Соглашение об обработке данных (DPA)

Настоящее Соглашение об обработке данных («DPA») является частью Договора об оказании услуг между AIroomier и объектом, который пользуется сервисом («Клиент»). Оно применяется всякий раз, когда AIroomier обрабатывает персональные данные по поручению Клиента, прежде всего данные его гостей. Соглашение соответствует требованиям статьи 28 Общего регламента ЕС по защите данных (GDPR) и турецкого закона № 6698 о защите персональных данных (KVKK). Открывая аккаунт и принимая Договор об оказании услуг, Клиент принимает и это DPA. Отдельная подпись не требуется.

Стороны и роли#

Оператор (controller): Клиент. Он определяет, для чего обрабатываются данные гостей, и отвечает перед своими гостями.
Обработчик (processor): Гюрер Ылгар (Gürer Ilgar), действующий под наименованием AIroomier, Liman Mah. 18. Sok. No: 23, 07070 Анталья, Турция, support@airoomier.com (полные сведения — на странице Правовая информация).
Когда AIroomier обрабатывает данные в собственных целях (например, аккаунт Клиента, расчёты и маркетинговый сайт), оператором является AIroomier; в этом случае вместо DPA действует Политика конфиденциальности.

Предмет, характер и цель#

AIroomier предоставляет ИИ-администратора Миру и панель управления. Для этого AIroomier получает сообщения гостей, формирует ответы с помощью больших языковых моделей, показывает наличие мест и цены, фиксирует заявки на бронирование и услуги, отправляет уведомления по e-mail и хранит историю переписки в панели. С Переводчиком для персонала (Pro) AIroomier также преобразует разговоры между сотрудниками Клиента и гостями из речи в текст, переводит их и предлагает ответы. AIroomier обрабатывает данные только для оказания этого сервиса.

DPA действует в течение срока Договора об оказании услуг, а после его окончания — до удаления или возврата данных.

Виды данных и субъекты данных#

Субъекты данных: гости и потенциальные гости Клиента, которые пользуются чатом или отправляют заявку; сотрудники Клиента, работающие в панели.

Виды данных: сообщения чата и ответы ИИ; имя, адрес e-mail и номер телефона; даты проживания, количество гостей, пожелания по номеру или месту и другие сведения о бронировании или заявке; язык и время переписки; технические данные, например IP-адрес и сведения о браузере; при использовании Переводчика для персонала — устный разговор, его расшифровка и перевод; имя, e-mail и роль пользователей панели.

Особые категории персональных данных (например, данные о здоровье) для сервиса не нужны. Клиент просит гостей не сообщать их в чате (окно чата показывает такое предупреждение). Если гость всё же их сообщает, AIroomier обращается с ними так же, как со всеми остальными данными чата.

Указания Клиента#

AIroomier обрабатывает данные только по документированным указаниям Клиента. Такими указаниями являются Договор об оказании услуг, это DPA и настройки, которые Клиент выбирает в панели.
AIroomier без промедления сообщает Клиенту, если считает, что указание нарушает законодательство о защите данных.
Если закон обязывает AIroomier обрабатывать данные иначе, AIroomier заранее сообщает об этом Клиенту, если закон этого не запрещает.
Клиент отвечает за наличие правового основания обработки и за информирование своих гостей, например в собственной политике конфиденциальности.

Конфиденциальность#

Все лица в AIroomier, имеющие доступ к данным Клиента, обязаны соблюдать конфиденциальность и могут обрабатывать данные только по указаниям Клиента.

Технические и организационные меры#

AIroomier применяет следующие меры (Приложение II к Стандартным договорным условиям):

Хостинг в ЕС: приложение, база данных и загруженные файлы находятся на сервере Contabo GmbH в дата-центре в Лотербуре, Франция.
Шифрование при передаче: все соединения с панелью, окном чата и API защищены HTTPS (TLS).
Контроль доступа: каждый объект является отдельным арендатором (tenant) и не видит данные других объектов. Роли в панели (владелец, администратор, менеджер, сотрудник) ограничивают доступ; пользователи с ролью «сотрудник» видят только заявки гостей.
Пароли хранятся только в виде необратимого хеша. Административный доступ к серверам есть только у уполномоченного персонала AIroomier.
Поставщики ИИ и обучение: у поставщиков языковых моделей для Миры включено нулевое хранение данных (zero data retention), то есть они не сохраняют запросы и ответы; поставщики, обучающие модели на данных запросов, исключены. Для Переводчика для персонала Deepgram (распознавание речи) отключён от обучения моделей и хранит аудио только столько, сколько нужно для обработки, а Anthropic (перевод) не использует данные для обучения и удаляет их не позднее чем через 30 дней; Google Cloud Text-to-Speech (озвучивание переводов) получает только текст, без аудио. AIroomier не хранит аудиозаписи.
Минимизация и сроки хранения: переписка хранится не более 12 месяцев. После закрытия аккаунта его данные удаляются в течение 30 дней, из резервных копий — не позднее чем через 90 дней.
Доступность: регулярное резервное копирование и мониторинг сервиса.

