Thỏa thuận xử lý dữ liệu (DPA)

Vì sao bạn cần trang này trước khi ký: từ đây có thể thấy rõ chính xác những gì chúng tôi xử lý, dữ liệu nằm ở đâu, được chuyển cho ai và chúng tôi làm được gì và không làm được gì — không có những cam kết không tồn tại trong sản phẩm. Khía cạnh kỹ thuật của cùng vấn đề này — Bảo mật và dữ liệu.

1. Các bên và vai trò#

Ý nghĩa thực tế của những từ này:

• Mục đích do bạn quyết định. Bạn quyết định có thu thập số điện thoại của khách hay không, có ghi âm cuộc gọi hay không, có quản lý hồ sơ nhân sự trên bảng điều khiển hay không, có bật các tính năng AI hay không. Chúng tôi cung cấp công cụ và thực hiện ủy thác — tập hợp hành động do bạn thiết lập qua cài đặt tài khoản và các thao tác của bạn trên giao diện.
• Cơ sở pháp lý cũng thuộc về bạn. Sự đồng ý của khách, hợp đồng với khách, nghĩa vụ pháp lý của bạn (biên lai tài chính, hồ sơ nhân sự, đăng ký khách lưu trú khách sạn) — do bạn đảm bảo. Nền tảng không kiểm tra và không thể kiểm tra liệu bạn có cơ sở để đưa một người cụ thể vào cơ sở dữ liệu hay không.
• Tài liệu dành cho chủ thể dữ liệu là của bạn. Chính sách bảo mật của trang bán hàng, biểu ngữ cookie, nội dung đồng ý nhận bản tin được công bố dưới tên bạn. Chúng tôi cung cấp công cụ tạo, dịch vụ lưu trữ trang và nhật ký đồng ý — xem Tài liệu pháp lý và Cookies và sự đồng ý.
• Có những phần chúng tôi là bên kiểm soát độc lập, và điều này được tách bạch một cách trung thực: dữ liệu tài khoản và thanh toán đăng ký của bạn, dữ liệu đo từ xa kỹ thuật về lỗi của bảng điều khiển, trao đổi với bộ phận hỗ trợ. Những dữ liệu này được xử lý theo chính sách của chúng tôi, không theo ủy thác của bạn.

Những gì vẫn thuộc về bạn với tư cách bên vận hành#

Thông báo cho chủ thể dữ liệu và thu thập cơ sở · tính hợp pháp của mục đích · phản hồi yêu cầu của chủ thể dữ liệu (chúng tôi hỗ trợ, xem §9) · thông báo cho cơ quan quản lý ở những nơi pháp luật giao trách nhiệm đó cho bên vận hành (tại Nga — thông báo cho Roskomnadzor về việc xử lý và về sự cố) · thiết lập vai trò để nhân viên chỉ thấy những gì cần thiết · quyết định có bật các tính năng AI và truyền dữ liệu cho các mô hình nước ngoài hay không.

2. Đối tượng, tính chất và mục đích xử lý#

Chúng tôi xử lý dữ liệu chỉ để các tính năng bạn đã bật hoạt động và để hỗ trợ những tính năng đó theo yêu cầu của bạn. Chúng tôi không sử dụng nội dung tài khoản của bạn cho quảng cáo, lập hồ sơ và không huấn luyện mô hình của mình trên đó, không bán và không chuyển nội dung đó cho bên thứ ba, ngoại trừ các bên xử lý phụ trong §6 và những bên nhận do chính bạn lựa chọn.

Tính chất xử lý — thu thập, ghi lại, hệ thống hóa, lưu trữ, cập nhật, trích xuất, sử dụng, ẩn danh hóa, phong tỏa, xóa; xử lý tự động trên đám mây.

Bảng phân bổ đầy đủ «mô-đun → dữ liệu → mục đích → thời hạn» — trong Phụ lục A.

3. Danh mục chủ thể và danh mục dữ liệu#

Danh mục chủ thể: khách và khách hàng · khách tiềm năng · nhân viên · ứng viên · người dùng Tài khoản (chủ sở hữu và nhân viên có thông tin đăng nhập) · đại diện của đối tác và bên liên quan.

