СОГЛАШЕНИЕ ОБ ОБРАБОТКЕ ДАННЫХ
Соглашение об обработке данных, понятным языком.
v1.2.1 · Действует с даты публикации
Написано так, чтобы ваш DPO мог утвердить его за один присест. Каждое положение, субобработчик и мера защиты задокументированы полностью. Подписанный PDF содержит то же содержание.
СФЕРА ПРИМЕНЕНИЯ И РОЛИ
Кто что делает с какими данными.
Согласно этому DPA, Клиент является контролёром данных, а Sageio действует как обработчик от имени Клиента. Sageio обрабатывает персональные данные только для предоставления услуг по договору — перевода встреч в реальном времени, расшифровки и резюмирования — и только по документированным инструкциям Клиента. Этот DPA является частью Соглашения о подписке между Sageio и Клиентом; в случае конфликта DPA имеет преимущественную силу в вопросах обработки персональных данных. Он применяется ко всем операциям обработки, выполняемым в связи с платформой Sageio.
ОБРАБАТЫВАЕМЫЕ ДАННЫЕ
Что мы обрабатываем и почему имеем право.
| Категория данных | Цель обработки | Правовое основание (ст. 6 GDPR) | Хранение |
|---|---|---|---|
| Аудио встреч | Расшифровка речи в текст и перевод во время встречи. | Ст. 6(1)(b) — исполнение договора. | Передаётся потоком для расшифровки в реальном времени и обрабатывается только в памяти; никогда не записывается в хранилище. Не используется для обучения моделей. |
| Расшифровки и переводы встреч | Хранение и доступ для участников рабочего пространства Клиента. | Ст. 6(1)(b) — исполнение договора. | Хранятся до удаления Клиентом или удаления аккаунта. |
| Резюме и задачи | Сгенерированные ИИ результаты встречи, полученные из расшифровки. | Ст. 6(1)(b) — исполнение договора. | Следует хранению расшифровки. |
| Идентификаторы аккаунта (имя, email, роль) | Аутентификация, доступ к рабочему пространству и журналирование аудита. | Ст. 6(1)(b) — исполнение договора. | Срок действия аккаунта плюс 30 дней после закрытия. |
| Метаданные рабочего пространства и использования | Работа сервиса, сверка биллинга и предотвращение злоупотреблений. | Ст. 6(1)(b) и ст. 6(1)(f) — законный интерес в целостности сервиса. | 12 месяцев с момента создания. |
| Журналы аудита | Мониторинг безопасности и проверка доступа Клиента. | Ст. 6(1)(f) — законный интерес в безопасности. | 12 месяцев с момента создания. |
| Платёжные идентификаторы | Управление подпиской. Данные платёжных карт обрабатываются LemonSqueezy как Merchant of Record и не хранятся Sageio. | Ст. 6(1)(b) — исполнение договора. | Срок действия аккаунта плюс 7 лет для налоговых записей. |
СУБОБРАБОТЧИКИ
Полная цепочка хранения.
| Субобработчик | Цель | Место обработки |
|---|---|---|
| Amazon Web Services | Облачный хостинг, объектное хранилище, управление ключами шифрования. | Выбранный Клиентом регион (по умолчанию: Сингапур, Азиатско-Тихоокеанский). ЕС и США на тарифах Enterprise. |
| Neon | Управляемая база данных PostgreSQL для данных приложения. | Регион, соответствующий основному региону AWS Клиента. |
| Vercel | Хостинг маркетингового сайта и веб-приложения для клиентов. | Глобальная edge-сеть. Источник: выбранный Клиентом регион. |
| Clerk | Аутентификация, единый вход и управление удостоверениями. | Соединённые Штаты. |
| Deepgram | Расшифровка речи в текст из аудио встреч. | Соединённые Штаты. |
| OpenAI | Расшифровка речи в текст из аудио встреч в реальном времени (движок по умолчанию для новых рабочих пространств) и расшифровка загруженных аудиофайлов. | Соединённые Штаты. |
| DeepL | Перевод промежуточных сегментов расшифровки и финальный перевод для выбранных целевых языков. | Германия (ЕС). |
| Google (Gemini API) | Уточнение перевода финализированных сегментов расшифровки; сгенерированные ИИ резюме и задачи. | Соединённые Штаты. Данные не используются для обучения моделей Google согласно условиям платного тарифа Gemini API. |
| Resend | Доставка транзакционной электронной почты (уведомления об аккаунте и сервисе; письма с резюме встреч отправляются по запросу пользователя). | Соединённые Штаты. |
Lemon Squeezy (a Stripe company) is not a sub-processor: as Merchant of Record it determines its own purposes for payment, tax, and invoicing, and acts as an independent data controller under its own privacy policy.
