Политика конфиденциальности

Актуально на: октябрь 2026

При расхождениях между немецкой версией и переводом приоритет имеет немецкая версия.

§ 1 Ответственное лицо

Ответственным лицом (контролёром) в смысле Общего регламента по защите данных (GDPR) является:

Alex Trupp NordvindAI (индивидуальный предприниматель) Vahrenwalder Str. 213 30165 Hannover Германия Телефон: +49 176 43198566 Email: alex.trupp@nordvind-ai.de Сайт: https://community.nordvind-ai.de

Уполномоченный по защите данных не назначен, так как предусмотренные законом условия для этого отсутствуют.

§ 2 Обзор обработки данных

NordvindAI — это студия на основе ИИ: по фотографии и записи голоса создаётся цифровой аватар, с помощью которого генерируются короткие вертикальные видео («Reels»).

Категории обрабатываемых данных:

Адрес электронной почты (регистрация, вход, заказ)
Пароль (хранится в зашифрованном виде; не применяется при входе через Google)
Фотография и запись голоса для создания аватара и клона голоса
Ваше согласие на обработку фото/голоса с указанием времени
Темы и сценарии, вводимые для генерации видео
Сгенерированные видео, сценарии, субтитры
Договорные и платёжные данные (тариф, статус оплаты, ID клиента Stripe; данные карты — только у Stripe)
Данные об использовании (количество созданных видео, лимит)
при подключении социальных каналов: токены доступа и ID канала
при активации: push-подписка Вашего браузера
Данные журналов (IP-адрес, тип браузера, время доступа — у поставщиков инфраструктуры)

§ 3 Правовые основания

Согласие (ст. 6(1)(a), ст. 9(2)(a) GDPR; § 25 абз. 1 TDDDG): фото и голос для аватара/клона голоса, аналитические и маркетинговые cookie, push-уведомления, подключение социальных каналов
Исполнение договора (ст. 6(1)(b) GDPR): аккаунт, генерация видео, обработка платежей, расторжение
Законные интересы (ст. 6(1)(f) GDPR): безопасность, предотвращение злоупотреблений, работа системы
Юридическая обязанность (ст. 6(1)(c) GDPR): обязанности по хранению согласно торговому и налоговому праву

§ 4 Меры безопасности

TLS-шифрование всех соединений
Хранение паролей в зашифрованном виде
Row Level Security (RLS) в базе данных — доступ только к собственным данным
Подписанные URL с ограниченным сроком действия для доступа к медиафайлам
Ограничение доступа к инфраструктуре и API-ключам

§ 5 Регистрация и аккаунт пользователя

Аккаунт можно создать с помощью email и пароля, через Google (OAuth; Google Ireland Limited) или в рамках заказа; в последнем случае используется адрес электронной почты, указанный при оформлении заказа, а доступ предоставляется по magic-link.

Сохраняются: адрес электронной почты, при наличии — зашифрованный пароль, ID пользователя, время регистрации.

Правовое основание: ст. 6(1)(b) GDPR. Вы можете в любое время удалить аккаунт в настройках аккаунта; после этого повторная регистрация с тем же адресом электронной почты заблокирована на 30 дней (защита от злоупотреблений).

§ 6 Создание аватара и клона голоса

Для Вашего ИИ-аватара Вы загружаете фотографию и короткую запись голоса. Перед загрузкой Вы даёте явное согласие, самостоятельно отмечая соответствующий флажок; мы сохраняем время предоставления согласия.

Ваша фотография передаётся в HeyGen (HeyGen Technology Inc., США) для создания фото-аватара, а запись голоса — в ElevenLabs (Eleven Labs Inc., США) для создания клона голоса. Для синтеза речи дополнительно может использоваться Google Gemini (Google Ireland Limited); при этом передаётся только текст сценария.

Фотография и голос могут позволять однозначно Вас идентифицировать; обработка осуществляется исключительно на основании Вашего согласия (ст. 9(2)(a) GDPR). Вы можете в любое время отозвать его с действием на будущее — по электронной почте или удалив аватар либо аккаунт; в этом случае мы инициируем удаление данных у поставщиков услуг, насколько это технически возможно.

