Поручение на обработку персональных данных

Версия 2026-10-14 · Редакция для российского региона

LAWYER-REVIEW — проект документа. Текст подготовлен командой разработки по фактическому устройству Сервиса и не является юридической консультацией. До публикации в продуктивной среде юрист должен проверить документ и подтвердить места, помеченные LAWYER-REVIEW, а инженеры — места, помеченные TECH-CHECK; все значения вида {{…}} должны быть заполнены. Пока эта плашка присутствует, документ не является действующей редакцией.

Редакция: 2026-10-14. Дата вступления в силу: {{EFFECTIVE_DATE}}.

1. Стороны, роли и порядок заключения

1.1. Настоящее Поручение на обработку персональных данных (далее — Поручение) является частью Публичной оферты на предоставление права использования сервиса «Айтечество» (/ru/legal/terms, далее — Оферта) и принимается Клиентом вместе с ней. Термины используются в значениях, установленных Офертой.

1.2. Клиент, являясь оператором персональных данных, поручает {{RU_OPERATOR_NAME}} (ИНН {{RU_OPERATOR_INN}}, далее — Обработчик) обработку персональных данных, содержащихся в Запросах и их метаданных, в соответствии с ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о ПДн).

1.3. Поручение не распространяется на данные учётных записей Пользователей, данные для расчётов и обращения с сайта: их Обработчик обрабатывает как самостоятельный оператор (/ru/legal/privacy).

1.4. Согласие субъектов на обработку их персональных данных Обработчиком не требуется (ч. 4 ст. 6 Закона о ПДн); получение согласий и иных оснований обработки обеспечивает Клиент.

2. Предмет и цели обработки

Обработчик обрабатывает персональные данные в следующих целях:

обнаружение и маскирование данных в Запросах в соответствии с Политикой маскирования Клиента, передача замаскированных Запросов выбранному Клиентом провайдеру языковой модели и восстановление исходных значений в ответах;
выполнение вызовов API маскирования и восстановления;
учёт Запросов, предоставление Клиенту журнала Запросов, аналитики, оповещений и уведомлений (в том числе через веб-хуки Клиента), выгрузок;
расследования по поиску отпечатков, если Клиент включил хранение отпечатков;
расчёт стоимости использования Платформенных моделей и учёт лимитов.

3. Перечень персональных данных и категории субъектов

3.1. Содержимое Запросов — любые персональные данные, которые Пользователи и информационные системы Клиента включают в тексты, структурированные поля и вложения Запросов, а также содержащиеся в ответах моделей. Состав определяет Клиент; он может включать, в частности: ФИО; дату рождения; реквизиты документов (паспорт, СНИЛС, полис ОМС, водительское удостоверение); телефоны, адреса электронной почты, почтовые адреса, IP-адреса; номера банковских счетов и карт, IBAN, БИК, суммы; ИНН, ОГРН(ИП), КПП; координаты и географические названия; номера транспортных средств; сведения о диагнозах и кодах МКБ (сведения о состоянии здоровья — специальная категория); учётные данные (пароли, токены, ключи). Категории субъектов — любые лица, сведения о которых содержатся в Запросах (работники, клиенты, контрагенты Клиента и иные лица).

3.2. Метаданные Запросов — идентификаторы Пользователя, участника Организации и API-ключа; время; источник (API, чат, тестовая площадка, API маскирования); провайдер и модель; решение и коды причин блокировки и предупреждений (категории, без значений); количество обнаруженных значений по категориям и примененные действия; количество токенов и стоимость; задержки; IP-адрес и сведения о клиентском приложении (user agent). Категории субъектов — Пользователи Клиента.

3.3. Отпечатки (при включённом Клиентом параметре хранения отпечатков) — ключевые хэши HMAC-SHA256 нормализованных значений, вычисленные на секретном ключе Организации, с указанием категории и Запроса. Исходные значения не хранятся.

3.4. Клиент самостоятельно решает, допускать ли передачу через Сервис специальных категорий персональных данных и биометрических персональных данных, обеспечивает наличие оснований для их обработки (ст. 10, 11 Закона о ПДн) и настраивает для соответствующих категорий блокировку или псевдонимизацию. Сервис не предназначен для обработки биометрических персональных данных.

4. Перечень действий и способы обработки

4.1. С содержимым Запросов: получение от Клиента, использование (автоматизированный анализ для обнаружения данных), изменение (замена значений условными обозначениями или обобщёнными значениями), передача (предоставление) провайдеру модели, определённому Клиентом, восстановление исходных значений в ответе, передача ответа Клиенту, удаление из оперативной памяти по завершении Запроса.

4.2. С метаданными и отпечатками: запись, систематизация, накопление, хранение, извлечение, использование, передача (предоставление) Клиенту через Консоль, API, выгрузки и веб-хуки Клиента, обезличивание путём удаления идентификаторов, удаление, уничтожение.

