Политика хранения данных

Сервис: Lexaris (lexaris.ru)
Telegram-бот: @anondocbot
Версия: 1.0
Связанный документ: Политика уничтожения данных и очистки сессий (data_destruction_policy.md)

Настоящий документ генерируется динамически на основании настроек, установленных
Оператором в Панели управления Платформы. Значения, выделенные курсивом, являются текущими
настройками и могут быть изменены Оператором в пределах, установленных законодательством.

---

1. Введение

1.1. Назначение и сфера применения

Настоящая Политика хранения данных (далее — «Политика») устанавливает сроки, основания и
порядок хранения всех категорий данных, обрабатываемых платформой Lexaris (далее —
«Платформа», «Сервис»). Политика разработана в соответствии с принципом минимального
хранения данных, закреплённым в статье 5 части 4 Федерального закона от 27.07.2006 № 152-ФЗ
«О персональных данных».

1.2. Правовые основания

Политика разработана в соответствии со следующими нормативными правовыми актами:

1.3. Принципы

Платформа придерживается следующих принципов при определении сроков хранения:

1. Минимальность: данные хранятся не дольше, чем необходимо для цели их обработки;
2. Дифференцированность: для каждой категории данных установлен обоснованный срок,
   соответствующий целям обработки и требованиям законодательства;
3. Определённость: сроки хранения заранее известны Пользователям и зафиксированы
   в настоящей Политике;
4. Автоматизация: плановое уничтожение данных осуществляется автоматически, без
   участия сотрудников;
5. Проверяемость: Пользователь вправе запросить подтверждение уничтожения данных.

---

2. Категории данных и сроки хранения

2.1. Данные обработки документов (сессионные данные)

Сессионные данные — это данные, непосредственно связанные с анонимизацией загружаемых
документов. Данная категория является наиболее чувствительной.

2.1.1. Исходные документы Пользователя

2.1.2. Анонимизированные документы (результаты обработки)

2.1.3. Таблица маппинга токенов

Таблица маппинга является данными наивысшей степени чувствительности: она содержит
прямые соответствия между токенами-заместителями и исходными значениями персональных данных,
что позволяет полностью деанонимизировать документ.

2.1.4. Временные файлы обработки

Задача TempFileCleanupTask (Celery Beat) выполняется каждые 10 минут и удаляет файлы,
превысившие установленный лимит.

2.1.5. Особый режим: документы, содержащие переписку или специальные категории ПДн

Если Пользователь использует функцию маркировки документа как содержащего переписку или
специальные категории персональных данных (или если система автоматически определяет
соответствующие признаки), к сессии применяется усиленный режим уничтожения:

Пользователь также вправе в любой момент вручную инициировать немедленное уничтожение
данных сессии через интерфейс или API (DELETE /api/sessions/{session_id}).

---

2.2. Данные учётной записи Пользователя

---

2.3. Данные подписок и платёжные данные

---

2.4. Журналы событий и аудита

Все журналы содержат исключительно метаданные операций (идентификаторы, временные метки,
действия, статусы). Содержание документов, персональные данные из документов, значения
токен-маппингов в журналы никогда не записываются.

---

2.5. Данные Telegram-бота

Особое замечание по Telegram. При использовании бота @anondocbot передача данных
осуществляется через инфраструктуру Telegram Messenger Inc., серверы которой могут располагаться
за пределами Российской Федерации. После доставки сообщения в систему Оператора дальнейшая
обработка осуществляется исключительно на серверах в РФ. Сроки хранения данных на стороне
Telegram регулируются Политикой конфиденциальности Telegram.

---

2.6. Данные согласий Пользователей

---

2.7. Обращения в службу поддержки

---

3. Автоматизированная очистка

3.1. Задачи Celery Beat

3.2. Автоматические защитные механизмы

• Защита активных сессий: задача очистки никогда не удаляет сессии в статусах активной
  обработки (queued, parsing, spacy_ner, ollama_verify, anonymizing);
• Crypto erasure Redis: DEK-ключи шифрования хранятся в Redis с TTL; по истечении TTL
  Redis автоматически удаляет ключ (eviction policy volatile-ttl);
• Транзакционная безопасность: все операции удаления в БД выполняются в транзакции с
  откатом при ошибке;
• Защита от traversal: все пути к файлам проверяются перед удалением (resolve() +
  проверка префикса).