HeyGen: https://www.heygen.com/privacy-policy ElevenLabs: https://elevenlabs.io/privacy Google: https://policies.google.com/privacy

§ 7 Генерация видео и поиск B-roll

Для создания Ваших видео мы обрабатываем введённые Вами темы и сценарии. Хуки, сценарии и проверку качества видеоматериала выполняет Anthropic (Anthropic Ireland, Limited / Anthropic, PBC, США); фоновый материал, сгенерированный ИИ, создаёт xAI (SpaceXAI LLC, США).

При автоматическом поиске B-roll наши серверы по поисковым запросам, основанным на Вашей теме, ищут общедоступные видеоматериалы (например, на YouTube или X) и загружают подходящие фрагменты; при этом Ваши персональные данные этим платформам не передаются.

Готовые видео хранятся в Cloudflare R2, пока Вы храните их в своей галерее; Вы можете удалить их в любое время.

Правовое основание: ст. 6(1)(b) GDPR.

Anthropic: https://www.anthropic.com/legal/privacy xAI: https://x.ai/legal/privacy-policy

§ 8 Обработка платежей

Платежи обрабатываются через Stripe (Stripe Payments Europe, Ltd., Дублин, Ирландия; Stripe, Inc., США). Мы предлагаем разовые покупки и ежемесячные подписки.

В Stripe передаются Ваш адрес электронной почты, при наличии — Ваш ID пользователя, а также тариф и Ваши согласия при заказе (время, редакция Условий). Платёжные данные (например, данные карты) обрабатывает исключительно Stripe; у нас хранятся ID клиента Stripe, статус подписки и оплаты. Stripe.js загружается только на страницах заказа и оплаты и устанавливает там cookie для выявления мошенничества (§ 25 абз. 2 п. 2 TDDDG).

Правовое основание: ст. 6(1)(b) и (c) GDPR (хранение бухгалтерских документов: 8 или 10 лет).

Stripe: https://stripe.com/privacy

§ 9 Cookie и аналогичные технологии

Технически необходимые (§ 25 абз. 2 п. 2 TDDDG — согласие не требуется):

Cookie аутентификации Supabase (sb-*-auth-token): вход и сессия
NEXT_LOCALE: выбранный язык интерфейса
nv_consent: Ваш выбор в отношении cookie с указанием времени, срок хранения шесть месяцев
Stripe (__stripe_mid, __stripe_sid): выявление мошенничества, только на страницах заказа и оплаты

Требующие согласия (§ 25 абз. 1 TDDDG, ст. 6(1)(a) GDPR):

Аналитика: Google Analytics через Google Tag Manager
Маркетинг: Google Ads через Google Tag Manager, включая расширенные конверсии (Ваш адрес электронной почты передаётся в Google только в виде хеша SHA-256)

Google Tag Manager загружается только после того, как Вы дали согласие в cookie-баннере. Дополнительно мы используем Google Consent Mode v2 с настройкой по умолчанию «отклонено». Поставщик: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ирландия.

Вы можете в любое время изменить или отозвать своё решение через «Настройки cookie» в нижней части каждой страницы; отзыв действует на будущее.

§ 10 Хостинг и инфраструктура

Приложение работает на Cloudflare (Cloudflare, Inc., США): Cloudflare Workers и Containers (выполнение и рендеринг видео), Cloudflare R2 (хранилище медиафайлов), CDN и защита от DDoS. При каждом обращении Cloudflare обрабатывает данные серверных журналов (IP-адрес, временная метка, запрошенный URL, код статуса, реферер, браузер/операционная система).

Правовое основание: ст. 6(1)(f) GDPR (безопасная и стабильная работа).

Cloudflare: https://www.cloudflare.com/privacypolicy/

§ 11 База данных, электронная почта и уведомления

Аккаунтами, профилями, метаданными видео и аутентификацией управляет Supabase (Supabase Pte. Ltd., Сингапур; серверы базы данных в ЕС: AWS, регион Стокгольм). Транзакционные письма (например, ссылки для входа, подтверждения заказов, уведомления о готовых видео) мы отправляем через Resend (Resend, Inc., США).

Push-уведомления Вы получаете только в том случае, если разрешите их в своём браузере. Для этого мы сохраняем push-подписку Вашего браузера; доставка осуществляется через push-сервис производителя Вашего браузера (например, Google, Mozilla, Apple). Вы можете в любое время отозвать разрешение в настройках или в браузере.

Правовое основание: ст. 6(1)(b) GDPR; для push-уведомлений — ст. 6(1)(a) GDPR, § 25 абз. 1 TDDDG.

