Поручение на обработку персональных данных

Версия 2026-10-28 · Редакция для российского региона

Редакция: 2026-10-28. Дата вступления в силу: 28 октября 2026 г.

1. Стороны, роли и порядок заключения

1.1. Настоящее Поручение на обработку персональных данных (далее — Поручение) является частью Публичной оферты на предоставление права использования сервиса «Айтечество» (/ru/legal/terms, далее — Оферта) и принимается Клиентом вместе с ней. Термины используются в значениях, установленных Офертой.

1.2. Клиент, являясь оператором персональных данных, поручает индивидуальному предпринимателю Орловой Юлии Витальевне (ИНН 781438442029, далее — Обработчик) обработку персональных данных, содержащихся в Запросах и их метаданных, в соответствии с ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о ПДн).

1.3. Поручение не распространяется на данные учётных записей Пользователей, данные для расчётов и обращения с сайта: их Обработчик обрабатывает как самостоятельный оператор (/ru/legal/privacy).

1.4. Согласие субъектов на обработку их персональных данных Обработчиком не требуется (ч. 4 ст. 6 Закона о ПДн); получение согласий и иных оснований обработки обеспечивает Клиент.

2. Предмет и цели обработки

Обработчик обрабатывает персональные данные в следующих целях:

обнаружение и маскирование данных в Запросах в соответствии с Политикой маскирования Клиента, передача замаскированных Запросов выбранному Клиентом провайдеру языковой модели и восстановление исходных значений в ответах;
выполнение вызовов API маскирования и восстановления;
учёт Запросов, предоставление Клиенту журнала Запросов, аналитики, оповещений и уведомлений (в том числе через веб-хуки Клиента), выгрузок;
расследования по поиску отпечатков, если Клиент включил хранение отпечатков;
расчёт стоимости использования Платформенных моделей и учёт лимитов.

3. Перечень персональных данных и категории субъектов

3.1. Содержимое Запросов — любые персональные данные, которые Пользователи и информационные системы Клиента включают в тексты, структурированные поля и вложения Запросов, а также содержащиеся в ответах моделей. Состав определяет Клиент; он может включать, в частности: ФИО; дату рождения; реквизиты документов (паспорт, СНИЛС, полис ОМС, водительское удостоверение); телефоны, адреса электронной почты, почтовые адреса, IP-адреса; номера банковских счетов и карт, IBAN, БИК, суммы; ИНН, ОГРН(ИП), КПП; координаты и географические названия; номера транспортных средств; сведения о диагнозах и кодах МКБ (сведения о состоянии здоровья — специальная категория); учётные данные (пароли, токены, ключи). Категории субъектов — любые лица, сведения о которых содержатся в Запросах (работники, клиенты, контрагенты Клиента и иные лица).

3.2. Метаданные Запросов — идентификаторы Пользователя, участника Организации и API-ключа; время; источник (API, чат, тестовая площадка, API маскирования); провайдер и модель; решение и коды причин блокировки и предупреждений (категории, без значений); количество обнаруженных значений по категориям и примененные действия; количество токенов и стоимость; задержки; IP-адрес и сведения о клиентском приложении (user agent). Категории субъектов — Пользователи Клиента.

3.3. Отпечатки (при включённом Клиентом параметре хранения отпечатков) — ключевые хэши HMAC-SHA256 нормализованных значений, вычисленные на секретном ключе Организации, с указанием категории и Запроса. Исходные значения не хранятся.

3.4. Клиент самостоятельно решает, допускать ли передачу через Сервис специальных категорий персональных данных и биометрических персональных данных, обеспечивает наличие оснований для их обработки (ст. 10, 11 Закона о ПДн) и настраивает для соответствующих категорий блокировку или псевдонимизацию. Сервис не предназначен для обработки биометрических персональных данных.

