Rechtsverbindlich ist die russische Fassung dieses Dokuments. Russische Fassung

Richtlinie zur Verarbeitung personenbezogener Daten

Version 2.0.0 · Gültig ab 24. Oktober 2026

Diese Richtlinie (nachfolgend „Richtlinie“) legt fest, welche personenbezogenen Daten Einzelunternehmer Nikulin Artem Andreevich (nachfolgend „Betreiber“) beim Betrieb des Dienstes Polyzon Studio unter https://studio.polyzon.org (nachfolgend „Dienst“) verarbeitet, zu welchem Zweck, auf welcher Grundlage und wie lange, an wen er sie übermittelt und wie er sie schützt. Die Richtlinie wird in Erfüllung von Art. 18.1 Abs. 2 des Föderalen Gesetzes Nr. 152-FZ vom 27.07.2006 „Über personenbezogene Daten“ (nachfolgend „Gesetz über personenbezogene Daten“) erlassen.

1. Allgemeine Bestimmungen

1.1. Die Richtlinie gilt für alle personenbezogenen Daten, die der Betreiber im Zusammenhang mit dem Dienst verarbeitet, mit und ohne Einsatz von Automatisierungsmitteln.

1.2. Die Anmeldung beim Dienst erfolgt über ein Konto auf polyzon.org. Der Dienst und polyzon.org gehören demselben Betreiber; die Verarbeitung der Kontodaten auf polyzon.org ist in den Dokumenten von polyzon.org beschrieben.

1.3. Personenbezogene Daten werden auf den in Abschnitt 4 genannten Rechtsgrundlagen verarbeitet. Für den Betrieb des Dienstes ist keine gesonderte Einwilligung in die Verarbeitung erforderlich: Die Verarbeitung ist zur Erfüllung der Nutzungsvereinbarung und des Angebots erforderlich, deren Partei der Nutzer ist. Beginnt der Betreiber eine Verarbeitung, für die eine Einwilligung nötig ist (zum Beispiel Werbe-E-Mails oder Analysen), holt er diese getrennt von anderen Dokumenten ein.

2. Angaben zum Betreiber

Einzelunternehmer Nikulin Artem Andreevich
INN (Steuer-Identifikationsnummer): 434547133957, OGRNIP (staatliche Hauptregistrierungsnummer des Einzelunternehmers): 326430000048653
Staatliche Registrierung: 30. Juli 2026, Verwaltung des Föderalen Steuerdienstes für das Gebiet Kirow
Postanschrift für Anfragen: office 1022, 109 Lenina St., Kirov, Russia
E-Mail für Anfragen betroffener Personen: support@polyzon.org
Verantwortlich für die Organisation der Verarbeitung personenbezogener Daten ist der Betreiber persönlich.

3. Grundsätze der Verarbeitung

Der Betreiber verarbeitet personenbezogene Daten:

rechtmäßig und nach Treu und Glauben, nur für vorab festgelegte Zwecke aus Abschnitt 4;
in dem für diese Zwecke erforderlichen Umfang, ohne Datenbanken mit unvereinbaren Zwecken zusammenzuführen;
unter Gewährleistung der Richtigkeit der Daten und mit Maßnahmen zur Löschung oder Berichtigung unrichtiger Daten;
nicht länger, als es die Zwecke der Verarbeitung, ein Vertrag oder das Gesetz erfordern; danach werden die Daten vernichtet oder depersonalisiert.