AIroomier может обновлять эти меры с развитием технологий при условии, что уровень защиты не снижается.

Субобработчики#

Клиент даёт AIroomier общее разрешение на привлечение субобработчиков. Актуальный список с целью, местом обработки и основанием передачи для каждого поставщика размещён на странице Субобработчики.
AIroomier сообщает о новом или заменённом субобработчике не менее чем за 30 дней по e-mail владельцу аккаунта и на странице «Субобработчики». В этот срок Клиент может возразить по обоснованным причинам, связанным с защитой данных. Если стороны не придут к согласию, Клиент вправе расторгнуть договор в части соответствующей услуги.
AIroomier возлагает на каждого субобработчика обязанности по защите данных, не менее строгие, чем в этом DPA, и отвечает за своих субобработчиков.

Международная передача данных#

AIroomier находится в Турции. Европейская комиссия не принимала решения об адекватности уровня защиты для Турции. Если на Клиента распространяется GDPR, персональные данные передаются AIroomier на основании Стандартных договорных условий ЕС (Имплементационное решение Комиссии (ЕС) 2021/914), Модуль 2 (от оператора к обработчику). Условия включены в это DPA посредством ссылки; Клиент является экспортёром данных, AIroomier — импортёром данных.
Применяются следующие варианты: пункт 7 (присоединение) применяется; пункт 9, вариант 2 (общее разрешение, уведомление за 30 дней); необязательная формулировка пункта 11 не применяется; согласно пункту 13 компетентным является надзорный орган государства — члена ЕС, где учреждён Клиент или его представитель в ЕС; пункты 17 и 18: право и суды Ирландии.
Приложение I к условиям заполняется этим DPA: стороны указаны в разделе «Стороны и роли», обработка описана в разделах «Предмет, характер и цель» и «Виды данных и субъекты данных», передача осуществляется непрерывно в течение срока договора. Приложение II — раздел «Технические и организационные меры». Приложение III — страница «Субобработчики».
Для передач, на которые распространяется право Швейцарии, ссылки на GDPR понимаются как ссылки на Федеральный закон Швейцарии о защите данных, компетентный орган — FDPIC. Для передач из Великобритании применяется UK Addendum к Стандартным договорным условиям ЕС.
Некоторые субобработчики обрабатывают данные за пределами ЕС, в основном в США. AIroomier использует таких поставщиков только при наличии надлежащих гарантий по статье 46 GDPR (стандартные договорные условия в условиях обработки данных поставщика и, если поставщик сертифицирован, EU–US Data Privacy Framework). Если передача подпадает под KVKK, AIroomier использует стандартные договоры, требуемые статьёй 9 KVKK.
При противоречии между Стандартными договорными условиями и этим DPA преимущество имеют условия.

Помощь Клиенту#

AIroomier в разумных пределах помогает Клиенту отвечать на запросы гостей об осуществлении их прав (доступ, исправление, удаление, ограничение, возражение и переносимость данных). Большую часть этого можно сделать прямо в панели. Если гость пишет в AIroomier, AIroomier передаёт запрос Клиенту и не отвечает на него самостоятельно.
AIroomier также помогает в вопросах безопасности, уведомлений об утечках, оценки воздействия на защиту данных и консультаций с надзорным органом (статьи 32–36 GDPR) с учётом имеющейся у него информации.

Нарушения безопасности персональных данных#

AIroomier уведомляет Клиента без неоправданной задержки, но не позднее чем через 48 часов после того, как ему стало известно о нарушении безопасности, затрагивающем данные Клиента. Уведомление описывает, насколько это известно, что произошло, какие данные и примерно сколько людей затронуты, вероятные последствия и принятые меры. AIroomier дополняет сведения по мере их появления и принимает разумные меры для ограничения последствий.

Проверки и информация#

AIroomier предоставляет информацию, необходимую для подтверждения соблюдения этого DPA, прежде всего этот документ, страницу «Субобработчики» и письменные ответы на разумные вопросы. Если этого недостаточно, Клиент может провести проверку сам или через независимого аудитора, связанного обязательством конфиденциальности, с уведомлением не менее чем за 30 дней, в рабочее время и не чаще одного раза в год, если иное не требует надзорный орган или не произошло нарушение. Каждая сторона несёт свои расходы.

Удаление и возврат данных#

По окончании договора Клиент может выгрузить свои данные в панели. Затем AIroomier удаляет персональные данные Клиента в течение 30 дней, а из резервных копий — не позднее чем через 90 дней, если закон не требует хранить их дольше. По запросу AIroomier письменно подтверждает удаление.

Ответственность и приоритет документов#

Применяются положения об ответственности Договора об оказании услуг, кроме случаев, когда GDPR или Стандартные договорные условия не допускают ограничения. При противоречии между этим DPA и Договором об оказании услуг в вопросах защиты данных преимущество имеет это DPA. AIroomier может обновлять это DPA; о существенных изменениях AIroomier заранее сообщает по e-mail, и изменения не могут снижать уровень защиты.

Редакция от 31 октября 2026 г. Вопросы об этом DPA направляйте на support@airoomier.com.