Политика в отношении обработки персональных данных

Редакция: 2026-11-05 · Версия текста согласия: ilbirs-2026-11-v1

1. Оператор

Оператор и собственник базы персональных данных (статья 4 Закона) — Общество с ограниченной ответственностью «ILBIRS AI LAB», ИНН (СТИР) 313042383. Адрес: Республика Узбекистан, Сурхандарьинская область, Шерабадский район, МФЙ «Дустлик», улица Мустакиллик, 1375.

Ответственное за обработку и защиту персональных данных лицо (часть пятая статьи 31 Закона) — Бахтиёр Юнусов.

Обработка персональных данных ведётся по Закону Республики Узбекистан от 2 июля 2019 года № ЗРУ-547 «О персональных данных» (далее — Закон) в действующей редакции. Закон применяется к отношениям при обработке и защите персональных данных независимо от применяемых средств обработки, включая информационные технологии (часть первая статьи 3 Закона).

Вопросы об обработке персональных данных, запросы субъектов и отзыв согласия — на contact@ilbirs.ai или письмом на адрес оператора, указанный выше.

2. На что распространяется эта политика

Политика описывает обработку персональных данных, которые оператор получает через сайт https://ilbirs.ai — из формы обратной связи на этом сайте. Другие сайты и сервисы оператора в этом документе не описаны.

Политика вместе с текстом согласия служит письменным уведомлением субъекта о целях обработки его персональных данных и о его правах по статье 30 Закона — так, как этого требует часть первая статьи 23 Закона.

3. Какие данные обрабатываются

Из формы — то, что указывает сам посетитель:

Вместе с обращением записываются дата и время его получения и версия текста согласия. Отметка о согласии фиксируется временем, когда сервер принял форму; момент, в который посетитель поставил галочку в браузере, не измеряется. Версия нужна, чтобы было видно, с каким именно текстом согласился посетитель (абзац шестой части второй статьи 31 Закона — оператор обязан представить доказательство получения согласия).

Технические данные:

• IP-адрес отправителя формы — только в виде необратимого отпечатка (HMAC на секретном ключе), для защиты формы от автоматизированных злоупотреблений. Отпечаток хранится не дольше 24 часов и затем удаляется физически;
• IP-адрес и обычные сведения о запросе (дата и время, адрес страницы, код ответа, сведения о браузере — строка User-Agent, которую браузер сообщает при каждом запросе) — в журналах веб-сервера на машине площадки. Срок — §8;
• страна IP-адреса. Адрес отправителя сверяется с офлайн-базой соответствия адресов странам. Обращения с адресов, относящихся к Российской Федерации, форма не принимает: она отвечает отказом (код ответа HTTP 451). Такое обращение не разбирается и не сохраняется, адрес не попадает ни в базу обращений, ни в счётчики частоты, ни в отпечатки; запись о самом запросе — вместе с IP-адресом — остаётся в журнале веб-сервера, как и о любом другом запросе к сайту, на срок из §8. Сверка со страной — тоже обработка персональных данных, и её основание указано в §5;
• время заполнения формы — защита от ботов; измеряется скриптом формы без cookie (§13).

Оператор не запрашивает и не собирает специальные персональные данные (статья 25 Закона), биометрические и генетические данные (статья 26 Закона), паспортные данные и платёжные реквизиты. Просьба не указывать их в поле «сообщение».

4. Цели обработки

• рассмотрение обращения, отправленного через форму, и связь с отправителем по этому обращению;
• подтверждение факта согласия и его условий (версия текста, время);
• защита формы от спама и автоматизированных злоупотреблений, в том числе ограничение приёма обращений из регионов, на которые сайт не рассчитан;
• исполнение обязанностей оператора по Закону — ответ на запросы субъектов, уничтожение данных по отзыву согласия.

Цели обработки не выходят за пределы целей, заявленных при сборе данных (часть вторая статьи 19 Закона). Данные из формы не используются для рассылок и не передаются третьим лицам для их целей. Если цель обработки изменится, оператор запросит новое согласие (часть третья статьи 19 Закона).

5. Основания обработки и согласие

Обработка данных из формы ведётся на основании согласия субъекта персональных данных (абзац второй части второй статьи 18 Закона), которое посетитель даёт отметкой в форме. Текст согласия — отдельный документ, опубликованный отдельной страницей: Согласие на обработку персональных данных.

