Угода про обробку даних (DPA)

Навіщо ця сторінка потрібна вам до підписання: з неї видно, що саме ми обробляємо, де це лежить, кому передається і що ми вміємо і чого не вміємо — без обіцянок, яких немає в продукті. Технічний бік того самого питання — Безпека та дані.

1. Сторони та ролі#

Що стоїть за цими словами практично:

• Цілі визначаєте ви. Ви вирішуєте, чи збирати телефони гостей, чи записувати дзвінки, чи вести кадрову справу в панелі, чи вмикати ІІ-функції. Ми даємо інструмент і виконуємо доручення — набір дій, який ви задаєте налаштуваннями облікового запису та своїми діями в інтерфейсі.
• Правова підстава — теж ваша. Згода гостя, договір із ним, ваш законний обов'язок (фіскальний чек, кадровий облік, реєстрація гостя готелю) — забезпечуєте ви. Платформа не перевіряє і не може перевірити, чи була у вас підстава вносити конкретну людину до бази.
• Документи для суб'єктів — ваші. Політика конфіденційності вітрини, cookie-банер, текст згоди на розсилку публікуються від вашого імені. Ми даємо конструктор, хостинг сторінок і журнал згод — див. Юридичні документи і Cookies та згода.
• Є ділянки, де ми — самостійний контролер, і це чесно відокремлюється: дані вашого облікового запису та платежів за підписку, технічна телеметрія помилок панелі, листування з підтримкою. Вони обробляються за нашою політикою, а не за вашим дорученням.

Що залишається на вас як на операторі#

Інформування суб'єктів і збір підстав · законність цілей · відповіді на звернення суб'єктів (ми допомагаємо, див. §9) · повідомлення регулятору там, де закон покладає їх на оператора (у РФ — повідомлення Роскомнагляду про обробку та про інцидент) · налаштування ролей так, щоб співробітники бачили лише потрібне · рішення про те, чи вмикати ІІ-функції та передачу даних зарубіжним моделям.

2. Предмет, характер і цілі обробки#

Ми обробляємо дані лише для того, щоб працювали функції, які ви увімкнули, і для підтримки цих функцій за вашим зверненням. Ми не використовуємо вміст вашого облікового запису для реклами, профілювання і не навчаємо на ньому свої моделі, не продаємо і не передаємо його третім особам, крім субобробників із §6 і отримувачів, яких обираєте ви самі.

Характер обробки — збирання, запис, систематизація, зберігання, уточнення, вилучення, використання, знеособлення, блокування, видалення; автоматизована обробка в хмарі.

Повне розкладання «модуль → дані → мета → строк» — у Додатку А.

3. Категорії суб'єктів і категорії даних#

Категорії суб'єктів: гості та клієнти · ліди · співробітники · кандидати · користувачі облікового запису (власник і співробітники з логіном) · представники контрагентів і партнерів.

Категорії даних, які продукт приймає:

Спецкатегорії (ст. 9 GDPR, ст. 10 152-ФЗ) платформа сама не збирає. Водночас у продукті є поля, куди ви можете внести дані про здоров'я: медична книжка і лікарняний співробітника, обмеження щодо здоров'я та харчування гостя готелю. Вносячи їх, ви берете на себе підвищені вимоги до підстави та заходів захисту; наша частина — тримати їх у закритому для перегляду вигляді й не показувати без явної мети.

Біометрія заборонена на рівні платформи. Клас позначено забороненим у реєстрі політик, і спроба записати такі дані відхиляється кодом, а не інструкцією. Відбитків, зліпків обличчя та голосових моделей у контурі немає.

Даних платіжних карток у нас немає взагалі — ні номера, ні CVV: картку обробляє платіжний провайдер, до нас надходить лише результат операції.