4. Перечень действий и способы обработки

4.1. С содержимым Запросов: сбор (получение от Клиента), использование (автоматизированный анализ для обнаружения данных, в том числе извлечение текста из вложенных документов), изменение (замена значений условными обозначениями или обобщёнными значениями, восстановление исходных значений в ответе), хранение в оперативной памяти в случаях и в пределах сроков, указанных в п. 5.1, передача (предоставление) провайдеру модели, определённому Клиентом, передача ответа Клиенту, удаление.

4.2. С метаданными и отпечатками: запись, систематизация, накопление, хранение, извлечение, использование, передача (предоставление, доступ) Клиенту через Консоль, API, выгрузки и веб-хуки Клиента, удаление, уничтожение. При удалении Пользователя его идентификаторы, IP-адрес и user agent удаляются из метаданных его Запросов (раздел 9).

4.3. Обработка осуществляется с использованием средств автоматизации, с передачей по информационно-телекоммуникационной сети «Интернет»; обработка без использования средств автоматизации не осуществляется.

5. Условия обработки содержимого Запросов

5.1. Содержимое Запросов (тексты, вложения, ответы моделей) и таблица соответствия псевдонимов обрабатываются только в оперативной памяти Шлюза и его вспомогательных сервисов распознавания имён и извлечения текста из документов, работающих на том же сервере, на время обработки одного Запроса (сервис извлечения текста держит документ во временном каталоге в оперативной памяти только на время его обработки; периметр Сервиса, на котором завершаются TLS-соединения, передаёт Запросы Шлюзу, а ответы — Клиенту, не сохраняя и не журналируя их содержимое) и не записываются Сервисом в базы данных, журналы, метрики, отчёты об ошибках и на диск. Исключения:

результаты распознавания имён, названий организаций и географических названий (найденные фрагменты текста, их позиции, нормальные и грамматические формы) хранятся в оперативной памяти Шлюза раздельно для каждой Организации и повторно используются не дольше 10 минут с момента распознавания; записи с истёкшим сроком не используются и удаляются из памяти при обращении к ним, при вытеснении новыми записями или при перезапуске Шлюза; для демонстрации на сайте эти результаты не используются;
текст, извлечённый из вложенных документов для маскирования, хранится в оперативной памяти Шлюза в исходном (незамаскированном) виде раздельно для каждой Организации и используется не дольше 10 минут с момента извлечения, после чего удаляется из памяти не позднее чем через 30 секунд, — чтобы при повторной отправке того же документа не извлекать его заново; провайдеру модели передаётся только замаскированный текст, исходный файл ему не передаётся; для демонстрации на сайте этот текст не используется;
сервис распознавания имён хранит в оперативной памяти ограниченное число записей: результаты морфологического и словарного анализа отдельных слов, а также найденные имена людей (в том числе фамилии, имена и отчества полностью) и географические названия в нормальной форме вместе с их грамматическими формами — без остального текста Запроса и без связи с Организацией, Пользователем или Запросом; фиксированного срока хранения эти записи не имеют: они вытесняются новыми записями и удаляются при перезапуске сервиса;
API маскирования по запросу возвращает Клиенту зашифрованный токен восстановления (AES-256-GCM), содержащий таблицу соответствия; токен хранит Клиент, срок его действия — 24 часа;
история веб-чата хранится только в браузере Пользователя.

Записи, указанные в первых трёх пунктах, существуют только в оперативной памяти, не записываются Сервисом на диск, в базы данных, журналы или отчёты об ошибках и другим Организациям не раскрываются. На сервере включена область подкачки (swap): операционная система может выгружать в неё, на диск того же сервера, страницы оперативной памяти, в том числе содержащие содержимое Запросов и указанные записи.

5.2. Значения категорий, для которых Политика маскирования Клиента устанавливает действие «разрешить» или «предупредить», вложения, для которых Политика маскирования Клиента устанавливает действие «разрешить», и значения, не обнаруженные детекторами, передаются провайдеру без изменений. Ограничения маскирования перечислены в разделе 11 Оферты; Клиент подтверждает, что ознакомлен с ними.

