Условия использования функций искусственного интеллекта (AI) и трансграничной передачи персональных данных

Приложение № [НОМЕР] к Договору-оферте на предоставление доступа к облачному сервису (CRM) «Lugovets»

СТАТУС ДОКУМЕНТА: ЧЕРНОВИК (DRAFT), подготовлен с помощью AI-ассистента. НЕ является юридической консультацией и НЕ имеет юридической силы до утверждения владельцем и/или профильным юристом по 152-ФЗ и введения в действие в порядке, предусмотренном Договором-офертой. Перед публикацией обязательна проверка практикующим юристом (152-ФЗ + договорное право).

Редакция: v0.3 (draft) Дата редакции: [ДАТА] Исполнитель (Оператор сервиса): [РЕКВИЗИТЫ ИСПОЛНИТЕЛЯ: ИП/ООО, ОГРН(ИП), ИНН, юр. адрес, e-mail для юридически значимых сообщений]

1. Термины и роли сторон в обработке персональных данных

1.1. В настоящих Условиях используются следующие термины:

• «Сервис» — облачная CRM-система «Lugovets» (программно-аппаратный комплекс), доступ к которой предоставляется Исполнителем на условиях Договора-оферты.
• «Исполнитель» (далее также «Lugovets», «Платформа») — [РЕКВИЗИТЫ], предоставляющий доступ к Сервису.
• «Пользователь» (далее также «Арендатор») — юридическое лицо или индивидуальный предприниматель, заключивший с Исполнителем Договор-оферту и использующий Сервис исключительно в целях осуществления предпринимательской (профессиональной) деятельности.
• «Субъекты ПДн Пользователя» — физические лица, чьи персональные данные Пользователь обрабатывает с использованием Сервиса (покупатели, получатели заказов, контактные лица Пользователя и иные физические лица, данные которых Пользователь вносит в Сервис).
• «AI-функции» — функциональные возможности Сервиса, реализуемые с использованием больших языковых моделей (LLM) и иных алгоритмов искусственного интеллекта (подбор вариантов ответов, краткое изложение переписки, классификация и приоритизация обращений, аналитические подсказки и иные функции, перечень которых приведён в разделе 4).
• «AI-провайдер» — третье лицо (поставщик технологий искусственного интеллекта либо посредник, предоставляющий доступ к таким технологиям через программный интерфейс, в том числе агрегатор/маршрутизатор API), которому в ходе работы AI-функций передаются данные для машинной обработки. Актуальный перечень AI-провайдеров (включая посредников), стран их размещения и стран фактической обработки данных приведён в Приложении 1 к настоящим Условиям.
• «Трансграничная передача ПДн» — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу (п. 11 ст. 3 152-ФЗ).
• «Поручение на обработку» — поручение Пользователя Исполнителю на обработку персональных данных Субъектов ПДн Пользователя по правилам ч. 3 ст. 6 152-ФЗ, оформленное в составе Договора-оферты и/или отдельного соглашения об обработке персональных данных (DPA).

1.2. Распределение ролей в обработке персональных данных (КЛЮЧЕВОЕ ПОЛОЖЕНИЕ). Стороны прямо подтверждают и соглашаются, что:

1.2.1. В отношении персональных данных Субъектов ПДн Пользователя (покупателей и иных физических лиц Пользователя):

• Пользователь является Оператором этих персональных данных (определяет цели обработки, состав обрабатываемых данных и состав совершаемых с ними действий — п. 2 ст. 3 152-ФЗ);
• Исполнитель является лицом, осуществляющим обработку персональных данных по поручению Оператора (обработчиком) в соответствии с ч. 3 ст. 6 152-ФЗ. Исполнитель обрабатывает такие данные исключительно в объёме и в целях, определённых Пользователем, и по его поручению, соблюдая принципы и правила, предусмотренные 152-ФЗ, и требования к защите обрабатываемых данных, предусмотренные ст. 19 152-ФЗ.

1.2.2. В отношении персональных данных самого Пользователя (контактного лица, реквизитов, данных представителей Пользователя, переданных при регистрации и в ходе использования Сервиса) Исполнитель является Оператором и обрабатывает их в соответствии со своей Политикой обработки персональных данных, размещённой по адресу [URL ПОЛИТИКИ].

