Политика конфиденциальности

Дата вступления в силу: 1 июля 2026 · Последнее обновление: 8 ноября 2026

Коротко

DEVOITEX — инженерная команда, которая создаёт, изменяет, тестирует, запускает и поддерживает программное обеспечение для клиентов. Наши инженеры используют в этой работе ИИ-инструменты и остаются ответственными за результат.
На этом сайте мы не используем рекламные пиксели и отслеживающие cookies. Посещения мы считаем с помощью Umami — системы аналитики без cookies, которая работает на нашем собственном сервере (раздел 11). Ещё мы обрабатываем журналы сервера, то, что вы присылаете нам через форму заявки или по почте, и настройку темы, сохранённую в вашем браузере.
Когда мы работаем над проектом, клиент может передать нам исходный код, документацию, учётные данные доступа и данные из своих систем, в том числе персональные. Для персональных данных в системах клиента мы, как правило, действуем как обработчик по поручению клиента (раздел 2).
Необходимые части материалов проекта могут обрабатываться внешними поставщиками ИИ и другими поставщиками услуг, в том числе за пределами ЕС/ЕЭЗ, по правилам и с гарантиями, описанными в разделах 4, 8 и 9.
Мы не продаём персональные данные и не используем материалы клиентов для обучения собственных моделей или для любых целей за рамками согласованных работ без согласия клиента.
Воспользоваться правами в отношении своих данных можно, написав на support@devoitex.com (раздел 13).

1. Кто мы и что охватывает эта Политика

Эта Политика конфиденциальности объясняет, как DEVOITEX («DEVOITEX», «мы», «нас») обрабатывает персональные данные, когда вы посещаете devoitex.com, связываетесь с нами, становитесь нашим клиентом или имеете отношение к клиентскому проекту. Она также описывает, как мы обращаемся с конфиденциальными материалами проектов и доступами к системам клиентов, потому что в нашей работе они тесно связаны с персональными данными.

Кто отвечает: ФЛП Сердюкова Анна Андреевна (физическое лицо-предприниматель, Украина), ИНН 3117915209, адрес: 01001, Украина, г. Киев, проспект Голосеевский, дом 106/2, кв. 50, тел. +380731234011, e-mail: support@devoitex.com.
Контакт для вопросов и запросов о персональных данных: support@devoitex.com.
Контакт по вопросам защиты данных: support@devoitex.com.
Представитель в ЕС/ЕЭЗ (статья 27 GDPR): мы пока не назначили представителя. До его назначения люди в ЕС/ЕЭЗ, в том числе в Норвегии, могут обращаться к нам напрямую по адресу support@devoitex.com, и мы ответим в соответствии с GDPR. Когда представитель будет назначен, мы укажем его здесь.

Эта Политика содержит сведения, предусмотренные Общим регламентом ЕС по защите данных (Регламент (ЕС) 2016/679, GDPR), в частности статьями 13 и 14, если его положения применимы к деятельности компании, а также Законом Украины «О защите персональных данных» от 1 июня 2010 года № 2297-VI и другими применимыми нормативно-правовыми актами.

Эта Политика не распространяется на сайты, приложения и системы наших клиентов. На людей, которые ими пользуются, распространяется собственная политика конфиденциальности клиента, и именно клиент решает, как используются их данные (раздел 2).

Эта Политика не является договором. Она не заменяет наши Условия использования, Договор оказания услуг, соглашение о конфиденциальности (NDA) и соглашение об обработке данных (DPA). Когда мы обрабатываем персональные данные по поручению клиента, эту обработку регулируют условия, согласованные с этим клиентом, включая DPA.

2. Наша роль: контролёр или обработчик

По GDPR контролёр определяет, зачем и как обрабатываются персональные данные, а обработчик обрабатывает персональные данные по поручению контролёра (статья 4(7) и 4(8) GDPR). Наша роль зависит от того, чьим целям служит обработка, а не от того, у кого физически находятся данные.

Мы действуем как контролёр в отношении:

данных посетителей сайта: журналов сервера, заявок через форму и писем, отправленных нам;
контактных и деловых данных клиентов, потенциальных клиентов и их представителей, а также нашей переписки с ними;
предложений, договоров, счетов, платёжных и бухгалтерских записей;
записей о безопасности наших собственных учётных записей и систем, записей об инцидентах и о запросах субъектов данных;
данных, которые нужны нам для исполнения закона или для установления, осуществления или защиты правовых требований.

Как правило, мы действуем как обработчик в отношении:

персональных данных, содержащихся в системах и материалах клиента, которые мы получаем или к которым получаем доступ для выполнения согласованных работ, — например, данных покупателей, пользователей, посетителей сайта и сотрудников клиента в базах данных, журналах, резервных копиях, CMS, репозиториях или тестовых данных;
персональных данных других людей, которые клиент передаёт нам для проекта.

В этих случаях контролёром является клиент (или он сам является обработчиком, действующим для своего заказчика), а мы обрабатываем такие данные только по документально оформленным указаниям клиента и в согласованном объёме. Такая обработка должна регулироваться договором, соответствующим статье 28 GDPR, — как правило, DPA. Если проект предполагает такую обработку, а DPA ещё не подписано, мы предложим его до начала работ.

Мы не используем персональные данные из клиентских проектов в собственных целях. Исключение — обработка, которую требует закон, например ведение записей об инциденте безопасности или ответ на законный запрос государственного органа; в такой обработке мы действуем как контролёр.

