Условия обработки персональных данных

Редакция от 18 октября 2026 года (идентификатор редакции 2026-10-18). Приложение к Пользовательскому соглашению KulpunAi и договор обработчика по статье 86 Цифрового кодекса Кыргызской Республики. Для новых Заказчиков эта редакция действует с момента публикации, для договоров, заключённых раньше, — в порядке пункта 1.4. Текст на государственном языке: /ky/data-processing.

1. Общие положения

1.1. Что регулируют эти Условия

Эти Условия — договор о поручении обработки персональных данных (договор обработчика) по статье 86 Цифрового кодекса Кыргызской Республики от 31 июля 2025 года № 178 (далее — Цифровой кодекс). Они входят в состав Пользовательского соглашения (далее — Соглашение) и заключаются вместе с ним.

Условия применяются, когда Заказчик размещает на Платформе персональные данные своих клиентов, посетителей своего сайта, сотрудников и других людей. Заказчик поручает Исполнителю обработку этих данных. Условия также содержат поручение на обработку по части 3 статьи 38 Цифрового кодекса.

Исполнитель обрабатывает и собственные данные: сведения о Пользователях для исполнения Соглашения, данные для расчётов, поддержки и безопасности. Эта обработка не входит в поручение. Она описана в Политике конфиденциальности.

1.2. Стороны и их роли

Исполнитель обрабатывает Данные Заказчика на тех же основаниях обработки, что и Заказчик (часть 1 статьи 86 Цифрового кодекса). Поэтому основание для каждой обработки обеспечивает Заказчик (пункт 8.1).

1.3. Термины

Термины Исполнитель, Заказчик, Платформа, Аккаунт, Пользователь, Администратор, Контакт, Канал, Интеграция, Функции ИИ, ИИ-агент, Поставщик ИИ, Субобработчик, Тариф, Запись о заключении и Рабочий день имеют значение, указанное в разделе 2 Соглашения. Кроме того, в этих Условиях используются термины:

• Данные Заказчика — персональные данные, которые Исполнитель обрабатывает по поручению Заказчика в составе раздела 6.
• Получатель по выбору Заказчика — Канал, Интеграция или адрес, которые подключает Заказчик. Платформа передаёт им данные по распоряжению Заказчика (пункт 13.3).
• ГАЗПД — Государственное агентство по защите персональных данных при Кабинете Министров Кыргызской Республики, отраслевой регулятор в сфере персональных данных (https://dpa.gov.kg).
• Требования № 384 — Требования по защите персональных данных при их обработке в цифровых технологических системах в соответствии с установленными уровнями защищенности персональных данных, утверждённые постановлением Кабинета Министров Кыргызской Республики от 2 июня 2026 года № 384.

1.4. Вступление в силу этой редакции

Для нового Заказчика эта редакция действует с момента её публикации. Заказчик принимает её вместе с Соглашением при регистрации или при создании дополнительного Аккаунта.

Для договора, заключённого раньше, эта редакция применяется в порядке пункта 19.2 Соглашения: с момента, когда Администратор принял её в интерфейсе Платформы, а если он её не принял, — с даты, указанной в уведомлении, но не ранее чем через один месяц со дня его направления (часть 5 статьи 114 Цифрового кодекса). До этого к такому договору применяется прежняя редакция. Право отказаться от новой редакции описано в пункте 21.2.

2. Как Условия выполняют требования закона

В таблице указано, где находится каждое положение, обязательное для договора обработчика по части 4 статьи 86 Цифрового кодекса, и каждый элемент поручения на обработку по части 3 статьи 38 Цифрового кодекса.

3. Цель и характер обработки

3.1. Цель

Исполнитель обрабатывает Данные Заказчика с одной целью: предоставить Заказчику Платформу по Соглашению в пределах Тарифа и функций, которые Заказчик подключил в своём Аккаунте.

3.2. Характер обработки

Обработка автоматизированная. Она ведётся в Платформе и у Субобработчиков. Исполнитель обрабатывает Данные Заказчика, чтобы:

• принимать, хранить и доставлять сообщения из подключённых Каналов: WhatsApp, Instagram, Facebook Messenger, Telegram, электронной почты, виджета чата на сайте Заказчика и других;
• вести карточки Контактов, историю диалогов, метки, заметки и поля, которые настраивает Заказчик;
• распределять диалоги между Пользователями, искать по данным Аккаунта и строить отчёты;
• отправлять рассылки Заказчика, в том числе шаблонные сообщения WhatsApp;
• импортировать Контакты из файлов и обмениваться данными с Интеграциями, которые подключил Заказчик: CRM, вебхуками, API;
• выполнять Функции ИИ, которыми пользуется Заказчик: отвечать Контактам от имени Заказчика через ИИ-агента, предлагать ответы оператору, составлять краткое содержание диалогов, заполнять поля и заметки карточки Контакта, формировать базу знаний (в том числе на основе завершённых диалогов, если Заказчик включил эту функцию ИИ-агента) и искать по ней;
• обеспечивать работу, безопасность и восстановление Платформы, в том числе делать резервные копии.

3.3. Что не входит в поручение

• Исполнитель не использует Данные Заказчика в собственных целях: для своей рекламы, для продажи, для передачи лицам, не названным в разделах 13 и 14.
• Исполнитель не обучает модели ИИ на Данных Заказчика.
• Исполнитель обрабатывает данные Пользователей для исполнения Соглашения (учётная запись, вход, расчёты, служебные уведомления, поддержка) и сведения об объёме использования Платформы для расчётов. Это собственная обработка Исполнителя по Политике конфиденциальности.
• Технические журналы сервера, в которых есть IP-адреса Контактов и посетителей сайтов Заказчика, Исполнитель ведёт как владелец записей для безопасности и диагностики Платформы (пункт 5 части 1 статьи 79 Цифрового кодекса; раздел 4 Политики конфиденциальности). Содержимое сообщений и тела запросов в эти журналы не записываются. Исполнитель хранит журналы не более 12 месяцев и не использует их для других целей.

Если Заказчику нужна обработка с другой целью или с другим составом данных, Заказчик даёт распоряжение по разделу 7. Исполнитель выполняет его, если это возможно в Платформе и не противоречит закону.

