ПОЛИТИКА КОНФИДЕНЦИАЛЬНОСТИ

Сервис: MuseFlow

Дата вступления в силу: 19 мая 2026 года

Дата последнего обновления: 19 мая 2026 года

Версия документа: 1.0

ПРЕАМБУЛА

Настоящая Политика конфиденциальности (далее — «Политика») регулирует порядок сбора, обработки, хранения, использования и раскрытия персональных данных Пользователей платформы MuseFlow (далее — «Сервис», «Платформа»), осуществляемых ТОО «MINDVIBE» (далее — «Оператор», «мы», «нас», «наш»).

Сервис позволяет Пользователям создавать, планировать и публиковать контент в социальных сетях с использованием технологий искусственного интеллекта. Использование Сервиса означает безусловное согласие Пользователя с настоящей Политикой и со Пользовательским соглашением.

Сервис предназначен для пользователей рынка стран СНГ. Настоящая Политика составлена с учётом требований:

• Применимого законодательства о защите персональных данных стран СНГ, в том числе:
• Закона Республики Казахстан от 21.05.2013 № 94-V «О персональных данных и их защите»;
• Федерального закона Российской Федерации от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных»;
• Платформенных требований Meta Platforms, Inc. (Meta Developer Platform Terms, Threads API Terms);
• Лучших практик защиты данных, отражённых в Общем регламенте по защите данных Европейского союза (Регламент (ЕС) 2016/679, «GDPR») — применяются по аналогии, в порядке добровольного следования.

1. ОПРЕДЕЛЕНИЯ

В целях настоящей Политики применяются следующие термины:

1.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому либо определяемому физическому лицу (субъекту персональных данных).

1.2. Обработка персональных данных — любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемые с использованием средств автоматизации или без таковых.

1.3. Пользователь — физическое или юридическое лицо, зарегистрировавшее учётную запись в Сервисе и/или использующее Сервис.

1.4. OAuth-токен — учётные данные, выданные сторонней социальной сетью (Threads, X) и позволяющие Сервису действовать от имени Пользователя в рамках предоставленных Пользователем разрешений.

1.5. Контент — текстовые, графические и иные материалы, создаваемые Пользователем в Сервисе или генерируемые с использованием технологий искусственного интеллекта по запросу Пользователя.

1.6. Под-обработчик — третье лицо, привлекаемое Оператором для обработки персональных данных от имени Оператора (хостинг-провайдеры, поставщики AI-сервисов и т. п.).

2. КОНТАКТНАЯ ИНФОРМАЦИЯ ОПЕРАТОРА

2.1. Юридическое наименование Оператора: ТОО «MINDVIBE»

2.2. Юридический адрес: г. Алматы, проспект Райымбека, дом 312

2.3. Регистрационный номер / БИН: 210740002619

2.4. Контактный адрес электронной почты по вопросам обработки персональных данных: privacy@museflow.kz

2.5. Контактный адрес электронной почты для общих вопросов: support@museflow.kz

2.5.1. Банковские реквизиты: АО «Kaspi Bank», КБе 17, БИК CASPKZKA, счёт KZ23722S000043175389

2.6. Лицо, ответственное за организацию обработки персональных данных в соответствии со статьёй 27-1 Закона Республики Казахстан «О персональных данных и их защите»: на дату публикации настоящей Политики обязанность по назначению такого лица не возникла, поскольку количество субъектов персональных данных, чьи данные обрабатываются Оператором, не превышает порогового значения, установленного законом. При возникновении обязанности соответствующее лицо будет назначено и его контактные данные опубликованы в настоящем разделе.

2.7. Представитель Оператора в Европейском союзе. Оператор предоставляет Сервис исключительно пользователям рынка стран СНГ и не предлагает свои услуги пользователям, находящимся в Европейской экономической зоне (ЕЭЗ / EEA), а также не осуществляет систематический мониторинг их поведения. В связи с этим назначение представителя в ЕС в соответствии со статьёй 27 GDPR не требуется. Положения настоящей Политики, содержащие ссылки на GDPR, применяются по аналогии и в порядке добровольного следования лучшим практикам.

3. КАТЕГОРИИ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ

Оператор обрабатывает следующие категории персональных данных:

3.1. Данные учётной записи (предоставляемые Пользователем)

• Адрес электронной почты;
• Имя или псевдоним Пользователя;
• Хешированный пароль (открытый пароль Оператору недоступен);
• Идентификатор Telegram-чата (опционально, для уведомлений);
• Часовой пояс и языковые предпочтения.

