Споразумение за обработка на данни (DPA)

Защо тази страница ви е нужна преди подписване: от нея се вижда какво точно обработваме, къде се съхранява, на кого се предава и какво можем и какво не можем — без обещания, които ги няма в продукта. Техническата страна на същия въпрос — Сигурност и данни.

1. Страни и роли#

Какво стои зад тези думи на практика:

• Целите определяте вие. Вие решавате дали да събирате телефоните на гостите, дали да записвате разговори, дали да водите кадрово дело в панела, дали да включвате ИИ-функции. Ние даваме инструмент и изпълняваме възлагане — набор от действия, които вие задавате с настройките на акаунта и със своите действия в интерфейса.
• Правното основание също е ваше. Съгласието на госта, договорът с него, вашето законово задължение (фискална касова бележка, кадрово отчитане, регистрация на гост на хотел) — осигурявате ги вие. Платформата не проверява и не може да провери дали сте имали основание да впишете конкретно лице в базата.
• Документите за субектите са ваши. Политиката за поверителност на витрината, cookie-банерът, текстът на съгласието за разпращане се публикуват от ваше име. Ние даваме конструктор, хостинг на страници и дневник на съгласията — вижте Правни документи и Cookies и съгласие.
• Има участъци, където ние сме самостоятелен контролор, и това честно се отделя: данните на вашия акаунт и плащанията за абонамент, техническата телеметрия на грешки в панела, кореспонденцията с поддръжката. Те се обработват по нашата политика, а не по вашето възлагане.

Какво остава на вас като оператор#

Информиране на субектите и събиране на основания · законност на целите · отговори на обръщения на субекти (ние помагаме, вижте §9) · уведомления до регулатора там, където законът ги възлага на оператора (в РФ — уведомление до Роскомнадзор за обработката и за инцидент) · настройка на ролите така, че служителите да виждат само нужното · решение дали да включвате ИИ-функции и предаване на данни към чуждестранни модели.

2. Предмет, характер и цели на обработката#

Обработваме данни само за да работят функциите, които сте включили, и за поддръжка на тези функции по ваше обръщение. Не използваме съдържанието на вашия акаунт за реклама, профилиране и не обучаваме на него свои модели, не го продаваме и не го предаваме на трети лица, освен на субобработчиците от §6 и на получателите, които избирате сами.

Характерът на обработката — събиране, записване, систематизиране, съхранение, уточняване, извличане, използване, обезличаване, блокиране, изтриване; автоматизирана обработка в облак.

Пълната разбивка „модул → данни → цел → срок“ — в Приложение А.

3. Категории субекти и категории данни#

Категории субекти: гости и клиенти · потенциални клиенти · служители · кандидати за работа · потребители на акаунт (собственик и служители с логин) · представители на контрагенти и партньори.

Категории данни, които продуктът приема:

Специални категории (чл. 9 GDPR, чл. 10 152-FZ) платформата сама не събира. В продукта обаче има полета, в които вие можете да въведете данни за здравето: медицинска книжка и болничен на служител, ограничения за здравето и храненето на гост на хотел. Като ги въвеждате, вие поемате повишени изисквания към основанието и мерките за защита; нашата част е да ги пазим в затворен за преглед вид и да не ги показваме без ясна цел.

Биометрията е забранена на ниво платформа. Класът е маркиран като забранен в регистъра на политиките и опитът да се запишат такива данни се отхвърля от код, а не от инструкция. Отпечатъци, слепки на лице и гласови модели в контура няма.

Данни за платежни карти при нас няма изобщо — нито номер, нито CVV: картата се обработва от платежния доставчик, до нас стига само резултатът от операцията.

