Политика конфиденциальности

1. Кто мы и применимая нормативная база

1.1 Правовое основание и юрисдикция

Настоящая Политика конфиденциальности установлена компанией TraitTune, Inc. (далее — «TraitTune», «мы», «нас») в соответствии с международным законодательством о защите данных. Мы применяем GDPR в качестве базового стандарта для всех пользователей по всему миру.

1.2 Уведомление о соблюдении санкционного режима

TraitTune недоступен лицам и организациям, находящимся в юрисдикциях, на которые распространяются: (а) комплексные санкции Управления по контролю за иностранными активами Министерства финансов США (OFAC) — Крымский регион Украины, Куба, Иран, Северная Корея, Сирия, регионы ДНР и ЛНР; (б) секторальные программы OFAC и более широкие ограничительные меры США/ЕС/Великобритании, которые мы применяем по собственному решению, — Россия и Беларусь; (в) юрисдикции, в которых местные операционные условия делают доступность платформы нецелесообразной, — Афганистан и Мьянма. Доступ из этих юрисдикций блокируется на уровне сети.

1.3 Представитель в ЕС и Великобритании (статья 27 GDPR / статья 27 UK GDPR)

Поскольку TraitTune учреждён за пределами ЕС и Великобритании, но предлагает свои услуги лицам, находящимся в этих регионах, мы находимся в процессе назначения представителей в соответствии со статьёй 27 GDPR ЕС и статьёй 27 UK GDPR. До завершения данного назначения субъекты данных в ЕС/ЕЭЗ и Великобритании, а также надзорные органы вправе обращаться к нам напрямую по адресу privacy@traittune.com по всем вопросам, связанным с обработкой их персональных данных.

2. Какую информацию мы собираем

2.1 Сведения, предоставленные пользователем напрямую

2.2 Сведения, собираемые автоматически

3. Правовое основание обработки

3.1 Явное согласие (GDPR, ст. 9(2)(a))

• Обязательное условие: явное согласие является правовым основанием для обработки психометрических данных
• Детализированность: согласие на базовое тестирование является обязательным; согласие на анализ с использованием ИИ и аналитику — факультативным
• Отзывность: вы вправе отозвать согласие в любое время — после этого мы прекращаем обработку и удаляем данные
• Аудит: каждое событие получения согласия регистрируется с указанием временно́й метки, IP-адреса и версии документа

3.2 Оказание основных услуг

• Проведение тестов личности и навыков
• Формирование персонализированных инсайтов и рекомендаций
• Предоставление результатов тестирования и отчётов
• Поддержка вашей учётной записи и технического доступа

4. Ваши права в области конфиденциальности

4.1 Универсальные права

• Право на доступ: запросить копии своих персональных данных
• Право на исправление: внести изменения в неточные или неполные данные
• Право на удаление: запросить удаление своих персональных данных
• Право на переносимость данных: получить свои данные в структурированном формате (JSON/CSV) бесплатно в течение 30 дней

4.2 Права по GDPR (для резидентов ЕС/ЕЭЗ)

• Право на стирание («право быть забытым»): запросить полное удаление вашей учётной записи и всех связанных с ней психометрических данных. Мы исполним запрос в течение 30 дней и подтвердим выполнение в письменной форме.
• Право на ограничение обработки: потребовать приостановления обработки на период урегулирования спора
• Право на возражение: возражать против обработки, основанной на законных интересах
• Право не быть объектом автоматизированных решений: запросить рассмотрение результатов автоматизированного профилирования личности человеком
• Право на отзыв согласия: отозвать согласие в любое время; отзыв не затрагивает правомерности обработки, осуществлённой до его отзыва

Для реализации прав по GDPR направьте письмо на адрес privacy@traittune.com с темой «GDPR Rights Request». Мы отвечаем в течение 30 дней; в сложных случаях срок может быть продлён до 90 дней с соответствующим уведомлением.

