— ПОЛИТИКА ИСПОЛЬЗОВАНИЯ СТОРОННИХ СЕРВИСОВ И ИНТЕГРАЦИЙ

правила подключения внешних сервисов, обмена данными,
безопасности интеграций и трансграничных потоков

Оператор платформы

ИП Изабакаров Рабадан Ибрагимович

ИНН 051127783109 · ОГРНИП 316057100052211

monkeymachine.ru · monkeymachine.ai

1.1. Настоящая Политика определяет правила подключения и использования сторонних сервисов, информационных систем, API, SDK, каналов связи и иных интеграций в monkeymachine.

1.2. Политика применяется к собственным интеграциям monkeymachine, интеграциям, которые Клиент подключает к своему проекту, а также к внешним сервисам, используемым в сайтах и приложениях, создаваемых средствами платформы.

1.3. Политика дополняет Пользовательское соглашение, Публичную оферту, Политику конфиденциальности и обработки персональных данных, Политику Cookie и Политику использования технологий искусственного интеллекта.

1.4. Условия конкретного внешнего сервиса действуют наряду с настоящей Политикой. monkeymachine не изменяет правила, тарифы, ограничения или технические требования стороннего поставщика.

1.5. Наличие технической возможности подключения сервиса само по себе не означает, что такая интеграция подходит для любых категорий данных или любых целей Клиента.

2.1. Перечень доступных интеграций может изменяться по мере развития платформы. Фактический набор внешних сервисов конкретного проекта определяется подключёнными Клиентом модулями и настройками.

2.2. Новая интеграция не получает доступ к данным других модулей только вследствие факта подключения. Доступ определяется назначением интеграции, настройками проекта и выданными разрешениями.

2.3. При использовании сервисов Meta* учитывается их правовой статус в Российской Федерации. Минюст России указывает, что Meta Platforms Inc. включена в перечень организаций, признанных экстремистскими, в части деятельности по реализации продуктов Facebook и Instagram; судебные решения о запрете этой деятельности не распространяются на мессенджер WhatsApp ввиду отсутствия у него функций по публичному распространению информации.

3.1. Для целей законодательства о персональных данных значение имеет не название технологии — «API», «SDK», «интеграция» или «вебхук», — а то, какие сведения фактически получает внешний участник. Статья 3 Федерального закона № 152-ФЗ относит к обработке персональных данных, в частности, предоставление, доступ и передачу данных.

3.2. Если внешнему сервису передаётся только техническая информация, не позволяющая прямо или косвенно определить физическое лицо, такой обмен может находиться вне режима передачи персональных данных.

3.3. Если вместе с запросом или событием передаются контактные данные, IP-адрес, идентификаторы, содержимое переписки, изображения, аудио, сведения о заказе, кандидате, работнике или иные данные, позволяющие определить человека, соответствующий поток рассматривается как обработка персональных данных.

3.4. Оценка выполняется по всему фактическому потоку, включая метаданные, технические журналы, диагностические сообщения и телеметрию, а не только по основному содержимому API-запроса.

4.1. Если обработка персональных данных поручается другому лицу, применяется часть 3 статьи 6 Федерального закона № 152-ФЗ: поручение должно определять перечень данных, операции, цели, конфиденциальность, требования локализации и безопасности, подтверждение принимаемых мер и порядок уведомления об инцидентах.

4.2. Одно и то же лицо может иметь разные роли в разных процессах. Роль определяется отдельно для конкретной цели обработки.

5.1. Клиент может подключать к проекту собственные аккаунты, каналы связи, CRM, учётные системы, магазины, внешние сервисы, API-ключи и иные поддерживаемые интеграции.

5.2. Подключая собственный внешний сервис, Клиент подтверждает, что вправе использовать соответствующий аккаунт и передавать сервису данные в объёме, необходимом выбранной функции.

5.3. Клиент определяет настройки своего внешнего сервиса, если такие настройки находятся вне контроля monkeymachine, включая права пользователей, сроки хранения, рекламные или аналитические функции и иные параметры внешней системы.

5.4. monkeymachine не отвечает за самостоятельные действия Клиента внутри стороннего сервиса, изменение его условий, блокировку аккаунта или прекращение поддержки внешним поставщиком, кроме случаев, когда нарушение возникло непосредственно на стороне monkeymachine.