4. Срок на обработване, изтриване и връщане на данни#

• Срокът е за времето на действие на абонамента и на вашия акаунт. Докато акаунтът е активен, данните се съхраняват, за да работят функциите.
• Изтриване — в срок до 30 дни от момента на вашето писмено искане или прекратяване на договора. Това се отнася както за изтриване на акаунта изцяло, така и за изтриване на отделен набор от данни по ваше поръчение.
• Да вземете данните преди изтриването е ваша задача, а наше задължение е да помогнем. Експортът се събира самостоятелно, без обръщане към поддръжката: Експорт на данни. Готовият архив живее 7 дни, секрети в него нарочно не попадат.
• Част от сроковете се задават от закона, а не от абонамента. Фискални документи, кадрово дело, регистрация на гост на хотел се съхраняват толкова, колкото изисква нормата на съответната държава — и в тези случаи изтриване „по молба“ е невъзможно до изтичане на срока. Такива записи в продукта са маркирани с режим на задължително съхранение.
• Резервни копия. Срокове за съхранение на вътрешни копия не публикуваме — и затова не обещаваме, че „данните ще изчезнат отвсякъде в същия ден“. Правилната застраховка от ваша страна: дръжте свое копие чрез експорта, особено преди масови промени.
• Какво преживява изтриването на обект — разкриваме го пряко. Журналът на ИИ-взаимодействията на акаунта (заявка към модела и неговият отговор, включително текст, разпознат от вашия документ) се води за отчитане на разхода и разбор на инциденти и при изтриване на изходния документ не се изчиства. Кешът на отговорите и генерираните учебни материали могат да цитират изтрит документ до следващото пресглобяване. Пълното изтриване на тези следи — при обръщане към поддръжката.
• Съдържание, вече предадено на ИИ доставчик по време на изпълнението на вашата заявка, живее по неговите собствени правила за съхранение и извън нашия контрол.

5. Задължения на обработващия#

5.1 Обработка само по ваши инструкции. Инструкцията представлява вашите настройки на акаунта, вашите действия в интерфейса и отделни писмени указания. Ако инструкцията, по наше мнение, нарушава закона за защита на личните данни, ние ви уведомяваме за това и имаме право да спрем изпълнението.

5.2 Поверителност на персонала. Достъп до данните на акаунта има ограничен кръг от наши служители и подизпълнители, обвързани със задължение за поверителност; достъпът се предоставя при необходимост от извършване на работата и се отнема при нейното приключване.

5.3 Мерки за сигурност — пълен списък в Приложение Б. Накратко: предаване само по TLS; обектите в хранилищата се шифроват от страна на услугата; отделен контур за лични данни с шифроване на записа и затворен път за четене; разграничаване на достъпа по роли, нива на раздела и обхват на обектите; изолация на акаунтите чрез префикс в хранилището; необратими хешове за паролата и PIN.

5.4 Достъп на поддръжката — само с вашето изрично разрешение. Служител на поддръжката не може да влезе в акаунта по свое желание: необходим е включен превключвател в Настройки → Достъп на поддръжката (/settings/support-access), обемът („само преглед“ или „преглед и промяна“) избирате вие, всяка сесия се записва в журнала (кой, кога, в какъв обем), а оттеглянето на съгласието прекратява дори течащата сесия. Партньорът-внедрител влиза само по молба, която собственикът одобрява, за ограничено време и с бадж в интерфейса; парите, кадрите, износа на данни и интеграциите му се затварят от сървъра във всеки режим.

5.5 Журналиране. Водят се: журнал на съгласията на собственика за достъп на поддръжката и журнал на самите сесии, журнал на входовете на партньорите, журнал на ИИ-взаимодействията на акаунта, журнал на обръщенията към контура за лични данни. В последния действа бариера за одит: няма запис в журнала — няма издаване на откритата стойност.

5.6 Помощ при отговори на субекти — вж. §9.

