Политика конфиденциальности

Сервис migrate.fi работает из города Эспоо, Финляндия, код предприятия (Y-tunnus) 3636874-7. Мы являемся контролёром описанных здесь персональных данных: мы решаем, что собирается и зачем, и мы за это отвечаем.

По любому вопросу из этого документа пишите на support@migrate.fi. Запросы о защите данных — доступ, исправление, удаление — идут на тот же адрес. Укажите в теме письма «data request», и мы примем его именно как такой запрос.

Список ожидания: если вы записываетесь в список ожидания на главной странице, мы сохраняем указанный вами адрес почты и язык, на котором была открыта страница. Это всё — за этим нет ни учётной записи, ни профиля. Мы храним это, чтобы сообщить вам об открытии сервиса, и ни для чего другого; вы можете в любой момент попросить удалить эту запись, написав на support@migrate.fi.

Ваша учётная запись: адрес электронной почты, с которым вы зарегистрировались, пароль, который хранится только в виде bcrypt-хэша, и выбранный вами язык интерфейса. Если вы входите через Google, а не по паролю, Google передаёт нам ваш адрес почты, имя и фотографию профиля.

То, что вы рассказываете при первичной настройке: страна, из которой вы едете, где вы находитесь сейчас, тип разрешения, который у вас есть или который вам нужен, семейное положение, возраст детей (только возраст, никогда не имена), город в Финляндии, куда вы переезжаете, дата приезда, дата окончания текущего разрешения, на каком этапе вы находитесь и что вас беспокоит. Именно из этого строится ваш план.

Загруженные документы: сам файл и то, что из него вычитал анализ, — название, вид документа, кто его отправил, краткое содержание, требуется ли ответ, дата, к которой нужно ответить, и указанная в документе дата окончания срока действия.

Пересланная почта: каждой учётной записи может быть выдан личный адрес на inbox.migrate.fi. Всё, что придёт на него, сохраняется вместе с вложениями и читается так же, как загруженный документ.

Ваши диалоги: вопросы, которые вы задаёте ассистенту, и его ответы — сохраняются, чтобы переписка была на месте, когда вы вернётесь.

Оплата: если вы покупаете Relocation Pass, мы храним запись о платеже и идентификатор клиента, по которому вас узнаёт Stripe. Номер карты вводится на странице самого Stripe и до нас не доходит.

Напоминания: запись о том, какое напоминание о сроке и в какой день вам было отправлено, чтобы одно и то же не пришло дважды.

Технические журналы: работа сервиса создаёт серверные записи о запросах и ошибках. Они удаляются автоматически через 30 дней.

Некоторые из загружаемых сюда бумаг говорят о человеке гораздо больше, чем номер паспорта. Решение по виду на жительство может раскрыть состояние здоровья, ходатайство об убежище, религию, политические взгляды, основание для преследования или то, что человек стал жертвой торговли людьми либо трудовой эксплуатации. Статья 9 GDPR называет это особыми категориями персональных данных и защищает их строже остальных.

Этот продукт намеренно поддерживает такие маршруты — путь ходатайства об убежище есть в плане, — поэтому мы не станем описывать этот случай как гипотетический.

Ничто не обязывает вас загружать такой документ. Вы сами выбираете, какие файлы добавить, и план с чатом работают и без них. Загружая такой документ, вы даёте явное согласие на его хранение и прочтение так, как описано в этом документе, и именно это согласие является нашим правовым основанием.

Вы можете отозвать это согласие, удалив документ: запись, всё, что из неё вычитал анализ, и сама хранимая копия файла исчезают вместе, в одно нажатие, и больше ничто здесь её не читает. При удалении учётной записи точно так же стираются все хранимые файлы. Единственное исключение — файлы настолько давние, что мы хранили их иначе, чем сегодня; такие сотрёт support@migrate.fi.

Каждый попавший сюда документ анализируется автоматически: при загрузке, а для пересланной почты — при поступлении. Варианта «сохранить, но не читать» нет. Если вы предпочли бы, чтобы конкретную бумагу не читала модель ИИ, не загружайте её. Мы лучше скажем это прямо, чем намекнём на выбор, которого не существует.

Работа сервиса — ваша учётная запись, план, чат, документы, которые вы попросили прочитать, напоминания, о которых вы попросили, — опирается на исполнение договора с вами (ст. 6(1)(b) GDPR).

Документы из особых категорий, названных выше, опираются на ваше явное согласие, данное при загрузке (ст. 9(2)(a)).

Аналитика опирается на ваше согласие и ни на что другое (ст. 6(1)(a)). Отказ ничего вам не стоит: любая часть продукта работает в обоих случаях.