4. Перечень действий с персональными данными

Исполнитель совершает с Данными Заказчика только следующие действия (операции). Каждое действие выполняется по распоряжению Заказчика (раздел 7) и в пределах цели раздела 3.

Исполнитель не распространяет Данные Заказчика, то есть не раскрывает их неопределённому кругу лиц.

5. Срок обработки

5.1. Период обработки

Обработка начинается, когда Заказчик принял Соглашение и эти Условия. Она продолжается весь срок действия Соглашения.

После прекращения Соглашения Исполнитель только хранит Данные Заказчика без изменений, передаёт Заказчику их копию и удаляет их в порядке раздела 18. Других действий с ними Исполнитель не совершает.

5.2. Сроки хранения

6. Категории субъектов и типы данных

6.1. Категории субъектов

• клиенты и потенциальные клиенты Заказчика, которые пишут ему через подключённые Каналы;
• посетители сайта или приложения Заказчика, где размещён виджет чата, в том числе те, кто ещё не написал в чат;
• получатели рассылок Заказчика;
• люди, данные которых Заказчик импортирует из файлов или получает через API и Интеграции;
• люди, которые упоминаются в переписке и в материалах базы знаний Заказчика;
• Пользователи — только как авторы сообщений, заметок и действий в Аккаунте.

6.2. Типы данных

6.3. Данные, которые Заказчик не размещает без основания

Платформа не предназначена для обработки специальных категорий персональных данных и данных детей. Для них в Платформе нет отдельных мер защиты, а фильтр ИИ их не распознаёт (пункт 12.3).

Специальные категории (часть 1 статьи 80 Цифрового кодекса): сведения о расовом или этническом происхождении, политических взглядах, религиозных или философских убеждениях, членстве в профсоюзе; генетическая информация; биометрические данные для цифровой идентификации человека; сведения о здоровье, половой жизни или сексуальной ориентации. Их обработка запрещена, кроме случаев части 2 статьи 80 Цифрового кодекса.

Данные детей (статья 81 Цифрового кодекса). Их можно обрабатывать только в случаях части 2 статьи 81 Цифрового кодекса или с согласия законного представителя ребёнка (часть 3 статьи 81 Цифрового кодекса). Ребёнок, достигший 14 лет, вправе сам дать согласие в пределах своей дееспособности. Исполнение договора не является основанием для обработки данных детей.

Поэтому Заказчик:

1. не запрашивает через Платформу и не вносит в карточки Контактов сведения специальных категорий, если у него нет основания по части 2 статьи 80 Цифрового кодекса. Пример такого основания — обработка сведений о здоровье медицинской организацией в медицинских целях (пункт 5 части 2 статьи 80 Цифрового кодекса);
2. не обрабатывает в Платформе данные детей без основания по статье 81 Цифрового кодекса и принимает меры против их незаконной обработки (часть 5 статьи 81 Цифрового кодекса);
3. до начала такой обработки письменно сообщает Исполнителю, что в Аккаунте будут специальные категории или данные детей, и сам решает, использовать ли для таких диалогов Функции ИИ;
4. если Контакты сами присылают такие сведения без запроса, решает, на каком основании их хранить, и удаляет их, если основания нет;
5. не запрашивает в переписке полные номера банковских карт, коды CVV или CVC, пароли и одноразовые коды. Платформа не является платёжной системой. Фильтр скрывает такие сведения только в тексте, который уходит в ИИ. В самой Платформе они хранятся в том виде, в каком пришли;
6. не размещает в Платформе данные, которые не нужны для его целей (часть 3 статьи 78 Цифрового кодекса).

Если Заказчик сообщил о специальных категориях или данных детей, стороны письменно согласуют дополнительные меры защиты. Если Заказчик обрабатывает сведения специальных категорий более чем о 1 000 человек, он до начала обработки проводит оценку воздействия (пункт 2 части 2 статьи 82 Цифрового кодекса).

7. Письменные распоряжения Заказчика

7.1. Что считается письменным распоряжением

Исполнитель обрабатывает Данные Заказчика только на основании письменных распоряжений Заказчика (пункт 4 части 4 статьи 86 Цифрового кодекса). Письменными распоряжениями считаются:

1. Соглашение и эти Условия;
2. настройки Аккаунта и действия Пользователей в Платформе в пределах их прав: подключение и отключение Каналов и Интеграций, включение ИИ-агента и его функций, инструкции ИИ-агенту, настройки «Обработка изображений и голосовых сообщений ИИ» и «Требовать согласие на ИИ», вебхуки и HTTP-инструменты, рассылки, импорт, исправление и удаление данных;
3. запросы к API Платформы с ключом доступа Аккаунта Заказчика;
4. письма Администратора с e-mail, указанного в его учётной записи, на support@kulpunai.com.

Платформа хранит настройки и результаты действий как цифровые записи. Изменения ключевых настроек Платформа фиксирует в журнале (раздел 16). Заказчик отвечает за действия своих Пользователей и за распоряжения, которые они дают.

Действия постороннего лица с учётной записью Пользователя или ключом API Заказчика не считаются распоряжениями Заказчика, если доступ получен из-за нарушения Исполнителем мер разделов 10–12. Такие действия — инцидент по разделу 17.

7.2. Незаконное распоряжение

Если Исполнитель считает, что распоряжение нарушает закон, он без промедления сообщает об этом Заказчику. Исполнитель вправе приостановить исполнение такого распоряжения до разъяснения. Распоряжение, которое явно нарушает закон, Исполнитель не исполняет.

7.3. Обработка по требованию закона

Без распоряжения Заказчика Исполнитель обрабатывает Данные Заказчика, только если этого требует закон (например, законное требование ГАЗПД или судебный акт), а также удаляет запись с информацией, распространение которой запрещено законодательством Кыргызской Республики, в порядке пункта 10.4 Соглашения. Исполнитель раскрывает Данные Заказчика государственным органам только в случаях и в порядке, установленных законом. Исполнитель сообщает Заказчику о таком требовании, если закон не запрещает это сообщать.