1.3. Из распределения ролей по п. 1.2 следует распределение обязанностей в отношении трансграничной передачи и AI-функций, изложенное в разделах 5–8 настоящих Условий.

1.4. Оговорка о правах субъектов персональных данных (императивная норма). Никакое положение настоящих Условий и Договора-оферты не ограничивает и не может быть истолковано как ограничивающее права физических лиц — Субъектов ПДн, предусмотренные 152-ФЗ (в том числе право на доступ, уточнение, блокирование, удаление данных, отзыв согласия, обжалование действий оператора). Условия, ущемляющие права субъектов персональных данных, ничтожны. Распределение обязанностей между Исполнителем и Пользователем по настоящим Условиям действует во внутренних отношениях сторон и не уменьшает объём прав субъектов по закону и не изменяет распределение публично-правовой ответственности перед уполномоченным органом, установленное законом.

2. Предмет и основания

2.1. Настоящие Условия определяют порядок использования AI-функций Сервиса и связанной с ними трансграничной передачи персональных данных, а также распределяют обязанности и ответственность сторон в части соблюдения требований законодательства Российской Федерации о персональных данных — в той мере, в какой такое распределение допускается законом.

2.2. Настоящие Условия являются неотъемлемой частью Договора-оферты. Акцепт Договора-оферты в порядке ст. 438 ГК РФ (в том числе путём проставления отметки в соответствующем поле формы регистрации и/или совершения конклюдентных действий по использованию Сервиса) означает присоединение Пользователя к настоящим Условиям (ст. 428 ГК РФ — договор присоединения). Электронный акцепт признаётся подписанным простой электронной подписью в соответствии со ст. 5, 6 63-ФЗ «Об электронной подписи»; настоящими Условиями и Договором-офертой стороны заранее согласовали случаи и порядок признания электронных документов, подписанных простой ЭП, равнозначными документам на бумажном носителе.

2.3. Использование AI-функций является дополнительной и необязательной возможностью Сервиса. Базовая функциональность Сервиса доступна Пользователю независимо от использования AI-функций (см. раздел 7 «Отказ от AI-функций (opt-out)»).

2.4. Поскольку Пользователь использует Сервис исключительно в целях осуществления предпринимательской (профессиональной) деятельности, а не для личных, семейных, домашних и иных нужд, не связанных с её осуществлением, к отношениям сторон не применяется законодательство Российской Федерации о защите прав потребителей (Закон РФ от 07.02.1992 № 2300-1 «О защите прав потребителей» — в силу преамбулы указанного Закона). Настоящая оговорка не затрагивает прав физических лиц — Субъектов ПДн Пользователя; такие лица в любом случае пользуются правами, предоставленными им законодательством о персональных данных (152-ФЗ), независимо от условий настоящего B2B-договора.

3. Как работают AI-функции технически

3.1. При использовании AI-функций отдельные данные (фрагменты текстов переписки, обращений, заметок и иные данные, обрабатываемые Сервисом по поручению Пользователя) могут передаваться AI-провайдеру (в том числе через посредника, предоставляющего доступ к AI-технологиям) для машинной обработки и возврата результата (предлагаемого ответа, сводки, классификации и т. п.).

3.2. Меры минимизации перед передачей. Исполнитель применяет на стороне Сервиса автоматическое обезличивание/маскирование прямых идентификаторов и иных чувствительных данных перед передачей данных AI-провайдеру в объёме, технически реализованном в Сервисе на момент передачи. По состоянию на дату редакции реализовано автоматическое маскирование, в частности:

• номеров телефонов (например, до вида +7 ** XX);
• адресов электронной почты (например, до вида x@);
• полных почтовых адресов (с обобщением до уровня населённого пункта);
• номеров банковских карт, номеров паспортов, СНИЛС, ИНН, банковских счетов (IBAN), а также ссылок (URL), содержащих токены/ключи доступа;

а также автоматическое выявление признаков особых категорий и иных чувствительных сведений (например, упоминания несовершеннолетних, данных о состоянии здоровья) для ограничения их машинной обработки. Конкретный перечень и алгоритмы маскирования соответствуют технической реализации Сервиса (модуль обезличивания) и могут уточняться. Маскирование осуществляется автоматизированными средствами с применением шаблонов распознавания и не гарантирует выявления и сокрытия всех персональных данных, содержащихся в произвольном тексте (см. п. 3.3).