Поддержание работоспособности сервиса — ограничения частоты запросов, блокировка злоупотреблений, защита от использования учётной записи для атаки и отчёты об ошибках, из которых мы узнаём о поломке, — опирается на наш законный интерес в том, чтобы сервис оставался доступным, а поломки замечались и устранялись (ст. 6(1)(f)).

Мы не продаём персональные данные и не передаём их для чьей-либо рекламы. Их получают пять компаний: четыре — чтобы продукт вообще мог работать, и одна — чтобы мы узнавали, когда он перестаёт работать.

Мы требуем от каждой из них использовать ваши данные только для той работы, о которой мы попросили, и не использовать их для обучения или улучшения собственных продуктов. Это указание, которое мы даём, и условие, которого мы держимся, выбирая обработчика; это не обещание за то, что компания делает вне наших указаний. Stripe отличается по форме, а не по правилу: он принимает платёж от своего имени и на условиях собственной политики конфиденциальности — иначе оплата картой невозможна.

Google. Функции ИИ работают на моделях Gemini от Google, и это самый чувствительный из этих получателей. При анализе документа сам файл отправляется в Google — скан паспорта, решение по виду на жительство, письмо из Migri, — потому что модель читает файл напрямую, без промежуточного шага. Туда же отправляются ваши вопросы в чате, ответы при первичной настройке, ваш профиль и текст пересланных писем, чтобы получить ответы, карточки задач и подсказки. Если вы входите через Google, Google также обрабатывает этот вход.

Amazon Web Services. AWS размещает приложение, хранит ваши загруженные файлы, обслуживает базу данных и передаёт почту в обе стороны — напоминания, которые мы вам шлём, и письма, которые вы пересылаете нам.

Stripe. Stripe принимает оплату за Relocation Pass и хранит для этого ваш адрес электронной почты, платёжный адрес, который вы указываете при оплате, и запись о платеже. Данные вашей карты обрабатывает Stripe, мы их не видим.

Cloudflare. Форма записи в список ожидания на главной странице защищена проверкой на робота — Cloudflare Turnstile. Она загружается с серверов Cloudflare при каждом открытии этой страницы, а при отправке формы ваш IP-адрес уходит в Cloudflare вместе с сигналами, которые проверка считывает из вашего браузера, чтобы определить, человек ли вы. Ни данные учётной записи, ни документы, ни что-либо написанное вами в Cloudflare не попадает.

Sentry. Когда что-то в продукте ломается, отчёт об этом сбое уходит в Sentry — чтобы о сломанной странице мы узнавали из панели мониторинга, а не от вас. Отчёт — это техническое описание ошибки: что именно не сработало и в каком месте кода, а также адрес страницы или маршрута, который был открыт. Единственное, что в нём может указывать на вас, — идентификатор вашей учётной записи; ни имени, ни адреса электронной почты там нет. Прежде чем отчёт будет отправлен, мы убираем из него то, без чего разобраться в ошибке всё равно можно: содержимое запроса, файлы cookie, ваш адрес электронной почты, идентификатор документа, к которому был запрос, и значения всех параметров в адресе — от них остаются только имена. Ваши документы, пересланные письма и диалоги туда не отправляются. Об одном ограничении лучше сказать здесь, а не в сноске: текст сообщения об ошибке пишет та программа, которая дала сбой, поэтому мы не можем исключить, что внутрь него попадёт фрагмент ваших данных.

Мы также передаём данные, когда этого требует закон, — по обязательному предписанию ведомства или суда. Если такое предписание к нам поступит, мы сообщим об этом человеку, которого оно касается, если только нам не будет запрещено это делать.

Приложение, ваши загруженные файлы и база данных работают в стокгольмском регионе Amazon Web Services, в Европейском союзе. Почта отправляется и принимается через ирландский регион, также в Европейском союзе.

Обработка средствами ИИ на стороне Google может происходить за пределами Европейской экономической зоны; там же могут храниться и описанные выше отчёты об ошибках. Если обработчик вывозит персональные данные за пределы ЕЭЗ, такая передача должна быть покрыта решением Европейской комиссии об адекватности или стандартными договорными условиями Комиссии; мы не пользуемся обработчиком, для которого не действует ни то, ни другое.

Мы говорим вам, где лежат данные, вместо обещания, что ни один байт никогда не покинет ЕЭЗ, потому что второе было бы обещанием за чужую инфраструктуру.

Мы не удаляем персональные данные по расписанию и не станем выдумывать его в этом документе. Ваша учётная запись и всё, что в ней есть, хранятся столько, сколько существует сама учётная запись.