Plausible (cookieless website analytics) operates only on our marketing site and does not process platform personal data under this DPA; it is disclosed in the Privacy Policy.
ОБЯЗАТЕЛЬСТВА ОБРАБОТЧИКА
Статья 28, прописанная в договоре.
These commitments form part of the DPA. The English text is the authoritative version; localized translations will follow the signed-off text.
- Изменения субобработчиков
- Sageio поддерживает актуальный список субобработчиков на странице sageio.net/subprocessors. Sageio уведомит Клиента не менее чем за 30 дней (по электронной почте или через уведомление в приложении) перед добавлением или заменой субобработчика. Клиент может возразить по обоснованным основаниям защиты данных в течение периода уведомления; если стороны не могут разрешить возражение, Клиент может расторгнуть затронутые услуги и получить пропорциональный возврат предоплаченных средств за неиспользованный период. Sageio налагает на каждого субобработчика обязательства по защите данных, эквивалентные этому DPA, и остаётся ответственным за их исполнение.
- Уведомление о нарушении безопасности персональных данных
- Sageio уведомит Клиента без неоправданной задержки и в любом случае в течение 24 часов после подтверждения нарушения безопасности персональных данных, затрагивающего персональные данные Клиента, и предоставит информацию, разумно необходимую для выполнения обязательств Клиента согласно статьям 33–34 GDPR, с обновлениями по ходу расследования.
- Удаление и возврат
- По прекращении или истечении срока услуг Sageio по выбору Клиента удалит или вернёт все персональные данные Клиента в течение 30 дней и удалит оставшиеся копии, за исключением случаев, когда применимое законодательство требует хранения. Персональные данные в зашифрованных резервных копиях очищаются в стандартном 30-дневном цикле ротации резервных копий.
- Содействие и аудиты
- Учитывая характер обработки, Sageio будет содействовать Клиенту надлежащими техническими и организационными мерами в ответе на запросы субъектов данных и в выполнении обязательств Клиента согласно статьям 32–36 GDPR, включая оценки воздействия на защиту данных и предварительные консультации. Sageio предоставит информацию, разумно необходимую для подтверждения соответствия статье 28 — включая сводки тестов на проникновение и, при наличии, отчёты аудита — и допустит аудиты, включая инспекции, со стороны Клиента или назначенного им аудитора, не чаще одного раза в двенадцать месяцев, с уведомлением за 30 дней, за счёт Клиента и при условии конфиденциальности.
- Конфиденциальность и инструкции
- Sageio обеспечивает, чтобы лица, уполномоченные обрабатывать персональные данные, были обязаны соблюдать конфиденциальность. Sageio без неоправданной задержки проинформирует Клиента, если, по его мнению, инструкция нарушает применимое законодательство о защите данных.
- Гарантии Клиента
- Клиент гарантирует, что он установил законное основание для обработки, которую он поручает согласно этому DPA, включая любые уведомления участникам встреч и согласия от них, требуемые применимым законодательством, и — если содержание встречи случайно содержит особые категории персональных данных — условие согласно статье 9(2) GDPR. Sageio не использует содержание встреч для идентификации какого-либо лица по голосу и не создаёт биометрических шаблонов.
