Приложение 1. Поручение оператора персональных данных

Присоединение к Публичной оферте без отдельной подписи.

1. Поручение оператора персональных данных

1. Заказчик, акцептовавший оферту, как оператор поручает Исполнителю ИП Осипенко Станислав Андреевич, ОГРНИП 322547600141434, ИНН 545212238941, адрес: 632382, Новосибирская область, г. Куйбышев, квартал 11, д. 6, кв. 86 обработку данных своих заявителей исключительно для предоставления Kvality. Настоящее Приложение включено в договор посредством акцепта; отдельный двусторонний бумажный договор для такого присоединения не требуется. Акцепт включает журнал доказательств принятия конкретной версии Приложения.

2. Цели: приём и регистрация обращений, административная запись на услуги или приём, маршрутизация, локальное распознавание аудио, обезличивание текста и транскриптов, первичная тематическая классификация обезличенного текста заявки через GigaChat, анализ обезличенной расшифровки звонка через NeuralDeep, локальная подготовка оценки и дополнение карточки Заказчика, передача разрешённого результата в выбранные Заказчиком системы, обслуживание и безопасность.

3. Субъекты: потенциальные/действующие клиенты и пациенты Заказчика, представители контрагентов, лица, обратившиеся по телефону, через сайт, CRM или мессенджер. Категории данных: имя, телефон, email, уникальный ID, источник, дата/время, выбранный специалист/направление, желаемое время записи, текст обращения, аудиозапись, транскрипт, служебная оценка и комментарий.

3.1. При включении поведенческой аналитики и записи сессий Исполнитель по поручению Заказчика может обрабатывать сведения о посещённых страницах, времени и последовательности событий, переходах, кликах, прокрутке, взаимодействии с элементами интерфейса, вводе в поля форм (за исключением маскируемых чувствительных полей), технических параметрах браузера и устройства, источнике перехода, служебных идентификаторах сессии и связанных с ними оценках. Содержимое полей паролей, платёжных и документных реквизитов, а также значений, распознанных как телефон, заменяется защитной маской в записи сессии техническими средствами и не передаётся в неё. Поля со сведениями о здоровье и иные определённые Заказчиком чувствительные поля не должны включаться в запись сессии; для их исключения Заказчик не передаёт такие сведения либо включает маскирование вводимых данных в настройках проекта. Обработка введённых в формы персональных данных осуществляется по отдельно предусмотренному маршруту обращения.

4. Специальные категории данных, включая сведения о состоянии здоровья, не являются предметом штатного целевого сбора Kvality. Поручение допускает только технически необходимую случайную обработку таких фрагментов при выполнении законно организованной административной записи, если у Заказчика есть применимое основание по ст. 10 Закона № 152-ФЗ и выполнены требования конфиденциальности. При отсутствии основания Заказчик не вправе передавать такие сведения, а Исполнитель применяет доступные средства их отсечения, маскирования или блокирования.

5. Операции по исходным персональным данным внутри Kvality: получение, запись, извлечение, структурирование, хранение, локальное распознавание речи, удаление/обобщение идентификаторов, локальное объединение оценки с карточкой, передача уполномоченному Заказчиком получателю, блокирование, удаление и уничтожение. Операции внешнего ИИ выполняются исключительно над обезличенным текстом заявки либо обезличенной расшифровкой без передачи исходных персональных данных и ключей сопоставления.

6. При акцепте оферты Заказчик документированно поручает Исполнителю выполнять локальное распознавание, обезличивание и использовать GigaChat и NeuralDeep для анализа уже обезличенного текста. Отдельная подписываемая форма согласования ИИ для каждого Заказчика не требуется. Ни акцепт, ни инструкция Заказчика не предоставляют право передавать в нейросети персональные данные заявителей. Перечень технологических ИИ-поставщиков и ограничение их функций раскрываются в настоящем Приложении; изменение на обработку исходных ПДн нейросетями не допускается без пересмотра архитектуры и документов.

