Политика конфиденциальности

1. Оператор и контактное лицо

По вопросам персональных данных, связанным с Сайтом на русском языке, опубликованный контакт — behecon.spbu@spbu.ru. Русскоязычный Сайт представляет Лабораторию современных финансовых технологий в связи с Санкт-Петербургским государственным университетом (СПбГУ). Для англоязычного Сайта опубликованный контакт — legal@ftlab.space; англоязычная версия представляет FinTechLab как независимую исследовательскую лабораторию. Если локальные акты Университета или императивные нормы права требуют иного обозначения оператора, они имеют приоритет. Почтовый адрес оператора, ИНН/ОГРН и ФИО отдельного ответственного за организацию обработки персональных данных в исходном коде Сайта не опубликованы; обращения по правам субъектов направляются на указанные адреса электронной почты.

2. Сфера действия и применимое право

Политика распространяется на публичный Сайт, включая контактную форму партнёрства и интерактивную образовательную антифрод-симуляцию. Она не регулирует офлайн-исследования, отдельные информационные системы Университета, платформы партнёров, LinkedIn и иные сторонние сайты по ссылкам с Сайта. К русскоязычному Сайту и переписке с почтовыми ящиками СПбГУ применимо законодательство Российской Федерации о персональных данных (включая Федеральный закон № 152-ФЗ). Общий регламент по защите данных ЕС (GDPR) и UK GDPR могут применяться при обработке персональных данных лиц, находящихся в ЕЭЗ или Великобритании, которые используют контактную форму или иным образом связываются с нами через Сайт. При одновременном применении нескольких режимов соблюдаются обязательные требования, относящиеся к соответствующей обработке.

3. Категории персональных данных

Сайт не требует учётных записей и не содержит прикладной базы данных профилей посетителей. В зависимости от способа взаимодействия могут обрабатываться следующие категории:

• Данные контактной формы, которые вы отправляете: имя, организация, адрес электронной почты, тип запроса, текст сообщения, язык интерфейса и техническая метка источника (например, «website»).
• Переписка, направленная на опубликованные адреса лаборатории (behecon.spbu@spbu.ru или legal@ftlab.space), включая персональные данные, добровольно включённые в сообщение.
• Технические данные, которые инфраструктура хостинга или сети может обрабатывать при выдаче страниц и API (например, IP-адрес, дата/время, запрошенный URL, user-agent). Приложение Сайта само по себе не создаёт идентификаторы аналитики, рекламные cookie и базу посетителей.
• Данные, которые приложение Сайта не собирает: платёжные данные, банковские учётные данные, одноразовые коды, PIN, пароли аккаунтов, точная геолокация для трекинга, биометрия, маркетинговые профили.

4. Цели обработки

Персональные данные обрабатываются только для целей, реально существующих в работе Сайта:

• Приём и ответ на партнёрские или исследовательские обращения через контактную форму или электронную почту.
• Маршрутизация обращения в почтовый ящик лаборатории, соответствующий языковой версии, и — при настройке оператором — доставка через email API или webhook.
• Эксплуатация, обеспечение безопасности и устранение неисправностей Сайта и API контактов (включая отсев автоматизированного спама через honeypot-поле, которое при заполнении не используется для переписки).
• Исполнение обязательных требований закона и ответы на законные запросы уполномоченных органов.

5. Правовые основания

При применимости GDPR / UK GDPR обработка обращений основывается на ст. 6(1)(b) (действия по запросу субъекта до заключения договора или начала сотрудничества) и/или ст. 6(1)(f) (законные интересы в ответе на исследовательские и партнёрские обращения и в безопасной работе публичного исследовательского сайта). Техническая обработка хостингом, необходимая для выдачи Сайта, опирается на ст. 6(1)(f). При применимости российского права обработка осуществляется для ответа на ваше обращение и для законной исследовательской и институциональной коммуникации лаборатории; если для конкретного действия требуется согласие, оно будет получено до начала такой обработки. Сайт в текущей конфигурации не ведёт рекламный или аналитический трекинг на основе согласия.

6. Контактная форма — сбор и путь передачи

Единственная интерактивная форма, собирающая персональные данные, — форма партнёрского запроса (на страницах исследования Agentic AI). Она отправляется по HTTPS методом POST на конечную точку Сайта /api/contact в формате JSON (или как form-encoded данные, если JavaScript недоступен). Содержимое не помещается в URL, строку запроса истории браузера или параметры аналитики. При успешной доставке приложение не сохраняет обращение в прикладной базе данных. Доставка использует первый доступный настроенный канал: (1) webhook URL оператора (CONTACT_WEBHOOK_URL) либо (2) email API Resend (api.resend.com) при наличии RESEND_API_KEY — письмо направляется в ящик языковой версии (behecon.spbu@spbu.ru для русского; legal@ftlab.space для английского) с reply-to на ваш адрес. Если ни один канал в production не настроен, API сообщает о недоступности доставки и сообщение не сохраняется. Только в локальной разработке возможен ограниченный вывод в консоль сервера. Отдельно ссылки mailto открывают ваш почтовый клиент; этот путь контролируете вы и ваш провайдер почты, а не API контактов.

