Соглашение об обработке данных (шаблон)

Это шаблон соглашения об обработке данных (DPA), которое GPT Workspace заключает с корпоративными клиентами. Чтобы получить его с заполненными полями, напишите на contact@gpt.space, указав официальное название вашей компании, адрес, контактное лицо и количество мест. Перечисленные в нём обработчики указаны и поддерживаются в актуальном состоянии в Центре доверия.

Этот шаблон предоставлен в информационных целях и не является юридической консультацией. Перед подписанием поручите его проверку вашему юристу. Поля в квадратных скобках заполняются до подписания.

---

Настоящее Соглашение об обработке данных («DPA») является частью соглашения об использовании GPT Workspace («Сервис») между:

• [ОФИЦИАЛЬНОЕ НАЗВАНИЕ КЛИЕНТА], [АДРЕС КЛИЕНТА], [РЕГИСТРАЦИОННЫЙ НОМЕР] («Клиент» или «Контролёр»), и
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, США («Поставщик» или «Обработчик»),

совместно именуемыми «Стороны». Оно заключено [ДАТА ВСТУПЛЕНИЯ В СИЛУ] и действует до тех пор, пока Поставщик обрабатывает Персональные данные от имени Клиента.

«GDPR» означает Регламент (ЕС) 2016/679 и, где применимо, UK GDPR в значении, определённом в Законе о защите данных 2018 года. «Персональные данные», «Обработка», «Контролёр», «Обработчик», «Субъект данных», «Контролирующий орган» и «Нарушение безопасности персональных данных» имеют значения, данные в статье 4 GDPR. «Субобработчик» означает третье лицо, привлечённое Поставщиком для обработки Персональных данных от имени Клиента. «Данные Клиента» означает Персональные данные, которые Поставщик обрабатывает для Клиента в рамках соглашения о Сервисе, как описано в Приложении 1.

2.1 Клиент является Контролёром, а Поставщик является Обработчиком Данных Клиента. Если Клиент выступает в качестве обработчика для собственных клиентов, Поставщик выступает в качестве субобработчика, и Клиент гарантирует, что его собственные инструкции уполномочены соответствующим контролёром.

2.2 Предмет, срок, характер и цель Обработки, типы Персональных данных и категории Субъектов данных изложены в Приложении 1.

3.1 Поставщик обрабатывает Данные Клиента только по документированным инструкциям Клиента, включая в отношении передачи в третью страну, если только этого не требует право Союза или государства-члена, которому подчиняется Поставщик; в этом случае Поставщик информирует Клиента об этом правовом требовании до обработки, если только закон не запрещает это.

3.2 Инструкции Клиента: соглашение о Сервисе, настоящее DPA, конфигурация, которую Клиент и его пользователи задают в Сервисе, и запросы, которые пользователи Клиента отправляют в Сервис. Поставщик немедленно информирует Клиента, если, по его мнению, инструкция нарушает GDPR.

Поставщик обеспечивает, чтобы лица, уполномоченные обрабатывать Данные Клиента, взяли на себя обязательство по конфиденциальности или были связаны надлежащим установленным законом обязательством о конфиденциальности, а также чтобы доступ был ограничен тем, что необходимо каждому лицу для предоставления Сервиса.

Поставщик реализует технические и организационные меры, перечисленные в Приложении 2, и регулярно их пересматривает. С учётом современного уровня технологий, затрат на реализацию, а также характера, объёма, контекста и целей Обработки, эти меры обеспечивают уровень безопасности, соответствующий риску.

6.1 Клиент даёт общее письменное разрешение Поставщику на привлечение Субобработчиков, перечисленных в Приложении 3.

6.2 Поставщик информирует Клиента о любом предполагаемом добавлении или замене Субобработчика не менее чем за [30] дней до вступления изменения в силу, по электронной почте на [EMAIL ДЛЯ УВЕДОМЛЕНИЙ КЛИЕНТА] и путём обновления списка по адресу https://gpt.space/trust. Клиент может возразить по обоснованным причинам защиты данных в течение этого срока; если Стороны не могут урегулировать возражение, Клиент может прекратить использование затронутой части Сервиса без штрафа.

6.3 Поставщик возлагает на каждого Субобработчика посредством контракта те же обязательства по защите данных, что изложены в настоящем DPA, в частности, обеспечивая достаточные гарантии реализации надлежащих технических и организационных мер. Если Субобработчик не выполняет свои обязательства, Поставщик остаётся полностью ответственным перед Клиентом за выполнение обязательств этого Субобработчика.

С учётом характера Обработки Поставщик помогает Клиенту надлежащими техническими и организационными мерами, насколько это возможно, для выполнения обязательства Клиента по ответу на запросы об осуществлении прав Субъекта данных согласно главе III GDPR. Поставщик без неоправданной задержки передаёт Клиенту любой запрос, полученный непосредственно от Субъекта данных в отношении Данных Клиента, и не отвечает на него, кроме как по инструкции Клиента или когда этого требует закон.

