Правовой регламент и защита данных

Политика конфиденциальности и Условия использования экосистемы NAIS

Последнее обновление: 9 сентября 2026 года

Юрисдикция: Европейский Союз / Словацкая Республика

Контролер: Konzorcium vývojárov NAIS (DPO Compliance Desk)

Академический статус: Независимый студенческий сервис

Сервис NAIS и Telegram-бот UKF Jarvis (@jarvisukf_bot) разработаны независимым студенческим сообществом и не являются официальными программными продуктами Университета Константина Философа в Нитре (Univerzita Konštantína Filozofa v Nitre — UKF). Программное обеспечение функционирует как персональный клиентский интерфейс студента (User-Agent) для удобного доступа к собственной учебной информации. Пользователь обязуется уважать и соблюдать внутренние регламенты университета, включая Smernica o používaní IKT na UKF и Disciplinárny poriadok UKF pre študentov. Официальным источником академических данных и графиков всегда выступает веб-портал AIS2.

Разграничение ответственности и технические гарантии (Art. 82 GDPR & § 420 Občiansky zákonník)

Оператор принимает на себя ответственность, установленную статьей 82 GDPR и нормами гражданского законодательства Словакии (§ 420 Občiansky zákonník č. 40/1964 Zb.), за надлежащую реализацию технической безопасности, целостности и конфиденциальности обрабатываемых персональных данных (ст. 32 GDPR). В силу статьи 82(3) GDPR Оператор не несет ответственности за обстоятельства, находящиеся вне его разумного контроля: временную недоступность серверов AIS2, задержки выставления оценок преподавателями, изменения учебных планов или административные решения деканатов.

§ 1. Преамбула, договор поручения и право на переносимость данных

1.1. Стороны соглашения: Настоящий документ регулирует порядок обработки персональных данных и условия использования сервисов между независимым консорциумом разработчиков Konzorcium vývojárov NAIS (далее — «Оператор», «Технический представитель») и любым физическим лицом, использующим веб-приложение NAIS или Telegram-бота UKF Jarvis (@jarvisukf_bot) (далее — «Пользователь», «Доверитель», «Субъект данных»).

1.2. Договор поручения и цифровое представительство (§ 724 a nasl., § 31 a nasl. Občiansky zákonník č. 40/1964 Zb.): Взаимодействие между Пользователем и сервисом основывается на конструкции гражданско-правового договора поручения (Príkazná zmluva) и прямого представительства по доверенности (Zastúpenie na základe plnomocenstva). Пользователь уполномочивает программное обеспечение NAIS действовать в качестве своего персонального технического клиента (Digital User-Agent) исключительно в объеме заданных команд: для автоматизированного запроса личного расписания, учебных ведомостей и статуса записи предметов с портала AIS2. Все действия осуществляются строго от имени, по запросу и в интересах Пользователя.

1.3. Право на переносимость данных (Art. 20 GDPR / Právo na prenosnosť údajov): В соответствии со статьей 20 Регламента (ЕС) 2016/679 (GDPR), каждый субъект данных имеет законное право на получение предоставленных им персональных данных в структурированном, общепринятом и машиночитаемом формате, а также на их передачу другому лицу. Согласно разъяснениям Европейского совета по защите данных (EDPB WP242 rev.01), субъект данных вправе использовать доверенные персональные программные инструменты (trusted third-party software / personal data store agents) для извлечения, организации и управления своими учебными данными.

1.4. Применимость стандартов GDPR: Сервис NAIS в полном объеме соблюдает требования Регламента (ЕС) 2016/679 и Закона Словацкой Республики č. 18/2018 Z. z. об охране персональных данных. Предоставляя общедоступный инструмент для студентов, Оператор обеспечивает полноценное соблюдение европейских гарантий конфиденциальности.