Danh mục dữ liệu mà sản phẩm tiếp nhận:

Danh mục đặc biệt (Điều 9 GDPR, Điều 10 152-FZ) nền tảng không tự thu thập. Tuy nhiên trong sản phẩm có những trường mà bạn có thể nhập dữ liệu về sức khỏe: sổ khám sức khỏe và giấy nghỉ ốm của nhân viên, hạn chế về sức khỏe và ăn uống của khách khách sạn. Khi nhập những dữ liệu đó, bạn tự chịu các yêu cầu cao hơn về căn cứ và biện pháp bảo vệ; phần của chúng tôi là giữ chúng ở dạng đóng với quyền xem và không hiển thị khi không có mục đích rõ ràng.

Dữ liệu sinh trắc học bị cấm ở cấp nền tảng. Lớp này được đánh dấu là bị cấm trong sổ đăng ký chính sách, và mọi nỗ lực ghi loại dữ liệu này đều bị từ chối bằng mã, chứ không phải bằng hướng dẫn. Không có dấu vân tay, bản quét khuôn mặt hay mô hình giọng nói trong hệ thống.

Chúng tôi hoàn toàn không có dữ liệu thẻ thanh toán — không số, không CVV: thẻ do nhà cung cấp thanh toán xử lý, chúng tôi chỉ nhận kết quả giao dịch.

4. Thời hạn xử lý, xóa và trả lại dữ liệu#

• Thời hạn — trong thời gian Đăng ký và Tài khoản của bạn còn hiệu lực. Chừng nào Tài khoản còn tồn tại, dữ liệu được lưu giữ để các tính năng hoạt động.
• Xóa — trong vòng 30 ngày kể từ yêu cầu bằng văn bản của bạn hoặc khi hợp đồng chấm dứt. Điều này áp dụng cho cả việc xóa toàn bộ Tài khoản lẫn việc xóa một tập dữ liệu riêng theo yêu cầu của bạn.
• Lấy dữ liệu trước khi xóa — là việc của bạn và chúng tôi có nghĩa vụ hỗ trợ. Bản xuất được tạo tự động, không cần liên hệ bộ phận hỗ trợ: Xuất dữ liệu. Gói lưu trữ sẵn sàng tồn tại 7 ngày, các thông tin bí mật cố ý không được đưa vào đó.
• Một số thời hạn do pháp luật quy định, không phải do Đăng ký. Chứng từ tài chính, hồ sơ nhân sự, đăng ký khách khách sạn được lưu giữ đúng thời hạn mà quy định của quốc gia yêu cầu — và trong những trường hợp này, việc xóa "theo yêu cầu" là không thể trước khi hết thời hạn. Những Bản ghi như vậy trong sản phẩm được đánh dấu bằng chế độ lưu trữ bắt buộc.
• Bản sao lưu. Chúng tôi không công bố thời hạn lưu giữ các bản sao nội bộ — và do đó không hứa rằng "dữ liệu sẽ biến mất khỏi mọi nơi trong cùng ngày hôm đó". Cách bảo hiểm đúng đắn về phía bạn: giữ bản sao của riêng mình qua bản xuất, đặc biệt là trước những thay đổi hàng loạt.
• Điều gì tồn tại sau khi đối tượng bị xóa — chúng tôi nói thẳng. Nhật ký tương tác AI của Tài khoản (yêu cầu gửi đến mô hình và câu trả lời của mô hình, bao gồm cả văn bản được nhận dạng từ tài liệu của bạn) được ghi để tính toán chi phí và điều tra sự cố, và khi tài liệu gốc bị xóa thì nhật ký này không được dọn sạch. Bộ nhớ đệm câu trả lời và tài liệu học tập được tạo ra có thể trích dẫn tài liệu đã xóa cho đến lần tái tạo tiếp theo. Việc xóa hoàn toàn những dấu vết này — theo yêu cầu gửi đến bộ phận hỗ trợ.
• Nội dung đã được chuyển cho nhà cung cấp AI trong quá trình thực hiện yêu cầu của bạn tồn tại theo quy tắc lưu trữ riêng của nhà cung cấp đó và nằm ngoài tầm kiểm soát của chúng tôi.

5. Nghĩa vụ của bên xử lý#

5.1 Chỉ xử lý theo hướng dẫn của bạn. Hướng dẫn là các cài đặt tài khoản của bạn, các thao tác của bạn trong giao diện và các chỉ thị riêng bằng văn bản. Nếu theo đánh giá của chúng tôi, hướng dẫn vi phạm pháp luật về dữ liệu cá nhân, chúng tôi thông báo về điều đó và có quyền tạm ngừng thực hiện.

