услуги Сервиса;

— таргетированной рекламы за пределами Сервиса.

Обработка осуществляется по основаниям, прямо предусмотренным ст. 6 ФЗ-152:

1. Согласие субъекта персональных данных — даётся пользователем при регистрации проставлением отдельной отметки в форме «Согласие на обработку персональных данных» (текст согласия размещён по адресу https://volga-ai.ru/consent);

2. Исполнение договора — оказание Услуг по Публичной оферте (https://volga-ai.ru/terms);

3. Соблюдение требований закона — в первую очередь Федеральный закон № 402-ФЗ «О бухгалтерском учёте» в части хранения данных о платежах;

4. Законные интересы Оператора — обеспечение безопасности Сервиса, предотвращение мошенничества и автоматических атак.

Пользователь вправе отозвать согласие в любое время — см. раздел 9.

5.1. Место хранения. Все базы данных пользователей физически расположены на территории Российской Федерации в соответствии с ч. 5 ст. 18 ФЗ-152:

— основная база данных — Timeweb Cloud Managed PostgreSQL (Москва);

— резервные копии — Timeweb Cloud (Москва);

— система отправки email — Yandex Cloud Postbox, регион ru-central1;

— бакеты с медиа-файлами — Yandex Object Storage, регион ru-central1.

Первичный сбор персональных данных граждан Российской Федерации осуществляется на серверах, расположенных на территории РФ.

5.2. Сроки хранения:

— Email, имя, хеш пароля, настройки — до 1 года с даты последней активности или с даты удаления аккаунта пользователем, после чего автоматически уничтожаются;

— История чатов с AI, история анализов — до 1 года с момента создания;

— Технические логи (IP, User-Agent) — до 6 месяцев;

— OTP, токен верификации email — до момента подтверждения, но не более 60 минут;

— Данные о платежах — 5 лет с даты операции (требование 402-ФЗ);

— Cookies — см. раздел 8.

5.3. Меры защиты:

— хеширование паролей криптостойкими алгоритмами (bcrypt/Argon2);

— передача данных только по HTTPS с актуальными версиями TLS;

— разграничение доступа по принципу минимальных привилегий;

— резервное копирование с шифрованием;

— JWT-токены аутентификации с ограниченным сроком жизни;

— журналирование действий администраторов;

— регулярное обновление ПО и закрытие уязвимостей.

Оператор не продаёт персональные данные. Передача осуществляется исключительно обработчикам по поручению Оператора в объёме, минимально необходимом для оказания Услуг. С каждым обработчиком оформлено соглашение в порядке ч. 3 ст. 6 ФЗ-152.

Перечень обработчиков:

— ООО «Тайм Веб» (Timeweb Cloud), РФ — хостинг и СУБД, обрабатывает все данные, хранящиеся в базе и на VPS;

— ООО «Яндекс» (Яндекс ID), РФ — получаем от Яндекса email, имя, идентификатор аккаунта в целях OAuth-входа;

— ООО «Яндекс» (Яндекс Метрика), РФ — обезличенная статистика посещений, без user_id и email;

— ООО «Яндекс.Облако» (Postbox), РФ — адрес получателя, тема и тело системного письма, для отправки верификационных и системных писем;

— Платёжный агрегатор Робокасса (АО «НКО “МОНЕТА”», лицензия ЦБ РФ), РФ — сумма, валюта, идентификатор заказа, email пользователя, для приёма оплаты подписки (планируется к подключению);

— Сторонний поставщик языковой модели (LLM), юрисдикция — Соединённые Штаты Америки — обезличенный текст запроса пользователя без идентификаторов аккаунта, для генерации AI-ответов в чате (см. раздел 7);

— Технический прокси-сервер, юрисдикция — Королевство Нидерландов — транзитный трафик к LLM-провайдеру без хранения (см. раздел 7).

Государственные органы получают данные исключительно по основаниям и в порядке, предусмотренным законом (запросы суда, правоохранительных органов, уполномоченных надзорных органов).

При работе AI-ассистента и аналитики Сервис обращается к стороннему поставщику языковой модели, расположенному в Соединённых Штатах Америки. Поскольку США не входят в перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных (Приказ Роскомнадзора № 274 от 05.08.2022), Оператор применяет следующий правовой режим:

7.1. Принцип архитектуры — обезличивание перед передачей. Перед отправкой текста запроса на сторону LLM-провайдера Сервис удаляет все идентификаторы пользователя: email, имя, user_id, IP, токены аутентификации и cookies. Передаётся только:

— свободный текст запроса, введённый пользователем;

— обезличенный контекст матча (названия команд, публичные котировки букмекеров, открытые спортивные данные).

Все запросы от Сервиса к LLM-провайдеру поступают от единого технического клиента — без возможности на стороне поставщика модели соотнести содержание запроса с конкретным физическим лицом.

7.2. Транзит через прокси-сервер в Нидерландах. Поскольку поставщик LLM ограничивает доступ из РФ, Оператор использует технический прокси-сервер, расположенный в Королевстве Нидерландов. Нидерланды включены в перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных (Приказ Роскомнадзора № 274 от 05.08.2022), как страна-участница Конвенции Совета Европы № 108. Прокси передаёт трафик в зашифрованном виде (HTTPS / TLS 1.3) без расшифровки и без долговременного хранения содержания запросов. Логи прокси содержат только метаинформацию о соединениях (IP источника, время, объём данных) и хранятся не более 7 суток.

