Политика конфиденциальности

Для целей настоящей политики:

• Персональные данные — любая информация, которая идентифицирует или может идентифицировать вас прямо или косвенно (имя, e-mail, IP-адрес и т. п.).
• Обработка — любая операция с персональными данными, включая сбор, хранение, использование, передачу и удаление.
• Чувствительные данные — данные, раскрывающие расовое или этническое происхождение, политические взгляды, религиозные убеждения, членство в профсоюзе, генетические или биометрические данные, данные о здоровье, половой жизни или сексуальной ориентации.
• Контролёр — сторона, определяющая цели и способы обработки персональных данных.
• Обработчик — сторона, обрабатывающая персональные данные от имени контролёра.
• Субобработчик — третья сторона, привлечённая обработчиком для выполнения обработки.

Поскольку BeMetrix — это B2B-платформа, наша юридическая роль зависит от типа данных:

Когда мы контролёр

Мы являемся контролёром данных о человеке, который регистрирует или администрирует аккаунт: владельцев, приглашённых членов команды, креаторов, продажников и посетителей сайта. Сюда входят контактные данные, данные аутентификации, биллинговые данные и аналитика использования Сервиса.

Когда мы обработчик

Мы выступаем обработчиком по поручению аккаунта Студии или Модель-креатора в отношении бизнес-данных, которые аккаунт загружает или синхронизирует в Сервис (сведения об их членах/фанатах, история транзакций, чат-заметки, метрики креаторов и данные, импортированные со сторонних платформ). В этой роли аккаунт является контролёром и определяет цели и способы обработки; мы обрабатываем такие данные только по его задокументированным инструкциям и в объёме, необходимом для оказания Сервиса.

Соглашение об обработке данных (DPA)

Клиенты Студии и Модель-креаторы, на которых распространяется GDPR, могут заключить наше DPA, обратившись по адресу privacy@bemetrix.com. DPA включает Стандартные договорные положения Европейской комиссии (Решение 2021/914), когда применимо.

Что мы не обрабатываем

Мы не осуществляем проверку возраста исполнителей и не собираем и не храним документы, удостоверяющие их личность. Клиентам запрещается загружать в Сервис документы, удостоверяющие личность, и материалы для взрослых. Разграничение ответственности между нами и клиентами описано в Условиях использования.

Мы получаем персональные данные тремя способами:

Напрямую от вас

• При регистрации, прохождении онбординга или заполнении формы
• При принятии приглашения в качестве члена команды, креатора или продажника
• При обращении в поддержку или ответе нам
• При загрузке контента, настройке интеграций или вводе бизнес-данных

Автоматически

• Технические данные, собираемые браузером (IP-адрес, user agent, метки времени)
• Cookies и аналогичные технологии — см. нашу Политику cookies
• Логи сервера, генерируемые нашими edge-функциями и инфраструктурой
• Определение страны при регистрации (через ipapi.co) для региональных настроек и защиты от мошенничества

От третьих сторон

• Провайдеры идентификации (Google OAuth), если вы выбираете вход через них
• Платформы для креаторов (например, Chaturbate) при подключении их API — доходы, события и данные публичного профиля
• Платёжные процессоры (Stripe, наш крипто-процессор) — статус платежа, последние четыре цифры карты, страна

Категории обрабатываемых персональных данных зависят от вашей роли.

Данные аккаунта и идентификация

• Email, хэш пароля, отображаемое имя, аватар
• Тип аккаунта (студия / модель / креатор / продажник), часовой пояс, предпочитаемый язык
• Факторы многофакторной аутентификации (MFA) — TOTP-секреты хранятся зашифрованными в Supabase Auth; сам секрет и одноразовые коды нам недоступны
• OAuth-идентификатор при входе через Google

Биллинговые данные

• Тарифный план, статус подписки, триал, дата продления
• ID клиента Stripe и метаданные истории платежей
• Записи крипто-платежей (адрес, сеть, сумма, хэш транзакции) при оплате криптовалютой
• Мы не храним полный номер карты и CVV — их обрабатывает Stripe

Бизнес-данные (загружаемые аккаунтом)

