Политика конфиденциальности

Какие персональные данные обрабатывает Nessie, зачем и что вы можете потребовать сделать с ними.

Эта страница — перевод, чтобы вы могли читать её на своём языке. Если она отличается от английской версии, действует английская версия.

Это черновик. В нём описано, что программа делает на самом деле сегодня, но юрист его не проверял, а Nessie ещё не запущен.

1. Собственный хостинг или Nessie Cloud — это важно понять в первую очередь

Nessie существует в двух вариантах, и с точки зрения конфиденциальности они совершенно разные. Прежде чем читать дальше, определите, о каком из них вы читаете.

• Собственный хостинг. Вы запускаете Nessie на собственной инфраструктуре. Ваша организация является контролёром всех данных в нём. У UnlikeOtherAI нет доступа к вашему экземпляру, мы ничего от него не получаем и не обрабатываем персональные данные от вашего имени. Эта политика описывает поведение программы, чтобы вы могли составить свою собственную; она не делает нас вашим обработчиком.
• Nessie Cloud. Его запускаем мы. В отношении персональных данных, которые ваша организация помещает в него, мы выступаем как обработчик и действуем по вашим указаниям; контролёром является ваша организация. В отношении небольшого объёма данных, которые мы обрабатываем сами, — администрирование учётных записей, выставление счетов, переписка с поддержкой, этот сайт — контролёром являемся мы. Остальная часть этой политики посвящена Nessie Cloud.

Одна оговорка про собственный хостинг. Nessie — это программа, которая обращается к другим службам, поэтому ваш экземпляр будет обращаться ко всему, к чему вы его настроите: к провайдеру моделей, почтовому провайдеру, поисковой службе или службе браузеров. Это ваши отношения, они не в нашем ведении и не охватываются этой политикой.

2. Кто мы

UnlikeOtherAI s.r.o., компания, зарегистрированная в Чешской Республике. По любым вопросам, связанным с этой страницей, пишите нам на hello@nessie.works.

Missing: the company registration number (IČO) and the registered office address.

Missing: whether a data protection officer has been appointed, and their contact details if so. Nobody is named as DPO today.

Missing: the effective date of this policy.

3. Какие персональные данные мы обрабатываем и откуда они берутся

Идентификационные данные, которые поступают из UnlikeOtherAI SSO

У Nessie Cloud нет ни паролей, ни формы регистрации. Вы входите через UnlikeOtherAI SSO — именно эта служба определяет, кто вы, к какой организации относитесь и в каких командах состоите. Nessie не создаёт учётные записи, не позволяет задать пароль и отклоняет запрос на смену фотографии профиля, потому что ваша фотография хранится в UnlikeOtherAI. Ваше имя, адрес электронной почты и профиль изменяются там.

Часть этих данных Nessie всё же хранит у себя, и мы предпочитаем сказать об этом прямо, а не утверждать обратное. В его базе данных хранится ваш постоянный идентификатор субъекта UnlikeOtherAI, а рядом с ним — кешированная копия вашего адреса электронной почты, отображаемого имени и URL фотографии, чтобы сотня строк чата могла показывать имя без сотни обращений за ним. Эта копия явно не является первоисточником: ничто не придумывает значения, ничто не записывает ваши изменения обратно в неё, и она заново синхронизируется с проверенными утверждениями поставщика идентификации при каждом вашем входе, смене команды или обновлении сессии. Актуальный список участников вашей организации читается из UnlikeOtherAI в момент показа через кратковременные кеши, которым никогда не позволяется решать, кто что может видеть. Полное удаление скопированных столбцов запланировано, но ещё не выполнено.

Мы также постоянно храним идентификаторы UnlikeOtherAI вашей организации и ваших команд, ваше членство и роль в них, а также зашифрованные учётные данные обновления UnlikeOtherAI и локальные записи сессий, чтобы вы могли оставаться в системе и чтобы при выходе можно было сразу отозвать все действующие токены.

Что вы и ваши коллеги помещаете в Nessie

Сообщения, ветки и личные сообщения; файлы и вложения; документы базы знаний; задачи, проекты и каналы; имена, роли и инструкции агентов; ваш статус и настройки. Любое из этого может содержать персональные данные о вас, ваших коллегах или третьих лицах, например ваших клиентах, — это целиком зависит от того, что пишет ваша организация.

