GDPR и DPA
Подписываем соглашение об обработке данных, когда есть персональные данные. Обработка ограничена вашей целью.
Как мы работаем с данными
Правила действуют в каждом проекте, не только в регулируемых отраслях.
NDA до доступа
Конфиденциальность подписываем до того, как увидим код, доступы или данные клиентов.
Минимум прав
Каждый инженер получает только доступ, нужный для задачи. После работы доступ снимаем.
Минимум данных
Не копируем продакшен-данные на локальные машины. Тестовые данные синтетические или обезличенные.
Безопасная разработка
Проверка ввода, подготовленные запросы, nonce и проверка прав, экранирование вывода, обзор зависимостей.
Правила для AI
Данные клиента не уходят в публичные AI-инструменты без письменного согласия. RAG-системы работают в вашей инфраструктуре или приватном окружении.
Какие документы подписываем
Стандартный набор бумаг для аутсорс-проекта.
До работы
- Взаимное соглашение о конфиденциальности
- Договор услуг с объёмом и этапами
- Соглашение об обработке данных, если есть персональные данные
- Дополнение о политике доступа и безопасности
- Список субподрядчиков, по запросу
При передаче
- Передача исходного кода и репозитория
- Список лицензий сторонних библиотек
- Заметки по развёртыванию и окружениям
- Подтверждение удаления данных
- Документация по архитектуре и эксплуатации
Работа с данными на практике
Данные проекта по возможности остаются в ваших системах. Если нужна рабочая копия, она лежит в окружении с контролем доступа и именными пользователями и удаляется по завершении работ. Резервные копии шифруются, доступы хранятся в менеджере паролей, а не в документах или чатах.
В AI-функциях мы разделяем модель и данные. Индексы для поиска строятся из ваших документов и размещаются в вашем окружении или приватном облаке. Контент клиента не используем для обучения публичных моделей. Запросы и ответы логируем для контроля качества только если это разрешает договор.
Мы - украинский ФОП, а не сертифицированная организация ISO или SOC 2. Если закупка требует сертификат, которого у нас нет, говорим об этом до договора, а не после.
Вопросы и ответы
Вопросы закупки и безопасности, которые задают чаще.
Вы соответствуете GDPR?
Работаем по принципам GDPR и подписываем DPA с клиентами из ЕС. Соответствие зависит и от ваших процессов, и от размещения данных, поэтому свою часть описываем прямо.
Где находится команда?
В Украине. Работаем удалённо с клиентами из Европы, США и Азии, часы пересечения согласуем до старта.
Можете работать в нашей инфраструктуре?
Да. Работаем в вашем репозитории, облачном аккаунте и трекере по вашим правилам доступа.
Используете AI-инструменты на коде клиента?
Только с письменного согласия. Если разрешено, берём инструменты без обучения на данных клиента и не передаём им чувствительные файлы.
Что происходит с данными после проекта?
Доступы снимаем, рабочие копии удаляем, удаление подтверждаем письменно. Код и документация остаются у вас.