3.2. Данные брендового профиля (предоставляемые Пользователем)

• Название бренда, описание, целевая аудитория;
• Тон голоса, эталонные посты, правила формата;
• Темы и форматы контента;
• Гипотезы для A/B-тестирования.

3.3. Данные, получаемые при подключении сторонних сервисов через OAuth

При подключении учётной записи в социальной сети (Threads, X) посредством OAuth 2.0 Оператор получает и обрабатывает:

• Access token (токен доступа) — учётные данные для совершения действий от имени Пользователя;
• Refresh token (токен обновления) — для автоматического продления срока действия токена доступа;
• Platform User ID — псевдоанонимизированный идентификатор Пользователя в рамках конкретного приложения сторонней социальной сети (не является глобальным публичным идентификатором);
• Username / handle — публичный идентификатор Пользователя в социальной сети;
• Display name — отображаемое имя;
• Срок действия токена (token expiry timestamp);
• App ID и App Secret Meta-приложения, через которое осуществлена авторизация (хранятся для последующих операций refresh и переавторизации).

Полный объём разрешений (scopes), запрашиваемых Сервисом, указан в момент авторизации и соответствует разрешениям, одобренным платформой в рамках Meta App Review.

3.4. Контент

• Драфты, опубликованные посты, цепочки ответов;
• Темы для генерации, передаваемые в качестве запроса в AI-модели;
• Промпты, формируемые Сервисом и направляемые в API Anthropic.

3.5. Аналитические данные публикаций

Сервис получает от API социальных сетей и хранит метрики постов, опубликованных самим Пользователем:

• Количество лайков, ответов, репостов, просмотров;
• Время публикации, идентификатор публикации в социальной сети.

Оператор не получает информацию о подписчиках, личных сообщениях или иных приватных данных Пользователя из социальных сетей.

3.6. Технические данные

• IP-адрес сессии;
• User-Agent браузера;
• Дата и время действий Пользователя;
• Журналы ошибок и неуспешных операций (без полного содержания токенов).

3.7. Данные об использовании AI

Для каждого вызова API искусственного интеллекта Оператор фиксирует:

• Идентификатор маршрута (route), использованную модель;
• Количество входных и выходных токенов;
• Расчётную стоимость вызова;
• Идентификатор связанного контента (если применимо).

3.8. Категории данных, которые Оператор НЕ собирает

• Данные специальных категорий (расовая или этническая принадлежность, политические взгляды, религиозные убеждения, биометрические данные, данные о здоровье, сексуальная ориентация);
• Данные несовершеннолетних младше 16 лет (см. раздел 12);
• Платёжные данные (обрабатываются непосредственно сторонними платёжными провайдерами; Оператор получает только статус операции).

4. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ

В соответствии со статьёй 6 GDPR и аналогичными нормами применимого законодательства, Оператор обрабатывает персональные данные на следующих правовых основаниях:

Согласие может быть отозвано Пользователем в любое время в соответствии с разделом 8 настоящей Политики. Отзыв согласия не влияет на правомерность обработки, осуществлённой до отзыва.

5. ЦЕЛИ ОБРАБОТКИ

Оператор обрабатывает персональные данные исключительно в следующих целях:

5.1. Предоставление функциональности Сервиса, включая:

• Регистрацию и аутентификацию Пользователя;
• Создание, редактирование и хранение Контента;
• Генерацию текстового Контента с использованием AI-моделей;
• Публикацию Контента в социальных сетях через OAuth-интеграции;
• Планирование и отложенную публикацию;
• Получение и отображение метрик опубликованного Контента.

5.2. Обеспечение технической работоспособности и безопасности:

• Обнаружение и предотвращение злоупотреблений (rate-limiting, защита от ботов);
• Аудит изменений учётных данных и токенов;
• Резервное копирование и восстановление данных.

5.3. Биллинг и финансовый учёт:

• Расчёт стоимости использования AI-моделей;
• Контроль лимитов тарифного плана.

5.4. Коммуникация с Пользователем:

• Транзакционные уведомления (новый драфт, успешная/неуспешная публикация, истечение токена);
• Уведомления о существенных изменениях в работе Сервиса или настоящей Политике;
• Ответы на обращения Пользователя.