Данные, с которыми агенты сталкиваются в работе

Этой части стоит уделить больше всего внимания, потому что агент достаёт дальше, чем приложение для чата.

• Подключённые почтовые ящики. Если кто-то подключает почтовый ящик — свой или общий адрес команды, — агент может читать письма и отвечать с него от имени этого человека. Письма из подключённой учётной записи читаются в реальном времени у вашего провайдера: Nessie хранит учётные данные и запись аудита, не импортирует сообщения и не оставляет копий переписки после отключения. Исключение — ящик, который вы подключаете ко входящим раздела «Клиенты», например sales@ или support@: этим вы просите хранить переписку в карточке каждого клиента, поэтому Nessie копирует сообщения этого ящика к себе вместе с ограниченным объёмом более ранней истории. В любом случае, пока агент работает с письмом, содержимое этого письма находится в Nessie и отправляется модели. Это затрагивает всех, кто пишет на этот ящик, а они на это не соглашались.
• Почтовые ящики агентов на нашем хостинге. Вместо этого развёртывание может выдать агенту собственный адрес. Письма на этот адрес хранятся в Nessie: сообщение разбирается, вложения сохраняются, а необработанный оригинал удаляется из входящего хранилища через настраиваемый срок (30 дней, если оператор не изменит его).
• Интернет и браузеры. Агенты могут загружать страницы, выполнять поисковые запросы и управлять настоящей сессией браузера. Человек может предоставить агенту закрытый браузер, ограниченный указанными сайтами, не более чем на пятнадцать минут. Nessie также хранит небольшой снимок экрана каждой вкладки, на которой остался браузер агента, чтобы продукт мог её показать, — а значит, эти изображения могут содержать содержимое страницы, на которую выполнен вход.
• Подключённые инструменты. MCP-серверы, календари и другие интеграции, которые вы подключаете, возвращают данные в контекст агента, и эти данные вместе со всем остальным уходят модели.

Записи, которые Nessie ведёт о происходящем

• Журнал аудита. Каждое действие плоскости управления записывается с указанием того, кто его выполнил (человек, агент или служба), что именно сделано, с чем, удалось ли оно или было отклонено и почему, идентификатора запроса и, когда они доступны, IP-адреса и user-agent браузера. Журнал только дополняется и связан в хеш-цепочку для каждой организации, поэтому подделку можно обнаружить. Секреты, учётные данные и полные тела запросов намеренно в него не попадают.
• Журнал стоимости токенов. Каждый вызов модели записывается с указанием провайдера, модели, числа токенов и ориентировочной стоимости и относится к организации, команде, проекту, каналу, агенту и человеку.
• Учёт хранилища, чтобы объём хранилища, используемый каждой организацией и каждым человеком, всегда был известен.
• Записи о сессиях и устройствах: хешированные токены сессий и обновления, срок действия, тип клиента и user-agent, а если вы пользуетесь мобильными или настольными приложениями — push-токен.
• Диагностика сбоев. Размещённое приложение сообщает о необработанных ошибках JavaScript, указывая стандартный класс ошибки и координаты в файле сборки. Оно не отправляет текст ошибки, содержимое стека, URL страницы, содержимое бесед и идентификаторы пользователей или организаций Nessie. Выпуски для iOS и Android также используют нативные отчёты о сбоях, которые собирают трассировки сбоев и метаданные об устройстве и установке.

Данные, получаемые из вашего контента

Чтобы агенты могли вспоминать прежнее и чтобы работал поиск, Nessie превращает текст в числовые векторы (эмбеддинги) и хранит их в своей базе данных. Это относится к памяти агентов, содержимому базы знаний и самим вашим поисковым запросам. Чтобы получить вектор, текст отправляется провайдеру эмбеддингов. Если провайдер эмбеддингов не настроен, запоминание и поиск переходят на обычное сопоставление по ключевым словам.

Этот сайт

О файлах cookie с настройками, аналитике и локальном определении страны для заголовка главной страницы см. раздел 9.

4. Зачем мы это обрабатываем и на каком правовом основании

Если контролёром является ваша организация, правовое основание для помещения в Nessie данных конкретного человека, например электронной почты клиента, должна устанавливать ваша организация, а не мы.

Мы не продаём персональные данные и не используем ваш контент для показа вам рекламы.

