Логотип Performance HubPerformance Hub
Раздел сайта: Документация

Безопасность и конфиденциальность

На этой странице

AI Insights & People обрабатывает биометрические данные — изображения лиц и полученные из них математические эталоны лиц — вместе с персональными данными участников. На этой странице объясняется, что хранится, где, кто может это видеть, как долго данные хранятся, как они удаляются и за что вы как оператор продолжаете отвечать.

Здесь рассматривается уровень данных о людях и ИИ; безопасность видео (шифрование при передаче, регионы хранения, изоляция камер, общий доступ) описана в разделе Безопасность и конфиденциальность видеонаблюдения.

Какие данные хранит эта функция

КатегорияСодержимое
Эталоны лицМатематические шаблоны лиц в трёх изолированных коллекциях каждого объекта: идентифицированные участники, неидентифицированные посетители (теневые профили) и чёрный список
Изображения лицФрагменты кадров с обнаружениями, фотографии профилей и теневые фотографии, хранящиеся под собственным префиксом хранилища вашего объекта
Метаданные обнаруженийКто, когда и какой камерой был замечен — записи, на которых основаны хронология и отчёты
Данные профилей участниковСинхронизируются из вашей системы управления участниками: идентификационные поля — всегда; необязательные контактные поля (адрес электронной почты, мобильный телефон, адрес) — только если вы их включите
Признаки, оцениваемые ИИПредполагаемый возрастной диапазон, пол, этническая принадлежность, очки, а также эмоции и эмоциональное состояние каждого человека

Хранение, изоляция и регионы

  • Изоляция по объектам. У каждого объекта собственные коллекции лиц — идентифицированных, неидентифицированных и чёрного списка. Распознавание никогда не выходит за пределы объекта: эталон лица с одной площадки не может дать совпадение на другой, даже в пределах одного бренда.
  • Региональное хранение. Изображения лиц и ИИ-метаданные хранятся в регионе хранения, настроенном для хранилища видеонаблюдения вашего объекта: требования к месту хранения данных применяются к данным о людях так же, как к видеозаписям.
  • Разделение обработки. Камеры и приём видео остаются на Edge Processor на вашей площадке; сопоставление и анализ лиц выполняются в облаке по закрытым коллекциям вашего объекта (Как это работает → Что где выполняется).

Кто имеет доступ к данным о людях

  • Роли. Функции People и ИИ доступны ролям управления объектом — уровня менеджера клуба и администратора — через те же назначения ролей и модулей, что и модуль «Видеонаблюдение». Сотрудники без доступа к модулю «Видеонаблюдение» ничего не видят.
  • Ограничение по функции. Каждый API People дополнительно проверяет, включена ли функция People для объекта; в противном случае вызовы возвращают "People feature is not enabled for this facility".
  • Гости исключены намеренно. Гостевые ссылки общего доступа к видеонаблюдению могут открывать доступ к камерам, записям и воспроизведению, но данные о людях и хронологии обнаружения лиц явно недоступны для гостевых токенов. Общий доступ к видеозаписям никогда не раскрывает личности.
  • MCP. Инструменты insights_* применяют те же два уровня: вызывающему нужен доступ к модулю «Видеонаблюдение», а на объекте должна быть включена функция People — см. раздел Интеграции и MCP.

Признаки, оцениваемые ИИ: что они собой представляют и чем не являются

В профилях и отчётах отображаются предполагаемые возраст, пол, этническая принадлежность, наличие очков и эмоциональное состояние, выведенное из эмоций. Важно понимать их природу:

  • Это статистические оценки по изображениям, а не факты и не данные из вашей системы управления участниками. В интерфейсе прямо указано, что информация, отслеживаемая ИИ, "may not match the data in your member management system."
  • Они предназначены для агрегированной аналитики (демографические данные в отчётах, настроение по зонам) и мягкого контекста по отдельному человеку (эмоциональное состояние). Они никогда не используются для предоставления или запрета чего-либо: правила зон доступа сопоставляются с планами членства, типами и тегами, а не с оцениваемыми признаками.
  • Настроение и эмоциональное состояние определяются классификацией выражений лица с учётом весов из вашего контекста Sentiment Scoring. Рассматривайте их как ориентировочные сигналы, а не как оценки конкретных людей.

