Политика конфиденциальности приложения

1. К кому относится Политика и как распределены роли

1.1. Область действия. Настоящая Политика относится только к Приложению — облачному сервису, устанавливаемому на портал Битрикс24, и к его конфигурации на инфраструктуре Клиента. Обработка данных посетителей сайта Приложения, включая демонстрационный разбор и веб-аналитику, настоящей Политикой не регулируется и описана в отдельной Политике конфиденциальности сайта. Условия использования самого сайта — в Условиях использования сайта.

1.2. Политика описывает обработку данных в двух различных ситуациях. Права и обязанности в них разные, поэтому Стороны разграничены явно.

1.3. Издатель не является оператором персональных данных, содержащихся в загружаемых документах. Издатель обрабатывает их исключительно по поручению Клиента, в объёме, указанном в разделе 5 Лицензионного соглашения и в настоящей Политике, и не определяет цели и состав такой обработки.

1.4. Термин «Оператор Приложения», встречающийся в технической документации, означает лицо, эксплуатирующее серверную часть Приложения (для облачной версии — Издатель, для self-hosted — Клиент), и не тождествен термину «оператор персональных данных».

1.5. Субъект персональных данных — физическое лицо, чьи данные содержатся в загруженном документе (представитель контрагента, индивидуальный предприниматель — поставщик) либо являются учётными данными сотрудника портала.

2. Какие данные обрабатываются

2.1. Приложение обрабатывает данные только по инициативе пользователя (загрузка документа) и служебные данные, необходимые для интеграции с порталом Битрикс24.

2.2. Приложение не запрашивает специальные категории персональных данных. Клиент обязуется не загружать документы, содержащие такие данные, а также сведения, составляющие государственные секреты (п. 4.4 Лицензионного соглашения).

2.3. Издатель не собирает данные о субъектах самостоятельно: всё содержимое документов поступает от Клиента. Единственные данные, которые Приложение получает не из документа и не из настроек, — идентификатор портала и идентификатор загрузившего сотрудника.

2.4. Информационные сообщения Издателя. Приложение может показывать сотрудникам Клиента информационные сообщения Издателя (например, о новых возможностях или условиях). Отметка о том, что сообщение закрыто, сохраняется в браузере сотрудника и Издателю не передаётся; сведения о том, кто и когда видел сообщение, не собираются и не хранятся.

3. Цели обработки

3.1. Распознавание табличной части документа и создание соответствующей сущности в CRM портала (сделка, лид или смарт-процесс с товарными позициями и НДС).

3.2. Поиск контрагента в CRM портала по реквизитам из документа.

3.3. Создание дела в CRM портала с прикреплённым исходным файлом и уведомления в чат.

3.4. Уведомление загрузившего сотрудника о результате обработки, в том числе о неудачном импорте.

3.5. Поддержание авторизации Приложения в портале (OAuth) и обеспечение работоспособности интеграции.

3.6. Ведение обезличенных эксплуатационных счётчиков и, при явном включении, технической телеметрии — для диагностики и улучшения качества сервиса.

3.7. Обработка обращений и претензий, поступивших по контактам, указанным в настоящей Политике.

3.8. Информирование Клиента об изменениях настоящей Политики и Лицензионного соглашения. Изменения доводятся через Маркет Битрикс24 при публикации новой версии Приложения (п. 9.3.3 Лицензионного соглашения); сведения о показах уведомлений Издатель не собирает.

3.9. Данные не используются для рекламного профилирования, не продаются и не передаются третьим лицам иначе как указано в разделе 5.

3.10. Содержимое документов не используется Издателем для обучения моделей. При этом в отношении провайдеров инференса действуют их собственные условия: правообладатель BitrixGPT вправе обрабатывать переданные запросы и результаты для создания и обучения своих ML-моделей и получает на них безвозмездную неисключительную лицензию; резервный провайдер использует переданные данные в соответствии со своей политикой. Подробнее — п. 5.3. Издатель на эти условия не влияет и изменить их не может.

