Оновлено 5 жовтня 2026
Цей договір укладається між бізнесом, який користується Ally-agent («Контролер»), та оператором сервісу, зазначеним у реквізитах («Обробник»). Він є частиною договору про надання послуг і діє з моменту початку використання сервісу, поки сервіс використовується.
Контролер визначає, навіщо і як обробляються персональні дані його клієнтів, і відповідає за правову підставу такої обробки. Обробник обробляє дані лише за дорученням Контролера, як описано тут.
Обробник надає ШІ-асистента з клієнтською базою та календарем. За дорученням Контролера він відповідає на звернення в месенджерах, на сайті та, якщо увімкнено, телефоном; створює, переносить і скасовує записи; надсилає нагадування, прохання про відгук і повідомлення, які складає Контролер; веде клієнтську базу; показує Контролеру аналітику, пораховану за його власними даними.
Обробка триває протягом строку договору про надання послуг і завершується видаленням або поверненням даних, як описано нижче.
Суб'єкти даних: клієнти Контролера та люди, які до нього звертаються; працівники Контролера, які користуються сервісом (облікові записи, ролі, робочі години).
Дані: ім'я, номер телефону, ідентифікатори та імена акаунтів у месенджерах, мова; зміст повідомлень і дзвінків, включно з розшифровками та, якщо Контролер це увімкнув, записами дзвінків; записи (послуга, час, працівник, ціна, статус); нотатки й теги, які додає Контролер; позначки згоди та відмови; технічні записи, потрібні для доставки повідомлень.
Сервіс не призначений для особливих категорій даних. Якщо Контролер — медичний заклад, сам факт запису може розкривати інформацію про здоров'я; Контролер відповідає за правову підставу такої обробки і дає Обробнику відповідні доручення.
Обробник обробляє персональні дані лише за задокументованими дорученнями Контролера: цей договір, налаштування, які Контролер робить у сервісі (канали, база знань, правила, права учасників), і будь-яке письмове доручення. Якщо Обробник вважає, що доручення порушує законодавство про захист даних, він негайно повідомляє про це Контролера.
Усі, хто діє за дорученням Обробника і має доступ до персональних даних, зв'язані зобов'язанням конфіденційності.
Технічні та організаційні заходи: дані зберігаються й обробляються в Європейському Союзі (AWS, регіон Франкфурт); вони шифруються під час передачі та зберігання; кожен бізнес живе у власній ізольованій схемі бази даних, тож жоден запит одного бізнесу не може дістатися даних іншого; доступ — за ролями, і власник вирішує, хто з учасників бачить клієнтську базу, виручку та експорт; вивантаження та доступ платформи до даних бізнесу записуються в журнал аудиту; облікові дані й ключі зберігаються в керованому сховищі секретів; база даних резервується автоматично щодня; на телефонних дзвінках асистент повідомляє, що він ШІ і що дзвінок може записуватися.
Контролер дає загальний дозвіл на таких субобробників: Amazon Web Services (хостинг, база даних, резервні копії та моделі ШІ через Amazon Bedrock у регіоні ЄС); Meta — WhatsApp, Instagram і Messenger — та Telegram, кожен лише коли Контролер підключає цей канал; Twilio (телефонія) та ElevenLabs (синтез голосу й обробка дзвінків) — лише коли Контролер вмикає телефонні дзвінки.
Обробник повідомляє Контролера про намір додати або замінити субобробника щонайменше за 14 днів. Контролер може заперечити з обґрунтованих причин; якщо рішення не знайдено, Контролер має право припинити відповідну частину сервісу.
Хостинг, база даних і моделі ШІ залишаються в Європейському Союзі. Провайдери месенджерів і телефонії можуть обробляти дані за межами Європейської економічної зони на своїх умовах; у таких випадках передача спирається на стандартні договірні положення Європейської комісії або рішення про адекватність. Які з цих каналів підключати, вибирає Контролер.
Персональні дані клієнта зберігаються 12 місяців після його останнього контакту з Контролером — запису, повідомлення або дзвінка — і потім знеособлюються автоматично: ім'я, номер телефону, ідентифікатори месенджерів, нотатки й теги видаляються, а записи залишаються як знеособлена статистика візитів.
На запит Контролера — або коли клієнт звертається до Контролера чи безпосередньо до Обробника — Обробник видаляє персональні дані клієнта без невиправданої затримки і не пізніше 30 днів, тим самим способом. Контролер може зробити це сам будь-коли з картки клієнта. Кожне вивантаження клієнтської бази записується в журнал: хто, коли і скільки рядків.
Після закінчення договору про надання послуг Контролер може вивантажити свої дані протягом 30 днів; потім Обробник видаляє персональні дані і зберігає лише знеособлені агрегати, якщо законодавство Союзу або держави-члена не вимагає зберігати дані довше. Резервні копії перезаписуються у звичайній ротації протягом кількох днів.
З урахуванням характеру обробки Обробник сприяє Контролеру у відповідях на запити суб'єктів даних: доступ, виправлення, видалення, обмеження, перенесення (клієнтську базу можна вивантажити) та заперечення (клієнт, який відповів стоп-словом, більше повідомлень не отримує). Запити, що надійшли безпосередньо Обробнику, без невиправданої затримки передаються Контролеру.
Обробник сприяє Контролеру у виконанні обов'язків за статтями 32–36 GDPR, включно з оцінкою впливу на захист даних і попередніми консультаціями з наглядовим органом, з урахуванням доступної йому інформації.
Обробник повідомляє Контролера про витік персональних даних без невиправданої затримки і не пізніше 48 годин з моменту, як йому стало про нього відомо, з інформацією, потрібною Контролеру для власного повідомлення, і сприяє в локалізації та розслідуванні.
Обробник надає всю інформацію, необхідну для підтвердження дотримання цього договору, і допускає та сприяє аудитам, включно з перевірками, які проводить Контролер або уповноважений ним аудитор: один раз на будь-які 12 місяців або після витоку персональних даних, з повідомленням за 30 днів, у робочий час, під зобов'язанням конфіденційності та коштом Контролера.
Цей договір діє, поки діє договір про надання послуг; зобов'язання щодо видалення та конфіденційності зберігаються після його закінчення. Відповідальність визначається договором про надання послуг і статтею 82 GDPR. Застосовне право і підсудність — ті самі, що в договорі про надання послуг; у питаннях персональних даних пріоритет має цей договір.
Питання щодо цього договору надсилаються на контактну адресу, зазначену в реквізитах.