Правовой контур
Обработка данных по поручению
Договорные условия об обработке персональных данных, которые заказчик поручает FinKey: роли, инструкции, субподрядчики, передачи за границу, инциденты и удаление. Действует вместе с Условиями использования и заменяет их в части персональных данных.
Наша роль
Обработчик по корпусу, контролёр по аккаунту и биллингу
Инструкция
Ваши настройки тенанта + текст этого приложения
Инцидент
Уведомление администратора в течение 24 часов
После расторжения
30 дней на экспорт, затем удаление и подтверждение
01Стороны и роли
- Стороны: заказчик (владелец тенанта, компания или индивидуальный предприниматель, зарегистрировавший аккаунт) и оператор FinKey — не заполнено — впишите в src/lib/legal/operator.ts (физическое лицо, ИИН/БИН не заполнено — впишите в src/lib/legal/operator.ts, не заполнено — впишите в src/lib/legal/operator.ts).
- По персональным данным, которые содержатся в корпусе, диалогах, памяти и подключённых каналах заказчика, FinKey выступает обработчиком, получаемым данные по поручению заказчика (ст. 28 GDPR; в праве РК — оператор, действующий по поручению собственника данных).
- По персональным данным ваших сотрудников как пользователей (имя, рабочий email, роль, хеш пароля, журналы входа) и по данным биллинга FinKey выступает самостоятельным контролёром: здесь мы определяем цели — безопасность, учёт доступов, выставление счёта.
- Статус on-prem меняет роли: если контур развёрнут у вас и данные не покидают ваш периметр, FinKey не является обработчиком этих данных вообще — мы остаёмся поставщиком программного обеспечения.
02Предмет, длительность, характер обработки
| Параметр | Значение |
|---|---|
| Предмет | Индексация корпуса, гибридный поиск, ответы агента с цитатами, память, роли и аудит, экспорт |
| Длительность | Срок действия договора доступа к тенанту, плюс 30 дней на выгрузку после его прекращения |
| Характер | Автоматизированная обработка с ограниченным ручным доступом support-инженера, только по вашему обращению и с фиксацией в журнале |
| Виды данных | Тексты документов, метаданные файлов, чанки и векторы, формулировки диалогов, Контакты и переписка подключённого канала, голосовые запросы после расшифровки |
| Категории субъектов | Сотрудники и клиенты заказчика, его контрагенты, авторы документов — перечисленные вами в загруженном корпусе |
| Запрещённые обработки | Биометрическая идентификация, эмоциональный анализ, социальный скоринг, обработка данных карт через чат, автоматические решения о человеке без участия человека (ст. 19-1 закона РК, ст. 22 GDPR) |
- Инструкцией заказчика считаются: настройки тенанта (маршрут модели, роли, лимиты, интеграции), письменные указания и этот документ. Обработка вне инструкции не производится; если инструкция противоречит закону, мы сообщаем об этом заказчику до исполнения.
- Заказчик подтверждает, что имеет законное основание поручить обработку этих данных и уведомил субъектов так, как требует закон, включая работников, чьи переписка и документы попадают в корпус.
03Что мы гарантируем как обработчик
- Обрабатывать данные только по инструкции и только для оказания услуги; не использовать корпус для обучения публичных моделей, для других клиентов и для своих продуктовых целей за пределами вашей рабочей области.
- Обеспечить конфиденциальность: доступ сотрудников к данным — по необходимости, под подпиской, с журналом; границы тенанта на уровне запроса, отдельный ключ шифрования на рабочую область.
- Принять меры безопасности по ст. 32 GDPR и требованиям закона РК: шифрование при передаче, хеширование паролей Argon2id, ограничение попыток и блокировки, изоляция окружений, резервное копирование, санитайзинг вывода, отсутствие исполнения произвольного кода на сервере.
- Привлекать субобработчиков только из опубликованного перечня, передавать им те же обязательства договором и уведомлять заказчика об изменениях за 30 дней с правом возразить.
- Помогать заказчику отвечать на запросы субъектов: доступ, исправление, удаление, перенос, ограничение, возражение — инструментами поиска по корпусу, экспортом и удалением записей.