4. Строк обробки, видалення та повернення даних#

• Строк — на час дії підписки та вашого облікового запису. Поки обліковий запис живий, дані зберігаються, щоб працювали функції.
• Видалення — протягом 30 днів з моменту вашого письмового запиту або припинення договору. Це стосується і видалення облікового запису цілком, і видалення окремого набору даних за вашим дорученням.
• Забрати дані до видалення — ваше завдання, а наша обязанність допомогти. Експорт збирається самостійно, без звернення до підтримки: Експорт даних. Готовий архів живе 7 днів, секрети до нього навмисно не потрапляють.
• Частину строків задає закон, а не підписка. Фіскальні документи, кадрова справа, реєстрація гостя готелю зберігаються стільки, скільки вимагає норма країни, — і в цих випадках видалення «на прохання» неможливе до закінчення строку. Такі записи в продукті позначені режимом обов'язкового зберігання.
• Резервні копії. Строків зберігання внутрішніх копій ми не публікуємо — і тому не обіцяємо, що «дані зникнуть звідусіль того ж дня». Правильна страховка на вашому боці: тримайте свою копію через експорт, особливо перед масовими змінами.
• Що переживає видалення об'єкта — розкриваємо прямо. Журнал ІІ-взаємодій облікового запису (запит до моделі та її відповідь, включно з текстом, розпізнаним із вашого документа) ведеться для обліку витрат і розбору інцидентів і при видаленні вихідного документа не вичищається. Кеш відповідей і згенеровані навчальні матеріали можуть цитувати видалений документ до наступного перезбирання. Повне стирання цих слідів — за зверненням до підтримки.
• Вміст, уже переданий ІІ-провайдеру під час виконання вашого запиту, живе за його власними правилами зберігання і поза нашим контролем.

5. Обов’язки обробника#

5.1 Обробка лише за вашими інструкціями. Інструкція — це ваші налаштування облікового запису, ваші дії в інтерфейсі та окремі письмові доручення. Якщо інструкція, на нашу думку, порушує закон про персональні дані, ми повідомляємо про це і маємо право призупинити виконання.

5.2 Конфіденційність персоналу. Доступ до даних облікового запису має обмежене коло наших співробітників і підрядників, пов’язаних зобов’язанням конфіденційності; доступ надається за потреби виконання роботи і знімається після її завершення.

5.3 Заходи безпеки — повний перелік у Додатку Б. Коротко: передавання лише через TLS; об’єкти у сховищах шифруються на боці сервісу; окремий контур персональних даних із шифруванням запису і закритим шляхом читання; розмежування доступу за ролями, рівнями розділу та охопленням точок; ізоляція облікових записів префіксом у сховищі; необоротні хеші для пароля і PIN.

5.4 Доступ підтримки — лише з вашого явного дозволу. Співробітник підтримки не може увійти в обліковий запис за власним бажанням: потрібен увімкнений перемикач у Налаштування → Доступ підтримки (/settings/support-access), обсяг («лише перегляд» або «перегляд і змінення») обираєте ви, кожна сесія потрапляє до журналу (хто, коли, в якому обсязі), а відкликання згоди припиняє навіть поточну сесію. Партнер-впроваджувач входить лише на прохання, яке схвалює власник, на обмежений час і з позначкою в інтерфейсі; гроші, кадри, вивантаження даних та інтеграції йому закриває сервер у будь-якому режимі.

5.5 Журналювання. Ведуться: журнал згод власника на доступ підтримки і журнал самих сесій, журнал входів партнерів, журнал ІІ-взаємодій облікового запису, журнал звернень до контуру персональних даних. В останньому діє бар’єр аудиту: немає запису в журналі — немає видачі відкритого значення.

5.6 Допомога у відповідях суб’єктам — див. §9.