7. Ограничение по провайдерам: GigaChat — только первичный анализ обезличенного текста исходной заявки, не распознаёт звонок, не получает аудио и необезличенный текст. NeuralDeep — только анализ обезличенного транскрипта и, при необходимости, обезличенных признаков предыдущего этапа; использовать разрешено только проверенные модели NeuralDeep, работающие на собственных серверах в РФ. В оба сервиса запрещено передавать телефоны, ФИО, email, адреса, сведения о здоровье, оригинальные аудио, полные расшифровки, идентификаторы заявок и любые материалы с возможностью идентификации лица. Если очистка не проходит проверку — внешний вызов отменяется.

8. Заказчик гарантирует законность записи и передачи звонков, соблюдение требований к информированию и, когда нужно, получению согласий, наличию оснований для последующего поручения, а также определение разрешённых категорий и каналов уведомлений. Заказчик не должен загружать медицинские документы, анамнезы, результаты обследований и содержание врачебных консультаций без специального правового и технического режима, который данным стандартным поручением не предоставляется.

9. Исполнитель обрабатывает данные только по документированным инструкциям Заказчика и условиям данного поручения; соблюдает конфиденциальность, требования локализации и ст. 18.1 и 19 Закона № 152-ФЗ, ограничивает права доступа, обеспечивает журналирование и применимые меры защиты, содействует ответам на обращения субъектов, подтверждает меры защиты по запросу Заказчика.

10. При признаках инцидента Исполнитель незамедлительно уведомляет Заказчика, чтобы тот мог соблюсти законные сроки уведомления уполномоченного органа (24/72 часа в установленных законом случаях), предоставляет имеющиеся факты и результаты расследования, сохраняет необходимые доказательства.

11. По прекращении договора Исполнитель удаляет/возвращает данные по единой матрице хранения и обязательным срокам ст. 21 Закона № 152-ФЗ. Договорные периоды хранения не отменяют право оператора потребовать более раннего законного удаления или необходимость прекратить обработку при исчезновении правового основания.

12. Заказчик несёт ответственность перед субъектом как оператор в пределах закона; Исполнитель отвечает перед Заказчиком за собственное неисполнение Поручения. Ни одна оговорка не освобождает Исполнителя от прямо установленных законом обязанностей и санкций.

13. Документированным подтверждением инструкций являются настройки проекта, выбранные интеграции, разрешённые режимы A/B/C, действия уполномоченных пользователей и обращения, направленные по официальным каналам. Исполнитель вправе отказать в явно противоправной инструкции и информирует Заказчика.

14. Этапы: (а) получение исходных данных Kvality по поручению; (б) локальная транскрибация без вызова внешних нейросетей; (в) отдельная очистка сообщения заявки и полного транскрипта; (г) передача исключительно обезличенного сообщения GigaChat для первичной классификации; (д) передача исключительно обезличенного транскрипта NeuralDeep для содержательного анализа; (е) получение вердиктов и их локальное присоединение к необезличенной карточке заявки в Kvality; (ж) доставка A/B/C по настройке Заказчика.

15. Категорически запрещено передавать GigaChat, NeuralDeep либо иным внешним генеративным ИИ персональные данные, оригинальное аудио, необезличенную расшифровку, ключи обратного соответствия, tenant_id и lead_id. Локальный контур распознавания речи должен функционировать под техническим контролем Kvality без отправки исходного аудио внешнему API распознавания. ИИ-запросы не должны содержать и косвенно идентифицирующих деталей. Для NeuralDeep дополнительно обязателен проверенный российский маршрут конкретной модели.

16. Заказчик гарантирует, что надлежащим образом проинформировал лицо о записи разговора и автоматизированном анализе обращения, обеспечил основание для обработки и поручения в соответствии с Законом № 152-ФЗ и, если применимо, требованиями сохранения врачебной тайны. Формат информирования и согласия определяется применимыми нормами, а не произвольной отметкой в настройках Kvality. Исполнитель оказывает содействие предоставлением типовых текстов.

