Договор за обработка на податоци (DPA)

Зошто оваа страница ви е потребна пред потпишување: од неа се гледа што точно обработуваме, каде се наоѓа тоа, на кого се пренесува и што умееме и што не умееме — без ветувања што ги нема во производот. Техничката страна на истото прашање — Безбедност и податоци.

1. Страни и улоги#

Што стојат зад овие зборови во практика:

• Целите ги определувате вие. Вие одлучувате дали да собирате телефони на гости, дали да снимате разговори, дали да водите кадровско досие во панелот, дали да вклучите ИИ-функции. Ние даваме алатка и извршуваме налог — збир дејства што ги задавате преку поставките на сметката и своите дејства во интерфејсот.
• Правното основа — исто така ваше. Согласност на гостинот, договор со него, ваша законска обврска (фискална сметка, кадровско евидентирање, регистрација на гостин во хотел) — обезбедувате вие. Платформата не проверува и не може да провери дали сте имале основа да внесете конкретно лице во базата.
• Документите за субјектите — ваши. Политиката за приватност на витрината, cookie-банерот, текстот за согласност за билтен се објавуваат во ваше име. Ние даваме конструктор, хостинг на страници и дневник на согласности — видете Правни документи и Cookies и согласност.
• Има делови каде што ние сме самостоен контролор, и тоа чесно се издвојува: податоците на вашата сметка и плаќањата за претплата, техничката телеметрија на грешки во панелот, кореспонденцијата со поддршка. Тие се обработуваат според нашата политика, а не според вашиот налог.

Што останува на вас како оператор#

Информирање на субјектите и собирање основи · законитост на целите · одговори на барања на субјектите (ние помагаме, видете §9) · известувања до регулаторот таму каде што законот ги става на операторот (во РФ — известување до Роскомнадзор за обработка и за инцидент) · поставување на улогите така што вработените ќе гледаат само што треба · одлука дали да се вклучат ИИ-функции и пренос на податоци до странски модели.

2. Предмет, карактер и цели на обработката#

Обработуваме податоци само за да функционираат функциите што сте ги вклучиле, и за поддршка на тие функции по ваше барање. Не ја користиме содржината на вашата сметка за рекламирање, профилирање и не обучуваме свои модели на неа, не ја продаваме и не ја пренесуваме на трети лица, освен на субобработувачите од §6 и примачите што ги избирате самите вие.

Карактерот на обработката — собирање, запишување, систематизирање, чување, прецизирање, извлекување, користење, анонимизирање, блокирање, бришење; автоматизирана обработка во облак.

Целосната раскладка „модул → податоци → цел → рок“ — во Прилог А.

3. Категории на субјекти и категории на податоци#

Категории на субјекти: гости и клиенти · потенцијални клиенти · вработени · кандидати за вработување · корисници на сметка (сопственик и вработени со најава) · претставници на договорни страни и партнери.

Категории на податоци што ги прима производот:

Специјални категории (чл. 9 GDPR, чл. 10 152-FZ) платформата сама не собира. Притоа, во производот има полиња каде што вие можете да внесете податоци за здравје: медицинска книшка и боледување на вработен, ограничувања по здравје и исхрана на гостин во хотел. Внесувајќи ги, преземате зголемени барања за основата и мерките за заштита; нашата страна е да ги чуваме во затворен за преглед вид и да не ги прикажуваме без јасна цел.

Биометријата е забранета на ниво на платформа. Класата е означена како забранета во регистарот на политики, и обидот да се запишат такви податоци се одбива со код, а не со инструкција. Во контурата нема отпечатоци, скенирања на лице и гласовни модели.

Податоци за платни картички кај нас нема воопшто — ниту број, ниту CVV: картичката ја обработува платниот провајдер, кај нас пристигнува само резултатот од операцијата.