5.7 Уведомяване при инцидент. За нарушение на сигурността на личните данни, засегнало вашия акаунт, ви уведомяваме не по-късно от 72 часа от момента на откриването, без неоправдано забавяне, и предаваме това, което знаем към този момент: характера на инцидента, засегнатите категории данни и субекти (доколкото е установено), вероятните последици, предприетите и планираните мерки, контакт за уточнения. Ако към срока картината е непълна, изпращаме частично уведомление и го допълваме с напредъка на разследването — да се мълчи „до пълна яснота“ не е допустимо. ⚠️ Уведомяването на регулатора и субектите е задължение на оператора, тоест ваше: в Руската федерация това са 24 часа за съобщаване на факта и 72 часа за резултатите от вътрешното разследване, в ЕИП — 72 часа за уведомяване на надзорния орган. Затова нашият срок е изграден така, че вие да успеете в своя.

5.8 Съдействие при оценка на въздействието (DPIA). При поискване предаваме описание на обработката, мерките и подизпълнителите в обема на този документ и неговите приложения — това обикновено е достатъчно за вашата оценка.

5.9 Изтриване или връщане при приключване — вж. §4.

6. Подизпълнители#

Привличаме подизпълнители — иначе облачен продукт не съществува. Пълният списък с предназначение, място на обработка и състав на предаваните данни е в Приложение В. Правилата, които предлагаме да закрепим:

• подизпълнителят се привлича по писмен договор с условия за защита не по-ниски от приетите в това споразумение;
• пред него се разкрива минимумът от данни, необходим за неговата функция;
• за нов или заменен подизпълнител съобщаваме с писмо на адреса на собственика на акаунта и с обновяване на Приложение В не по-малко от 30 дни преди началото на предаването; в този срок можете да възразите с посочване на причина и тогава ние или предлагаме алтернатива, или вие имате право да се откажете от засегнатата функция или да развалите договора в частта, която без нея не работи;
• за действията на подизпълнителя пред вас отговаряме ние;
• чуждестранните ИИ-модели се включват само с ваше решение — съответното съгласие се иска отделно, а не „наред“ с обща отметка; в руския контур стъпката за вземане на решение от модела е изключена умишлено (в каталога няма модели с потвърдено съответствие с 152-ФЗ).

Отделно: получателите, които избирате сами, — платежен доставчик, оператор на SIP-номер, месинджъри, агрегатори за доставка, маркетплейси, оператор на фискални данни, държавни системи. Те получават данни по ваше решение да свържете канала и в повечето случаи действат като самостоятелни контролери, а не като наши подизпълнители. Техните условия приемате пряко.

7. Резидентност и трансгранично предаване#

Контурът се определя от бранда, чрез който сте се регистрирали. Това не е настройка на акаунта, не се променя в движение и акаунт не може да бъде „прехвърлен“ от един контур в друг.

Последствия, които си струва да бъдат изречени:

• Хранилището е общо за контура, а не отделно за бранд. Данните на различните брандове в един контур лежат в обща система за съхранение и са разделени логически — чрез префикс на акаунта и права. Не можем да ви обещаем отделна кофа.
• Раздаването на статика минава през CDN по целия свят — това са публични файлове на витрината (менюта, снимки, публикувани документи), които и без това се четат от браузъра на госта без авторизация.
• Руският контур — това е възлагане за обработване по 152-FZ: записване, систематизиране, съхранение и извличане се извършват в бази на територията на Руската федерация (чл. 18, ал. 5). Обработката с ИИ там е от руски доставчик. При това не декларираме сертифицирани средства за криптографска защита и формални граници на ISPDn: ако вашето предприятие изисква това по закон, обсъдете задачата преди свързване.
• Локализация в Казахстан и Узбекистан. Контур в Казахстан нямаме и профилът на оператора за Казахстан честно е отбелязан като „настаняването е недостъпно“. За Узбекистан задължителна локализация подлежат само биометрията, генетиката и данните на абонати на съобщителни услуги — биометрия не приемаме изобщо, затова съхранение в международния контур е допустимо при изпълнение на условията на закона за трансграничното предаване; самото основание (стандартни договорни клаузи или стандарт от списъка) оформяте вие като оператор.

