Инструкция для Заказчика (Оператора ПДн)

Руководство по соблюдению 152-ФЗ при работе с чат-ботами в сервисе SUVVY.AI

Дата актуализации: «29» января 2026 г.

1. Введение и распределение ролей

1.1. Используя сервис SUVVY.AI (далее — Сервис) для создания и эксплуатации чат-ботов, вы вступаете в правовые отношения, регулируемые Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ).

1.2. Распределение ответственности:

• Вы (Заказчик) являетесь Оператором персональных данных. Это означает, что вы самостоятельно определяете цели, состав, способы и все иные условия обработки персональных данных (ПДн) ваших пользователей (клиентов, посетителей), которые взаимодействуют с вашим чат-ботом.

• ООО «САВВЭЙАЙ» (далее — Компания) выступает в роли Обработчика (лица, осуществляющего обработку ПДн по поручению Оператора). Компания предоставляет техническую платформу и обеспечивает ее функционирование строго в соответствии с вашими настройками и сценариями, не определяя цели обработки данных.

1.3. Согласно п. 5 ст. 18 152-ФЗ, полная ответственность за соблюдение закона при обработке ПДн лежит на Операторе. Компания, как Обработчик, несет ответственность перед Оператором за выполнение поручения.

2. Обязательные шаги Заказчика (Оператора) перед запуском бота

2.1. Определите правовые основания обработки ПДн (ст. 6 152-ФЗ). Для каждого сценария работы бота вы должны иметь на то законные основания.

2.2. Опубликуйте необходимые документы.

• Политика обработки ПДн: Разработайте и опубликуйте на своем сайте документ, в котором раскрываете информацию об обработке ПДн через чат-бота в соответствии со ст. 18.1 152-ФЗ.

• Согласие на обработку ПДн: Если основанием является согласие, подготовьте его текст. Для онлайн-сбора рекомендуем использовать интерактивную форму (чек-бокс) перед началом диалога или в процессе, если бот запрашивает ПДн.

2.3. Оцените и минимизируйте объем данных.

Принцип минимизации данных (ст. 5 152-ФЗ) обязывает собирать только те ПДн, которые необходимы и достаточны для заявленных целей.

Настройте бота на запрос только необходимой информации.

3. Ключевые технические требования 152-ФЗ и настройки в SUVVY.AI

3.1. Первичный сбор и хранение данных граждан РФ (ч. 5 ст. 18 152-ФЗ).

В соответствии с ч. 5 ст. 18 152-ФЗ, первичный сбор, запись, систематизация и хранение персональных данных граждан Российской Федерации должны осуществляться с использованием баз данных, находящихся на территории РФ. «Первичный сбор» включает, помимо прочего: прием информации от пользователя, запись в базу (включая временную), логирование, первичную обработку и буферизацию.

Сервис SUVVY.AI обеспечивает соблюдение этого требования на этапе приема данных

3.2. Выбор модели обработки.

• Ваша ответственность: Как Оператор вы несете полную ответственность за выбор модели искусственного интеллекта (например, GigaChat, YandexGPT, иностранные модели) для обработки запросов в боте.

• Выбор иностранной модели — прямое ограничение:

Выбирая в настройках Сервиса модель, инфраструктура которой расположена за пределами РФ (далее — Иностранная модель), вы даете Компании прямое поручение не использовать эту конфигурацию для обработки ПДн граждан РФ.

Выбор Заказчиком в настройках Сервиса модели обработки, инфраструктура которой расположена за пределами РФ (далее — «Иностранная модель»), является прямым и безотзывным поручением для Компании не использовать данную конфигурацию для обработки персональных данных граждан РФ. Заказчик гарантирует, что при использовании Иностранной модели не будет осуществляться сбор или обработка ПДн граждан РФ.

Вы гарантируете, что при активации Иностранной модели не будет осуществляться сбор или обработка ПДн граждан РФ.

3.3. Функция автоматической псевдонимизации (маскировки).

