Внешние обработчики и международные передачи
Этот реестр описывает сервис-провайдеров, которые используются или зарезервированы для EU/GDPR тестовый контур. Production-реестр должен быть проверен перед запуском и отражён в договорах, DPA и оценках трансграничной передачи.
Платный биллинг отключён на период открытой беты. Отключённые или планируемые провайдеры ниже задокументированы, чтобы их нельзя было включить незаметно без юридической и технической проверки.
Реестр обработчиков
| Сервис | Статус | Цель | Категории данных | Страна / передача |
|---|---|---|---|---|
| Хостинг-провайдер | активен | Хостинг приложения, хранение, база данных и статические файлы. | Данные аккаунта, вводные проверки, отчёты, audit/security logs. | Грузия как планируемый/текущий тестовый хостинг. Если размещение вне ЕЭЗ и нет решения об адекватности, нужны SCC и transfer impact assessment. |
| Hostinger SMTP | активен | Подтверждение регистрации, сброс пароля и транзакционные письма. | Email-адрес, одноразовые токены и минимальные метаданные сообщений. | EU/other. DPA/SCC при применимости. |
| DeepSeek API | активен | Опциональная генерация дополнительных LLM-отчётов. | Факты проверки, необходимые для отчёта. Данные платёжных карт никогда не передаются. | Третья страна. До production-релиза нужны DPA/SCC и transfer impact assessment. |
| Google Tag Manager / Google Analytics | по согласию | Опциональная аналитика и улучшение продукта. | Cookie/device identifiers и события использования только после согласия на аналитику. | EU/US. Требуется согласие; DPA/SCC при применимости. |
| Логирование приложения | активен | Безопасность, диагностика ошибок и audit trail. | IP-адрес, user id при авторизации, endpoint, user agent, события безопасности. | Хранится вместе с application hosting. Доступ должен быть ограничен уполномоченными сотрудниками. |
| Почтовый ящик поддержки | активен | Поддержка пользователей, жалобы и privacy-запросы. | Email-адрес, содержание запроса и вложения, добровольно предоставленные пользователем. | EU/other. DPA/SCC при размещении вне ЕЭЗ. |
| Платёжный провайдер | отключён | Checkout, счета, VAT и возвраты после запуска платного биллинга. | Платёжная идентификация и payment tokens. AiActs не должен хранить PAN/CVV. | TBD. До активации требуются PCI DSS provider, DPA и процесс VAT/invoice. |
| CDN-провайдер | не используется | Доставка статических файлов, если будущий масштаб потребует CDN. | IP-адрес, request headers, логи статических файлов. | TBD. DPA/SCC требуются до активации. |
Меры защиты при передаче
- Минимизировать данные, передаваемые каждому провайдеру.
- Держать опциональную аналитику и маркетинг отключёнными до согласия пользователя.
- Использовать DPA и Standard Contractual Clauses, если данные покидают ЕЭЗ без решения об адекватности.
- Проверить subprocessors до платного публичного релиза.
- Для российского RU-инстанса проверить, создают ли зарубежные провайдеры требования уведомления РКН или ограничения локализации.
Версия 1.1 · Открытая бета · EU/GDPR тестовый контур
Главная · Приватность · Условия · Согласие · Правовая информация