[ВОПРОС ВЛАДЕЛЬЦУ] Перечень в п. 3.2 приведён в соответствие с фактическим кодом модуля ai-sanitizer (маскирует phone/email/card/passport/snils/inn/iban/address/url-token + risk-flags для несовершеннолетних/мед.данных). Поддерживать соответствие при изменении кода. Не указывать в документе того, что технически не реализовано, и не описывать меры как «полное обезличивание» — неполное/неточное описание мер защиты создаёт юр.риск (вводящие в заблуждение заверения, ст. 431.2 ГК РФ; претензии РКН по ст. 18.1, 19 152-ФЗ). Формулировки в п. 3.2/3.3 намеренно осторожны.

3.3. Исполнитель не гарантирует полное исключение возможности попадания персональных данных в передаваемые AI-провайдеру данные, поскольку содержание свободного текста определяется Пользователем и Субъектами ПДн Пользователя. Ответственность за состав вносимых в Сервис данных несёт Пользователь как Оператор (раздел 8). Маскирование, предусмотренное п. 3.2, применяется как дополнительная (defence-in-depth) мера и не заменяет обязанности Пользователя по минимизации обрабатываемых данных (ч. 5 ст. 5 152-ФЗ).

3.4. Гарантии со стороны AI-провайдеров (в том числе обязательство не использовать передаваемые данные для обучения моделей, ограниченный срок хранения, меры безопасности) фиксируются Исполнителем в соглашениях с соответствующими AI-провайдерами (Data Processing Agreement / условия использования API) в той мере, в какой такие гарантии предоставляются провайдерами. Сведения о таких гарантиях приведены в Приложении 1 и предоставляются Пользователю по запросу в объёме, не нарушающем конфиденциальность таких соглашений и достаточном для исполнения Пользователем обязанностей, предусмотренных ч. 5–6 ст. 12 152-ФЗ. Если в отношении отдельного AI-провайдера или посредника соответствующие гарантии и/или сведения по ч. 5–6 ст. 12 152-ФЗ не получены, такой провайдер не используется для AI-функций, влекущих трансграничную передачу в государства, не обеспечивающие адекватную защиту, либо его использование сопровождается предупреждением Пользователю в Приложении 1.

4. Перечень AI-функций

4.1. AI-функции Сервиса могут включать, в частности:

а) автоматический подбор предлагаемых вариантов ответов для сотрудников Пользователя; б) краткое изложение (резюмирование) длинных переписок и обращений; в) классификацию и приоритизацию обращений (в т. ч. оценку тональности); г) подсказки по сегментации и аналитике обращений; д) иные функции, описание которых доступно в интерфейсе Сервиса и/или документации.

4.2. AI-функции носят вспомогательный, рекомендательный характер. Решения, имеющие юридические последствия для Субъектов ПДн Пользователя либо иным образом затрагивающие их права, принимает Пользователь (его сотрудники); принятие решений исключительно на основании автоматизированной обработки в значении ст. 16 152-ФЗ Сервисом не осуществляется. Обязанность по соблюдению требований ст. 16 152-ФЗ (если автоматизированная обработка будет настроена Пользователем) лежит на Пользователе как на Операторе.

4.3. Конкретный состав доступных AI-функций определяется тарифным планом и настройками Сервиса и может изменяться. Об изменении состава AI-функций, состава AI-провайдеров (включая посредников) и/или стран обработки Исполнитель уведомляет Пользователя в порядке раздела 9.

5. Трансграничная передача персональных данных (ст. 12 152-ФЗ)

5.1. Использование AI-функций, реализуемых на стороне иностранных AI-провайдеров, влечёт трансграничную передачу персональных данных в иностранные государства, в которых размещаются AI-провайдеры и/или осуществляется фактическая обработка данных (см. Приложение 1). По состоянию на дату редакции к таким государствам относятся, в частности: [ПЕРЕЧЕНЬ СТРАН — заполняется строго по фактически используемым провайдерам, в том числе с учётом стран обработки у посредников/агрегаторов API]. Актуальный перечень стран приведён в Приложении 1 и поддерживается Исполнителем в актуальном состоянии. Отдельные AI-функции могут реализовываться с использованием провайдеров — резидентов Российской Федерации, и в этом случае трансграничная передача не осуществляется (отмечается в Приложении 1).