4.3 Права по CCPA / CPRA (для резидентов Калифорнии)

Использование чувствительных персональных данных

Мы используем Ваши чувствительные персональные данные исключительно для предоставления запрошенного Вами сервиса и ни для каких иных целей; мы не используем и не раскрываем их для вывода каких-либо Ваших характеристик. Поскольку наше использование ограничено таким образом в соответствии со ст. 1798.121(d) Гражданского кодекса Калифорнии, предусмотренное CPRA право ограничить использование чувствительных персональных данных не применяется, и мы не предоставляем отдельную ссылку «Ограничить использование моих чувствительных персональных данных».

Global Privacy Control (GPC)

Мы соблюдаем сигналы Global Privacy Control. Если Ваш браузер передаёт заголовок GPC, мы расцениваем его как безусловный отказ от межконтекстной поведенческой рекламы — пиксели TikTok и Reddit отключаются, даже если ранее Вы дали согласие на маркетинговые cookie. Продажу персональных данных это не затрагивает, поскольку никакой продажи не происходит.

Отдельное уведомление см. на странице «Не продавать и не передавать мои персональные данные».

Чтобы подать запрос в рамках CCPA, направьте письмо на privacy@traittune.com с темой «CCPA Rights Request» или позвоните по номеру +1 (347) 667-9624. Мы отвечаем в течение 45 дней.

5. Безопасность данных

5.1 Уведомление о нарушении безопасности персональных данных

В случае нарушения безопасности персональных данных мы будем действовать в соответствии со статьями 33 и 34 GDPR: если нарушение может повлечь риск для Ваших прав и свобод, мы без неоправданной задержки и, где это возможно, в течение 72 часов с момента, когда нам стало о нём известно, уведомим компетентный надзорный орган; а если нарушение может повлечь высокий риск для Вас, мы без неоправданной задержки уведомим затронутых пользователей. Наш внутренний целевой показатель — проинформировать затронутых пользователей в течение 24 часов с момента подтверждения того, что нарушение их касается, что согласуется со стандартом GDPR «без неоправданной задержки» и никогда не превышает его. Уведомления описывают характер нарушения, его вероятные последствия и меры, которые мы приняли или предлагаем принять.

6. Обработчики данных и субобработчики

Мы не продаём Ваши данные. TraitTune выступает контролёром Ваших психометрических и учётных данных. Перечисленные ниже поставщики действуют как обработчики по нашему поручению (ст. 28 GDPR) — с каждым из них заключено Соглашение об обработке данных (DPA) со Стандартными договорными условиями (SCC). Stripe указан отдельно: в отношении платёжных данных карты, которые он получает напрямую при оформлении покупки, Stripe действует как самостоятельный контролёр в соответствии со своей политикой конфиденциальности (ст. 26 GDPR). Рекламные партнёры выделены в третью группу: когда Вы даёте согласие на маркетинг, они получают события конверсии (такие как просмотр страницы, регистрация, подписка или покупка), а для сопоставления — односторонний SHA-256-хеш Вашего email, но никогда Ваш email в читаемом виде или какие-либо психометрические данные, — и обрабатывают это как самостоятельные контролёры в соответствии со своими политиками конфиденциальности.

Обработчики (действуют по поручению TraitTune):

Самостоятельные контролёры (действуют на собственном правовом основании):

Рекламные партнёры (самостоятельные контролёры — только при наличии согласия на маркетинг):

Чтобы измерять, какая реклама приводит к регистрациям и подпискам, мы передаём этим рекламным партнёрам события конверсии (такие как завершённая регистрация, начатая заявка, подписка или покупка) через их серверные API конверсий. Чтобы сопоставить конверсию с соответствующим кликом по рекламе, мы можем включить односторонний SHA-256-хеш Вашего адреса электронной почты — код фиксированной длины, который мы не можем обратно преобразовать в Ваш адрес; партнёр может использовать его лишь для того, чтобы сопоставить Вас с уже имеющейся у него учётной записью. Мы никогда не отправляем Ваш email в читаемом виде. Мы также передаём название события конверсии, а для покупок — обобщённое значение и валюту, вместе с техническими сигналами, такими как IP-адрес и строка user-agent. Мы никогда не отправляем никаким рекламным партнёрам Ваши психометрические данные (баллы, theta, параметры IRT или ответы на вопросы тестирования) либо свободный текст, который Вы пишете, — они получают тот же самый хешированный идентификатор, тогда как наш субобработчик аналитики (см. PostHog выше) действует на основании отдельного согласия на аналитику. Поскольку эти рекламные партнёры являются самостоятельными контролёрами, идентификатор, который мы уже передали, далее подчиняется их собственным правилам хранения и удаления: чтобы они прекратили его использование или удалили его, воспользуйтесь своими правами на конфиденциальность напрямую у партнёра. Такая передача происходит только тогда, когда Вы дали согласие на маркетинг и не подали сигнал Global Privacy Control, и Вы можете отозвать своё согласие в любой момент — см. «Не продавать и не передавать».