Исходный код, архитектура, бизнес-логика, конфигурации, ключи и другие коммерческие секреты сами по себе обычно не являются персональными данными, но мы защищаем их как конфиденциальную информацию (раздел 6) по договорённостям с клиентом. Учётные данные и журналы часто содержат и персональные данные — например, именную учётную запись или IP-адреса; в этом случае действуют обе группы правил.

Поставщики услуг, которыми мы пользуемся (например, поставщики ИИ, хостинга или почты), действуют как наши обработчики или субобработчики, когда обрабатывают данные по нашему поручению. В отношении части данных — например, данных собственных учётных записей, расчётов, безопасности или контроля злоупотреблений — они могут действовать как самостоятельные контролёры на своих условиях (раздел 8).

3. Какие персональные данные мы обрабатываем

Для каждой категории мы объясняем, о каких данных идёт речь, зачем мы их обрабатываем, на каком правовом основании, кто их получает и сколько мы их храним. Ваши права описаны в разделе 13; здесь указано то, что относится к конкретной категории.

А. Посетители сайта и те, кто к нам обращается

Журналы сервера. Когда вы открываете сайт, веб-сервер автоматически записывает технические данные, например ваш IP-адрес, дату и время запроса, запрошенный адрес, код ответа, объём переданных данных, страницу, с которой вы перешли, и строку user-agent вашего браузера (браузер, операционная система, тип устройства).
Настройка темы. Если вы переключаете светлую и тёмную тему, ваш выбор сохраняется в локальном хранилище браузера. Он остаётся на вашем устройстве и нам не передаётся.
Форма заявки. Ваше имя, адрес электронной почты, компания, адрес сайта, сообщение и диапазон бюджета, а если вы перешли с кнопки в разделе цен — выбранный тип услуги. Вместе с ними мы записываем дату и время, язык страницы и ваш IP-адрес. Также используется скрытое поле защиты от спама: если оно заполнено, заявка отбрасывается и не сохраняется.
Почта и другие каналы. Ваше сообщение, контактные данные и всё остальное, что вы решите нам отправить.
Цели: работа сайта, его безопасность и работоспособность; выявление и расследование атак и ошибок; ответ на ваше обращение, уточнение задачи и подготовка предложения; защита формы от спама и злоупотреблений, включая ограничение числа заявок с одного IP-адреса.
Правовое основание: действия по вашему запросу до заключения договора (статья 6(1)(b) GDPR), если вы обращаетесь от своего имени; наши законные интересы (статья 6(1)(f) GDPR) в работе безопасного сайта с единообразным отображением, в ответах на обращения компаний и их представителей и в защите формы от злоупотреблений. Галочка в форме подтверждает, что вы ознакомлены с этой Политикой; мы не опираемся на неё как на согласие, чтобы ответить на ваше обращение. Поля «имя», «email» и «сообщение» обязательны, потому что без них мы не сможем ответить; остальные поля — по желанию.
Получатели: наш хостинг-провайдер; поставщики инструментов, в которых мы храним и анализируем журналы; наш почтовый провайдер, потому что каждая заявка также отправляется в наш почтовый ящик (без IP-адреса); члены команды, которые разбирают обращения.
Срок хранения: журналы веб-сервера — 30 дней, журналы в централизованном хранилище журналов — 30 дней, дольше — только если это нужно для расследования конкретного инцидента; обращения, которые не привели к сотрудничеству, — 12 месяцев после последнего контакта; если обращение привело к сотрудничеству, оно хранится как часть данных клиента (категория Б). Для ограничения числа заявок хешированный (псевдонимизированный) вид вашего IP-адреса хранится в течение 10-минутного окна ограничения и удаляется при последующей обработке формы. Настройка темы хранится в браузере, пока вы не очистите данные сайта.
Особенности категории: вы можете возразить против обработки на основании законных интересов и попросить удалить ваше обращение, когда оно нам больше не нужно.

Пожалуйста, не отправляйте через форму или обычной почтой пароли, ключи доступа или персональные данные других людей (например, ваших клиентов). Если они нужны для работы, мы договоримся о защищённом канале (раздел 5).

Б. Клиенты, потенциальные клиенты и их представители

Данные: имя и фамилия, рабочий email, телефон, должность, компания; переписка и заметки по звонкам и встречам; предложения, договоры и счета; реквизиты для выставления счетов (реквизиты компании, налоговый номер или номер плательщика НДС, адрес); история платежей и история нашего сотрудничества; имена пользователей в инструментах, которыми мы пользуемся совместно, — мессенджерах, трекерах задач или хостинге репозиториев.
Источники: вы, ваши коллеги и открытые источники, например сайты компаний и реестры юридических лиц.
Цели: подготовка и заключение договоров, оказание услуг, коммуникация и управление проектом, выставление счетов и расчёты, бухгалтерский и налоговый учёт, рассмотрение претензий и споров.
Правовое основание: исполнение договора (статья 6(1)(b) GDPR), если клиент — вы сами, например как индивидуальный предприниматель; наши законные интересы (статья 6(1)(f) GDPR) в работе с компанией-клиентом через её представителей; юридические обязанности (статья 6(1)(c) GDPR) для бухгалтерских и налоговых записей.
Получатели: поставщики почты, мессенджеров, видеосвязи, управления задачами, хранения документов, инструментов выставления счетов и бухгалтерии; банки и платёжные сервисы; бухгалтеры, юристы и аудиторы; государственные органы, когда этого требует закон.
Срок хранения:
- контактные данные, деловая переписка и история сотрудничества — в течение сотрудничества и до 3 лет после его завершения, если более длительное хранение не требуется для защиты правовых требований;
- договоры, счета и бухгалтерские документы — в течение сроков, установленных применимым законодательством;
- документы, необходимые для защиты от претензий и судебных споров, — до истечения соответствующих сроков исковой давности.
Особенности категории: право на переносимость данных действует для данных, обрабатываемых на основании договора с вами; удаление может быть отложено для данных, которые мы обязаны хранить по закону.