5.2. Сведения об адекватной защите (ст. 12 152-ФЗ).

5.2.1. Часть иностранных государств из Приложения 1 не включена в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, утверждаемый уполномоченным органом, и/или не является стороной Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных. В Приложении 1 для каждого государства указывается его статус («обеспечивает адекватную защиту» / «не обеспечивает адекватную защиту») по состоянию на дату актуализации Приложения.

5.2.2. Уведомление о намерении осуществлять трансграничную передачу (раздел 6) подаётся Оператором в отношении всех трансграничных передач, независимо от того, обеспечивает ли государство-получатель адекватную защиту (ч. 3 ст. 12 152-ФЗ).

5.2.3. Трансграничная передача в государства, не обеспечивающие адекватную защиту, допускается при одновременном соблюдении условий, предусмотренных ст. 12 152-ФЗ, в том числе при наличии согласия субъекта персональных данных в письменной форме на трансграничную передачу его персональных данных и при условии получения Оператором (Пользователем) до начала такой передачи от иностранного получателя сведений, предусмотренных ч. 5 ст. 12, и гарантий, предусмотренных ч. 6 ст. 12 152-ФЗ. Согласие в письменной форме может быть оформлено в форме электронного документа, подписанного электронной подписью, в случаях и в порядке, предусмотренных законом.

5.3. Кто получает согласие субъектов на трансграничную передачу (КЛЮЧЕВОЕ ПОЛОЖЕНИЕ).

5.3.1. Согласно распределению ролей (п. 1.2.1), Оператором персональных данных Субъектов ПДн Пользователя является Пользователь. Следовательно, обязанность получить от каждого Субъекта ПДн Пользователя предусмотренное ст. 12 152-ФЗ согласие на трансграничную передачу его персональных данных в письменной форме (для государств, не обеспечивающих адекватную защиту), а равно обеспечить иное законное основание такой передачи, возлагается на Пользователя как на Оператора.

5.3.2. Исполнитель не получает согласие Субъектов ПДн Пользователя на трансграничную передачу и не выступает Оператором в отношении этих данных. Исполнитель предоставляет лишь техническую возможность обработки (AI-функции) и средства управления ею, включая возможность отказа от AI-функций (раздел 7).

5.3.3. Пользователь подтверждает и гарантирует Исполнителю, что до начала использования AI-функций, влекущих трансграничную передачу, в отношении персональных данных конкретного Субъекта ПДн Пользователя он получил все необходимые согласия и/или обеспечил иные законные основания обработки и трансграничной передачи в соответствии со ст. 6, 9, 12 152-ФЗ, выполнил обязанности по уведомлению уполномоченного органа (раздел 6) и получил от иностранных получателей сведения и гарантии по ч. 5–6 ст. 12 152-ФЗ.

5.4. Обязанности Исполнителя по согласиям своих субъектов. В отношении персональных данных самого Пользователя (его контактных лиц/представителей), Оператором которых является Исполнитель (п. 1.2.2), получение согласия на трансграничную передачу (при её наличии) и соблюдение ст. 12 152-ФЗ обеспечивает Исполнитель самостоятельно.

6. Уведомление Роскомнадзора о трансграничной передаче (ч. 3–4 ст. 12 152-ФЗ)

6.1. В соответствии с ч. 3 ст. 12 152-ФЗ (в редакции Федерального закона от 14.07.2022 № 266-ФЗ, действующей с 01.03.2023) Оператор обязан до начала осуществления трансграничной передачи персональных данных уведомить уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) о своём намерении осуществлять трансграничную передачу персональных данных. Указанное уведомление является отдельным от уведомления об обработке персональных данных (ст. 22 152-ФЗ) и подаётся независимо от того, обеспечивает ли государство-получатель адекватную защиту.