8. Обязанности Заказчика

8.1. Основание и цели обработки

Заказчик:

• определяет конкретные цели обработки и для каждой цели имеет основание по статье 79 Цифрового кодекса. Согласие Заказчик запрашивает, только когда другого основания нет (часть 2 статьи 79 Цифрового кодекса);
• для рекламных рассылок получает предварительное согласие получателей, когда его требует закон, в том числе часть 3 статьи 132 Цифрового кодекса, и хранит подтверждения этого согласия;
• обеспечивает основание трансграничной передачи по разделу 14;
• определяет сроки хранения своих данных и удаляет данные, которые больше не нужны для его целей (часть 5 статьи 78 Цифрового кодекса);
• проводит оценку воздействия, если её требует статья 82 Цифрового кодекса, например при автоматических решениях о людях с правовыми последствиями. Исполнитель предоставляет для неё сведения о Платформе (раздел 19).

8.2. Информирование людей

Заказчик:

• до получения данных сообщает Контактам сведения об обработке по статье 73 Цифрового кодекса: кто владелец записей, цели и основания, места обработки, получатели, сроки, права. Удобный способ — собственная политика конфиденциальности Заказчика со ссылкой в виджете, в профиле Канала или на сайте;
• сообщает, что обработку по его поручению ведёт Исполнитель, и что при использовании Функций ИИ и зарубежных Каналов данные передаются в страны, указанные в разделе 14;
• сообщает посетителям своего сайта о cookie виджета чата: cw_conversation хранится 365 дней и связывает посетителя с его диалогом; cw_user_* используется, если сайт Заказчика передаёт в виджет сведения о посетителе. Полный перечень cookie виджета приведён в пункте 15.2 Политики конфиденциальности;
• отвечает на запросы Контактов в сроки закона (пункт 15.4).

8.3. Раскрытие использования ИИ

Заказчик выполняет обязанности при использовании ИИ, установленные пунктом 12.6 Соглашения. В том числе он сообщает Контактам — физическим лицам, что они общаются с ИИ, если это не очевидно из обстановки, и размещает на своём сайте сведения о том, что применяет ИИ (часть 1 статьи 197 Цифрового кодекса). Заказчик проверяет инструкции ИИ-агента и не поручает ему принимать решения о людях с правовыми последствиями без участия человека.

Для этого Заказчик может включить в настройках Канала «Требовать согласие на ИИ». По умолчанию настройка выключена. Если она включена и в Канале работает ИИ-агент, на первое сообщение диалога Платформа отправляет Контакту запрос согласия — текст по умолчанию или текст, который задал Заказчик. Пока Контакт не ответил согласием, Исполнитель не передаёт в ИИ никакие данные этого диалога: ни для ответа ИИ-агента, ни для базы знаний, ни для Функций ИИ, которыми пользуется оператор. Если Контакт отказался или не дал согласие и после повторного запроса, диалог передаётся оператору. В комментариях Instagram запрос не отправляется, потому что он был бы публичным: такие диалоги передаются оператору. Согласие хранится с датой в карточке Контакта и в диалоге как часть Данных Заказчика. Настройка — инструмент Заказчика: он сам решает, нужна ли она, и отвечает за основание обработки (пункт 8.1), основание трансграничной передачи (раздел 14) и текст запроса, который видят Контакты. Как работает настройка, описано в пункте 12.6 Соглашения.

8.4. Настройки и доступ

Заказчик:

• сам назначает Пользователей и их роли, даёт доступ только тем, кому он нужен для работы, и сразу закрывает доступ сотрудникам, которые больше у него не работают;
• следит, чтобы Пользователи не передавали свои учётные данные другим лицам, и рекомендует им включить двухфакторную аутентификацию;
• решает, включать ли настройку «Обработка изображений и голосовых сообщений ИИ». Включая её, Заказчик подтверждает, что у него есть основание передавать такие файлы Поставщику ИИ без фильтра, и отвечает за это основание (пункт 12.4);
• сам выбирает Получателей по выбору Заказчика, проверяет их условия и состав передаваемых им данных;
• хранит в тайне ключи API и токены своих Интеграций.

8.5. Что Заказчик сообщает Исполнителю

• до начала обработки — что в Аккаунте будут специальные категории персональных данных или данные детей (пункт 6.3);
• что для его данных нужен уровень защищённости с мерами сверх пункта 11.1 (пункт 11.3);
• без промедления — об инцидентах на своей стороне (пункт 17.4);
• об изменении e-mail Администраторов. На эти адреса Исполнитель направляет уведомления по этим Условиям.

9. Обязанности Исполнителя

Исполнитель:

1. обрабатывает Данные Заказчика только по распоряжениям Заказчика (раздел 7), в целях раздела 3 и только действиями раздела 4;
2. не использует Данные Заказчика в своих целях (пункт 3.3);
3. соблюдает ограничения доступа к Данным Заказчика и обязывает к этому своих работников и третьих лиц с доступом к своим системам (раздел 10);
4. применяет меры защиты разделов 11 и 12 и пересматривает их при изменении состава данных, условий и способов обработки;
5. привлекает Субобработчиков только в порядке раздела 13;
6. передаёт данные за пределы Кыргызской Республики только в порядке раздела 14;
7. помогает Заказчику отвечать на запросы людей и исполняет распоряжения об исправлении, дополнении, удалении и ограничении обработки (раздел 15);
8. ведёт учёт операций (раздел 16);
9. уведомляет Заказчика об инцидентах (раздел 17);
10. передаёт Заказчику копию данных и удаляет их (раздел 18);
11. предоставляет Заказчику сведения для контроля, для оценки воздействия и для ответов ГАЗПД (раздел 19);
12. сообщает Заказчику, если больше не может выполнять эти Условия.

10. Конфиденциальность и ограничение доступа

Кто из Пользователей видит какие данные, решает Заказчик: он назначает роли и доступ к Каналам и командам.

Сотрудники Исполнителя получают доступ к Данным Заказчика, только если он нужен им для работы: для поддержки, эксплуатации и безопасности Платформы. Доступ даётся на время такой необходимости. Содержимое переписки и карточек Контактов сотрудники Исполнителя открывают только в трёх случаях:

1. по обращению или распоряжению Заказчика, например при запросе в поддержку;
2. для устранения сбоя или инцидента;
3. когда этого требует закон (пункт 7.3).