5.5. Соблюдение требований применимого законодательства:

• Ответ на законные запросы государственных органов;
• Соблюдение налогового и иного законодательства.

Использование персональных данных в любых иных целях, не соответствующих заявленным выше, не допускается без получения отдельного согласия Пользователя.

6. ПОД-ОБРАБОТЧИКИ И ПЕРЕДАЧА ДАННЫХ ТРЕТЬИМ ЛИЦАМ

6.1. Оператор привлекает следующих под-обработчиков (подрядчиков) для обработки персональных данных от имени Оператора. Все под-обработчики связаны соответствующими договорами об обработке данных (Data Processing Agreement, DPA).

Актуальный список под-обработчиков Оператор обязуется поддерживать в актуальном состоянии в настоящем разделе Политики и уведомлять Пользователей о существенных изменениях за 30 (тридцать) дней до их вступления в силу способом, предусмотренным разделом 13.

6.2. Оператор не продаёт персональные данные третьим лицам в значении CCPA или иного применимого законодательства.

6.3. Оператор раскрывает персональные данные третьим лицам, не являющимся под-обработчиками, исключительно в следующих случаях:

• На основании законного запроса компетентных государственных органов;
• В рамках судебного разбирательства;
• В случае реорганизации, слияния или продажи бизнеса Оператора (с предварительным уведомлением Пользователей не менее чем за 30 дней);
• С предварительного явного согласия Пользователя.

7. ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА ДАННЫХ

7.1. Под-обработчики Оператора (Anthropic, Meta, Supabase, Vercel, Microsoft Azure, X Corp.) расположены преимущественно в США. В связи с этим персональные данные Пользователя могут передаваться за пределы юрисдикции Оператора в США и иные страны.

7.2. Трансграничная передача данных в страны, обеспечивающие адекватный уровень защиты, осуществляется на общих основаниях. Перечень таких стран определяется компетентным органом по защите персональных данных страны Пользователя.

7.3. Трансграничная передача в страны, не обеспечивающие адекватного уровня защиты, осуществляется на основании согласия Пользователя, выраженного в момент принятия настоящей Политики, а также договоров с под-обработчиками, содержащих обязательства по защите персональных данных, эквивалентные применимым требованиям законодательства.

7.4. По запросу Пользователя Оператор предоставляет копии действующих соглашений об обработке данных применительно к конкретному под-обработчику. Запрос направляется на адрес, указанный в п. 2.4.

8. ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

В соответствии со статьями 15–22 GDPR и аналогичными положениями применимого законодательства, Пользователь имеет следующие права:

8.1. Право на доступ (ст. 15 GDPR)

Получить подтверждение того, обрабатываются ли его персональные данные, и в случае положительного ответа — получить копию обрабатываемых данных.

8.2. Право на исправление (ст. 16 GDPR)

Требовать исправления неточных или неполных персональных данных. Большинство данных Пользователь может исправить самостоятельно через интерфейс Сервиса в разделе «Настройки».

8.3. Право на удаление («право быть забытым», ст. 17 GDPR)

Требовать удаления своих персональных данных в случаях, предусмотренных применимым законодательством. Удаление может быть инициировано через интерфейс Сервиса (раздел «Настройки → Удалить аккаунт») или направлением запроса на адрес, указанный в п. 2.4. Срок исполнения — не более 30 (тридцати) календарных дней с момента получения запроса.

Удалению не подлежат данные, обработка которых необходима для:

• Соблюдения юридических обязательств Оператора (например, налогового учёта — записи о биллинге хранятся в течение установленного законом срока);
• Установления, осуществления или защиты правовых требований.

8.4. Право на ограничение обработки (ст. 18 GDPR)

Требовать временного приостановления обработки своих данных в случаях, предусмотренных законом.

8.5. Право на переносимость данных (ст. 20 GDPR)

Получить свои персональные данные, предоставленные Оператору, в структурированном, общепринятом машиночитаемом формате (JSON) и передать их другому оператору. Запрос направляется на адрес, указанный в п. 2.4; срок исполнения — не более 30 (тридцати) календарных дней.

8.6. Право на возражение (ст. 21 GDPR)

Возражать против обработки персональных данных, основанной на законном интересе Оператора (п. 4.5–4.6 настоящей Политики), указав основания, связанные с конкретной ситуацией Пользователя.