4. Рок на обработка, бришење и враќање на податоци#

• Рокот е за времетраењето на претплатата и вашата сметка. Додека сметката е активна, податоците се чуваат за да функционираат функциите.
• Бришењето се врши во рок од 30 дена од моментот на вашето писмено барање или престанок на договорот. Ова се однесува и на бришење на сметката во целост, и на бришење на посебен збир податоци по ваше налог.
• Да ги преземете податоците пред бришењето е ваша задача, а наша обврска е да помогнеме. Извозот се составува самостојно, без обраќање до поддршката: Извоз на податоци. Готовиот архив живее 7 дена, тајните намерно не влегуваат во него.
• Дел од роковите ги одредува закон, а не претплатата. Фискалните документи, кадровското досие, регистрацијата на гостин во хотел се чуваат онолку колку што бара нормата на земјата — и во тие случаи бришење „по барање“ е невозможно до истекот на рокот. Таквите записи во производот се означени со режим на задолжително чување.
• Резервни копии. Роковите на чување на внатрешните копии не ги објавуваме — и затоа не ветуваме дека „податоците ќе исчезнат од насекаде истиот ден“. Правилното осигурување на ваша страна: чувајте своја копија преку извозот, особено пред масовни промени.
• Што го надживува бришењето на објектот — откриваме директно. Дневникот на ИИ-интеракции на сметката (барање до моделот и неговиот одговор, вклучително текст распознаен од вашиот документ) се води за евиденција на трошењето и разгледување на инциденти и при бришење на изворниот документ не се чисти. Кешот на одговори и генерираните наставни материјали можат да цитираат избришан документ до следното пресобирање. Целосното бришење на овие траги е по обраќање до поддршката.
• Содржината веќе предадена на ИИ-провајдерот во текот на извршувањето на вашето барање живее по неговите сопствени правила за чување и е надвор од нашата контрола.

5. Обврски на обработувачот#

5.1 Обработка само по ваши инструкции. Инструкцијата се вашите поставки на сметката, вашите дејства во интерфејсот и одделни писмени налози. Ако инструкцијата, според нашето мислење, го крши законот за лични податоци, ние го соопштуваме тоа и имаме право да го прекинеме извршувањето.

5.2 Доверливост на персоналот. Пристап до податоците на сметката има ограничен круг наши вработени и договорни партнери, врзани со обврска за доверливост; пристапот се доделува по потреба за извршување на работата и се одзема по нејзиното завршување.

5.3 Безбедносни мерки — целосниот список е во Прилог Б. Накратко: пренос само преку TLS; објектите во складиштата се шифрираат на страната на сервисот; одделен контур на лични податоци со шифрирање на записот и затворен пат за читање; разграничување на пристапот по улоги, нивоа на оддел и опфат на локации; изолација на сметките преку префикс во складиштето; неповратни хешови за лозинката и PIN.

5.4 Пристап на поддршката — само со ваше изречно одобрување. Вработен во поддршката не може да влезе во сметката по своја волја: потребен е вклучен прекинувач во Поставки → Пристап на поддршката (/settings/support-access), обемот („само преглед“ или „преглед и измена“) го избирате вие, секоја сесија влегува во журналот (кој, кога, во кој обем), а повлекувањето на согласноста прекинува дури и сесија што е во тек. Партнерот-воведувач влегува само по барање што го одобрува сопственикот, на ограничено време и со ознака во интерфејсот; парите, кадрите, извозот на податоци и интеграциите му ги затвора серверот во секој режим.

5.5 Журналирање. Се водат: журнал на согласности на сопственикот за пристап на поддршката и журнал на самите сесии, журнал на најави на партнери, журнал на ИИ-интеракции на сметката, журнал на пристапи до контурот на лични податоци. Во последниот дејствува бариера за ревизија: нема запис во журналот — нема издавање на отворената вредност.

5.6 Помош при одговори на субјектите — види §9.

