Соглашение об обработке данных

Дата вступления в силу: 30.05.2026 Последнее обновление: 30.05.2026

Настоящее Соглашение об обработке данных («DPA») является частью соглашения между Kairo («Обработчик») и клиентом, указанным в заказе или при регистрации («Контролёр»), о предоставлении платформы Kairo AI CFO («Сервис»).

Настоящее DPA отражает обязательства сторон в соответствии с Общим регламентом ЕС по защите данных (Регламент (ЕС) 2016/679, «GDPR») и аналогичными законами. Если клиент не подпадает под GDPR, но действует в сопоставимом режиме (UK GDPR, швейцарский FADP, законы СНГ о защите данных), применяются эквивалентные положения.

1. Предмет

Обработчик обрабатывает Персональные данные от имени Контролёра исключительно с целью предоставления Сервиса в соответствии с конфигурацией Контролёра и описанием в Политике конфиденциальности.

2. Определения

• Персональные данные — любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу, обрабатываемая в рамках этого DPA.
• Обработка — любая операция с Персональными данными (сбор, хранение, передача, доступ, удаление и т.д.).
• Субъект данных — физическое лицо, чьи Персональные данные обрабатываются (например, сотрудники Контролёра, использующие Сервис; контрагенты Контролёра, указанные в подключённых данных ERP).
• Sub-Processor — третья сторона, привлечённая Обработчиком для обработки Персональных данных.
• Стандартные договорные условия (SCC) — имплементационное решение Комиссии ЕС (ЕС) 2021/914.

3. Срок действия

Настоящее DPA действует в течение срока основного соглашения плюс срок хранения после прекращения, определённый в Политике конфиденциальности.

4. Категории данных

4.1 Категории Субъектов данных

• Сотрудники и пользователи Контролёра с аккаунтами Сервиса
• Контрагенты (клиенты, поставщики, партнёры), указанные в подключённой учётной системе Контролёра
• Любые иные физические лица, указанные в проводках, счетах или документах, которые Контролёр импортирует в Сервис

4.2 Категории Персональных данных

• Идентификационные данные: имя, email, учётные данные для входа (хешированные), IP-адрес
• Контактные данные бизнеса в виде, хранящемся в ERP Контролёра
• Транзакционный контекст: суммы, относящиеся к указанным сторонам, ссылки на документы, даты
• Логи диалогов: текст сообщений, отправляемых пользователями Контролёра в AI

Обработка специальных категорий данных (Ст. 9 GDPR) не предполагается. Контролёр обязуется не загружать данные, относящиеся к здоровью, биометрии, религии, политическим взглядам, сексуальной ориентации или криминальной истории, без отдельного письменного приложения.

5. Характер и цель обработки

Обработчик обрабатывает Персональные данные для:

1. Аутентификации, авторизации и управления аккаунтами
2. Чтения подключённых финансовых данных Контролёра для AI-анализа и отчётности
3. Генерации аналитики, отчётов и диалоговых ответов
4. Ведения audit-trail для комплаенса и доверия
5. Поддержки и обработки запросов субъектов данных
6. Выявления и предотвращения злоупотреблений и инцидентов безопасности

Никакая иная обработка не производится.

6. Обязательства Обработчика

Обработчик обязуется:

1. Обработка по документированным инструкциям — обрабатывать Персональные данные только по документированным инструкциям Контролёра, включая передачу в третьи страны, если иное не требуется правом ЕС или государства-члена.
2. Конфиденциальность — обеспечить, что лица, уполномоченные обрабатывать Персональные данные, приняли обязательство о конфиденциальности.
3. Безопасность — внедрить соответствующие технические и организационные меры (Ст. 32 GDPR; детально в Приложении A).
4. Sub-Processors — привлекать Sub-Processors только в соответствии с Разделом 7 и налагать на них эквивалентные обязательства по защите данных письменным договором.
5. Запросы субъектов данных — содействовать Контролёру в ответах на запросы субъектов данных (доступ, исправление, удаление, переносимость, ограничение, возражение).
6. Содействие в комплаенсе — содействовать Контролёру в выполнении обязательств по Ст. 32–36 GDPR (безопасность, уведомление о нарушении, DPIA, предварительные консультации).
7. Возврат или удаление — после прекращения вернуть или удалить все Персональные данные по инструкции Контролёра (с учётом юридических обязательств по хранению).
8. Аудиты — предоставлять информацию, необходимую для демонстрации соответствия DPA, и допускать разумные аудиты (Раздел 9).

7. Sub-Processors

7.1 Утверждённые Sub-Processors

Контролёр уполномочивает следующих Sub-Processors:

7.2 Изменения

Обработчик уведомит Контролёра о любом предполагаемом новом Sub-Processor минимум за 30 дней через email и in-product баннер. Если Контролёр возражает по обоснованным причинам защиты данных в течение 30 дней, стороны добросовестно работают над разрешением; если не разрешено, Контролёр может прекратить затронутую часть Сервиса с пропорциональным возвратом предоплаченных средств.