В. Материалы проектов и данные в системах клиента

Данные: исходный код и репозитории, документация и технические спецификации, архитектура программного обеспечения, конфигурации, журналы, отчёты об ошибках, дампы и результаты тестирования, данные интеграций, API и инфраструктуры, выгрузки из баз данных, а также тестовые или производственные данные, которые клиент разрешил нам обрабатывать. Эти материалы могут содержать персональные данные покупателей, пользователей, сотрудников клиента или других людей.
Источники: клиент или системы, к которым клиент даёт нам доступ.
Наша роль: обработчик в отношении содержащихся в этих материалах персональных данных (раздел 2); о конфиденциальной информации — раздел 6.
Цели: выполнение согласованных работ: анализ, разработка, изменения, тестирование, развёртывание, поддержка и проверка безопасности; обеспечение безопасности этой обработки.
Правовое основание: определяет клиент как контролёр; мы обрабатываем данные по его документально оформленным указаниям (статья 28 GDPR). Для наших собственных записей о выполненных работах (например, чтобы выставить за них счёт или защититься от претензий) — статья 6(1)(b) или 6(1)(f) GDPR.
Получатели: члены команды, работающие над проектом; поставщики ИИ-сервисов, хостинга и облачных услуг, хостинга репозиториев и инструментов разработки (разделы 4 и 8). Собственные системы и поставщики клиента остаются под контролем клиента.
Срок хранения: в течение работ, затем данные возвращаются или удаляются, как описано в разделе 10 и в договорённостях с клиентом.
Особенности категории: если ваши данные находятся в системе клиента, направляйте запросы о них этому клиенту как контролёру; мы поможем клиенту ответить (раздел 13).

Г. Учётные данные доступа и секреты

Данные: пароли, токены, API-ключи, SSH-ключи, сертификаты и другие учётные данные; сведения о правах доступа и подключённых системах; записи о подключениях и действиях, если такие записи ведём мы или системы, к которым мы получаем доступ.
Цели: выполнение согласованных работ; безопасность и прослеживаемость доступа.
Правовое основание: если учётные данные или записи о доступе относятся к определяемому человеку — обработка по поручению клиента (статья 28 GDPR) для работ по проекту и наши законные интересы (статья 6(1)(f) GDPR) для наших собственных записей о безопасности.
Получатели: только члены команды, которым доступ нужен для их задачи, и инструменты, в которых мы храним секреты (раздел 5).
Срок хранения: до окончания задачи или проекта или до отзыва доступа, затем удаляются из нашего хранилища (раздел 10).

Д. Данные, обрабатываемые с помощью ИИ-инструментов

Данные: промпты, инструкции и описания задач; фрагменты кода, журналов, документов и другой контекст проекта; сгенерированные результаты и результаты анализа, тестирования и исправлений; метаданные нашего взаимодействия с ИИ-сервисом, например идентификаторы учётной записи, отметки времени и данные об использовании.
Цели, правовое основание и наша роль: те же, что и для исходного материала (категории Б, В или Г). Поставщики ИИ действуют как наши обработчики или субобработчики (раздел 4).
Получатели: компании, предоставляющие ИИ-сервисы, которыми мы пользуемся (раздел 8).
Срок хранения: в наших собственных инструментах — как для материалов проекта; у поставщика — по его условиям и с учётом используемых нами настроек (раздел 10).

Е. Платежи, безопасность и юридические обязанности

Данные: счета, платёжные записи и налоговые данные; журналы безопасности наших собственных учётных записей и систем; записи об инцидентах и утечках данных; записи о запросах субъектов данных и наших ответах; переписка с государственными органами, консультантами и судами.
Цели: исполнение юридических обязанностей, безопасность наших систем, документирование соблюдения требований, установление, осуществление или защита правовых требований.
Правовое основание: юридические обязанности (статья 6(1)(c) GDPR); наши законные интересы (статья 6(1)(f) GDPR).
Получатели: бухгалтеры, аудиторы, юристы, банки и платёжные сервисы; компетентные государственные органы и суды.
Срок хранения:
- бухгалтерские, налоговые документы, счета и платёжные записи — 5 лет после окончания календарного года, к которому относятся документы, если применимое законодательство не предусматривает более длительный срок;
- журналы безопасности — 12 месяцев;
- записи об инцидентах и утечках данных — 3 года после закрытия инцидента;
- запросы субъектов данных и ответы на них — 3 года после закрытия запроса;
- переписка с государственными органами, консультантами и судами — 3 года после завершения соответствующего дела или взаимодействия, если более длительный срок не требуется законом или для защиты правовых требований.
Особенности категории: право на удаление может не применяться, пока закон обязывает нас хранить данные (статья 17(3) GDPR).

