Политика конфиденциальности

Vavus AI и Vavus Keyboard эксплуатируются компанией DCI Brands LLC — обществом с ограниченной ответственностью, учреждённым в штате Вайоминг, 312 W 2nd Street, Casper, WY 82601, Соединённые Штаты Америки. Мы являемся оператором персональных данных, описанных в настоящем документе, за исключением случаев, когда подписанное корпоративное или медицинское соглашение делает нас обработчиком либо деловым партнёром, действующим по указаниям Вашей организации.

Контакт по вопросам конфиденциальности: constantine@vavusai.com.

Наш представитель в Европейском союзе в соответствии со статьёй 27 GDPR — Dragoș Ignat, Str. General Șova nr. 21, Letea Veche, jud. Bacău, 607270, Румыния. Вы можете обращаться к представителю по любым вопросам, связанным с обработкой ваших персональных данных, в дополнение к обращению к нам или вместо него. Мы не назначали представителя в Соединённом Королевстве и специалиста по защите данных. Вопросы конфиденциальности и запросы о реализации прав направляются на constantine@vavusai.com и рассматриваются непосредственно компанией DCI Brands LLC.

Мы собираем то, что необходимо для создания и защиты Вашей учётной записи, предоставления используемых Вами функций, приёма оплаты, ответа на обращения в поддержку и обеспечения работы сервиса.

• Идентификаторы и данные учётной записи — адрес электронной почты, имя, способ входа, принадлежность к организации, настройки безопасности, идентификаторы устройства и сеанса.
• Передаваемое Вами содержимое — переводы, расшифровки, аудиозаписи, сообщения, документы, файлы и изображения, которые Вы решили обработать или сохранить.
• Аудио- и речевые данные — речь, которую Вы диктуете или переводите. Если они используются для идентификации Вас или составления Вашего профиля, такие данные могут относиться к чувствительной персональной информации по законодательству штатов США.
• Сведения, связанные со здоровьем, — только в учётных записях, одобренных для медицинского использования на основании соглашения о деловом партнёрстве.
• Коммерческие данные — тарифный план, подписка, остаток токенов, история покупок и возвратов. Номера банковских карт обрабатываются Stripe, Apple или Google; мы их никогда не получаем и не храним.
• Технические данные и данные безопасности — тип устройства, версия приложения, диагностика сбоев, сигналы безопасности, выведенные из IP-адреса, записи о злоупотреблениях и ограничении частоты запросов.
• Данные веб-сайта — файлы cookie и локальное хранилище, запись о Вашем согласии, а также, только после получения Вашего согласия, аналитика и атрибуция рекламных кампаний.

Там, где применяется GDPR или GDPR Соединённого Королевства, правовое основание для каждой цели приведено ниже.

• Для предоставления сервиса — перевод, распознавание речи, синтез речи, диктовка с клавиатуры, функции искусственного интеллекта, сообщения, звонки, документы и управление учётной записью. Исполнение договора (ст. 6(1)(b)).
• Для выставления Вам счетов и ведения налогового и бухгалтерского учёта. Исполнение договора и правовая обязанность (ст. 6(1)(b), 6(1)(c)).
• Для обеспечения безопасности учётных записей и сервиса — аутентификация, предотвращение злоупотреблений, ограничение частоты запросов, выявление мошенничества, ведение журналов аудита. Законные интересы в защите пользователей и сервиса (ст. 6(1)(f)).
• Для ответа на обращения в поддержку. Исполнение договора и законные интересы.
• Для направления уведомлений о сервисе, платежах и безопасности. Исполнение договора и правовая обязанность.
• Веб-аналитика, оценка эффективности маркетинга и все необязательные файлы cookie. Согласие (ст. 6(1)(a)), которое Вы можете отозвать в любое время.
• Для соблюдения требований законодательства, а также для заявления или защиты правовых требований. Правовая обязанность и законные интересы.
• Сведения о здоровье в медицинских учётных записях. Мы обрабатываем их в качестве делового партнёра по документально оформленным указаниям клиента; правовое основание определяет клиент, и там, где применяется GDPR, это обычно ст. 9(2)(h) либо основание явного согласия, полученного клиентом.

Мы не используем Ваше содержимое для обучения наших моделей и договорно обязываем наших поставщиков услуг распознавания речи, перевода и искусственного интеллекта исключать Ваше содержимое из обучения их моделей.

Мы не продаём Вашу персональную информацию и не передаём её для целей межконтекстной поведенческой рекламы в том значении этих терминов, которое определено в California Consumer Privacy Act с внесёнными в него изменениями и в сопоставимых законах штатов США о конфиденциальности.

Мы не принимаем в отношении Вас автоматизированных решений, порождающих юридические или аналогичные существенные последствия (ст. 22 GDPR).

Предоставление данных учётной записи и платёжных данных необходимо для открытия и ведения учётной записи; без них мы не можем предоставлять сервис. Всё остальное — необязательные файлы cookie, маркетинговые предпочтения — действительно является добровольным.