5.7 Известување за инцидент. За нарушување на безбедноста на личните податоци што ја зафатило вашата сметка, ве известуваме најдоцна 72 часа од моментот на откривањето, без неоправдано одлагање, и го пренесуваме тоа што го знаеме до тој момент: природата на инцидентот, зафатените категории податоци и субјекти (колку што е утврдено), веројатните последици, преземените и планираните мерки, контакт за појаснувања. Ако до рокот сликата е нецелосна, праќаме делумно известување и го дополнуваме како што тече разгледувањето — да се молчи „до целосна јасност“ не смее. ⚠️ Известувањето на регулаторот и субјектите — обврска на операторот, односно ваша: во РФ тоа е 24 часа за известување за фактот и 72 часа за резултатите од внатрешната истрага, во ЕЕЗ — 72 часа за известување на надзорниот орган. Затоа нашиот рок е поставен така што вие да стигнете во својот.

5.8 Помош при проценка на влијанието (DPIA). На барање го пренесуваме описот на обработката, мерките и субобработувачите во обемот на овој документ и неговите прилози — тоа обично е доволно за вашата проценка.

5.9 Бришење или враќање по завршувањето — види §4.

6. Субобработувачи#

Ангажираме субобработувачи — инаку облачниот производ не постои. Целосниот список со намена, место на обработка и состав на пренесените податоци е во Прилог В. Правилата што предлагаме да се зацврстат:

• субобработувачот се ангажира по писмен договор со услови за заштита не пониски од прифатените во оваа согласност;
• пред него се открива минимумот податоци потребен за неговата функција;
• за нов или заменет субобработувач известуваме со писмо на адресата на сопственикот на сметката и со ажурирање на Прилог В најмалку 30 дена пред почетокот на преносот; во тој рок можете да приговорите со наведување на причината, и тогаш ние или предлагаме алтернатива, или вие имате право да се откажете од зафатената функција или да го раскинете договорот во делот што без неа не функционира;
• за дејствата на субобработувачот пред вас одговараме ние;
• странските ИИ-модели се вклучуваат само со ваша одлука — соодветната согласност се бара одделно, а не „заедно“ со општата штиклирана опција; на рускиот контур чекорот на одлучување на моделот е намерно исклучен (во каталогот нема модели со потврдена усогласеност со 152-ФЗ).

Одделно: примателите што ги избирате самите вие — платен провајдер, оператор на SIP-номер, месенџери, агрегатори за достава, маркетплејси, оператор на фискални податоци, државни системи. Тие добиваат податоци по вашата одлука да поврзете канал и во повеќето случаи настапуваат како самостојни контролори, а не како наши субобработувачи. Нивните услови ги прифаќате директно.

7. Резидентност и прекуграничен пренос#

Контурата се определува од брендот преку кој се регистриравте. Ова не е поставка на сметката, не се менува во тек и не може да се „префрли“ сметка од една контура во друга.

Последици што вреди да се кажат:

• Складирањето е заедничко за контурата, а не одделно за брендот. Податоците на различни брендови од иста контура лежат во заеднички систем за складирање и се разделени логички — со префиксот на сметката и со правата. Не можеме да ви ветиме одделно складиште.
• Дистрибуцијата на статични содржини оди преку CDN низ целиот свет — тоа се јавни датотеки на излогот (мени, фотографии, објавени документи), кои и онака ги чита браузерот на гостинот без авторизација.
• Руската контура — тоа е обработка по налог според 152-FZ: запишувањето, систематизацијата, чувањето и извлекувањето се вршат во бази на територијата на Руската Федерација (чл. 18, ч. 5). Обработката со вештачка интелигенција таму е кај руски провајдер. Притоа не декларираме сертифицирани средства за криптографска заштита и формални граници на ISPDn: ако тоа вашиот бизнис го бара по закон, разговарајте за задачата пред поврзување.
• Локализација во Казахстан и Узбекистан. Контура во Казахстан немаме, и профилот на операторот за Казахстан чесно е означен како „вместувањето е недостапно“. За Узбекистан задолжителна локализација важи само за биометрија, генетика и податоци на корисници на комуникациски услуги — биометрија воопшто не примаме, затоа чувањето во меѓународната контура е дозволено при исполнување на условите од законот за прекуграничен пренос; самиот основ (стандардни договорни клаузули или стандард од листата) го уредувате вие како оператор.