4. Использование искусственного интеллекта

ИИ-инструменты — часть того, как работают наши инженеры. Клиенты сами не управляют ИИ-агентами: наши инженеры ставят задачи, проверяют результаты и отвечают за то, что передаётся клиенту.

4.1. Для чего мы используем ИИ

В работе мы можем использовать сторонние ИИ-модели, API, облачные среды и специализированные инструменты, чтобы:

анализировать требования и архитектуру;
обрабатывать технические материалы, предоставленные клиентом;
генерировать, рефакторить и исправлять код;
искать уязвимости и ошибки;
тестировать, документировать и оптимизировать программное обеспечение;
готовить изменения к развёртыванию.

4.2. Что может получить ИИ-сервис

В зависимости от инструмента и задачи ИИ-сервис может получить текст запроса, исходный код, фрагменты документов, журналы, конфигурации, сообщения об ошибках, тестовые данные или другие материалы, нужные для задачи. Некоторые инструменты работают прямо в репозитории или среде разработки (так называемые агенты для написания кода): они могут читать файлы в рабочем каталоге и выполнять разрешённые нами команды.

Когда мы используем внешние ИИ-сервисы или другие облачные сервисы, переданные им данные обрабатываются на инфраструктуре поставщика. Такие данные покидают наши собственные системы, а инфраструктура поставщика может находиться за пределами ЕС/ЕЭЗ (раздел 9).

4.3. Кто обрабатывает данные

ИИ-модель — это программное обеспечение, а не получатель данных. Получатель — компания, предоставляющая ИИ-сервис. В зависимости от своих условий она обрабатывает данные как наш обработчик или субобработчик, а в отношении части данных (например, данных собственных учётных записей, расчётов, безопасности или контроля злоупотреблений) — как самостоятельный контролёр.

4.4. Наши правила использования ИИ

Только необходимое. Мы передаём ИИ-сервису только данные, нужные для конкретной задачи, насколько это технически и практически возможно.
Проверка условий. Прежде чем использовать ИИ-сервис для материалов клиента, мы проверяем его условия о конфиденциальности, хранении данных, использовании данных для обучения и улучшения сервиса, субобработчиках и месте обработки данных, а также доступные нам настройки.
Обучение на данных клиентов. Может ли поставщик использовать входные данные и результаты для обучения или улучшения своих моделей, зависит от его условий, а также от используемых нами тарифа и настроек. Для материалов клиентов мы используем только сервисы, условия или настройки которых исключают такое использование. Если для инструмента таких условий нет, мы не используем его для персональных данных и конфиденциальных материалов клиента без согласия клиента.
Хранение у поставщика. Поставщик может хранить входные данные и результаты ограниченное время по своим условиям — например, для контроля злоупотреблений или выполнения требований закона, — даже если мы удалили свои копии.
Секреты. Мы намеренно не включаем пароли, ключи и токены в запросы к ИИ-сервисам. Если инструмент это позволяет, мы исключаем файлы с секретами из его контекста. Агент для написания кода, работающий в среде, где есть секреты, технически может получить к ним доступ, поэтому мы по возможности используем тестовые или ограниченные учётные данные и не держим производственные секреты в средах, где работают ИИ-инструменты, если это не нужно для задачи и не согласовано с клиентом.
Персональные и производственные данные. По возможности мы работаем с тестовыми, синтетическими, анонимизированными или псевдонимизированными данными. Производственные или персональные данные мы передаём ИИ-сервису, только когда это нужно для задачи и разрешено клиентом. Мы не можем гарантировать, что все данные анонимизированы: например, журналы и выгрузки из баз данных могут содержать персональные данные.
Данные повышенного риска. Мы не передаём ИИ-сервисам особые категории персональных данных, данные детей, финансовые данные и подобные данные повышенного риска, если это не является строго необходимым и не согласовано с клиентом (раздел 6).
Проверка человеком. Инженеры ставят задачи, проверяют результаты, созданные ИИ, тестируют их и решают, что передаётся клиенту или внедряется. Результаты ИИ не передаются клиенту без проверки инженером.
Никаких автоматизированных решений о вас. Мы не принимаем в отношении посетителей сайта, клиентов или их представителей решений, основанных исключительно на автоматизированной обработке и влекущих юридические или аналогично значимые последствия (статья 22 GDPR).
Выбор клиента. Клиент может попросить не использовать ИИ-инструменты в его проекте, исключить определённых поставщиков или использовать только одобренных им поставщиков. Мы согласуем это в предложении; это может повлиять на сроки и цену.

4.5. Перечень поставщиков

Мы ведём перечень поставщиков ИИ и других поставщиков услуг, которые могут обрабатывать данные клиентов по нашему поручению, с указанием их роли, цели и мест обработки. Перечень предоставляется по запросу клиента и в качестве приложения к DPA. Если заключено DPA, мы заранее сообщаем клиенту об изменениях в этом перечне, как предусмотрено DPA (статья 28(2) GDPR).