• Профили креаторов, расписания, смены и доходы
• Члены/фанаты, учитываемые студией, включая никнеймы, историю расходов и сегменты
• KPI операторов и персонала, выплаты и зарплаты
• Загруженные документы, скриншоты и медиа
• Заметки, промпты чат-коучинга и история диалогов с ИИ

Данные интеграций

• API-токены и учётные данные подключённых платформ для креаторов (зашифрованы в состоянии покоя)
• Статистика, события и выплаты, синхронизированные с этих платформ
• Telegram user ID, если вы подключаете Telegram для уведомлений

Данные использования и технические данные

• IP-адрес, страна регистрации, user agent, тип устройства
• Посещённые страницы, использованные функции, клики и события навигации
• Временные метки входов и метаданные активной сессии

Некоторые данные необходимы для оказания Сервиса. Если вы их не предоставите, мы можем не суметь создать аккаунт, предоставить запрошенные функции или выполнить наш договор с вами. В частности, без валидного email мы не сможем вас аутентифицировать, а без платёжных данных — активировать платные функции.

BeMetrix осознанно не запрашивает и не обрабатывает персональные данные особых категорий (чувствительные) в смысле статьи 9 GDPR. Вам не следует загружать в Сервис чувствительные данные о себе или третьих лицах.

Если аккаунт Студии решит хранить о креаторе заметки (например, об отсутствии по состоянию здоровья), которые квалифицируются как чувствительные, Студия остаётся единственным контролёром этих данных и обязана иметь надлежащее правовое основание согласно статье 9 GDPR.

Мы обрабатываем персональные данные только при наличии правового основания:

Исполнение договора (ст. 6(1)(b))

• Создание и администрирование аккаунта
• Предоставление функций панели, аналитики и интеграций
• Обработка платежей по подписке и выставление счетов
• Поддержка клиентов

Законный интерес (ст. 6(1)(f))

• Защита Сервиса от мошенничества, злоупотреблений и несанкционированного доступа
• Продуктовая аналитика и улучшение функций
• Прямой маркетинг похожих продуктов существующим клиентам с правом возражения в любое время
• Обеспечение соблюдения Условий и защита в судебных разбирательствах

Юридическая обязанность (ст. 6(1)(c))

• Налоговые, бухгалтерские и антифрод-обязательства
• Ответы на законные запросы государственных органов

Согласие (ст. 6(1)(a))

• Необязательные cookies и аналитические теги
• Маркетинговые сообщения потенциальным клиентам
• Дополнительные интеграции (Telegram, подключённые платформы для креаторов)

Если обработка основана на согласии, вы можете отозвать его в любой момент. Отзыв не влияет на законность обработки, произведённой до отзыва.

Мы используем собранные данные для следующих целей:

• Оказание Сервиса — предоставление аккаунтов, работа панели, синхронизация интеграций, отправка уведомлений, на которые вы подписались
• Биллинг — списание подписок, учёт триалов, история платежей
• Коммуникации — транзакционные письма (счета, оповещения безопасности, приглашения), продуктовые обновления, на которые вы подписались, и ответы поддержки
• Аналитика и улучшение продукта — понимание использования функций и диагностика ошибок
• Безопасность и защита от мошенничества — обнаружение подозрительных входов, защита от злоупотреблений, применение лимитов
• Соблюдение законодательства — налоговые, бухгалтерские и регуляторные обязательства
• ИИ-функции — см. раздел 10

Мы не продаём ваши персональные данные.

BeMetrix предлагает опциональные ИИ-функции (чат-коучинг, инсайты рынка, генерация ИИ-профиля, сводки радара удержания). При их использовании:

• Содержимое промпта и релевантный бизнес-контекст отправляются нашему ИИ-провайдеру (Lovable AI Gateway, который маршрутизирует запросы к моделям вроде Google Gemini и OpenAI GPT)
• Мы указываем провайдерам не использовать ваши промпты и ответы для обучения своих базовых моделей — с учётом их собственных условий
• История диалогов хранится в вашем аккаунте, чтобы вы могли к ней вернуться; вы можете удалить диалоги в любой момент
• Ответы ИИ могут быть неточными. Вы обязаны их проверять, прежде чем принимать бизнес-решения

Мы не используем ИИ-функции для принятия решений исключительно на основе автоматизированной обработки, имеющих юридические или иные существенные последствия для вас в смысле статьи 22 GDPR.