5.3. Политика маскирования, выбор провайдеров и настройки Организации являются документированными указаниями Клиента. Обработчик не обрабатывает поручённые данные в иных целях, в том числе не использует их для обучения моделей и не продаёт.

6. Обязанности Обработчика

Обработчик обязан:

соблюдать конфиденциальность персональных данных (ст. 7 Закона о ПДн) и обеспечивать их безопасность при обработке;
соблюдать принципы и правила обработки, предусмотренные Законом о ПДн, требования ч. 5 ст. 18 (запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз данных на территории Российской Федерации) и ст. 18.1;
принимать меры по защите персональных данных в соответствии со ст. 19 Закона о ПДн, указанные в Приложении 1;
по запросу Клиента в течение срока действия Поручения, в том числе до начала обработки, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований, установленных ст. 6 Закона о ПДн, — в течение 10 рабочих дней с даты запроса;
уведомлять Клиента о выявленных случаях неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкших нарушение прав субъектов (ч. 3.1 ст. 21 Закона о ПДн), без неоправданной задержки и не позднее 12 часов с момента выявления — на адрес для уведомлений безопасности Организации (при его отсутствии — владельцу), с указанием известных сведений о характере инцидента, предполагаемых причинах, затронутых данных, принятых мерах и контактном лице; дополнительные сведения, необходимые Клиенту для уведомления Роскомнадзора в течение 72 часов, предоставлять по мере их установления;
передавать Клиенту полученные Обработчиком запросы субъектов персональных данных, касающиеся поручённых данных, в течение 3 рабочих дней и оказывать Клиенту содействие в их исполнении в пределах функциональности Сервиса (журнал Запросов, выгрузки, удаление);
по требованию Клиента прекращать обработку и уничтожать поручённые данные в пределах функциональности Сервиса и сроков раздела 9.

7. Обязанности Клиента

Клиент:

обеспечивает наличие правовых оснований обработки, информирование субъектов и получение их согласий, если они требуются, в том числе письменных согласий в случаях, установленных законом;
самостоятельно определяет Политику маскирования, провайдеров моделей и срок хранения журнала Запросов;
при направлении Запросов через Собственные подключения самостоятельно отвечает за правомерность передачи данных провайдеру, включая уведомление Роскомнадзора о трансграничной передаче (ст. 12 Закона о ПДн), если она осуществляется;
поддерживает в Консоли актуальный адрес для уведомлений безопасности;
самостоятельно уведомляет Роскомнадзор об инцидентах в отношении данных, оператором которых он является (ч. 3.1 ст. 21 Закона о ПДн), с использованием сведений, полученных от Обработчика.

8. Привлечение третьих лиц (субпроцессоров)

8.1. Клиент даёт согласие на привлечение Обработчиком к обработке поручённых данных лиц, указанных в Приложении 2 в качестве субпроцессоров, и поручает Обработчику передавать им данные в объёме, необходимом для оказания услуг. Субпроцессоры обрабатывают данные на основании своих договоров с Обработчиком; условия обработки, в том числе хранение данных на их стороне и ограничения состава передаваемых им данных, указаны в Приложении 2. Обработчик отвечает перед Клиентом за действия субпроцессоров как за свои собственные в пределах, установленных Офертой. Поставщик инфраструктуры, указанный в Приложении 2, предоставляет Обработчику вычислительные мощности и хранилище, обработку поручённых данных по поручению Обработчика не осуществляет и субпроцессором не является.

8.2. Провайдеры Платформенных моделей привлекаются только для Организаций, владелец или администратор которых подтвердил в Консоли уведомление о Платформенных моделях, и только для Запросов к этим моделям. Условия провайдеров ограничивают состав данных, которые можно передавать их моделям (Приложение 2); Клиент учитывает эти условия при выборе Платформенных моделей и настройке Политики маскирования.

8.3. Провайдеры, к которым Клиент подключается через Собственные подключения, не являются субпроцессорами Обработчика: Обработчик передаёт им данные по указанию Клиента; отношения с ними регулируются договором Клиента с провайдером.

