LOLA Q Media Studio

Редакция 1

Политика конфиденциальности LOLA Q Media Studio

Настоящая Политика объясняет обработку персональных данных при использовании LOLA Q Media Studio.

1. Ответственный за обработку

Ответственным лицом в смысле GDPR / DSGVO является:

LOLA Q

Kleingewerbe

67549 Worms

Germany

E-mail:

info@media.lolaq.de

Полный адрес должен быть дополнен после предоставления соответствующих данных. Не генерировать его автоматически.

2. Область действия

Политика применяется к LOLA Q Media Studio по адресу:

https://media.lolaq.de

и связанным с ним функциям.

При использовании внешних платформ соответствующие поставщики дополнительно обрабатывают данные в соответствии со своими собственными правилами.

3. Правовые основания

В зависимости от цели обработка может основываться, в частности, на:

• Art. 6 Abs. 1 lit. b DSGVO — выполнение договора;
• Art. 6 Abs. 1 lit. c DSGVO — выполнение юридической обязанности;
• Art. 6 Abs. 1 lit. f DSGVO — законный интерес;
• Art. 6 Abs. 1 lit. a DSGVO — согласие, если оно необходимо.

Если обработка основана на согласии, пользователь может отозвать его на будущее.

4. Регистрация и аккаунт

При регистрации могут обрабатываться:

• e-mail;
• имя;
• безопасный хеш пароля;
• подтверждение e-mail;
• идентификатор пользователя;
• роли;
• приглашения;
• данные восстановления доступа;
• дата создания и изменения аккаунта.

Пароль не хранится в открытом виде.

Цель:

• создание аккаунта;
• аутентификация;
• предоставление сервиса;
• восстановление доступа.

Правовое основание:

Art. 6 Abs. 1 lit. b DSGVO.

5. Сеансы и безопасность

Для обеспечения входа и безопасности могут обрабатываться:

• session identifiers;
• время создания и активности;
• технические сведения браузера;
• IP-адрес либо производные от него данные;
• сведения о попытках входа;
• события безопасности.

Цель:

• аутентификация;
• защита аккаунта;
• предотвращение злоупотреблений.

Правовые основания:

Art. 6 Abs. 1 lit. b и lit. f DSGVO в зависимости от конкретной обработки.

6. Проекты, команды и роли

Обрабатываются:

• project membership;
• роль;
• права;
• приглашения;
• действия управления участниками;
• идентификаторы пользователя и проекта.

Цель:

совместная работа и разграничение доступа.

Правовое основание:

Art. 6 Abs. 1 lit. b DSGVO.

7. Подключённые платформы

LOLA Q Media Studio может подключать:

• Instagram / Meta;
• YouTube / Google;
• TikTok.

Подключение осуществляется через официальные механизмы OAuth или аналогичные механизмы поставщика.

В зависимости от предоставленного scope могут обрабатываться:

• provider account ID;
• отображаемое имя;
• account metadata;
• access token;
• refresh token;
• срок действия разрешений;
• publication ID;
• сведения о публикациях;
• показатели аналитики.

OAuth-токены хранятся в зашифрованном виде.

Цель:

предоставление запрошенной интеграции.

Правовое основание:

Art. 6 Abs. 1 lit. b DSGVO.

8. Отключение OAuth

При отключении интеграции прекращаются новые действия через соответствующее подключение.

Ранее сохранённые данные могут продолжать храниться в соответствии с установленными retention rules.

Отключение OAuth само по себе не удаляет уже опубликованный контент на внешней платформе.

9. Материалы

При загрузке могут обрабатываться:

• изображения;
• видео;
• аудио;
• тексты;
• filenames;
• MIME type;
• размер;
• thumbnails;
• технические метаданные;
• связь с проектом.

Цель:

хранение, подготовка, анализ и публикация материалов.

Правовое основание в отношении данных пользователя:

Art. 6 Abs. 1 lit. b DSGVO.

Если пользователь загружает персональные данные третьих лиц, он отвечает за наличие соответствующего правового основания в той мере, в которой именно он определяет цели такой обработки.

10. Публикации

При публикации могут обрабатываться:

• медиа;
• текст;
• target platform;
• schedule;
• статус;
• provider ID;
• delivery result;
• errors;
• timestamps.

Цель:

выполнение команды пользователя и ведение истории доставки.

Правовое основание:

Art. 6 Abs. 1 lit. b DSGVO.

11. История публикаций

Удаление original media не обязательно приводит к удалению всех данных о ранее выполненной публикации.

Ограниченная историческая запись может храниться до 24 месяцев.

Она может включать только данные, необходимые для:

• истории публикаций;
• аналитики;
• reconciliation;
• диагностики;
• подтверждения ранее выполненного действия.

После 24 месяцев данные удаляются либо агрегируются/обезличиваются, если дальнейшее хранение персональных данных не требуется.

12. Аналитика

Могут обрабатываться:

• account ID;
• publication ID;
• просмотры;
• охват;
• взаимодействия;
• иные показатели provider API;
• время получения;
• исторические snapshots.

Analytics snapshots могут храниться до 36 месяцев.

После этого они удаляются либо агрегируются/обезличиваются, если дальнейшая идентификация не нужна.

13. AI

Production AI provider:

Gemini API

При явном запуске AI-функции внешнему AI-провайдеру может передаваться только информация, необходимая для выполнения выбранной функции.

Она может включать:

• текст;
• изображение;
• видео либо технически подготовленную версию;
• сведения о публикации;
• аналитику;
• instructions;
• project context;
• Brand Memory.

Цель:

предоставление запрошенной AI-функции.

Правовое основание:

как правило Art. 6 Abs. 1 lit. b DSGVO, если AI-функция непосредственно запрошена пользователем.