5. Кто ещё это видит

Провайдеры моделей — самое важное

Когда работает агент, содержимое беседы уходит языковой модели. Это значит, что сообщения, нужные файлы, письмо, с которым он работает, и результаты вызванных им инструментов покидают Nessie и попадают к провайдеру моделей, настроенному в вашем развёртывании. Запустить агента без этого нельзя.

Какой это провайдер, зависит от настройки. Nessie может работать с небольшим фиксированным набором провайдеров, названных в его коде, или с любой совместимым с OpenAI эндпоинтом, которую укажет оператор, а отдельные люди могут подключить собственные ИИ-подписки, чтобы их агенты работали на уже оплаченной учётной записи. В Nessie Cloud вызовы проходят через шлюз, которым управляет UnlikeOtherAI; он передаёт их вышестоящему провайдеру вместе с подписанными сведениями об организации, команде, человеке, агенте и запуске, откуда пришёл вызов. Веб-поиск и глубокие исследования идут через тот же шлюз.

Nessie Cloud использует нескольких провайдеров инференса — для чата и для встраиваний — и выбирает между ними по стоимости и качеству. Некоторые из них находятся за пределами ЕС. Организация сможет выбрать в Admin, каких провайдеров могут использовать её агенты: только западных, только европейских, только китайских или без предпочтений — тогда Nessie выбирает самого эффективного провайдера для каждой задачи.

Missing, and required before launch: the providers in each group, whether any of them may use traffic for training, and the date the regional choice is available in Admin.

Другие стороны, на которые мы опираемся

• Хостинг — европейские хостинг-провайдеры, такие как Scaleway и Hetzner, выбранные для каждого сервиса отдельно. См. раздел 6.
• Идентификация — UnlikeOtherAI SSO, где хранятся ваша учётная запись, профиль и членство в организации.
• Платежи — вашей подпиской и выпиской занимается UnlikeOtherAI, а платежи картой обрабатывает Stripe. Сам Nessie не хранит ни данные карт, ни подписку, ни счета.
• Службы, нужные для отдельной функции. Почтовые ящики агентов на нашем хостинге отправляют и принимают письма через Amazon SES. Телефонные номера агентов, звонки и текстовые сообщения работают через Twilio. Сообщения и комментарии Facebook и Instagram приходят через официальный API Meta. Сессии облачного браузера работают на Browserbase. Голосовые звонки вашему помощнику в приложении открывают прямое аудиосоединение между вашим устройством и Google; надиктованные сообщения расшифровывает Google Speech-to-Text через наш шлюз. Память агентов хранится в remember.ninja — сервисе памяти, которым мы управляем сами. Ссылки на встречи создаются у провайдера, которого выбрала ваша организация, — Google Meet, Jitsi или Microsoft Teams. Мобильные уведомления идут через push-службы Apple и Google и несут внутреннюю ссылку, а не содержимое сообщения.
• Отчёты о сбоях. Очищенные ошибки JavaScript размещённого приложения отправляются в европейский регион данных Sentry. Нативные отчёты о сбоях iOS и Android отправляются в Google Firebase Crashlytics. Эти провайдеры могут обрабатывать сетевые метаданные и метаданные устройства, необходимые для доставки и группировки отчётов. Мы намеренно не добавляем в эти отчёты содержимое бесед Nessie.
• Измерение использования. Приложения Nessie считают по дням, какие разделы открываются и удаются ли несколько действий, без какого-либо содержимого; страна определяется по соединению и не сохраняется, а дневные итоги отправляются в Google Analytics. Это можно отключить в разделе «Ваши настройки» → «Профиль» → «Помогите улучшить Nessie». Чтобы при первом посещении выбрать ваш язык, приложение спрашивает у GeoJS страну вашего соединения.
• Всё, что вы подключаете сами — ваш почтовый провайдер, ваши MCP-серверы, ваши собственные ИИ-аккаунты и сервисы вроде HubSpot, Mailchimp, LinkedIn или Xero. Это ваши отношения, и действуют политики ваших провайдеров.

Missing: a proper sub-processor list — every processor by legal name, what it does, where it processes data, and a way to be told before we add one. The list above is based on the current implementation, not a maintained register.

Мы также раскрываем персональные данные, когда этого требует закон, и профессиональным консультантам, которые обязаны хранить конфиденциальность.