Исполнитель возлагает на своих работников, допущенных к Данным Заказчика, обязанность сохранять их конфиденциальность и соблюдать правила обработки персональных данных. Эта обязанность действует и после прекращения работы у Исполнителя. Исполнитель обучает таких работников правилам обработки персональных данных (пункт 4 части 2 статьи 88 Цифрового кодекса).

Исполнитель обязуется допускать третьих лиц, которые имеют доступ к его системам (например, провайдера размещения), только на условиях, которые ограничивают их доступ к данным и обязывают сохранять конфиденциальность (пункт 5 части 4 статьи 86 Цифрового кодекса).

Исполнитель не передаёт Данные Заказчика лицам, которые не названы в разделах 13 и 14, кроме случаев пункта 7.3.

Исполнитель охраняет тайну переписки Контактов с Заказчиком, в том числе по статье 130 Цифрового кодекса, если она применяется к Платформе.

11. Меры защиты

Исполнитель защищает Данные Заказчика по статье 88 Цифрового кодекса и Требованиям № 384. Ниже описано, какие меры действуют и какие у них ограничения.

11.1. Меры, которые применяет Исполнитель

• Размещение. Сервер, база данных, файлы и резервные копии Платформы находятся в Кыргызской Республике (г. Бишкек), у провайдера размещения в Кыргызской Республике.
• Шифрование соединений. Все соединения с Платформой защищены протоколом TLS.
• Шифрование секретов. Токены доступа Каналов Instagram, Facebook Messenger и Telegram, пароли почтовых ящиков (IMAP и SMTP), подключённых как Каналы, токены доступа Интеграций Slack, Linear, Notion и Shopify и секреты двухфакторной аутентификации шифруются на уровне приложения.
• Пароли. Пароли Пользователей хранятся только в виде хэша bcrypt.
• Разграничение доступа. В Платформе есть роли администратора и агента, а также настраиваемые роли. Права назначает Заказчик.
• Двухфакторная аутентификация. Каждый Пользователь может её включить.
• Журнал. Платформа фиксирует изменения ключевых настроек Аккаунта (раздел 16).
• Резервные копии. Исполнитель делает копии ежедневно в инфраструктуре в Кыргызской Республике. Копии хранятся 30 дней и затем удаляются автоматически.
• Технические журналы сервера. Хранятся ограниченный срок для безопасности и диагностики, не более 12 месяцев. Содержимое сообщений и тела запросов в них не записываются.
• Защита при работе ИИ. Фильтр чувствительных данных и выключенная по умолчанию передача изображений и голосовых сообщений в ИИ (раздел 12). Это конструктивная защита данных (пункт 1 части 2 статьи 88 Цифрового кодекса). Заказчик может также включить запрос согласия Контакта до работы ИИ-агента — настройку «Требовать согласие на ИИ» (пункт 8.3).
• Ограничение доступа персонала (раздел 10) и реагирование на инциденты (раздел 17).

11.2. Ограничения, о которых нужно знать

• Содержимое переписки, карточки Контактов и вложения в базе данных отдельно не шифруются. Их защищают размещение, ограничение доступа и другие меры пункта 11.1.
• Вложение открывается по длинной подписанной ссылке без входа в Платформу: тот, у кого есть ссылка, может открыть файл.
• Без отдельного шифрования в базе данных хранятся: ключи провайдеров WhatsApp Business API; токены доступа почтовых Каналов, подключённых через вход в Google или Microsoft; токены доступа к API Платформы; настройки Интеграций, в том числе токены Битрикс24, ключи LeadSquared и собственный ключ Заказчика для ИИ-сервиса; параметры авторизации HTTP-инструментов ИИ-агента.
• Платформа не ведёт журнал просмотров данных и не ведёт неизменяемый журнал всех операций с данными.
• Требование подпункта 1 пункта 10 Требований № 384 — указывать лицо, дату и время каждого ввода, изменения и удаления персональных данных — Платформа выполняет не полностью. Автор и время сохраняются у сообщений и заметок, журнал фиксирует изменения ключевых настроек Аккаунта. Кто и когда изменил поля карточки Контакта, удалил Контакт или сообщение, Платформа не фиксирует (раздел 16).
• Двухфакторная аутентификация включается по желанию Пользователя. Исполнитель рекомендует Заказчику требовать её от своих Пользователей.
• Безопасность данных зависит и от Заказчика: от того, кому он даёт доступ, как Пользователи хранят пароли и ключи и как быстро Заказчик закрывает доступ (пункт 8.4).

11.3. Уровень защищённости

Уровень защищённости своих данных Заказчик как владелец записей определяет по Требованиям № 384: по своему перечню угроз и рейтингу каждой угрозы с учётом возможного вреда, объёма, содержания и срока обработки данных (пункты 5–9 Требований № 384).

Меры пункта 11.1 Платформа применяет для всех Заказчиков. Если уровень, который определил Заказчик, требует мер, которых нет в пункте 11.1 (например, фиксации лица, даты и времени каждого изменения и удаления данных Контактов или автоматического журнала всех операций, включая просмотр), Заказчик сообщает об этом Исполнителю до размещения таких данных. Стороны письменно согласуют дополнительные меры. Если согласовать их нельзя, Заказчик не размещает такие данные в Платформе.

12. Защита чувствительных данных при работе ИИ

12.1. Фильтр перед отправкой в ИИ

Перед любой отправкой текста в ИИ — Поставщику ИИ, а также по Интеграции с ИИ-сервисом по собственному ключу Заказчика — автоматический фильтр на сервере Исполнителя заменяет чувствительные сведения пометками вида «[скрыто: ИНН]». Фильтр работает для всех Аккаунтов. Заказчику не нужно его включать. Фильтр — мера конструктивной защиты данных (пункт 1 части 2 статьи 88 Цифрового кодекса) и минимизации данных (часть 3 статьи 78 Цифрового кодекса).

Фильтр скрывает:

• ПИН и ИНН: 14 цифр со структурой «первая цифра, дата в формате ДДММГГГГ, 5 цифр» (физических и юридических лиц), а также номера после слов «ИНН», «ПИН», «ИИН», «INN», «PIN», «TIN» и аналогичных;
• номера паспортов и ID-карт: серии ID, AN, AC и другие с 7 цифрами, номера после слова «паспорт», машиносчитываемые строки документов;
• номера банковских карт из 15–19 цифр с проверкой контрольной суммы: после слов «карта», «card» и аналогичных, а без таких слов — если номер начинается с префикса платёжной системы и записан одним блоком или группами по 4 цифры;
• коды CVV и CVC после слов «CVV», «CVC», «код безопасности» и аналогичных;
• номера банковских счетов после слов «счёт», «р/с», «л/с», «IBAN», «account», «эсеп» и аналогичных, а также номера IBAN по их формату с проверкой контрольных цифр;
• пароли, одноразовые коды и PIN-коды после соответствующих слов, ключи доступа и токены.