Мы делимся персональными данными только в ограниченных случаях и только с получателями, связанными надлежащими обязательствами по конфиденциальности и защите данных.

Внутри вашей студии

В аккаунтах Студии бизнес-данные видны другим авторизованным пользователям той же студии в соответствии с их ролью (админ студии, менеджер, оператор, персонал, креатор, продажник). Доступ обеспечивается на уровне БД политиками row-level security.

Раскрытие по требованию закона

Мы можем раскрыть персональные данные при наличии действительного законного запроса, для защиты наших прав или безопасности пользователей, для расследования мошенничества, а также в связи со слиянием, приобретением или продажей активов — в этом случае мы уведомим затронутых пользователей, если это возможно.

Мы не продаём персональные данные третьим лицам.

Карточные платежи обрабатываются Stripe. От Stripe мы получаем идентификатор клиента, последние четыре цифры карты, бренд карты, месяц/год окончания срока, страну и статус платежа. Полный номер карты и CVV нам не поступают и не хранятся.

Крипто-платежи обрабатываются нашим крипто-провайдером. Мы храним адрес назначения, сеть, сумму, хэш транзакции и статус подтверждения, привязанные к вашему аккаунту.

Возвраты и споры обрабатываются в соответствии с нашей Политикой возвратов.

BeMetrix управляется из Европейского союза, а наша основная инфраструктура размещена в дата-центрах ЕС (Франкфурт, Германия).

Некоторые наши субобработчики находятся за пределами Европейской экономической зоны (ЕЭЗ). При передаче персональных данных за пределы ЕЭЗ мы полагаемся на одну или несколько мер защиты:

• Решение Европейской комиссии об адекватности уровня защиты страны-получателя
• Стандартные договорные положения Европейской комиссии (Решение 2021/914)
• Для передач в США — сертификация получателя по EU-US Data Privacy Framework (2023), где применимо
• Обязательные корпоративные правила, одобренные компетентным надзорным органом, где применимо

Вы можете запросить копию мер защиты, применимых к конкретной передаче, написав на privacy@bemetrix.com.

Мы храним персональные данные только столько, сколько необходимо для целей, описанных в настоящей политике.

• Данные активного аккаунта — пока ваш аккаунт активен
• После отмены аккаунта — аккаунт и бизнес-данные доступны для экспорта 90 дней, затем окончательно удаляются из активных систем
• Зашифрованные бэкапы — хранятся ещё 30 дней и затем уничтожаются
• Биллинговые и налоговые записи — до 10 лет, если этого требует применимое бухгалтерское законодательство
• Логи безопасности и аудита — до 12 месяцев
• История диалогов с ИИ — до вашего удаления или закрытия аккаунта
• Маркетинговые согласия и отказы — столько, сколько необходимо для соблюдения ваших предпочтений
• Анонимизированные и агрегированные данные — могут храниться бессрочно, поскольку не идентифицируют вас

Мы применяем стандартные для отрасли технические и организационные меры для защиты персональных данных, включая:

• Шифрование при передаче — TLS 1.2+ для всех соединений
• Шифрование при хранении — для БД, бакетов хранилища, MFA-секретов и учётных данных интеграций
• Row-level security — политики БД, обеспечивающие ролевой доступ внутри каждой студии
• Многофакторная аутентификация — опциональный TOTP-2FA доступен для любого аккаунта
• Минимальные привилегии — доступ к продакшн-системам только у уполномоченного персонала и только по определённым эксплуатационным причинам
• Мониторинг и логирование — обнаружение аномалий и аудит-трейлы
• Реагирование на инциденты — при нарушении безопасности персональных данных, способном создать риск для ваших прав и свобод, мы уведомим компетентный надзорный орган в течение 72 часов, как того требует GDPR, и уведомим затронутых пользователей, когда это необходимо

Ни одна система не является абсолютно безопасной. Вы отвечаете за защиту собственных учётных данных; настоятельно рекомендуем включать 2FA.