Поставщик помогает Клиенту обеспечивать соблюдение обязательств по статьям 32–36 GDPR (безопасность, уведомление о нарушениях, оценка воздействия на защиту данных и предварительная консультация), с учётом характера Обработки и информации, доступной Поставщику.

Поставщик уведомляет Клиента без неоправданной задержки и в любом случае в течение [48] часов после того, как узнаёт о Нарушении безопасности персональных данных, затрагивающем Данные Клиента, по электронной почте на [EMAIL ДЛЯ УВЕДОМЛЕНИЙ КЛИЕНТА]. Уведомление описывает, насколько известно на данный момент, характер нарушения, категории и примерное число затронутых Субъектов данных и записей, вероятные последствия, принятые или предполагаемые меры и контактное лицо; информация, которая ещё недоступна, предоставляется поэтапно без дальнейшей неоправданной задержки.

10.1 По выбору Клиента Поставщик удаляет или возвращает все Данные Клиента после прекращения предоставления Сервиса и удаляет существующие копии, если только право Союза или государства-члена не требует хранения Персональных данных.

10.2 Независимо от пункта 10.1 Клиент и каждый из его пользователей могут удалить свою учётную запись и данные, хранимые Поставщиком в Сервисе, в любое время; удаление выполняется в течение 24 часов после запроса. Счета и платёжные документы хранятся в течение срока, требуемого налоговым законодательством.

11.1 Поставщик предоставляет Клиенту всю информацию, необходимую для подтверждения соблюдения обязательств, изложенных в статье 28 GDPR, и допускает и способствует аудитам, включая инспекции, проводимым Клиентом или аудитором, уполномоченным Клиентом.

11.2 Поставщик сначала удовлетворяет запросы на аудит, предоставляя свой сертификат ISO 27001 и отчёт об аудите (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), свою оценку CASA Tier III и письменные ответы на анкету безопасности. Очная или удалённая инспекция проводится не более [одного раза в год], при [30] днях письменного уведомления, в рабочее время, в рамках соглашения о конфиденциальности и за счёт Клиента, если только Контролирующий орган не требует иного или не произошло Нарушение безопасности персональных данных.

12.1 Поставщик зарегистрирован в США, и Сервис размещён на Google Cloud Platform в США. Когда Данные Клиента, относящиеся к Субъектам данных в ЕЭЗ, Великобритании или Швейцарии, передаются в страну без решения об адекватности, Стороны опираются на Стандартные контрактные оговорки, принятые Европейской комиссией в Решении (ЕС) 2021/914 (Модуль два, контролёр к обработчику, или Модуль три, обработчик к обработчику, в зависимости от применимости), которые включаются посредством отсылки, вместе с UK International Data Transfer Addendum, когда речь идёт о данных Великобритании. Субобработчики Поставщика, получающие Данные Клиента, участвуют в EU-US Data Privacy Framework, если этот формат им доступен; Стандартные контрактные оговорки регулируют каждую передачу, которую осуществляет сам Поставщик.

12.2 Для опций в Стандартных контрактных оговорках: пункт 7 (присоединение) применяется; пункт 9, вариант 2 (общее разрешение) с периодом уведомления из раздела 6.2; пункт 11, дополнительный текст не применяется; пункт 13 и пункт 17: право [ГОСУДАРСТВА-ЧЛЕНА, например Ирландия]; пункт 18: суды [ГОСУДАРСТВА-ЧЛЕНА]. Приложение I и Приложение II Оговорок являются Приложениями 1 и 2 настоящего DPA.

13.1 Ответственность каждой Стороны по настоящему DPA подчиняется ограничениям и исключениям ответственности в соглашении о Сервисе, за исключением случаев, когда они не могут быть ограничены в соответствии с применимым законодательством о защите данных.

13.2 Настоящее DPA вступает в силу с Даты вступления в силу и остаётся в силе до тех пор, пока Поставщик обрабатывает Данные Клиента. В случае конфликта между настоящим DPA и соглашением о Сервисе, настоящее DPA имеет приоритет в отношении Обработки Персональных данных.

13.3 Настоящее DPA регулируется правом, регулирующим соглашение о Сервисе, за исключением того, что Стандартные контрактные оговорки регулируются правом, выбранным в разделе 12.2.

За Клиента	За Поставщика
Имя: [ИМЯ]	Имя: [ИМЯ]
Должность: [ДОЛЖНОСТЬ]	Должность: [ДОЛЖНОСТЬ]
Дата: [ДАТА]	Дата: [ДАТА]
Подпись:	Подпись:

