База данных — на сервере в стране клиента
Для клиентов из Казахстана базу размещаем на сервере в РК: ст. 12 Закона о персональных данных требует хранить их в базе на территории республики. Для зарубежных клиентов — на сервере в их стране. Что и в каком виде передаётся внешним ИИ-моделям, определяем при внедрении и закрепляем в договоре.
В модуле аналитики ИИ-РОП телефоны, ИИН, номера карт, email и паспортные данные заменяются метками вида [PHONE_001] до отправки в модель. Имена и свободный текст так не закрываются — это учитываем при настройке.
Для клиентов из Казахстана база находится на сервере в РК, для зарубежных — на сервере в стране клиента.
После ответа модели метки заменяются исходными значениями, и вы получаете полный отчёт. Таблица соответствий во внешнюю модель не передаётся.
Перед началом работ подписываем NDA, а порядок обработки описываем в договоре: где хранятся данные, что передаётся внешним сервисам и кто имеет доступ.
Что говорит закон
Ст. 12 п. 2 Закона РК «О персональных данных и их защите»: хранение осуществляется в базе, находящейся на территории Республики Казахстан.
Ст. 16 того же закона: трансграничная передача допускается в государства, обеспечивающие защиту персональных данных, а в остальные — при наличии оснований, в том числе согласия субъекта. Облачные ИИ-модели обычно работают за рубежом, поэтому этот вопрос решаем при проектировании системы.
Ст. 79 КРКобАП: штраф от 30 до 2000 МРП — в зависимости от деяния и субъекта.
Независимая проверка безопасности
Каждую систему перед запуском проверяет наш партнёр — специалист по кибербезопасности. Проверку можно заказать и для уже работающей системы.
- ✓Веб-интерфейсы и API: доступ к чужим данным, обход авторизации, утечки через ответы сервера
- ✓Ключи и настройки: что видно снаружи и какие сервисы открыты в интернет
- ✓Отчёт: найденные уязвимости и что исправлено до запуска
- Независимый партнёр — специалист по тестированию на проникновение. Он не участвует в разработке и смотрит на систему глазами атакующего.
- Когда: перед запуском каждой системы, а для работающих систем — по запросу.
- Результат: отчёт о найденных уязвимостях. Запускаем систему только после исправлений.
Проверьте, как ваш бот обращается с данными
Бесплатно разберём архитектуру вашей автоматизации: где хранятся данные, что уходит в нейросеть и какие риски это несёт.