6. Где находятся ваши данные и передача за пределы ЕС

Nessie Cloud работает у европейских хостинг-провайдеров — Scaleway, Hetzner и других. Мы выбираем лучший сервис каждого из них, поэтому разные части продукта могут работать у разных провайдеров, но все они находятся в Европе.

В одном важном случае ваш контент не остаётся в этих границах: когда работает агент, запрос уходит провайдеру моделей, и тот может обрабатывать его за пределами ЕС. То же самое относится к поиску, сессиям браузера, голосовым звонкам и всему, что вы подключаете сами. Собственный хостинг ставит хранилище под ваш контроль, но сам по себе этого не меняет: вызов модели всё равно покидает ваш периметр.

Missing: the transfer mechanism relied on for each non-EU processor — standard contractual clauses, an adequacy decision, or something else — and the transfer impact assessment behind it.

7. Как долго мы это храним

Откровенно: в Nessie нет автоматического графика хранения или удаления. Контент остаётся, пока кто-нибудь его не удалит. Журнал аудита намеренно только дополняется и сегодня не удаляется вообще, потому что смысл журнала, защищённого от подделки, в том, что записи не могут незаметно исчезнуть. В продукте нет самостоятельной выгрузки данных и самостоятельного удаления организации; когда вы просите нас выгрузить или стереть данные, мы делаем это вручную.

Исключения, на которые мы можем указать в коде:

• Необработанные входящие письма для почтовых ящиков агентов на нашем хостинге удаляются из хранилища через настраиваемый срок, по умолчанию 30 дней, после того как сообщение импортировано.
• Временное разрешение на закрытый браузер истекает не позднее чем через пятнадцать минут.
• Кеши идентификации хранятся только в памяти и истекают через секунды или минуты; они никогда не служат постоянным хранилищем.
• По сообщению Firebase, Crashlytics хранит трассировки сбоев и связанные идентификаторы установки 90 дней, после чего начинает их удаление. Срок хранения событий в Sentry определяется тарифом, настроенным для нашей европейской организации.
• При отключении подключённого почтового ящика копий переписки не остаётся, потому что их никто не хранил. Письма из ящика, подключённого ко входящим раздела «Клиенты», остаются историей бесед, пока их не удалят.

Missing: actual retention periods for content, audit entries, ledger entries, session records and backups, and a period after an account or organisation closes. We will not publish numbers the software does not enforce.

8. Как это защищено

Конкретно и только то, что есть в коде:

• Секреты никогда не лежат в базе данных открытым текстом. Секреты клиентов попадают в отдельное хранилище; если хранилище не настроено, Nessie отказывается сохранять секрет, а не переходит на открытый текст. Учётные данные личных ИИ-подписок попадают во второе, отдельное хранилище, поэтому идентификатор, ограниченный одним из них, не может прочитать другое. Учётные данные обновления, токены коннекторов и push-ключи хранятся в виде конвертов AES-256-GCM под версионируемым набором ключей, который можно менять.
• Секретные материалы держатся вдали от моделей. Агент может знать, что секрет существует, и иметь право им пользоваться, но само значение не должно попадать ни в промпт, ни в аргумент инструмента, ни в результат инструмента, ни в память, эмбеддинги, журналы или уведомления. Агенту нельзя выдать разрешение раскрыть секрет.
• Сканер отклоняет сообщения с учётными данными и в редакторе, и ещё раз на сервере, а также может задним числом убрать уже опубликованные учётные данные, в том числе из памяти агента, полученной из этого сообщения.
• Журнал аудита защищён от подделки: он связан цепочкой SHA-256 для каждой организации, и его можно проверить впоследствии.
• Агенты видят только то, что им дали, а то, что агент прочитал, ограничивает круг тех, кто может прочитать его ответ, поэтому материал из закрытого источника нельзя «отмыть» в публичной комнате.
• Исходящие запросы привязаны к IP-адресу и перепроверяются при каждом перенаправлении, поэтому адрес, заданный моделью или пользователем, нельзя перенаправить на внутреннюю инфраструктуру.
• Метаданные о местоположении удаляются из загруженных фотографий (EXIF и GPS) в единственном месте, где сохраняются файлы, если организация не отключит это.
• Всё шифруется при передаче, а доступ ограничен ролями на уровне организации, команды и проекта.

Совершенной безопасности не бывает. Если вы обнаружите проблему, сообщите нам по адресу hello@nessie.works.

Missing: whether backups are encrypted and where they are held, and our breach notification commitment — how quickly we tell a customer after we become aware of a personal data breach.

