Правовые вопросы и комплаенс
Защита данных в ОАЭ и Саудовской Аравии
Чего законы ОАЭ и Саудовской Аравии о персональных данных ожидают от организации, использующей Telonic, кто за что отвечает и что делает продукт, чтобы помочь вам.
На этой странице
Каждый диалог, который ведёт ИИ-агент, связан с персональными данными: имя, номер телефона, объект недвижимости, бронирование, убыток. И в ОАЭ, и в Саудовской Аравии действуют законы о защите персональных данных, которые определяют, как эти данные могут собираться, использоваться, храниться и перемещаться. Ваша организация решает, зачем и как используются данные ваших клиентов, а Telonic обрабатывает их по вашим указаниям. На этой странице простыми словами описано, чего ожидают законы, как распределяется ответственность и что делает продукт, чтобы помочь вашей организации выполнять её обязательства.
Эта страница содержит общую информацию о законодательстве и не является юридической консультацией. Законы и нормативные акты обеих стран продолжают развиваться, а то, как они применяются, зависит от вашей организации, вашей отрасли и ваших клиентов. Ваша организация сама отвечает за соблюдение требований, и ей следует получить собственную юридическую консультацию. Мы подробно покажем вашей юридической службе, как именно продукт учитывает каждый пункт.
Кто за что отвечает
Законодательство о защите данных распределяет ответственность между двумя ролями. Контролёр решает, зачем и как обрабатываются персональные данные. Обработчик обрабатывает данные от имени контролёра и по его указаниям.
Когда вы развёртываете Telonic, ваша организация является контролёром данных ваших клиентов, а Telonic выступает вашим обработчиком. Вы решаете, какие диалоги ведёт ИИ-агент, какие данные ему разрешено получать, что хранится и как долго. Telonic обрабатывает данные только для предоставления сервиса, по вашим документально оформленным указаниям, в соответствии с условиями обработки данных, которые являются частью вашего договора. См. раздел Договоры и условия обработки данных.
Чего ожидает закон ОАЭ
Федеральный декрет-закон ОАЭ о защите персональных данных (Federal Decree-Law on the Protection of Personal Data) применяется к обработке персональных данных лиц, находящихся в ОАЭ, и к учреждённым в ОАЭ организациям, которые обрабатывают персональные данные. Простыми словами, он ожидает от организации следующего:
- Иметь правовое основание. Главным основанием служит согласие, но есть определённые исключения, например обработка, необходимая для исполнения договора с лицом, к которому относятся данные, или для выполнения иной юридической обязанности.
- Использовать данные только для заявленной цели, собирать только то, что нужно для этой цели, поддерживать точность данных и хранить их не дольше, чем необходимо.
- Соблюдать права лиц, к которым относятся данные, включая право на доступ к своим данным, их исправление и удаление, на ограничение или прекращение обработки и на возражение против решений, принятых исключительно автоматизированными средствами.
- Обеспечивать безопасность данных, применяя технические и организационные меры, соответствующие уровню риска.
- Сообщать о нарушениях безопасности персональных данных регулятору, а в некоторых случаях и затронутым лицам.
- Передавать данные за пределы ОАЭ только на условиях, установленных законом, например в страны, признанные обеспечивающими адекватную защиту, или с применением гарантий, которые допускает закон.
- Вести учёт операций по обработке, а в некоторых случаях назначать инспектора по защите данных (data protection officer).
- Заключать договор с каждым обработчиком, обязывающий его действовать только по указаниям и защищать данные.
Закон дополняется исполнительным регламентом, а подробные правила продолжают издаваться. В некоторых отраслях, например в здравоохранении и финансовых услугах, действуют собственные дополнительные правила, в том числе о том, где могут храниться определённые данные.
В финансовых свободных зонах действуют собственные законы. Дубайский международный финансовый центр (Dubai International Financial Centre, DIFC) и международный финансовый центр Abu Dhabi Global Market (ADGM) имеют каждый собственный закон о защите данных и собственного регулятора. Если ваша организация учреждена в одной из этих зон, к ней применяется закон этой зоны, а ваша юридическая служба объяснит вам, как он соотносится с федеральным законом применительно к вашему бизнесу.