5.5. Если Клиент подключает сервис, который создаёт новый поток персональных данных или трансграничную передачу, правовая допустимость такого потока должна быть определена до его использования в соответствующей конфигурации.

6.1. monkeymachine может объединять сообщения из подключённых коммуникационных каналов в едином интерфейсе проекта и сохранять сведения, необходимые для работы Клиента с обращениями, заказами и клиентской историей.

6.2. Внешний канал связи может самостоятельно обрабатывать сведения пользователя по собственным правилам. Передача сообщения между таким каналом и monkeymachine не делает monkeymachine владельцем соответствующего мессенджера, почтового или телефонного сервиса.

6.3. Объём синхронизации определяется возможностями конкретного канала: это могут быть текст, контакт, идентификатор пользователя, вложения, изображения, аудиосообщения, статус доставки и другие технически необходимые сведения.

6.4. Сервисные уведомления и рекламные сообщения регулируются раздельно. Правила рекламных и информационных рассылок устанавливаются отдельной Политикой информационных и рекламных рассылок monkeymachine.

7.1. Интеграция с CRM, 1С и иными учётными системами может предусматривать двустороннюю синхронизацию карточек, заказов, номенклатуры, организаций, статусов и других данных, предусмотренных настройкой проекта.

7.2. Доступ интеграционного пользователя должен ограничиваться минимально необходимыми правами. Если внешняя система позволяет создать отдельную учётную запись или ограничить набор доступных объектов, рекомендуется использовать такой режим.

7.3. Для защищённых соединений могут применяться VPN, специальные IP-адреса, API-токены и иные средства доступа. Публикация в открытом доступе секретов соединения, токенов и ключей не допускается.

7.4. Синхронизация не должна автоматически включать поля и базы, которые не требуются для выбранного процесса.

8.1. monkeymachine может обеспечивать техническое подключение внешних платёжных сервисов и обмен командами, идентификаторами и статусами платежей.

8.2. Сам факт интеграции с платёжным шлюзом не означает, что monkeymachine является оператором по переводу денежных средств, платёжным агентом или иным регулируемым участником платёжной системы. Такая роль определяется фактической схемой расчётов и договорами участников.

8.3. В конфигурации конкретного проекта должны быть определены: получатель денежных средств, используемый платёжный провайдер, порядок возврата, формирование кассового чека и состав данных, которые получает каждый участник.

8.4. Полные реквизиты банковской карты не должны храниться в monkeymachine без объективной необходимости и специально предусмотренного защищённого процесса. При наличии технической возможности используются инфраструктура профильного платёжного провайдера и токенизированные идентификаторы.

8.5. Правила тарифов, списаний и возвратов по услугам самой платформы устанавливаются Публичной офертой и отдельными Правилами оплаты, тарификации, списания денежных средств и возвратов.

9.1. Подключение ИИ-провайдера, технологии распознавания речи или иной интеллектуальной функции регулируется Политикой использования технологий искусственного интеллекта monkeymachine.

9.2. Внешнему ИИ не предоставляется автоматически весь массив проекта. Состав данных определяется конкретной функцией, а при наличии персональных данных дополнительно применяются требования настоящей Политики.

9.3. Использование веб-аналитики, cookie, SDK и сходных идентификаторов регулируется также Политикой использования Cookie и аналогичных технологий. Необязательные аналитические и маркетинговые технологии включаются в соответствии с установленным для них правовым основанием и настройками.

9.4. Смена модели ИИ, аналитического сервиса, SDK или технологии распознавания рассматривается как изменение интеграции, если меняются получатель, страна, состав передаваемых данных или условия хранения.

10.1. Клиент может создавать сайты и приложения средствами monkeymachine и подключать к ним внешние каналы, SDK, аналитику, платежи, push-сервисы и другие интеграции.

10.2. Для сайта или приложения Клиента правовая конфигурация определяется самим проектом: кто является владельцем ресурса и оператором соответствующей цели, какие модули активны, какие внешние сервисы подключены и какие данные им передаются.

