توافق‌نامه پردازش داده (DPA)

چرا این صفحه پیش از امضا برای شما لازم است: از آن پیداست که دقیقاً چه چیزی را پردازش می‌کنیم، کجا نگهداری می‌شود، به چه کسی منتقل می‌شود و چه کاری می‌توانیم و چه کاری نمی‌توانیم انجام دهیم — بدون وعده‌هایی که در محصول وجود ندارد. جنبه فنی همین موضوع — امنیت و داده‌ها.

۱. طرف‌ها و نقش‌ها#

آنچه در عمل پشت این واژه‌هاست:

• هدف‌ها را شما تعیین می‌کنید. شما تصمیم می‌گیرید که شماره تلفن مهمان‌ها را جمع‌آوری کنید یا نه، تماس‌ها را ضبط کنید یا نه، پرونده پرسنلی را در پنل نگه دارید یا نه، و قابلیت‌های هوش مصنوعی را فعال کنید یا نه. ما ابزار را فراهم می‌کنیم و دستور را اجرا می‌کنیم — مجموعه اقداماتی که با تنظیمات حساب و رفتار خودتان در رابط کاربری تعیین می‌کنید.
• مبنای قانونی نیز بر عهده شماست. رضایت مهمان، قرارداد با او، تعهد قانونی شما (رسید مالیاتی، ثبت پرسنلی، ثبت مهمان هتل) — تأمین آن بر عهده شماست. پلتفرم بررسی نمی‌کند و نمی‌تواند بررسی کند که آیا مبنای وارد کردن شخص خاصی به پایگاه داده را داشته‌اید یا نه.
• اسناد مربوط به اشخاص موضوع داده بر عهده شماست. سیاست حفظ حریم خصوصی ویترین، بنر کوکی، متن رضایت برای ارسال پیام از طرف شما منتشر می‌شود. ما سازنده، میزبانی صفحات و دفترچه رضایت‌ها را فراهم می‌کنیم — به اسناد حقوقی و کوکی‌ها و رضایت مراجعه کنید.
• بخش‌هایی وجود دارد که ما کنترلر مستقل هستیم و این صادقانه تفکیک می‌شود: داده‌های حساب شما و پرداخت‌های اشتراک، تله‌متری فنی خطاهای پنل، مکاتبات با پشتیبانی. این‌ها طبق سیاست ما پردازش می‌شوند، نه طبق دستور شما.

آنچه به‌عنوان اپراتور بر عهده شما می‌ماند#

اطلاع‌رسانی به اشخاص موضوع داده و جمع‌آوری مبانی · قانونی بودن اهداف · پاسخ به درخواست‌های اشخاص موضوع داده (ما کمک می‌کنیم، به §۹ مراجعه کنید) · اطلاع‌رسانی به نهاد نظارتی در جایی که قانون آن را بر عهده اپراتور می‌گذارد (در روسیه — اطلاع‌رسانی به روستکومنادزور درباره پردازش و درباره حادثه) · تنظیم نقش‌ها به‌گونه‌ای که کارکنان فقط موارد لازم را ببینند · تصمیم درباره فعال کردن قابلیت‌های هوش مصنوعی و انتقال داده به مدل‌های خارجی.

۲. موضوع، ماهیت و اهداف پردازش#

ما داده‌ها را فقط برای اینکه قابلیت‌هایی که فعال کرده‌اید کار کنند و برای پشتیبانی از این قابلیت‌ها به درخواست شما پردازش می‌کنیم. ما از محتوای حساب شما برای تبلیغات و پروفایل‌سازی استفاده نمی‌کنیم و مدل‌های خود را روی آن آموزش نمی‌دهیم، آن را نمی‌فروشیم و به اشخاص ثالثی جز زیرپردازشگران §۶ و دریافت‌کنندگانی که خودتان انتخاب می‌کنید منتقل نمی‌کنیم.

ماهیت پردازش — جمع‌آوری، ثبت، سیستم‌بندی، ذخیره‌سازی، تصحیح، استخراج، استفاده، ناشناس‌سازی، مسدودسازی، حذف؛ پردازش خودکار در ابر.

تفکیک کامل «ماژول → داده → هدف → مدت» در پیوست الف آمده است.

۳. دسته‌های موضوعان و دسته‌های داده#

دسته‌های موضوعان: مهمانان و مشتریان · سرنخ‌ها · کارکنان · متقاضیان شغل · کاربران حساب (مالک و کارکنان دارای ورود) · نمایندگان طرف‌های قرارداد و شرکا.