5.2 Bảo mật của nhân sự. Chỉ một nhóm hạn chế nhân viên và nhà thầu của chúng tôi, những người bị ràng buộc bởi nghĩa vụ bảo mật, mới có quyền truy cập dữ liệu tài khoản; quyền truy cập được cấp theo nhu cầu thực hiện công việc và bị thu hồi khi công việc kết thúc.

5.3 Biện pháp bảo mật — danh mục đầy đủ trong Phụ lục B. Tóm tắt: truyền chỉ qua TLS; các đối tượng trong kho lưu trữ được mã hóa phía dịch vụ; một vùng riêng cho dữ liệu cá nhân với mã hóa bản ghi và đường đọc khép kín; phân quyền truy cập theo vai trò, cấp độ phân vùng và phạm vi chi nhánh; cô lập tài khoản bằng tiền tố trong kho lưu trữ; băm không thể đảo ngược cho mật khẩu và PIN.

5.4 Quyền truy cập của hỗ trợ — chỉ khi có sự cho phép rõ ràng của bạn. Nhân viên hỗ trợ không thể tự ý đăng nhập vào tài khoản: cần bật công tắc trong Cài đặt → Quyền truy cập hỗ trợ (/settings/support-access), phạm vi (“chỉ xem” hoặc “xem và sửa”) do bạn chọn, mỗi phiên đều được ghi vào nhật ký (ai, khi nào, phạm vi nào), và việc thu hồi sự đồng ý sẽ chấm dứt ngay cả phiên đang diễn ra. Đối tác triển khai chỉ đăng nhập theo yêu cầu được chủ sở hữu phê duyệt, trong thời gian giới hạn và có nhãn hiển thị trong giao diện; tiền, nhân sự, xuất dữ liệu và tích hợp luôn bị máy chủ chặn đối với họ ở mọi chế độ.

5.5 Ghi nhật ký. Các nhật ký được lưu: nhật ký đồng ý của chủ sở hữu cho quyền truy cập hỗ trợ và nhật ký của chính các phiên, nhật ký đăng nhập của đối tác, nhật ký tương tác AI của tài khoản, nhật ký truy cập vào vùng dữ liệu cá nhân. Ở nhật ký cuối cùng có rào chắn kiểm toán: không có bản ghi trong nhật ký — không xuất giá trị công khai.

5.6 Hỗ trợ trả lời chủ thể dữ liệu — xem §9.

5.7 Thông báo về sự cố. Về sự vi phạm bảo mật dữ liệu cá nhân ảnh hưởng đến tài khoản của bạn, chúng tôi thông báo cho bạn không muộn hơn 72 giờ kể từ thời điểm phát hiện, không chậm trễ vô cớ, và chuyển những gì chúng tôi biết tại thời điểm đó: tính chất sự cố, các loại dữ liệu và chủ thể bị ảnh hưởng (trong mức đã xác định được), hậu quả có thể xảy ra, các biện pháp đã áp dụng và dự kiến, đầu mối liên hệ để làm rõ. Nếu đến hạn mà bức tranh chưa đầy đủ, chúng tôi gửi thông báo một phần và bổ sung khi quá trình điều tra tiến triển — không được im lặng “cho đến khi rõ ràng hoàn toàn”. ⚠️ Việc thông báo cơ quan quản lý và chủ thể dữ liệu là nghĩa vụ của bên kiểm soát, tức là của bạn: ở Nga là 24 giờ để báo về sự việc và 72 giờ cho kết quả điều tra nội bộ, ở EEA là 72 giờ để thông báo cho cơ quan giám sát. Vì vậy thời hạn của chúng tôi được thiết kế để bạn kịp thực hiện thời hạn của mình.

5.8 Hỗ trợ đánh giá tác động (DPIA). Theo yêu cầu, chúng tôi chuyển mô tả về xử lý, các biện pháp và bên xử lý phụ trong phạm vi của tài liệu này và các phụ lục của nó — thường là đủ cho đánh giá của bạn.