Чего ожидает закон Саудовской Аравии
За применением Закона Саудовской Аравии о защите персональных данных (Personal Data Protection Law) следит Саудовское управление по данным и искусственному интеллекту (Saudi Data and Artificial Intelligence Authority, SDAIA); закон дополняется подзаконными актами и правилами о передаче персональных данных за пределы Королевства. Он применяется к обработке персональных данных лиц, находящихся в Саудовской Аравии, в том числе к обработке организациями за пределами Королевства. Если вы храните данные, принадлежащие резидентам Саудовской Аравии, закон распространяется на эти данные, где бы они ни обрабатывались.
То, чего он ожидает, устроено так же, как в законе ОАЭ: правовое основание, причём главным основанием является согласие; использование, ограниченное заявленной целью; права лиц, к которым относятся данные, в том числе право на информирование, доступ, исправление и уничтожение их данных; надлежащая безопасность; учёт операций по обработке; а в некоторых случаях инспектор по защите данных. О нарушениях необходимо уведомлять SDAIA в течение короткого фиксированного срока, установленного подзаконными актами, а также затронутых лиц, если они подвергаются риску. Передача данных за пределы Королевства допускается только на условиях, установленных правилами о передаче данных. SDAIA продолжает издавать разъяснения, и вашей юридической службе следует проверить текущее положение дел.
Чего ожидает закон и как продукт помогает вам
| Чего ожидает закон | Что делает продукт, чтобы помочь вам |
|---|---|
| Знать, где обрабатываются данные, и контролировать их передачу за рубеж | Вы выбираете, где работает ваше развёртывание: в регионе в ОАЭ, в регионе в Саудовской Аравии, в вашем собственном облачном аккаунте или на вашей собственной инфраструктуре. Вся обработка для вашего развёртывания выполняется в выбранном вами регионе, если только вы явно не выберете поставщика языковой модели за его пределами. См. раздел Хостинг и локализация данных |
| Ограничивать то, что выходит из-под вашего контроля | Персональные данные маскируются до того, как данные покидают ваше развёртывание и направляются куда-либо, кроме ваших собственных систем и ваших собственных клиентов, в том числе к любому поставщику за пределами вашего региона, а также в отчёты и экспортируемые данные. См. раздел Маскирование персональных данных |
| Хранить данные только столько, сколько необходимо | Ничего не хранится без вашего разрешения, и вы задаёте, как долго хранится каждый вид контента. Если хранение содержимого отключено, сохраняется только запись аудита без содержимого, в течение заданного вами срока |
| Обеспечивать безопасность данных | Шифрование при передаче с помощью TLS (Transport Layer Security) версии 1.2 или выше и при хранении по стандарту AES-256 (Advanced Encryption Standard с 256-битными ключами). Данные каждого заказчика хранятся отдельно от данных всех остальных заказчиков. См. раздел Шифрование |
| Ограничивать круг лиц, которые могут видеть данные | Единый вход (одна корпоративная учётная запись для многих приложений) через вашего поставщика удостоверений с многофакторной аутентификацией (дополнительной проверкой помимо пароля). Каждый сотрудник видит только то, что нужно для его роли. См. раздел Управление доступом и единый вход |
| Иметь возможность показать, что произошло | Доступ и изменения записываются в журнал, а каждый диалог содержит запись того, какие данные получил ИИ-агент, что он сделал и почему. См. раздел Журнал аудита и записи о решениях |
| Отвечать на запросы лиц, к которым относятся данные | Ваша команда может найти диалоги, относящиеся к конкретному человеку, с помощью поиска и карточки клиента. Telonic помогает вам с запросами на доступ, исправление и удаление, как это предусмотрено вашими условиями обработки данных |
| Удалять данные, когда они больше не нужны | Данные удаляются по истечении заданного вами срока хранения. При прекращении вашего договора ваши данные возвращаются в стандартном формате, затем удаляются из рабочих систем, а из резервных копий по мере истечения их срока хранения, с письменным подтверждением |
| Своевременно сообщать о нарушениях | О нарушениях безопасности персональных данных ваши назначенные контактные лица уведомляются без неоправданной задержки и в течение 24 часов с момента, когда стало известно о нарушении, затрагивающем ваши данные, с последующими обновлениями. См. раздел Реагирование на инциденты |
| Контролировать, кто ещё обрабатывает данные | Перечень субобработчиков (других компаний, которые Telonic привлекает для предоставления сервиса) является частью условий обработки данных и предоставляется по запросу. О любом изменении вы получаете уведомление за 30 дней и вправе возразить против него. См. раздел Субобработчики |
| Иметь договор с обработчиком | Условия обработки данных являются частью каждого договора. См. раздел Договоры и условия обработки данных |
О нарушениях безопасности персональных данных ваши назначенные контактные лица уведомляются без неоправданной задержки и в течение 24 часов с момента, когда стало известно о нарушении, затрагивающем ваши данные. Если ваш регулятор устанавливает собственный короткий срок, как это делают правила Саудовской Аравии, вашей юридической службе следует спланировать, как согласовать эти два срока. Сообщите нам, кто ваши назначенные контактные лица и как связаться с ними в нерабочее время, чтобы не терять времени.