Согласие даётся в форме, позволяющей подтвердить факт его получения (часть первая статьи 21 Закона): вместе с обращением сохраняются версия текста согласия и время, когда сервер принял форму с отмеченным согласием. Без отмеченного согласия форма не принимается: обращение отклоняется сервером и не сохраняется.

Согласие можно отозвать в любой момент — в той же форме, в какой оно было дано, либо письменно, в том числе электронным документом (часть седьмая статьи 21 Закона). Порядок — §9.

Основание обработки технических данных (отпечатка IP-адреса, журналов веб-сервера, страны адреса и времени заполнения формы) — осуществление прав и законных интересов оператора при условии, что права и законные интересы субъектов не нарушаются (абзац шестой части второй статьи 18 Закона). Эта обработка нужна только для работоспособности и безопасности сайта: защиты формы от автоматизированных злоупотреблений и спама, ограничения приёма обращений из регионов, на которые сайт не рассчитан, разбора сбоев и инцидентов. Чистые IP-адреса остаются лишь в журналах веб-сервера на срок из §8, а отпечаток IP-адреса — необратимый и уничтожается в течение 24 часов.

6. Кто ещё участвует в обработке

• Обращения третьим лицам не передаются. Автоматического ответа отправителю форма не отправляет.
• Уведомление о новом обращении приходит оператору письмом и не содержит персональных данных отправителя: только номер обращения, домен, время и команду, которой оператор смотрит обращение на машине площадки. Письмо отправляется почтовой службой облачного провайдера от адреса no-reply@ilbirs.ai.
• Инфраструктура. Сайт, приём формы, база обращений и резервные копии размещены в облаке Oracle Cloud Infrastructure (OCI), в дата-центре во Франкфурте (Германия). Место обработки и его правовое основание — §7.
• Если персональные данные будут переданы третьему лицу, оператор письменно уведомит об этом субъекта в течение трёх дней (часть вторая статьи 23 Закона).

7. Место обработки, хранение за пределами Узбекистана и трансграничная передача

Место. Обращения с формы хранятся и обрабатываются на сервере в Германии, резервные копии — в объектном хранилище того же региона. За пределы этого региона данные обращений не копируются.

Локализация. Часть вторая статьи 27¹ Закона (в редакции Закона от 26 марта 2026 года № ЗРУ-1125) требует обязательного хранения на территории Республики Узбекистан только трёх видов данных: биометрических данных физических лиц, генетических данных физических лиц и данных физических лиц — пользователей услуг операторов телекоммуникаций, осуществляющих деятельность в Республике Узбекистан. Данные из формы обратной связи ни к одному из этих видов не относятся, поэтому требование обязательного хранения в Республике Узбекистан к ним не применяется.

Основание хранения за пределами страны. Персональные данные, не указанные в части второй статьи 27¹ Закона, могут храниться и обрабатываться за пределами территории Республики Узбекистан, если иностранное государство признано государством, обеспечивающим адекватную защиту персональных данных (абзац второй части третьей статьи 27¹ Закона). Перечень таких государств устанавливает Кабинет Министров Республики Узбекистан (часть четвёртая той же статьи). Перечень утверждён постановлением Кабинета Министров Республики Узбекистан от 29 июля 2026 года № 415, вступившим в силу 3 августа 2026 года; Федеративная Республика Германия включена в него (пункт 10 приложения). Сервер и резервные копии находятся в Германии, поэтому условие части третьей статьи 27¹ Закона выполняется.

Трансграничная передача. Передача персональных данных за пределы территории Республики Узбекистан осуществляется на территорию иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных (части первая и вторая статьи 15 Закона). Германия входит в перечень государств, обеспечивающих адекватную защиту персональных данных, — тот же перечень постановления Кабинета Министров от 29 июля 2026 года № 415 (пункт 10 приложения), на который опирается и основание хранения выше (части третья и четвёртая статьи 27¹ Закона). В государства вне перечня данные обращений не передаются.

Государственный реестр баз персональных данных. База обращений в нём не регистрируется: по части первой статьи 20 Закона (в редакции Закона № ЗРУ-1125) регистрации подлежат базы персональных данных, которые в соответствии с частью второй статьи 27¹ Закона подлежат обязательному хранению на территории Республики Узбекистан, а база обращений под это требование не попадает.