4. Правовые основания обработки

4.1. Обработка данных, содержащихся в загружаемых документах, осуществляется Издателем на основании поручения Клиента — раздел 5 Лицензионного соглашения (ч. 3 ст. 6 Федерального закона Российской Федерации от 27.07.2006 № 152-ФЗ; ст. 7 Закона Республики Беларусь от 07.05.2021 № 99-З).

4.2. Правовое основание обработки в отношении субъектов персональных данных обеспечивает Клиент как оператор: получение согласий либо использование иного основания (исполнение договора, законный интерес, требование законодательства), а также информирование субъектов. Издатель наличие таких оснований не проверяет.

4.3. Обработка идентификаторов портала, идентификаторов сотрудников и OAuth-токенов осуществляется для исполнения договора с Клиентом — Лицензионного соглашения — и невозможна без неё технически.

4.4. Основания обработки данных посетителей сайта Приложения настоящей Политикой не определяются — см. Политику конфиденциальности сайта (п. 1.1).

5. Кому передаются данные

5.1. Перечень получателей данных, обрабатываемых Приложением, исчерпывающий. Иным лицам эти данные не передаются. Получатели данных посетителей сайта Приложения указаны в Политике конфиденциальности сайта.

5.2. OAuth-токены, служебные счётчики и настройки Приложения наружу не передаются и остаются в периметре Издателя и портала Клиента.

5.3. Передача текста документа LLM-провайдеру. В облачной версии Приложения для распознавания табличной части извлечённый текст передаётся на инференс одному из двух указанных ниже провайдеров — иные провайдеры в облачной версии не используются. Исходный файл документа не передаётся ни одному из них. Для конфигурации на инфраструктуре Клиента порядок иной, см. раздел 12.

Основной провайдер — BitrixGPT. Модель размещена в инфраструктуре Битрикс24; правообладателем модели является ООО «Битрикс», условия использования устанавливает ООО «1С-Битрикс». Обращение к модели выполняется через учётную запись Издателя, поэтому стороной условий использования BitrixGPT выступает Издатель, а не Клиент. Гарантии, которые эти условия требуют от пользователя ИИ-инструмента, Издатель даёт, опираясь на подтверждение Клиента по п. 4.3 Лицензионного соглашения. Действуют Условия использования дополнительной функциональности «BitrixGPT», а в части персональных данных — Поручение на обработку персональных данных. Существенные для Клиента положения:

• переданные данные хранятся на стороне Битрикс24 до 14 суток для целей отладки, после чего удаляются; этот срок не зависит от сроков хранения у Издателя (раздел 8);
• 1С-Битрикс вправе обрабатывать переданные запросы и полученные результаты для создания и обучения ML-моделей;
• при использовании BitrixGPT пользователь предоставляет 1С-Битрикс безвозмездную неисключительную лицензию на переданные запросы и полученный результат, действующую в течение всего срока действия исключительного права;
• 1С-Битрикс вправе ограничивать количество и частоту запросов;
• лицо, использующее ИИ-инструмент, гарантирует наличие у него всех прав и разрешений на передаваемые данные.

Резервный провайдер — DeepSeek, обработка на территории Китайской Народной Республики. Используется, если Издатель переключит на него обработку. ⚠ Переключение выполняется решением Издателя, а не автоматически: автоматического перехода между провайдерами Приложение не выполняет, поэтому обработка идёт у одного провайдера — того, который указан как действующий на момент передачи. Условия обработки, сроки хранения и возможность использования переданных данных для улучшения сервисов определяются политикой этого провайдера; Издатель на них не влияет.

Переключение между провайдерами. Оба провайдера указаны в настоящей редакции Политики, поэтому направление обработки любому из них не является изменением Политики и не требует предварительного уведомления (см. п. 13.2). Издатель вправе переключиться на резервного провайдера в любой момент, в том числе при перебоях у основного. Переключение выполняется решением Издателя и вступает в силу с момента изменения настройки Приложения; автоматического перехода между провайдерами Приложение не выполняет.