- Срок, применимое право и ответственность
- Этот DPA вступает в силу вместе с Соглашением о подписке и действует в течение его срока; он регулируется тем же правом, и к нему применяются ограничения ответственности из Условий использования, за исключением случаев, когда обязательное законодательство о защите данных предусматривает иное.
МЕРЫ БЕЗОПАСНОСТИ
Инженерия встречает обязательства.
Sageio внедряет технические и организационные меры, соответствующие риску обработки, включая шифрование при передаче (TLS 1.3) и в хранилище (AES-256-GCM), контроль доступа на основе ролей, журналирование аудита, регулярное тестирование на проникновение и документированный процесс реагирования на инциденты. Доступ к продакшену требует явного бизнес-обоснования, ограничен по времени и регистрируется. Полный каталог мер, включая текущий статус программы соответствия, опубликован на странице «Безопасность» и обновляется по мере развития программы.
МЕЖДУНАРОДНЫЕ ПЕРЕДАЧИ
Трансграничные данные, перемещённые законно.
Когда персональные данные передаются за пределы Европейской экономической зоны, Соединённого Королевства или других юрисдикций с эквивалентными ограничениями, Sageio полагается на Стандартные договорные положения Европейской комиссии (Модуль два: Контролёр–Обработчик) и, где применимо, на Дополнение к международной передаче данных Великобритании. Для передач в юрисдикции, охваченные решением об адекватности, Sageio полагается на это решение. Субобработчики связаны эквивалентными обязательствами через договорную передачу. Оценки воздействия передачи проводятся для каждого субобработчика, обрабатывающего персональные данные за пределами юрисдикции экспортёра данных.
The SCCs (Module Two: Controller-to-Processor) and the UK International Data Transfer Addendum are incorporated into this DPA by reference. Annex I (parties; description of processing) is constituted by the parties' details and the "Data processed" table above, which may incidentally include special categories of data contained in meeting content; Annex II (technical and organizational measures) by the "Security measures" section; Annex III (authorized sub-processors) by the "Sub-processors" table. In case of conflict, the SCCs prevail.
ПРАВА СУБЪЕКТОВ ДАННЫХ
Права ваших пользователей, наши обязательства.
- Право доступа — подтверждение и копия обрабатываемых персональных данных.
- Право на исправление — корректировка неточных или неполных данных.
- Право на удаление — удаление в течение 30 дней после действительного запроса, с учётом требований законного хранения.
- Право на ограничение — ограничение обработки в определённых обстоятельствах.
- Право на переносимость данных — экспорт в структурированном машиночитаемом формате.
- Право на возражение — в том числе против обработки на основе законного интереса.
- Право подать жалобу в соответствующий надзорный орган.
КОНТАКТЫ
Реальные люди, именные адреса.
- Privacy: privacy@sageio.net
- Security: security@sageio.net
Sageio is operated by 好客網路股份有限公司 (Unified Business No. 29041135), a company registered in Taiwan. Registered address: No. 205, Hulin Street, Xinyi District, Taipei City, Taiwan (臺北市信義區虎林街205號). Privacy contact: privacy@sageio.net.
История версий
- v1.2.1June 14, 2026Gemini paid-tier confirmation completed (interim note removed); sub-processor commitment now points to the live /subprocessors page; Traditional Chinese translation of the processor commitments and SCC incorporation added.
- v1.2June 13, 2026Sub-processor table correction: OpenAI added (real-time speech-to-text, default engine for new workspaces); DeepL purpose extended to final translation for selected languages; Resend purpose includes meeting-summary emails; Gemini terms basis corrected to paid-tier API (confirmation in progress). Configurable-retention-window statements removed to match current system behavior.
- v1.1June 13, 2026Article 28 processor commitments added; sub-processor table expanded (DeepL, Resend); retention entries corrected to match system behavior; SCCs and UK Addendum incorporated with Annex mapping.
- v1.0Effective from publicationInitial publication.