5.7 Повідомлення про інцидент. Про порушення безпеки персональних даних, що заторкнуло ваш обліковий запис, ми повідомляємо вас не пізніше 72 годин з моменту виявлення, без невиправданої затримки, і передаємо те, що знаємо на цей момент: характер інциденту, заторкнуті категорії даних і суб’єктів (наскільки це встановлено), ймовірні наслідки, вжиті та заплановані заходи, контакт для уточнень. Якщо на цей строк картина неповна, надсилаємо часткове повідомлення і доповнюємо його в міру розбору — мовчати «до повної ясності» не можна. ⚠️ Повідомлення регулятора і суб’єктів — обов’язок оператора, тобто ваш: у РФ це 24 години на повідомлення про факт і 72 години на результати внутрішнього розслідування, у ЄЕЗ — 72 години на повідомлення наглядового органу. Тому наш строк і побудований так, щоб ви встигли у свій.

5.8 Сприяння під час оцінки впливу (DPIA). На запит передаємо опис обробки, заходів і субобробників в обсязі цього документа та його додатків — цього зазвичай достатньо для вашої оцінки.

5.9 Видалення або повернення після завершення — див. §4.

6. Субобробники#

Ми залучаємо субобробників — інакше хмарний продукт не існує. Повний перелік із призначенням, місцем обробки та складом передаваних даних — у Додатку В. Правила, які ми пропонуємо закріпити:

• субобробник залучається за письмовим договором з умовами захисту не нижче прийнятих у цій угоді;
• перед ним розкривається мінімум даних, потрібний для його функції;
• про нового або заміненого субобробника ми повідомляємо листом на адресу власника облікового запису та оновленням Додатка В не менше ніж за 30 днів до початку передавання; у цей строк ви можете заперечити із зазначенням причини, і тоді ми або пропонуємо альтернативу, або ви маєте право відмовитися від заторкнутої функції чи розірвати договір у частині, яка без неї не працює;
• за дії субобробника перед вами відповідаємо ми;
• зарубіжні ІІ-моделі вмикаються лише вашим рішенням — відповідну згоду запитують окремо, а не «заодно» із загальною галочкою; на російському контурі крок ухвалення рішення моделлю вимкнено навмисно (у каталозі немає моделей із підтвердженою відповідністю 152-ФЗ).

Окремо: отримувачі, яких обираєте ви самі, — платіжний провайдер, оператор SIP-номера, месенджери, агрегатори доставки, маркетплейси, оператор фіскальних даних, державні системи. Вони отримують дані за вашим рішенням підключити канал і в більшості випадків виступають самостійними контролерами, а не нашими субобробниками. Їхні умови ви приймаєте напряму.

7. Резидентність і транскордонне передавання#

Контур визначається брендом, через який ви зареєструвалися. Це не налаштування облікового запису, на ходу не змінюється, і «перевести» обліковий запис з одного контуру в інший не можна.

Наслідки, які варто проговорити:

• Сховище спільне на контур, а не окреме на бренд. Дані різних брендів одного контуру лежать у спільній системі зберігання і розділені логічно — префіксом облікового запису та правами. Обіцяти вам окремий бакет ми не можемо.
• Роздача статики йде через CDN по всьому світу — це публічні файли вітрини (меню, фото, опубліковані документи), які й так читає браузер гостя без авторизації.
• Російський контур — це доручення на обробку за 152-FZ: запис, систематизація, зберігання та вилучення виконуються в базах на території РФ (ст. 18 ч. 5). ШІ-обробка там — російський провайдер. При цьому сертифікованих засобів криптографічного захисту та формальних меж ISPDn ми не декларуємо: якщо це потрібно вашому бізнесу за законом, обговоріть задачу до підключення.
• Локалізація в Казахстані та Узбекистані. Контуру в РК у нас немає, і профіль оператора Казахстану чесно позначений як «розміщення недоступне». Для Узбекистану обов'язковій локалізації підлягають лише біометрія, генетика та дані абонентів зв'язку — біометрію ми не приймаємо взагалі, тому зберігання в міжнародному контурі допустиме за виконання умов закону про транскордонне передавання; саму підставу (стандартні договірні умови або стандарт із переліку) оформлюєте ви як оператор.