1.5. Правовые основания обработки данных (Art. 6 GDPR):

a) Исполнение договора поручения (Art. 6(1)(b) GDPR): Обработка сессионных токенов и учебных расписаний необходима для выполнения поручения Пользователя по отображению его учебной информации.
b) Информированное согласие (Art. 6(1)(a) GDPR): Отправка персональных push-уведомлений о занятиях, напоминания и взаимодействие с AI-помощником осуществляются на основании явного согласия Пользователя.
c) Законный интерес в сфере кибербезопасности (Art. 6(1)(f) GDPR): Краткосрочное журналирование сетевых событий, защита от злоупотреблений и обеспечение стабильности сервиса.

§ 2. Контролер данных, контакты DPO и сроки хранения

2.1. Идентификация Контролера (Prevádzkovateľ): В соответствии со ст. 13(1)(a) GDPR и § 19 ods. 1 písm. a) Закона č. 18/2018 Z. z.:
Konzorcium vývojárov NAIS (NAIS Developer Consortium)
Официальный сайт: https://naisapp.eu
Общие юридические вопросы: legal@naisapp.eu

2.2. Представитель по защите персональных данных (DPO Compliance Desk):
Для оперативного обеспечения прав субъектов данных (Art. 15–22 GDPR) действует уполномоченное контактное лицо с адресом в Словацкой Республике:
NAIS Data Protection & Compliance Representative
Адрес для корреспонденции: Štefánikova trieda 14, 811 04 Bratislava, Slovenská republika (Technologický inkubátor)
Выделенный email DPO: dpo@naisapp.eu
Управление данными в Telegram: бот @jarvisukf_bot (команда /delete_me для немедленного удаления).

2.3. Ведение реестра операций обработки (ROPA — Art. 30 GDPR): Учитывая регулярный характер фонового обновления расписания, Оператор ведет документированный Реестр операций по обработке данных (Záznamy o spracovateľských činnostiach согласно ст. 30(1) GDPR), обеспечивая прозрачность процедур для субъектов данных и надзорных органов.

2.4. Регламент сроков хранения данных (Data Retention Schedule / Art. 5(1)(e) & 13(2)(a) GDPR):

Категория данных	Цель обработки	Правовое основание	Срок хранения и порядок удаления
Пароль от портала AIS2	Однократная аутентификация в AIS2 и получение сессионного токена	Art. 6(1)(b) GDPR (Договор поручения)	0 секунд в открытом виде. Пароль не сохраняется на диске и не логируется. Шифруется алгоритмом AES-256-GCM в оперативной памяти (RAM) и немедленно стирается после запроса (RAM Zeroization).
Сессионные токены (`JSESSIONID`, `AISAuth`)	Поддержание активного авторизованного сеанса связи с AIS2	Art. 6(1)(b) GDPR (Договор поручения)	До 30 минут с момента последней активности, либо уничтожаются немедленно при выходе пользователя (logout) или отзыве сессии сервером AIS2.
Кэш расписания и предметов	Быстрое отображение расписания в оффлайн-режиме и push-напоминания	Art. 6(1)(b) GDPR Art. 6(1)(a) GDPR	До 30 календарных дней неактивности пользователя, либо удаляется мгновенно по команде `/delete_me`.
Идентификаторы Telegram (`Chat ID`, `User ID`)	Адресация сообщений и отправка запрошенной информации Пользователю	Art. 6(1)(b) GDPR (Договор поручения)	Хранятся на период активного использования сервиса. Удаляются мгновенно и безвозвратно при отправке команды `/delete_me` или блокировке бота.
Журналы безопасности и аудита (IP, Error Logs)	Предотвращение DDoS-атак, аудит сетевых сбоев и стабильность сервиса	Art. 6(1)(f) GDPR § 109 ods. 8 Zákon 452/2021	Ровно 14 календарных дней в защищенных циклических буферах (log rotation), после чего автоматически перезаписываются.