6.2. Кто подаёт уведомление (КЛЮЧЕВОЕ ПОЛОЖЕНИЕ). Обязанность подать уведомление о намерении осуществлять трансграничную передачу персональных данных Субъектов ПДн Пользователя, дождаться истечения срока, отведённого законом для возможного принятия Роскомнадзором решения о запрете или ограничении трансграничной передачи (для передач в государства, не обеспечивающие адекватную защиту), а равно учесть такое решение при его принятии, возлагается на Пользователя как на Оператора этих данных (п. 1.2.1). Исполнитель не подаёт такое уведомление от имени Пользователя. Во внутренних отношениях сторон Исполнитель не отвечает за неподачу или несвоевременную подачу Пользователем такого уведомления; настоящее положение не изменяет распределения публично-правовой ответственности, установленного законом.

6.3. В уведомлении о намерении осуществлять трансграничную передачу Оператор указывает сведения, предусмотренные ч. 4 ст. 12 152-ФЗ, в частности: сведения об операторе; цель трансграничной передачи; перечень иностранных государств; дату планируемого начала передачи; иные предусмотренные законом сведения. Для подготовки уведомления Пользователь использует сведения о странах и получателях, приведённые в Приложении 1; Исполнитель оказывает Пользователю разумное информационное содействие в предоставлении таких сведений по запросу.

6.4. До передачи персональных данных в государство, не обеспечивающее адекватную защиту, Оператор (Пользователь) обязан получить от иностранного получателя сведения, предусмотренные ч. 5 ст. 12 152-ФЗ, и убедиться в наличии гарантий, предусмотренных ч. 6 ст. 12 152-ФЗ. Сведения, необходимые для исполнения этой обязанности в отношении AI-провайдеров, Исполнитель предоставляет в Приложении 1 и по запросу — в объёме, которым располагает Исполнитель.

6.5. Уведомление Исполнителем уполномоченного органа о трансграничной передаче персональных данных, Оператором которых является сам Исполнитель (п. 1.2.2), осуществляется Исполнителем самостоятельно.

[ВОПРОС ВЛАДЕЛЬЦУ] Принять решение: (а) обязывать ли Арендатора подтверждать факт подачи им уведомления в РКН до активации AI-функций (чек-бокс/декларация в ЛК) как условие включения AI; (б) предоставлять ли Арендатору шаблон уведомления в РКН и рекомендуемый текст согласия субъектов. Это снижает риск Lugovets, перекладывая исполнение публичной обязанности на Оператора-Арендатора, как и требует закон. ВНИМАНИЕ: даже при таком распределении РКН может рассматривать самого Исполнителя как лицо, осуществляющее трансграничную передачу (фактически данные пересекают границу через инфраструктуру Исполнителя). Перенос обязанности на Арендатора защищает Исполнителя во внутренних (договорных) отношениях, но НЕ гарантирует отсутствие самостоятельной публично-правовой обязанности Исполнителя уведомить РКН о собственной трансграничной передаче. Этот вопрос — обязательно к живому юристу (см. residualRisks).

7. Отказ от AI-функций (opt-out)

7.1. Пользователь вправе в любой момент отказаться от использования AI-функций Сервиса полностью или частично без объяснения причин. Управление AI-функциями осуществляется в личном кабинете Пользователя в разделе [РАЗДЕЛ ЛК — например, «Настройки → Искусственный интеллект»].

7.2. По умолчанию AI-функции, влекущие трансграничную передачу, отключены (opt-in) до их явного включения уполномоченным представителем Пользователя. Включение AI-функций означает подтверждение Пользователем гарантий, изложенных в п. 5.3.3 и разделе 8.

7.3. После отключения AI-функций Исполнитель прекращает передачу новых данных AI-провайдерам для соответствующих функций в технически разумный срок. Отключение AI-функций не влияет на доступность базовой функциональности Сервиса.

7.4. Исполнитель обеспечивает техническую возможность для Пользователя реализовать право конкретного Субъекта ПДн Пользователя на отзыв согласия / прекращение AI-обработки его данных (например, исключение записи из AI-обработки). Рассмотрение и исполнение обращений Субъектов ПДн Пользователя по существу (в сроки, установленные 152-ФЗ) обеспечивает Пользователь как Оператор; Исполнитель как обработчик содействует Пользователю техническими средствами в разумные сроки.