12.2. К чему применяется фильтр

Фильтр применяется ко всему тексту, который уходит в ИИ: к сообщениям и истории диалога, полям и заметкам Контакта, атрибутам диалога, инструкциям ИИ-агента, результатам инструментов, текстам документов базы знаний и поисковым запросам.

После фильтра:

• ИИ-агент получает указание не повторять пометку «[скрыто: …]», не просить прислать данные повторно и при необходимости передавать диалог оператору. Это указание модели, а не гарантия (пункт 12.6);
• если ИИ заполняет поля карточки Контакта, Платформа не сохраняет значения, которые содержат пометку «[скрыто: …]»: прежние данные в полях остаются без изменений. В заметках о Контакте, которые составляет ИИ-агент, пометки могут сохраняться;
• ответы базы знаний, построенные на скрытых данных, не сохраняются.

12.3. Ограничения фильтра

• Фильтр не скрывает имена, номера телефонов, e-mail, почтовые адреса и даты рождения. Эти сведения нужны для работы сервиса: для заявок и передачи диалога оператору. Они передаются в ИИ.
• Фильтр не распознаёт данные, записанные словами или в произвольной форме, и сведения специальных категорий в свободном тексте, например о здоровье.
• Номер банковского счёта или код CVV без поясняющего слова фильтр не распознаёт.
• Фильтр работает только с текстом. Изображения, голосовые сообщения и другие файлы он не проверяет (пункт 12.4).
• Фильтр может скрыть похожую последовательность цифр, например номер заказа. Тогда ИИ ответит без этого номера.
• Фильтр меняет только текст, который уходит в ИИ. В Платформе сообщения и карточки хранятся в исходном виде.

Фильтр снижает риск, но не заменяет обязанностей Заказчика по пункту 6.3.

12.4. Изображения и голосовые сообщения

По умолчанию изображения и голосовые сообщения Контактов не передаются в ИИ: ни для ответа ИИ-агента, ни для распознавания речи.

Администратор может включить в настройках «Обработку изображений и голосовых сообщений ИИ». Перед включением Платформа показывает предупреждение. После включения изображения и голосовые сообщения передаются Поставщику ИИ без фильтра, потому что фильтр работает только с текстом. На изображениях могут быть документы, банковские карты и другие чувствительные сведения. Основание такой передачи обеспечивает Заказчик, и он отвечает за него. Если Аккаунт пользовался распознаванием изображений или голосовых сообщений до публикации этой редакции, настройка в нём оставлена включённой, и Исполнитель сообщил об этом Администратору. Заказчик, который её не выключил, отвечает за основание передачи так же, как если бы включил её сам. Выключить настройку можно в любой момент.

12.5. Документы базы знаний

Текст PDF-документов базы знаний извлекается на сервере Исполнителя, проходит фильтр и только после этого передаётся в ИИ. Сам файл Поставщику ИИ не передаётся. PDF без текстового слоя (скан) Платформа не обрабатывает.

12.6. Ответы ИИ и обучение моделей

• Ответы ИИ носят вероятностный характер и могут быть неточными. Ответы ИИ-агента уходят Контактам автоматически, без проверки человеком перед отправкой. Заказчик регулярно просматривает ответы ИИ и отвечает за решения, принятые на их основе (пункт 12.5 Соглашения).
• Функции ИИ не принимают юридически значимых решений о людях, и Заказчик не настраивает их на такие решения без участия человека (пункт 12.5 Соглашения, пункт 8.3). Если Заказчик нарушит это условие, он отвечает за последствия, проводит оценку воздействия, если её требует статья 82 Цифрового кодекса, и обеспечивает право человека возразить (пункт 1 части 1 статьи 84 Цифрового кодекса).
• Исполнитель не обучает модели на Данных Заказчика.
• По заявлению Поставщика ИИ, данные, переданные через API, по умолчанию не используются для обучения его моделей и могут храниться у него до 30 дней для контроля злоупотреблений.

13. Субобработчики и получатели данных

13.1. Разрешение Заказчика

Заказчик принимает Соглашение и эти Условия отметкой при регистрации, при создании дополнительного Аккаунта или при принятии новой редакции. Исполнитель хранит Запись о заключении (пункт 5.7 Соглашения). Принятие в такой форме — письменная форма (часть 2 статьи 395 Гражданского кодекса Кыргызской Республики).

Принимая эти Условия, Заказчик даёт Исполнителю предварительное письменное разрешение привлекать к обработке Данных Заказчика Субобработчиков из пункта 13.2 (часть 3 статьи 86 Цифрового кодекса). Разрешение действует только в пределах функции и состава данных, указанных для каждого Субобработчика. Новые Субобработчики разрешаются в порядке пункта 13.5.

13.2. Перечень Субобработчиков

Тот же перечень приведён в пункте 8.1 Политики конфиденциальности. Исполнитель изменяет оба документа одновременно.

13.3. Получатели по выбору Заказчика

Эти получатели не являются Субобработчиками Исполнителя. Заказчик сам выбирает и подключает их. Платформа передаёт им данные по распоряжению Заказчика — после того как Заказчик подключил Канал или Интеграцию. Отношения Заказчика с ними регулируют условия этих получателей и договоры Заказчика с ними. Заказчик сам проверяет эти условия, обеспечивает основание передачи и сообщает о ней людям.

Тот же перечень приведён в пункте 8.2 Политики конфиденциальности.

13.4. Самостоятельные владельцы записей

ОАО «Бакай Банк» принимает оплату по платёжной ссылке. Google LLC обеспечивает вход через Google, если Пользователь выбрал этот способ. Они обрабатывают данные плательщиков и Пользователей как самостоятельные владельцы записей. К Данным Заказчика они отношения не имеют. Эта обработка описана в пункте 8.3 Политики конфиденциальности.