8. Ревизија и потврдување на усогласеност#

• На барање одговараме на вашето безбедносно прашалник и го доставуваме описот на мерките и потпроцесорите во обемот на овој документ и прилозите.
• Ревизија на лице место или преку ваш ревизор — по договор: однапред, во работно време, не почесто од еднаш годишно (почесто — при инцидент или по барање на регулаторот), со обврска за доверливост, без пристап до податоците на други клиенти и до средствата каде таков пристап е технички неизбежен. Трошоците над разумните ги покрива страната што бара.
• ⚠️ Искрено за она што го нема: немаме сертификација ISO/IEC 27001, немаме извештај SOC 2, немаме заклучок PCI DSS (картички воопшто не обработуваме) и немаме атестација на ISPDn. Ако вашата усогласеност бара готов извештај од независен ревизор, засега нема да го обезбедиме — и претпочитаме да го кажеме тоа пред потписот, а не потоа.
• Сертификации имаат нашите потпроцесори-облаци и платниот провајдер; нема да се повикуваме на нив како на наши.

Контакт за заштита на податоци#

Прашања за заштита на податоци, барање за DPA што се потпишува и пријави за ранливости — на security@ на доменот на вашиот бренд; обичните обраќања — преку поддршката. Одделно назначен DPO и претставник во ЕУ немаме — тоа е уште една точка што ја кажуваме отворено, а не ја заобиколуваме со формулација.

9. Права на субјектите и помош#

Обраќањата на субјектите се упатуваат до вас како оператор — вие одговарате, ние помагаме. Што е навистина достапно денес:

Искрени граници што е подобро да се знаат однапред:

• Кабинет за барања на субјекти (DSAR) во панелот нема — таквите барања се обработуваат рачно, преку извозот и деловите „Клиенти“ и „Вработени“.
• Екранот „Мои податоци“ на излогот го чисти уредот на гостинот, а не серверската историја на нарачки: гостинот го гледа и брише она што лежи во неговиот браузер. Ако побара да се избришат нарачките и контактите од вашата база, тоа го правите вие.
• Дневник „кој од моите вработени што отворал“ нема. Дневниците се водат по најавите на поддршката и партнерите и по пристапите до контурата на лични податоци — односно на прашањето „кој од нашите ја гледал картонот на гостинот“ денес не можеме да одговориме.

10. Одговорност, рок на важност, применимо право#

• Договорот важи додека важи вашата претплата и додека ние обработуваме податоци по ваше налог; одредбите за доверливост, бришење и помош го надживуваат неговото престанување во делот што е неопходен за нивно извршување.
• Одговорноста на страните се определува со основниот договор (Условите за користење) и со закон; распределбата по овој договор не ја проширува.
• Применимо право и надлежност — по брендот и правното лице што ви ја дава услугата; конкретните податоци се внесуваат во верзијата што се потпишува. За рускиот контур се применува правото на РФ и терминологијата на 152-FZ, а за меѓународниот — Условите за користење на соодветниот бренд и GDPR/UK GDPR таму каде што потпаѓате под нивното дејство.
• Во случај на несовпаѓање меѓу оваа страница и потпишаниот документ предност има потпишаниот документ.

Приложение А — опис на обработката#

Колоната „Рок“ покажува што го определува рокот. Ознаката „предлог“ значи дека рокот е вграден во производот како разумен по стандард, но правно не е утврден и се доуточнува во верзијата што се потпишува.

Прилог Б — мерки за безбедност#

Пренос и чување

• Целата размена со панелот, излогот и API — преку HTTPS/TLS; јавните адреси се сервираат зад CDN.
• Објектите во складиштата се шифрираат на страната на сервисот (на AWS — SSE-S3, AES-256; сопствен клуч KMS по правило не се применува). Записите на посветениот контур на лични податоци се шифрираат одделно — AES-256-GCM, клучот за шифрирање на податоци се создава за секој пар „сметка × класа на податоци“ и се завиткува во KMS на облакот.
• Аудиоснимките од разговорите лежат во одделен ладен архив на брендот, во истиот контур, со пристап преку врска без задоцнување за „восстановување“.