Клиенту, для которого обработка на территории Китайской Народной Республики неприемлема — в силу требований по персональным данным, коммерческой тайне или внутренних правил, — следует воздержаться от использования Приложения в облачной версии либо согласовать иную конфигурацию по отдельному договору (п. 2.6 Лицензионного соглашения).

Модели, подключаемые по собственному ключу (BYOK) сверх указанных выше, публичная версия Приложения не использует.

5.4. Отзывы сотрудников. Если пользователь отправляет отзыв о результате обработки, текст отзыва и технический контекст передаются в закрытый репозиторий Издателя на GitHub. Вместе с отзывом может передаваться сам файл документа — только если отправитель явно выбрал вариант с приложением файла. Варианты «отправить с файлом» и «отправить без файла» предлагаются равнозначно, ни один не выбран заранее, и правило одинаково для положительного и отрицательного отзыва. Файл берётся из вложения к делу, которое Приложение создало в CRM Клиента при обработке документа, — на сервере Издателя копии к этому моменту уже нет (раздел 8). Приложение обращается только к делу, ответственным за которое является сам отправитель отзыва; получить таким образом документ другого сотрудника невозможно. Если дело удалено, не содержит вложения либо файл не удалось прочитать, отзыв передаётся без файла, и отправитель об этом уведомляется. Отзывы используются исключительно для устранения дефектов и улучшения качества Приложения. Вместе с отзывом передаётся необратимый хеш идентификатора портала — он не позволяет определить портал тому, кто им не располагает, и нужен исключительно для того, чтобы Издатель мог найти и удалить отзывы конкретного клиента по его обращению (пп. 8.6 и 10.3). Данные сотрудника, отправившего отзыв, не передаются.

5.5. Телеметрия. Техническая телеметрия (OpenTelemetry) по умолчанию отключена и включается настройкой серверного окружения; администратор портала на это не влияет. При включении передаётся только «форма» операций: длительность, статус, обезличенные счётчики. Идентификатор портала передаётся необратимым хешем. Содержимое документа, наименование поставщика, артикул и цена в телеметрию не попадают — это обеспечено на уровне кода.

5.6. Служебные оповещения Издателя. Издатель может подключить служебные каналы оповещений о состоянии собственной инфраструктуры и работе служебных процессов Приложения — в частности, о сбоях обработки и о количестве накопившихся отзывов, ожидающих разбора. Передаются только имена внутренних очередей и процессов Издателя, числовые показатели (количества, длительности, сроки ожидания) и — в сообщениях о порталах, у которых обработка перестала проходить, — необратимый хеш идентификатора портала: он не позволяет определить портал тому, кто им не располагает, и нужен исключительно для того, чтобы Издатель отличил один затронутый портал от другого и нашёл его в журнале своего сервиса. Данные Клиента в такие сообщения не попадают: ни документ или его фрагменты, ни наименование портала, ни данные сотрудника, ни идентификаторы обработанных документов и отзывов в них не называются. Каналы адресованы Издателю; Клиенту и его сотрудникам сообщения из них не направляются.

5.7. Издатель раскрывает данные уполномоченным государственным органам только по основаниям и в порядке, предусмотренным законодательством, и уведомляет об этом Клиента, если такое уведомление не запрещено.

6. Место обработки и трансграничная передача

6.1. Серверная часть облачной версии Приложения размещена на территории Республики Беларусь. Приём загруженных документов, извлечение текста и хранение служебных данных осуществляются там.

6.2. Для Клиента из Российской Федерации размещение данных на серверах Издателя является трансграничной передачей персональных данных в Республику Беларусь. Республика Беларусь включена в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных (приказ Роскомнадзора от 05.08.2022 № 128), поэтому такая передача не требует дополнительных условий, предусмотренных для государств, не обеспечивающих адекватную защиту. Обязанность подать в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу (ст. 12 № 152-ФЗ) сохраняется за Клиентом как оператором.