دسته‌های داده‌ای که محصول دریافت می‌کند:

دسته‌های ویژه (ماده ۹ GDPR، ماده ۱۰ 152-FZ) را پلتفرم خودش جمع‌آوری نمی‌کند. با این حال در محصول فیلدهایی وجود دارد که شما می‌توانید داده‌های مربوط به سلامت را در آن‌ها وارد کنید: کارت بهداشت و مرخصی استعلاجی کارمند، محدودیت‌های سلامت و تغذیه مهمان هتل. با وارد کردن آن‌ها، الزامات سخت‌گیرانه‌تری برای مبنای قانونی و اقدامات حفاظتی بر عهده شما می‌آید؛ سهم ما این است که آن‌ها را در وضعیت بسته برای مشاهده نگه داریم و بدون هدف صریح نشان ندهیم.

زیست‌سنجی در سطح پلتفرم ممنوع است. این کلاس در فهرست سیاست‌ها به‌عنوان ممنوع علامت‌گذاری شده است و تلاش برای ثبت چنین داده‌هایی با کد رد می‌شود، نه با دستورالعمل. اثر انگشت، تصویر چهره و مدل صوتی در محیط وجود ندارد.

داده‌های کارت پرداخت اصلاً نزد ما نیست — نه شماره، نه CVV: کارت را ارائه‌دهنده پرداخت پردازش می‌کند و تنها نتیجه عملیات به ما می‌رسد.

۴. مدت پردازش، حذف و بازگرداندن داده‌ها#

• مدت — در طول اعتبار اشتراک و حساب شما. تا زمانی که حساب فعال است، داده‌ها نگهداری می‌شوند تا قابلیت‌ها کار کنند.
• حذف — ظرف ۳۰ روز از لحظه درخواست کتبی شما یا خاتمه قرارداد. این هم شامل حذف کل حساب می‌شود و هم حذف مجموعه داده مشخص به دستور شما.
• برداشتن داده‌ها پیش از حذف — وظیفه شما و تکلیف ما کمک است. خروجی به‌صورت مستقل و بدون تماس با پشتیبانی تهیه می‌شود: خروجی داده‌ها. آرشیو آماده ۷ روز باقی می‌ماند و اسرار عمداً در آن قرار نمی‌گیرند.
• بخشی از مدت‌ها را قانون تعیین می‌کند، نه اشتراک. اسناد مالی، پرونده پرسنلی و ثبت مهمان هتل تا زمانی نگهداری می‌شوند که مقررات کشور مربوطه لازم می‌داند — و در این موارد حذف «به درخواست» تا پایان مدت ممکن نیست. چنین رکوردهایی در محصول با حالت نگهداری اجباری علامت‌گذاری شده‌اند.
• نسخه‌های پشتیبان. مدت نگهداری نسخه‌های داخلی را منتشر نمی‌کنیم — و بنابراین وعده نمی‌دهیم که «داده‌ها همان روز از همه‌جا ناپدید می‌شوند». بیمه درست در سمت شما: نسخه خودتان را از طریق خروجی نگه دارید، به‌ویژه پیش از تغییرات گسترده.
• آنچه از حذف یک شیء جان سالم به در می‌برد — صریح افشا می‌کنیم. گزارش تعاملات هوش مصنوعی حساب (درخواست به مدل و پاسخ آن، شامل متنی که از سند شما شناسایی شده) برای محاسبه مصرف و بررسی رخدادها نگهداری می‌شود و با حذف سند اصلی پاک نمی‌شود. کش پاسخ‌ها و مواد آموزشی تولیدشده ممکن است تا بازسازی بعدی به سند حذف‌شده ارجاع دهند. پاک‌سازی کامل این ردپاها با تماس با پشتیبانی انجام می‌شود.
• محتوایی که پیش‌تر به ارائه‌دهنده هوش مصنوعی سپرده شده در جریان اجرای درخواست شما، بر اساس قواعد نگهداری خودش و خارج از کنترل ما ادامه می‌یابد.

۵. تعهدات پردازشگر#

۵.۱ پردازش تنها بر اساس دستورهای شما. دستور یعنی تنظیمات حساب شما، اقدامات شما در رابط کاربری و دستورهای کتبی جداگانه. اگر به نظر ما دستوری با قانون حفاظت از داده‌های شخصی مغایر باشد، موضوع را اطلاع می‌دهیم و حق داریم اجرای آن را متوقف کنیم.