8. Аудит і підтвердження відповідності#

• На запит ми відповідаємо на вашу анкету безпеки та передаємо опис заходів і субобробників в обсязі цього документа й додатків.
• Аудит на місці або силами вашого аудитора — за погодженням: заздалегідь, у робочий час, не частіше одного разу на рік (частіше — при інциденті або на вимогу регулятора), із зобов'язанням конфіденційності, без доступу до даних інших клієнтів і до засобів, де такий доступ технічно неминучий. Витрати понад розумні покриває сторона, що запитує.
• ⚠️ Чесно про те, чого немає: у нас немає сертифікації ISO/IEC 27001, немає звіту SOC 2, немає висновку PCI DSS (картки ми не обробляємо взагалі) і немає атестації ISPDn. Якщо ваш комплаєнс вимагає готового звіту незалежного аудитора, на сьогодні ми його не надамо — і воліємо сказати це до підписання, а не після.
• Сертифікації є в наших субобробників-хмар і в платіжного провайдера; посилатися на них як на наші ми не будемо.

Контакт із захисту даних#

Питання щодо захисту даних, запит DPA для підписання та повідомлення про вразливості — на security@ на домені вашого бренду; звичайні звернення — через підтримку. Окремо призначеного DPO та представника в ЄС у нас немає — це ще один пункт, який ми говоримо прямо, а не обходимо формулюванням.

9. Права суб'єктів і сприяння#

Звернення суб'єктів адресуються вам як оператору — ви відповідаєте, ми допомагаємо. Що реально доступно сьогодні:

Чесні межі, про які краще знати заздалегідь:

• Кабінету запитів суб'єкта (DSAR) у панелі немає — такі запити обробляються вручну, через експорт і розділи «Клієнти» та «Співробітники».
• Екран «Мої дані» на вітрині чистить пристрій гостя, а не серверну історію замовлень: гість бачить і стирає те, що лежить у його браузері. Якщо він просить видалити замовлення та контакти з вашої бази, це робите ви.
• Журналу «хто з моїх співробітників що відкривав» немає. Журнали ведуться за входами підтримки та партнерів і за зверненнями до контуру персональних даних — тобто відповісти на питання «хто з наших дивився картку гостя» ми сьогодні не зможемо.

10. Відповідальність, строк дії, застосовне право#

• Угода діє, поки діє ваша підписка і поки ми обробляємо дані за вашим дорученням; положення про конфіденційність, видалення та сприяння зберігають чинність після її припинення в обсязі, необхідному для їх виконання.
• Відповідальність сторін визначається основним договором (Умовами використання) і законом; розподіл за цією угодою його не розширює.
• Застосовне право та підсудність — за брендом і юридичною особою, яка надає вам послугу; конкретні реквізити підставляються в підписувану версію. Для російського контуру застосовується право РФ і термінологія 152-ФЗ, для міжнародного — Умови використання відповідного бренду та GDPR/UK GDPR там, де ви підпадаєте під їхню дію.
• У разі розбіжності між цією сторінкою та підписаним документом перевагу має підписаний документ.

Додаток А — опис обробки#

Стовпець «Строк» указує, чим строк задано. Позначка «пропозиція» означає, що строк закладено в продукт як розумний за замовчуванням, але юридично не затверджено і уточнюється в підписуваній версії.

Додаток Б — заходи безпеки#

Передавання та зберігання

• Увесь обмін із панеллю, вітриною та API — через HTTPS/TLS; публічні адреси роздаються за CDN.
• Об'єкти у сховищах шифруються на боці сервісу (на AWS — SSE-S3, AES-256; власний ключ KMS за замовчуванням не застосовується). Записи виділеного контуру персональних даних шифруються окремо — AES-256-GCM, ключ шифрування даних народжується на кожну пару «обліковий запис × клас даних» і загортається в KMS хмари.
• Аудіозаписи дзвінків лежать в окремому холодному архіві бренду, у тому самому контурі, з доступом за посиланням без затримки на «відновлення».