7. Интерактивная симуляция

Образовательная антифрод-симуляция не запрашивает персональные данные, банковские реквизиты, учётные данные, одноразовые коды, PIN или платёжную информацию. Выборы, тайминги, клики, результаты и состояние эксперимента хранятся только в памяти браузера в рамках активной сессии. Они не сохраняются, не журналируются и не передаются на наши серверы и удаляются при обновлении или закрытии страницы.

8. Файлы cookie и аналогичные технологии

Приложение Сайта не устанавливает рекламные cookie, маркетинговые трекеры и cookie аналитики. Выбор языка определяется путём URL и хостом, а не first-party cookie предпочтений в коде приложения. Браузер и среда хостинга могут применять необходимые технические механизмы для обычной выдачи и безопасности сайта. Поскольку нефункциональные tracking-cookie не развёрнуты, баннер согласия на cookie для текущей конфигурации не требуется. Аудированный перечень и инструкция по управлению предпочтениями опубликованы в Политике cookie.

9. Аналитика

По состоянию на дату вступления Политики в силу в зависимостях и страницах Сайта нет сторонних пакетов аналитики (например, Google Analytics, Яндекс Метрика, Plausible и аналогичных). При последующем внедрении аналитики Политика будет обновлена до начала такой обработки.

10. Хранение и сроки

В кодовой базе Сайта нет прикладной базы данных (нет таблиц посетителей, CRM или архива форм). Успешно доставленные обращения далее существуют в принимающем почтовом ящике и/или в системах настроенного канала доставки (назначение webhook или Resend) — в соответствии с настройками этих систем и практикой работы с почтой лаборатории. Переписка хранится столько, сколько разумно необходимо для ответа, последующей работы по обращению и исполнения обязательных требований к документообороту; приложение не реализует автоматическое расписание удаления. Состояние симуляции нами не сохраняется. Технические журналы хостинга, если ведутся провайдером инфраструктуры, подчиняются срокам этого провайдера.

11. Получатели и обработчики

Мы не продаём персональные данные. Получателями могут быть:

• Сотрудники лаборатории, имеющие доступ к почтовому ящику переписки соответствующей языковой версии.
• Resend (email API api.resend.com) — только если в среде развёртывания задан RESEND_API_KEY.
• Оператор конечной точки webhook, заданной через CONTACT_WEBHOOK_URL, — только если переменная установлена.
• Провайдер хостинга и сетевой инфраструктуры, используемый для выдачи Сайта (в документации развёртывания рассматривается, в частности, Vercel; фактически — тот провайдер, на котором размещён действующий деплой).
• Уполномоченные органы — если раскрытие требуется законом, судебным актом или обязательным запросом.
• Внешние сайты, которые вы открываете самостоятельно (например, LinkedIn). Эти сервисы обрабатывают данные по своим правилам; наличие ссылки не делает нас оператором их обработки.

12. Трансграничная передача

В зависимости от места хостинга и от того, используются ли Resend или webhook за пределами вашей страны, персональные данные обращения могут обрабатываться в иных юрисдикциях, в том числе за пределами Российской Федерации и/или за пределами ЕЭЗ/Великобритании. Если GDPR / UK GDPR требует механизма передачи, мы опираемся на гарантии, доступные у соответствующего провайдера (например, решение об адекватности или стандартные договорные условия, реализованные провайдером), а также на организационные меры, соответствующие характеру исследовательского сайта. При применимости российских норм о трансграничной передаче передачи осуществляются в соответствии с этим правом и обязательными требованиями Университета.

13. Ваши права

В соответствии с применимым правом вы можете запросить доступ к предоставленным персональным данным, их уточнение или удаление, ограничение обработки или возражение против отдельных видов обработки, а при применимости GDPR / UK GDPR — также переносимость данных, предоставленных автоматизированными средствами. Вы также можете подать жалобу в надзорный орган (например, орган по защите данных государства ЕЭЗ или ICO в Великобритании, либо Роскомнадзор в Российской Федерации). Для реализации прав, связанных с Сайтом, направьте обращение на behecon.spbu@spbu.ru (русская версия) или legal@ftlab.space (английская версия). Мы можем запросить подтверждение личности. Права не являются абсолютными; могут применяться исключения, предусмотренные законом.

14. Безопасность

Обращения через форму принимаются только по HTTPS на /api/contact. Применяются разумные технические и организационные меры, соответствующие характеру публичного исследовательского сайта. Ни один способ передачи или хранения не является абсолютно безопасным. Не направляйте через форму или по электронной почте пароли, одноразовые коды, PIN и банковские секреты.

15. Дети

Сайт предназначен для исследовательской и профессиональной аудитории. Он не ориентирован на детей, и мы намеренно не собираем через Сайт персональные данные детей.

16. Изменения

Мы можем обновлять Политику при изменении обработки на Сайте. Дата вступления в силу, указанная выше, изменяется при вступлении обновлений в силу. Существенные изменения отражаются на этой странице до начала новой необязательной обработки.

17. Контакты по вопросам конфиденциальности

Запросы по конфиденциальности и персональным данным для русскоязычного Сайта и переписки, связанной со СПбГУ: behecon.spbu@spbu.ru. Для англоязычного Сайта: legal@ftlab.space.