ИИ-сваха, голос и фотографии: как мы выстроили защиту данных в приложении для знакомств

Коротко о проекте

Клиент

Разработчик приложения для знакомств, частное лицо. Название приложения и сведения о владельце не раскрываем.

Как устроен сервис

Пользователь разговаривает с ИИ-свахой, та составляет его портрет и подбирает людей по характеру. Фото и голосовую визитку можно добавить по желанию, а заканчивается подбор живой встречей.

Задача

Политика, пользовательское соглашение, согласия на фото и голос и уведомление в Роскомнадзор.

Главная сложность

Знакомства почти неизбежно касаются интимной жизни, а это особая категория данных. Нужно было подбирать пары по характеру и не собирать того, что закон охраняет строже всего.

Результат

Документы под фактическую работу приложения, отдельные согласия на фото и голос, нейтральные формулировки для чувствительных признаков. Владелец внесён в реестр операторов. Когда продукт поменял правила показа фото, мы разобрали, что и как обновить.

Кого человек ищет, каким он бывает в близких отношениях, как звучит его голос. Приложение для знакомств работает с самым личным, что вообще бывает в данных. Закон относит сведения об интимной жизни к особым категориям, и для них действует совсем другой режим (статья 10 закона № 152-ФЗ).

Поэтому главный вопрос проекта звучал так: как подбирать пары по характеру и при этом не перейти черту, за которой начинаются особые категории. Ответ складывался из десятка небольших решений, и почти каждое пригодится любому продукту, который работает с чувствительными данными.

Как работает ИИ-сваха

Начали с устройства продукта и провели интервью с разработчиком. Нас интересовало, какие поля собираются при регистрации, какой сервис распознаёт речь, какая модель строит профиль, что видит другой пользователь, есть ли переписка, как удаляются фото и голос и обучается ли модель на данных пользователей. Часть вопросов требовала точных технических ответов, и мы предложили разработчику прогнать их через тот ИИ-сервис, в котором он ведёт разработку. Ответы пришли на следующий день, подробные, вплоть до настроек запросов к модели.

Путь пользователя в приложении

1. 01 Регистрация имя, возраст, пол, город, кого ищет и цель знакомства
2. 02 Разговор с ИИ-свахой голос распознаётся в текст и после этого не хранится
3. 03 Портрет личности интересы, ценности, образ жизни. Особые категории из разговора не извлекаются
4. 04 Подбор карточка с именем, возрастом и чертами характера, без фото, голоса и контактов
5. 05 Взаимно Взаимный интерес и встреча открываются фото и голосовая визитка после модерации. Контактов в приложении нет

Многое разработчик продумал сам. Аудио разговора не сохраняется, хранится только распознанный текст, который пользователь может поправить. Особые категории отсекаются фильтрами. Автоматических блокировок нет: если разговор идёт агрессивно, сваха просто его завершает. Нашей задачей было найти места, где даже аккуратный продукт подходит к черте вплотную.

Где подбор пары граничит с особыми категориями

Таких мест нашлось несколько, и каждое решалось формулировкой и правилом использования данных.

Первое скрывалось в обычном поле регистрации «кого ищу». Пол того, кого ищет человек, вместе с его собственным полом может многое сказать о его личной жизни. Мы описали эту настройку как технический фильтр подбора и прямо указали, что сервис не делает по ней никаких выводов об ориентации или интимной жизни.

Второе было тоньше. Для подбора профиль хранил два служебных признака: манеру в близком общении и то, насколько человеку комфортно в шумной компании. Первый нужен, чтобы не сводить заведомо конфликтные пары, второй помогает выбрать место встречи. Звучит безобидно, но в исходном описании это выглядело как почти психологическая диагностика. Мы заменили формулировки нейтральными: «предпочтения в отношении формата общения и уровня социальной активности». И закрепили условия, при которых особого режима не нужно: признаки используются только для подбора, никому не показываются, не являются диагнозом и не служат основой для выводов о здоровье или интимной жизни.

Голос и фото без режима биометрии

Голосовая визитка и фотографии первыми вызывают вопрос о биометрии. Голос и лицо становятся биометрическими данными, когда по ним устанавливают личность (статья 11). Приложение этого не делает: оно не сравнивает лица, не создаёт голосовых шаблонов и никого по ним не узнаёт. Это мы и записали в документах как ограничение, которое должно сохраняться и дальше.