4. Zwecke, Daten, Rechtsgrundlagen und Fristen

Zweck	Daten	Rechtsgrundlage	Frist
Anmeldung und Führung des Nutzerkontos	Pseudonyme Kennung des Kontos auf polyzon.org; E-Mail-Adresse, Name und Adresse des Profilbilds – sofern der Nutzer deren Übermittlung erlaubt hat; Empfehlungscode; Erstellungsdaten; Version und Zeitpunkt der Annahme der Dokumente, IP-Adresse bei der Annahme	Vertragserfüllung (Art. 6 Abs. 1 Nr. 5 des Gesetzes über personenbezogene Daten)	Bis zur Löschung des Nutzerkontos. Angaben zur Annahme der Dokumente – 3 Jahre nach der Löschung (Verjährungsfrist), zum Schutz der Rechte des Betreibers (Art. 6 Abs. 1 Nr. 7)
Erbringung der Leistungen des Dienstes	Beschreibungen und Nachrichten, hochgeladene Bilder, Fotos und 3D-Modelle, erstellte Ergebnisse, Verlauf der Generierungen und der Chats mit dem Assistenten, öffentliche Links, Tool-Favoriten, Einstellungen	Vertragserfüllung (Art. 6 Abs. 1 Nr. 5)	Bis der Nutzer den betreffenden Inhalt oder das Nutzerkonto löscht
Zahlung und Abrechnung von Tokens	Paket, Betrag, Datum und Status der Zahlung, Zahlungs-ID bei YooKassa, E-Mail-Adresse für den Kassenbeleg, Buchungen auf dem Token-Guthaben	Vertragserfüllung (Art. 6 Abs. 1 Nr. 5); gesetzliche Pflichten nach dem Recht über Registrierkassen sowie nach Steuer- und Buchführungsrecht (Art. 6 Abs. 1 Nr. 2)	5 Jahre nach Ablauf des Jahres, in dem der Vorgang stattgefunden hat
Empfehlungsprogramm	Empfehlungscode, Verknüpfung „hat eingeladen – wurde eingeladen“, gutgeschriebene Tokens; Cookie `studio_ref`	Vertragserfüllung (Art. 6 Abs. 1 Nr. 5)	Bis zur Löschung des Nutzerkontos; Gutschriften – als Teil der Buchungen auf dem Guthaben
Support, Reklamationen und Feedback	Nachrichten im Chat „Hilfe“ und per E-Mail, Bewertungen und Feedback zu Antworten des Assistenten, Angaben aus Meldungen und Reklamationen	Vertragserfüllung (Art. 6 Abs. 1 Nr. 5); berechtigtes Interesse des Betreibers an der Verbesserung des Dienstes und am Schutz seiner Rechte (Art. 6 Abs. 1 Nr. 7)	Bis zur Löschung des Nutzerkontos, jedoch höchstens 3 Jahre ab der letzten Nachricht
Sicherheit und Verhinderung von Missbrauch	IP-Adresse, Browserdaten (User-Agent), Hash des Sitzungsschlüssels, Zeitpunkt von Anmeldungen und Anfragen, Zähler für die Begrenzung der Anfragehäufigkeit, technische Protokolle	Berechtigtes Interesse des Betreibers am Schutz des Dienstes und der Nutzer (Art. 6 Abs. 1 Nr. 7)	Sitzungen – bis zur Abmeldung oder zum Ablauf (30 Tage); technische Protokolle – höchstens 12 Monate
Erfüllung gesetzlicher Anforderungen	Angaben, die zur Beantwortung von Anfragen betroffener Personen, Gerichte und zuständiger Behörden erforderlich sind	Gesetzliche Pflicht (Art. 6 Abs. 1 Nr. 2)	Für die gesetzlich festgelegte Dauer

4.1. Betroffene Personen, deren Daten verarbeitet werden: Nutzer des Dienstes, Besucher der Website und Personen, die dem Betreiber eine Anfrage oder Meldung geschickt haben.

4.2. Der Betreiber verarbeitet keine besonderen Kategorien personenbezogener Daten und keine biometrischen personenbezogenen Daten: Hochgeladene Fotos werden nur zur Erstellung von Bildern und 3D-Modellen auf Anfrage verwendet und nicht zur Identifizierung von Personen eingesetzt.

4.3. Der Betreiber erhebt nicht gezielt Angaben über Dritte. Lädt ein Nutzer ein Foto einer anderen Person hoch, muss er deren Einwilligung einholen (Nutzungsvereinbarung, Abschnitt 8). Auf Antrag der abgebildeten Person werden solche Inhalte gelöscht.

4.4. Der Dienst richtet sich nicht an Personen unter 14 Jahren. Das Nutzerkonto einer solchen Person wird samt Daten auf Antrag des gesetzlichen Vertreters oder bei Feststellung dieses Umstands gelöscht.

4.5. Der Betreiber trifft keine Entscheidungen, die für den Nutzer rechtliche Folgen haben, ausschließlich auf Grundlage einer automatisierten Verarbeitung. Automatische Filter der KI-Anbieter können eine Generierung ablehnen; die Tokens für eine solche Generierung werden zurückgebucht, und der Nutzer kann sich an den Support wenden.

