Соглашение об обработке данных (шаблон)

Это шаблон соглашения об обработке данных (DPA), которое GPT Workspace подписывает с корпоративными клиентами. Чтобы получить его с заполненными полями, напишите на contact@gpt.space, указав юридическое название вашей компании, адрес, контактное лицо и количество мест. Обработчики, перечисленные в нём, указаны и поддерживаются в актуальном состоянии в Центре доверия.

Этот шаблон предоставляется для ознакомления и не является юридической консультацией. Перед подписанием поручите его проверку вашему юристу. Поля в квадратных скобках заполняются до подписания.

---

Настоящее Соглашение об обработке данных («DPA») является частью соглашения об использовании GPT Workspace («Сервиса») между:

• [ЮРИДИЧЕСКОЕ НАЗВАНИЕ КЛИЕНТА], [АДРЕС КЛИЕНТА], [РЕГИСТРАЦИОННЫЙ НОМЕР] («Клиент» или «Контролёр») и
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, USA («Поставщик» или «Обработчик»),

совместно «Стороны». Оно заключено [ДАТА ВСТУПЛЕНИЯ В СИЛУ] и действует до тех пор, пока Поставщик обрабатывает Персональные данные от имени Клиента.

«GDPR» означает Регламент (ЕС) 2016/679 и, где применимо, британский GDPR в соответствии с определением в Законе о защите данных 2018 года. «Персональные данные», «Обработка», «Контролёр», «Обработчик», «Субъект данных», «Контролирующий орган» и «Утечка персональных данных» имеют значения, данные в статье 4 GDPR. «Субобработчик» означает третью сторону, привлечённую Поставщиком для обработки Персональных данных от имени Клиента. «Данные Клиента» означают Персональные данные, которые Поставщик обрабатывает для Клиента в рамках соглашения на использование Сервиса, как описано в Приложении 1.

2.1 Клиент является Контролёром, а Поставщик — Обработчиком Данных Клиента. Если Клиент выступает в роли обработчика для собственных клиентов, Поставщик выступает в роли субобработчика, и Клиент гарантирует, что его собственные инструкции санкционированы соответствующим контролёром.

2.2 Предмет, срок, характер и цель Обработки, типы Персональных данных и категории Субъектов данных изложены в Приложении 1.

3.1 Поставщик обрабатывает Данные Клиента только по документированным инструкциям Клиента, включая в отношении передачи в третью страну, если только этого не требует право Союза или государства-члена, которому подчиняется Поставщик; в этом случае Поставщик уведомляет Клиента об этом правовом требовании до обработки, если только закон не запрещает такое уведомление.

3.2 Инструкции Клиента: соглашение на использование Сервиса, настоящее DPA, конфигурация, которую Клиент и его пользователи задают в Сервисе, и запросы, которые пользователи Клиента отправляют в Сервис. Поставщик немедленно уведомляет Клиента, если, по его мнению, инструкция нарушает GDPR.

Поставщик обеспечивает, чтобы лица, уполномоченные на обработку Данных Клиента, взяли на себя обязательства по конфиденциальности либо были связаны надлежащим установленным законом обязательством о конфиденциальности, а также чтобы доступ ограничивался тем, что необходимо каждому лицу для предоставления Сервиса.

Поставщик реализует технические и организационные меры, перечисленные в Приложении 2, и регулярно их пересматривает. С учётом современного уровня технологий, затрат на реализацию, а также характера, объёма, контекста и целей Обработки меры обеспечивают уровень безопасности, соответствующий риску.

6.1 Клиент даёт общее письменное разрешение Поставщику на привлечение Субобработчиков, перечисленных в Приложении 3.