۵.۲ محرمانگی کارکنان. دسترسی به داده‌های حساب تنها در اختیار شمار محدودی از کارکنان و پیمانکاران ماست که به تعهد محرمانگی پایبندند؛ دسترسی بر اساس ضرورت انجام کار اعطا و پس از پایان آن لغو می‌شود.

۵.۳ تدابیر امنیتی — فهرست کامل در پیوست ب. به‌طور خلاصه: انتقال تنها با TLS؛ اشیاء در مخازن در سمت سرویس رمزنگاری می‌شوند؛ محیط جداگانه داده‌های شخصی با رمزنگاری رکورد و مسیر خواندن بسته؛ تفکیک دسترسی بر اساس نقش‌ها، سطوح بخش و دامنه شعبه‌ها؛ جداسازی حساب‌ها با پیشوند در مخزن؛ هش‌های برگشت‌ناپذیر برای گذرواژه و PIN.

۵.۴ دسترسی پشتیبانی — تنها با اجازه صریح شما. کارمند پشتیبانی نمی‌تواند به میل خود وارد حساب شود: کلید فعال در تنظیمات → دسترسی پشتیبانی (/settings/support-access) لازم است، دامنه («فقط مشاهده» یا «مشاهده و تغییر») را شما انتخاب می‌کنید، هر نشست در گزارش ثبت می‌شود (چه کسی، چه زمانی، با چه دامنه‌ای)، و لغو رضایت حتی نشست در حال اجرا را پایان می‌دهد. شریک پیاده‌ساز تنها به درخواستی وارد می‌شود که مالک آن را تأیید کند، برای مدت محدود و با نشان در رابط کاربری؛ سرور در هر حالتی امور مالی، منابع انسانی، خروجی داده و یکپارچه‌سازی‌ها را برای او می‌بندد.

۵.۵ ثبت گزارش. موارد زیر نگهداری می‌شود: گزارش رضایت مالک برای دسترسی پشتیبانی و گزارش خود نشست‌ها، گزارش ورود شرکا، گزارش تعاملات هوش مصنوعی حساب، گزارش دسترسی‌ها به محیط داده‌های شخصی. در مورد آخر مانع حسابرسی اعمال می‌شود: بدون رکورد در گزارش، مقدار آشکار صادر نمی‌شود.

۵.۶ کمک در پاسخ به افراد موضوع داده — رجوع کنید به §۹.

۵.۷ اطلاع‌رسانی درباره رخداد. درباره نقض امنیت داده‌های شخصی که به حساب شما مربوط باشد، حداکثر تا ۷۲ ساعت از لحظه کشف، بدون تأخیر ناروا، به شما اطلاع می‌دهیم و آنچه را تا آن زمان می‌دانیم منتقل می‌کنیم: ماهیت رخداد، دسته‌های داده و افراد موضوع داده که تحت تأثیر قرار گرفته‌اند (تا حدی که مشخص شده باشد)، پیامدهای احتمالی، تدابیر اتخاذشده و برنامه‌ریزی‌شده، و مخاطب برای پیگیری. اگر تا آن مهلت تصویر کامل نباشد، اطلاع‌رسانی جزئی می‌فرستیم و آن را به‌موازات بررسی تکمیل می‌کنیم — سکوت «تا روشن شدن کامل» جایز نیست. ⚠️ اطلاع‌رسانی به نهاد نظارتی و افراد موضوع داده تعهد کنترل‌کننده، یعنی شماست: در روسیه ۲۴ ساعت برای اعلام وقوع و ۷۲ ساعت برای نتایج بررسی داخلی، و در منطقه اقتصادی اروپا ۷۲ ساعت برای اطلاع‌رسانی به نهاد نظارتی. بنابراین مهلت ما طوری تنظیم شده که شما به مهلت خود برسید.

۵.۸ همکاری در ارزیابی اثر (DPIA). بنا به درخواست، شرح پردازش، تدابیر و زیرپردازشگرها را در حد این سند و پیوست‌هایش منتقل می‌کنیم — این معمولاً برای ارزیابی شما کافی است.

۵.۹ حذف یا بازگرداندن در پایان — رجوع کنید به §۴.