5. Доступ к системам клиента

Для выполнения согласованных работ клиент может предоставить нам доступ к своим репозиториям, серверам, облачным платформам, базам данных, сайтам и CMS, доменам и DNS, внешним API и другим сервисам. Мы разграничиваем следующие действия:

Получение и хранение учётных данных — только для согласованных работ, в хранилище, описанном ниже;
Использование доступа — только для задач в согласованном объёме;
Просмотр, копирование и изменение данных — только в объёме, нужном для задачи; производственные данные мы копируем за пределы систем клиента, только когда это необходимо и согласовано;
Запуск тестов, миграций и развёртываний — по рабочим правилам, согласованным для проекта;
Действия в производственной среде — изменения в production и потенциально разрушительные действия (например, удаление данных, миграции, изменяющие данные, изменения DNS, отключение сервисов) выполняются по правилам, согласованным с клиентом для проекта, в том числе о том, какие действия требуют предварительного одобрения клиента;
Подключение и отключение сторонних интеграций — только в рамках согласованных работ. Новая интеграция может создать новые потоки данных к третьим лицам, выбранным клиентом; решение о них принимает клиент как контролёр.

Мы придерживаемся следующих принципов:

Минимальные привилегии: мы запрашиваем только права, нужные для задачи, и предпочитаем доступ только на чтение, если его достаточно.
Индивидуальные учётные записи: если система это позволяет, каждый член команды использует личную учётную запись, а не общую.
Ограниченный объём: доступ ограничен проектом и членами команды, которые над ним работают.
Хранение секретов: мы храним учётные данные в специальном хранилище секретов, например в менеджере паролей, а не в чатах, задачах или исходном коде.
Ограниченный по времени доступ: где это технически возможно, мы запрашиваем временный доступ или доступ со сроком действия.
Журналирование и аудит: если системы клиента или наши инструменты записывают действия, эти записи хранятся в соответствии с их настройками. Мы рекомендуем клиентам включать журналы аудита в своих системах; мы не обещаем журналирование там, где оно не настроено.
Отзыв доступа: по окончании работ или по запросу клиента мы прекращаем пользоваться доступом, удаляем учётные данные из нашего хранилища и просим клиента отозвать доступ. Мы рекомендуем клиентам также сменить пароли и перевыпустить ключи, которые передавались нам.
Защищённая передача: пожалуйста, не отправляйте учётные данные обычной почтой или через форму заявки; мы договоримся о защищённом способе их передачи, например через защищённый обмен в менеджере паролей или одноразовую зашифрованную ссылку.

Как контролёр своих систем и данных клиент решает, какой доступ предоставить, и должен иметь право его предоставить (см. Условия использования). Это не уменьшает наших собственных обязанностей по договорённостям с клиентом и применимому законодательству.

6. Конфиденциальность клиентских проектов

Персональные данные — это информация об определённом или определяемом человеке. Конфиденциальная информация — понятие шире: это исходный код, коммерческие секреты, архитектура, бизнес-логика, ключи доступа и непубличная документация независимо от того, содержат ли они персональные данные. Персональные данные защищает законодательство о защите данных; конфиденциальную информацию — договорённости с клиентом (Договор оказания услуг и, если заключено, NDA). Часто к одному и тому же материалу применяется и то и другое.

Мы обрабатываем материалы клиента для выполнения согласованных работ, для безопасности, тестирования и поддержки, а также в других целях, указанных в договорённостях с клиентом или в этой Политике.
Мы не используем код клиента и конфиденциальные материалы для обучения собственных моделей, для публичных демонстраций или кейсов, для продажи или передачи третьим лицам и для любых других самостоятельных целей, если клиент не согласился на это в письменной форме и для этого нет законного основания.
Если мы используем сведения о своей работе для внутренней аналитики (например, сколько времени занимают типовые задачи), мы используем только сведения, которые не позволяют определить людей и не раскрывают конфиденциальные материалы клиента.
Нашим инженерам нужно читать код, данные и журналы, чтобы разобраться в проекте, исправлять ошибки и проверять результат. Поэтому мы не обещаем, что данные не увидит ни один человек; доступ ограничен членами команды, работающими над проектом, и они связаны обязательствами о конфиденциальности.

Неожиданно обнаруженные данные повышенного риска

В материалах клиента могут неожиданно оказаться особые категории персональных данных (например, данные о здоровье), данные детей, финансовые данные, например номера банковских карт, документы, удостоверяющие личность, пароли или ключи в журналах или коде, или другая информация повышенного риска. Обнаружив такие данные, мы:

обрабатываем их только в объёме, нужном для задачи, и не копируем их в ИИ-инструменты или другие системы, если это не необходимо и не согласовано;
сообщаем клиенту и согласуем дальнейшие шаги, например маскирование, удаление имеющихся у нас копий или изменение объёма задачи;
рекомендуем сменить раскрытые пароли и ключи;
действуем по порядку реагирования на инциденты (раздел 12), если находка указывает на утечку.