13.5. Новые Субобработчики

1. Исполнитель уведомляет Администраторов по e-mail и в интерфейсе Платформы не менее чем за один месяц до того, как новый Субобработчик начнёт обрабатывать Данные Заказчика.
2. В уведомлении Исполнитель указывает наименование и страну Субобработчика, его функцию, состав данных и дату начала обработки.
3. Исполнитель вносит Субобработчика в пункт 13.2 новой редакцией этих Условий в порядке пункта 21.2.
4. До даты начала Заказчик вправе возразить письмом с e-mail Администратора на support@kulpunai.com, в том числе если Администратор уже принял новую редакцию в интерфейсе Платформы. Такое возражение не является заявлением о несогласии по подпункту 6 пункта 19.2 Соглашения. Стороны обсуждают альтернативу, например не использовать соответствующую функцию в Аккаунте Заказчика. Если стороны согласовали альтернативу, Исполнитель не передаёт Данные этого Заказчика новому Субобработчику.
5. Если альтернативы нет, Заказчик вправе до даты начала заявить о прекращении договора письмом с e-mail Администратора. Договор прекращается в день получения заявления. Расчёт и возврат денег — по пункту 8.7 Соглашения.
6. Разрешение на нового Субобработчика Заказчик даёт, принимая новую редакцию этих Условий, в которую этот Субобработчик внесён (пункт 19.2 Соглашения). Если Заказчик не принял новую редакцию и не заявил о несогласии, она применяется с даты из уведомления (часть 5 статьи 114 Цифрового кодекса). С этой даты новый Субобработчик внесён в пункт 13.2, и разрешение по пункту 13.1 распространяется на него.
7. Исполнитель не передаёт Данные Заказчика новому Субобработчику до даты начала, указанной в уведомлении.

13.6. Обязанности Исполнителя в отношении Субобработчиков

• Исполнитель передаёт каждому Субобработчику только данные, нужные для его функции.
• Исполнитель отвечает перед Заказчиком за действия Субобработчиков как за свои собственные (часть 2 статьи 38 Цифрового кодекса).
• Субобработчики оказывают услуги на своих условиях обслуживания. По запросу Заказчика Исполнитель сообщает, где опубликованы эти условия, или их основные положения о защите данных.
• Если Исполнитель узнал, что Субобработчик нарушает требования к защите данных и это угрожает правам людей, Исполнитель принимает меры и сообщает Заказчику.

14. Трансграничная передача

14.1. Где обрабатываются данные

Платформа хранит и обрабатывает Данные Заказчика в Кыргызской Республике. За пределы Кыргызской Республики данные передаются только:

• Субобработчикам из пункта 13.2: Поставщик ИИ (США), Zoho (США), Gupshup (США, Индия) — в пределах их функций;
• Получателям по выбору Заказчика (пункт 13.3).

Стороны применяют правила статьи 89 Цифрового кодекса и к передаче данных зарубежным Субобработчикам.

14.2. Перечень государств с адекватной защитой

До передачи владелец записей проверяет, включено ли государство в перечень государств, обеспечивающих адекватную защиту (части 1 и 3 статьи 89 Цифрового кодекса). Перечень публикует ГАЗПД на https://dpa.gov.kg.

На дату этой редакции стороны исходят из того, что государства из пунктов 13.2 и 13.3 в такой перечень не включены. Поэтому для передачи нужно одно из оснований части 4 статьи 89 Цифрового кодекса.

ГАЗПД пока не определило условия договора, которые обеспечивают адекватную защиту (пункт 6 части 4 статьи 89 Цифрового кодекса). Поэтому стороны не считают эти Условия самостоятельным основанием трансграничной передачи. Если ГАЗПД опубликует перечень или такие условия, Исполнитель сообщит Заказчику и при необходимости изменит эти Условия.

14.3. Кто обеспечивает основание передачи

14.4. Право страны получателя

После трансграничной передачи данные обрабатываются по законодательству страны, в которую они переданы (часть 5 статьи 89 Цифрового кодекса). Заказчик сообщает об этом Контактам вместе со сведениями о странах передачи (пункт 8.2).

15. Запросы людей, исправление, дополнение, удаление и ограничение обработки

Этот раздел устанавливает порядок взаимодействия сторон по пункту 6 части 4 статьи 86 Цифрового кодекса. Решения по запросам Контактов принимает Заказчик как владелец записей.

15.1. Запросы, поступившие Исполнителю

Если Контакт обратился к Исполнителю по поводу Данных Заказчика, Исполнитель:

1. пересылает запрос Администраторам Заказчика по e-mail не позднее 2 рабочих дней со дня получения;
2. сообщает Контакту, что запрос передан владельцу записей;
3. не отвечает Контакту по существу, если Заказчик не дал такого распоряжения или если закон не требует ответа от Исполнителя.

15.2. Что Заказчик делает сам

Заказчик средствами Платформы просматривает, исправляет, дополняет и удаляет данные Контактов. Он может удалить Контакта вместе с его диалогами и получить данные через API Платформы. Эти действия выполняются сразу и не требуют обращения к Исполнителю.

15.3. Распоряжения Исполнителю

Если нужного действия нет в интерфейсе (например, ограничить обработку данных человека, подготовить копию всех его данных, удалить отдельные сообщения или файлы), Администратор направляет распоряжение на support@kulpunai.com. Исполнитель:

• исполняет распоряжение об удалении, прекращении или ограничении обработки не позднее рабочего дня, следующего за днём получения;
• исполняет другие распоряжения не позднее 2 рабочих дней со дня получения;
• подтверждает исполнение письмом Администратору;
• если действие нельзя выполнить средствами Платформы, в те же сроки сообщает об этом и предлагает другой способ, например удаление Контакта.

Сроки этого пункта рассчитаны так, чтобы Заказчик успевал выполнить сроки закона из пункта 15.4. Если закон требует действовать немедленно, Заказчик сначала использует возможности пункта 15.2.

