Как устроена
обработка данных

Вы - оператор. Это ваши клиенты, ваши сотрудники и ваши согласия. Вы решаете, зачем данные обрабатываются, и отвечаете за это перед человеком, чьи данные обрабатываются.

Мы - обработчик. Мы обрабатываем по вашему поручению и в ваших интересах. Своих целей у нас нет: данные не идут в рекламу, не продаются и не обучают модели.

Поэтому к договору прикладывается отдельное поручение на обработку - того требует часть 3 статьи 6 152-ФЗ. Шаблон мы даём вместе со счётом.

Если вы поставили агента себе сами - обработчика нет вовсе. Программа работает на вашей машине, данные никуда от вас не уходят, кроме тех адресов, которые вы сами включили ключами.

Сам по себе агент не отправляет данные никуда. Каждый адрес появляется потому, что его включил владелец установки своим ключом.

• Поставщику модели уходит содержание разговора: вопрос, история переписки, заметки памяти, тексты документов и картинки, если модель умеет смотреть. Это происходит при каждом ответе - иначе агент не думает.
• В распознавание речи уходит запись голоса, если голос включён. По умолчанию это Яндекс, российский контур.
• В канал общения уходит ответ агента: Telegram, Discord или портал Битрикс24, смотря где вы с ним говорите.
• В ваши же системы уходит то, ради чего всё затевалось: письма, сделки, звонки, документы.

🔴 Про границу. Если выбрана зарубежная модель, содержание разговора уходит за пределы России, и это трансграничная передача со всеми последствиями 152-ФЗ: уведомление и основание для передачи - обязанность оператора, то есть ваша. Если это не подходит, в настройках выбирается российская модель - GigaChat или YandexGPT, - и агент работает так же.

Полный перечень адресов, куда способно обратиться ядро, лежит открытым текстом в файле deploy/egress-allowlist.txt. Он не документация: сборка не проходит, если в коде появился адрес, которого нет в списке, или в списке остался адрес, которого больше нет в коде.

Ни ваши данные, ни статистика их обработки к нам не приходят. Кода отправки не существует - счётчики использования пишутся в файл на вашей машине и остаются там.

Проверка обновлений не ходит сама: обращение к нашему серверу случается только по команде interclaw update, и только если обновление разрешено переменной. Никакого идентификатора установки при этом не передаётся.

Это утверждение держится не на обещании, а на том же стороже исходящих адресов: спрятать отправку внутри длинной строки он не даёт.

Раздел существует потому, что документ без него читается как реклама.

• Шифрования данных на диске нет. Файлы доступны только пользователю службы: сам файл 0600, каталог 0700. Если машину получил кто-то с правами администратора, он прочитает всё. В облаке ночная копия шифруется до отправки, но живой диск - нет.
• У переписки, заметок и портрета нет срока хранения. Они лежат, пока вы не удалите их командой. Автоматической уборки для них не существует, и это осознанное устройство личной памяти, а не упущение.
• Удалённое живёт в копиях. Заметка, стёртая командой «забудь», остаётся в точках отката памяти и во всех снятых до этого резервных копиях. Чтобы убрать её оттуда, копии нужно удалить отдельно.
• В журнале маскируются секреты, но не персональные данные. Ключи и токены не попадут в журнал никогда, а имя, телефон и текст ошибки с адресом почты - попадут.

Страница обновляется, когда меняется устройство, а не раз в год. Что изменилось и когда - в журнале изменений.