6.2 Поставщик уведомляет Клиента о любом предполагаемом добавлении или замене Субобработчика не менее чем за [30] дней до вступления изменения в силу по электронной почте на [АДРЕС ЭЛ. ПОЧТЫ КЛИЕНТА ДЛЯ УВЕДОМЛЕНИЙ] и путём обновления списка по адресу https://gpt.space/trust. Клиент может возразить по обоснованным причинам защиты данных в течение этого срока; если Стороны не могут разрешить возражение, Клиент может расторгнуть соответствующую часть Сервиса без штрафных санкций.

6.3 Поставщик возлагает на каждого Субобработчика посредством договора те же обязательства по защите данных, что изложены в настоящем DPA, в частности обеспечивая достаточные гарантии реализации надлежащих технических и организационных мер. Если Субобработчик не выполняет свои обязательства, Поставщик несёт полную ответственность перед Клиентом за выполнение обязательств этого Субобработчика.

С учётом характера Обработки Поставщик оказывает Клиенту содействие надлежащими техническими и организационными мерами, насколько это возможно, для выполнения обязательства Клиента по реагированию на запросы об осуществлении прав Субъекта данных согласно главе III GDPR. Поставщик без неоправданной задержки передаёт Клиенту любой запрос, полученный непосредственно от Субъекта данных касательно Данных Клиента, и не отвечает на него иначе как по инструкции Клиента или в случаях, требуемых законом.

Поставщик оказывает Клиенту содействие в обеспечении соблюдения обязательств по статьям 32–36 GDPR (безопасность, уведомление об утечке, оценка воздействия на защиту данных и предварительная консультация), с учётом характера Обработки и информации, доступной Поставщику.

Поставщик уведомляет Клиента без неоправданной задержки и в любом случае в течение [48] часов после того, как узнал об Утечке персональных данных, затрагивающей Данные Клиента, по электронной почте на [АДРЕС ЭЛ. ПОЧТЫ КЛИЕНТА ДЛЯ УВЕДОМЛЕНИЙ]. Уведомление описывает, насколько известно на момент уведомления, характер утечки, категории и примерное количество затронутых Субъектов данных и записей, возможные последствия, принятые или предлагаемые меры и контактное лицо; информация, которая ещё недоступна, предоставляется поэтапно без дальнейшей неоправданной задержки.

10.1 По выбору Клиента Поставщик удаляет или возвращает все Данные Клиента после окончания предоставления Сервиса и удаляет существующие копии, если только право Союза или государства-члена не требует хранения Персональных данных.

10.2 Независимо от пункта 10.1 Клиент и каждый из его пользователей могут удалить свою учётную запись и данные, хранимые Поставщиком в Сервисе, в любое время; удаление выполняется в течение 24 часов после запроса. Счета и платёжные записи сохраняются в течение срока, требуемого налоговым законодательством.

11.1 Поставщик предоставляет Клиенту всю информацию, необходимую для подтверждения соблюдения обязательств, изложенных в статье 28 GDPR, и разрешает проведение аудитов, включая инспекции, проводимых Клиентом или аудитором, уполномоченным Клиентом, и содействует им.

11.2 Поставщик сначала удовлетворяет запросы на аудит, предоставляя свой сертификат ISO 27001 и отчёт об аудите (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), свою оценку CASA Tier III и письменные ответы на опросник по безопасности. Очная или удалённая инспекция проводится не более [одного раза в год], при [30] днях письменного уведомления, в рабочее время, в рамках соглашения о конфиденциальности и за счёт Клиента, если только Контролирующий орган не требует иного или не произошла Утечка персональных данных.

12.1 Поставщик зарегистрирован в США, и Сервис размещён на Google Cloud Platform в США. Когда Данные Клиента, относящиеся к Субъектам данных в ЕЭЗ, Великобритании или Швейцарии, передаются в страну без решения об адекватности защиты, Стороны опираются на Стандартные договорные оговорки, принятые Европейской комиссией в Решении (ЕС) 2021/914 (Модуль два, контролёр — обработчик, или Модуль три, обработчик — обработчик, в зависимости от применимости), которые включаются посредством отсылки, вместе с Британским приложением к международной передаче данных, когда речь идёт о данных из Великобритании. Субобработчики Поставщика, получающие Данные Клиента, участвуют в системе EU-US Data Privacy Framework, если она доступна для них; Стандартные договорные оговорки регулируют каждую передачу, которую осуществляет сам Поставщик.