۶. زیرپردازشگرها#

ما زیرپردازشگرها را به کار می‌گیریم — در غیر این صورت محصول ابری وجود ندارد. فهرست کامل با کارکرد، محل پردازش و ترکیب داده‌های منتقل‌شده در پیوست پ آمده است. قواعدی که پیشنهاد می‌کنیم تثبیت شوند:

• زیرپردازشگر بر اساس قرارداد کتبی با شرایط حفاظتی نه پایین‌تر از آنچه در این توافقنامه پذیرفته شده، به کار گرفته می‌شود؛
• حداقل داده‌های لازم برای کارکرد او در اختیارش قرار می‌گیرد؛
• درباره زیرپردازشگر جدید یا جایگزین‌شده با نامه‌ای به نشانی مالک حساب و به‌روزرسانی پیوست پ حداقل ۳۰ روز پیش از آغاز انتقال اطلاع می‌دهیم؛ در این مهلت می‌توانید با ذکر دلیل اعتراض کنید و در آن صورت یا ما جایگزینی پیشنهاد می‌دهیم یا شما حق دارید از کارکرد تحت تأثیر صرف‌نظر کنید یا قرارداد را در بخشی که بدون آن کار نمی‌کند فسخ کنید؛
• مسئولیت اقدامات زیرپردازشگر در برابر شما بر عهده ماست؛
• مدل‌های هوش مصنوعی خارجی تنها با تصمیم شما فعال می‌شوند — رضایت مربوطه جداگانه درخواست می‌شود، نه «یک‌جا» با یک تیک عمومی؛ در محیط روسیه مرحله تصمیم‌گیری مدل به‌عمد خاموش است (در فهرست، مدلی با انطباق تأییدشده با 152-FZ وجود ندارد).

جداگانه: دریافت‌کنندگانی که خودتان انتخاب می‌کنید — ارائه‌دهنده پرداخت، اپراتور شماره SIP، پیام‌رسان‌ها، تجمیع‌کننده‌های تحویل، مارکت‌پلیس‌ها، اپراتور داده‌های مالیاتی، سامانه‌های دولتی. آن‌ها داده‌ها را بر اساس تصمیم شما برای اتصال کانال دریافت می‌کنند و در بیشتر موارد کنترل‌کننده مستقل هستند، نه زیرپردازشگر ما. شرایط آن‌ها را مستقیماً می‌پذیرید.

۷. اقامت داده و انتقال فرامرزی#

قلمرو با برندی تعیین می‌شود که با آن ثبت‌نام کرده‌اید. این یک تنظیم حساب نیست، در لحظه تغییر نمی‌کند و «انتقال» حساب از یک قلمرو به قلمرو دیگر ممکن نیست.

پیامدهایی که باید صریح گفته شوند:

• فضای ذخیره‌سازی مشترک در سطح قلمرو است، نه جداگانه برای هر برند. داده‌های برندهای مختلف یک قلمرو در یک سیستم ذخیره‌سازی مشترک قرار دارند و به‌صورت منطقی — با پیشوند حساب و مجوزها — تفکیک می‌شوند. نمی‌توانیم به شما باکت جداگانه وعده دهیم.
• توزیع فایل‌های ایستا از طریق CDN در سراسر جهان انجام می‌شود — این‌ها فایل‌های عمومی ویترین هستند (منو، عکس، اسناد منتشرشده) که مرورگر مهمان بدون احراز هویت آن‌ها را می‌خواند.
• قلمرو روسی — این واگذاری پردازش طبق FZ-152 است: ثبت، نظام‌مندسازی، ذخیره‌سازی و بازیابی در پایگاه‌های داده در خاک فدراسیون روسیه انجام می‌شود (ماده ۱۸ بند ۵). پردازش هوش مصنوعی در آنجا توسط ارائه‌دهنده روسی انجام می‌شود. در عین حال ما ابزارهای رمزنگاری دارای گواهی و مرزهای رسمی ISPDn را اعلام نمی‌کنیم: اگر کسب‌وکار شما طبق قانون به آن نیاز دارد، موضوع را پیش از اتصال مطرح کنید.
• بومی‌سازی در قزاقستان و ازبکستان. ما قلمرویی در قزاقستان نداریم و پروفایل فعال قزاقستان صادقانه به‌عنوان «میزبانی در دسترس نیست» علامت‌گذاری شده است. برای ازبکستان، تنها بیومتریک، ژنتیک و داده‌های مشترکان مخابرات مشمول بومی‌سازی اجباری هستند — ما بیومتریک را به‌هیچ‌وجه نمی‌پذیریم، بنابراین ذخیره‌سازی در قلمرو بین‌المللی در صورت رعایت شرایط قانون انتقال فرامرزی مجاز است؛ خود مبنای قانونی (شرایط قراردادی استاندارد یا استاندارد از فهرست مربوطه) را شما به‌عنوان فعال پردازش می‌کنید.