5.9 Xóa hoặc trả lại khi kết thúc — xem §4.

6. Bên xử lý phụ#

Chúng tôi thuê các bên xử lý phụ — nếu không thì sản phẩm đám mây không thể tồn tại. Danh mục đầy đủ với mục đích, nơi xử lý và thành phần dữ liệu được chuyển — trong Phụ lục C. Các quy tắc chúng tôi đề xuất ghi nhận:

• bên xử lý phụ được thuê theo hợp đồng bằng văn bản với các điều kiện bảo vệ không thấp hơn các điều kiện được chấp nhận trong thỏa thuận này;
• chỉ tiết lộ cho họ mức tối thiểu dữ liệu cần cho chức năng của họ;
• về bên xử lý phụ mới hoặc được thay thế, chúng tôi thông báo bằng thư đến địa chỉ của chủ sở hữu tài khoản và cập nhật Phụ lục C ít nhất 30 ngày trước khi bắt đầu chuyển dữ liệu; trong thời hạn đó bạn có thể phản đối kèm lý do, và khi đó chúng tôi hoặc đề xuất phương án thay thế, hoặc bạn có quyền từ chối chức năng bị ảnh hưởng hoặc chấm dứt hợp đồng ở phần không thể hoạt động nếu thiếu chức năng đó;
• về hành vi của bên xử lý phụ, chúng tôi chịu trách nhiệm trước bạn;
• các mô hình AI nước ngoài chỉ được bật theo quyết định của bạn — sự đồng ý tương ứng được yêu cầu riêng, không phải “kèm luôn” với một ô đánh dấu chung; trên vùng của Nga, bước để mô hình đưa ra quyết định bị tắt có chủ đích (trong danh mục không có mô hình nào được xác nhận tuân thủ FZ-152).

Riêng: các bên nhận mà chính bạn chọn — nhà cung cấp thanh toán, nhà mạng số SIP, ứng dụng nhắn tin, đơn vị tổng hợp giao hàng, sàn thương mại điện tử, nhà vận hành dữ liệu tài chính, các hệ thống nhà nước. Họ nhận dữ liệu theo quyết định kết nối kênh của bạn và trong phần lớn trường hợp là bên kiểm soát độc lập, chứ không phải bên xử lý phụ của chúng tôi. Bạn chấp nhận các điều kiện của họ một cách trực tiếp.

7. Nơi lưu trú dữ liệu và chuyển dữ liệu xuyên biên giới#

Vùng triển khai được xác định bởi thương hiệu mà bạn đã đăng ký. Đây không phải là cài đặt của tài khoản, không thể thay đổi trong quá trình sử dụng và không thể "chuyển" tài khoản từ vùng triển khai này sang vùng triển khai khác.

Những hệ quả cần nói rõ:

• Kho lưu trữ dùng chung theo vùng triển khai, không riêng theo thương hiệu. Dữ liệu của các thương hiệu khác nhau trong cùng một vùng triển khai nằm trong hệ thống lưu trữ chung và được phân tách logic — bằng tiền tố tài khoản và quyền truy cập. Chúng tôi không thể cam kết cung cấp cho bạn một bucket riêng.
• Phân phối nội dung tĩnh diễn ra qua CDN trên toàn thế giới — đây là các tệp công khai của gian hàng (thực đơn, ảnh, tài liệu đã công bố), vốn được trình duyệt của khách đọc mà không cần xác thực.
• Vùng triển khai Nga — đây là việc xử lý theo ủy thác theo FZ-152: ghi, hệ thống hóa, lưu trữ và truy xuất được thực hiện trong các cơ sở dữ liệu trên lãnh thổ Liên bang Nga (Điều 18, khoản 5). Xử lý AI ở đó do nhà cung cấp Nga thực hiện. Đồng thời, chúng tôi không tuyên bố có phương tiện bảo vệ mật mã được chứng nhận và ranh giới chính thức của ISPDn: nếu doanh nghiệp của bạn yêu cầu điều này theo luật, hãy thảo luận trước khi kết nối.
• Lưu trú tại Kazakhstan và Uzbekistan. Chúng tôi không có vùng triển khai tại Kazakhstan, và hồ sơ đơn vị kiểm soát của Kazakhstan được đánh dấu trung thực là "không khả dụng để triển khai". Đối với Uzbekistan, chỉ dữ liệu sinh trắc học, di truyền và dữ liệu thuê bao viễn thông mới bắt buộc phải lưu trú — chúng tôi hoàn toàn không thu thập dữ liệu sinh trắc học, do đó việc lưu trữ trong vùng triển khai quốc tế là chấp nhận được nếu đáp ứng các điều kiện của luật về chuyển dữ liệu xuyên biên giới; bản thân cơ sở pháp lý (các điều khoản hợp đồng tiêu chuẩn hoặc tiêu chuẩn trong danh mục) do bạn với tư cách đơn vị kiểm soát thực hiện.