4.3. Обработка автоматизированная, с передачей по сети «Интернет». [LAWYER-REVIEW: сверить перечень действий с терминологией ст. 3 Закона о ПДн.]

5. Условия обработки содержимого Запросов

5.1. Содержимое Запросов и таблица соответствия псевдонимов существуют только в оперативной памяти Шлюза на время обработки одного Запроса и не записываются в базы данных, журналы, метрики, отчёты об ошибках и на диск. Исключения:

результаты распознавания имён и названий (позиции и нормальные формы) хранятся в оперативной памяти экземпляра Шлюза не более 10 минут, раздельно для каждой Организации, без записи на диск и без передачи между Организациями; для демонстрации на сайте не используются;
API маскирования по запросу возвращает Клиенту зашифрованный токен восстановления (AES-256-GCM), содержащий таблицу соответствия; токен хранит Клиент, срок его действия — 24 часа;
история веб-чата хранится только в браузере Пользователя.

5.2. Значения категорий, для которых Политика маскирования Клиента устанавливает действие «разрешить» или «предупредить», значения, не обнаруженные детекторами, и вложения, пропускаемые без маскирования, передаются провайдеру без изменений. Ограничения маскирования перечислены в разделе 11 Оферты; Клиент подтверждает, что ознакомлен с ними.

5.3. Политика маскирования, выбор провайдеров и настройки Организации являются документированными указаниями Клиента. Обработчик не обрабатывает поручённые данные в иных целях, в том числе не использует их для обучения моделей и не продаёт.

6. Обязанности Обработчика

Обработчик обязан:

соблюдать конфиденциальность персональных данных (ст. 7 Закона о ПДн) и обеспечивать их безопасность при обработке;
соблюдать принципы и правила обработки, предусмотренные Законом о ПДн, требования ч. 5 ст. 18 (запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз данных на территории Российской Федерации) и ст. 18.1;
принимать меры по защите персональных данных в соответствии со ст. 19 Закона о ПДн, указанные в Приложении 1;
по запросу Клиента в течение срока действия Поручения, в том числе до начала обработки, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований, установленных ст. 6 Закона о ПДн, — в течение 10 рабочих дней с даты запроса;
уведомлять Клиента о выявленных случаях неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкших нарушение прав субъектов (ч. 3.1 ст. 21 Закона о ПДн), без неоправданной задержки и не позднее 12 часов с момента выявления — на адрес для уведомлений безопасности Организации (при его отсутствии — владельцу), с указанием известных сведений о характере инцидента, предполагаемых причинах, затронутых данных, принятых мерах и контактном лице; дополнительные сведения, необходимые Клиенту для уведомления Роскомнадзора в течение 72 часов, предоставлять по мере их установления;
передавать Клиенту полученные Обработчиком запросы субъектов персональных данных, касающиеся поручённых данных, в течение 3 рабочих дней и оказывать Клиенту содействие в их исполнении в пределах функциональности Сервиса (журнал Запросов, выгрузки, удаление);
по требованию Клиента прекращать обработку и уничтожать поручённые данные в пределах функциональности Сервиса и сроков раздела 9.

7. Обязанности Клиента

Клиент:

обеспечивает наличие правовых оснований обработки, информирование субъектов и получение их согласий, если они требуются, в том числе письменных согласий в случаях, установленных законом;
самостоятельно определяет Политику маскирования, провайдеров моделей и срок хранения журнала Запросов;
при направлении Запросов через Собственные подключения самостоятельно отвечает за правомерность передачи данных провайдеру, включая уведомление Роскомнадзора о трансграничной передаче (ст. 12 Закона о ПДн), если она осуществляется;
поддерживает в Консоли актуальный адрес для уведомлений безопасности;
самостоятельно уведомляет Роскомнадзор об инцидентах в отношении данных, оператором которых он является (ч. 3.1 ст. 21 Закона о ПДн), с использованием сведений, полученных от Обработчика.

8. Привлечение третьих лиц (субпроцессоров)

8.1. Клиент поручает Обработчику и даёт согласие на привлечение к обработке лиц, указанных в Приложении 2, в объёме, необходимом для оказания услуг. Обработчик обеспечивает, чтобы такие лица были связаны обязательствами по конфиденциальности и защите персональных данных не ниже установленных Поручением. [LAWYER-REVIEW: допустимость и оформление привлечения третьих лиц обрабатывающим лицом (передоверие поручения) по Закону о ПДн; при необходимости — прямое поручение Клиента субпроцессорам.]

8.2. Провайдеры Платформенных моделей привлекаются только для Организаций, владелец или администратор которых подтвердил в Консоли уведомление о Платформенных моделях, и только для Запросов к этим моделям.