6.3. Передача извлечённого текста LLM-провайдеру. Для Клиента из Республики Беларусь это трансграничная передача в Российскую Федерацию. Российская Федерация относится к государствам, на территории которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных (приказ директора Национального центра защиты персональных данных от 15.11.2021 № 14 — стороны Конвенции Совета Европы № 108 и государства — члены ЕАЭС), поэтому дополнительного разрешения не требуется. Для Клиента из Российской Федерации обработка на этом этапе возвращается на территорию Российской Федерации.

6.4. Передача извлечённого текста резервному провайдеру (п. 5.3) является трансграничной передачей персональных данных в Китайскую Народную Республику:

• для Клиента из Российской Федерации — Китайская Народная Республика включена в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных (приказ Роскомнадзора от 05.08.2022 № 128), поэтому дополнительных условий такая передача не требует; обязанность уведомления по ст. 12 № 152-ФЗ сохраняется за Клиентом как оператором;
• для Клиента из Республики Беларусь — Китайская Народная Республика не является стороной Конвенции Совета Европы № 108 и не входит в ЕАЭС, поэтому относится к государствам, на территории которых надлежащий уровень защиты прав субъектов персональных данных не обеспечивается (приказ директора Национального центра защиты персональных данных от 15.11.2021 № 14). Такая передача допускается только при наличии основания, предусмотренного статьёй 9 Закона Республики Беларусь № 99-З; обеспечение такого основания лежит на Клиенте как операторе.

6.5. Передача файла документа вместе с отзывом (п. 5.4) является трансграничной передачей в Соединённые Штаты Америки — государство, которое не обеспечивает адекватную (надлежащую) защиту прав субъектов персональных данных ни по перечню Роскомнадзора, ни по перечню Национального центра защиты персональных данных. Такая передача осуществляется исключительно по явному выбору сотрудника Клиента при отправке отзыва и инициируется браузером этого сотрудника. Основанием служит согласие, выражаемое выбором варианта «отправить с файлом»; допустимость передачи в отношении данных третьих лиц, содержащихся в документе, обеспечивает Клиент.

6.6. Обязанности, связанные с трансграничной передачей, — уведомление уполномоченного органа (Роскомнадзор для Российской Федерации, Национальный центр защиты персональных данных для Республики Беларусь) и получение необходимых согласий субъектов — исполняет Клиент как оператор. Издатель предоставляет по запросу сведения, необходимые для подготовки такого уведомления.

6.7. Клиент, для которого трансграничная передача в Соединённые Штаты Америки неприемлема, вправе указать своим сотрудникам не прикладывать файлы к отзывам; функциональность Приложения при этом не ограничивается.

7. Требования к локализации баз данных

7.1. Приложение не осуществляет первичную запись персональных данных на территории Российской Федерации: приём документа и извлечение текста происходят на серверах Издателя в Республике Беларусь (п. 6.1).

7.2. Издатель не является оператором персональных данных, содержащихся в Документах (п. 1.2), и не определяет цели и состав их обработки. Обязанность по обеспечению требования ч. 5 ст. 18 Федерального закона Российской Федерации от 27.07.2006 № 152-ФЗ (локализация баз данных персональных данных граждан Российской Федерации на территории Российской Федерации) лежит на Клиенте как операторе. Клиент самостоятельно оценивает применимость этого требования к используемому им сценарию с учётом п. 7.1.

7.3. Издатель предоставляет по запросу сведения о фактическом месте обработки и хранения, необходимые Клиенту для такой оценки.

7.4. Для Клиента, которому требование локализации применимо, по отдельному договору возможен перенос Приложения на инфраструктуру Клиента (раздел 12). В этой конфигурации приём Документов, их обработка и хранение происходят на инфраструктуре Клиента, и место первичной записи определяет сам Клиент. Состав, сроки и стоимость таких работ определяются отдельным договором (п. 2.6 Лицензионного соглашения); по запросу Издатель сообщает, доступна ли такая конфигурация на дату обращения.

8. Сроки хранения и удаление

8.1. Исходный файл документа удаляется с сервера Издателя сразу после завершения обработки документа — обычно в течение нескольких секунд или минут после загрузки. Файл сохраняется на время обработки потому, что по её завершении он прикрепляется к делу, создаваемому в CRM портала Клиента. Резервная очистка по расписанию удаляет «осиротевшие» файлы заданий, не дошедших до обработки; её окно — не более 24 часов. Копия документа, прикреплённая к делу, находится в портале Клиента и далее управляется Клиентом; удаление Приложения её не затрагивает.