С учётом применимого законодательства у вас есть следующие права в отношении ваших персональных данных:

• Право на доступ — получить копию хранящихся о вас персональных данных
• Право на исправление — исправить неточные или неполные данные
• Право на удаление («право быть забытым») — потребовать удаления в предусмотренных GDPR случаях
• Право на ограничение обработки — ограничить обработку в конкретных ситуациях
• Право на переносимость — получить предоставленные вами данные в структурированном, общеупотребительном и машиночитаемом формате и передать их другому контролёру
• Право на возражение — возражать против обработки на основании законного интереса и в любой момент — против прямого маркетинга
• Право отозвать согласие — когда обработка основана на согласии
• Права, связанные с автоматизированными решениями — вы не подпадаете под решения, принимаемые исключительно автоматически, с юридическими или аналогичными существенными последствиями

Для реализации этих прав пишите на privacy@bemetrix.com. Мы можем потребовать подтверждения личности. Ответ предоставляется в течение одного месяца; сложные запросы могут занять до трёх месяцев, о чём мы вас уведомим.

Запросы обрабатываются бесплатно, кроме явно необоснованных, повторных или чрезмерных.

Мы используем cookies и аналогичные технологии для аутентификации, сохранения предпочтений и понимания использования Сервиса. Подробности — в нашей Политике cookies.

Необязательные cookies устанавливаются только с вашего согласия, которое можно отозвать в любой момент через баннер cookies.

Вы можете войти в BeMetrix через сторонний провайдер идентификации, например Google. При этом провайдер передаёт нам ваш e-mail, имя и стабильный идентификатор, чтобы создать или связать аккаунт.

Использование стороннего сервиса регулируется его условиями и политикой конфиденциальности. Рекомендуем ознакомиться с ними перед включением входа через третьи стороны.

BeMetrix предназначен исключительно для профессионального использования взрослыми. Доступ ограничен лицами от 18 лет (или возраста совершеннолетия в вашей юрисдикции, в зависимости от того, что больше).

Мы осознанно не собираем персональные данные лиц младше 18 лет. Если нам станет известно, что мы собрали такие данные, мы удалим их и закроем аккаунт. Свяжитесь с privacy@bemetrix.com, если полагаете, что несовершеннолетний предоставил нам персональные данные.

Если вы резидент Калифорнии, CCPA в редакции CPRA предоставляет вам дополнительные права:

• Право знать — категории и конкретные элементы персональной информации, которую мы собираем, используем, раскрываем и передаём
• Право на удаление — потребовать удаления персональной информации с учётом установленных законом исключений
• Право на исправление — потребовать исправления неточной персональной информации
• Право на отказ от продажи или передачи — мы не продаём и не передаём персональную информацию для межконтекстной поведенческой рекламы, поэтому отказ не требуется, но вы можете подтвердить свои предпочтения, написав нам
• Право ограничить использование чувствительной персональной информации — мы не используем чувствительную персональную информацию в целях, которые задействуют это право
• Право на недискриминацию — мы не откажем в обслуживании и не будем взимать разные цены за реализацию ваших прав
• Уполномоченные представители — вы можете назначить представителя для подачи запросов от вашего имени с подтверждением полномочий

Для реализации этих прав пишите на privacy@bemetrix.com.

Мы можем время от времени обновлять настоящую Политику конфиденциальности, чтобы отражать изменения в практиках, технологиях, требованиях законодательства или по иным причинам. Обновлённая версия публикуется на этой странице, а дата вступления в силу указывается в верхней части.

О существенных изменениях мы уведомим по e-mail или через Сервис до их вступления в силу. Продолжение использования Сервиса после вступления изменений в силу означает согласие с новой редакцией.

Если у вас есть претензии к тому, как мы обращаемся с вашими персональными данными, пожалуйста, сначала свяжитесь с нами по адресу privacy@bemetrix.com, чтобы мы попытались решить вопрос.

Вы также имеете право подать жалобу в надзорный орган по защите данных в государстве — члене ЕС/ЕЭЗ по месту вашего проживания, работы или предполагаемого нарушения. Перечень национальных органов доступен на edpb.europa.eu.