7.3. Обязанность пользователя. Пользователь обязуется не вводить в чат AI-ассистента свои персональные данные (ФИО, контакты, паспортные данные, реквизиты карт, медицинские сведения) и персональные данные третьих лиц. Если пользователь добровольно сообщает такие сведения, ответственность за их распространение несёт сам пользователь. Оператор такие сведения не запрашивает и не использует для идентификации.

7.4. Уведомление РКН. Оператор подал в Роскомнадзор уведомление о трансграничной передаче персональных данных в соответствии с ч. 4 ст. 12 ФЗ-152 в редакции 233-ФЗ. Передача осуществляется при условии получения отдельного согласия пользователя на трансграничную передачу, выраженного в форме «Согласие на обработку персональных данных» (https://volga-ai.ru/consent).

7.5. Альтернатива для пользователя. Пользователь, не желающий использовать функции AI-ассистента, может пользоваться всеми остальными разделами Сервиса (просмотр статистики матчей, котировок, новостей) без них. В этом случае трансграничная передача персональных данных пользователя не осуществляется.

8.1. Технические (необходимые) — сохраняются всегда, без запроса согласия, на основании п. 5 ч. 1 ст. 6 ФЗ-152 (исполнение договора):

— JWT-токен аутентификации в localStorage — до 7 дней или до выхода из аккаунта;

— настройки темы (светлая/тёмная) — постоянно до сброса;

— настройки языка (ru/en) — постоянно до сброса;

— флаг согласия с cookies — 12 месяцев;

— флаг подтверждения возраста (18+) — 12 месяцев.

8.2. Аналитические — сохраняются только при явном согласии пользователя, выраженном через cookie-баннер кнопкой «Принять все»:

— cookies Яндекс.Метрики (_ym_uid, _ym_d, _ym_isad, _ym_visorc) — собирают обезличенную статистику посещений; срок — согласно политике Яндекс.Метрики, до 2 лет.

8.3. Управление согласием. При первом посещении пользователь видит баннер с двумя кнопками:

— «Принять все» — устанавливает аналитические cookies;

— «Только необходимые» — устанавливает только технические cookies.

Изменить решение или отозвать согласие можно очисткой хранилища браузера или переходом по ссылке «Cookies» в подвале сайта.

В соответствии с главой 3 ФЗ-152 пользователь имеет право:

— получить сведения об обработке своих ПД (ст. 14 ФЗ-152);

— требовать уточнения, блокирования или уничтожения неполных, неточных или устаревших данных (ст. 21 ФЗ-152);

— отозвать ранее данное согласие в любое время (ч. 2 ст. 9 ФЗ-152) — в этом случае Оператор прекращает обработку в срок до 30 дней, за исключением обработки на иных правовых основаниях (например, хранения платёжных данных по 402-ФЗ);

— возражать против обработки в целях маркетинговых рассылок — одной отметкой в разделе «Уведомления» в настройках или ссылкой «Отписаться» в письме;

— получить свои данные в структурированном машиночитаемом формате (по запросу);

— удалить учётную запись самостоятельно в разделе «Настройки»;

— обжаловать действия Оператора в Роскомнадзор (https://rkn.gov.ru) или в суд.

Как воспользоваться: направить письмо на privacy@volga-ai.ru с темой «Запрос субъекта ПД». В письме указать фамилию, имя, email регистрации в Сервисе и суть запроса. Ответ — в срок не более 30 календарных дней (ч. 1 ст. 20 ФЗ-152).

Сервис предназначен исключительно для лиц старше 18 лет. Это обусловлено спецификой темы: анализ спортивных событий смежен с тематикой ставок, размещение информации о которых для несовершеннолетних ограничено ст. 27 Федерального закона «О рекламе» и ст. 14.1 Федерального закона «Об основных гарантиях прав ребёнка».

Оператор не запрашивает сознательно персональные данные несовершеннолетних. При регистрации пользователь обязан подтвердить достижение 18 лет.

Если Оператору станет известно, что учётная запись создана лицом моложе 18 лет, она блокируется, а данные удаляются в течение 30 дней. Родители и законные представители вправе потребовать удаления аккаунта несовершеннолетнего, направив письмо на privacy@volga-ai.ru.

В случае утечки или иного инцидента с персональными данными Оператор:

1. в течение 24 часов уведомляет Роскомнадзор о факте инцидента;

2. в течение 72 часов направляет уточнённое уведомление с результатами внутреннего расследования (ч. 3.1 ст. 21 ФЗ-152 в редакции 266-ФЗ);

3. сообщает пострадавшим пользователям на email регистрации о факте инцидента и принятых мерах.

Оператор вправе изменять Политику. Актуальная редакция размещается по адресу https://volga-ai.ru/privacy с указанием даты публикации.

При существенных изменениях (расширение целей обработки, новые категории данных, новые обработчики, изменение режима трансграничной передачи) пользователи уведомляются:

— письмом на email регистрации;

— баннером в интерфейсе Сервиса при первом входе после изменений.

Срок предварительного уведомления — не менее 14 календарных дней до вступления изменений в силу.

По вопросам обработки персональных данных, для отзыва согласия, реализации прав: privacy@volga-ai.ru

По вопросам работы Сервиса, технической поддержки: support@volga-ai.ru

Жалоба в надзорный орган:

— Роскомнадзор: https://rkn.gov.ru

— Почтовый адрес: 109074, г. Москва, Китайгородский проезд, д. 7, стр. 2

Оператор: Шишкин Сергей Николаевич, ИНН 644011395102, регион ведения деятельности — г. Москва.

Дата вступления настоящей редакции в силу: 16 мая 2026 г.