8. Kiểm toán và xác nhận tuân thủ#

• Theo yêu cầu, chúng tôi trả lời bảng câu hỏi bảo mật của bạn và cung cấp mô tả về các biện pháp và bên xử lý phụ trong phạm vi tài liệu này và các phụ lục.
• Kiểm toán tại chỗ hoặc do kiểm toán viên của bạn thực hiện — theo thỏa thuận: trước, trong giờ làm việc, không quá một lần mỗi năm (thường xuyên hơn — khi có sự cố hoặc theo yêu cầu của cơ quan quản lý), với cam kết bảo mật, không truy cập vào dữ liệu của khách hàng khác và vào các phương tiện mà việc truy cập đó là không thể tránh khỏi về mặt kỹ thuật. Chi phí vượt quá mức hợp lý do bên yêu cầu chi trả.
• ⚠️ Nói thẳng về những gì chưa có: chúng tôi không có chứng nhận ISO/IEC 27001, không có báo cáo SOC 2, không có kết luận PCI DSS (chúng tôi hoàn toàn không xử lý thẻ) và không có chứng nhận ISPDn. Nếu việc tuân thủ của bạn yêu cầu báo cáo sẵn có từ kiểm toán viên độc lập, hiện tại chúng tôi chưa thể cung cấp — và chúng tôi muốn nói điều này trước khi ký kết, chứ không phải sau đó.
• Các nhà cung cấp đám mây là bên xử lý phụ và nhà cung cấp thanh toán của chúng tôi có chứng nhận; chúng tôi sẽ không viện dẫn chúng như chứng nhận của chính mình.

Liên hệ về bảo vệ dữ liệu#

Các câu hỏi về bảo vệ dữ liệu, yêu cầu DPA có thể ký kết và báo cáo lỗ hổng bảo mật — gửi đến security@ trên tên miền thương hiệu của bạn; các yêu cầu thông thường — qua hỗ trợ. Chúng tôi không có DPO được chỉ định riêng và không có đại diện tại EU — đây là một điểm nữa mà chúng tôi nói thẳng, chứ không lảng tránh bằng cách diễn đạt.

9. Quyền của chủ thể dữ liệu và hỗ trợ#

Các yêu cầu của chủ thể dữ liệu được gửi đến bạn với tư cách đơn vị kiểm soát — bạn chịu trách nhiệm, chúng tôi hỗ trợ. Những gì thực sự khả dụng hiện nay:

Những giới hạn trung thực nên biết trước:

• Không có khu vực yêu cầu của chủ thể dữ liệu (DSAR) trong bảng điều khiển — những yêu cầu như vậy được xử lý thủ công, qua xuất dữ liệu và các mục "Khách hàng" và "Nhân viên".
• Màn hình "Dữ liệu của tôi" trên gian hàng xóa dữ liệu trên thiết bị của khách, chứ không phải lịch sử đơn hàng trên máy chủ: khách nhìn thấy và xóa những gì nằm trong trình duyệt của họ. Nếu họ yêu cầu xóa đơn hàng và liên hệ khỏi cơ sở dữ liệu của bạn, việc đó do bạn thực hiện.
• Không có nhật ký "nhân viên nào của tôi đã mở gì". Nhật ký được ghi cho các lần đăng nhập của hỗ trợ và đối tác, và cho các truy cập vào vùng triển khai dữ liệu cá nhân — nghĩa là hiện nay chúng tôi chưa thể trả lời câu hỏi "ai trong số nhân viên của chúng tôi đã xem thẻ khách".

10. Trách nhiệm, thời hạn hiệu lực, luật áp dụng#

• Thỏa thuận có hiệu lực chừng nào Đăng ký của bạn còn hiệu lực và chừng nào chúng tôi còn xử lý dữ liệu theo chỉ dẫn của bạn; các điều khoản về bảo mật, xóa và hỗ trợ vẫn tiếp tục sau khi thỏa thuận chấm dứt trong phạm vi cần thiết để thực hiện chúng.
• Trách nhiệm của các bên được xác định bởi hợp đồng chính (Điều khoản sử dụng) và pháp luật; việc phân bổ theo thỏa thuận này không mở rộng trách nhiệm đó.
• Luật áp dụng và thẩm quyền xét xử — theo thương hiệu và pháp nhân cung cấp dịch vụ cho bạn; thông tin cụ thể được điền vào bản được ký. Đối với hệ thống Nga áp dụng luật Liên bang Nga và thuật ngữ của FZ-152, đối với hệ thống quốc tế áp dụng Điều khoản sử dụng của thương hiệu tương ứng và GDPR/UK GDPR ở nơi bạn thuộc phạm vi điều chỉnh của chúng.
• Trong trường hợp có sự khác biệt giữa trang này và tài liệu đã ký, tài liệu đã ký có hiệu lực cao hơn.