8.3. Провайдеры, к которым Клиент подключается через Собственные подключения, не являются субпроцессорами Обработчика: Обработчик передаёт им данные по указанию Клиента; отношения с ними регулируются договором Клиента с провайдером.

8.4. Обработчик уведомляет Клиента о планируемом привлечении нового субпроцессора по электронной почте не менее чем за 30 дней. При несогласии Клиент вправе отказаться от Договора до привлечения.

9. Сроки обработки и хранения

Данные	Срок
Содержимое Запросов и таблицы псевдонимов	только на время обработки Запроса (оперативная память)
Результаты распознавания имён в оперативной памяти	не более 10 минут
Токены восстановления	не хранятся Обработчиком; срок действия — 24 часа
Метаданные Запросов и отпечатки	срок, установленный Клиентом в Консоли: от 7 дней до максимума тарифа (30, 90, 365 или 1095 дней); при сокращении срока прежний срок применяется ещё 7 дней
Агрегированная статистика использования по Пользователям	в пределах того же срока
Журнал аудита действий в Консоли (без содержимого Запросов)	1095 дней
Резервные копии базы данных (в зашифрованном виде)	ежедневная копия хранится 14 дней; удалённые данные сохраняются в копиях не более 15 дней
После удаления Организации	рабочие данные удаляются через 30 дней

При удалении Пользователя идентификаторы, IP-адрес и user agent в метаданных его Запросов обнуляются.

10. Окончание обработки

При прекращении Договора (удалении Организации) возврат содержимого Запросов не требуется, поскольку оно не хранится. До удаления Клиент может выгрузить журнал Запросов в форматах CSV или JSONL. Метаданные и отпечатки уничтожаются в сроки раздела 9. Сведения о расчётах Обработчик хранит как оператор в течение срока, установленного законом.

11. Трансграничная передача и локализация

Обработчик не осуществляет трансграничную передачу поручённых данных: инфраструктура российского региона (сервер Timeweb Cloud в г. Москве, на котором выполняются в том числе обнаружение и маскирование данных, и хранилище резервных копий) и провайдеры Платформенных моделей находятся в Российской Федерации. Обработчик блокирует известные адреса иностранных провайдеров, не оказывающих услуги в Российской Федерации; при подключении произвольного эндпоинта Клиент подтверждает свою ответственность за правомерность передачи. [TECH-CHECK: верно, пока Запросы российского региона, в том числе после маскирования, и обращения к Сервису не проходят через узлы за пределами Российской Федерации (SPEC §0.1 п. 4, §12.11). Узел за рубежом (например, прокси-сервер в DigitalOcean) означает трансграничную передачу поручённых данных: раздел и Приложение 2 переписать, Клиентов уведомить в порядке п. 8.4 до начала передачи. Решение владельца 2026-10-15: операторский ретранслятор в DigitalOcean к OpenAI/Anthropic (SPEC §12.11 (f)) допущен только для тестирования на staging-стенде с синтетическими данными; в production российского региона он заблокирован, пока не закрыт R-56 (EGRESS_RELAY_PROD_ACK).]

12. Ответственность

Ответственность перед субъектом персональных данных за действия Обработчика несёт Клиент; Обработчик несёт ответственность перед Клиентом (ч. 5 ст. 6 Закона о ПДн) в пределах, установленных Офертой.

13. Проверки

Обработчик по запросу Клиента предоставляет заполненный опросник о мерах защиты и документы, указанные в п. 6.4. Выездная проверка возможна не чаще одного раза в год, по предварительному уведомлению не менее чем за 30 дней, за счёт Клиента и без доступа к данным других клиентов. [LAWYER-REVIEW]

Приложение 1. Меры по обеспечению безопасности

Перечень отражает фактические меры на дату редакции. [LAWYER-REVIEW: Обработчик не заявляет о наличии аттестата соответствия информационной системы, сертификатов ФСТЭК России или ФСБ России и сертифицированных средств защиты информации; уровень защищённости по постановлению Правительства РФ от 01.11.2012 № 1119 — {{RU_PROTECTION_LEVEL}} по результатам собственной оценки.]

