Условия обработки персональных данных
Это приложение к Пользовательскому соглашению. Статья 86 Цифрового кодекса Кыргызской Республики требует, чтобы поручение обработчику было оформлено письменно и содержало конкретный набор условий. Здесь они и собраны — без отсылок «в порядке, определяемом сторонами».
Редакция от ОсОО «Студия МегаАпп», Кыргызская Республика
1. Стороны и предмет
Настоящие Условия являются неотъемлемой частью Пользовательского соглашения и применяются, когда Заказчик использует платформу KulpunAi для обработки персональных данных своих клиентов, посетителей и иных лиц.
| Сторона | Роль по Цифровому кодексу | За что отвечает |
|---|---|---|
| Заказчик — компания, использующая KulpunAi | Обладатель персональных записей | Определяет цели и способы обработки, обеспечивает законное основание, получает согласия, отвечает перед субъектами данных |
| ОсОО «Студия МегаАпп» — Исполнитель | Обработчик (статья 86) | Обрабатывает данные исключительно по поручению и письменным указаниям Заказчика, в объёме, необходимом для оказания услуг |
Передача обработки Исполнителю не освобождает Заказчика от ответственности перед субъектами персональных данных и надзорным органом. Исполнитель, в свою очередь, отвечает за то, чтобы обработка велась строго в рамках поручения.
2. Обязательные условия поручения
Статья 86 Цифрового кодекса требует определить цель обработки, её срок, виды персональных данных и категории субъектов. Ниже — эти условия.
2.1. Цель обработки
Единственная цель — оказание Заказчику услуг по Пользовательскому соглашению: приём, доставка и хранение обращений из подключённых каналов связи, ведение карточек контактов и истории общения, распределение диалогов между операторами, формирование отчётности, работа ИИ-ассистента и интеграций — в объёме, который Заказчик включил в своём аккаунте. В любых иных целях, включая собственный маркетинг Исполнителя, обучение моделей и передачу третьим лицам, данные не используются.
2.2. Срок обработки
Обработка ведётся в течение срока действия Пользовательского соглашения и 30 календарных дней после его прекращения — этот срок отводится Заказчику на выгрузку данных. По его истечении данные удаляются. Заказчик вправе в любой момент удалить отдельные контакты, диалоги или весь аккаунт средствами платформы.
2.3. Виды обрабатываемых персональных данных
- Идентификационные и контактные сведения: имя, фамилия, номер телефона, адрес электронной почты, идентификатор пользователя в мессенджере, аккаунт в социальной сети.
- Содержимое переписки: текстовые сообщения, файлы, изображения, документы, голосовые сообщения и иные вложения.
- Технические сведения: время обращения, канал связи, идентификатор диалога, язык, страна или город, если их передаёт канал.
- Данные, которые Заказчик заводит сам: произвольные поля карточки контакта, метки, сегменты, заметки операторов, оценки качества обслуживания.
- Сведения о пользователях Заказчика: имя, рабочая почта, роль в аккаунте, журналы входов и действий.
Специальные категории персональных данных — сведения о здоровье, национальности, вероисповедании, политических взглядах, биометрия (статья 80 Цифрового кодекса) — в состав поручения по умолчанию не входят. Если характер деятельности Заказчика предполагает их обработку, стороны согласуют это письменно и определяют усиленные меры защиты до подключения соответствующего канала.
2.4. Категории субъектов персональных данных
- клиенты и потенциальные клиенты Заказчика, обратившиеся через подключённые каналы связи;
- посетители сайта Заказчика, воспользовавшиеся виджетом чата;
- подписчики страниц и аккаунтов Заказчика в мессенджерах и социальных сетях;
- сотрудники и представители Заказчика, работающие в аккаунте.
3. Обязанности Заказчика как обладателя данных
- Иметь законное основание по статье 79 Цифрового кодекса для каждой цели обработки и уметь его подтвердить.