2.5. Надзорный орган (Dozorný orgán): В соответствии со ст. 77 GDPR и § 100 Закона č. 18/2018 Z. z., Пользователь вправе обратиться с жалобой в национальный надзорный орган Словацкой Республики:
Úrad na ochranu osobných údajov Slovenskej republiky
Hraničná 12, 820 07 Bratislava 27, Slovenská republika
Веб-сайт: https://dataprotection.gov.sk | Email: statny.dozor@pdp.gov.sk

§ 3. Академическая автономия и добросовестное использование (Fair Use)

3.1. Полная институциональная независимость: Сервис NAIS и бот UKF Jarvis являются независимыми программными решениями студенческого сообщества и не имеют официальной организационной связи с Университетом Константина Философа в Нитре (UKF).
3.2. Добросовестное номинативное использование (Nominative Fair Use): Обозначение «UKF» в идентификаторе бота (@jarvisukf_bot) и сопроводительных материалах используется исключительно в описательных целях для обозначения технологической совместимости с расписанием студентов Нитринского университета.
3.3. Раздельное контролерство (Independent Controllership, CJEU C-40/17): Университет и Консорциум NAIS выступают как полностью самостоятельные контролеры. NAIS не определяет цели и средства обработки данных внутри университетской системы AIS2. Совместное контролерство (Art. 26 GDPR) полностью отсутствует.
3.4. Соблюдение университетских регламентов: Сервис выполняет роль персонального академического органайзера. Пользователю рекомендуется учитывать положения Disciplinárny poriadok UKF pre študentov. Использование сервиса не освобождает студента от обязанности контролировать официальные дедлайны через веб-интерфейс AIS2.

§ 4. Базы данных и разграничение ответственности

4.1. Базы данных и авторские права: Извлечение личных данных студента защищено правом на переносимость (ст. 20 GDPR), правом на создание копии для личного некоммерческого использования (§ 42 Закона Словакии č. 185/2015 Z. z. Autorský zákon) и исключением для анализа данных (§ 48a Autorského zákona / Директива (ЕС) 2019/790). Согласно Директиве 96/9/EC (Recital 48), права создателя базы данных *sui generis* не могут ограничивать реализацию законных прав субъекта данных.
4.2. Ответственность по ст. 82 GDPR и § 420 OZ: Оператор признает ответственность за безопасность и надлежащее шифрование данных в границах контролируемого контура. В соответствии со ст. 82(3) GDPR и § 420 Гражданского кодекса Словакии, Оператор освобождается от ответственности за сбои внешних систем AIS2, несвоевременное выставление оценок или академические решения деканатов.

§ 5. Авторизованный доступ, лимиты запросов и возраст

5.1. Правомерность доступа и техническая безопасность (§ 247 Zákon č. 300/2005 Z. z.): Архитектура взаимодействия сервиса с AIS2 разработана с полным соблюдением стандартов кибербезопасности:

a) Авторизованный доступ по поручению: Сервис подключается к AIS2 исключительно по прямой команде Пользователя с применением его учетных данных, действуя в качестве персонального клиентского агента (User-Agent).
b) Отсутствие преодоления мер защиты: Система не использует уязвимостей, подбора паролей или обхода защитных механизмов. Запросы передаются через стандартные HTTPS-протоколы.
c) Защита инфраструктуры AIS2 (Rate Limiting): В сервис интегрировано строгое ограничение частоты запросов (не более 1 запроса в 30 секунд в режиме автоматической проверки), что исключает повышенную нагрузку на сервера университета и обеспечивает целостность систем (§ 247a Уголовного кодекса Словакии).

5.2. Возрастной ценз: Использование сервиса разрешено студентам, достигшим 16 лет (Art. 8 GDPR / § 15 Закона č. 18/2018 Z. z.).

§ 6. Электронные коммуникации (ePrivacy), реестр хранилищ и DPIA

6.1. Соблюдение законодательства об электронных коммуникациях (§ 109 ods. 8 Zákona č. 452/2021 Z. z.): Все элементы, сохраняемые на устройствах Пользователя, являются строго технически необходимыми (technicky nevyhnutné) для предоставления запрошенных функций. Маркетинговые трекеры и аналитические профили не используются.