۸. حسابرسی و تأیید انطباق#

• بنا به درخواست به پرسش‌نامه امنیتی شما پاسخ می‌دهیم و شرح اقدامات و زیرپردازشگرها را در حد این سند و پیوست‌های آن ارائه می‌کنیم.
• حسابرسی حضوری یا با حسابرس شما — با هماهنگی: از پیش، در ساعات کاری، حداکثر یک بار در سال (بیشتر در صورت بروز حادثه یا به درخواست نهاد نظارتی)، با تعهد محرمانگی، بدون دسترسی به داده‌های سایر مشتریان و به ابزارهایی که چنین دسترسی در آن‌ها از نظر فنی اجتناب‌ناپذیر است. هزینه‌های مازاد بر حد معقول بر عهده طرف درخواست‌کننده است.
• ⚠️ صادقانه درباره آنچه وجود ندارد: ما گواهی ISO/IEC 27001 نداریم، گزارش SOC 2 نداریم، نتیجه PCI DSS نداریم (کارت‌ها را به‌هیچ‌وجه پردازش نمی‌کنیم) و ارزیابی انطباق ISPDn نداریم. اگر انطباق شما به گزارش آماده حسابرس مستقل نیاز دارد، امروز آن را ارائه نخواهیم کرد — و ترجیح می‌دهیم این را پیش از امضا بگوییم، نه بعد از آن.
• گواهی‌ها متعلق به زیرپردازشگرهای ابری ما و ارائه‌دهنده پرداخت است؛ آن‌ها را به‌عنوان گواهی‌های خودمان معرفی نخواهیم کرد.

تماس در زمینه حفاظت از داده#

پرسش‌های مربوط به حفاظت از داده، درخواست DPA قابل امضا و گزارش آسیب‌پذیری‌ها — به security@ روی دامنه برند شما؛ درخواست‌های عادی — از طریق پشتیبانی. ما DPO اختصاصی و نماینده در اتحادیه اروپا نداریم — این نکته دیگری است که صریح می‌گوییم و با عبارتی دور نمی‌زنیم.

۹. حقوق افراد موضوع داده و همکاری#

درخواست‌های افراد موضوع داده به شما به‌عنوان فعال پردازش ارسال می‌شود — شما پاسخ می‌دهید، ما کمک می‌کنیم. آنچه امروز واقعاً در دسترس است:

مرزهای صادقانه‌ای که بهتر است از پیش بدانید:

• بخش درخواست‌های افراد موضوع داده (DSAR) در پنل وجود ندارد — چنین درخواست‌ها به‌صورت دستی، از طریق خروجی داده و بخش‌های «مشتریان» و «کارکنان» پردازش می‌شوند.
• صفحه «داده‌های من» در ویترین، دستگاه مهمان را پاک می‌کند، نه تاریخچه سفارش‌های سرور را: مهمان آنچه در مرورگرش قرار دارد را می‌بیند و پاک می‌کند. اگر او درخواست حذف سفارش‌ها و اطلاعات تماس از پایگاه داده شما را دارد، این کار را شما انجام می‌دهید.
• دفترچه «کدام‌یک از کارکنان من چه چیزی را باز کرده است» وجود ندارد. دفترچه‌ها بر اساس ورودهای پشتیبانی و شرکا و دسترسی‌ها به قلمرو داده‌های شخصی نگهداری می‌شوند — یعنی پاسخ به پرسش «کدام‌یک از کارکنان ما کارت مهمان را دیده است» امروز از عهده ما خارج است.

۱۰. مسئولیت، مدت اعتبار، قانون حاکم#

• این توافق تا زمانی معتبر است که اشتراک شما فعال باشد و ما داده‌ها را به دستور شما پردازش کنیم؛ مقررات مربوط به محرمانگی، حذف و همکاری، پس از خاتمه آن تا حدی که برای اجرایشان لازم است، باقی می‌مانند.
• مسئولیت طرف‌ها بر اساس قرارداد اصلی (شرایط استفاده) و قانون تعیین می‌شود؛ توزیع مسئولیت در این توافق آن را گسترش نمی‌دهد.
• قانون حاکم و صلاحیت قضایی — بر اساس برند و شخص حقوقی که به شما خدمت ارائه می‌دهد؛ مشخصات دقیق در نسخه امضاشدنی درج می‌شود. برای محدوده روسیه، قانون فدراسیون روسیه و اصطلاحات FZ-152 اعمال می‌شود، و برای محدوده بین‌المللی، شرایط استفاده برند مربوطه و GDPR/UK GDPR در جایی که مشمول آن‌ها می‌شوید.
• در صورت تعارض بین این صفحه و سند امضاشده، سند امضاشده اولویت دارد.