8.7. Право не быть подвергнутым решению, основанному исключительно на автоматизированной обработке (ст. 22 GDPR)

Сервис не принимает в отношении Пользователя решений, имеющих юридические последствия или существенно влияющих на него, на основе исключительно автоматизированной обработки.

8.8. Право отозвать согласие (ст. 7(3) GDPR)

Если обработка основана на согласии (п. 4.3, 4.8) — Пользователь вправе отозвать его в любое время, в том числе:

• Отключив OAuth-интеграцию через настройки Сервиса или через настройки соответствующей социальной сети;
• Отписавшись от маркетинговых рассылок через ссылку в письме.

8.9. Право на обжалование

Пользователь, считающий, что обработка его персональных данных нарушает применимое законодательство, вправе подать жалобу в компетентный надзорный орган по защите данных:

• В ЕС — в надзорный орган государства-члена, в котором Пользователь имеет обычное место жительства, или государства-члена, в котором имело место предполагаемое нарушение;
• В Российской Федерации — в Роскомнадзор;
• В Великобритании — в Information Commissioner's Office (ICO);
• В США (Калифорния) — к Генеральному прокурору штата Калифорния.

8.10. Порядок реализации прав

Для реализации любого из перечисленных прав Пользователь направляет письменный запрос на адрес электронной почты, указанный в п. 2.4 настоящей Политики, со своего верифицированного email-адреса, привязанного к учётной записи. Оператор вправе запросить дополнительные сведения для подтверждения личности заявителя. Ответ на запрос предоставляется в срок не более 30 (тридцати) календарных дней с возможностью продления на 60 дней при особой сложности или большом количестве запросов с уведомлением Пользователя.

Услуги по реализации прав предоставляются бесплатно. Оператор оставляет за собой право взимать разумную плату либо отказать в исполнении запроса в случае его явной необоснованности или повторяющегося характера.

9. СРОКИ ХРАНЕНИЯ

Оператор хранит персональные данные не дольше, чем это необходимо для достижения целей обработки, указанных в разделе 5, либо в течение сроков, установленных применимым законодательством.

По истечении применимого срока данные удаляются либо обезличиваются (анонимизируются) таким образом, что Пользователь больше не может быть идентифицирован.

10. БЕЗОПАСНОСТЬ

10.1. Оператор применяет технические и организационные меры безопасности, соответствующие характеру обрабатываемых данных и текущему уровню развития технологий, включая:

• Шифрование данных при передаче (TLS 1.2 и выше);
• Хеширование паролей с использованием криптографически стойких алгоритмов (bcrypt);
• Принцип минимальных привилегий при доступе к данным (Row Level Security в Supabase);
• Ограниченный доступ сотрудников Оператора к продакшен-окружению (только лица с административной ролью «super-admin»);
• Журналирование действий с конфиденциальными данными;
• Регулярное обновление инфраструктуры и зависимостей для устранения уязвимостей;
• Резервное копирование с шифрованием.

10.2. Несмотря на принимаемые меры, Оператор не может гарантировать абсолютную защиту данных. В случае утечки данных, представляющей риск для прав и свобод Пользователей, Оператор обязуется:

• Уведомить компетентный надзорный орган в течение 72 часов с момента обнаружения утечки в соответствии со ст. 33 GDPR;
• Уведомить затронутых Пользователей без необоснованной задержки, если утечка представляет высокий риск для их прав и свобод (ст. 34 GDPR).

11. COOKIES И АНАЛОГИЧНЫЕ ТЕХНОЛОГИИ

11.1. Сервис использует ограниченный набор cookies, необходимых для его функционирования:

11.2. Все используемые cookies являются строго необходимыми (strictly necessary) и не требуют отдельного согласия в соответствии с ePrivacy Directive 2002/58/EC.

11.3. Сервис не использует аналитические cookies третьих сторон (Google Analytics, Facebook Pixel, Hotjar и т. п.), а также рекламные cookies.

12. ОБРАБОТКА ДАННЫХ НЕСОВЕРШЕННОЛЕТНИХ

12.1. Сервис не предназначен для использования лицами младше 16 лет (либо более старшего возраста, если это предусмотрено применимым национальным законодательством — например, 13 лет в США в соответствии с COPPA, 14 лет в ряде юрисдикций).

12.2. Оператор сознательно не собирает персональные данные несовершеннолетних. Регистрируясь в Сервисе, Пользователь подтверждает, что достиг возраста, дающего право на самостоятельное заключение договора в соответствии с применимым правом.