Сроки хранения

ДанныеСрок хранения
ИИ-метаданные (обнаружения лиц, блоки хронологии, изображения обнаружений)Категория срока хранения AI Metadata в разделе Хранение и срок хранения видеонаблюдения — по умолчанию 24 месяца, настраивается для каждого объекта. Устаревшие записи и изображения удаляются автоматической очисткой
Теневые фотографииХранятся, пока существует профиль (это актуальный эталон для распознавания человека, а не архивная видеозапись); удаляются при удалении человека
Данные профилей участниковСледуют синхронизации участников; при отключении необязательного поля его сохранённые значения удаляются
ВидеозаписиРегулируются отдельно сроком хранения записей видеонаблюдения

Установите срок хранения ИИ-метаданных в соответствии с вашей политикой конфиденциальности и местным законодательством: 24 месяца — это значение по умолчанию, а не рекомендация.

Удаление данных человека

Удаление доступно на трёх уровнях:

  1. Неидентифицированные люди — действие "Delete this person" (в меню хронологии или профиля) безвозвратно удаляет теневой профиль: его эталоны лица, записи обнаружений и изображения. "This action cannot be undone."
  2. Участники — раскрывающийся раздел Advanced на панели профиля: "Permanently remove this member and all associated data from the system. This action cannot be undone." Учтите: если участник по-прежнему существует в вашей системе управления участниками, при следующей синхронизации профиль может быть создан заново. Для настоящего запроса на реализацию права на забвение сначала удалите его и из исходной системы, а затем удалите здесь.
  3. По сроку — очистка по сроку хранения ИИ-метаданных автоматически обрабатывает всё остальное.

Раздел настроек Person Data (Settings → People → Person Data) — основное место для этих административных элементов управления. Записи чёрного списка удаляются отдельно в разделе Settings → Face Recognition → Blacklist Faces.

Обязанности оператора

Обработка биометрических данных регулируется во многих юрисдикциях (например, GDPR в Европе, BIPA в Иллинойсе, Privacy Act и APPs в Австралии). Performance Hub предоставляет вам инструменты управления, но за законность работы отвечаете вы как оператор. На практике это означает следующее:

  • Информируйте людей. Разместите таблички, сообщающие о видеонаблюдении и об использовании распознавания лиц и аналитики; опубликуйте политику конфиденциальности, описывающую, что собирается, зачем и на какой срок.
  • Имейте законное основание — как правило, согласие, получаемое у участников при оформлении членства. Учитывайте свои обязательства в отношении не являющихся участниками людей (гостей, пользователей пробного периода), которые отображаются как неидентифицированные профили.
  • Минимизируйте данные. Включайте только те необязательные поля профиля, которые вам нужны; включайте отслеживание людей только на тех камерах, где аналитика по людям имеет смысл; никогда не размещайте камеры в местах, требующих особой конфиденциальности (туалеты, раздевалки).
  • Выполняйте запросы на удаление с помощью описанных выше процедур, включая удаление из исходной системы управления участниками.
  • Ограничивайте доступ — доступ к данным о людям определяется доступом к модулю «Видеонаблюдение»; назначайте эту роль обдуманно.
  • Периодически проверяйте чёрный список и очередь Self Learning — в обоих местах накапливаются решения, связанные с биометрией, которые требуют контроля со стороны человека.

Если само распознавание лиц неприемлемо в вашей юрисдикции или для вашей аудитории, учтите, что функция People корректно работает и в ограниченном режиме: без фотографий участников люди отображаются как неидентифицированные посетители, а агрегированная аналитика (активность в зонах, настроение, демографические данные) продолжает работать.