Розмежування доступу

• Ролі співробітників із вибором розділів, рівня доступу та охоплення точок; доступ до розділу не дорівнює доступу до всього облікового запису.
• Ізоляція облікового запису префіксом у сховищі плюс серверні заборони на запис із браузера до службових префіксів.
• Пароль — 8+ символів із вимогами до складу; PIN касира зберігається лише у вигляді необоротного хешу; API-ключ показується один раз під час створення; вихід закриває сесію в усіх вкладках.
• Звільнення співробітника знімає вхід до панелі та відкликає телефонний додатковий номер одразу за всіма точками.
• Коди пристроїв дають доступ до однієї цільової сторінки (монітор, кухонний екран), а не до облікового запису.
• Читання виділеного контуру персональних даних можливе лише через службовий інтерфейс із перевіркою суб'єкта права, облікового запису, області, доведеного бізнес-зв'язку, класу та мети, набору полів і регіону — і лише із записом до журналу аудиту.

Наш доступ до ваших даних

• Доступ підтримки — за перемикачем власника, у вибраному обсязі, з журналом сесій, із припиненням поточної сесії в разі відкликання.
• Доступ партнера — за схваленим власником запитом, обмежений час, одна сесія, плашка в інтерфейсі, серверні заборони на підписку та платежі, дані власника, права співробітників, вивантаження даних, інтеграції, зв'язок, контрагентів і партнерську програму.
• Заборонені класи даних: біометрія відхиляється кодом. Даних платіжних карток немає взагалі.

Чого немає — говоримо прямо

• Немає сертифікації ISO/IEC 27001, звіту SOC 2, атестації ISPDn і сертифікованих SKZI.
• Двофакторного входу до панелі поки немає — він готується; захист входу сьогодні — довгий пароль, окремі логіни співробітників і коди пристроїв із PIN.
• Немає журналу дій ваших співробітників, кабінету DSAR і відновлення облікового запису «на дату».
• Виділений контур персональних даних працює не на всіх розділах: його впроваджено на гостях готелю (переведення вже наявних облікових записів триває), решта розділів поки тримають персональні дані у звичайних документах облікового запису. Розвиток іде за розділами, строків ми не обіцяємо.
• На російському контурі немає журналу сесій підтримки, партнерського входу та сканера cookies.

Додаток В — субобробники#

Інфраструктура#

Штучний інтелект#

Міжнародний контур: запити йдуть через агрегатор моделей polza.ai, а не напряму до вендора. Доступні вендори — OpenAI, Google, xAI, DeepSeek; який із них використовується, видно та перемикається в розділі «ШІ-моделі». Окремі функції звертаються до вендора напряму: пошук і відповіді за базою знань — до OpenAI (ембедінги, відповіді, розпізнавання тексту на зображеннях), гостьовий ШІ-консьєрж меню — до Google Gemini (у промпт потрапляє фрагмент вашої бази знань до 4000 символів разом із меню та запитанням гостя).

Російський контур: Yandex Cloud Foundation Models (ембедінги, відповіді, реранк, зведення) і Yandex Vision OCR (розпізнавання тексту на зображеннях), із вимкненим журналюванням запитів там, де провайдер дає таке налаштування. У зарубіжних провайдерів аналогічного налаштування ми не застосовуємо та покладаємося на їхні стандартні умови API, за якими дані не використовуються для навчання моделей.

Ви можете підключити свій OpenAI-сумісний ендпоінт — тоді провайдера вибираєте ви, і він стає вашим отримувачем, а не нашим субобробником.

Розпізнавання мовлення#

Передається аудіозапис дзвінка або завантаженого файлу; назад надходить текст розшифрування.

Пошта та сповіщення#

Amazon SES — вихідні листи: запрошення співробітникам, сповіщення про замовлення та бронювання, дайджести, листи гостям. Передаються адреса отримувача та вміст листа. На російському контурі SES не використовується — частина поштових сценаріїв там працює інакше або не працює взагалі.