5. Verfahren und Bedingungen der Verarbeitung

5.1. Die Verarbeitung umfasst Erhebung, Erfassung, Systematisierung, Sammlung, Speicherung, Präzisierung, Abruf, Nutzung, Übermittlung (Bereitstellung, Zugang), Depersonalisierung, Sperrung, Löschung und Vernichtung. Die Verarbeitung erfolgt überwiegend automatisiert.

5.2. Die Daten stammen vom Nutzer selbst und bei der Anmeldung von polyzon.org. Erfassung, Systematisierung, Sammlung, Speicherung, Präzisierung und Abruf personenbezogener Daten von Bürgern der Russischen Föderation erfolgen in Datenbanken auf Servern im Hoheitsgebiet der Russischen Föderation (Art. 18 Abs. 5 des Gesetzes über personenbezogene Daten).

5.3. Die Tools im Bereich „Tools“ arbeiten im Browser des Nutzers: In sie hochgeladene Dateien werden nicht an den Betreiber übermittelt, solange der Nutzer ein Ergebnis nicht selbst an das Studio, die Bibliothek oder den Assistenten sendet.

6. Übermittlung von Daten

6.1. Der Betreiber übermittelt personenbezogene Daten nur in dem für den jeweiligen Zweck erforderlichen Umfang:

an die Nichtbank-Kreditorganisation YooMoney OOO (Dienst YooKassa, Russland) – zur Entgegennahme von Zahlungen und zum Versand des Kassenbelegs: Betrag, Beschreibung des Kaufs, Bestell- und Nutzerkennungen im Dienst und die E-Mail-Adresse für den Kassenbeleg. Die Kartendaten gibt der Nutzer bei YooKassa ein, der Betreiber erhält sie nicht;
an einen Hosting-Anbieter (Rechenzentrum in Russland) – zum Betrieb des Dienstes und zur Speicherung von Daten im Auftrag des Betreibers;
an KI-Anbieter – zur Ausführung der Anfrage des Nutzers: OpenRouter, Inc. (USA) und die Modelle künstlicher Intelligenz, an die OpenRouter die Anfrage weiterleitet, sowie Meshy (USA) für 3D-Modelle. Übermittelt wird nur der Inhalt der Anfrage – Beschreibung, Nachrichten an den Assistenten, hochgeladene Bilder und Modelle – ohne Namen, E-Mail-Adresse und Kennungen des Nutzerkontos;
an staatliche Behörden und Gerichte – in den gesetzlich festgelegten Fällen und Verfahren.

6.2. Die Übermittlung an KI-Anbieter ist grenzüberschreitend und erfolgt in Staaten, die nicht in der Liste der Staaten aufgeführt sind, die einen angemessenen Schutz der Rechte betroffener Personen gewährleisten. Sie erfolgt nach Art. 12 des Gesetzes über personenbezogene Daten und nur zur Erfüllung des Vertrags mit dem Nutzer – auf dessen Anfrage. Personenbezogene Daten gelangen nur dann zu KI-Anbietern, wenn der Nutzer sie selbst in die Anfrage aufgenommen hat. Gib in Beschreibungen und Nachrichten keine personenbezogenen Daten an und lade Fotos von Personen nur mit deren Einwilligung hoch.

6.3. KI-Anbieter verarbeiten die erhaltenen Daten nach ihren eigenen, auf ihren Websites veröffentlichten Regeln. Der Betreiber verwendet Inhalte der Nutzer nicht zum Training von Modellen künstlicher Intelligenz und verkauft keine personenbezogenen Daten.

7. Beendigung der Verarbeitung und Vernichtung

7.1. Der Betreiber beendet die Verarbeitung und vernichtet personenbezogene Daten bei Erreichen des Zwecks, bei Ablauf der Frist nach Abschnitt 4, bei Widerruf der Einwilligung (sofern die Verarbeitung auf ihr beruhte), auf Verlangen der betroffenen Person, eine auf berechtigtem Interesse beruhende Verarbeitung zu beenden, oder bei Feststellung einer unrechtmäßigen Verarbeitung – innerhalb der in Art. 21 des Gesetzes über personenbezogene Daten festgelegten Fristen, in der Regel spätestens nach 30 Tagen.