پیوست الف — شرح پردازش#

ستون «مدت» نشان می‌دهد که مدت بر چه اساسی تعیین شده است. نشانه «پیشنهادی» یعنی مدت به‌عنوان پیش‌فرض معقول در محصول در نظر گرفته شده، اما از نظر حقوقی تأیید نشده و در نسخه امضاشدنی مشخص می‌شود.

پیوست ب — اقدامات امنیتی#

انتقال و ذخیره‌سازی

• تمام تبادل با پنل، ویترین و API — از طریق HTTPS/TLS؛ نشانی‌های عمومی از پشت CDN توزیع می‌شوند.
• اشیاء در مخزن‌ها در سمت سرویس رمزنگاری می‌شوند (در AWS — SSE-S3، AES-256؛ کلید اختصاصی KMS به‌صورت پیش‌فرض اعمال نمی‌شود). رکوردهای محیط اختصاصی داده‌های شخصی جداگانه رمزنگاری می‌شوند — AES-256-GCM، کلید رمزنگاری داده برای هر جفت «حساب × کلاس داده» تولید و در KMS ابر پیچیده می‌شود.
• ضبط‌های صوتی تماس‌ها در آرشیو سرد جداگانه برند، در همان محیط، با دسترسی از طریق پیوند و بدون تأخیر «بازیابی» نگهداری می‌شوند.

تفکیک دسترسی

• نقش‌های کارکنان با انتخاب بخش‌ها، سطح دسترسی و دامنه شعبه‌ها؛ دسترسی به یک بخش به معنای دسترسی به کل حساب نیست.
• جداسازی حساب با پیشوند در مخزن به‌همراه ممنوعیت‌های سمت سرور برای نوشتن از مرورگر در پیشوندهای سیستمی.
• گذرواژه — ۸+ نویسه با الزامات ترکیبی؛ PIN صندوق‌دار فقط به‌صورت هش برگشت‌ناپذیر ذخیره می‌شود؛ کلید API تنها یک بار هنگام ساخت نمایش داده می‌شود؛ خروج از حساب، نشست را در همه زبانه‌ها می‌بندد.
• اخراج کارمند، ورود به پنل را می‌بندد و داخلی تلفنی را بلافاصله در همه شعبه‌ها لغو می‌کند.
• کدهای دستگاه‌ها دسترسی به یک صفحه مشخص (مانیتور، نمایشگر آشپزخانه) می‌دهند، نه به حساب.
• خواندن محیط اختصاصی داده‌های شخصی تنها از طریق رابط سیستمی با بررسی صاحب حق، حساب، حوزه، ارتباط تجاری اثبات‌شده، کلاس و هدف، مجموعه فیلدها و منطقه ممکن است — و تنها با ثبت در گزارش حسابرسی.

دسترسی ما به داده‌های شما

• دسترسی پشتیبانی — با کلید مالک، در حجم انتخاب‌شده، با گزارش نشست‌ها، و با پایان دادن به نشست در جریان هنگام لغو.
• دسترسی شریک — با درخواست تأییدشده مالک، زمان محدود، یک نشست، نشان در رابط کاربری، ممنوعیت‌های سمت سرور برای اشتراک و پرداخت‌ها، داده‌های مالک، حقوق کارکنان، خروجی داده، یکپارچه‌سازی‌ها، ارتباطات، طرف‌های قرارداد و برنامه شرکا.
• کلاس‌های داده ممنوع: زیست‌سنجی با کد رد می‌شود. داده‌های کارت پرداخت به‌کلی وجود ندارد.

آنچه نیست — صریح می‌گوییم

• گواهی ISO/IEC 27001، گزارش SOC 2، ارزیابی ISPDn و ابزارهای رمزنگاری گواهی‌شده وجود ندارد.
• ورود دو مرحله‌ای به پنل هنوز وجود ندارد — در حال آماده‌سازی است؛ حفاظت ورود امروز — گذرواژه بلند، ورودهای جداگانه کارکنان و کدهای دستگاه با PIN است.
• گزارش اقدامات کارکنان شما، بخش DSAR و بازیابی حساب «در تاریخ مشخص» وجود ندارد.
• محیط اختصاصی داده‌های شخصی روی همه بخش‌ها کار نمی‌کند: روی مهمانان هتل راه‌اندازی شده است (انتقال حساب‌های موجود در جریان است)، بخش‌های دیگر فعلاً داده‌های شخصی را در اسناد عادی حساب نگه می‌دارند. توسعه بخش‌به‌بخش پیش می‌رود و زمانی وعده نمی‌دهیم.
• در محیط روسی، گزارش نشست‌های پشتیبانی، ورود شریک و اسکنر cookies وجود ندارد.