10.3. Если Клиент самостоятельно добавляет внешний скрипт, SDK, пиксель или иной компонент вне стандартной конфигурации monkeymachine, Клиент отвечает за корректное указание его назначения и за наличие правового основания для соответствующего потока данных.

10.4. При публикации мобильного приложения через аккаунт monkeymachine или через собственный аккаунт Клиента отдельно учитываются издатель приложения, внешние SDK, системные разрешения, push-сервисы, аналитика и правила магазина приложений.

11.1. API и webhooks позволяют автоматизированно передавать данные и события между monkeymachine и внешними системами. Их использование не отменяет требования к правовому основанию, минимизации данных и безопасности доступа.

11.2. Клиент не должен передавать через API больше данных, чем необходимо для заявленной функции, и обязан ограничивать права интеграционных учётных записей.

11.3. API-ключи и токены являются средствами доступа и должны храниться конфиденциально. Они не помещаются в публичный код, пользовательские тексты, ИИ-промпты и обычные технические логи.

11.4. При прекращении использования интеграции её токен, ключ или иной способ доступа должен быть отозван или деактивирован, если он больше не требуется.

11.5. Дополнительные правила для пользователей, которым предоставляется программный доступ к API monkeymachine, устанавливаются отдельными Правилами использования API.

12.1. При сборе персональных данных граждан Российской Федерации, в том числе через Интернет, применяются требования части 5 статьи 18 Федерального закона № 152-ФЗ к записи, систематизации, накоплению, хранению, уточнению и извлечению данных с использованием баз данных, находящихся на территории Российской Федерации, если законом не предусмотрено исключение.

12.2. Наличие российской базы данных и последующая трансграничная передача являются разными правовыми вопросами. Выполнение требований локализации само по себе не заменяет процедуру трансграничной передачи.

12.3. Внешняя интеграция не должна создавать скрытый первичный сбор персональных данных непосредственно в зарубежную базу только из-за того, что сторонний SDK, аналитика или API автоматически загружаются вместе с ресурсом.

13.1. До начала деятельности по трансграничной передаче оператор соответствующей цели выполняет требования статьи 12 Федерального закона № 152-ФЗ, включая отдельное уведомление Роскомнадзора о намерении осуществлять трансграничную передачу. Такое уведомление направляется отдельно от уведомления об обработке персональных данных по статье 22.

13.2. До направления уведомления оператор получает предусмотренные законом сведения об иностранном получателе, его мерах защиты, условиях прекращения обработки и, когда это требуется, применимом иностранном регулировании.

13.3. Порядок начала передачи зависит, в частности, от того, включено ли государство получателя в актуальный перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных. Статус страны проверяется на дату фактического запуска соответствующего маршрута.

13.4. Актуальная процедура и сервис уведомления доступны на портале Роскомнадзора по трансграничной передаче.

13.5. Согласие субъекта не является универсальным и единственным основанием для любой трансграничной передачи. Правовое основание обработки определяется по конкретной цели, а требования статьи 12 применяются дополнительно, когда имеет место трансграничная передача.

13.6. Если monkeymachine действует по поручению Клиента, обязанности оператора по трансграничному процессу распределяются исходя из фактической роли, договора и того, кто определяет цель и инициирует соответствующую передачу.

14.1. monkeymachine применяет меры защиты с учётом требований статьи 19 Федерального закона № 152-ФЗ и статьи 16 Федерального закона № 149-ФЗ в той части, в которой соответствующие нормы применимы к конкретному процессу.

• для интеграций используются минимально необходимые права доступа;
• по возможности применяются раздельные ключи, токены и учётные записи для разных клиентов и сервисов;
• секреты доступа не раскрываются в пользовательских интерфейсах и технических логах сверх необходимого;
• входящие и исходящие данные проверяются с учётом назначения интеграции и рисков ошибочной передачи;
• доступ прекращается при отключении интеграции или прекращении полномочий пользователя;
• изменение критичных настроек и административный доступ журналируются в необходимом объёме.

14.2. Клиент обязан обеспечивать безопасность собственных аккаунтов и ключей внешних сервисов и своевременно отзывать доступ у лиц, утративших полномочия.