Отримувачі, яких підключаєте ви#

Платіжний провайдер (наприклад, Stripe) · оператор SIP-номера та телефонії · месенджери (Telegram, WhatsApp) · агрегатори доставки · маркетплейси · оператор фіскальних даних і державні системи (у РФ — OFD, Chestny ZNAK, EGAIS) · аналітичні лічильники, які ви поставили на сайт. Склад даних, що їм передаються, визначається підключеною функцією; умови обробки ви приймаєте в них напряму.

Часті запитання#

Чи можна підписати цей документ як є? Ні. Це чернетка й опис фактичного стану справ: у ній немає реквізитів сторін, переліку ваших модулів і дати. Запросіть версію для підписання на security@ вашого бренду або через підтримку — у відповідь надійде той самий текст із вашими даними.

У вас є ISO 27001 або SOC 2? Ні. Ані сертифікації, ані звіту аудитора в нас немає, і ми не видаватимемо сертифікати наших хмарних провайдерів за свої. Відповідаємо на анкету безпеки й надаємо опис заходів.

Хто оператор персональних даних наших гостей — ми чи ви? Ви. Ви вирішуєте, що збирати й навіщо, ви інформуєте гостей і збираєте згоди. Ми обробляємо ці дані за вашим дорученням і не використовуємо їх для власних цілей.

Як швидко ви видалите дані, якщо ми підемо? Протягом 30 днів із моменту запиту або припинення договору. Строки зберігання внутрішніх резервних копій ми не публікуємо — заберіть свою копію експортом до видалення.

Де фізично лежать дані й чи можна вибрати регіон? Регіон задає бренд: міжнародний контур — США, турецькі бренди — Німеччина, cenaly.ru — Росія. Вибрати регіон у межах одного бренду не можна, переїзд означає новий обліковий запис в іншому контурі.

Дані йдуть до США — як це закрити для оператора з ЄЕЗ? Підстави — виконання договору та стандартні договірні умови, а для ШІ-функцій окремо запитується ваша явна згода. Якщо передача до третьої країни для вас неприйнятна, турецькі бренди працюють у eu-central-1 (Німеччина) — але це окремий бренд, а не налаштування.

Ви навчаєте свої моделі на наших даних? Ні. Вміст облікового запису не використовується для навчання наших моделей, для реклами та профілювання, і не продається. Щодо залучених ШІ-провайдерів ми покладаємося на їхні стандартні умови API, за якими дані API не використовуються для навчання за замовчуванням.

Чи може ваша підтримка подивитися наші дані без запиту? Ні. Потрібен увімкнений перемикач «Доступ підтримки» в налаштуваннях, обсяг вибираєте ви, сесії потрапляють у журнал, а відкликання згоди гасить навіть поточну сесію.

Гість вимагає видалити свої дані — що робити? Видаліть його картку в розділі Клієнти. Кнопка «Мої дані» на вітрині чистить лише пристрій гостя. Глибоке чищення слідів (журнали ШІ-взаємодій, кеші) запросіть у нас — зробимо в ті самі 30 днів.

Що із записами дзвінків — це ж чутливі дані? Записи й розшифровки лежать у холодному архіві вашого бренду, у тому самому контурі, і доступ до розділу «Дзвінки» налаштовується окремо, аж до поіменного. Попереджати учасників про запис — ваш обов'язок як оператора, і в низці країн без цього запис незаконний.

Пов'язані розділи#

• Безпека та дані — де лежать дані, хто має доступ, що робити в разі інциденту
• Обліковий запис і вхід — паролі, коди пристроїв, доступ підтримки
• Експорт даних — забрати все до видалення
• Як отримати допомогу — запит підписаного DPA і канал security@
• Підписка та плани — строк дії договору
• Юридичні документи — політика конфіденційності та умови для ваших гостей
• Cookies і згода — банер і журнал згод як доказ
• Клієнти — видалення даних конкретного гостя
• Співробітники та зміни — ролі та охоплення точок