Обычные правила при этом никуда не делись. На фото и голос нужны отдельные согласия, а на использование изображения человека ещё и согласие по статье 152.1 Гражданского кодекса. Оба материала необязательны, проходят ручную проверку и открываются только тем, с кем у пользователя возник взаимный интерес.

Что видит другой пользователь

До взаимного интереса

• Имя, возраст, пол
• Черты характера и интересы
• Почему вы подходите друг другу

Без фото, голоса и контактов

После взаимного интереса

• Фотографии после модерации
• Голосовая визитка
• Подробная совместимость

Только при отдельных согласиях владельца

Никогда

• Телефон и контакты
• Переписка
• Ответы из разговора со свахой

Частное лицо в роли оператора

Приложение вело частное лицо, без ИП и компании, и это тоже требовало ответа. Оператором персональных данных может быть и физическое лицо (пункт 2 статьи 3), а обязанности у него те же, включая уведомление Роскомнадзора. Владелец сразу спросил, что будет, если он станет самозанятым или откроет ИП. Самозанятый остаётся физическим лицом, и ничего менять не придётся. С ИП в реестр вносятся изменения (часть 7 статьи 22).

Ещё одна деталь касалась почты для обращений. Владелец указал ящик у зарубежного сервиса, а в обращения люди пишут свои данные. Мы попросили завести ящик у российского почтового сервиса, и в документах и уведомлении указан именно он.

Галочка на старте: соглашение вместо согласия

Основная работа приложения держится на пользовательском соглашении, то есть на договоре с пользователем (пункт 5 части 1 статьи 6). Отдельные согласия нужны только для фото и голоса (статья 9).

Самое приятное в этом проекте случилось после сдачи. Разработчик сверил наши документы с приложением с помощью своего ИИ-ассистента и заметил расхождение: на стартовом экране стояла привычная галочка «согласие на обработку данных», хотя по документам основа обработки договорная. Мы подтвердили его вывод и дали точный текст: «Принимаю Пользовательское соглашение и подтверждаю, что ознакомлен(а) с Политикой в отношении обработки персональных данных». Когда документы совпадают с продуктом настолько, что расхождение видно в одной галочке, это хороший знак.

Черновик уведомления в Роскомнадзор мы заполнили в личном кабинете, владелец внёс свои данные и подал его. Вскоре он получил подтверждение, что включён в реестр операторов.

Когда продукт поменял правила показа

Через месяц владелец написал снова: механика изменилась. Теперь приложение показывает до трёх подобранных анкет, и фото с голосом видны сразу, ещё до того, как кто-то отметил интерес. А в документах и согласиях было написано «после взаимного интереса». У владельца появилось несколько вопросов, и главный из них был такой: можно ли показывать фото тех, кто уже загрузил их по старой формулировке.

Мы начали с того, что осталось прежним. Анкету видят только те, кому её подобрала система, общего каталога и поиска нет, а непроверенные материалы не видны никому. Распространением закон считает раскрытие данных неопределённому кругу лиц (пункт 5 статьи 3), а здесь круг определён подбором. Поэтому новая механика укладывается в обычные отдельные согласия, если эти ограничения сохраняются. То же касается голоса: раскрывать его до отклика можно, пока по нему никого не узнают.

С теми, кто уже загрузил фото, ответ был однозначным. Новая редакция соглашения или политики не заменяет согласие, поэтому до первого показа по новым правилам нужно спросить каждого заново, отдельной галочкой и с понятным объяснением, что изменилось. Кто не согласится, тот продолжает пользоваться приложением, а его фото и голос показываются по старому порядку.

Вместе с ответами владелец получил перечень пунктов, которые нужно поменять в каждом документе, готовые тексты для галочек и экрана перед загрузкой и список вопросов, от которых зависят финальные формулировки. Например, можно ли скачать чужое фото и сколько людей подряд может увидеть одну анкету.

Что получил клиент

Когда такой разбор нужен вашему продукту

Похожие вопросы встают у любого продукта, где люди рассказывают о себе больше обычного: знакомства, психология, здоровье, сообщества по интересам. Начните с честного списка полей и признаков, которые хранит продукт, и для каждого спросите себя, что о человеке можно понять, если сложить его с остальными. Именно там обычно и прячутся особые категории.