15.1. Отключение интеграции прекращает новый обмен данными после технического завершения операции, если иное не требуется для корректного завершения уже инициированного процесса.

15.2. Данные, ранее полученные и законно сохранённые в monkeymachine, не удаляются автоматически только вследствие отключения внешнего канала. Их дальнейшее хранение определяется соответствующей целью, сроком и договорными условиями.

15.3. Данные, оставшиеся у внешнего поставщика, удаляются или сохраняются по его условиям и договорной модели. Когда внешний сервис действует по поручению, порядок прекращения обработки и удаления должен быть предусмотрен соответствующими условиями.

15.4. При прекращении интеграции должны быть отозваны неиспользуемые ключи, токены, webhook-секреты и иные способы доступа.

16.1. Перед подключением новой внешней интеграции определяется назначение сервиса и минимально необходимый объём данных.

16.2. Для интеграции, которая получает персональные данные, учитываются по меньшей мере: получатель, его роль, состав передаваемых данных, цель, страна, условия хранения, субподрядчики, безопасность, локализация, трансграничность и прекращение обработки.

16.3. Повторная оценка проводится при изменении юридического лица-получателя, страны обработки, модели ИИ, SDK, состава передаваемых полей, целей использования данных или иных существенных параметров.

16.4. Новая техническая версия API сама по себе не требует изменения публичной Политики, если не меняются юридически значимые параметры обработки.

17.1. monkeymachine поддерживает актуализируемый учёт внешних сервисов и интеграций, которые участвуют в обработке данных платформы и проектов.

17.2. Для каждого существенного внешнего сервиса учитываются: назначение, получатель, категория передаваемых данных, договорная роль, страна обработки при наличии иностранного контура, сроки хранения и условия прекращения обработки.

17.3. Публичные документы могут описывать внешние сервисы по категориям, когда конкретный поставщик зависит от конфигурации проекта или может быть выбран самим Клиентом. Это не освобождает monkeymachine и Клиента от необходимости знать фактического получателя конкретного потока.

17.4. Если изменение внешнего сервиса затрагивает права пользователей, цели обработки, трансграничный маршрут или иные существенные условия, соответствующая информация и связанные документы актуализируются до применения новой конфигурации.

• подключать только те внешние сервисы и аккаунты, на использование которых у Клиента есть соответствующие права;
• не расширять объём передаваемых данных без необходимости;
• обеспечивать законное основание для обработки данных своих клиентов, работников, кандидатов и иных субъектов;
• не передавать в сторонние сервисы специальные категории, биометрические данные, платёжные секреты или иные данные повышенного риска без специально предусмотренного законного процесса;
• соблюдать условия внешнего поставщика и требования законодательства, применимые к собственной деятельности Клиента;
• своевременно отключать неиспользуемые интеграции и отзывать выданные права доступа.

Политика конфиденциальности и обработки персональных данных: https://monkeymachine.ru/ru/legal/privacy

Пользовательское соглашение: https://monkeymachine.ru/ru/legal/terms

Политика Cookie и аналогичных технологий: https://monkeymachine.ru/ru/legal/cookies

Публичная оферта: https://monkeymachine.ru/ru/legal/implementation-offer

Политика использования технологий искусственного интеллекта и Правила использования API применяются к соответствующим функциям платформы.

20.1. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» — в частности, статьи 3, 5–7, 12, 18, 18.1, 19 и 22 в зависимости от конкретного процесса.

20.2. Статья 6 Федерального закона № 152-ФЗ — условия обработки персональных данных и требования к поручению обработки другому лицу.

20.3. Статья 12 Федерального закона № 152-ФЗ — требования к трансграничной передаче персональных данных, включая отдельное уведомление уполномоченного органа.

20.4. Статья 18 Федерального закона № 152-ФЗ — обязанности оператора при сборе персональных данных, включая требования к локализации.

20.5. Статья 19 Федерального закона № 152-ФЗ и статья 16 Федерального закона от 27.07.2006 № 149-ФЗ — применимые требования к защите персональных данных и информации.

20.6. Иные требования законодательства Российской Федерации применяются в зависимости от конкретной функции, категории данных, роли участников, вида внешнего сервиса и отрасли деятельности Клиента.