8.2. Извлечённый текст и структура документа удаляются штатно в течение нескольких минут после обработки; резервная очистка по расписанию — не более 24 часов.

8.3. Статус задания импорта — вместе с именем файла и идентификатором загрузившего сотрудника — хранится во временном хранилище и удаляется автоматически по истечении не более 48 часов.

8.4. OAuth-токены хранятся в зашифрованном виде до удаления Приложения с портала.

8.5. Служебные счётчики хранятся до удаления Приложения с портала.

8.6. Отзывы (текст, технический контекст и приложенный файл, если он был приложен) хранятся в закрытом репозитории Издателя не более 12 месяцев с даты поступления либо до удаления по обращению Клиента — в зависимости от того, что наступит раньше.

8.7. На стороне LLM-провайдера переданный текст хранится по правилам этого провайдера: согласно документации Битрикс24 — до 14 суток для целей отладки, после чего удаляется. Издатель на этот срок не влияет и удалением данных на стороне провайдера не управляет.

8.8. Удаление Приложения с портала влечёт удаление данных этого портала на стороне Издателя: OAuth-токенов, служебных счётчиков, извлечённых текстов и структур документов. Статусы заданий импорта истекают автоматически в срок по п. 8.3. На данные, уже переданные LLM-провайдеру (п. 8.7), удаление Приложения не влияет.

8.9. Полный текст документов и секреты не записываются в журналы работы сервиса.

9. Безопасность

9.1. refresh_token портала шифруется при хранении (AES-256-GCM); application_token записывается однократно.

9.2. Все обращения к порталу выполняются по защищённому транспорту с проверкой домена — защита от подмены портала.

9.3. Доступ к настройкам Приложения и служебным операциям ограничен ролью администратора портала.

9.4. Доступ персонала Издателя к инфраструктуре ограничен минимально необходимым кругом лиц; лица, имеющие такой доступ, связаны обязательством конфиденциальности.

9.5. Приложение минимизирует хранение: клиентские данные хранятся в минимальном объёме и удаляются на терминальных путях обработки и при удалении Приложения.

9.6. Передача текста документа внешнему LLM-провайдеру описана в п. 5.3 и является осознанным элементом архитектуры, а не следствием недостатка мер защиты.

9.7. Аналитика внутри Приложения отсутствует. В интерфейсе Приложения, встроенном в портал Клиента, счётчики веб-аналитики не устанавливаются. Действия сотрудников Клиента в Приложении в системы аналитики не передаются.

9.8. Обращение к модели выполняется без предоставления ей инструментов и без доступа к данным портала. На вход передаётся только извлечённый из документа текст, на выходе ожидается структурированный ответ заданного формата, который Приложение проверяет перед использованием. Модель не может инициировать какие-либо действия в портале Клиента, поэтому инструкции, намеренно или случайно содержащиеся в тексте документа, не способны повлечь последствий за пределами результата распознавания.

10. Права субъектов персональных данных и порядок обращений

10.1. Субъект персональных данных, чьи данные содержатся в загруженном документе, реализует свои права — на доступ, изменение, удаление, отзыв согласия, обжалование — в отношении Клиента как оператора. Издатель не располагает сведениями, позволяющими соотнести содержимое документа с конкретным обратившимся субъектом, и самостоятельно такие обращения не рассматривает.

10.2. Обращение субъекта, поступившее Издателю напрямую, передаётся Клиенту в срок не более 5 рабочих дней, о чём субъект уведомляется.

10.3. Клиент вправе: получить сведения о составе и целях обработки его данных Издателем; потребовать удаления конкретных данных или отзыва до истечения срока их хранения; прекратить обработку в любой момент, удалив Приложение с портала; получить сведения о применяемых мерах защиты и об используемых субобработчиках (п. 5.7 Лицензионного соглашения).