- Помогать с оценкой влияния на защиту данных (ст. 35) и с журналом обработки (ст. 30) в объёме информации, которой мы располагаем.
- Вести журнал инцидентов, уведомлять заказчика о затрагивающем его инциденте в течение 24 часов после подтверждения и не разглашать состав и содержание чужих корпусов.
- По прекращении договора — вернуть данные в машиночитаемом виде, затем удалить корпуса, чанки, векторы и память; подтверждения удаления предоставляются письменно, кроме копий, обязательных по закону.
- Предоставлять информацию, необходимую для подтверждения выполнения обязательств: перечни мер, схемы потоков данных, отчёты об обработках, — по запросу заказчика под NDA.
04Субобработчики
Перечень соответствует реальному стеку развёртывания. Строки удаляются вместе с технологией: self-hosted сторона перестаёт быть обработчиком и исчезает из списка.
| Сторона | Что обрабатывает | Где | Основание передачи | Документ |
|---|---|---|---|---|
| Vercel Inc. (Делавэр, США) | Приложение, функции, логи, метаданные запросов | Регион fra1 настроен; хабы в США, возможен failover | SCC 2021/914, модуль 2; при сертификации — EU-US DPF | vercel.com/legal/dpa, редакция 31.03.2026 |
| Hetzner Cloud GmbH | Сервер, базы, файлы второго контура | Германия | Договор processing | Hetzner DPA |
| Neon / Upstash / self-hosted Postgres и Redis | Аккаунты, журналы, кэш сессий | Европейский регион | SCC | DPA провайдера |
| Qdrant Solutions GmbH | Чанки и векторные индексы | ЕЭА (Германия, Ирландия) | SCC модули 2 и 3, UK IDTA | cloud.qdrant.io/dpa |
| Cloudflare, Inc. | IP, TLS-отпечаток, User-Agent, sitekey (Turnstile), DNS | Глобально, возможно вне ЕЭА | SCC модули 2 и 3, UK IDTA | cloudflare.com/cloudflare-customer-dpa v6.4 от 03.04.2026 |
| Google Ireland Ltd / Google LLC | GTM и Analytics 4 (по согласию посетителей), SMTP-релей для кодов и уведомлений | США; IP пользователей ЕЭА/UK/CH не логируется | SCC + Data Processing Terms | Google Ads DPT — для компании вне ЕЭА принимается вручную в админке |
| Поставщик языковой модели (OpenAI / Anthropic / Google / локальный inference) | Текст запроса, релевантные фрагменты корпуса, аудио для расшифровки | США или ваш регион; журнал анти-злоупотребления до 30 суток | DPA + SCC, бизнес-тариф без обучения на данных; zero-retention — по согласованию | openai.com/policies/data-processing-addendum; политики Anthropic и Google |
| Meta Platforms Ireland Ltd / Telegram (при подключении канала) | Контакты и переписка канала, который подключил заказчик | Вне ЕЭА возможно | Meta: Global Processor Terms как обработчик; Telegram — отдельных гарантий нет, поэтому специальные категории туда не направляются | Meta Terms for WhatsApp Business Platform от 23.09.2026 |
| Платёжный провайдер (после включения приёма оплаты) | Email, сумма, реквизиты документа, токен подписки; номер карты — нет | Реглачивается отдельно | DPA + PCI-совместимая схема (hosted checkout) | Приложение к договору |
05Трансграничные передачи
- Передача выполняется в государства, которые обеспечивают защиту персональных данных по смыслу ст. 16 закона РК, и закрывается стандартными договорными клаузами Комиссии (решение (EU) 2021/914) с выбором модуля по направлению потока: контролёр-обработчик — модуль 2, обработчик-субобработчик — модуль 3.
- По каждой стороне выполнена оценка передачи: характер данных, правовая система получателя, меры, которые мы применяем сверх договора. Копии клауз и выжимку оценки предоставляем заказчику по запросу.
- Для казахстанских заказчиков отдельно фиксируется: первичное хранение персональных данных граждан РК может потребовать базы на территории Республики Казахстан (ст. 12 п. 2 закона о персональных данных); если это требование к вам применимо, соответствующий контур должен быть развёрнут в Казахстане или on-prem, и этот выбор заказчик делает до загрузки корпуса.
