Поручительный договор обработки ПДн (DPA)

Версия v1 от 30 апреля 2026 г. — публичная оферта по ст.6 ч.3 ФЗ-152

1. Стороны

Оператор — клиент Stexa AI, юридическое или физическое лицо, активирующее тариф через личный кабинет (далее — «Тенант»). Обработчик — ИП/ООО «Стекса», предоставляющий платформу Stexa AI (далее — «Stexa»). Контакт по DPA: privacy@stexa.ru.

2. Предмет

Stexa обрабатывает ПДн третьих лиц (звонящих в боты Тенанта) от имени и в интересах Тенанта в объёме, необходимом для оказания услуги голосового AI-ассистента, согласно настройкам в кабинете Тенанта.

3. Категории субъектов и ПДн

• Звонящие в номера, подключённые к платформе.
• Обрабатываются: телефонный номер, имя (если назвал), содержание разговора (транскрипт), результаты функций (запись/перенос/отмена в YClients/CRM Тенанта).

4. Цели и срок

Цели — исполнение услуг по основному договору с Тенантом (обработка входящих/исходящих звонков, выполнение действий в CRM/YClients по поручению звонящего). Срок — до прекращения договора с Тенантом + 90 дней retention (биллинг и спорные случаи).

5. Технические и организационные меры (ст.19 ФЗ-152)

• Серверы — в Российской Федерации (Москва).
• TLS 1.2+ для всех каналов передачи.
• Fernet (AES-128-CBC + HMAC-SHA256) для критичных полей at-rest.
• Транскрипты — Fernet-encrypted, retention 90 дней с автопокистанием cron'ом.
• Пароли — bcrypt rounds=12.
• Доступ к данным — ролевая модель (user/admin/superadmin), JWT-аутентификация.
• Регулярный security-аудит (последний — апрель 2026).

6. Локализация и трансграничная передача

По умолчанию ПДн обрабатываются в РФ. Использование зарубежных AI-провайдеров (OpenAI, ElevenLabs) отключено и требует отдельной активации Stexa с предварительным согласием Тенанта на трансграничную передачу (ст.12 ФЗ-152).

7. Обязанности Stexa как обработчика

• Обрабатывать ПДн только в целях, согласованных с Тенантом.
• Не передавать ПДн субподрядчикам без письменного согласия Тенанта.
• Уведомить Тенанта об инциденте в сроки 24/72 часа (ст.21 ФЗ-152).
• Удалить ПДн после прекращения договора + истечения retention.
• По запросу Тенанта предоставить данные для исполнения прав субъекта (ст.14-16 ФЗ-152).

8. Обязанности Тенанта

• Иметь правовое основание для обработки ПДн своих клиентов.
• Информировать своих клиентов о том, что обработка передана Stexa как обработчику.
• Обеспечить голосовое информирование звонящих о записи и AI-обработке (Stexa включает соответствующий префикс к greeting'у автоматически).
• Не передавать в Stexa специальные категории ПДн (медицина, биометрия) без согласования с Stexa.

9. Ответственность

Каждая сторона несёт ответственность за соблюдение ФЗ-152 в зоне своего контроля. Размер штрафов и убытков — в рамках действующего основного договора Тенанта со Stexa.

10. Срок и расторжение

DPA действует с момента активации первого тарифа Тенантом и прекращается одновременно с основным договором + 90 дней retention.

11. Изменения

Stexa уведомляет об изменениях DPA через email и нотификацию в кабинете не менее чем за 14 дней до вступления в силу. Продолжение использования означает согласие с обновлённой редакцией.

12. Принятие оферты

Активация любого тарифа Тенантом признаётся принятием условий настоящего Договора. Текст архивируется по запросу: privacy@stexa.ru.