8.4. Обработчик уведомляет Клиента о планируемом привлечении нового субпроцессора или смене поставщика инфраструктуры по электронной почте не менее чем за 30 дней. При несогласии Клиент вправе отказаться от Договора до привлечения нового субпроцессора или смены поставщика инфраструктуры.

9. Сроки обработки и хранения

Данные	Срок
Содержимое Запросов и таблицы псевдонимов	только на время обработки Запроса (оперативная память)
Результаты распознавания имён в оперативной памяти Шлюза	используются не дольше 10 минут; затем удаляются при обращении к ним, вытеснении новыми записями или перезапуске Шлюза
Текст, извлечённый из вложенных документов, в оперативной памяти Шлюза	используется не дольше 10 минут с момента извлечения; удаляется не позднее 30 секунд после истечения этого срока
Результаты анализа слов, имена людей и географические названия с их грамматическими формами в оперативной памяти сервиса распознавания имён	без фиксированного срока: до вытеснения новыми записями или перезапуска сервиса
Токены восстановления	не хранятся Обработчиком; срок действия — 24 часа
Метаданные Запросов и отпечатки	срок, установленный Клиентом в Консоли: от 7 дней до максимума тарифа (30, 90, 365 или 1095 дней); при сокращении срока прежний срок применяется ещё 7 дней
Агрегированная статистика использования по Пользователям	в пределах того же срока
Журнал аудита действий в Консоли (без содержимого Запросов)	1095 дней
Резервные копии базы данных (в зашифрованном виде)	ежедневная копия хранится в хранилище резервных копий 14 дней (копии старше этого срока удаляются после каждого успешного резервного копирования), две последние копии — также на сервере Сервиса; удалённые данные сохраняются в копиях не более 15 дней, а при сбое резервного копирования — до первого успешного копирования после его восстановления
После удаления Организации	рабочие данные удаляются через 30 дней

При удалении Пользователя идентификаторы, IP-адрес и user agent в метаданных его Запросов обнуляются.

10. Окончание обработки

При прекращении Договора (удалении Организации) возврат содержимого Запросов не требуется, поскольку оно не хранится. До удаления Клиент может выгрузить журнал Запросов в форматах CSV или JSONL. Метаданные и отпечатки уничтожаются в сроки раздела 9. Сведения о расчётах Обработчик хранит как оператор в течение срока, установленного законом.

11. Трансграничная передача и локализация

Обработчик не осуществляет трансграничную передачу поручённых данных: инфраструктура российского региона (виртуальный сервер Timeweb Cloud в г. Москве, на котором выполняются в том числе обнаружение и маскирование данных, и хранилище резервных копий Timeweb Cloud в г. Санкт-Петербурге) и провайдеры Платформенных моделей находятся в Российской Федерации. Обработчик блокирует известные адреса иностранных провайдеров, не оказывающих услуги в Российской Федерации; при подключении произвольного эндпоинта Клиент подтверждает свою ответственность за правомерность передачи. Трансграничная передача поручённых данных может быть начата Обработчиком только после выполнения требований ст. 12 Закона о ПДн, изменения Поручения и уведомления Клиента в порядке п. 8.4.

12. Ответственность

Ответственность перед субъектом персональных данных за действия Обработчика несёт Клиент; Обработчик несёт ответственность перед Клиентом (ч. 5 ст. 6 Закона о ПДн) в пределах, установленных Офертой.

13. Проверки

Обработчик по запросу Клиента предоставляет заполненный опросник о мерах защиты и документы, указанные в п. 6.4. Если этих сведений недостаточно, Клиент вправе не чаще одного раза в год провести проверку соблюдения Поручения — самостоятельно или с привлечением независимого специалиста, связанного обязательством о конфиденциальности, — по предварительному уведомлению не менее чем за 30 дней, за свой счёт, в согласованные с Обработчиком сроки и порядке и без доступа к данным других клиентов. Физический доступ к оборудованию поставщика инфраструктуры (Приложение 2) в ходе проверки не предоставляется.