Что это: Техническая возможность Сервиса, которая автоматически заменяет в тексте сообщений, поступающих к Иностранной модели и обратно, прямые ПДн (номера телефонов РФ, паспортов, email, usernames) на специальные метки.

Как работает:

1. Функция выключена по умолчанию.

2. Вы должны самостоятельно включить ее в интерфейсе настройки бота, если планируете использовать Иностранную модель и при этом в диалогах может появляться информация, содержащая ПДн граждан РФ.

3. ВАЖНО: Если функция включена, перед передачей запроса в Иностранную модель прямые ПДн (номера телефонов РФ, паспортов, email, usernames) маскируются на специальные метки.

3.4. Трансграничная передача ПДн (ст. 12 152-ФЗ).

• Любая передача ПДн граждан РФ за рубеж (например, через сторонние интеграции) требует отдельного правового основания.

• Уведомить Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) о намерении осуществлять трансграничную передачу.

• Если ваш сценарий подразумевает такую передачу, вы, как Оператор, обязаны:

• Получить отдельное, информированное, конкретное и явное согласие субъекта ПДн на трансграничную передачу.

• Прямо указать на такую передачу в поручении Компании (в настройках или дополнительном соглашении).

4. Практический чек-лист при настройке бота в SUVVY.AI

Перед запуском бота в работу с реальными пользователями проверьте:

1	Определены ли цели и правовые основания обработки ПДн для каждого сценария бота?	Подготовьте необходимые документы (политику, согласие).
2	Минимизирован ли запрашиваемый у пользователей объем ПДн?	Настройте сценарии диалога в конструкторе бота на сбор только необходимых данных.
3	Какая модель ИИ выбрана для обработки запросов?	Проверьте настройки «Модель» в вашем боте в ЛК SUVVY.AI.
4	Если выбрана Иностранная модель (например, OpenAI GPT): будут ли через бот обрабатываться ПДн граждан РФ?	Сценарий А (НЕТ): Вы гарантируете, что не будете обрабатывать ПДн россиян. Сценарий Б (ДА или МОГУТ БЫТЬ): Вы ОБЯЗАНЫ включить функцию «Автоматическая псевдонимизация» в настройках этого бота.
5	Включена ли функция псевдонимизации, если она требуется?	Перейдите в настройки бота -> найдите раздел «Безопасность данных» или «Псевдонимизация» -> активируйте переключатель.
6	Планируется ли интеграция бота с внешними системами (CRM, мессенджеры), которые могут передавать данные за рубеж?	Оцените потоки данных. Если передаются ПДн граждан РФ за рубеж — обеспечьте правовое основание (согласие субъекта и уведомление Роскомнадзора). Уведомьте об этом Компанию как Обработчика.

5. Действия в случае запросов от субъектов ПДн

5.1. Пользователи (субъекты ПДн) имеют право обращаться к вам как к Оператору с запросами (ст. 14 152-ФЗ): на доступ к своим данным, их уточнение, блокировку, уничтожение, отзыв согласия.

5.2. Алгоритм ваших действий:

1. Получите запрос от субъекта ПДн.

2. Установите его личность и факт обработки его данных.

3. Выполните требования в установленный законом срок (30 дней).

4. Если для выполнения запроса (например, удаления данных из истории диалогов) вам требуются действия со стороны Сервиса, направьте нам (Компании) соответствующее письменное поручение по адресу [email protected]. Мы, как Обработчик, окажем содействие в рамках технических возможностей платформы.

6. Ответственность и заключительные положения

6.1. Нарушение требований 152-ФЗ влечет административную, гражданско-правовую и, в отдельных случаях, уголовную ответственность.

6.2. Данное руководство является поясняющим документом. Основными регулирующими документами остаются:

• Публичная оферта Компании.

• Политика конфиденциальности и обработки персональных данных Компании.

• Ваши внутренние документы как Оператора ПДн.

По всем вопросам, связанным с обработкой ПДн, обращайтесь: - электронная почта: [email protected]

---

Приложение: Ссылка на Политику конфиденциальности ООО «САВВЭЙ АЙ»