6.2. Реестр терминальных хранилищ и ключей сессии:

Ключ / Токен	Тип хранилища	Назначение	Срок хранения	Правовой статус по § 109 ods. 8
`JSESSIONID` / `AISAuth`	HTTP-only Session Cookie / RAM	Поддержание защищенного HTTPS-сеанса с AIS2	Время сессии (макс. 30 мин)	Строго технически необходимо
`nais_theme_mode`	Browser LocalStorage	Сохранение настроек оформления интерфейса	12 месяцев	Функциональная необходимость
`tg_dialog_state`	Серверная оперативная память (RAM)	Сохранение контекста при пошаговом выполнении команд бота	До 1 часа	Строго технически необходимо
`cached_timetable`	Local Storage / IndexedDB	Оффлайн-кэш персонального расписания	До 30 дней / до `/delete_me`	Строго технически необходимо
`push_endpoint_token`	Хранилище устройства (FCM / APNs)	Доставка push-уведомлений об изменениях в расписании	До отзыва согласия	Информированное согласие

6.3. Оценка рисков для защиты данных (DPIA Summary — Art. 35 GDPR): Проведенный аудит рисков подтвердил, что сочетание сквозного шифрования AES-256-GCM, изоляции памяти, очистки персональных данных (Scrubbing) и лимитов частоты запросов удерживает остаточный риск для прав субъектов данных на минимальном (LOW) уровне.

§ 7. Трансграничная передача данных (OpenRouter LLC, режим ZDR)

7.1. Суверенный европейский контур первичных данных (EU Data Sovereignty): Все первичные персональные данные (учетные данные AIS2, пароли, оценки, академические расписания) обрабатываются и хранятся исключительно в европейском дата-центре (Oracle Cloud EU / Франкфурт-на-Майне, ФРГ; сертификация ISO/IEC 27001). Эти данные не передаются за пределы Европейского Союза.

7.2. Провайдер OpenRouter LLC (США): Для генерации интеллектуальных ответов на вопросы пользователя в диалоговом режиме сервис использует API компании OpenRouter LLC.

7.3. Условия передачи (Art. 49(1)(b) GDPR): Передача контекста вопроса в OpenRouter LLC носит строго ситуативный характер (occasional and on-demand) и происходит исключительно по инициативе самого Пользователя при отправке запроса AI-ассистенту.

7.4. Локальное обезличивание PII и режим Zero Data Retention (ZDR): Перед передачей текста вопроса в API алгоритмический модуль очистки вырезает персональные данные: ФИО заменяется на нейтральный маркер [STUDENT], идентификационные номера и логины удаляются. Запрос отправляется с активным системным заголовком Zero Data Retention (ZDR), запрещающим провайдеру сохранять переданные данные на диск или использовать их для обучения моделей.

7.5. Оценка безопасности передачи (TIA per Schrems II): Передача деидентифицированного контекста по защищенному протоколу TLS 1.3 с совершенной прямой секретностью (PFS) в совокупности с режимом ZDR исключает риски идентификации пользователя при международном обмене.

§ 8. Информационная безопасность и протокол реагирования на инциденты

8.1. Архитектура защиты данных (Art. 32 GDPR): В сервисе реализовано аутентифицированное шифрование AES-256-GCM, многоуровневое управление ключами (Envelope Encryption), деривация ключей через Argon2id и немедленное зануление оперативной памяти (RAM Zeroization) после завершения операции. Хранение незашифрованных учетных данных на диске полностью исключено.

8.2. Регламент реагирования на инциденты безопасности (Data Breach Protocol): При возникновении нештатной ситуации группа реагирования действует по строгому нормативному графику в соответствии со статьями 33 и 34 GDPR и §§ 34, 35, 40, 41 Закона č. 18/2018 Z. z.:

Этап регламента	Нормативное время	Меры реагирования
Фаза 1: Локализация	0 – 6 часов	Изоляция затронутого компонента, аварийный сброс активных сессий (Emergency Token Revocation), активация защитных барьеров.
Фаза 2: Анализ и оценка	6 – 24 часа	Анализ масштаба инцидента, аудит затронутых категорий данных и оценка рисков для прав субъектов по методике ENISA.
Фаза 3: Уведомление ÚOOÚ SR	До 72 часов	При наличии риска для прав субъектов — официальное уведомление Úrad na ochranu osobných údajov SR (ст. 33 GDPR).
Фаза 4: Уведомление студентов	Без неоправданной задержки	При высоком риске для прав субъектов — персональное информирование пользователей через бота и сайт с практическими рекомендациями по защите (ст. 34 GDPR).