9. Файлы cookie и этот сайт

Чтобы выбрать заголовок главной страницы, наш сервер сверяет страну, соответствующую IP-адресу вашего соединения, с локальной базой данных. IP-адрес не отправляется во внешнюю службу геолокации. Результат определения не сохраняется в вашем браузере. Этот продукт включает данные GeoLite2, созданные MaxMind и доступные на сайте MaxMind по лицензии CC BY-SA 4.0.

Вот всё, что используется:

• Ваш выбор по cookie хранится в собственном файле cookie с именем nessie-cookie-consent, который устанавливается на год для nessie.works и его поддоменов, чтобы достаточно было ответить один раз. Он содержит одно значение — разрешили ли вы аналитику — и никакого идентификатора. Копия хранится и в локальном хранилище вашего браузера на случай, если cookie заблокированы. Ни один сервер не читает ни то, ни другое.
• Файл cookie с настройками, nessie-device-colour, запоминает, какой цвет компьютера вы выбрали на главной странице. Он собственный, действует год и содержит название цвета.
• Аналитика выключена, пока вы её не включите. Панель предлагает выбор, мы запоминаем ваш ответ, а отказ вам ничего не стоит. Наш инструмент аналитики — Google Analytics, и на этом сайте он запускается только после того, как вы его разрешите.

Без вашего разрешения не работают ни скрипт отслеживания, ни рекламный пиксель, ни сторонняя метка любого рода. Вы можете снова открыть панель и передумать по ссылке на cookie внизу страницы. Данные об использовании, которые отправляют приложения Nessie, описаны в разделе 5.

Missing: what Google Analytics stores for this website and for how long.

При входе в продукт устанавливаются файлы cookie и сохраняются токены, которые строго необходимы, чтобы вы оставались в системе. Они не являются необязательными и не используются для отслеживания.

10. Ваши права

Если к вам применяется GDPR, вы можете потребовать от нас:

• сообщить вам, какие ваши персональные данные у нас есть, и предоставить копию;
• исправить всё неверное;
• удалить данные;
• ограничить их использование или возразить против него, в том числе против всего, что мы делаем на основании законных интересов;
• перенести их в другую службу в машиночитаемом виде;
• отозвать согласие, когда мы опирались на него, — для нас это означает аналитические файлы cookie.

Пишите на hello@nessie.works. Мы ответим в течение одного месяца.

Две честные оговорки. Во-первых, если ваша организация использует Nessie Cloud, контролёром того, что в нём находится, является ваша организация, поэтому по вашим сообщениям и файлам мы, как правило, передадим ваш запрос ей и будем действовать по её указанию. Если обратиться к ней напрямую, ответ придёт быстрее. Во-вторых, сама ваша учётная запись находится в UnlikeOtherAI SSO, поэтому запрос о вашем имени, адресе электронной почты или профиле на самом деле адресован этой службе; мы укажем вам, куда обратиться.

Nessie не принимает в отношении вас автоматизированных решений, которые имели бы юридические или сходные существенные последствия. Агенты готовят черновики, предложения и действия; что агент может делать без одобрения человека, определяет настройка, которой управляет ваша организация.

Вы также можете подать жалобу в надзорный орган по защите данных — в Чешской Республике это Управление по защите персональных данных, либо орган страны ЕС, где вы живёте или работаете. Мы предпочли бы, чтобы вы сначала обратились к нам.

11. Дети

Nessie — это инструмент для организаций, он не предназначен для детей. Мы сознательно не обрабатываем через него персональные данные лиц младше 16 лет и не адресуем детям ни одну его часть. Если вы считаете, что данные ребёнка попали в Nessie Cloud, сообщите нам, и мы их удалим.

12. Изменения этой политики

Мы будем обновлять эту страницу по мере изменения продукта, а он будет меняться, потому что в нескольких разделах выше прямо сказано, что чего-то не хватает. Когда изменение существенно затрагивает вас, мы скажем об этом, а не будем тихо править страницу, и обновлённая версия будет содержать дату.

Missing: how we notify customers of a material change, and whether earlier versions of this policy will stay available.

13. Контакты

hello@nessie.works — по вопросам конфиденциальности, запросам о правах и по любым другим вопросам, связанным с этой страницей.

Missing: an EU representative under Article 27, if one is required and appointed. None is appointed today.