Phụ lục A — mô tả xử lý#

Cột “Thời hạn” cho biết thời hạn được xác định bởi đâu. Ghi chú “đề xuất” nghĩa là thời hạn được đưa vào sản phẩm như một mặc định hợp lý, nhưng chưa được xác nhận về mặt pháp lý và sẽ được làm rõ trong bản được ký.

Phụ lục B — biện pháp bảo mật#

Truyền và lưu trữ

• Toàn bộ trao đổi với bảng điều khiển, trang hiển thị và API — qua HTTPS/TLS; địa chỉ công khai được phân phối sau CDN.
• Đối tượng trong kho lưu trữ được mã hóa ở phía dịch vụ (trên AWS — SSE-S3, AES-256; khóa KMS riêng không được áp dụng mặc định). Bản ghi của vùng riêng dành cho dữ liệu cá nhân được mã hóa riêng — AES-256-GCM, khóa mã hóa dữ liệu được sinh cho từng cặp “tài khoản × lớp dữ liệu” và được bọc trong KMS của đám mây.
• Bản ghi âm cuộc gọi nằm trong kho lưu trữ lạnh riêng của thương hiệu, trong cùng vùng, truy cập qua liên kết không có độ trễ “khôi phục”.

Phân tách quyền truy cập

• Vai trò nhân viên với lựa chọn mục, mức truy cập và phạm vi chi nhánh; quyền truy cập một mục không đồng nghĩa với quyền truy cập toàn bộ tài khoản.
• Cô lập tài khoản bằng tiền tố trong kho lưu trữ cùng các lệnh cấm phía máy chủ đối với việc ghi từ trình duyệt vào các tiền tố dịch vụ.
• Mật khẩu — 8+ ký tự kèm yêu cầu về thành phần; PIN thu ngân chỉ được lưu dưới dạng hàm băm không thể đảo ngược; khóa API chỉ hiển thị một lần khi tạo; đăng xuất đóng phiên trên mọi thẻ.
• Việc cho nhân viên nghỉ việc thu hồi quyền vào bảng điều khiển và thu hồi số máy lẻ điện thoại ngay trên mọi chi nhánh.
• Mã thiết bị cho quyền truy cập một trang đích (màn hình, màn hình bếp), không phải toàn bộ tài khoản.
• Việc đọc vùng riêng dành cho dữ liệu cá nhân chỉ có thể thực hiện qua giao diện dịch vụ với kiểm tra chủ thể quyền, tài khoản, phạm vi, mối liên hệ kinh doanh đã được chứng minh, lớp và mục đích, tập trường và khu vực — và chỉ khi có ghi vào nhật ký kiểm toán.

Quyền truy cập của chúng tôi vào dữ liệu của bạn

• Quyền truy cập của bộ phận hỗ trợ — theo công tắc của chủ sở hữu, trong phạm vi được chọn, có nhật ký phiên, dừng phiên đang diễn ra khi bị thu hồi.
• Quyền truy cập của đối tác — theo yêu cầu được chủ sở hữu phê duyệt, thời gian giới hạn, một phiên, có thông báo trong giao diện, các lệnh cấm phía máy chủ đối với đăng ký và thanh toán, dữ liệu của chủ sở hữu, quyền của nhân viên, xuất dữ liệu, tích hợp, liên lạc, đối tác và chương trình đối tác.
• Các lớp dữ liệu bị cấm: dữ liệu sinh trắc học bị từ chối bằng mã. Dữ liệu thẻ thanh toán hoàn toàn không có.