7. Цели и правовые основания

Мы не используем согласие как универсальное правовое основание. Для каждой цели мы опираемся на подходящее ей основание:

Ответы на обращения и подготовка предложений — статья 6(1)(b) GDPR (действия по вашему запросу до заключения договора) или статья 6(1)(f) (законные интересы — для представителей компаний).
Заключение и исполнение договоров, оказание услуг — статья 6(1)(b), если клиент — вы сами; статья 6(1)(f) — для представителей и контактных лиц компаний-клиентов.
Обработка персональных данных в клиентских проектах — по документально оформленным указаниям клиента (статья 28 GDPR); за наличие правового основания отвечает клиент как контролёр.
Выставление счетов, бухгалтерский и налоговый учёт — статья 6(1)(c) (юридическая обязанность) и статья 6(1)(b).
Безопасность сайта, наших систем и доступов клиентов; предотвращение злоупотреблений — статья 6(1)(f).
Расследование инцидентов и уведомление об утечках данных — статья 6(1)(c) (статьи 33 и 34 GDPR) и статья 6(1)(f).
Исполнение юридических обязанностей и законных запросов государственных органов — статья 6(1)(c).
Рассмотрение запросов субъектов данных, жалоб и правовых требований — статья 6(1)(c) для запросов по статьям 15–22 GDPR; статья 6(1)(f) для правовых требований; если затронуты особые категории данных — статья 9(2)(f).
Аналитика сайта (Umami, без cookies, на нашем сервере; раздел 11) — статья 6(1)(f), наш законный интерес понимать, как используется сайт, и улучшать его.
Реклама — на этом сайте не используется. Если мы её введём, мы обновим эту Политику и запросим согласие там, где этого требует закон (статья 5(3) Директивы 2002/58/EC и национальное законодательство).

Когда мы опираемся на законные интересы, мы соотнесли их с вашими интересами и правами; вы можете возразить против такой обработки (статья 21 GDPR) и запросить у нас подробности этой оценки. Когда мы опираемся на согласие, вы можете отозвать его в любой момент; это не влияет на законность обработки до отзыва (статья 7(3) GDPR).

8. Кто получает данные

Мы не продаём персональные данные и не передаём их для рекламы. Внутри DEVOITEX данные доступны только членам команды, которым они нужны для их задач. За пределами DEVOITEX данные в необходимом объёме могут получать следующие категории получателей:

Поставщики ИИ-моделей и API — наши обработчики или субобработчики; в отношении данных собственных учётных записей, безопасности и контроля злоупотреблений — самостоятельные контролёры;
Поставщики хостинга, облачных услуг и серверов — обработчики;
Поставщики хостинга репозиториев и инструментов разработки, тестирования и развёртывания — обработчики (если используются собственные учётные записи клиента, это поставщики клиента);
Поставщики почты, мессенджеров, видеосвязи, управления задачами, хранения документов, мониторинга и управления журналами — обработчики;
Банки, платёжные и бухгалтерские сервисы — банки и платёжные сервисы обычно действуют как самостоятельные контролёры; поставщики бухгалтерских программ — как обработчики;
Профессиональные консультанты (юристы, бухгалтеры, аудиторы) — обычно самостоятельные контролёры, связанные профессиональной тайной;
Субподрядчики (отдельные специалисты или компании, которые помогают нам оказывать услуги), если мы их привлекаем, — обработчики или субобработчики с письменными обязательствами о конфиденциальности и защите данных и, если этого требует DPA, с предварительного одобрения клиента;
Государственные органы, суды и правоохранительные органы — только если закон обязывает нас раскрыть данные или это нужно для защиты наших законных прав. Мы проверяем законность запроса, раскрываем только необходимое и, если закон позволяет, сообщаем об этом клиенту, которого это касается.

Мы привлекаем обработчиков только по договорам, соответствующим статье 28 GDPR, передаём им только нужные данные и при передаче за пределы ЕС/ЕЭЗ применяем гарантии, описанные в разделе 9. Конкретные поставщики названы в перечне, описанном в разделе 4.5.

9. Международная передача

Наша команда, наши поставщики услуг и их субобработчики могут обрабатывать данные в разных странах, в том числе за пределами ЕС/ЕЭЗ, например в США. Если персональные данные, защищённые GDPR, передаются в страну за пределами ЕС/ЕЭЗ, мы используем один из механизмов, предусмотренных главой V GDPR:

решение Европейской комиссии об адекватности (статья 45 GDPR), включая — для сертифицированных компаний США — Рамочную программу ЕС–США о конфиденциальности данных (EU–US Data Privacy Framework, Имплементационное решение Комиссии (ЕС) 2023/1795);
стандартные договорные положения, утверждённые Европейской комиссией (статья 46(2)(c) GDPR, Имплементационное решение Комиссии (ЕС) 2021/914), вместе с оценкой законодательства страны назначения и, при необходимости, дополнительными мерами;
в исключительных случаях — отступления, предусмотренные статьёй 49 GDPR.

Местонахождение сервера само по себе не определяет, где обрабатываются данные: к данным, хранящимся в одной стране, можно получить удалённый доступ из другой — например, сотрудникам поддержки поставщика, его субобработчикам или нашей команде. Члены нашей команды и субподрядчики могут получать доступ к данным из Украины.

Для персональных данных, которые мы обрабатываем по поручению клиента, передача осуществляется в соответствии с DPA и указаниями клиента. Вы можете запросить у нас сведения о применяемых гарантиях и их копию (без коммерческих подробностей) по контактам из раздела 18.

10. Сроки хранения и удаление

Мы храним персональные данные только столько, сколько нужно для цели, ради которой они собраны, или сколько требует закон. Сроки зависят от цели, договора, требований закона, настроек поставщика и технических ограничений; для разных данных они разные.