Разграничување на пристапот

• Улоги на вработени со избор на секции, ниво на пристап и опфат на локации; пристапот до секција не е еднаков на пристап до целата сметка.
• Изолација на сметката преку префикс во складиштето плус серверски забрани за запишување од прелистувач во службени префикси.
• Лозинка — 8+ знаци со барања за состав; PIN на касиерот се чува само како неповратен хеш; API-клучот се прикажува еднаш при создавање; излезот ја затвора сесијата во сите јазичиња.
• Отпуштање на вработен го укинува влезот во панелот и го отповикува телефонскиот внатрешен број веднаш на сите локации.
• Кодовите на уредите даваат пристап до една целна страница (монитор, кујнски екран), а не до сметката.
• Читањето на посветениот контур на лични податоци е возможно само преку службен интерфејс со проверка на субјектот на правото, сметката, областа, докажаната деловна врска, класата и целта, множеството полиња и регионот — и само со запис во дневникот за ревизија.

Нашиот пристап до вашите податоци

• Пристапот на поддршката — преку прекинувач на сопственикот, во избраниот обем, со дневник на сесии, со прекинување на тековната сесија при отповикување.
• Пристапот на партнерот — по барање одобрено од сопственикот, ограничено време, една сесија, ознака во интерфејсот, серверски забрани за претплата и плаќања, податоци на сопственикот, права на вработени, извоз на податоци, интеграции, комуникација, контрагенти и партнерска програма.
• Забранети класи на податоци: биометрија се одбива со код. Податоци за платни картички воопшто нема.

Што нема — велиме отворено

• Нема сертификација ISO/IEC 27001, извештај SOC 2, атестација ISPDn и сертифицирани средства за криптографска заштита.
• Двофакторен влез во панелот сѐ уште нема — тој се подготвува; заштитата на влезот денес е долга лозинка, одделни логини на вработени и кодови на уреди со PIN.
• Нема дневник на дејствата на вашите вработени, кабинет за DSAR и враќање на сметката „на датум“.
• Посветениот контур на лични податоци не работи на сите секции: тој е воведен кај гостите на хотелот (преводот на веќе постоечките сметки е во тек), останатите секции сѐ уште држат лични податоци во обичните документи на сметката. Развојот оди по секции, рокови не ветуваме.
• На рускиот контур нема дневник на сесии на поддршката, партнерски влез и скенер за колачиња.

Прилог В — субобработувачи#

Инфраструктура#

Вештачка интелигенција#

Меѓународен контур: барањата одат преку агрегатор на модели polza.ai, а не директно до вендорот. Достапни вендори — OpenAI, Google, xAI, DeepSeek; кој од нив се користи, се гледа и се менува во секцијата „ИИ-модели“. Одделни функции се обраќаат до вендорот директно: пребарување и одговори по базата на знаење — до OpenAI (вградувања, одговори, распознавање текст на слики), гостинскиот ИИ-концијерж на менито — до Google Gemini (во промптот влегува фрагмент од вашата база на знаење до 4000 знаци заедно со менито и прашањето на гостинот).

Руски контур: Yandex Cloud Foundation Models (вградувања, одговори, реранк, резимеа) и Yandex Vision OCR (распознавање текст на слики), со исклучено журналирање на барањата таму каде што провајдерот дава такво подесување. Кај странските провајдери не применуваме аналогно подесување и се потпираме на нивните стандардни услови за API, според кои податоците не се користат за обучување на модели.

Можете да го поврзете својот OpenAI-компатибилен крајен точка — тогаш провајдерот го избирате вие, и тој станува ваш примач, а не наш субобработувач.

Распознавање на говор#

Се пренесува аудиоснимка од разговор или од вчитана датотека; назад доаѓа текст од транскрипцијата.

Пошта и известувања#

Amazon SES — излезни писма: покани до вработени, известувања за нарачки и резервации, дајџести, писма до гости. Се пренесуваат адресата на примачот и содржината на писмото. На рускиот контур SES не се користи — дел од поштенските сценарија таму работат поинаку или воопшто не работат.

