GDPR для AI-систем: DPIA, минимизация данных и права субъектов в Ваших AI-продуктах
Разбираем, какие персональные данные проходят через Ваш AI-продукт, и встраиваем в него защиту: маскирование, сроки хранения, удаление по запросу. Готовим техническую часть DPIA для Вашего DPO.
Что болит
Ваш голосовой бот записывает разговоры, чат-бот хранит телефоны, а аналитика звонков отправляет тексты в модель. Никто не может сказать, где эти данные лежат и сколько.
Клиент из ЕС просит удалить его данные. Вы удаляете из CRM, но копии остаются в логах модели, векторной базе и транскриптах.
Европейский партнер просит DPIA и перечень субпроцессоров перед подписанием договора. Юрист готов помочь, но технических фактов у него нет.
Что строим
- Карта персональных данных: откуда приходят, куда уходят, где хранятся
- Перечень субпроцессоров и поставщиков моделей с местом обработки
- Техническая часть DPIA для Вашего DPO или юриста
- Маскирование персональных данных перед отправкой в модель
- Сроки хранения записей, транскриптов и логов с автоматическим удалением
- Удаление данных по запросу субъекта из всех хранилищ, включая векторную базу
- Уведомления пользователей об обработке данных AI
Что Вы получаете
- Карта потоков персональных данных в Вашем AI-продукте
- Технический раздел DPIA и перечень субпроцессоров
- Маскирование, сроки хранения и удаление, встроенные в код
- Процедура выполнения запросов субъектов данных
- Шаблоны DPA с поставщиками для проверки Вашим юристом
Как измеряем результат
- Время выполнения запроса на удаление данных
- Доля хранилищ с настроенным сроком хранения
- Количество субпроцессоров с подписанным DPA
- Количество персональных полей, попадающих в модель без маскирования
Системы и стек
Отрасли
Вопросы
Вы заменяете нашего DPO или юриста?
Нет. Мы готовим технические факты и встраиваем защиту в продукт. Оценку законности обработки, основания и финальный текст DPIA утверждает Ваш DPO или юрист. Мы работаем вместе, чтобы документы соответствовали тому, что система действительно делает.
Сколько стоит и сколько длится?
От $5 000 за 3–6 недель. Цена зависит от числа AI-сервисов, хранилищ и поставщиков. Больше работы, когда данные разбросаны по нескольким системам без единого идентификатора клиента.
Можно ли пользоваться OpenAI или Gemini по GDPR?
Часто да, при условиях: DPA с поставщиком, подходящий регион обработки, выключенное обучение на Ваших данных и минимизация того, что отправляется. Для чувствительных данных, вроде медицинских, надежнее своя модель на vLLM в Вашем контуре.
Что нужно от нас?
Доступ к коду и архитектуре AI-продукта, перечень поставщиков, имеющиеся политики конфиденциальности и контакт DPO. NDA и DPA подписываем до доступа. Мы работаем по ISO/IEC 27001:2022.
Касается ли это компаний из Украины?
GDPR применяется, если Вы обрабатываете данные людей в ЕС, например продаете туда или у Вас клиенты в Польше. Для остальных действует украинский закон о защите персональных данных. Многие технические меры одинаковы для обоих случаев.
Что после внедрения?
Каждый новый поставщик или сценарий меняет карту данных. Можем обновлять ее по SLA или обучить Вашу команду. Механизмы удаления и маскирования остаются в коде.
Связанные услуги
Другие услуги раздела
Опишите задачу. Ответим в течение рабочего дня, первый звонок с фаундером.
Опишите задачу. Первый звонок с фаундером.
Ответим в течение рабочего дня. 30 минут, чтобы сказать, стоит ли это делать и сколько это стоит.