Обращения и потенциальные клиенты: 12 месяцев после последнего контакта, если сотрудничество не началось.
Договоры и данные клиентов: в течение сотрудничества, а затем 3 года после его завершения.
Бухгалтерские и налоговые документы: 5 лет после окончания календарного года, к которому относятся документы, если применимое законодательство не требует более длительного срока.
Исходный код и материалы проектов: в течение работ и 30 дней после их завершения, если иное не согласовано с клиентом; затем удаляются или возвращаются клиенту по договорённости с ним, если закон не обязывает нас хранить определённые записи.
Учётные данные и секреты: удаляются из нашего хранилища сразу после завершения задачи, проекта или отзыва доступа.
Журналы безопасности и журналы веб-сервера: 30 дней для журналов веб-сервера, 12 месяцев для журналов безопасности; дольше — только пока расследуется инцидент.
Данные у поставщиков ИИ: по условиям конкретного поставщика и настройкам сервиса; эти сроки могут отличаться от наших (раздел 4.4).
Резервные копии: до 90 дней после удаления данных из рабочих систем. Пока резервные копии не перезаписаны по циклу ротации, удалённые данные могут оставаться в них; в это время мы их ни для чего не используем.
Персональные данные, обрабатываемые по поручению клиента: по окончании оказания услуг удаляются или возвращаются по выбору клиента, если закон не требует их хранения (статья 28(3)(g) GDPR), как предусмотрено DPA.

Когда данные подлежат удалению, мы удаляем рабочие копии в наших системах; резервные копии и записи журналов удаляются по истечении их срока хранения; копии у наших поставщиков удаляются с помощью предоставляемых ими функций удаления и настроек, в соответствии с их условиями. По запросу мы подтверждаем клиенту, что удалено или возвращено. Мы не обещаем немедленного и безвозвратного удаления сразу из всех систем, потому что циклы резервного копирования, журналы и условия поставщиков могут потребовать времени.

11. Cookies и аналогичные технологии

Cookies: сам сайт не устанавливает cookies.
Локальное хранилище: если вы переключаете тему, ваш выбор (светлая или тёмная) сохраняется в браузере под именем dvx-theme. Это строго необходимо для работы функции, которую вы сами запросили, поэтому согласия не требуется (статья 5(3) Директивы 2002/58/EC). Удалить эту запись можно, очистив данные сайта в браузере.
Выбор языка: если вы выбираете язык переключателем, ваш выбор сохраняется в браузере под именем dvx-lang так же, как тема. Он нужен только для того, чтобы сайт помнил ваш язык, и нам не передаётся. Если вы открываете английскую страницу без сохранённого выбора, а язык браузера норвежский, сайт показывает ту же страницу по-норвежски; это решает ваш браузер по своей языковой настройке, а не по стране или IP-адресу, и нам ничего не передаётся. Удалить выбор можно, очистив данные сайта в браузере.
Аналитика: посещения мы считаем с помощью Umami. Это система аналитики, которая работает на нашем собственном сервере. Она не устанавливает cookies и не хранит IP-адреса. Она записывает открытые страницы, сайт, с которого вы пришли, браузер, операционную систему, тип устройства, размер экрана, язык и примерное местоположение, определённое по IP-адресу. Ещё она отмечает, что отправлена форма заявки или нажата ссылка на почту, без того, что вы ввели в форму. Эти данные мы используем только в обобщённом виде, чтобы улучшать сайт, не передаём третьим лицам и не используем, чтобы установить вашу личность.
Реклама и пиксели: на этом сайте не используются. Если мы их введём, мы обновим эту Политику, запросим согласие до использования необязательных технологий там, где этого требует закон, и дадим возможность отозвать согласие так же легко, как его дать.

12. Безопасность и инциденты

Мы применяем технические и организационные меры, соответствующие риску (статья 32 GDPR):

доступ к данным и системам — только для членов команды, которым он нужен, с минимально необходимыми правами;
личные учётные записи и многофакторная аутентификация там, где сервис это поддерживает;
хранение учётных данных в специальном хранилище, а не в исходном коде, чатах или задачах;
своевременное обновление программного обеспечения и зависимостей;
шифрованное соединение (HTTPS) с сайтом; данные формы заявки защищены от публичного доступа, а число заявок ограничено;
резервное копирование там, где это уместно для данных и системы;
мониторинг и журналирование там, где они настроены.

Ни один способ передачи или хранения не является полностью безопасным, и мы не можем гарантировать, что инцидентов никогда не будет. Узнав об инциденте безопасности, мы локализуем его, оцениваем последствия, выясняем причины и документируем его (статья 33(5) GDPR). Затем:

если инцидент затрагивает персональные данные, которые мы обрабатываем по поручению клиента, мы без неоправданной задержки уведомляем клиента (статья 33(2) GDPR) и помогаем ему выполнить его собственные обязанности;
если контролёр — мы, мы уведомляем компетентный надзорный орган в течение 72 часов с момента, когда узнали об утечке, если только она вряд ли создаст риск для прав и свобод людей (статья 33(1) GDPR), и без неоправданной задержки уведомляем затронутых людей, если риск высокий (статья 34 GDPR);
если инцидент затрагивает конфиденциальную информацию или доступы клиента, мы сообщаем клиенту в порядке, предусмотренном договорённостями с ним.