8. Одит и потвърждаване на съответствие#

• При запитване отговаряме на вашия въпросник за сигурност и предоставяме описание на мерките и подизпълнителите в обема на този документ и приложенията.
• Одит на място или чрез ваш одитор — по договаряне: предварително, в работно време, не по-често от веднъж годишно (по-често — при инцидент или по искане на регулатор), със задължение за поверителност, без достъп до данните на други клиенти и до средствата, където такъв достъп е технически неизбежен. Разходите над разумното се покриват от запитващата страна.
• ⚠️ Честно за това, което липсва: нямаме сертификация ISO/IEC 27001, нямаме доклад SOC 2, нямаме заключение PCI DSS (карти не обработваме изобщо) и нямаме атестация на ISPDn. Ако вашият комплаенс изисква готов доклад от независим одитор, към днешна дата няма да го предоставим — и предпочитаме да го кажем преди подписване, а не след това.
• Сертификации имат нашите подизпълнители за облак и платежният доставчик; няма да се позоваваме на тях като на наши.

Контакт по защита на данните#

Въпроси по защита на данните, запитване за DPA за подписване и съобщения за уязвимости — на security@ на домейна на вашия бранд; обикновените обръщения — чрез поддръжката. Отделно назначен DPO и представител в ЕС нямаме — това е още един пункт, който казваме направо, а не заобикаляме с формулировка.

9. Права на субектите и съдействие#

Обръщенията на субектите се адресират до вас като оператор — вие отговаряте, ние помагаме. Какво реално е достъпно днес:

Честни граници, за които е по-добре да знаете предварително:

• Кабинет за запитвания на субекти (DSAR) в панела няма — такива запитвания се обработват ръчно, чрез експорт и разделите „Клиенти“ и „Служители“.
• Екранът „Моите данни“ на витрината изчиства устройството на госта, а не сървърната история на поръчките: гостът вижда и изтрива това, което лежи в браузъра му. Ако поиска изтриване на поръчките и контактите от вашата база, това правите вие.
• Дневник „кой от моите служители какво е отварял“ няма. Дневници се водят по входовете на поддръжката и партньорите и по обръщенията към контура на личните данни — тоест да отговорим на въпроса „кой от нашите е гледал картона на госта“ днес не можем.

10. Отговорност, срок на действие, приложимо право#

• Споразумението е в сила, докато е активен вашият абонамент и докато ние обработваме данни по ваше възлагане; разпоредбите за поверителност, изтриване и съдействие остават в сила след прекратяването му в частта, необходима за тяхното изпълнение.
• Отговорността на страните се определя от основния договор (Условията за ползване) и от закона; разпределението по това споразумение не я разширява.
• Приложимото право и подсъдността са според бранда и юридическото лице, което ви предоставя услугата; конкретните данни се попълват във версията за подписване. За руския контур се прилага правото на Руската федерация и терминологията на 152-FZ, а за международния — Условията за ползване на съответния бранд и GDPR/UK GDPR там, където попадате под тяхното действие.
• При несъответствие между тази страница и подписания документ предимство има подписаният документ.

Приложение А — описание на обработването#

Колоната „Срок“ указва какво определя срока. Отбелязването „предложение“ означава, че срокът е заложен в продукта като разумен по подразбиране, но не е юридически утвърден и се уточнява във версията за подписване.

Приложение Б — мерки за сигурност#

Пренос и съхранение

• Целият обмен с панела, витрината и API — по HTTPS/TLS; публичните адреси се раздават зад CDN.
• Обектите в хранилищата се шифроват от страна на услугата (в AWS — SSE-S3, AES-256; собствен ключ KMS по подразбиране не се прилага). Записите на обособения контур за лични данни се шифроват отделно — AES-256-GCM, ключът за шифроване на данните се създава за всяка двойка „акаунт × клас данни“ и се обвива в KMS на облака.
• Аудиозаписите на разговори се намират в отделен студен архив на бранда, в същия контур, с достъп по връзка без забавяне за „възстановяване“.