Những gì chưa có — chúng tôi nói thẳng

• Không có chứng nhận ISO/IEC 27001, báo cáo SOC 2, chứng nhận ISPDn và công cụ mật mã được chứng nhận.
• Xác thực hai yếu tố để vào bảng điều khiển hiện chưa có — đang được chuẩn bị; bảo vệ đăng nhập hiện nay là mật khẩu dài, tài khoản riêng cho nhân viên và mã thiết bị kèm PIN.
• Không có nhật ký hành động của nhân viên bạn, khu vực DSAR và khôi phục tài khoản “theo ngày”.
• Vùng riêng dành cho dữ liệu cá nhân không hoạt động trên mọi mục: nó đã được triển khai cho khách của khách sạn (việc chuyển các tài khoản hiện có đang diễn ra), các mục còn lại hiện vẫn giữ dữ liệu cá nhân trong các tài liệu thông thường của tài khoản. Việc phát triển diễn ra theo từng mục, chúng tôi không hứa về thời hạn.
• Trên vùng của Nga không có nhật ký phiên hỗ trợ, truy cập của đối tác và trình quét cookies.

Phụ lục C — bên xử lý phụ#

Hạ tầng#

Trí tuệ nhân tạo#

Vùng quốc tế: các yêu cầu đi qua bộ tổng hợp mô hình polza.ai, không trực tiếp đến nhà cung cấp. Các nhà cung cấp khả dụng — OpenAI, Google, xAI, DeepSeek; nhà cung cấp nào đang được dùng thì thấy được và chuyển đổi được trong mục “Mô hình AI”. Một số chức năng gọi trực tiếp nhà cung cấp: tìm kiếm và trả lời theo cơ sở tri thức — đến OpenAI (embedding, trả lời, nhận dạng văn bản trên hình ảnh), trợ lý AI cho thực đơn của khách — đến Google Gemini (một đoạn cơ sở tri thức của bạn tối đa 4000 ký tự cùng thực đơn và câu hỏi của khách được đưa vào prompt).

Vùng của Nga: Yandex Cloud Foundation Models (embedding, trả lời, xếp hạng lại, tóm tắt) và Yandex Vision OCR (nhận dạng văn bản trên hình ảnh), với tính năng ghi nhật ký yêu cầu bị tắt ở nơi nhà cung cấp có cài đặt như vậy. Với các nhà cung cấp nước ngoài, chúng tôi không áp dụng cài đặt tương tự và dựa vào các điều khoản API tiêu chuẩn của họ, theo đó dữ liệu không được dùng để huấn luyện mô hình.

Bạn có thể kết nối endpoint tương thích OpenAI của riêng bạn — khi đó nhà cung cấp do bạn chọn, và họ trở thành bên nhận của bạn, không phải bên xử lý phụ của chúng tôi.

Nhận dạng giọng nói#

Bản ghi âm cuộc gọi hoặc tệp đã tải lên được truyền đi; văn bản bản gỡ băng được trả về.

Thư và thông báo#

Amazon SES — thư đi: lời mời nhân viên, thông báo về đơn hàng và đặt bàn, bản tin tổng hợp, thư cho khách. Địa chỉ người nhận và nội dung thư được truyền đi. Trên vùng của Nga, SES không được sử dụng — một phần các kịch bản thư ở đó hoạt động khác hoặc không hoạt động.

Bên nhận do bạn kết nối#

Nhà cung cấp thanh toán (ví dụ, Stripe) · nhà điều hành số SIP và điện thoại · ứng dụng nhắn tin (Telegram, WhatsApp) · bộ tổng hợp giao hàng · sàn thương mại điện tử · nhà điều hành dữ liệu tài chính và các hệ thống nhà nước (tại Liên bang Nga — OFD, Chestny ZNAK, EGAIS) · bộ đếm phân tích do bạn đặt trên trang web. Thành phần dữ liệu truyền cho họ do chức năng được kết nối quyết định; các điều kiện xử lý bạn chấp nhận trực tiếp với họ.

Câu hỏi thường gặp#

Có thể ký tài liệu này nguyên trạng không? Không. Đây là bản nháp và mô tả tình trạng thực tế: trong đó không có thông tin pháp lý của các bên, danh mục mô-đun của bạn và ngày tháng. Hãy yêu cầu bản để ký tại security@ của thương hiệu bạn hoặc qua hỗ trợ — phản hồi sẽ là chính văn bản đó kèm dữ liệu của bạn.

Các bạn có ISO 27001 hay SOC 2 không? Không. Chúng tôi không có chứng nhận cũng như báo cáo kiểm toán, và chúng tôi sẽ không lấy chứng nhận của các nhà cung cấp đám mây của mình để nhận là của mình. Chúng tôi trả lời bảng hỏi bảo mật và cung cấp mô tả các biện pháp.