12.2 Для опций в Стандартных договорных оговорках: пункт 7 (присоединение) применяется; пункт 9, вариант 2 (общее разрешение) с периодом уведомления из пункта 6.2; дополнительный текст пункта 11 не применяется; пункт 13 и пункт 17: право [ГОСУДАРСТВА-ЧЛЕНА, например Ирландии]; пункт 18: суды [ГОСУДАРСТВА-ЧЛЕНА]. Приложение I и Приложение II Оговорок являются Приложениями 1 и 2 настоящего DPA.

13.1 Ответственность каждой Стороны по настоящему DPA подчиняется ограничениям и исключениям ответственности, предусмотренным в соглашении на использование Сервиса, за исключением случаев, когда они не могут быть ограничены в соответствии с применимым законодательством о защите данных.

13.2 Настоящее DPA вступает в силу с Даты вступления в силу и остаётся в силе до тех пор, пока Поставщик обрабатывает Данные Клиента. В случае расхождения между настоящим DPA и соглашением на использование Сервиса, настоящее DPA имеет приоритет в отношении Обработки Персональных данных.

13.3 Настоящее DPA регулируется правом, регулирующим соглашение на использование Сервиса, за исключением того, что Стандартные договорные оговорки регулируются правом, выбранным в пункте 12.2.

За Клиента	За Поставщика
Имя: [ИМЯ]	Имя: [ИМЯ]
Должность: [ДОЛЖНОСТЬ]	Должность: [ДОЛЖНОСТЬ]
Дата: [ДАТА]	Дата: [ДАТА]
Подпись:	Подпись:

---

Пункт	Описание
Предмет	Предоставление Сервиса GPT Workspace: ИИ-ассистент внутри Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, расширения Chrome и серверов MCP.
Срок	Срок действия соглашения на использование Сервиса плюс периоды хранения из Приложения 2.
Характер и цель	Чтение содержимого, на которое указывает пользователь в своём аккаунте Google, отправка его вместе с запросом пользователя провайдеру моделей ИИ и запись ответа в файл пользователя или чат. Администрирование аккаунтов, биллинг и поддержка.
Категории Субъектов данных	Сотрудники и подрядчики Клиента, использующие Сервис; лица, данные которых встречаются в документах, таблицах, электронных письмах и файлах Клиента, обрабатываемых через Сервис.
Типы Персональных данных	Данные аккаунта (имя, адрес эл. почты, изображение профиля, идентификатор аккаунта Google); биллинговые данные (биллинговое имя, адрес, номер НДС); метаданные использования (количество запросов, даты, заголовки документов); содержимое запросов и файлов Google, электронных писем и вложений, которые отправляет пользователь, которые могут содержать любую категорию Персональных данных, размещаемых Клиентом.
Особые категории	По замыслу не предусмотрены. Сервис не требует данных специальных категорий; Клиент сам определяет, что отправляют его пользователи. [Клиенту указать, ожидаются ли специальные категории: НЕТ / ОПИСАТЬ]
Частота	Непрерывно, при каждом запросе пользователя.
Хранение	См. Приложение 2, «Хранение».