---

4. Уничтожение данных по запросу пользователя

4.1. Досрочное уничтожение сессии

Пользователь вправе в любое время инициировать немедленное уничтожение данных текущей
сессии:

• в веб-интерфейсе: кнопка «Уничтожить данные» в карточке задания;
• через API: DELETE /api/sessions/{session_id};
• в Telegram-боте: команда /destroy.

Уничтожение является немедленным и необратимым. После него деанонимизация невозможна.

4.2. Удаление учётной записи

При удалении учётной записи:

1. Все активные сессии немедленно уничтожаются (DEK + файлы);
2. Учётные данные удаляются из основной БД;
3. Данные помечаются для физического удаления через 30 дней;
4. Журналы аудита и записи согласий сохраняются в псевдонимизированном виде в течение
   установленных сроков;
5. На email направляется подтверждение удаления.

4.3. Реализация права на удаление данных (ст. 21 ФЗ-152)

Запросы на удаление персональных данных направляются:

• через личный кабинет (раздел «Настройки» → «Удалить аккаунт»);
• по адресу admin@lexaris.ru с темой «Удаление персональных данных».

Срок рассмотрения запроса: 30 календарных дней. Оператор вправе запросить подтверждение
личности заявителя.

---

5. Исключения из стандартных сроков

5.1. Продление по требованию закона

Сроки хранения данных могут быть продлены сверх стандартных в следующих случаях:

• Судебный запрос или следственные действия: данные сохраняются до разрешения
  дела и вступления в силу решения + 3 года;
• Выявленный инцидент безопасности: данные, относящиеся к инциденту, хранятся
  до завершения расследования и урегулирования всех претензий;
• Активный спор с Пользователем: данные, связанные со спором, хранятся до его
  разрешения + 3 года.

При продлении срока хранения Оператор уведомляет Пользователя о продлении и его основании
в течение 30 дней с момента принятия соответствующего решения.

5.2. Сокращение сроков хранения

Пользователь вправе запросить досрочное уничтожение любых данных, за исключением:

• данных, хранение которых предусмотрено императивными нормами законодательства
  (финансовые, налоговые, бухгалтерские документы);
• журналов согласий (хранятся 6 лет согласно ФЗ-152);
• данных, в отношении которых имеется действующий судебный запрет на уничтожение.

---

6. Технические меры по соблюдению сроков хранения

6.1. Управление временем жизни (TTL)

Все ключи Redis, содержащие сессионные данные, создаются с явно заданным TTL, соответствующим
тарифному плану Пользователя. Алгоритм установки TTL верифицируется при каждом обновлении
кода и при каждом развёртывании.

6.2. Мониторинг соответствия

6.3. Подтверждение уничтожения

Пользователь вправе запросить подтверждение факта уничтожения данных конкретной сессии:

• через API: GET /api/sessions/{session_id}/destruction-status;
• через личный кабинет: раздел «История заданий» → «Статус уничтожения».

Ответ содержит временную метку уничтожения DEK, временную метку физического удаления файлов
и статус записи в журнале уничтожения.

---

7. Изменение политики

7.1. Настоящая Политика пересматривается не реже одного раза в год, а также при изменении
законодательства, архитектуры Платформы или перечня обрабатываемых данных.

7.2. Об изменениях, существенно влияющих на права Пользователей, Оператор уведомляет не
менее чем за 30 дней.

7.3. Актуальная версия Политики всегда доступна по адресу lexaris.ru/data-retention.

---

Таблица настраиваемых параметров

Следующие параметры настраиваются Оператором в Панели управления Платформы.

---

Документ: data_retention_policy.md
Версия: 1.0 — 2026-03-28
ИП Кудрявцев Степан Александрович | lexaris.ru
По вопросам: admin@lexaris.ru