14. Контакты Обработчика

Индивидуальный предприниматель Орлова Юлия Витальевна, ИНН 781438442029, ОГРНИП 318784700117489, адрес (в том числе для письменных обращений): 194352, г. Санкт-Петербург, ул. Кустодиева, д. 20, корп. 1, кв. 67. Электронная почта для уведомлений, запросов и документов по Поручению: ceo.orlova@yandex.ru. Телефон: +7 911 715-58-67.

Приложение 1. Меры по обеспечению безопасности

Перечень отражает фактические меры на дату редакции. Обработчик не заявляет о наличии аттестата соответствия информационной системы, сертификатов ФСТЭК России или ФСБ России и сертифицированных средств защиты информации. Уровень защищённости персональных данных при их обработке в информационной системе Сервиса по постановлению Правительства РФ от 01.11.2012 № 1119 — четвёртый (УЗ-4); он определён Обработчиком самостоятельно. Клиент как оператор самостоятельно оценивает достаточность этих мер для обрабатываемых им данных, в том числе специальных категорий персональных данных (п. 3.4).

Отсутствие хранения содержимого. Содержимое Запросов не сохраняется, кроме хранения в оперативной памяти в случаях и в пределах сроков, указанных в п. 5.1; журналы содержат метод, путь (без строки запроса), статус, задержки и идентификаторы; тела запросов, заголовки авторизации и значения не журналируются. Отчёты об ошибках не содержат данных запросов.
Отказ в небезопасных случаях. Если маскирование не может быть выполнено (сбой детектора при настройке блокировки, нарушение формата, неклассифицированный тип содержимого и др.), Запрос отклоняется и не передаётся провайдеру.
Единственная точка выхода. Соединения с провайдерами моделей открывает только один модуль Шлюза и только для Запросов, маскирование которых завершено; адреса провайдеров, заданные Клиентом, проверяются на недопустимые (внутренние, служебные) адреса при каждом подключении.
Изоляция. Данные каждой Организации разделены на уровне запросов к базе данных; кэши результатов распознавания имён и извлечённого из документов текста разделены по Организациям; российский и международный регионы — независимые развёртывания без общих баз данных и сетевых связей.
Шифрование. TLS 1.2 и выше на периметре; учётные данные подключений к провайдерам, ключ отпечатков Организации, секреты TOTP и веб-хуков шифруются AES-256-GCM; ключи хранятся вне базы данных и ротируются по регламенту; резервные копии базы данных шифруются до передачи в хранилище.
Управление доступом. Ролевая модель (владелец, администратор, офицер ИБ, аудитор, участник); пароли хранятся в виде хэшей argon2id; двухфакторная аутентификация, обязательная для администраторов платформы; ограничение частоты входов; API-ключи хранятся в виде ключевых хэшей.
Сеть и среда исполнения. База данных, кэш, объектное хранилище, сервис распознавания и сервис извлечения текста из документов подключены только к внутренним сетям Сервиса без доступа в Интернет; все сервисы работают на одном сервере, и трафик между ними не покидает его. Из Интернета доступны только периметр (порты 80 и 443) и административный доступ по SSH с аутентификацией по ключу, остальные входящие соединения запрещены межсетевым экраном. Компоненты приложения (Шлюз, сервисы распознавания и извлечения текста, программный интерфейс управления, фоновые обработчики, веб-интерфейс и задача резервного копирования) работают от непривилегированных пользователей, с файловой системой только для чтения и без привилегий ядра Linux (capabilities); для всех сервисов, включая базу данных, кэш и объектное хранилище, установлены ограничения памяти.
Журналирование и мониторинг. Журнал аудита действий в Консоли; журналы работы сервисов хранятся на сервере в ограниченном объёме и без содержимого Запросов (п. 1); при каждом обновлении Сервиса автоматически проверяется доступность его зависимостей. Сбор метрик приложения и автоматические оповещения о сбоях маскирования на стенде российского региона не используются.
Резервное копирование. Ежедневная копия базы данных, зашифрованная до передачи (ключ для расшифровки хранится отдельно от Сервиса), в закрытом объектном хранилище Timeweb Cloud в г. Санкт-Петербурге с ключом доступа только к этому хранилищу; хранение 14 дней; две последние копии, также зашифрованные, хранятся на сервере Сервиса; ежемесячная проверка восстановления. Возможная потеря данных при восстановлении — до 24 часов.
Безопасная разработка. Зависимости фиксируются по версиям и контрольным суммам; образы сканируются на уязвимости; изменения проходят автоматические проверки.
Реагирование на инциденты. Регламент реагирования, включая уведомление Клиентов в течение 12 часов.