Область	Мера
Сертификации	Сертифицированная система управления информационной безопасностью ISO 27001 (отчёт об аудите доступен). Оценка CASA Tier III (App Defense Alliance) для интеграции с Google Workspace. Соблюдение Пользовательской политики данных Google API Services, включая требования ограниченного использования.
Хостинг	Google Cloud Platform (Firebase), США, регионы US East и US West. Компоненты, обрабатывающие Данные Клиента, работают внутри частной сети Поставщика за балансировщиками нагрузки и веб-антивар-файрволом.
Шифрование	TLS 1.2 или выше для всех данных при передаче. Шифрование на стороне сервера AES-256 при хранении на Firebase, управление ключами через GCP IAM. Токены доступа и обновления Google шифруются при хранении.
Без копирования файлов Клиента	Файлы Google, электронные письма и таблицы читаются в реальном времени с собственным OAuth-токеном пользователя и не копируются в хранилище Поставщика. Единственное исключение — файл, который пользователь прикрепляет для поиска по файлу, он загружается в векторное хранилище OpenAI (см. Приложение 3): поисковый индекс удаляется через 1 день после последнего использования, а копия удаляется через 7 дней.
Провайдеры моделей	Используются на условиях API, запрещающих обучение на запросах. Поставщик никогда не обучает и не донастраивает модель на Данных Клиента.
Контроль доступа	Доступ к производственным системам ограничен для уполномоченного персонала с индивидуальными учётными записями, многофакторной аутентификацией и минимальными привилегиями через GCP IAM. Изоляция данных каждого пользователя обеспечивается правилами безопасности Firebase. Многофакторная аутентификация обязательна для каждой учётной записи с доступом к продакшену; права доступа пересматриваются еженедельно.
Мониторинг и тестирование	Непрерывное сканирование уязвимостей всех активов в области действия через GCP Security Command Center; политика раскрытия уязвимостей для внешних исследователей.
Хранение	Данные аккаунта, цепочки чатов, настройки и метаданные использования: 18 месяцев после последней активности пользователя или 24 часа после запроса на удаление. Файлы, прикреплённые для поиска по файлу: поисковый индекс удаляется через 1 день после последнего использования, загруженная копия удаляется через 7 дней. Журналы запросов шлюза моделей: 30 дней, только для целей поддержки. Запросы и ответы: обрабатываются в реальном времени, не хранятся Поставщиком долгосрочно. Счета: в течение срока, требуемого налоговым законодательством.
Удаление	Самостоятельное удаление аккаунта и всех связанных данных в Сервисе; удаление по запросу в течение 24 часов.
Непрерывность бизнеса	Резервное копирование и инструменты многорегиональной доступности Google Cloud; полные резервные копии каждые 7 дней.
Персонал	Обязательства по конфиденциальности в трудовых договорах и договорах с подрядчиками; повышение осведомлённости в области безопасности для персонала с доступом к продакшену.

Текущий список поддерживается по адресу https://gpt.space/trust и воспроизведён здесь по состоянию на Дату вступления в силу.

Субобработчик	Назначение	Местоположение
Google Cloud Platform / Firebase (Google LLC)	Хостинг, база данных, хранилище, аутентификация, секреты	США
OpenRouter, Inc.	Шлюз, маршрутизирующий каждый запрос к модели нижеперечисленным провайдерам; журналы запросов хранятся 30 дней только для поддержки, никогда не используются для обучения	США
OpenAI	Текстовые и графические модели; векторное хранилище для поиска по файлам	США
Anthropic	Модели Claude (закреплены на собственной конечной точке Anthropic)	США
Google (AI Studio)	Текстовые и графические модели Gemini	США
Perplexity	Модели веб-поиска	США
Хосты инференса OpenRouter	Хосты инференса для моделей с открытыми весами GLM-5.3-flash и gpt-oss-120b	Через OpenRouter
Typesafe	Модель принятия решений для формулы GPT_CLASSIFY	Через OpenRouter
Google Programmable Search	Поиск стоковых изображений для сгенерированных слайдов (только запрос)	США
Stripe	Платежи, счета, биллинговый портал	США и Ирландия, в рамках DPA Stripe
PostHog (самохостинг-инстанс)	Продуктовая аналитика	Европейский Союз
Sentry	Мониторинг ошибок	Европейский Союз (регион данных ЕС)