Если конкретная обработка требует отдельного согласия, такое согласие должно запрашиваться до передачи данных.

14. Brand Memory

Brand Memory хранится в контексте соответствующего проекта.

Доступ предоставляется только участникам проекта с соответствующими правами.

При удалении проекта Brand Memory удаляется, если отсутствует отдельное правовое основание для хранения.

15. Email

Для transactional email используется:

Resend

Сервис может использоваться для:

• подтверждения e-mail;
• восстановления пароля;
• приглашений;
• иных необходимых системных сообщений.

Передаются только данные, необходимые для отправки соответствующего письма.

16. Hosting

Production infrastructure размещается у:

IONOS, Germany

В Privacy Policy не публиковать:

• IP сервера;
• hostname базы данных;
• внутренние filesystem paths;
• service credentials;
• другую техническую информацию, не требуемую пользователю для понимания обработки данных.

17. Audit и security logs

Сервис фиксирует критичные события, включая:

• вход;
• изменение ролей;
• OAuth;
• публикации;
• удаления;
• административные действия;
• security events.

Audit/security logs могут храниться до:

365 дней

Пароли, OAuth tokens и session cookies не должны записываться в audit log.

18. Удаление аккаунта

После подтверждения запроса аккаунт переводится в состояние ожидания удаления.

Grace period:

14 дней

До даты окончательного удаления пользователь может отменить запрос.

19. Проекты при удалении

Если пользователь владеет проектом и есть подходящий участник, система предлагает передать Ownership.

Если пользователь является единственным владельцем, проект удаляется после окончания 14-дневного периода, если запрос не отменён и Ownership не передан.

Если проект принадлежит другой организации или иному владельцу, удаляется только доступ пользователя.

20. Media Trash

Материалы в корзине хранятся:

7 дней

После этого они подлежат окончательному удалению, если отсутствует отдельное основание для хранения.

21. Резервные копии

Удалённые данные могут временно сохраняться в backup.

Максимальный lifecycle:

30 дней

Backup не используется как обычное активное пользовательское хранилище.

22. Сводная таблица retention

Применяются следующие сроки:

• verification code — 10 минут;
• resend cooldown — минимум 60 секунд;
• password reset token — 30 минут;
• invitation — 168 часов;
• Media Trash — 7 дней;
• account deletion grace period — 14 дней;
• publication lightweight history — до 24 месяцев;
• analytics snapshots — до 36 месяцев;
• audit/security logs — до 365 дней;
• backups — до 30 дней.

23. Получатели данных

В зависимости от используемой функции получателями могут быть:

• IONOS;
• Resend;
• Google / Gemini API;
• Google / YouTube;
• Meta / Instagram;
• TikTok;
• иные технические обработчики, если они будут добавлены позднее.

Если новый provider начинает получать персональные данные, Privacy Policy должна быть обновлена до либо одновременно с вводом соответствующей обработки.

24. Обработчики

Поставщики, которые действуют от имени оператора как Auftragsverarbeiter, должны привлекаться с соблюдением Art. 28 DSGVO.

Если для коммерческого использования LOLA Q Media Studio потребуется отдельный AVV/DPA между сервисом и клиентом, Privacy Policy не заменяет такой договор.

25. Международные передачи

Если конкретный provider обрабатывает данные за пределами Европейской экономической зоны, передача должна осуществляться на основании допустимого механизма главы V DSGVO.

Это может включать:

• adequacy decision;
• Standard Contractual Clauses;
• иные предусмотренные DSGVO механизмы.

Не утверждать, что все данные всегда находятся только в Германии, поскольку внешние providers могут иметь международную инфраструктуру.

26. Право на информацию

В соответствии с Art. 15 DSGVO субъект данных может запросить информацию об обработке относящихся к нему персональных данных.

27. Право на исправление

В соответствии с Art. 16 DSGVO субъект данных может требовать исправления неточных данных.

28. Право на удаление

При наличии условий Art. 17 DSGVO субъект данных может требовать удаления персональных данных.

Это право не является абсолютным, если дальнейшее хранение требуется законом или для защиты правовых требований.

29. Ограничение обработки

При наличии условий Art. 18 DSGVO субъект данных может требовать ограничения обработки.

30. Переносимость

При наличии условий Art. 20 DSGVO субъект данных может воспользоваться правом на переносимость данных.

31. Возражение

Если обработка осуществляется на основании Art. 6 Abs. 1 lit. f DSGVO, субъект данных может при наличии условий Art. 21 DSGVO возразить против обработки.

32. Отзыв согласия

Если обработка основана на согласии, оно может быть отозвано на будущее.

33. Жалоба

Субъект данных вправе подать жалобу в компетентный Datenschutzaufsichtsbehörde.

Для Rheinland-Pfalz таким органом является:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI Rheinland-Pfalz)

Право обращаться в иной компетентный орган в соответствии с GDPR сохраняется.

34. Автоматизированные решения

LOLA Q Media Studio не использует исключительно автоматизированные решения в смысле Art. 22 DSGVO, которые сами по себе создают для пользователя юридические или аналогично существенные последствия, если такая функция отдельно не заявлена.

AI recommendations сами по себе не являются таким решением, поскольку решение об их использовании принимает пользователь.

35. Безопасность

Применяются технические и организационные меры, включая, насколько это фактически реализовано:

• password hashing;
• encrypted OAuth tokens;
• RBAC;
• Audit;
• HTTPS;
• secure session configuration;
• разграничение проектов;
• защита от IDOR;
• отсутствие secrets в Audit.

36. Изменение политики

Политика может обновляться при:

• изменении сервиса;
• появлении нового provider;
• изменении законодательства;
• изменении целей обработки.

Актуальная версия публикуется на этой странице.

37. Контакт

По вопросам защиты данных:

info@media.lolaq.de