15.4. Сроки закона, которые соблюдает Заказчик

16. Учёт операций

Исполнитель ведёт учёт операций с Данными Заказчика, который позволяет подтвердить исполнение обязанностей (пункт 7 части 4 статьи 86 Цифрового кодекса, пункт 2 части 2 статьи 88 Цифрового кодекса):

• сообщения и заметки хранятся с указанием автора (Пользователь, Контакт, ИИ-агент или автоматизация) и времени;
• журнал изменений ключевых настроек Аккаунта фиксирует, кто и когда изменил настройку;
• Записи о заключении фиксируют, кто, когда, каким способом и какую редакцию Соглашения и этих Условий принял (пункт 5.7 Соглашения);
• Исполнитель хранит распоряжения и запросы Заказчика, поступившие на support@kulpunai.com, и сведения об их исполнении весь срок действия Соглашения и 3 года после его прекращения;
• Исполнитель фиксирует время обнаружения инцидентов и время уведомления о них (раздел 17);
• технические журналы сервера Исполнитель ведёт как собственные записи (пункт 3.3) и хранит не более 12 месяцев.

Журнал не фиксирует просмотр данных и не фиксирует каждое изменение карточки Контакта. По запросу Заказчика Исполнитель предоставляет выписку из учёта в сроки раздела 19. Когда ГАЗПД опубликует рекомендации по учёту операций, Исполнитель сверит с ними порядок учёта.

17. Инциденты

17.1. Уведомление Заказчика

Инцидент — событие, из-за которого данные стали неполными, недостоверными, неактуальными или недоступными либо нарушилась работа Платформы (пункт 23 статьи 1 Цифрового кодекса). К инцидентам относятся и несанкционированный доступ к данным, их утечка, утрата или повреждение.

Исполнитель уведомляет Заказчика об инциденте, который затрагивает Данные Заказчика, без неоправданной задержки и не позднее 48 часов после его обнаружения (часть 6 статьи 63 Цифрового кодекса). Уведомление Исполнитель направляет на e-mail Администраторов. Исполнитель не ждёт окончания расследования: он сообщает то, что уже известно, и дополняет уведомление по мере появления новых сведений.

17.2. Содержание уведомления

Уведомление содержит сведения, которые требует часть 7 статьи 63 Цифрового кодекса:

1. описание инцидента и оценку числа людей, на права и законные интересы которых он влияет, а также затронутые категории данных;
2. контакт для получения сведений об инциденте: support@kulpunai.com;
3. описание последствий инцидента;
4. описание принятых мер по устранению инцидента, в том числе мер по уменьшению его возможных негативных последствий.

Исполнитель также сообщает, что рекомендует сделать Заказчику. Новые сведения Исполнитель передаёт по мере их появления, чтобы Заказчик мог обновлять своё уведомление регулятору (часть 8 статьи 63 Цифрового кодекса).

17.3. Уведомление регулятора и людей

Заказчик как владелец записей уведомляет ГАЗПД об инциденте, который влияет на цифровую устойчивость или на права и законные интересы людей, не позднее 72 часов после обнаружения. Если уведомление сделано позже, Заказчик объясняет причины задержки (часть 5 статьи 63 Цифрового кодекса). Исполнитель предоставляет Заказчику сведения, нужные для этого уведомления.

Если у Исполнителя есть собственная обязанность уведомить ГАЗПД — как у поставщика цифрового сервиса или как у владельца собственных данных, — Исполнитель исполняет её сам и сообщает об этом Заказчику.

Сообщать ли об инциденте затронутым Контактам и как это сделать, решает Заказчик. Исполнитель помогает ему подготовить сообщение.

17.4. Инциденты на стороне Заказчика

Если учётная запись Пользователя, ключ API или токен Интеграции Заказчика стали известны посторонним, или данные отправлены не тому получателю, Заказчик без промедления сообщает об этом на support@kulpunai.com. Исполнитель помогает закрыть доступ и выяснить последствия.

18. Возврат и удаление данных

18.1. Копия данных

Заказчик может получать свои данные в любое время средствами Платформы и через API. Полную копию данных Аккаунта в машиночитаемом формате Исполнитель бесплатно готовит по запросу Администратора в порядке и сроки пункта 14.4 Соглашения, в том числе после прекращения Соглашения. Эту копию Заказчик может перенести в другой сервис (пункт 3 части 1 статьи 118 Цифрового кодекса, пункт 5 части 1 статьи 117 Цифрового кодекса).

18.2. Удаление Аккаунта Заказчиком

Администратор может удалить Аккаунт в Платформе. Порядок и сроки удаления, обезличивание учётных записей Пользователей и удаление данных из резервных копий установлены пунктом 20.3 Соглашения. Удаление необратимо.

18.3. Прекращение договора без решения Заказчика о данных

Если Соглашение прекращено, а Заказчик не удалил Аккаунт, Исполнитель действует по пунктам 20.1 и 20.2 Соглашения (статья 118 Цифрового кодекса): сообщает Заказчику, какие данные хранятся, предлагает получить копию, перенести или удалить их, а без решения Заказчика удаляет их по окончании календарного года, следующего за годом прекращения Соглашения (часть 2 статьи 118 Цифрового кодекса). До решения Заказчика Исполнитель только хранит Данные Заказчика без изменений, передаёт их копию по запросу и не обрабатывает их иначе. Удаление по распоряжению Заказчика Исполнитель подтверждает письмом Администратору.

18.4. Резервные копии

Данные, удалённые из Платформы, остаются в резервных копиях до 30 дней и затем исчезают при автоматическом удалении копий. Исполнитель использует резервные копии только для восстановления после сбоев и инцидентов. Если Исполнитель восстанавливает данные Аккаунта из копии, он сообщает Заказчику, что восстановленные данные могут включать записи, удалённые после даты копии. По распоряжению Заказчика Исполнитель удаляет их повторно.

18.5. Что продолжает храниться

Записи, которые Исполнитель продолжает хранить после удаления Аккаунта или прекращения Соглашения, и сроки их хранения перечислены в пункте 20.4 Соглашения (часть 3 статьи 118 Цифрового кодекса). Записи о заключении, записи об исполнении договора, платёжные документы, журнал изменений ключевых настроек, распоряжения Заказчика, обращения в поддержку и технические журналы — собственные данные Исполнителя. Он хранит их только для указанных там целей (пункт 10.2 Политики конфиденциальности). Резервные копии содержат и Данные Заказчика, в том числе переписку и карточки Контактов; они удаляются в порядке пункта 18.4. Кроме резервных копий, переписку и карточки Контактов после удаления Аккаунта Исполнитель не хранит.

