Обновлено 5 октября 2026
Настоящий договор заключается между бизнесом, который пользуется Ally-agent («Контролёр»), и оператором сервиса, указанным в реквизитах («Обработчик»). Он является частью договора об оказании услуг и действует с момента начала использования сервиса, пока сервис используется.
Контролёр определяет, зачем и как обрабатываются персональные данные его клиентов, и отвечает за правовое основание такой обработки. Обработчик обрабатывает данные только по поручению Контролёра, как описано здесь.
Обработчик предоставляет ИИ-ассистента с клиентской базой и календарём. По поручению Контролёра он отвечает на обращения в мессенджерах, на сайте и, если включено, по телефону; создаёт, переносит и отменяет записи; отправляет напоминания, просьбы об отзыве и сообщения, которые составляет Контролёр; ведёт клиентскую базу; показывает Контролёру аналитику, посчитанную по его собственным данным.
Обработка длится в течение срока договора об оказании услуг и завершается удалением или возвратом данных, как описано ниже.
Субъекты данных: клиенты Контролёра и люди, которые к нему обращаются; сотрудники Контролёра, которые пользуются сервисом (учётные записи, роли, рабочие часы).
Данные: имя, номер телефона, идентификаторы и имена аккаунтов в мессенджерах, язык; содержание сообщений и звонков, включая расшифровки и, если Контролёр это включил, записи звонков; записи (услуга, время, сотрудник, цена, статус); заметки и тэги, которые добавляет Контролёр; отметки о согласии и отказе; технические записи, необходимые для доставки сообщений.
Сервис не предназначен для особых категорий данных. Если Контролёр — медицинская организация, сам факт записи может раскрывать информацию о здоровье; Контролёр отвечает за правовое основание такой обработки и даёт Обработчику соответствующие поручения.
Обработчик обрабатывает персональные данные только по документированным поручениям Контролёра: настоящий договор, настройки, которые Контролёр делает в сервисе (каналы, база знаний, правила, права участников), и любое письменное поручение. Если Обработчик считает, что поручение нарушает законодательство о защите данных, он незамедлительно сообщает об этом Контролёру.
Все, кто действует по поручению Обработчика и имеет доступ к персональным данным, связаны обязательством конфиденциальности.
Технические и организационные меры: данные хранятся и обрабатываются в Европейском союзе (AWS, регион Франкфурт); они шифруются при передаче и при хранении; каждый бизнес живёт в собственной изолированной схеме базы данных, так что ни один запрос одного бизнеса не может достичь данных другого; доступ — по ролям, и владелец решает, кто из участников видит клиентскую базу, выручку и экспорт; выгрузки и доступ платформы к данным бизнеса записываются в журнал аудита; учётные данные и ключи хранятся в управляемом хранилище секретов; база данных резервируется автоматически каждый день; на телефонных звонках ассистент сообщает, что он ИИ и что звонок может записываться.
Контролёр даёт общее разрешение на следующих субобработчиков: Amazon Web Services (хостинг, база данных, резервные копии и модели ИИ через Amazon Bedrock в регионе ЕС); Meta — WhatsApp, Instagram и Messenger — и Telegram, каждый только когда Контролёр подключает этот канал; Twilio (телефония) и ElevenLabs (синтез голоса и обработка звонков) — только когда Контролёр включает телефонные звонки.
Обработчик сообщает Контролёру о намерении добавить или заменить субобработчика не менее чем за 14 дней. Контролёр может возразить по обоснованным причинам; если решение не найдено, Контролёр вправе прекратить затронутую часть сервиса.
Хостинг, база данных и модели ИИ остаются в Европейском союзе. Провайдеры мессенджеров и телефонии могут обрабатывать данные за пределами Европейской экономической зоны на своих условиях; в таких случаях передача опирается на стандартные договорные положения Европейской комиссии или решение об адекватности. Какие из этих каналов подключать, выбирает Контролёр.
Персональные данные клиента хранятся 12 месяцев после его последнего контакта с Контролёром — записи, сообщения или звонка — и затем обезличиваются автоматически: имя, номер телефона, идентификаторы мессенджеров, заметки и тэги удаляются, а записи остаются как обезличенная статистика визитов.
По запросу Контролёра — или когда клиент обращается к Контролёру либо напрямую к Обработчику — Обработчик удаляет персональные данные клиента без неоправданной задержки и не позднее 30 дней, тем же способом. Контролёр может сделать это сам в любой момент из карточки клиента. Каждая выгрузка клиентской базы записывается в журнал: кто, когда и сколько строк.
По окончании договора об оказании услуг Контролёр может выгрузить свои данные в течение 30 дней; затем Обработчик удаляет персональные данные и сохраняет только обезличенные агрегаты, если законодательство Союза или государства-члена не требует хранить данные дольше. Резервные копии перезаписываются в обычной ротации в течение нескольких дней.
С учётом характера обработки Обработчик содействует Контролёру в ответах на запросы субъектов данных: доступ, исправление, удаление, ограничение, переносимость (клиентскую базу можно выгрузить) и возражение (клиент, ответивший стоп-словом, больше сообщений не получает). Запросы, поступившие напрямую Обработчику, без неоправданной задержки передаются Контролёру.
Обработчик содействует Контролёру в исполнении обязанностей по статьям 32–36 GDPR, включая оценку воздействия на защиту данных и предварительные консультации с надзорным органом, с учётом доступной ему информации.
Обработчик уведомляет Контролёра об утечке персональных данных без неоправданной задержки и не позднее 48 часов с момента, как ему стало о ней известно, с информацией, необходимой Контролёру для собственного уведомления, и содействует в локализации и расследовании.
Обработчик предоставляет всю информацию, необходимую для подтверждения соблюдения настоящего договора, и допускает и содействует аудитам, включая проверки, проводимым Контролёром или уполномоченным им аудитором: один раз в любые 12 месяцев или после утечки персональных данных, с уведомлением за 30 дней, в рабочее время, под обязательством конфиденциальности и за счёт Контролёра.
Настоящий договор действует, пока действует договор об оказании услуг; обязательства по удалению и конфиденциальности сохраняются после его окончания. Ответственность определяется договором об оказании услуг и статьёй 82 GDPR. Применимое право и подсудность — те же, что в договоре об оказании услуг; в вопросах персональных данных приоритет имеет настоящий договор.
Вопросы по настоящему договору направляются на контактный адрес, указанный в реквизитах.