7.5. Отключение AI-функций не отменяет ранее возникших обязанностей Оператора (Пользователя) в отношении уже осуществлённой трансграничной передачи (в т. ч. по ст. 12, 22 152-ФЗ).

8. Гарантии, заверения и ответственность сторон

8.1. Заверения и гарантии Пользователя (ст. 431.2 ГК РФ). Пользователь заверяет Исполнителя и гарантирует, что:

а) он является надлежащим Оператором персональных данных Субъектов ПДн Пользователя и обрабатывает их на законных основаниях (ст. 6 152-ФЗ); б) он получил все необходимые согласия Субъектов ПДн Пользователя, включая согласие на трансграничную передачу в письменной форме (для государств, не обеспечивающих адекватную защиту, — в порядке ст. 12 152-ФЗ), либо обеспечил иное законное основание такой передачи — до начала использования AI-функций, влекущих трансграничную передачу, в отношении данных соответствующего субъекта; в) он выполнил обязанности по уведомлению Роскомнадзора (раздел 6), включая уведомление о намерении осуществлять трансграничную передачу; г) он довёл до сведения Субъектов ПДн Пользователя информацию об обработке, использовании AI и трансграничной передаче в объёме, требуемом ст. 9, 18 152-ФЗ; д) внесение им (и его сотрудниками) данных в Сервис и их обработка с использованием AI-функций не нарушают прав третьих лиц и законодательства РФ.

8.2. Обязанности Исполнителя. Исполнитель обязуется:

а) обрабатывать персональные данные Субъектов ПДн Пользователя только по поручению Пользователя и в пределах, определённых Договором-офертой и DPA, соблюдая принципы и правила 152-ФЗ (ч. 3 ст. 6); б) применять реализованные в Сервисе правовые, организационные и технические меры защиты персональных данных в соответствии со ст. 18.1, 19 152-ФЗ (в части, относящейся к обработчику по ч. 3 ст. 6 152-ФЗ); в) предоставлять техническую возможность отказа от AI-функций (раздел 7) и разумное информационное содействие по запросу (разделы 5, 6); г) поддерживать в актуальном состоянии Приложение 1; д) не передавать персональные данные, обрабатываемые по поручению Пользователя, третьим лицам, кроме AI-провайдеров и посредников, указанных в Приложении 1, и иных привлечённых обработчиков, раскрытых Пользователю, за исключением случаев, предусмотренных законом.

8.3. Распределение ответственности (ст. 401 ГК РФ).

8.3.1. Во внутренних отношениях сторон ответственность за законность обработки и трансграничной передачи персональных данных Субъектов ПДн Пользователя (включая получение согласий, уведомление РКН, информирование субъектов и ответы на их обращения) несёт Пользователь как Оператор. Во внутренних отношениях сторон Исполнитель не отвечает за неисполнение Пользователем обязанностей Оператора. Настоящее распределение действует в отношениях между сторонами и не изменяет и не уменьшает ответственности обработчика и/или лица, осуществляющего трансграничную передачу, перед субъектом персональных данных и уполномоченным органом, установленной императивными нормами закона.

8.3.2. Пользователь обязуется возместить Исполнителю документально подтверждённые убытки (ст. 15, 393 ГК РФ) и оградить его от обоснованных претензий, требований, штрафов и санкций третьих лиц и государственных органов (регресс), возникших вследствие нарушения Пользователем заверений и гарантий п. 8.1 (в том числе вследствие отсутствия согласий субъектов, неподачи уведомления в РКН, превышения объёма поручения), — в пределах и в порядке, допускаемых законодательством РФ. Возмещению подлежат только реальные документально подтверждённые расходы и суммы фактически уплаченных штрафов; настоящий пункт не освобождает Исполнителя от ответственности за собственные нарушения и не применяется в части, в какой убытки вызваны действиями (бездействием) самого Исполнителя. [ВОПРОС ВЛАДЕЛЬЦУ: согласовать объём и формулировку регресса/indemnity с юристом; «оградить от претензий» (hold harmless) — нетипичная для российского права конструкция, суд может истолковать ограничительно; для B2B допустима возмездная конструкция через возмещение убытков по ст. 15, 393 ГК РФ.]