- Согласие субъекта на трансграничную передачу включается в текст согласия при регистрации (ст. 8 п. 4 закона РК требует указывать сам факт такой передачи).
06Инциденты
- Подозрение на инцидент разбирается немедленно; о подтверждённом инциденте, затрагивающем тенант заказчика, сообщаем администратору в течение 24 часов: что затронуто, какие категории данных, какие меры приняты, кого контактировать.
- Содержимое чужих корпусов в уведомлении не раскрывается, детали, достаточные для повторения атаки, — тоже.
- Заказчик со своей стороны уведомляет надзорный орган и субъектов, если это его обязанность; мы помогаем информацией в объёме, который у нас есть, без признания вины с чьей-либо стороны.
- По праву РК инцидент фиксируется в журнале утечек и передаётся в уполномоченный орган в установленный срок; по GDPR мы уведомляем орган в 72 часа там, где обязанность лежит на нас.
07Что обеспечивает заказчик
- Законность инструкции и прав на загружаемые документы; уведомления и согласия сотрудников и клиентов собраны до загрузки.
- Специальные категории (здоровье, профсоюзы, биометрия, религия, суждения о правонарушениях) — только с явным письменным основанием, иначе корпус должен быть очищен по первому требованию.
- Данные банковских карт, полные паспортные файлы и данные детей не передаются в чат, в промпты и в поля документов; для платёжных сценариев используется размеченный checkout на стороне провайдера.
- Креденшелы сотрудников отзываются в день увольнения, роли выдаются по минимуму, доступ администратора защищён отдельно.
- Решения по выводам агента принимает человек; использование системы для автоматических решений о найме, увольнении, оценке работника, кредите или допуске к работам вне нашего письменного согласования не производится.
- Экспорт и локальные копии данных заказчик хранит под своей ответственностью: после удаления тенанта у нас его собственные выгрузки остаются его базой.
08Аудит и доказательства
- Заказчик может запросить подтверждение соответствия: перечни технических и организационных мер, схему потоков данных, журнал субобработчиков, выписку из журнала инцидентов по своему тенанту. Мы отвечаем в разумный срок и предлагаем документарный путь первым.
- Натуральный аудит (проверка у нас в инфраструктуре) проводится по согласованию, не чаще одного раза в год, за счёт заказчика и без доступа к данным других арендаторов; при наличии действующего сертификата или отчёта поставщика услуги мы предпочитаем предоставить его.
- Всё это не распространяется на требования регулятора: по законному требованию мы предоставляем данные независимо от согласия заказчика и уведомляем его, если уведомление не запрещено.
09Срок, приоритет, последствия
- Это приложение действует вместе с договором доступа и автоматически прекращается вместе с ним, кроме обязанностей по конфиденциальности, удалению и подтверждению удаления.
- На отзыв согласия обработка прекращается в течение 15 рабочих дней (ст. 8 п. 7 закона РК № 94-V), а корпус, чанки, векторы и память удаляются по окончании окна на выгрузку.
- Вопросы персональных данных регулируются этим приложением и политикой конфиденциальности; при конфликте с Условиями использования приоритет у них. Вопросы услуги, ответственности и расторжения остаются в Условиях.
- Нарушение этого приложения считается существенным нарушением договора доступа: заказчик вправе приостановить использование и требовать удаления корпуса; мы вправе приостановить обработку, пока инструкция не приведена в соответствие с законом.
- Ответственность по этому приложению подчиняется пределу ответственности из Условий, кроме случаев, когда закон запрещает ограничивать ответственность перед субъектом данных.
Приложение можно подписать, а можно использовать как есть
Для корпоративного тенанта мы предоставляем это приложение отдельным PDF и подписываем его; для self-serve-доступа оно считается принятым вместе с Условиями использования. Отдельные требования вашей отрасли (банковская тайна, врачебная тайна, критическая инфраструктура) добавляются приложениями к договору.
Доступ к данным, исправление, удаление, перенос, отзыв согласия, претензия по ответу ИИ. Всё это подаётся через одну форму, отвечаем в срок, указанный в документе.