- Получать согласие субъектов там, где иное основание неприменимо, и обеспечивать его действительность: добровольность, конкретность, информированность, осознанность.
- Информировать субъектов о том, что обработка ведётся с привлечением Исполнителя как обработчика, и о возможной трансграничной передаче — если подключены внешние каналы или ИИ-ассистент.
- Собирать данные в минимально необходимом объёме и не размещать в платформе сведения, которые для целей обработки не нужны.
- Своевременно рассматривать обращения и возражения субъектов персональных данных и отвечать на них.
- Давать Исполнителю указания в письменной форме — через настройки аккаунта либо письмом на support@kulpunai.kg.
4. Обязанности Исполнителя как обработчика
- 1Обрабатывать персональные данные исключительно по поручению Заказчика и в соответствии с его письменными указаниями. Если указание, по оценке Исполнителя, противоречит законодательству Кыргызской Республики, Исполнитель письменно сообщает об этом Заказчику и вправе приостановить его исполнение.
- 2Ограничивать доступ к персональным данным: доступ предоставляется только тем сотрудникам, которым он необходим для выполнения служебных обязанностей, и только на время такой необходимости.
- 3Обеспечивать конфиденциальность: сотрудники и подрядчики Исполнителя, получающие доступ к данным, связаны обязательством о неразглашении, действующим и после прекращения отношений с Исполнителем.
- 4Применять технические и организационные меры защиты, соответствующие статье 88 Цифрового кодекса и постановлению Правительства Кыргызской Республики от 21 ноября 2017 года № 760, с учётом определённого уровня защищённости.
- 5Оказывать Заказчику содействие в исправлении, блокировании и удалении данных, а также в подготовке ответов на обращения субъектов персональных данных.
- 6Вести учёт операций обработки и хранить документы, подтверждающие соблюдение требований законодательства, и предоставлять их Заказчику по мотивированному запросу.
- 7Не привлекать субобработчиков без предварительного согласия Заказчика, полученного в порядке раздела 5.
- 8Уведомлять Заказчика об инцидентах в порядке раздела 8.
- 9По прекращении оказания услуг удалить данные в порядке раздела 9.
5. Привлечение субобработчиков
Для работы платформы Исполнитель привлекает подрядчиков. Акцептуя Пользовательское соглашение, Заказчик даёт предварительное согласие на привлечение субобработчиков из перечня ниже. С каждым из них заключён письменный договор, возлагающий обязанности не ниже установленных настоящими Условиями.
| Субобработчик | Назначение | Когда задействуется |
|---|---|---|
| Meta Platforms | Доставка сообщений в WhatsApp Business API, Instagram и Facebook | Только если Заказчик подключил соответствующий канал |
| Telegram Messenger | Работа бота и доставка сообщений | Только если подключён канал Telegram |
| OpenAI | Формирование ответов ИИ-ассистента, подсказки оператору, обработка базы знаний | Только если Заказчик включил функции ИИ-ассистента |
| Операторы связи и почтовые провайдеры | Отправка SMS и электронных писем | При использовании SMS-канала и почтовых уведомлений |
| Провайдер серверной инфраструктуры в Кыргызской Республике | Размещение серверов и хранение резервных копий | Постоянно |
| Внешние CRM и учётные системы | Синхронизация контактов и сделок | Только если Заказчик подключил интеграцию и настроил состав передаваемых полей |
О намерении привлечь нового субобработчика Исполнитель уведомляет Заказчика не менее чем за 30 календарных дней по электронной почте и обновляет перечень на этой странице. Если Заказчик возражает, стороны обсуждают доступную альтернативу; при её отсутствии Заказчик вправе расторгнуть договор с возвратом платы за неиспользованный оплаченный период.
6. Трансграничная передача
Основное хранилище данных находится в городе Бишкеке, на площадке кыргызстанского оператора связи. За пределы Кыргызской Республики данные передаются только субобработчикам, отмеченным в разделе 5 как внешние, и только когда Заказчик подключил соответствующий канал или функцию.