Примачи што ги поврзувате вие#

Провајдер за плаќања (на пример, Stripe) · оператор на SIP-број и телефонија · месенџери (Telegram, WhatsApp) · агрегатори за достава · маркетплејси · оператор на фискални податоци и државни системи (во РФ — OFD, Chestny ZNAK, EGAIS) · аналитички бројачи што сте ги поставиле на сајтот. Составот на податоците што им се пренесуваат се определува од поврзаната функција; условите за обработка ги прифаќате кај нив директно.

Често поставувани прашања#

Може ли овој документ да се потпише како што е? Не. Ова е нацрт и опис на фактичката состојба: во него нема податоци за страните, список на вашите модули и датум. Побарајте верзија за потпис на security@ на вашиот бренд или преку поддршката — во одговорот ќе го добиете истиот текст со вашите податоци.

Имате ли ISO 27001 или SOC 2? Не. Немаме ниту сертификација, ниту извештај од ревизор, и нема да ги претставиме сертификатите на нашите облак-провајдери како свои. Одговараме на безбедносен прашалник и даваме опис на мерките.

Кој е оператор на личните податоци на нашите гости — ние или вие? Вие. Вие одлучувате што да собирате и зошто, вие ги информирате гостите и собирате согласности. Ние ги обработуваме тие податоци по ваше налог и не ги користиме за свои цели.

Колку брзо ќе ги избришете податоците ако си заминеме? Во рок од 30 дена од моментот на барањето или престанокот на договорот. Роковите за чување на внатрешните резервни копии не ги објавуваме — земете си своја копија преку извоз пред бришењето.

Каде физички лежат податоците и може ли да се избере регион? Регионот го одредува брендот: меѓународниот контур — САД, турските брендови — Германија, cenaly.ru — Русија. Не може да се избере регион во рамки на еден бренд, преселбата значи нова сметка во друг контур.

Податоците одат во САД — како да се затвори тоа за оператор од ЕЕЗ? Основите се извршување на договорот и стандардните договорни услови, а за ИИ-функциите посебно се бара ваша изречна согласност. Ако преносот во трета земја е неприфатлив за вас, турските брендови работат во eu-central-1 (Германија) — но тоа е посебен бренд, а не поставка.

Ги обучувате ли вашите модели на нашите податоци? Не. Содржината на сметката не се користи за обука на нашите модели, за рекламирање и профилирање, и не се продава. Кај ангажираните ИИ-провајдери се потпираме на нивните стандардни услови за API, според кои податоците од API не се користат за обука по стандард.

Може ли вашата поддршка да ги види нашите податоци без прашање? Не. Потребен е вклучен прекинувач „Пристап за поддршка“ во поставките, обемот го избирате вие, сесиите влегуваат во дневникот, а повлекувањето на согласноста гаси дури и сесија што е во тек.

Гостинот бара да се избришат неговите податоци — што да се прави? Избришете ја неговата картичка во делот Клиенти. Копчето „Мои податоци“ на излогот го чисти само уредот на гостинот. За длабоко чистење на трагите (дневници на ИИ-интеракции, кешови) побарајте од нас — ќе го направиме во истите 30 дена.

Што е со снимките од разговорите — тоа се чувствителни податоци, нели? Снимките и транскриптите лежат во студениот архив на вашиот бренд, во истиот контур, а пристапот до делот „Разговори“ се поставува посебно, до поименично. Предупредувањето на учесниците за снимањето е ваша обврска како оператор, а во некои земји без тоа снимањето е незаконско.

Поврзани делови#

• Безбедност и податоци — каде лежат податоците, кој има пристап, што да се прави при инцидент
• Сметка и најава — лозинки, кодови на уреди, пристап за поддршка
• Извоз на податоци — земете сѐ пред бришењето
• Како да добиете помош — барање за потпишан DPA и канал security@
• Претплата и планови — рок на важност на договорот
• Правни документи — политика за приватност и услови за вашите гости
• Cookies и согласност — банер и дневник на согласности како доказ
• Клиенти — бришење на податоците на конкретен гостин
• Вработени и смени — улоги и опфат на локации