Supabase: https://supabase.com/privacy Resend: https://resend.com/legal/privacy-policy

§ 13 Получатели и обработчики данных

Мы привлекаем следующих поставщиков услуг:

Cloudflare, Inc. (США): хостинг, рендеринг, CDN, хранилище медиафайлов
Supabase Pte. Ltd. (Сингапур; серверы в ЕС): база данных, аутентификация
Stripe Payments Europe, Ltd. / Stripe, Inc.: обработка платежей
HeyGen Technology Inc. (США): фото-аватар и видео с аватаром
Eleven Labs Inc. (США): клон голоса и синтез речи
Google Ireland Limited: синтез речи (Gemini), вход через Google, публикация на YouTube; Tag Manager, Analytics и Ads — только после согласия
Anthropic Ireland, Limited / Anthropic, PBC (США): создание текстов с помощью ИИ, проверка изображений
SpaceXAI LLC (xAI, США): генерация фонового материала с помощью ИИ
Resend, Inc. (США): отправка электронных писем
Meta Platforms Ireland Limited: только при подключении Вашего аккаунта Instagram

С обработчиками данных заключены договоры согласно ст. 28 GDPR.

§ 14 Передача данных в третьи страны

Ряд поставщиков услуг находится за пределами Европейской экономической зоны. Основание передачи для каждого получателя:

EU-U.S. Data Privacy Framework (решение об адекватности, ст. 45 GDPR), дополнительно стандартные договорные положения: Cloudflare, Stripe, HeyGen, ElevenLabs, Google, Resend, Meta, Microsoft
Стандартные договорные положения Европейской комиссии (ст. 46(2)(c) GDPR) в составе соответствующих договоров об обработке данных: Anthropic, SpaceXAI (xAI), Supabase (Сингапур; сама база данных размещена в ЕС)

Ваше фото и голос передаются исключительно HeyGen и ElevenLabs, обе компании сертифицированы по Data Privacy Framework. Данные шифруются при передаче и хранении.

§ 15 Срок хранения

Фотография, запись голоса и подтверждение согласия: до отзыва согласия, удаления аватара или аккаунта
Сгенерированные видео: до их удаления Вами или до удаления аккаунта
Данные аккаунта: в течение периода использования; удаляются при удалении аккаунта
Данные счетов и бухгалтерского учёта: в соответствии со сроками хранения по торговому и налоговому праву (8 или 10 лет)
Заявления о расторжении и подтверждения: до истечения срока исковой давности (3 года)
Журналы сервера и приложения (Cloudflare): не более 7 дней

После удаления аккаунта повторная регистрация с тем же адресом электронной почты заблокирована на 30 дней.

§ 16 Ваши права

Доступ к данным (ст. 15 GDPR)
Исправление (ст. 16 GDPR)
Удаление (ст. 17 GDPR) — в том числе через «Удалить аккаунт» в настройках аккаунта
Ограничение обработки (ст. 18 GDPR)
Переносимость данных (ст. 20 GDPR)
Возражение против обработки на основании законных интересов (ст. 21 GDPR)
Отзыв данных согласий с действием на будущее (ст. 7(3) GDPR)

Достаточно отправить сообщение в свободной форме на alex.trupp@nordvind-ai.de.

§ 17 Право на подачу жалобы

Вы можете подать жалобу в надзорный орган по защите данных (ст. 77 GDPR). Компетентный для нас орган: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, https://www.lfd.niedersachsen.de

§ 18 Несовершеннолетние

Наш сервис не предназначен для лиц младше 18 лет. Мы сознательно не собираем данные несовершеннолетних.

§ 19 Маркировка ИИ (AI Act ЕС)

Видео, созданные с помощью нашего сервиса, содержат контент, сгенерированный ИИ (видео с аватаром, голос, при необходимости B-roll, сгенерированный ИИ). В соответствии со ст. 50 Регламента (ЕС) 2024/1689 об искусственном интеллекте мы маркируем их видимым образом в видео и в машиночитаемом виде в метаданных видеофайла.

§ 20 Отсутствие автоматизированного принятия решений

Автоматизированное принятие решений, включая профилирование, влекущее юридические последствия (ст. 22 GDPR), не осуществляется.

§ 21 Изменения

Мы адаптируем настоящую политику конфиденциальности при изменении правовой ситуации или сервиса. Актуальная редакция всегда доступна по адресу https://community.nordvind-ai.de/privacy.