17. Если пациент сообщает симптомы, диагноз, результаты обследований или лечение при административной записи, фрагмент распознаётся и исключается ДО внешнего ИИ-анализа, а не оценивается NeuralDeep как медицинская информация. При сомнении в качестве очистки или законности первоначальной обработки запрос блокируется; исходная запись продолжает обрабатываться лишь на соответствующем правовом основании по инструкциям Заказчика.

18. Документированные инструкции включают выбранные категории заявок, режимы A/B/C, категории данных, перечень интеграций, административные действия Заказчика и настоящий Договор. Исполнитель вправе остановить противоправную либо технически непроверенную передачу. Риски Заказчика не охватывают технические нарушения самого Исполнителя.

19. Обезличивание для передачи ИИ оценивается по возможности идентификации лица на основании всех доступных провайдеру сведений и контекста. Простая псевдонимизация, удаление только телефона или постоянный хеш без исключения косвенных идентификаторов недостаточны. Таблица сопоставления доступна только Kvality и логически/физически отделяется от текстов для ИИ.

20. Исключение из запрета на передачу персональных данных в нейросети настоящим Поручением не предусмотрено. Любой запрос модели, не прошедший проверку обезличивания, не направляется вовне. Для оказания услуги Заказчику допускается возврат статуса о невозможности ИИ-анализа данного обращения.

2. Единая матрица сроков хранения

• Обращения, контакты, источник: 180 календарных дней с даты получения обращения; ранее — по команде Заказчика или прекращении основания.
• Аудиозаписи: 30 календарных дней с даты получения аудиозаписи.
• Расшифровки: 90 календарных дней с даты создания расшифровки.
• Временные данные ИИ: не более 7 календарных дней в служебных очередях и временных файлах Kvality; запросы и ответы ИИ не используются для обучения моделей Kvality.
• Вердикты и объяснения: 180 календарных дней с даты формирования вердикта и объяснения.
• Журналы доставки: 90 календарных дней для технических журналов доставки без содержимого заявки.
• Резервные копии: не более 30 календарных дней после удаления из активной системы при циклической ротации, без восстановления удалённых данных в продуктив без повторного удаления.
• Логи безопасности: 12 месяцев для технических логов безопасности без текстов обращений и аудио.
• Данные кабинета после прекращения договора: в период действия договора и до 30 дней после прекращения — для операционных записей, если не возникло самостоятельного законного основания хранения.
• Доказательства согласий: на протяжении действия согласия и 3 года после прекращения соответствующей обработки — как стандарт договорного доказательного хранения при наличии законного основания; период пересматривается при споре и обязательных сроках.
• Бухгалтерские документы: 5 лет после отчётного года для первичных бухгалтерских документов либо более длительный обязательный срок, если применим.
• Переписка поддержки: 12 месяцев после закрытия обращения, исключая сведения заявителей клиента, если они случайно оказались в переписке.

Все периоды — договорные стандарты хранения, а не универсальные сроки, прямо установленные законом. Если закон, обязательное предписание или законное удержание данных для защиты права требуют иного срока, применяется соответствующее основание; если цель обработки достигнута раньше и иных оснований нет, данные удаляются в сроки ст. 21 Закона № 152-ФЗ. Данные могут быть удалены Заказчиком ранее через функционал сервиса; удаление фиксируется. Фактические сроки хранения на стороне ИИ-провайдера должны быть совместимы с этими правилами и его подтверждёнными условиями.

3. Шаблон уведомления абонента клиники перед записью разговора

«Здравствуйте! Для обработки вашего обращения и организации записи разговор может записываться и анализироваться с применением автоматизированных технологий и привлечённых технических сервисов. Если вы не хотите продолжать разговор с записью, сообщите оператору — мы предложим доступный альтернативный способ обращения».

Этот текст является шаблоном информирования, а не универсальным правовым основанием. Клиника выбирает корректные согласия и альтернативы с учётом своей телефонии и категории данных.