Перевод, расшифровка и результаты работы искусственного интеллекта могут быть ошибочными. Они не являются медицинской, юридической или финансовой консультацией и не предназначены для использования в экстренных ситуациях. Проверяйте результат, прежде чем на него полагаться, и никогда не используйте его в качестве единственного основания для клинического, юридического, финансового или критически важного для безопасности решения. Всё, что имеет значение, должен проверить человек.

Новые записи истории, сохранённые документы и сохранённое аудио шифруются на Вашем устройстве до загрузки, поэтому на наших серверах находится только шифротекст, который мы не можем расшифровать. Обмен сообщениями использует Signal Protocol и защищён сквозным шифрованием между участниками.

Существует ровно два исключения, и в обоих случаях требуется, чтобы Вы воспользовались соответствующей функцией:

• Групповые опросы. Чтобы подсчитать голоса и показать результаты, сервер вынужден прочитать опрос, поэтому опросы не защищены сквозным шифрованием. В медицинских беседах они отключены.
• Перевод голосовых сообщений. Для перевода голосового сообщения требуется расшифровать именно это сообщение на наших серверах. Мы сначала запрашиваем Ваше согласие, фиксируем это согласие и проводим аудит такого доступа. Этого никогда не происходит, если Вы сами этого не выберете.

Содержимое, которое Вы не сохраняете, не хранится в виде истории после того, как Ваш результат получен. Живая речь кратковременно находится в оперативной памяти во время обработки и не записывается в хранилище.

• Сохранённая история, документы и файлы — до тех пор, пока Вы их не удалите или не закроете учётную запись.
• Записи учётной записи и профиля — в течение всего срока существования учётной записи, а затем до 30 дней после её закрытия.
• Платёжные, налоговые и транзакционные записи — 7 лет, как того требует налоговое и бухгалтерское законодательство.
• Журналы безопасности, мошенничества и злоупотреблений — 12 месяцев.
• Переписка со службой поддержки — 24 месяца.
• Медицинские журналы аудита — 6 лет, как того требует HIPAA. В них содержатся только метаданные: кто, что, когда и с какого устройства сделал. Никогда PHI, никогда содержимое.
• Записи о файлах cookie и согласии — Ваш выбор в отношении согласия хранится в локальном хранилище браузера и сохраняется до тех пор, пока Вы не очистите данные браузера или пока мы не опубликуем новую версию запроса согласия, после чего мы спросим Вас снова.

Мы привлекаем поставщиков услуг по функциональному признаку: облачный хостинг и хранение; распознавание и синтез речи; машинный перевод и модели искусственного интеллекта; обработка платежей; доставка электронной почты; доставка push-уведомлений; операции поддержки. Каждый из них получает только то, что необходимо для его функции, на условиях письменного соглашения об обработке данных.

Поставщики, обрабатывающие Ваше содержимое для распознавания речи, перевода или искусственного интеллекта, настроены так, чтобы исключать его из обучения своих моделей и минимизировать хранение везде, где сервис это допускает, и они получают только само содержимое — не Ваше имя, учётную запись или личность. Платёжные поставщики и магазины приложений неизбежно получают идентифицирующие и транзакционные данные, поскольку без них платёж обработать невозможно.

Наш чат поддержки размещён на нашей собственной инфраструктуре, поэтому расшифровки обращений в поддержку не передаются стороннему поставщику.

Поимённый перечень субобработчиков предоставляется корпоративным и медицинским клиентам в рамках соглашения об обработке данных. Мы также можем раскрывать данные для соблюдения закона или законного запроса, для обеспечения соблюдения наших Условий, для защиты прав и безопасности, а также в связи со слиянием или приобретением, при этом настоящая политика продолжает применяться.

Мы работаем из Соединённых Штатов Америки и имеем пограничную инфраструктуру в Европейском союзе и Азии. Ваши данные могут передаваться и обрабатываться в Соединённых Штатах и других странах, законодательство которых отличается от законодательства Вашей страны.

Для передач за пределы Европейской экономической зоны, Соединённого Королевства или Швейцарии мы опираемся на стандартные договорные условия Европейской комиссии (Решение 2021/914), вместе с приложением для Соединённого Королевства и швейцарским приложением там, где они применимы, а также на технические меры, описанные в разделе 6, — прежде всего на шифрование на стороне клиента и сквозное шифрование, вследствие чего для большинства хранимого содержимого принимающая инфраструктура располагает только шифротекстом. Копия соответствующих условий передачи предоставляется по запросу.

Если Вы находитесь в Европейской экономической зоне, Соединённом Королевстве или Швейцарии, Вы можете запросить доступ, исправление, удаление, ограничение обработки и переносимость данных, возразить против обработки, основанной на законных интересах, и в любое время отозвать согласие, что не затрагивает уже осуществлённую обработку.

Вы также можете подать жалобу в надзорный орган: в Европейском союзе — в орган страны Вашего проживания, места работы либо места предполагаемого нарушения; в Соединённом Королевстве — в Information Commissioner's Office.