Приложение 2. Субпроцессоры и поставщик инфраструктуры

Сведения приведены по договорам Обработчика с указанными лицами и по опубликованным условиям провайдеров на дату редакции.

Лицо	Назначение	Расположение	Данные	Хранение на стороне лица
ООО «ТАЙМВЭБ.КЛАУД» (Timeweb Cloud) — поставщик инфраструктуры	вычислительные мощности и хранилище для размещения инфраструктуры Сервиса: виртуальный сервер (база данных, кэш, объектное хранилище, Шлюз и его вспомогательные сервисы) и хранилище зашифрованных резервных копий. По условиям оферты Timeweb Cloud (ред. от 06.02.2026, п. 9.4) договор с ним не является поручением на обработку персональных данных; обработку на арендованных мощностях осуществляет Обработчик, Timeweb Cloud субпроцессором не является (п. 8.1)	Российская Федерация (сервер — г. Москва, хранилище резервных копий — г. Санкт-Петербург)	все данные, обрабатываемые Сервисом (резервные копии — в зашифрованном виде)	в пределах сроков раздела 9
ООО «Юнисендер Смарт» (Unisender Go)	отправка электронной почты Сервиса, в том числе оповещений, настроенных Клиентом	Российская Федерация	адреса получателей и тексты писем; содержимое Запросов в письма не включается	по условиям провайдера (Правила пользования сервисом «Unisender Go», ред. от 23.09.2026)
ООО «Яндекс.Облако» (YandexGPT, Yandex AI Studio)	Платформенные модели — только при подтверждении уведомления о Платформенных моделях	Российская Федерация	содержимое Запросов к этим моделям после маскирования	Запросы направляются с заголовком, запрещающим логирование данных запросов, согласно документации провайдера; в этом случае по условиям провайдера содержимое запросов не сохраняется на его серверах, кроме кратковременного хранения, объективно необходимого для обработки запроса, и не используется для отладки и обучения моделей. Условия: «Условия использования Сервиса Яндекс ИИ-Студия» (https://yandex.ru/legal/cloud_terms_yandex_ai_studio), содержащие поручение провайдеру на обработку персональных данных в запросах, и соглашение об обработке данных Yandex Cloud (https://yandex.ru/legal/cloud_dpa). Условия провайдера не допускают передачу в запросах сведений, составляющих охраняемую законом тайну, специальных категорий и биометрических персональных данных: выбирая эти модели, Клиент обеспечивает, чтобы Запросы к ним после маскирования таких сведений не содержали
ООО «СалютДевайсы» (GigaChat API; правообладатель программы GigaChat — ПАО Сбербанк)	Платформенные модели — только при подтверждении уведомления о Платформенных моделях	Российская Федерация	содержимое Запросов к этим моделям после маскирования	по условиям провайдера: «Соглашение об использовании сервиса GigaChat API по постоплате для корпоративных пользователей» (https://developers.sber.ru/docs/ru/policies/gigachat-agreement/corporate-clients-beta). Провайдер и правообладатель используют содержимое запросов для их обработки и формирования ответов и не используют его в целях, не связанных с оказанием услуги; срок хранения в соглашении не указан. Соглашение не содержит поручения на обработку персональных данных и исходит из того, что персональные данные в сервис не передаются: выбирая эти модели, Клиент обеспечивает, чтобы Запросы к ним после маскирования не содержали персональных данных