13. Ваши права

По GDPR вы имеете право:

на доступ к своим персональным данным и получение их копии (статья 15);
на исправление неточных данных (статья 16);
на удаление данных (статья 17);
на ограничение обработки (статья 18);
получить предоставленные вами нам данные в структурированном машиночитаемом формате и передать их другому контролёру, если обработка основана на согласии или договоре и ведётся автоматизированными средствами (статья 20);
возразить против обработки на основании законных интересов (статья 21(1)) и в любой момент возразить против прямого маркетинга (статья 21(2));
в любой момент отозвать согласие, если обработка основана на согласии (статья 7(3));
не подвергаться решению, основанному исключительно на автоматизированной обработке и влекущему юридические или аналогично значимые последствия (статья 22); такие решения мы не принимаем;
подать жалобу в надзорный орган, в частности в стране ЕС/ЕЭЗ, где вы живёте или работаете либо где произошло предполагаемое нарушение (статья 77).

Эти права действуют с условиями и исключениями, установленными законом; например, мы можем отказать в удалении данных, которые обязаны хранить по закону (статья 17(3) GDPR). Если к нашей обработке ваших данных применяются другие законы о защите данных, у вас могут быть права по этим законам, и мы рассмотрим ваш запрос в соответствии с ними.

Как направить запрос. Напишите на support@devoitex.com. Если у нас есть обоснованные сомнения в вашей личности, мы можем запросить сведения, нужные для её подтверждения (статья 12(6) GDPR), и не запросим больше необходимого. Мы отвечаем в течение одного месяца с момента получения запроса; для сложных или многочисленных запросов этот срок может быть продлён ещё на два месяца, и о продлении и его причинах мы сообщим в течение первого месяца (статья 12(3) GDPR). Запросы рассматриваются бесплатно; за явно необоснованные или чрезмерные запросы мы можем взять разумную плату или отказать в их выполнении (статья 12(5) GDPR).

Данные в системах клиента. Если мы обрабатываем ваши данные по поручению клиента (например, вы пользователь сайта клиента), решение по вашему запросу принимает клиент как контролёр. Пожалуйста, обратитесь к клиенту. Если вы обратитесь к нам, мы перешлём ваш запрос клиенту или подскажем, к кому обратиться, и поможем клиенту ответить, как согласовано в DPA (статья 28(3)(e) GDPR).

14. Дети и особые категории данных

Наши услуги предназначены для компаний и специалистов; сайт не предназначен для детей. Мы сознательно не собираем персональные данные детей через сайт. Если мы узнаем, что получили такие данные через сайт без законного основания, мы их удалим.

Мы не запрашиваем особые категории персональных данных (статья 9 GDPR), например данные о здоровье, и просим не отправлять их через форму заявки. Тем не менее такие данные, как и данные детей, могут оказаться в базах данных, журналах или документах клиентов. Мы обрабатываем их только как обработчик по указаниям клиента, в объёме, нужном для задачи, с мерами, описанными в разделе 6. Если проект предполагает обработку таких данных, это нужно отдельно согласовать в DPA вместе с соответствующими мерами; клиенту может потребоваться провести оценку воздействия на защиту данных (статья 35 GDPR), и мы окажем в этом содействие, как согласовано (статья 28(3)(f) GDPR).

15. Сторонние сервисы и ссылки

Сайт и наша работа могут быть связаны с сервисами, сайтами, репозиториями и платформами третьих лиц, например хостингом кода или облачными сервисами. Они обрабатывают данные по своим политикам конфиденциальности и условиям, и мы рекомендуем с ними ознакомиться.

В клиентских проектах многие сервисы для своих систем выбирает клиент (например, свой хостинг, платёжный сервис или аналитику в своём продукте). Отношения таких сервисов с клиентом регулируются их условиями с клиентом. Мы отвечаем за собственные действия, в том числе за то, как мы настраиваем такие сервисы по указаниям клиента и каких поставщиков выбираем для своей работы. Ничто в этой Политике не ограничивает наших обязанностей по применимому законодательству.

16. Связанные документы

Эта Политика описывает, как мы обрабатываем персональные данные. Другие вопросы регулируются отдельными документами:

Условия использования — использование сайта и общие правила нашего сотрудничества;
Договор оказания услуг и одобренное предложение — объём, цена, обязанности и ответственность по работам;
соглашение о конфиденциальности (NDA), если заключено, — конфиденциальность деловой информации помимо персональных данных;
соглашение об обработке данных (DPA) — наша обработка персональных данных по поручению клиента по статье 28 GDPR, включая субобработчиков и международную передачу;
перечень поставщиков (раздел 4.5);
правила работы с доступами и секретами и порядок реагирования на инциденты, согласованные для проекта, — практические правила работы с системами клиента.

Если сайт начнёт использовать необязательные cookies или аналогичные технологии, мы также опубликуем отдельную Политику использования cookies.

17. Изменения Политики

Дата вступления в силу и дата последнего обновления указаны в начале этой страницы. Каждую новую редакцию мы публикуем на этой странице. Если мы вносим существенные изменения, например новые цели обработки или новые категории получателей, мы сообщим о них клиентам по электронной почте или через каналы связи, используемые в нашем сотрудничестве, до вступления изменений в силу, если это требуется. Предыдущие редакции мы предоставим по запросу.

18. Контакты

Вопросы и запросы о персональных данных: support@devoitex.com или форма заявки.
Почтовый адрес: 01001, Украина, г. Киев, проспект Голосеевский, дом 106/2, кв. 50.
Контакт по вопросам защиты данных: support@devoitex.com.

Клиенты также могут направлять вопросы по конкретному проекту своему контактному лицу в DEVOITEX.