پیوست پ — زیرپردازشگرها#

زیرساخت#

هوش مصنوعی#

محیط بین‌المللی: درخواست‌ها از طریق تجمیع‌کننده مدل‌های polza.ai ارسال می‌شوند، نه مستقیماً به فروشنده. فروشندگان موجود — OpenAI، Google، xAI، DeepSeek؛ اینکه کدام‌یک استفاده می‌شود در بخش «مدل‌های هوش مصنوعی» قابل مشاهده و تغییر است. برخی قابلیت‌ها مستقیماً به فروشنده مراجعه می‌کنند: جست‌وجو و پاسخ بر پایه پایگاه دانش — به OpenAI (تعبیه‌ها، پاسخ‌ها، تشخیص متن در تصاویر)، دستیار هوشمند مهمان برای منو — به Google Gemini (قطعه‌ای از پایگاه دانش شما تا ۴۰۰۰ نویسه همراه با منو و پرسش مهمان در پرامپت قرار می‌گیرد).

محیط روسی: Yandex Cloud Foundation Models (تعبیه‌ها، پاسخ‌ها، رتبه‌بندی مجدد، خلاصه‌ها) و Yandex Vision OCR (تشخیص متن در تصاویر)، با ژورنال‌نویسی درخواست‌ها غیرفعال‌شده در جایی که ارائه‌دهنده چنین تنظیمی می‌دهد. برای ارائه‌دهندگان خارجی تنظیم مشابهی اعمال نمی‌کنیم و به شرایط استاندارد API آن‌ها تکیه می‌کنیم که بر اساس آن داده‌ها برای آموزش مدل‌ها استفاده نمی‌شود.

می‌توانید نقطه پایانی سازگار با OpenAI خودتان را متصل کنید — در این صورت ارائه‌دهنده را شما انتخاب می‌کنید و او دریافت‌کننده شما می‌شود، نه زیرپردازشگر ما.

تشخیص گفتار#

ضبط صوتی تماس یا فایل بارگذاری‌شده ارسال می‌شود؛ در پاسخ متن پیاده‌سازی‌شده بازمی‌گردد.

ایمیل و اعلان‌ها#

Amazon SES — ایمیل‌های خروجی: دعوت‌نامه‌های کارکنان، اعلان‌های سفارش و رزرو، خلاصه‌ها، ایمیل‌های مهمانان. نشانی گیرنده و محتوای ایمیل ارسال می‌شود. در محیط روسی SES استفاده نمی‌شود — بخشی از سناریوهای ایمیل آنجا متفاوت کار می‌کند یا به‌کلی کار نمی‌کند.

دریافت‌کنندگانی که شما متصل می‌کنید#

ارائه‌دهنده پرداخت (برای نمونه، Stripe) · اپراتور شماره SIP و تلفنی · پیام‌رسان‌ها (Telegram، WhatsApp) · تجمیع‌کننده‌های تحویل · بازارگاه‌ها · اپراتور داده‌های مالیاتی و سامانه‌های دولتی (در روسیه — OFD، Chestny ZNAK، EGAIS) · شمارنده‌های تحلیلی که خودتان روی سایت نصب کرده‌اید. ترکیب داده‌های ارسالی به آن‌ها با قابلیت متصل‌شده تعیین می‌شود؛ شرایط پردازش را مستقیماً از خودشان می‌پذیرید.

پرسش‌های پرتکرار#

آیا می‌توان این سند را همان‌طور که هست امضا کرد؟ نه. این یک پیش‌نویس و شرح وضعیت واقعی است: در آن مشخصات طرفین، فهرست ماژول‌های شما و تاریخ وجود ندارد. نسخه قابل امضا را از security@ برند خود یا از طریق پشتیبانی درخواست کنید — در پاسخ همان متن با داده‌های شما ارسال می‌شود.

آیا شما ISO 27001 یا SOC 2 دارید؟ نه. نه گواهی‌نامه‌ای داریم و نه گزارش حسابرس، و گواهی‌نامه‌های ارائه‌دهندگان ابری خود را به نام خودمان صادر نمی‌کنیم. به پرسش‌نامه امنیتی پاسخ می‌دهیم و شرح اقدامات را ارائه می‌کنیم.