7. Файлы cookie и технологии отслеживания

8. Международная передача данных

Часть наших обработчиков находится в Соединённых Штатах. Когда мы передаём Ваши персональные данные за пределы Европейской экономической зоны, Великобритании или Швейцарии, мы опираемся на следующие гарантии:

• Стандартные договорные положения ЕС (SCCs): передачи данных в США осуществляются на основании Стандартных договорных положений Европейской комиссии (Имплементационное решение (ЕС) 2021/914), включённых в соглашение об обработке данных (DPA) с каждым обработчиком, а также Дополнения к международной передаче данных Соединённого Королевства (UK International Data Transfer Addendum) для передач в рамках UK GDPR.
• EU–US Data Privacy Framework (DPF): если обработчик сертифицирован в рамках EU–US Data Privacy Framework (и его расширения для Соединённого Королевства), мы дополнительно опираемся на данный механизм признания адекватного уровня защиты.
• Дополнительные технические меры: шифрование при передаче (TLS 1.3) и в состоянии покоя (AES-256), псевдонимизация там, где это возможно, а также строгий контроль доступа обеспечивают защиту передаваемых данных.
• Оценка воздействия передачи (TIA): мы поддерживаем и периодически актуализируем оценку воздействия передачи, в рамках которой анализируется правовой режим каждой страны назначения и эффективность применяемых мер защиты.

Вы можете запросить копию соответствующих гарантий передачи, написав на privacy@traittune.com.

9. Хранение и удаление данных

Мы храним персональные данные только в течение срока, необходимого для цели, ради которой они были собраны. Приведённый ниже график является нашим единым согласованным графиком хранения:

• Активные учётные записи: в течение всего срока действия учётной записи, а также 30 дней после её закрытия.
• Психометрические данные (специальные категории персональных данных): хранятся в течение срока действия вашего согласия на их обработку, но не более 5 лет с даты сбора. В случае отзыва согласия или направления запроса на удаление мы удаляем ваши психометрические данные в течение 30 дней — независимо от установленного пятилетнего предельного срока хранения.
• Нарративы, сформированные ИИ (план Pro): хранятся в соответствии с разделом 3.7 Условий использования (скрываются при переходе на более низкий тариф; удаляются по истечении 12 месяцев при использовании плана Free). Отзыв согласия или запрос на удаление имеет приоритет и влечёт удаление данных в течение 30 дней.
• Записи о транзакциях: 7 лет в отношении платёжной информации, где это предусмотрено требованиями законодательства и налоговыми обязательствами (данный установленный законом срок хранения сохраняется после получения запроса на удаление в той мере, в какой это требуется законом).
• Серверные логи: 90 дней.

Чтобы было однозначно: при отзыве Вашего согласия по статье 9 все психометрические данные оценивания удаляются в течение 30 дней, даже если некоторые записи (например, обязательные по налоговому законодательству записи о транзакциях) должны храниться в течение указанных выше сроков.

10. Конфиденциальность детей (соответствие требованиям COPPA)

TraitTune предназначен для пользователей в возрасте от 18 лет.

• До 13 лет: мы не собираем данные несовершеннолетних осознанно. Для запроса об удалении обратитесь по адресу privacy@traittune.com.
• 18 лет и старше: вправе использовать TraitTune самостоятельно.

11. Обновления Политики

Мы можем периодически обновлять настоящую Политику конфиденциальности. О любых существенных изменениях мы уведомим Вас не менее чем за 30 дней по электронной почте, через сообщения на платформе и обновления на сайте.

12. Контактная информация