Отсутствие хранения содержимого. Содержимое Запросов не сохраняется; журналы содержат метод, путь (без строки запроса), статус, задержки и идентификаторы; тела запросов, заголовки авторизации и значения не журналируются. Отчёты об ошибках не содержат данных запросов.
Отказ в небезопасных случаях. Если маскирование не может быть выполнено (сбой детектора при настройке блокировки, нарушение формата, неклассифицированный тип содержимого и др.), Запрос отклоняется и не передаётся провайдеру.
Единственная точка выхода. Соединения с провайдерами моделей открывает только один модуль Шлюза и только для Запросов, маскирование которых завершено; адреса провайдеров, заданные Клиентом, проверяются на недопустимые (внутренние, служебные) адреса при каждом подключении.
Изоляция. Данные каждой Организации разделены на уровне запросов к базе данных; кэш распознавания разделён по Организациям; российский и международный регионы — независимые развёртывания без общих баз данных и сетевых связей.
Шифрование. TLS 1.2 и выше на периметре; учётные данные подключений к провайдерам, ключ отпечатков Организации, секреты TOTP и веб-хуков шифруются AES-256-GCM; ключи хранятся вне базы данных и ротируются по регламенту; резервные копии базы данных шифруются до передачи в хранилище.
Управление доступом. Ролевая модель (владелец, администратор, офицер ИБ, аудитор, участник); пароли хранятся в виде хэшей argon2id; двухфакторная аутентификация, обязательная для администраторов платформы; ограничение частоты входов; API-ключи хранятся в виде ключевых хэшей.
Сеть и среда исполнения. База данных, кэш, объектное хранилище и сервис распознавания подключены только к внутренней сети Сервиса без доступа в Интернет; все сервисы работают на одном сервере, и трафик между ними не покидает его. Из Интернета доступны только периметр (порты 80 и 443) и административный доступ по SSH с аутентификацией по ключу, остальные входящие соединения запрещены межсетевым экраном. Компоненты приложения (Шлюз, сервис распознавания, программный интерфейс управления, фоновые обработчики, веб-интерфейс и задача резервного копирования) работают от непривилегированных пользователей, с файловой системой только для чтения и без привилегий ядра Linux (capabilities); для всех сервисов, включая базу данных, кэш и объектное хранилище, установлены ограничения памяти.
Журналирование и мониторинг. Журнал аудита действий в Консоли; метрики и правила оповещения о сбоях маскирования и аномалиях. [TECH-CHECK: на стенде российского региона метрики и правила оповещения не развёрнуты (SPEC §13.3: мониторинг сервера в панели Timeweb Cloud и внешние проверки доступности и сертификатов); развернуть до запуска или уточнить формулировку.]
Резервное копирование. Ежедневная копия базы данных, зашифрованная до передачи (ключ для расшифровки хранится отдельно от Сервиса), в закрытом объектном хранилище Timeweb Cloud на территории РФ с ключом доступа только к этому хранилищу; хранение 14 дней; ежемесячная проверка восстановления. Возможная потеря данных при восстановлении — до 24 часов.
Безопасная разработка. Зависимости фиксируются по версиям и контрольным суммам; образы сканируются на уязвимости; изменения проходят автоматические проверки.
Реагирование на инциденты. Регламент реагирования, включая уведомление Клиентов в течение 12 часов.

Приложение 2. Субпроцессоры

[LAWYER-REVIEW: сверить наименования, роли и условия хранения с договорами и актуальной документацией провайдеров.]

Лицо	Назначение	Расположение	Данные	Хранение на стороне лица
ООО «ТАЙМВЭБ.КЛАУД» (Timeweb Cloud)	вычислительные мощности и хранилище для размещения инфраструктуры Сервиса: виртуальный сервер (база данных, кэш, объектное хранилище, Шлюз), хранилище зашифрованных резервных копий [LAWYER-REVIEW: по оферте Timeweb Cloud (ред. от 06.02.2026, п. 9.4) договор не является поручением на обработку ПДн; определить, является ли провайдер субпроцессором, и нужен ли отдельный договор]	Российская Федерация (сервер — г. Москва) [TECH-CHECK: расположение бакета резервных копий]	все данные, обрабатываемые Сервисом (резервные копии — в зашифрованном виде)	в пределах сроков раздела 9
ООО «Юнисендер Смарт» (Unisender Go)	отправка электронной почты Сервиса, в том числе оповещений, настроенных Клиентом	Российская Федерация	адреса получателей и тексты писем; содержимое Запросов в письма не включается	по условиям провайдера (Правила пользования сервисом «Unisender Go», ред. от 23.09.2026) [LAWYER-REVIEW: срок хранения писем и журналов отправки на стороне провайдера]
ООО «Яндекс.Облако» (YandexGPT, Yandex AI Studio)	Платформенные модели — только при подтверждении уведомления о Платформенных моделях	Российская Федерация	содержимое Запросов к этим моделям после маскирования	Запросы направляются с заголовком, запрещающим логирование данных запросов, согласно документации провайдера; иное — по условиям провайдера {{YANDEX_AI_TERMS_URL}}
ПАО Сбербанк (GigaChat)	Платформенные модели — только при подтверждении уведомления о Платформенных моделях	Российская Федерация	содержимое Запросов к этим моделям после маскирования	по условиям провайдера {{GIGACHAT_TERMS_URL}}