GDPR і DPA
Підписуємо угоду про обробку даних, коли є персональні дані. Обробка обмежена вашою метою.
Як ми працюємо з даними
Правила діють у кожному проєкті, не лише в регульованих галузях.
NDA до доступу
Конфіденційність підписуємо до того, як побачимо код, доступи або дані клієнтів.
Мінімум прав
Кожен інженер отримує лише доступ, потрібний для задачі. Після роботи доступ знімаємо.
Мінімум даних
Не копіюємо продакшн-дані на локальні машини. Тестові дані синтетичні або знеособлені.
Безпечна розробка
Перевірка вводу, підготовлені запити, nonce і перевірка прав, екранування виводу, огляд залежностей.
Правила для AI
Дані клієнта не йдуть у публічні AI-інструменти без письмової згоди. RAG-системи працюють у вашій інфраструктурі або приватному середовищі.
Які документи підписуємо
Стандартний набір паперів для аутсорс-проєкту.
До роботи
- Взаємна угода про конфіденційність
- Договір послуг з обсягом і етапами
- Угода про обробку даних, якщо є персональні дані
- Додаток про політику доступу й безпеки
- Список субпідрядників, за запитом
Під час передачі
- Передача вихідного коду й репозиторію
- Список ліцензій сторонніх бібліотек
- Нотатки з розгортання й середовищ
- Підтвердження видалення даних
- Документація з архітектури й експлуатації
Робота з даними на практиці
Дані проєкту за можливості залишаються у ваших системах. Якщо потрібна робоча копія, вона лежить у середовищі з контролем доступу та іменними користувачами і видаляється після завершення робіт. Резервні копії шифруються, доступи зберігаються в менеджері паролів, а не в документах чи чатах.
В AI-функціях ми розділяємо модель і дані. Індекси для пошуку будуються з ваших документів і розміщуються у вашому середовищі або приватній хмарі. Контент клієнта не використовуємо для навчання публічних моделей. Запити й відповіді логуємо для контролю якості лише якщо це дозволяє договір.
Ми - український ФОП, а не сертифікована організація ISO чи SOC 2. Якщо закупівля вимагає сертифікат, якого в нас немає, говоримо про це до договору, а не після.
Питання та відповіді
Питання закупівлі й безпеки, які ставлять найчастіше.
Ви відповідаєте GDPR?
Працюємо за принципами GDPR і підписуємо DPA з клієнтами з ЄС. Відповідність залежить і від ваших процесів, і від розміщення даних, тому свою частину описуємо прямо.
Де знаходиться команда?
В Україні. Працюємо віддалено з клієнтами з Європи, США та Азії, години перетину погоджуємо до старту.
Можете працювати в нашій інфраструктурі?
Так. Працюємо у вашому репозиторії, хмарному акаунті й трекері за вашими правилами доступу.
Використовуєте AI-інструменти на коді клієнта?
Лише з письмової згоди. Якщо дозволено, беремо інструменти без навчання на даних клієнта і не передаємо їм чутливі файли.
Що відбувається з даними після проєкту?
Доступи знімаємо, робочі копії видаляємо, видалення підтверджуємо письмово. Код і документація залишаються у вас.