Перечень государств с адекватным уровнем защиты, предусмотренный статьёй 89 Цифрового кодекса, Государственным агентством по защите персональных данных на дату этой редакции не опубликован. До его публикации стороны действуют по остальным основаниям статьи 89: договорные гарантии защиты в договорах с субобработчиками и согласие субъектов персональных данных, получение которого обеспечивает Заказчик.
Конфигурация без трансграничной передачи возможна: достаточно использовать только виджет на сайте, электронную почту и SMS и не подключать ИИ-ассистента и мессенджеры. По запросу Исполнитель зафиксирует такую конфигурацию письменно.
7. Содействие в реализации прав субъектов
Обращения субъектов персональных данных рассматривает Заказчик — он обладатель данных. Если обращение поступает напрямую Исполнителю, Исполнитель не отвечает по существу, а без неоправданной задержки передаёт его Заказчику и уведомляет об этом заявителя.
По запросу Заказчика Исполнитель в разумный срок и без дополнительной платы предоставляет выгрузку данных субъекта, вносит исправления, блокирует или удаляет данные, а также подтверждает выполненные действия. Сроки рассчитываются так, чтобы Заказчик успел дать субъекту мотивированный письменный ответ в течение семи рабочих дней, установленных статьёй 84 Цифрового кодекса.
8. Инциденты
При выявлении несанкционированного доступа, утраты, уничтожения или раскрытия персональных данных Исполнитель уведомляет Заказчика без неоправданной задержки после установления факта инцидента и сообщает: что произошло и когда, какие категории данных и субъектов затронуты, каковы вероятные последствия, какие меры приняты и что рекомендуется сделать Заказчику.
Исполнитель оказывает Заказчику содействие в уведомлении субъектов персональных данных и Государственного агентства по защите персональных данных, если такое уведомление требуется. Решение об уведомлении надзорного органа и субъектов принимает Заказчик как обладатель данных.
9. Удаление и возврат данных
- Заказчик может в любой момент выгрузить данные средствами платформы или запросить выгрузку у Исполнителя.
- После прекращения Пользовательского соглашения данные хранятся 30 календарных дней, затем удаляются безвозвратно.
- Из резервных копий данные исчезают по мере ротации копий — в течение 30 дней с момента удаления.
- Исполнитель вправе сохранить сведения, хранение которых предписано законодательством Кыргызской Республики, — например, первичные бухгалтерские документы. Такие сведения хранятся изолированно и используются только для исполнения соответствующей обязанности.
- По письменному запросу Заказчика Исполнитель подтверждает удаление.
10. Подтверждение соблюдения требований
По мотивированному письменному запросу Заказчика, но не чаще одного раза в календарный год, Исполнитель предоставляет сведения о применяемых мерах защиты, перечне субобработчиков и порядке обработки, достаточные для того, чтобы Заказчик мог подтвердить соблюдение требований законодательства перед надзорным органом. Проверка не должна нарушать конфиденциальность данных других клиентов Исполнителя и безопасность платформы.
Дополнительно: ядро платформы имеет открытый код, поэтому механику хранения и обработки данных можно изучить самостоятельно, а при повышенных требованиях к контролю — развернуть платформу в собственном контуре Заказчика.
11. Заключительные положения
- Настоящие Условия действуют в течение срока действия Пользовательского соглашения и в части обязанностей по конфиденциальности и удалению — после его прекращения.
- При противоречии между настоящими Условиями и Пользовательским соглашением в вопросах обработки персональных данных приоритет имеют настоящие Условия.
- Если Государственное агентство по защите персональных данных опубликует типовую форму договора с обработчиком, стороны приводят настоящие Условия в соответствие с ней.
- Об изменениях Исполнитель уведомляет Заказчика не менее чем за 30 календарных дней по электронной почте и в личном кабинете.
- Вопросы по настоящим Условиям: support@kulpunai.kg.