18.6. Данные у получателей и Субобработчиков

Удаление в Платформе не удаляет данные у Получателей по выбору Заказчика: в Meta, Telegram, CRM Заказчика, у адресатов вебхуков и в аккаунте Заказчика в ИИ-сервисе, подключённом по его собственному ключу. Заказчик сам обращается к ним, если нужно удалить данные там. Субобработчики хранят полученные данные в сроки, установленные их условиями. Поставщик ИИ, по его заявлению, хранит данные до 30 дней (пункт 12.6). При удалении Аккаунта Исполнитель не направляет Субобработчикам отдельных указаний об удалении. По запросу Заказчика Исполнитель направляет Субобработчику запрос об удалении Данных Заказчика, если условия Субобработчика это позволяют, и сообщает Заказчику ответ.

19. Контроль и проверки

Заказчик обязан обеспечить соблюдение Исполнителем требований Цифрового кодекса (часть 2 статьи 86 Цифрового кодекса). Для этого Исполнитель по письменному запросу Заказчика не позднее 10 рабочих дней предоставляет:

• описание мер защиты и порядка обработки;
• актуальный перечень Субобработчиков и сведения о передаваемых им данных;
• выписки из учёта операций (раздел 16);
• ответы на вопросы Заказчика о выполнении этих Условий;
• сведения о Платформе для оценки воздействия и для ответов ГАЗПД.

Проверку выполнения этих Условий Заказчик проводит по письменному мотивированному запросу не чаще одного раза в 12 месяцев. Дополнительно проверка возможна после инцидента с Данными Заказчика, по требованию ГАЗПД или после существенного изменения обработки. Проверка проводится по документам и ответам Исполнителя. Если этого недостаточно, стороны согласуют дату, порядок и объём проверки на месте. Расходы на проверку несёт Заказчик. Проверка не должна давать доступ к данным других клиентов Исполнителя и не должна угрожать безопасности Платформы.

Исполнитель содействует ГАЗПД при проверках и исполняет его законные требования, в том числе о приостановлении обработки (пункт 5 части 7 статьи 90 Цифрового кодекса). Исполнитель сообщает Заказчику о таких требованиях, если они касаются Данных Заказчика.

20. Ответственность

• Заказчик отвечает перед людьми, чьи данные обрабатываются, и перед ГАЗПД за законность обработки как владелец записей. За действия Исполнителя в рамках поручения Заказчик отвечает как за свои собственные (часть 2 статьи 38 Цифрового кодекса).
• Исполнитель отвечает перед Заказчиком за нарушение этих Условий и требований Цифрового кодекса к обработчику, в том числе за действия Субобработчиков (пункт 13.6).
• Исполнитель не отвечает за последствия распоряжений и настроек Заказчика, если исполнил их правильно и они не являются действиями посторонних лиц по пункту 7.1; за отсутствие у Заказчика основания обработки; за данные, которые Заказчик разместил вопреки пункту 6.3; за действия Получателей по выбору Заказчика.
• Если Исполнитель понёс реальный ущерб из-за того, что Заказчик нарушил эти Условия или закон, Заказчик его возмещает. Сюда входят суммы, взысканные с Исполнителя в пользу третьих лиц по вступившему в силу решению суда, и суммы, выплаченные по урегулированию, которое Заказчик письменно согласовал. Исполнитель без промедления сообщает Заказчику о предъявленном требовании и даёт ему возможность участвовать в защите. Штрафы, наложенные на Исполнителя за его собственные нарушения, Заказчик не возмещает.
• Предел возмещения из пункта 17.2 Соглашения применяется и к этим Условиям. Он не ограничивает возмещение вреда, который закон требует возместить в полном объёме, в том числе по части 5 статьи 120 Цифрового кодекса, и не применяется к умышленному нарушению (часть 4 статьи 356 Гражданского кодекса Кыргызской Республики).
• За нарушения законодательства о персональных данных каждая сторона несёт ответственность, установленную законом.

21. Приоритет, изменения и языки

21.1. Приоритет

В вопросах обработки Данных Заказчика эти Условия имеют приоритет над Соглашением. В остальном применяется Соглашение. Политика конфиденциальности описывает собственную обработку Исполнителя и не меняет этих Условий.

21.2. Изменение Условий

Исполнитель изменяет эти Условия, в том числе перечень Субобработчиков, в порядке пункта 19.2 Соглашения (часть 5 статьи 114 Цифрового кодекса). Этот пункт устанавливает срок уведомления, его содержание, момент применения новой редакции и право Заказчика до этого момента прекратить договор с возвратом денег по пункту 8.7 Соглашения.

Дополнительно для этих Условий:

1. новый Субобработчик в любом случае начинает обработку не ранее даты из уведомления (пункт 13.5);
2. если договор прекращается из-за несогласия с изменениями, с Данными Заказчика Исполнитель поступает по разделу 18.

Текст редакции, которую принял Заказчик, сохраняется в Записи о заключении (пункт 5.7 Соглашения).

21.3. Типовая форма регулятора

ГАЗПД разрабатывает и публикует типовые (рекомендуемые) формы договора обработчика (часть 5 статьи 86 Цифрового кодекса). Исполнитель сверяет эти Условия с опубликованной формой и при необходимости изменяет их в порядке пункта 21.2.

21.4. Языки

Эти Условия опубликованы на государственном (кыргызском) и официальном (русском) языках: /ky/data-processing и /data-processing. Порядок применения текстов на двух языках, в том числе при их расхождении, установлен в разделе 24 Соглашения.

22. Контакты

• Исполнитель: Общество с ограниченной ответственностью «Студия МегаАпп» (ОсОО «Студия МегаАпп»). Реквизиты Исполнителя приведены в разделе 26 Соглашения.
• Распоряжения, запросы, уведомления, вопросы о персональных данных, сообщения об инцидентах: support@kulpunai.com.
• Регулятор в сфере персональных данных: ГАЗПД, https://dpa.gov.kg.

Связанные документы: Пользовательское соглашение, Политика конфиденциальности. Тексты на государственном языке: Пользовательское соглашение, Политика конфиденциальности, Условия обработки персональных данных.