Политика конфиденциальности

1. Кто отвечает за обработку

UndercutAI управляет сайтом undercut.pro и является оператором персональных данных, описанных здесь. По любым вопросам и запросам о приватности пишите на [email protected].

2. Что мы НЕ храним

• Промпты, сообщения, системные инструкции, файлы и любое иное содержимое запроса.
• Ответы модели, вызовы инструментов и любое иное содержимое ответа.
• Историю переписки. У нас просто нет чат-логов, которые можно было бы передать, продать или потерять.
• Секрет вашего API-ключа. Хранятся только хэш и короткий префикс — поэтому ключ показывается один раз и не восстанавливается.
• Ваш пароль. Хранится только scrypt-хэш с индивидуальной солью.
• Номера карт. Данные карты вводятся на странице платёжного провайдера и никогда не попадают на наши серверы.

Содержимое запроса проходит через шлюз ровно столько, сколько нужно, чтобы передать его Провайдеру и вернуть вам ответ. Оно не записывается в нашу базу данных и не используется для обучения моделей.

3. Что мы храним

• Аккаунт — email, хэш пароля, идентификатор аккаунта, дату создания, реферальный код и, если вы регистрировались по ссылке, пригласивший аккаунт.
• Сессии — хэш токена сессии, её тип, отпечаток учётных данных и срок действия, чтобы сессии можно было отзывать и аннулировать при смене пароля.
• API-ключи — идентификатор, название, даты создания и отзыва, хэш ключа. Никогда сам секрет.
• Записи расхода — время, идентификатор модели, протокол, использованный ключ, количество токенов ввода, вывода, чтения и записи кэша, применённую ставку, версию тарифа и итоговую стоимость. Без содержимого.
• Журнал биллинга — пополнения, рекламные начисления, списания за использование, корректировки и ссылку платёжного провайдера на каждую транзакцию.
• Криптопополнения — адрес депозита, выведенный для вашего аккаунта, сеть, актив, сумму и ссылку на транзакцию по каждому пополнению.
• Настройки уведомлений — HTTPS-адрес вебхука для оповещений о низком балансе, если вы их включили.
• Защита от злоупотреблений — счётчики ограничения частоты запросов по хэшу, а не по читаемому IP-адресу, а также временные серверные логи для выявления злоупотреблений и диагностики сбоев.

4. Зачем мы это обрабатываем

• Для исполнения договора с вами: создать и защитить аккаунт, выпускать ключи, передавать запросы, тарифицировать использование и проводить платежи.
• В наших законных интересах: предотвращать мошенничество и злоупотребления, защищать Сервис и поддерживать его надёжность.
• Для соблюдения закона: бухгалтерские, налоговые и антифрод-обязанности в отношении платёжных записей.
• С вашего согласия, когда согласие является применимым основанием, например при включении вебхуков о низком балансе.

5. Кто получает данные

• Провайдеры AI-моделей — получают содержимое отправленного вами запроса, чтобы на него ответить. К этой обработке применяются их собственные условия конфиденциальности.
• Платёжный провайдер (Stripe) — получает данные, необходимые для проведения платежа картой, и возвращает статус платежа. Мы получаем только метаданные, но не данные карты.
• Почтовый провайдер (Resend) — получает ваш email для доставки писем подтверждения и входа.
• Узлы и обозреватели блокчейнов — опрашиваются на предмет публичных ончейн-данных при пополнении баланса криптовалютой.
• Государственные органы — только когда мы обязаны раскрыть данные по закону, и только в требуемом объёме.

Мы не продаём персональные данные и не передаём их рекламодателям или брокерам данных.

6. Cookie

Мы используем только строго необходимые cookie: сессионную cookie, которая держит вас в аккаунте, аналогичную cookie для административного раздела и cookie предпочтения, которая запоминает выбранный язык интерфейса. Рекламных, профилирующих и сторонних аналитических cookie на этом сайте нет, поэтому соглашаться не с чем, кроме работоспособности сайта.

7. Сроки хранения

• Данные аккаунта — пока существует аккаунт.
• Сессии — до истечения срока или выхода из аккаунта; просроченные сессии удаляются.
• Незавершённые регистрации и коды входа — минуты, а не дни; удаляются после использования или истечения.
• Записи расхода и биллинга — пока существует аккаунт, а затем столько, сколько требуют бухгалтерское и налоговое законодательство.
• Счётчики ограничения частоты — до сброса их короткого окна.

8. Ваши права

В зависимости от страны проживания вы можете запросить доступ, исправление, удаление, ограничение обработки или переносимость данных, а также возразить против обработки на основании законных интересов. Полную историю расходов вы в любой момент можете выгрузить самостоятельно в CSV из кабинета. Для реализации остальных прав напишите на [email protected]; мы отвечаем в течение 30 дней. Вы также вправе подать жалобу в надзорный орган по защите данных.

Удаление аккаунта стирает его запись и всё связанное с ней, кроме платёжных записей, которые мы обязаны хранить по закону.

9. Безопасность

Пароли хэшируются scrypt с индивидуальной солью. Токены сессий, подтверждения и входа хранятся только как HMAC-хэши со сроком действия и могут быть отозваны на сервере. Ссылки подтверждения и входа передают токен во фрагменте URL, поэтому он не попадает в access-логи HTTP и в заголовок Referer. Весь трафик к Сервису идёт по HTTPS. Абсолютно безопасных систем не бывает, поэтому храните API-ключи в секрете и отзывайте любой ключ при подозрении на утечку.

10. Трансграничная передача

Провайдеры моделей, платёжный и почтовый провайдеры могут обрабатывать данные за пределами вашей страны. В таких случаях мы полагаемся на предоставляемые ими механизмы защиты, например стандартные договорные условия.

11. Дети

Сервис не адресован детям и не предназначен для лиц младше 18 лет. Мы осознанно не собираем данные детей; если вы считаете, что аккаунт создал ребёнок, сообщите нам, и мы его удалим.

12. Изменения и контакты

Актуальная версия политики публикуется здесь с датой обновления, о существенных изменениях мы уведомляем зарегистрированные аккаунты по email. Вопросы: [email protected]. См. также наше Пользовательское соглашение.