Утечка при трансграничной передаче. Если утечка персональных данных при трансграничной передаче будет выявлена, ответственное за обработку и защиту персональных данных лицо (§1) уведомляет уполномоченный государственный орган по электронной почте в течение 24 часов с момента выявления и в течение 72 часов представляет подробные сведения о причинах и о принятых мерах (пункт 4 постановления Кабинета Министров от 29 июля 2026 года № 415).

8. Сроки хранения

Срок хранения персональных данных определяется датой достижения целей их сбора и обработки (часть третья статьи 10 Закона), а срок обработки не превышает срока действия согласия (часть седьмая статьи 19 Закона).

• Обращение с формы — 12 месяцев с даты получения, затем удаляется физически автоматически. Удаление раньше срока — по отзыву согласия или запросу субъекта (§9).
• Резервные копии — настроенный срок: локальные снимки — 14 суток, копии в объектном хранилище — 30 суток. Удалённое обращение исчезает из копий, когда истечёт срок последней копии, которая его содержит.
• Отпечаток IP-адреса — не дольше 24 часов, затем удаляется физически.
• Журналы веб-сервера (в них есть IP-адрес и строка User-Agent) — на машине площадки, настроенный срок — 90 суток. За её пределы журналы не уходят: наружу площадка отдаёт только метрики без персональных данных.

Сроки копий и журналов — настроенные сроки, а не гарантированные максимумы: удаляет их не таймер по точному сроку, а периодическая уборка, которая проходит позже. Локальные снимки площадка чистит раз в сутки, отбирая те, что старше пятнадцати полных суток, — поэтому снимок живёт дольше настроенных 14 суток; а если очередная выгрузка копий в хранилище не удалась, очистка в этом прогоне не выполняется и снимок удаляется при следующем успешном прогоне. Копии в объектном хранилище удаляет правило жизненного цикла хранилища, а журнал веб-сервера — суточная ротация: из журнала уходят только уже закрытые файлы и только когда их первая запись старше срока. Верхней границы для фактического удаления площадка не обещает. Сроки обращения (12 месяцев) и отпечатка IP-адреса (24 часа) держит сам сервис, проверяя их каждые 15 минут.

9. Права субъекта персональных данных

По статье 30 Закона субъект вправе:

• знать о наличии у оператора своих персональных данных и их состав;
• получать по запросу информацию об обработке своих персональных данных и об условиях доступа к ним;
• дать согласие на обработку своих персональных данных и отозвать такое согласие;
• дать согласие на распространение своих персональных данных в общедоступных источниках персональных данных — оператор такого согласия не запрашивает и в общедоступные источники данные не включает;
• требовать временного приостановления обработки своих персональных данных, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для целей обработки;
• обращаться по вопросам защиты своих прав и законных интересов в уполномоченный государственный орган в области персональных данных или в суд.

Состав сведений, которые субъект вправе получить по запросу, перечислен в части первой статьи 22 Закона: подтверждение факта обработки, основания и цели, способы обработки, наименование и место нахождения оператора, состав данных и источник их получения, сроки обработки и хранения, порядок осуществления прав по статье 30, сведения о состоявшейся или предполагаемой трансграничной передаче.

Как обратиться: письмом на contact@ilbirs.ai или на адрес оператора из §1. Чтобы оператор нашёл обращение, достаточно указать адрес электронной почты или телефон, которые были в форме.

Сроки ответа. Изменение и дополнение персональных данных — не позднее трёх дней с момента обращения, а если данные не соответствуют действительности — безотлагательно с момента установления несоответствия (статья 11 Закона). Уведомление об отказе в предоставлении информации, касающейся обработки персональных данных, направляется в письменной форме в течение десяти дней (часть пятая статьи 22 Закона); такой отказ может быть обжалован в уполномоченный государственный орган или суд (часть шестая статьи 22 Закона).

После отзыва согласия обращение удаляется физически, из резервных копий уходит, когда истечёт срок последней копии, которая его содержит (§8), и связь по обращению прекращается.

10. Действия с персональными данными

Обработка персональных данных (статья 4 Закона) — сбор, систематизация, хранение, изменение, дополнение, использование, предоставление, распространение, передача, обезличивание и уничтожение персональных данных.