Ai là đơn vị kiểm soát dữ liệu cá nhân của khách của chúng tôi — chúng tôi hay các bạn? Là bạn. Bạn quyết định thu thập gì và để làm gì, bạn thông báo cho khách và thu thập sự đồng ý. Chúng tôi xử lý dữ liệu đó theo chỉ dẫn của bạn và không dùng chúng cho mục đích của mình.

Các bạn sẽ xóa dữ liệu nhanh thế nào nếu chúng tôi rời đi? Trong vòng 30 ngày kể từ thời điểm có yêu cầu hoặc chấm dứt hợp đồng. Thời hạn lưu giữ các bản sao lưu nội bộ chúng tôi không công bố — hãy lấy bản sao của bạn bằng xuất dữ liệu trước khi xóa.

Dữ liệu thực tế nằm ở đâu và có thể chọn khu vực không? Khu vực do thương hiệu quy định: khu vực quốc tế — Hoa Kỳ, thương hiệu Thổ Nhĩ Kỳ — Đức, cenaly.ru — Nga. Không thể chọn khu vực trong cùng một thương hiệu, chuyển sang khu vực khác đồng nghĩa với Tài khoản mới ở khu vực khác.

Dữ liệu được truyền sang Hoa Kỳ — làm sao xử lý điều này đối với đơn vị kiểm soát từ EEA? Căn cứ là việc thực hiện hợp đồng và các điều khoản hợp đồng tiêu chuẩn, còn đối với các tính năng AI thì sự đồng ý rõ ràng của bạn được yêu cầu riêng. Nếu việc truyền sang nước thứ ba là không thể chấp nhận đối với bạn, các thương hiệu Thổ Nhĩ Kỳ hoạt động tại eu-central-1 (Đức) — nhưng đó là một thương hiệu riêng, không phải một cài đặt.

Các bạn có huấn luyện mô hình của mình trên dữ liệu của chúng tôi không? Không. Nội dung Tài khoản không được dùng để huấn luyện mô hình của chúng tôi, cho quảng cáo và lập hồ sơ, và không được bán. Đối với các nhà cung cấp AI được thuê, chúng tôi dựa vào các điều khoản API tiêu chuẩn của họ, theo đó dữ liệu API mặc định không được dùng để huấn luyện.

Bộ phận hỗ trợ của các bạn có thể xem dữ liệu của chúng tôi mà không xin phép không? Không. Cần bật công tắc “Quyền truy cập của hỗ trợ” trong cài đặt, phạm vi do bạn chọn, các phiên được ghi vào nhật ký, và việc thu hồi đồng ý sẽ dừng cả phiên đang diễn ra.

Khách yêu cầu xóa dữ liệu của họ — phải làm gì? Hãy xóa thẻ của khách đó trong mục Khách hàng. Nút “Dữ liệu của tôi” trên cửa hàng chỉ xóa trên Thiết bị của khách. Hãy yêu cầu chúng tôi xóa sâu các dấu vết (nhật ký tương tác AI, bộ nhớ đệm) — chúng tôi sẽ thực hiện trong cùng 30 ngày đó.

Còn Ghi âm cuộc gọi thì sao — đó là dữ liệu nhạy cảm mà? Ghi âm và bản chuyển lời nằm trong kho lạnh của thương hiệu bạn, trong cùng khu vực, và quyền truy cập mục “Cuộc gọi” được cấu hình riêng, đến mức từng người. Việc thông báo cho người tham gia về Ghi âm là nghĩa vụ của bạn với tư cách đơn vị kiểm soát, và ở một số quốc gia, nếu không có việc đó thì Ghi âm là bất hợp pháp.

Các mục liên quan#

• Bảo mật và dữ liệu — dữ liệu nằm ở đâu, ai có quyền truy cập, phải làm gì khi có sự cố
• Tài khoản và đăng nhập — mật khẩu, mã Thiết bị, quyền truy cập của hỗ trợ
• Xuất dữ liệu — lấy mọi thứ trước khi xóa
• Cách nhận hỗ trợ — yêu cầu DPA đã ký và kênh security@
• Đăng ký và Gói — thời hạn hiệu lực của hợp đồng
• Tài liệu pháp lý — chính sách quyền riêng tư và điều khoản cho khách của bạn
• Cookies và sự đồng ý — biểu ngữ và nhật ký đồng ý làm bằng chứng
• Khách hàng — xóa dữ liệu của một khách cụ thể
• Nhân viên và ca làm việc — vai trò và phạm vi Chi nhánh