7.3 Международные передачи

Передачи за пределы ЕЭП (в частности, Anthropic в США) покрыты:

• Стандартными договорными условиями (Модуль 2: Контролёр-Обработчик)
• Enterprise-условиями Anthropic, включающими эквивалентные меры
• Дополнительными мерами: TLS 1.3 в транзите; минимизация данных, отправляемых AI-провайдеру (метаданные схемы, не сырые строки, если пользователь явно не запросил)

8. Меры безопасности (Приложение A)

Обработчик внедряет как минимум следующее:

8.1 Шифрование

• TLS 1.3 для всех данных в транзите
• AES-256-GCM для учётных данных ERP в покое
• Argon2id для хеширования паролей

8.2 Контроль доступа

• Ролевой доступ внутри тенанта Контролёра
• Row-Level Security (RLS) в PostgreSQL, обеспечивающий кросс-тенантную изоляцию на уровне БД
• Отдельные ключи на тенант для шифрования учётных данных ERP
• Доступ персонала Обработчика к продакшену ограничен, логируется и проходит двухпользовательскую проверку для чтения продакшен-данных

8.3 Отказоустойчивость

• Ежедневные зашифрованные off-site бэкапы (Backblaze, регион ЕС по умолчанию) с хранением 30 дней ежедневно + 12 месяцев ежемесячно
• Документированная процедура восстановления, тестируемая минимум ежеквартально
• Развёртывание в одном регионе (Германия); региональный failover доступен на enterprise-тарифах

8.4 Мониторинг

• Application-уровень audit-логов хранится 7 лет
• Access-логи хранятся 90 дней
• Anomaly detection (внезапные всплески кросс-тенантных запросов, серии неудачных аутентификаций)
• Мониторинг ошибок с очищенными payload (Sentry)

8.5 Процессы

• Сканирование уязвимостей зависимостей
• Каденс патч-менеджмента: критические CVE в течение 7 дней; high — в течение 30 дней
• Ежегодный пересмотр прав доступа
• Чек-лист onboarding/offboarding для персонала с доступом

9. Право аудита

Контролёр может, не более раза в год (или чаще после задокументированного инцидента, затрагивающего данные Контролёра), провести аудит соответствия Обработчика DPA:

1. По письменному запросу информации — Обработчик отвечает в течение 14 дней.
2. Аудитом on-site в офисе Обработчика с письменным уведомлением за 30 дней, за счёт Контролёра, проводимым так, чтобы не нарушать работу Сервиса или конфиденциальность других клиентов.

Обработчик может удовлетворить требования аудита, предоставив свежие отчёты третьих сторон (SOC 2, ISO 27001 или эквивалентные), если таковые имеются.

10. Запросы субъектов данных

Если Субъект данных обращается непосредственно к Обработчику, Обработчик перенаправит запрос Контролёру без необоснованной задержки (в течение 5 рабочих дней) и не будет отвечать по существу, кроме как подтвердить получение и направить Субъекта к Контролёру.

Обработчик содействует Контролёру в выполнении его обязанности отвечать на запросы Субъектов данных, в том числе путём предоставления технических средств в рамках Сервиса для self-service доступа, экспорта и удаления.

11. Нарушение безопасности персональных данных

После обнаружения нарушения безопасности персональных данных, затрагивающего данные Контролёра, Обработчик уведомит Контролёра без необоснованной задержки — в любом случае в течение 48 часов с момента осознания — включая:

• Характер нарушения (категории и приблизительное число Субъектов данных и затронутых записей)
• Возможные последствия
• Принятые или предложенные меры по устранению
• Контактное лицо для дальнейшей информации

Обработчик будет предоставлять дальнейшие обновления по мере расследования, достаточные для того, чтобы Контролёр выполнил собственные обязательства по уведомлению по Ст. 33–34 GDPR.

12. Ответственность

Ответственность за нарушение настоящего DPA регулируется положением об ответственности в основных Условиях использования. Ничто в основном соглашении не ограничивает прямую ответственность любой из сторон перед Субъектами данных по Ст. 82 GDPR.

13. Срок и прекращение

Настоящее DPA прекращается автоматически по прекращении основного соглашения. После прекращения Обработчик удалит или вернёт Персональные данные согласно графику хранения Политики конфиденциальности (Раздел 6 Политики).

14. Применимое право

Настоящее DPA регулируется законодательством Германии. Для Контролёров, учреждённых в ЕЭП, DPA толкуется в соответствии с GDPR; конфликты разрешаются в пользу GDPR.

15. Полнота соглашения

Настоящее DPA вместе с Условиями использования и Политикой конфиденциальности составляет полное соглашение сторон по вопросам обработки Персональных данных.

Приложение A — Технические и организационные меры (TOMs)

См. Раздел 8 выше. Настоящее Приложение включено по ссылке и составляет действующую часть DPA.

Приложение B — Список Sub-Processors

Текущий список Sub-Processors поддерживается в Разделе 7.1 настоящего DPA и доступен также на kairoapp.net/legal/subprocessors.

Чтобы запросить контр-подписанную копию DPA, напишите на enterprise@kairoapp.net, указав название юр. лица, юр. адрес и email, использованный для аккаунта Kairo. Мы контр-подпишем и вернём в течение 5 рабочих дней.