10.4. Прекратить передачу текста внешнему LLM-провайдеру можно единственным способом — не загружая документы: обработка инициируется только загрузкой.

10.5. Обращения по вопросам обработки данных направляются на offer@bx-shef.by. Срок ответа — не более 30 (тридцати) календарных дней с даты получения обращения.

11. Инциденты

11.1. При выявлении инцидента, повлекшего неправомерный доступ к данным Клиента, уничтожение, изменение или распространение таких данных, Издатель уведомляет Клиента в срок не более 24 часов с момента выявления, сообщая известные обстоятельства инцидента, затронутые категории данных и принятые меры.

11.2. Уведомление уполномоченного органа и субъектов персональных данных, если оно требуется законодательством, осуществляет Клиент как оператор. Издатель предоставляет для этого необходимые сведения и содействие.

12. Self-hosted (развёртывание в контуре Клиента)

12.1. Перенос Приложения на инфраструктуру Клиента выполняется по отдельному договору (п. 2.6 Лицензионного соглашения). В такой конфигурации приложение, база данных, очередь и временные файлы остаются у Клиента.

12.2. Текст документа при этом всё равно направляется на внешний LLM-инференс: self-hosted сам по себе не делает обработку полностью локальной.

12.3. Существенное отличие от облачной версии: Клиент сам определяет LLM-провайдера и использует принадлежащий ему ключ. Ограничение п. 5.3 на двух провайдеров к этой конфигурации не применяется. Издатель своего ключа для таких установок не предоставляет. Текст на инференс отправляет Клиент, по собственному договору с провайдером модели; Издатель в этой передаче не участвует и доступа к ней не имеет. Правовые основания и обязанности, связанные с трансграничной передачей, в этом случае полностью на стороне Клиента.

12.4. В конфигурации self-hosted Издатель не является лицом, осуществляющим обработку по поручению: он не обрабатывает данные Клиента и настоящая Политика применяется к такой инсталляции только в части описания поведения программного обеспечения.

12.5. Полностью замкнутый контур (локальная модель на оборудовании Клиента) — предмет отдельного соглашения. Ответственность за доступность, резервное копирование, обновления и защиту ключей на инфраструктуре Клиента, а также сопровождение инсталляции определяются отдельным договором.

13. Изменения Политики

13.1. Издатель вправе изменять настоящую Политику. Действующая редакция публикуется по постоянному адресу https://price-import.bx-shef.by/privacy с указанием даты редакции и даты вступления её в силу.

13.2. Новая редакция вступает в силу не ранее чем через 10 (десять) календарных дней после публикации, а при существенных изменениях — не ранее чем через 30 (тридцать) календарных дней. Существенными признаются: привлечение LLM-провайдера, не указанного в п. 5.3; расширение состава передаваемых данных или перечня получателей; изменение места обработки; увеличение сроков хранения. Направление обработки любому из провайдеров, уже указанных в п. 5.3, изменением Политики не является.

13.3. О существенных изменениях Издатель уведомляет Клиента способами, предусмотренными п. 9.3.3 Лицензионного соглашения. До даты вступления новой редакции в силу Клиент вправе прекратить использование Приложения, удалив его с портала.

13.4. Изменения не имеют обратной силы. Предыдущие редакции остаются в открытом доступе по адресу https://price-import.bx-shef.by/privacy/archive не менее 3 (трёх) лет с даты замены, с указанием периода действия каждой редакции. По письменному запросу Издатель дополнительно направляет текст редакции, действовавшей на указанную дату.

14. Контакты

Издатель: Индивидуальный предприниматель Шевчик Игорь Сергеевич УНП: 192049017 Адрес: пр. Дзержинского, д. 131, оф. 234, г. Минск, Республика Беларусь, 220025 Обращения по вопросам обработки данных, запросы субъектов и уведомления: offer@bx-shef.by Применимое право: право Республики Беларусь (раздел 10 Лицензионного соглашения), без ущерба для императивных требований законодательства о персональных данных, действующих в отношении Клиента.