Запись в списке ожидания — не учётная запись и этому правилу не подчиняется. Это одна строка с адресом почты и языком, которая хранится, чтобы мы могли сообщить вам об открытии сервиса; одно письмо на support@migrate.fi её удаляет.

Когда вы удаляете учётную запись, удаление происходит сразу: вместе с ней исчезают документы и результаты их анализа, диалоги, план и записи о платежах. Это не заявка, которая ждёт в очереди.

Пять вещей это переживают. Резервные копии у нашего хостинг-провайдера устаревают по собственному циклу, поэтому удалённая учётная запись может сохраняться в копии до истечения её срока. Stripe хранит собственную запись о платеже по своим правилам хранения и своим юридическим обязанностям — это вне нашего контроля, и удалить её за вас мы не можем. Когда администратор совершает действие с учётной записью — блокирует её, выдаёт доступ, удаляет её, — запись об этом действии сохраняется, включая адрес почты, которого оно касалось, чтобы за сделанное с учётной записью можно было ответить и после её удаления. И это переживают ещё две технические записи: серверные журналы и отчёты об ошибках, отправленные в Sentry. Удаление учётной записи их не затрагивает — каждая просто устаревает по собственному циклу, в сроки, указанные в следующем абзаце.

Серверные журналы удаляются автоматически через 30 дней, а описанные выше отчёты об ошибках устаревают по собственному циклу Sentry.

Загруженные файлы лежат в закрытом хранилище, недоступном из публичного интернета и зашифрованном при хранении. Они выдаются только через маршрут, который сначала проверяет, что файл принадлежит запрашивающей учётной записи.

Пароли хранятся в виде bcrypt-хэшей. Прочитать ваш пароль обратно не может никто, включая нас.

Мы не заявляем ни о сертификации по безопасности, ни о внешнем аудите, ни о стандарте ISO, потому что ничего этого у нас нет. Политика конфиденциальности — неподходящее место для намёков на обратное.

Вы имеете право получить доступ к персональным данным, которые мы о вас храним (ст. 15), исправить их (ст. 16), потребовать их удаления (ст. 17), ограничить их использование (ст. 18), получить их в переносимом формате (ст. 20) и возразить против обработки, основанной на законном интересе (ст. 21).

Там, где обработка опирается на согласие — документы особых категорий, аналитика, — вы можете отозвать это согласие в любой момент (ст. 7(3)). Отзыв не делает незаконным то, что произошло до него, и не затрагивает то, что опирается на договор с вами.

Большую часть этого вы можете сделать сами, внутри продукта: профиль редактируется в настройках, документ удаляется на странице документов, а саму учётную запись можно удалить в настройках. Там же скачивается копия данных вашей учётной записи, и сам файл перечисляет то, что в него не вошло. По всему остальному пишите на support@migrate.fi. Мы отвечаем в течение месяца, как того требует GDPR, и быстрее, когда получается. Если вы в списке ожидания и учётной записи у вас здесь нет, те же права распространяются на эту запись, а воспользоваться ими можно через support@migrate.fi.

Мы не принимаем автоматизированных решений о вас, которые порождают юридические последствия или иным образом существенно на вас влияют (ст. 22). План, карточки задач и подсказки создаёт модель, но это рекомендации, по которым действуете вы. Ничто здесь не решает ничего о вашем разрешении и ничто отсюда не подаётся ни в одно ведомство.

Если вы считаете, что мы обошлись с вашими данными неправильно, вы можете подать жалобу в финский надзорный орган — Управление уполномоченного по защите данных (Tietosuojavaltuutetun toimisto), tietosuoja.fi. Обращаться к ним можно напрямую, не спрашивая нас.

Файл cookie входа необходим: именно он удерживает вас в системе при переходе между страницами, и без него продукт работать не может. Он ставится при входе и очищается при выходе.

Аналитика — Google Analytics — включается, только если вы на неё согласились. Отказ ничего вам не стоит, все функции работают в обоих случаях, и своё решение можно изменить позже.

Рекламных cookie мы не используем. Кроме аналитики, сторонний код на сайте — это только проверка на робота от Cloudflare в форме списка ожидания и описанная выше отправка отчётов об ошибках: первая нужна, чтобы в список не попадали боты, вторая — чтобы мы узнавали о сломанной странице, и ни та, ни другая не для того, чтобы за вами следить.

Когда мы меняем здесь что-то существенное, мы меняем дату вверху страницы. Если изменение затрагивает судьбу уже хранящихся данных, мы сообщаем об этом владельцам учётных записей по электронной почте. Мы не станем сначала менять то, что делаем, а описывать это потом.