8.3. Аварийный сброс сессий: При обнаружении аномальной активности все локальные сессионные токены немедленно аннулируются, что приводит к принудительному закрытию сеанса связи серверами AIS2.

§ 9. Искусственный интеллект: прозрачность и маркировка (EU AI Act, Art. 50)

9.1. Статус по Регламенту (ЕС) 2024/1689: В рамках европейского регулирования искусственного интеллекта сервис NAIS классифицируется как Развертыватель (Deployer) системы ИИ общего назначения с минимальным риском (Minimal Risk General-Purpose AI Downstream Integration).

9.2. Обязательства по обеспечению прозрачности (Article 50 EU AI Act):

a) Информирование о диалоге с ИИ (Art. 50(1)): Пользователь четко уведомляется о том, что ведет диалог с искусственным интеллектом; ответы бота сопровождаются визуальным маркером 🤖 AI Assistant.
b) Маркировка синтетических материалов (Art. 50(2)): Сгенерированные тексты снабжаются метаданными is_synthetic: true, подтверждающими генеративный характер контента.
c) Консультационный статус и проверка фактов (Human-in-the-Loop): Ответы ИИ носят справочный характер. Генеративные модели могут допускать неточности («галлюцинации»). Пользователю рекомендуется проверять критически важные учебные сроки, даты экзаменов и аудитории в официальной системе AIS2.

9.3. Изоляция учетных данных от ИИ: Пароли от AIS2, сессионные токены и персональные номера студентов изолированы от алгоритмов искусственного интеллекта и ни при каких условиях не передаются языковым моделям.

§ 10. Права субъекта данных и удаление по /delete_me

10.1. Каталог прав пользователя (Art. 15–22 GDPR): Пользователь обладает законными правами в отношении своих персональных данных:

a) Право на доступ (Art. 15 GDPR): Получение подтверждения факта обработки и копии обрабатываемых данных.
b) Право на исправление (Art. 16 GDPR): Обновление неточных или неполных сведений.
c) Право на удаление («Право на забвение», Art. 17 GDPR): Полное стирание персональных данных из систем сервиса.
d) Право на ограничение обработки (Art. 18 GDPR): Приостановка обработки данных при наличии спорных оснований.
e) Право на переносимость данных (Art. 20 GDPR): Получение данных в общепринятом структурированном машиночитаемом формате.
f) Право на возражение (Art. 21 GDPR): Запрет обработки данных на основании законного интереса.

10.2. Мгновенное удаление через команду /delete_me: Для гарантированной реализации права на забвение Пользователю достаточно ввести команду /delete_me в диалоге с Telegram-ботом. Кэш расписания, сессионные токены и идентификаторы аккаунта удаляются в течение 60 секунд.

10.3. Порядок обращений: Любой запрос по правам субъекта данных можно направить на адрес dpo@naisapp.eu или legal@naisapp.eu. Ответ будет предоставлен в срок до 30 календарных дней без взимания платы (ст. 12(3) GDPR).

§ 11. Заключительные положения и изменения условий

11.1. Применимое право и подсудность: Настоящий регламент регулируется нормами Европейского Союза и законодательством Словацкой Республики. Все возможные разногласия подлежат разрешению в компетентных судах Словацкой Республики.

11.2. Порядок внесения изменений: Оператор вправе обновлять текст настоящего документа в связи с развитием функционала сервиса или изменением нормативных актов. Действующая редакция всегда доступна по адресу https://naisapp.eu/privacy.html. При существенных изменениях пользователи оповещаются через сообщение в Telegram-боте.

11.3. Вступление в силу: Настоящая редакция утверждена и вступает в силу с 9 сентября 2026 года.