12.3. В случае обнаружения, что Оператором обрабатываются данные лица младше 16 лет без согласия его законного представителя, такие данные подлежат удалению в течение 7 (семи) дней с момента обнаружения. Сообщения о подозрении на регистрацию несовершеннолетнего могут быть направлены на адрес, указанный в п. 2.4.

13. ИЗМЕНЕНИЯ НАСТОЯЩЕЙ ПОЛИТИКИ

13.1. Оператор вправе вносить изменения в настоящую Политику. Существенные изменения, влияющие на права Пользователя или цели и способы обработки данных, вступают в силу не ранее чем через 30 (тридцать) календарных дней с момента уведомления Пользователя одним из следующих способов:

• Направление уведомления на адрес электронной почты, указанный при регистрации;
• Размещение баннера-уведомления в интерфейсе Сервиса при следующем входе Пользователя;
• Публикация изменений на странице Политики с явным указанием новой даты вступления в силу.

13.2. Несущественные изменения (исправление опечаток, реструктуризация без изменения смысла, обновление контактных данных) могут вступать в силу с момента публикации без отдельного уведомления.

13.3. Продолжение использования Сервиса после вступления изменений в силу означает согласие Пользователя с обновлённой редакцией Политики. В случае несогласия Пользователь вправе прекратить использование Сервиса и потребовать удаления своих данных в соответствии с разделом 8.

13.4. Все ранее действовавшие редакции Политики архивируются Оператором и предоставляются по запросу.

14. ПЛАТФОРМЕННЫЕ ТРЕБОВАНИЯ THREADS / META

14.1. Сервис интегрирован с Threads (продукт Meta Platforms, Inc.) посредством Threads API.

14.2. При использовании функциональности Threads через Сервис Пользователь дополнительно подчиняется:

• Условиям использования Threads Meta Platforms, Inc.;
• Политике конфиденциальности Meta;
• Meta Platform Terms для приложений-разработчиков.

14.3. Запрос на удаление данных через Threads. Пользователь может в любое время инициировать запрос на удаление данных, связанных с его учётной записью Threads, через настройки Threads → «Apps and websites» → «[Имя приложения]» → «Request Data Deletion». Оператор получает данный запрос через зарегистрированный Data Deletion Callback URL и обязуется удалить все связанные данные в срок не более 30 (тридцати) календарных дней с момента получения запроса, направив подтверждение Пользователю.

14.4. Отзыв авторизации (Deauthorization). При отзыве Пользователем разрешений приложения через настройки Threads Оператор получает уведомление через зарегистрированный Deauthorize Callback URL и незамедлительно:

• Помечает соответствующий OAuth-токен как недействительный;
• Прекращает все автоматические операции от имени Пользователя в данной социальной сети;
• Сохраняет историю опубликованного Контента и метрики до явного запроса на удаление.

15. ПРИМЕНИМОЕ ПРАВО И ПОДСУДНОСТЬ

15.1. К настоящей Политике применяется право Республики Казахстан, включая Закон Республики Казахстан от 21.05.2013 № 94-V «О персональных данных и их защите» и иные применимые нормативные правовые акты.

15.2. Сервис предназначен для пользователей рынка стран СНГ. К Пользователям, находящимся в государствах СНГ, применяются императивные нормы национального законодательства о персональных данных по месту жительства Пользователя в части, не противоречащей настоящей Политике.

15.3. Сервис не предлагается пользователям, находящимся в Европейской экономической зоне, Соединённых Штатах Америки, Соединённом Королевстве и иных юрисдикциях со специальными требованиями к трансграничной передаче данных. Если такие лица приобрели доступ к Сервису, они обязаны прекратить использование Сервиса и направить запрос на удаление данных в порядке, предусмотренном разделом 8.

15.4. Споры, возникающие из настоящей Политики, разрешаются в порядке, предусмотренном Пользовательским соглашением.

16. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

16.1. Если какое-либо положение настоящей Политики признаётся недействительным или неприменимым, остальные положения сохраняют свою силу.

16.2. Настоящая Политика составлена на русском языке. В случае предоставления переводов на иные языки русская версия имеет преимущественную силу в случае разночтений.

16.3. Все вопросы, предложения и претензии направляются на адрес электронной почты, указанный в п. 2.4 настоящей Политики.

Конец документа.

_Документ подготовлен в редакции от 19 мая 2026 года. Архивные версии доступны по запросу._