Если Вы проживаете в Калифорнии, Вирджинии, Колорадо, Коннектикуте, Юте, Техасе, Орегоне, Монтане или другом штате с комплексным законом о конфиденциальности, Вы можете запросить сведения о персональной информации, которой мы располагаем, и доступ к ней, её исправление, удаление и получение переносимой копии, а также отказаться от продажи, передачи, таргетированной рекламы и профилирования, влекущего юридические или аналогичные существенные последствия.

Ничего из перечисленного мы не делаем. Тем не менее мы соблюдаем сигнал Global Privacy Control и иные признанные сигналы отказа: когда Ваш браузер отправляет такой сигнал, мы рассматриваем его как отказ от аналитической и маркетинговой категорий для этого браузера, и от Вас не требуется никаких дальнейших действий.

Жители Калифорнии также могут потребовать от нас ограничить использование чувствительной персональной информации. Мы уже используем её исключительно для предоставления запрошенного Вами сервиса и обеспечения его безопасности, что является допустимыми целями. Мы не будем допускать дискриминации в отношении Вас за реализацию любого права на конфиденциальность.

Обжалование. Если мы отклоняем запрос, Вы можете обжаловать решение, ответив на него, либо направив письмо на constantine@vavusai.com с темой «Апелляция по конфиденциальности». Мы отвечаем в течение 45 дней — 60 дней в Колорадо — с изложением нашего решения и его оснований. Если мы отклоняем жалобу, Вы можете обратиться к генеральному прокурору Вашего штата. Законодательство Юты не предусматривает права на обжалование, но мы всё равно рассмотрим Вашу жалобу.

Мы начисляем бонусные токены за подтверждение адреса электронной почты и за рекомендации. Это программы финансового стимулирования в значении раздела 1798.125(b) California Civil Code. Существенные условия изложены на наших страницах тарифов и рекомендаций: токены носят рекламный характер, не имеют денежной стоимости и могут использоваться только для функций Vavus.

Мы оцениваем стоимость соответствующей персональной информации приблизительно как розничную цену начисленных токенов по нашей опубликованной цене токена. Мы рассчитываем её именно так, поскольку соответствующие данные — адрес электронной почты и факт рекомендации — не приносят нам отдельного дохода, так как мы не продаём персональную информацию. Участие является добровольным, и Вы можете выйти из программы в любое время, направив нам письмо; выход не возвращает уже израсходованные Вами токены.

Используйте средства управления в продукте, где они доступны, либо напишите на constantine@vavusai.com. Мы подтверждаем запросы, сопоставляя предоставленные Вами сведения с записями об учётной записи, платежах, обращениях в поддержку или безопасности, и можем запросить дополнительную информацию, если запрос является чувствительным. Уполномоченный представитель может действовать от Вашего имени при наличии письменного полномочия. Мы отвечаем в течение 45 дней и можем однократно продлить этот срок ещё на 45 дней, сообщив Вам причину.

Защита в рамках HIPAA применяется только к учётным записям, которые мы одобрили для медицинского использования на основании заключённого соглашения о деловом партнёрстве. Если Вы не подписали с нами BAA, Ваша учётная запись не является рабочим процессом HIPAA, и Вы не должны загружать в неё защищаемую медицинскую информацию.

Одобренные медицинские учётные записи используют токены сеанса со сроком действия 8 часов, тайм-аут бездействия 15 минут, средства контроля обращения с PHI, безопасное удаление активов с PHI и шестилетнее хранение журналов аудита, а журналы приложения спроектированы так, чтобы не содержать PHI. В таких учётных записях мы выступаем деловым партнёром, поэтому судьбу данных определяет Ваша организация, а не мы, и мы действуем по её указаниям.

Мы применяем TLS при передаче, описанные выше шифрование на стороне клиента и сквозное шифрование, аутентификацию с ротацией токенов, отдельные потоковые токены для сеансов реального времени, единый вход для корпоративных учётных записей, защиту от подбора паролей, отзыв токенов при выходе из системы и смене пароля, ограничение частоты запросов, средства контроля доступа и ведение журналов аудита.

Ни одна система не является абсолютно безопасной. Если нарушение затрагивает Ваши персональные данные, мы уведомим Вас и соответствующие органы без неоправданной задержки и в течение 72 часов с момента подтверждения нарушения, затрагивающего Ваши персональные данные, как того требует закон.

Vavus is not directed to anyone under 18, and an account requires you to be 18 or older. We do not knowingly collect personal information from anyone under 18.

A parent or guardian who believes a child has created an account can email constantine@vavusai.com. We will verify the report and delete the account and its data promptly. We also close any account we discover belongs to someone under 18.

Мы можем обновлять настоящую политику. Строка «Последнее обновление» показывает текущую версию. Если изменение существенно влияет на то, как мы обращаемся с персональными данными, мы уведомим об этом в продукте или по электронной почте до вступления изменения в силу.