4. Шаблон дополнения к политике клиники/агентства

«В целях рассмотрения обращений и организации записи мы используем сервис Kvality (ИП Осипенко С.А.), которому поручаем обработку данных, необходимых для приёма и маршрутизации обращений. Запись телефонных разговоров и их локальная текстовая расшифровка выполняются на применимом законном основании. Для автоматизированной оценки Kvality передаёт системам GigaChat и NeuralDeep только обезличенные текстовые материалы: в GigaChat — обезличенный текст заявки, в NeuralDeep — обезличенную расшифровку разговора. Аудиозаписи, ФИО, телефоны, контакты и сведения, позволяющие установить личность, этим ИИ-сервисам не передаются. Результат анализа сопоставляется с заявкой внутри Kvality. Порядок реализации прав субъектов определяется нашей политикой и законодательством».

5. Чек-лист гарантий, принимаемых клиентом при подключении

При включении загрузки звонков администратор Заказчика подтверждает: (а) организационную запись, не медицинские консультации; (б) законность аудиозаписи; (в) информирование субъектов и необходимые основания для поручения и последующего привлечения; (г) настройку минимизации и перечня получателей; (д) соблюдение требований тайны и специальных категорий, если они случайно возникают; (е) согласие с Приложением 1 в действующей версии.

6. Дополнение к Приложению 1 — телефонные обращения и проектный ИИ-анализ

21. Заказчик как оператор поручает дополнительно обработку данных проекта для формирования сводной маркетинговой, продуктовой и операционной аналитики: выборка в пределах конкретного проекта, статистический расчёт, группировка, минимизация, обезличивание, агрегация, подготовка отчёта и визуализаций, хранение и удаление результатов. Источники: статистика посещений, событий, конверсий, формы, заявки, звонки, оценки качества лидов, рекламные источники и кампании при наличии разрешённых интеграций.

22. Категории субъектов: посетители ресурсов Заказчика, заявители, абоненты, контрагенты, пользователи кабинета. Перечень данных на внутреннем этапе: события/источники, время и параметры кампаний, служебные идентификаторы, статусы заявок, содержание доступных обращений и звонков в пределах исходного разрешённого режима. Во внешний ИИ направляются только агрегаты и результат проверенного обезличивания, не позволяющие идентифицировать человека.

23. Запуск отчёта, вопрос в кабинете и выбор периода — документированная инструкция Заказчика в границах настоящего поручения. Заказчик определяет допустимые источники, назначает уполномоченных пользователей, подтверждает правовые основания сбора, записи и передачи данных, в том числе с соблюдением врачебной тайны. Исполнитель не должен исполнять запросы на внешнюю генеративную обработку персональных данных.

24. До подачи в GigaChat, NeuralDeep либо иные генеративные модели Kvality применяет проверку персональных и косвенных идентификаторов, редких контекстных сочетаний, малых групп и пользовательских вопросов. История вопросов/ответов хранится до 90 дней, сохранённые отчёты — до 180 дней, временные файлы — до 7 дней, если не требуется более раннее удаление. Отдельное Приложение 2 к Оферте содержит расширенные условия проектного ИИ.

25. Для телефонных разговоров Заказчик обеспечивает доказуемое информирование, корректный режим записи, при необходимости — отдельное согласие, а при обращениях пациентов — применимое основание раскрытия сведений, составляющих врачебную тайну. При отсутствии необходимого основания исходное аудио не передаётся Исполнителю. Отказ абонента от записи обрабатывается альтернативным маршрутом. Наличие согласия пользователя на сайте Kvality не является согласием абонента Заказчика.

26. Исполнитель обеспечивает конфиденциальность, разделение арендаторов, контроль прав, аудит доступа, локальное хранение исходных персональных данных и отказ от передачи данных во внешний ИИ при недостаточной степени обезличивания. Поручение не отменяет ответственность Исполнителя за его собственные нарушения.