8.3.3. Ограничение ответственности Исполнителя. Совокупная ответственность Исполнителя перед Пользователем по обстоятельствам, связанным с AI-функциями и трансграничной передачей, ограничивается [РАЗМЕР — например: суммой вознаграждения, фактически уплаченного Пользователем за период [СРОК — например, 3 месяца], предшествующий событию, повлёкшему ответственность]. Исполнитель не возмещает упущенную выгоду и иные косвенные убытки, а также не отвечает за корректность, полноту и пригодность результатов работы AI-функций (результаты носят вспомогательный, рекомендательный характер; решения принимает Пользователь). Указанные ограничения не применяются к ответственности за умышленное нарушение обязательств: заранее заключённое соглашение об устранении или ограничении ответственности за умышленное нарушение ничтожно (п. 4 ст. 401 ГК РФ). Ограничения также не применяются в иных случаях, когда ограничение или исключение ответственности прямо запрещено законом, и не затрагивают обязанностей и ответственности сторон, установленных императивными нормами 152-ФЗ перед субъектами персональных данных и уполномоченным органом.

8.3.4. Характер предоставления AI-функций. AI-функции являются дополнительной (вспомогательной) возможностью Сервиса и предоставляются на условиях фактической доступности соответствующих технологий AI-провайдеров. В отношении вспомогательных AI-функций Исполнитель не принимает на себя обязательств по обеспечению бесперебойности, отсутствия ошибок и достижения определённого качества результата машинной обработки и вправе приостанавливать их работу для обслуживания, по требованию AI-провайдера, при недоступности провайдера либо при изменении регулирования. Настоящая оговорка относится исключительно к вспомогательным AI-функциям и не освобождает Исполнителя от обязанности оказывать услуги по предоставлению доступа к базовому Сервису на условиях Договора-оферты (ст. 779–781 ГК РФ). [ВОПРОС ВЛАДЕЛЬЦУ: согласовать с юристом совместимость оговорки с условиями Договора-оферты о качестве/доступности Сервиса; формулировку в стиле «as is/as available» применять осторожно — для возмездных услуг по гл. 39 ГК РФ полный отказ от качества по основной услуге недопустим, поэтому оговорка ограничена именно вспомогательными AI-функциями.]

8.4. Форс-мажор. Стороны освобождаются от ответственности за неисполнение обязательств вследствие обстоятельств непреодолимой силы в значении п. 3 ст. 401 ГК РФ, а также вследствие действий/бездействия AI-провайдеров и посредников, изменения их условий, ограничений или прекращения доступа к их сервисам по независящим от Исполнителя причинам, включая санкционные и регуляторные ограничения. Отсутствие у должника необходимых денежных средств и нарушение обязанностей со стороны его контрагентов сами по себе к обстоятельствам непреодолимой силы не относятся.

9. Изменение Условий, перечня AI-провайдеров и стран

9.1. Исполнитель вправе изменять состав AI-провайдеров и посредников, перечень стран обработки (Приложение 1) и настоящие Условия (ст. 450, 452 ГК РФ; для договора присоединения — с учётом ст. 428 ГК РФ). Существенные изменения, влияющие на трансграничную передачу (новый провайдер/посредник/страна обработки), Исполнитель доводит до Пользователя заблаговременно, не менее чем за [СРОК — например, 14 (четырнадцать) календарных дней] до вступления изменений в силу.

9.2. Уведомление осуществляется одним из способов: размещение новой редакции в Сервисе и/или направление сообщения на контактный e-mail Пользователя и/или уведомление в интерфейсе Сервиса.

9.3. При несогласии с изменениями, влекущими новую трансграничную передачу, Пользователь вправе отказаться от AI-функций (раздел 7). Продолжение использования AI-функций после вступления изменений в силу означает согласие Пользователя с ними. Если новая трансграничная передача затрагивает новое государство/получателя, такая передача в отношении данных Пользователя не начинается до вступления изменений в силу и (при необходимости) выполнения Пользователем обязанностей по разделам 5–6.