Разграничаване на достъпа

• Роли на служителите с избор на раздели, ниво на достъп и обхват на обектите; достъпът до раздел не е равен на достъп до целия акаунт.
• Изолация на акаунта с префикс в хранилището плюс сървърни забрани за запис от браузъра в служебни префикси.
• Парола — 8+ символа с изисквания към състава; PIN на касиера се съхранява само като необратим хеш; API ключът се показва веднъж при създаване; изходът затваря сесията във всички раздели.
• Уволнението на служител премахва входа в панела и отнема телефонния добавен номер веднага по всички обекти.
• Кодовете на устройствата дават достъп до една целева страница (монитор, кухненски екран), а не до акаунта.
• Четенето на обособения контур за лични данни е възможно само през служебен интерфейс с проверка на субекта на правото, акаунта, областта, доказаната бизнес връзка, класа и целта, набора от полета и региона — и само със запис в журнала за одит.

Нашият достъп до вашите данни

• Достъпът на поддръжката — по превключвател на собственика, в избрания обем, с журнал на сесиите, с прекратяване на текущата сесия при отнемане.
• Достъпът на партньора — по одобрена от собственика заявка, ограничено време, една сесия, плашка в интерфейса, сървърни забрани за абонамент и плащания, данни на собственика, права на служителите, изтегляне на данни, интеграции, връзка, контрагенти и партньорска програма.
• Забранени класове данни: биометрия се отхвърля с код. Данни за платежни карти няма изобщо.

Какво липсва — казваме го направо

• Няма сертификация ISO/IEC 27001, доклад SOC 2, атестация ISPDn и сертифицирани средства за криптографска защита.
• Двуфакторен вход в панела все още няма — подготвя се; защитата на входа днес е дълга парола, отделни логини на служителите и кодове на устройствата с PIN.
• Няма журнал на действията на вашите служители, кабинет за DSAR и възстановяване на акаунт „към дата“.
• Обособеният контур за лични данни работи не във всички раздели: въведен е при гостите на хотела (прехвърлянето на вече съществуващи акаунти тече), останалите раздели засега държат личните данни в обичайните документи на акаунта. Развитието върви по раздели, срокове не обещаваме.
• На руския контур няма журнал на сесиите на поддръжката, на партньорския вход и на скенера за cookies.

Приложение В — субобработващи#

Инфраструктура#

Изкуствен интелект#

Международен контур: заявките минават през агрегатор на модели polza.ai, а не директно към вендора. Достъпните вендори са OpenAI, Google, xAI, DeepSeek; кой от тях се използва, се вижда и се превключва в раздел „ИИ модели“. Отделни функции се обръщат към вендора директно: търсене и отговори по базата знания — към OpenAI (ембединги, отговори, разпознаване на текст върху изображения), гостев ИИ консиерж на менюто — към Google Gemini (в промпта попада фрагмент от вашата база знания до 4000 символа заедно с менюто и въпроса на госта).

Руски контур: Yandex Cloud Foundation Models (ембединги, отговори, реранк, резюмета) и Yandex Vision OCR (разпознаване на текст върху изображения), с изключено журналиране на заявките там, където доставчикът дава такава настройка. При чуждестранните доставчици не прилагаме аналогична настройка и разчитаме на стандартните им условия за API, по които данните не се използват за обучение на модели.

Можете да свържете свой OpenAI-съвместим ендпойнт — тогава доставчика избирате вие и той става ваш получател, а не наш субобработващ.

Разпознаване на реч#

Предава се аудиозапис на разговор или на качен файл; обратно идва текстът на разшифровката.

Поща и уведомления#

Amazon SES — изходящи писма: покани към служители, уведомления за поръчки и резервации, дайджести, писма към гости. Предават се адресът на получателя и съдържанието на писмото. На руския контур SES не се използва — част от пощенските сценарии там работят по друг начин или не работят изобщо.