Сети, которыми пользуются ваши клиенты
Ваши клиенты связываются с вами через сети, которые доставляют диалог до вашего развёртывания. Звонки передаёт ваш оператор связи, а сообщения WhatsApp передаёт платформа WhatsApp компании Meta. Meta получает, обрабатывает и кратковременно хранит сообщения WhatsApp на собственной инфраструктуре, прежде чем они попадут в ваше развёртывание, на собственных условиях Meta, как и для любой компании, использующей WhatsApp.
Вашей юридической службе следует учитывать это при оценке канала WhatsApp. См. раздел WhatsApp: обзор.
Согласие в диалогах
Если вашим правовым основанием является согласие, ИИ-агент может получить его в ходе диалога и зафиксировать в карточке клиента. Звонки записываются только после того, как звонящий дал согласие, а исходящие сообщения WhatsApp отправляются только тем клиентам, чья подписка зафиксирована. См. разделы Запись звонков и согласие и Правила исходящих сообщений и звонков.
На практике
Дубайский застройщик продаёт объекты покупателям в ОАЭ и Саудовской Аравии.
- Его юридическая служба подтверждает, что к данным покупателей из ОАЭ применяется закон ОАЭ, а к данным покупателей, проживающих в Королевстве, применяется закон Саудовской Аравии, где бы эти данные ни обрабатывались.
- Получив консультацию, застройщик выбирает для своего развёртывания регион в ОАЭ и фиксирует в своей оценке трансграничной передачи, как обрабатываются данные саудовских покупателей. Поставщиков за пределами региона он не выбирает.
- Он задаёт сроки хранения: расшифровки хранятся в течение всего цикла сделки плюс период, указанный в его политике, а записи звонков хранятся меньший срок.
- Khalid, покупатель из Эр-Рияда, запрашивает копию данных, которые застройщик хранит о нём. Инспектор по защите данных находит диалоги с Khalid через поиск и по его карточке клиента и предоставляет ему копию.
- Среди назначенных застройщиком контактов для уведомлений о нарушениях есть номер для связи в нерабочее время, указанный в его условиях обработки данных.
Что контролирует ваша команда
- Вариант размещения и регион, а также можно ли использовать какого-либо поставщика за его пределами.
- Что хранится и как долго.
- Кто в вашей организации может видеть персональные данные.
- Ваше правовое основание и формулировка согласия.
- Ваши назначенные контактные лица для уведомлений о нарушениях.
См. также
- Договоры и условия обработки данныхПравовые вопросы и комплаенс
- Хостинг и локализация данныхБезопасность и защита данных
- Маскирование персональных данныхБезопасность и защита данных
- Хранение, сроки хранения и удалениеБезопасность и защита данных
- Вопросы права и комплаенсаЧастые вопросы
Названия и логотипы продуктов являются товарными знаками соответствующих правообладателей. Их упоминание указывает на системы, к которым подключается Telonic, и не подразумевает аффилированности или одобрения.