9.4. При появлении нового государства/провайдера/посредника Пользователь самостоятельно оценивает необходимость актуализации полученных им согласий субъектов и уведомления Роскомнадзора (разделы 5, 6) до начала фактической передачи в новое государство/новому получателю.

10. Заключительные положения

10.1. Настоящие Условия регулируются и толкуются в соответствии с законодательством Российской Федерации.

10.2. Споры, не урегулированные путём переговоров, подлежат рассмотрению в [СУД — например, Арбитражном суде по месту нахождения Исполнителя], с соблюдением обязательного претензионного порядка (срок ответа на претензию — [СРОК — например, 30 календарных дней]). [ВОПРОС ВЛАДЕЛЬЦУ: проверить с юристом допустимость договорной подсудности «по месту нахождения Исполнителя» для B2B — для арбитражных споров договорная подсудность допустима (ст. 37 АПК РФ), но условие не должно лишать сторону доступа к правосудию.]

10.3. Недействительность отдельных положений настоящих Условий не влечёт недействительности остальных положений. Если какое-либо положение настоящих Условий окажется ничтожным как ущемляющее права субъектов персональных данных либо как иным образом противоречащее императивным нормам, оно не применяется, а соответствующие отношения регулируются непосредственно законом; остальные положения сохраняют силу.

10.4. В части, не урегулированной настоящими Условиями, применяются положения Договора-оферты, соглашения об обработке персональных данных (DPA) и законодательства РФ. При противоречии между настоящими Условиями и императивными нормами 152-ФЗ применяются нормы закона.

Приложение 1. Перечень AI-провайдеров, посредников и стран трансграничной передачи

ВАЖНО (по результатам сверки с кодом Сервиса). Маршрутизатор AI-функций Сервиса (llm-router) использует несколько провайдеров. Для функций без признака PII цепочка по умолчанию включает DeepSeek (КНР) как основной провайдер и Anthropic/Claude (США) — при этом доступ к Claude может осуществляться напрямую (api.anthropic.com, США) либо через посредника-агрегатора (например, OpenRouter — указать страну обработки посредника). Для PII-чувствительных функций используется YandexGPT (Россия, без трансграничной передачи). Перечень ниже ДОЛЖЕН отражать фактически активные провайдеры и их транспорт на момент запуска; нельзя ограничиваться только США/Anthropic.

[ВОПРОС ВЛАДЕЛЬЦУ] Заполнить Приложение 1 строго по фактически используемым AI-провайдерам И посредникам (агрегаторам API) с указанием реальной страны обработки данных у каждого звена. Для каждой страны проверить актуальный статус по перечню РКН (перечень обновляется). Уведомление о намерении трансграничной передачи в РКН подаётся для ЛЮБОЙ страны (адекватной и неадекватной). Если используется посредник (OpenRouter и т.п.) — указать как самостоятельного получателя и страну его обработки; согласие субъекта и сведения по ч. 5–6 ст. 12 должны покрывать ВСЕ звенья цепочки.

Чек-лист для интеграции акцепта (для разработки)

• Отдельный чек-бокс (не предзаполнен) в форме регистрации/ЛК: «Я ознакомлен(а) с Условиями использования AI и трансграничной передачи и принимаю их от имени Пользователя».
• Запись акцепта в таблицу tenant_agreement (append-only): tenant_id, type='ai_xborder', version, hash, accepted_at, ip, user_agent, accepted_by_user_id.
• AI-функции, влекущие трансграничную передачу, — opt-in, по умолчанию выключены; включение фиксируется отдельным событием с timestamp и идентификатором представителя Пользователя.
• (Опционально, по решению владельца) Декларация Арендатора о подаче уведомления в РКН до включения AI.
• На стороне Сервиса применяется автоматическое маскирование PII (модуль ai-sanitizer) ДО любого AI-вызова, независимо от наличия согласий — defence-in-depth. Маршрутизация PII-чувствительных данных — на RF-резидента (YandexGPT), без трансграничной передачи.
• Перечень провайдеров в Приложении 1 должен программно соответствовать активной цепочке llm-router (DeepSeek/Claude/посредник/YandexGPT). При изменении провайдеров — обновлять Приложение 1 и уведомлять Пользователей (раздел 9).