Приложение № 1

Соглашение об обработке персональных данных

Кто за что отвечает, когда через Платформу проходят данные людей: заказчик — оператор, Исполнитель — уполномоченное лицо. С перечнем действий, мерами защиты и сроком уведомления об инциденте.

Редакция
от 26 августа 2026 года

Настоящее Соглашение является Приложением № 1 к Условиям использования платформы FlyAI и его неотъемлемой частью. Термины употребляются в значениях Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (далее — Закон) и Закона Республики Беларусь от 10.11.2008 № 455-З «Об информации, информатизации и защите информации».

1. Общие положения

1.1. Исполнитель по поручению и в интересах Заказчика обрабатывает персональные данные, полученные от Заказчика в рамках оказания услуг, посредством совершения с ними следующих действий:

  • хранение данных рабочего пространства Заказчика на информационно-технических ресурсах Платформы, включая резервные копии;
  • передача для обработки запросов Заказчика вычислительным мощностям поставщиков моделей искусственного интеллекта, в том числе за пределами Республики Беларусь, — после применения правил маскировки, установленных Заказчиком в своём рабочем пространстве;
  • доступ к данным рабочего пространства — по заявкам Заказчика для устранения инцидентов, влияющих на работоспособность и безопасность, либо при условии предварительного уведомления Заказчика для пресечения киберинцидентов и фиксации обстоятельств их совершения;
  • удаление данных рабочего пространства и их резервных копий в связи с исполнением или расторжением договора, если Заказчик не удалил их самостоятельно.

1.2. Целью обработки является предоставление Заказчику работоспособного рабочего пространства Платформы и оказание услуг, предусмотренных договором.

1.3. При обработке персональных данных в соответствии с пунктом 1.1 Заказчик выступает в качестве оператора, а Исполнитель — в качестве уполномоченного лица.

1.4. За исключением случаев, указанных в пункте 1.1, Исполнитель не имеет доступа к содержанию переписки Заказчика с ИИ-партнёром: записи журнала шифруются открытой половиной ключа, закрытая половина в инфраструктуре Исполнителя отсутствует. Исполнитель не предоставляет данные Заказчика третьим лицам без правового основания, предусмотренного законодательством Республики Беларусь.

1.5. Правовое основание обработки персональных данных, включая основание для их обработки Исполнителем и для трансграничной передачи, обеспечивает Заказчик как оператор.

2. Права и обязанности Заказчика (оператора)

2.1. Заказчик вправе:

  • давать Исполнителю указания по обработке персональных данных в рамках цели, указанной в пункте 1.2;
  • запрашивать информацию об обработке персональных данных, в том числе подтверждающую принятие мер защиты по разделу 4. Информация предоставляется в течение 3 рабочих дней со дня запроса.

2.2. Заказчик обязуется:

  • обеспечивать в период действия договора наличие правовых оснований на обработку персональных данных, включая их обработку Исполнителем;
  • своевременно предоставлять Исполнителю информацию, необходимую для исполнения настоящего Соглашения;
  • настраивать правила маскировки персональных данных в своём рабочем пространстве в объёме, соответствующем характеру обрабатываемых им данных;
  • незамедлительно сообщать Исполнителю об обстоятельствах, препятствующих исполнению обязательств по настоящему Соглашению.

3. Права и обязанности Исполнителя (уполномоченного лица)

3.1. Исполнитель вправе:

  • запрашивать у Заказчика информацию, необходимую для исполнения Соглашения;
  • при поступлении заявлений субъектов персональных данных уведомлять заявителей о необходимости обращаться к Заказчику как к оператору.

3.2. Исполнитель обязуется:

  • обрабатывать персональные данные исключительно в объёме и для цели, указанных в разделе 1, и не использовать их в собственных целях;
  • не использовать данные Заказчика для обучения, дообучения или разработки моделей искусственного интеллекта — ни обобщённых, ни персонализированных;
  • предоставлять доступ к персональным данным только тем работникам, которым он необходим для исполнения трудовых обязанностей, и отзывать доступ не позднее последнего дня выполнения соответствующих задач, а при прекращении трудовых отношений — не позднее последнего дня работы;
  • принимать меры защиты, предусмотренные разделом 4;
  • уведомлять Заказчика о факте несанкционированного доступа к персональным данным не позднее 24 часов с момента выявления;
  • прекратить обработку и удалить персональные данные, включая резервные копии, в порядке раздела 5;
  • привлекать иных уполномоченных лиц (поставщиков инфраструктуры и вычислительных мощностей) только при условии возложения на них обязанностей не ниже предусмотренных настоящим Соглашением.

4. Меры защиты персональных данных

4.1. Исполнитель применяет, как минимум, следующие меры:

  • размещение данных на информационно-технических ресурсах, находящихся на территории Республики Беларусь, у поставщика, привлечённого в качестве уполномоченного лица на условиях не ниже настоящего Соглашения;
  • шифрование записей журнала взаимодействия с ИИ-партнёром без хранения закрытой половины ключа в инфраструктуре Исполнителя;
  • автоматическое удаление персональных данных из запросов перед их передачей за пределы защищённого периметра по настраиваемым правилам рабочего пространства;
  • отдельная фиксация состава данных, покидающих периметр, для ответа на законные запросы уполномоченных органов;
  • разграничение доступа между рабочими пространствами разных заказчиков средствами Платформы;
  • хранение реквизитов доступа к внешним сервисам Заказчика в зашифрованном виде с расшифровкой только в оперативной памяти в момент выполнения операции;
  • многофакторная аутентификация входа в кабинет по выбору Заказчика и журналирование событий входа;
  • резервное копирование и восстановление работоспособности рабочего пространства.

4.2. Заказчик признаёт, что в момент формирования ответа ИИ-партнёр обрабатывает текст запроса в открытом виде в оперативной памяти. Открытый текст не записывается на диск и не покидает периметр Платформы иначе как в порядке пункта 1.1.

5. Срок обработки и удаление

5.1. Обработка персональных данных Исполнителем осуществляется в течение срока действия договора.

5.2. В течение 30 календарных дней с даты прекращения договора Исполнитель удаляет персональные данные Заказчика, включая резервные копии, если Заказчик не удалил их самостоятельно ранее. По письменному требованию Заказчика удаление производится в срок не более 2 рабочих дней.

5.3. Заказчик признаёт, что удаление ключей рабочего пространства делает восстановление зашифрованных записей невозможным для любой из Сторон.

6. Ответственность

6.1. Ответственность перед субъектом персональных данных за действия Исполнителя по обработке персональных данных в рамках договора и настоящего Соглашения несёт Заказчик как оператор. Исполнитель несёт ответственность перед Заказчиком.

6.2. В рамках ответственности перед государственными органами каждая из Сторон отвечает за собственные действия.

6.3. В остальном ответственность Сторон определяется Условиями использования и законодательством Республики Беларусь.

7. Обращения по вопросам персональных данных

Вопросы, связанные с обработкой персональных данных, направляются Исполнителю по адресу info@flyai.by либо по адресу: 220117, Республика Беларусь, г. Минск, пр-т Любимова, д. 39, пом. 1Н. Лицо, ответственное за внутренний контроль за обработкой персональных данных у Исполнителя — директор Бельчин Николай Михайлович.