مسئول داده‌های شخصی مهمانان ما کیست — ما یا شما؟ شما. شما تصمیم می‌گیرید چه چیزی و برای چه جمع‌آوری شود، شما مهمانان را مطلع می‌کنید و رضایت می‌گیرید. ما این داده‌ها را به دستور شما پردازش می‌کنیم و از آن‌ها برای اهداف خود استفاده نمی‌کنیم.

اگر ما برویم، چقدر سریع داده‌ها را حذف می‌کنید؟ ظرف ۳۰ روز از زمان درخواست یا خاتمه قرارداد. مدت نگهداری نسخه‌های پشتیبان داخلی را منتشر نمی‌کنیم — پیش از حذف، نسخه خود را با خروجی گرفتن بردارید.

داده‌ها عملاً کجا قرار دارند و آیا می‌توان منطقه را انتخاب کرد؟ منطقه را برند تعیین می‌کند: محدوده بین‌المللی — ایالات متحده، برندهای ترکیه — آلمان، cenaly.ru — روسیه. انتخاب منطقه درون یک برند ممکن نیست؛ جابه‌جایی به معنای حساب جدید در محدوده‌ای دیگر است.

داده‌ها به ایالات متحده می‌روند — این را برای مسئولی از منطقه اقتصادی اروپا چگونه می‌توان پوشش داد؟ مبانی، اجرای قرارداد و شرایط قراردادی استاندارد است، و برای قابلیت‌های هوش مصنوعی جداگانه رضایت صریح شما درخواست می‌شود. اگر انتقال به کشور ثالث برای شما پذیرفتنی نیست، برندهای ترکیه در eu-central-1 (آلمان) کار می‌کنند — اما این یک برند جداگانه است، نه یک تنظیم.

آیا مدل‌های خود را روی داده‌های ما آموزش می‌دهید؟ نه. محتوای حساب برای آموزش مدل‌های ما، برای تبلیغات و پروفایل‌سازی استفاده نمی‌شود و فروخته نمی‌شود. در مورد ارائه‌دهندگان هوش مصنوعی که به کار می‌گیریم، به شرایط استاندارد API آن‌ها تکیه می‌کنیم که بر اساس آن داده‌های API به‌طور پیش‌فرض برای آموزش استفاده نمی‌شوند.

آیا پشتیبانی شما می‌تواند بدون اجازه داده‌های ما را ببیند؟ نه. کلید «دسترسی پشتیبانی» در تنظیمات باید روشن باشد، حجم را شما انتخاب می‌کنید، نشست‌ها در گزارش ثبت می‌شوند، و پس گرفتن رضایت حتی نشست در جریان را نیز متوقف می‌کند.

مهمان می‌خواهد داده‌هایش حذف شود — چه کنیم؟ کارت او را در بخش مشتریان حذف کنید. دکمه «داده‌های من» در ویترین فقط دستگاه مهمان را پاک می‌کند. پاک‌سازی عمیق ردپاها (گزارش‌های تعامل با هوش مصنوعی، حافظه‌های موقت) را از ما درخواست کنید — در همان ۳۰ روز انجام می‌دهیم.

ضبط تماس‌ها چه می‌شود — این‌ها داده‌های حساس هستند؟ ضبط‌ها و پیاده‌سازی‌های متنی در آرشیو سرد برند شما، در همان محدوده قرار دارند، و دسترسی به بخش «تماس‌ها» جداگانه تنظیم می‌شود، تا حد نام‌به‌نام. اطلاع‌دادن به شرکت‌کنندگان درباره ضبط، وظیفه شما به‌عنوان مسئول است، و در برخی کشورها بدون آن ضبط غیرقانونی است.

بخش‌های مرتبط#

• امنیت و داده‌ها — داده‌ها کجا قرار دارند، چه کسی دسترسی دارد، در صورت بروز حادثه چه باید کرد
• حساب و ورود — گذرواژه‌ها، کدهای دستگاه، دسترسی پشتیبانی
• خروجی داده‌ها — برداشتن همه چیز پیش از حذف
• چگونه کمک بگیریم — درخواست DPA امضاشده و کانال security@
• اشتراک و طرح‌ها — مدت اعتبار قرارداد
• اسناد حقوقی — سیاست حفظ حریم خصوصی و شرایط برای مهمانان شما
• Cookies و رضایت — بنر و گزارش رضایت‌ها به‌عنوان مدرک
• مشتریان — حذف داده‌های یک مهمان مشخص
• کارکنان و شیفت‌ها — نقش‌ها و پوشش شعبه‌ها