---

Пункт	Описание
Предмет	Предоставление Сервиса GPT Workspace: ИИ-ассистент внутри Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, расширения Chrome и MCP-серверов.
Срок	Срок действия соглашения о Сервисе плюс периоды хранения из Приложения 2.
Характер и цель	Чтение содержимого, на которое указывает пользователь в своём аккаунте Google, отправка его вместе с запросом пользователя провайдеру модели ИИ и запись ответа обратно в файл или чат пользователя. Администрирование аккаунтов, биллинг и поддержка.
Категории Субъектов данных	Сотрудники и подрядчики Клиента, использующие Сервис; лица, данные которых содержатся в документах, таблицах, письмах и файлах Клиента, обрабатываемых через Сервис.
Типы Персональных данных	Данные аккаунта (имя, адрес электронной почты, изображение профиля, идентификатор аккаунта Google); платёжные данные (платёжное имя, адрес, номер НДС); метаданные использования (количество запросов, даты, названия документов); содержимое запросов и файлов Google, писем и вложений, которые отправляет пользователь, которые могут содержать любую категорию Персональных данных, размещаемых Клиентом.
Специальные категории	По замыслу отсутствуют. Сервис не требует данных специальных категорий; Клиент сам решает, что отправляют его пользователи. [Клиент должен указать, ожидаются ли специальные категории: НЕТ / ОПИСАТЬ]
Периодичность	Непрерывно, при каждом запросе пользователя.
Хранение	См. Приложение 2, «Хранение».

Область	Мера
Сертификации	Сертифицированная система управления информационной безопасностью ISO 27001 (отчёт об аудите доступен). Оценка CASA Tier III (App Defense Alliance) для интеграции с Google Workspace. Соблюдение Политики пользовательских данных Google API Services, включая требования Limited Use.
Хостинг	Google Cloud Platform (Firebase), США, регионы US East и US West. Компоненты, обрабатывающие Данные Клиента, работают внутри частной сети Поставщика за балансировщиками нагрузки и веб-файрволом приложений.
Шифрование	TLS 1.2 или выше для всех передаваемых данных. Шифрование AES-256 на стороне сервера при хранении в Firebase, управление ключами через GCP IAM. Маркеры доступа и обновления Google шифруются при хранении.
Нет копий файлов Клиента	Файлы Google, письма и таблицы считываются в реальном времени с собственным OAuth-маркером пользователя и не копируются в хранилище Поставщика. Единственное исключение — файл, который пользователь прикрепляет для файлового поиска, который загружается в векторное хранилище OpenAI (см. Приложение 3): поисковый индекс удаляется через 1 день после последнего использования, а копия удаляется через 7 дней.
Провайдеры моделей	Используются на условиях API, запрещающих обучение по запросам. Поставщик никогда не обучает и не донастраивает модель на Данных Клиента.
Контроль доступа	Доступ к производственным системам ограничен для уполномоченного персонала с индивидуальными учётными записями, многофакторной аутентификацией и минимальными привилегиями через GCP IAM. Изоляция данных для каждого пользователя обеспечивается правилами безопасности Firebase. Многофакторная аутентификация обязательна для каждой учётной записи с производственным доступом; права доступа пересматриваются еженедельно.
Мониторинг и тестирование	GCP Security Command Center непрерывное сканирование уязвимостей всех активов в области действия; политика раскрытия уязвимостей для внешних исследователей.
Хранение	Данные аккаунта, цепочки чатов, настройки и метаданные использования: 18 месяцев после последней активности пользователя или 24 часа после запроса на удаление. Файлы, прикреплённые для файлового поиска: поисковый индекс удаляется через 1 день после последнего использования, загруженная копия удаляется через 7 дней. Журналы запросов модельного шлюза: 30 дней, только для целей поддержки. Запросы и ответы: обрабатываются в реальном времени, не хранятся Поставщиком долгосрочно. Счета: срок, требуемый налоговым законодательством.
Удаление	Самостоятельное удаление аккаунта и всех связанных данных в Сервисе; удаление по запросу в течение 24 часов.
Непрерывность бизнеса	Резервное копирование и инструменты многоместной доступности Google Cloud; полные резервные копии каждые 7 дней.
Персонал	Обязательства по конфиденциальности в трудовых договорах и договорах с подрядчиками; обучение по безопасности для персонала с производственным доступом.

Актуальный список поддерживается по адресу https://gpt.space/trust и воспроизведён здесь по состоянию на Дату вступления в силу.

Субобработчик	Назначение	Местоположение
Google Cloud Platform / Firebase (Google LLC)	Хостинг, база данных, хранилище, аутентификация, секреты	США
OpenRouter, Inc.	Шлюз, маршрутизирующий каждый запрос к модели на указанного ниже провайдера; журналы запросов хранятся 30 дней только для поддержки, никогда не используются для обучения	США
OpenAI	Текстовые и графические модели; векторное хранилище для файлового поиска	США
Anthropic	Модели Claude (закреплены на собственной конечной точке Anthropic)	США
Google (AI Studio)	Текстовые и графические модели Gemini	США
Perplexity	Модели веб-поиска	США
Хосты вывода OpenRouter	Хосты вывода для моделей с открытыми весами GLM-5.3-flash и gpt-oss-120b	Через OpenRouter
Typesafe	Модель принятия решений за формулой GPT_CLASSIFY	Через OpenRouter
Google Programmable Search	Поиск стоковых изображений для сгенерированных слайдов (только запрос)	США
Stripe	Платежи, счета, биллинговый портал	США и Ирландия, в рамках Stripe DPA
PostHog (самохостимый экземпляр)	Продуктовая аналитика	Европейский Союз
Sentry	Мониторинг ошибок	Европейский Союз (регион данных ЕС)