Получатели, които свързвате вие#

Платежен доставчик (например Stripe) · оператор на SIP номер и телефония · месинджъри (Telegram, WhatsApp) · агрегатори за доставка · маркетплейси · оператор на фискални данни и държавни системи (в Русия — OFD, Chestny ZNAK, EGAIS) · аналитични броячи, които сте поставили на сайта. Съставът на предаваните към тях данни се определя от свързаната функция; условията за обработка приемате при тях директно.

Често задавани въпроси#

Може ли този документ да се подпише както е? Не. Това е чернова и описание на фактическото положение: в нея липсват данните на страните, списъкът с вашите модули и датата. Заявете версия за подписване на security@ на вашия бранд или чрез поддръжката — в отговор ще получите същия текст с вашите данни.

Имате ли ISO 27001 или SOC 2? Не. Нито сертификация, нито доклад от одитор имаме, и няма да представим сертификатите на нашите облачни доставчици като свои. Отговаряме на въпросник за сигурност и предоставяме описание на мерките.

Кой е администратор на личните данни на нашите гости — ние или вие? Вие. Вие решавате какво да събирате и защо, вие информирате гостите и събирате съгласия. Ние обработваме тези данни по ваше поръчение и не ги използваме за свои цели.

Колко бързо ще изтриете данните, ако си тръгнем? В срок от 30 дни от момента на заявката или прекратяването на договора. Сроковете за съхранение на вътрешните резервни копия не публикуваме — вземете своето копие чрез експорт преди изтриването.

Къде физически се намират данните и може ли да се избере регион? Регионът се определя от бранда: международният контур — САЩ, турските брандове — Германия, cenaly.ru — Русия. Избор на регион в рамките на един бранд не е възможен, преместването означава нов акаунт в друг контур.

Данните отиват в САЩ — как да се обоснове това за администратор от ЕИП? Основанията са изпълнение на договора и стандартни договорни клаузи, а за функциите с изкуствен интелект отделно се иска вашето изрично съгласие. Ако предаването в трета страна е неприемливо за вас, турските брандове работят в eu-central-1 (Германия) — но това е отделен бранд, а не настройка.

Обучавате ли своите модели с нашите данни? Не. Съдържанието на акаунта не се използва за обучение на нашите модели, за реклама и профилиране и не се продава. За привличаните доставчици на изкуствен интелект разчитаме на техните стандартни условия за API, според които данните от API не се използват за обучение по подразбиране.

Може ли вашата поддръжка да види нашите данни без питане? Не. Необходим е включен превключвател „Достъп на поддръжката“ в настройките, обхвата избирате вие, сесиите се записват в журнал, а оттеглянето на съгласието прекратява дори текуща сесия.

Гост изисква изтриване на своите данни — какво да правим? Изтрийте картона му в раздела Клиенти. Бутонът „Моите данни“ на витрината изчиства само устройството на госта. За дълбоко изчистване на следи (журнали на взаимодействията с изкуствен интелект, кешове) се обърнете към нас — ще го направим в същите 30 дни.

А какво да кажем за записите на разговори — това не са ли чувствителни данни? Записите и транскрипциите се съхраняват в студения архив на вашия бранд, в същия контур, а достъпът до раздела „Разговори“ се настройва отделно, включително поименно. Предупреждаването на участниците за записа е ваше задължение като администратор и в редица държави без това записът е незаконен.

Свързани раздели#

• Сигурност и данни — къде се намират данните, кой има достъп, какво да правите при инцидент
• Акаунт и вход — пароли, кодове за устройства, достъп на поддръжката
• Експорт на данни — вземете всичко преди изтриването
• Как да получите помощ — заявка за подписан DPA и канал security@
• Абонамент и планове — срок на действие на договора
• Правни документи — политика за поверителност и условия за вашите гости
• Cookies и съгласие — банер и журнал на съгласията като доказателство
• Клиенти — изтриване на данните на конкретен гост
• Служители и смени — роли и обхват на обектите