С данными из формы оператор совершает только те из этих действий, которые нужны для целей §4: сбор, систематизацию, хранение, изменение и дополнение (по обращению субъекта), использование и уничтожение. Распространения персональных данных (раскрытия неопределённому кругу лиц, статья 14 Закона) и включения их в общедоступные источники (статья 29 Закона) нет. Перечень совпадает с перечнем в тексте согласия — документы синхронны.

11. Как ведётся обработка

Обработка ведётся с использованием средств автоматизации и без них.

Решения, затрагивающие права и законные интересы субъекта и порождающие юридические последствия, исключительно автоматизированной обработкой не принимаются (статья 24 Закона). Профилирование не ведётся.

Специальные персональные данные (статья 25 Закона), а также биометрические и генетические данные (статья 26 Закона) не обрабатываются.

12. Меры защиты и действия при утечке

Оператор принимает правовые, организационные и технические меры по защите персональных данных, обеспечивающие защиту от вмешательства в частную жизнь, целостность и сохранность данных, соблюдение их конфиденциальности и предотвращение незаконной обработки (статья 27 Закона). Персональные данные не раскрываются и не распространяются без согласия субъекта или иного законного основания (статья 28 Закона). Работу, связанную с обработкой и защитой персональных данных, обеспечивает ответственное лицо, названное в §1 (часть пятая статьи 31 Закона).

Фактически это значит:

• доступ к базе обращений — только у уполномоченных лиц оператора, по защищённому каналу; файл базы доступен только служебной учётной записи сервиса;
• в журнале сервиса, принимающего обращения, в метриках и в письмах-уведомлениях персональных данных отправителей нет: сервис записывает домен, номер обращения, исход и статус уведомления — без IP-адреса и без содержимого обращения;
• журнал веб-сервера — отдельный: в нём есть IP-адрес, строка User-Agent и обычные сведения о запросе (§3), в том числе о запросах, на которые форма ответила отказом по стране (код 451). Журнал остаётся на машине площадки на срок из §8, доступ к нему — только у уполномоченных лиц оператора;
• резервные копии лежат в приватном объектном хранилище; у машины площадки есть права только создавать, читать и перечислять объекты этого хранилища — удалять и перезаписывать их она не может, поэтому скомпрометированный сервер не уничтожит копии в хранилище. Локальные снимки на самой машине под этой защитой не находятся: их удаляет она же по сроку из §8;
• удаление по сроку и по запросу — физическое, вместе с очисткой служебных файлов базы;
• при выявлении утечки при трансграничной передаче — уведомление уполномоченного государственного органа в сроки и порядком из §7.

Лица, виновные в нарушении законодательства о персональных данных, несут ответственность в установленном порядке (статья 33 Закона; статья 46² Кодекса Республики Узбекистан об административной ответственности, статья 141² Уголовного кодекса Республики Узбекистан).

13. Cookie, аналитика и внешние сервисы

Cookie сайт не ставит. Внешних счётчиков веб-аналитики, рекламных пикселей и сторонних виджетов на сайте нет: шрифты, стили и изображения отдаются с того же домена, а единственный скрипт формы измеряет только время её заполнения (защита от ботов) и cookie не ставит. Счётчика просмотров и иной статистики посетителей на сайте нет.

14. Изменения политики и языковые версии

Действующая редакция публикуется на сайте https://ilbirs.ai; дата редакции указана в начале документа. Изменение текста согласия означает новую версию строки согласия (см. Согласие на обработку персональных данных); у ранее принятых обращений остаётся та версия, которую видел отправитель.

Политика и текст согласия публикуются на трёх языках — русском, узбекском и английском. Все три версии равны по содержанию: узбекская и английская — точный перевод русского текста. Версия согласия у всех трёх одна и та же.

15. Правовая основа

Первичные источники. Официальные тексты актов Республики Узбекистан публикуются на узбекском языке; русские и английские версии на lex.uz — неофициальный перевод.

Статья 25 Закона изменена Законом от 11.09.2026 № ЗРУ-1174; на lex.uz неофициальный перевод этих изменений ещё не опубликован. Специальные персональные данные форма не собирает, поэтому на текст политики изменение не влияет; при следующей редакции — сверить.