7.2. Der Nutzer löscht seine Inhalte im Dienst selbst – in der Bibliothek und im Bereich „Konto“; das gesamte Nutzerkonto löscht der Betreiber auf Anfrage. Daten, die der Betreiber gesetzlich aufbewahren muss (Abschnitt 4, „Zahlung und Abrechnung von Tokens“), werden bis zum Ablauf der Frist getrennt aufbewahrt und nicht für andere Zwecke verwendet. Aus Sicherungskopien werden die Daten bei deren planmäßigem Überschreiben gelöscht.

7.3. Die Vernichtung wird durch ein Protokoll und einen Auszug aus dem Ereignisprotokoll in dem von Roskomnadzor (der russischen Aufsichtsbehörde für den Datenschutz) festgelegten Verfahren bestätigt.

8. Schutz personenbezogener Daten

8.1. Der Betreiber trifft rechtliche, organisatorische und technische Schutzmaßnahmen, darunter:

Anmeldung über polyzon.org per OpenID Connect (authorization code + PKCE): Der Dienst erhält und speichert keine Passwörter;
Speicherung von Sitzungsschlüsseln ausschließlich als SHA-256-Hash;
Verschlüsselung der Verbindungen per TLS;
abgestufte Zugriffsrechte auf Daten und interne Funktionen;
Schutz vor Brute-Force-Angriffen und Missbrauch: Begrenzung der Anfragehäufigkeit, CSRF-Schutz, Prüfung von Eingaben;
regelmäßige Aktualisierung der Software und Beseitigung von Sicherheitslücken;
Datensicherungen und Kontrolle der Einhaltung dieser Richtlinie.

8.2. Über eine unrechtmäßige Übermittlung personenbezogener Daten, die zu einer Verletzung der Rechte betroffener Personen geführt hat, informiert der Betreiber Roskomnadzor innerhalb von 24 Stunden und über die Ergebnisse der Untersuchung innerhalb von 72 Stunden (Art. 21 Abs. 3.1 des Gesetzes über personenbezogene Daten).

9. Rechte der betroffenen Person

9.1. Die betroffene Person hat das Recht:

Auskunft über die Verarbeitung ihrer personenbezogenen Daten zu erhalten;
die Präzisierung, Sperrung oder Vernichtung der Daten zu verlangen, wenn sie unvollständig, veraltet, unrichtig, unrechtmäßig erlangt oder für den angegebenen Zweck nicht erforderlich sind;
die Beendigung einer Verarbeitung zu verlangen, die auf dem berechtigten Interesse des Betreibers beruht, und ihre Einwilligung zu widerrufen, sofern die Verarbeitung auf dieser beruhte;
Handlungen des Betreibers bei Roskomnadzor oder vor Gericht anzufechten sowie Ersatz von Schäden und eine Entschädigung für immaterielle Schäden zu verlangen.

9.2. Die Anfrage wird an support@polyzon.org von der E-Mail-Adresse des Nutzerkontos oder per Brief an folgende Adresse gesendet: office 1022, 109 Lenina St., Kirov, Russia. In der Anfrage sind Angaben, die das Verhältnis zum Betreiber belegen (zum Beispiel die E-Mail-Adresse des Nutzerkontos), sowie der Gegenstand des Verlangens anzugeben.

9.3. Der Betreiber antwortet innerhalb von 10 Arbeitstagen ab Eingang der Anfrage. Die Frist kann unter Übersendung einer begründeten Mitteilung um höchstens 5 Arbeitstage verlängert werden.

10. Cookies

Der Dienst verwendet nur notwendige und funktionale Cookies; Analyse- und Werbe-Cookies gibt es nicht. Mehr dazu in der Cookie-Richtlinie.

11. Änderung der Richtlinie

11.1. Der Betreiber ist berechtigt, die Richtlinie zu ändern. Eine neue Fassung tritt mit ihrer Veröffentlichung in Kraft, sofern darin nichts anderes bestimmt ist; über wesentliche Änderungen informiert der Betreiber im Dienst.

11.2. Die geltende Fassung ist jederzeit unter https://studio.polyzon.org/de/legal/data-processing abrufbar.