Войти
Зарегистрироваться

Инструкция для Заказчика по обработке персональных данных при работе с riabot

Редакция №1 от «25» ноября 2025 г.

Настоящая Инструкция подготовлена для Заказчиков, которые используют сервис riabot для создания, настройки и эксплуатации ИИ-сотрудников, ИИ-агентов, каналов общения, виджетов, интеграций, баз знаний и рассылок.
Инструкция помогает Заказчику понять базовые обязанности при работе с персональными данными конечных пользователей: клиентов, лидов, покупателей, кандидатов, пациентов, подписчиков, посетителей сайта и иных лиц, которые взаимодействуют с ИИ-сотрудниками, каналами общения или рассылками Заказчика.
Настоящая Инструкция является справочным документом. Она не заменяет Публичную оферту riabot, Приложение №1 «Поручение на обработку персональных данных», Политику конфиденциальности, правила допустимого использования и документы самого Заказчика.
Документы riabot:

1. Кто за что отвечает

1.1. Если Заказчик использует riabot для общения со своими клиентами, лидами, покупателями, посетителями сайта, кандидатами, пациентами, подписчиками или иными лицами, то Заказчик обычно является оператором персональных данных таких лиц.
1.2. Это означает, что Заказчик самостоятельно определяет:
  • зачем собираются персональные данные;
  • какие именно данные собираются;
  • через какие каналы данные собираются;
  • кому данные передаются;
  • какие документы и согласия нужны;
  • как долго данные хранятся;
  • как обрабатываются запросы субъектов персональных данных;
  • какие меры защиты применяются на стороне Заказчика.
1.3. riabot в отношении данных конечных пользователей Заказчика обычно действует как лицо, обрабатывающее персональные данные по поручению Заказчика.
1.4. Поручение на обработку персональных данных содержится в Приложении №1 к Публичной оферте riabot.
1.5. riabot предоставляет техническую платформу. riabot не определяет цели бизнеса Заказчика, не выбирает за Заказчика состав собираемых данных, не проверяет законность каждой базы контактов, каждого сценария, каждой рассылки и каждого сообщения.

2. Что нужно сделать до запуска ИИ-сотрудника

Перед запуском ИИ-сотрудника в работу с реальными пользователями Заказчику рекомендуется проверить следующие пункты.

2.1. Определить цели обработки данных

Заказчик должен понимать, зачем он собирает данные через ИИ-сотрудника.
Например:
  • обработка заявки;
  • консультация по товару или услуге;
  • запись на встречу;
  • запись на услугу;
  • расчёт стоимости;
  • поддержка клиента;
  • подбор товара;
  • передача заявки менеджеру;
  • выполнение договора с клиентом;
  • отправка уведомлений;
  • рассылка при наличии законных оснований.
Не рекомендуется собирать данные “на всякий случай”, если они не нужны для конкретной задачи.

2.2. Определить правовые основания обработки

До сбора персональных данных Заказчик должен определить, на каком основании он их обрабатывает.
Такими основаниями могут быть, например:
  • согласие субъекта персональных данных;
  • заключение или исполнение договора;
  • обращение пользователя за товаром, услугой или консультацией;
  • исполнение требований закона;
  • законный интерес Заказчика, если он применим и не нарушает права субъекта.
Если для конкретного сценария нужно согласие, Заказчик должен получить такое согласие до начала соответствующей обработки.

2.3. Подготовить свои документы

Если Заказчик собирает персональные данные через сайт, виджет, мессенджер, чат-бота, форму заявки или рассылку, Заказчику рекомендуется подготовить и опубликовать свои документы:
  • Политику обработки персональных данных;
  • Согласие на обработку персональных данных, если оно требуется;
  • Согласие на рекламную рассылку, если планируются рекламные сообщения;
  • Условия использования сайта или сервиса, если применимо;
  • Политику cookie, если на сайте используются cookie и аналитика;
  • документы и уведомления для специальных сфер, если деятельность Заказчика регулируется законом.
Документы riabot не заменяют документы Заказчика перед его собственными клиентами и пользователями.

2.4. Минимизировать состав данных

Заказчик должен настроить ИИ-сотрудника так, чтобы он запрашивал только те данные, которые действительно нужны.
Например, если для расчёта стоимости кухни достаточно города, размеров, материала и телефона для связи, не нужно запрашивать паспортные данные, дату рождения, семейное положение или иные лишние сведения.
Принцип простой: меньше лишних данных — меньше рисков.

3. Какие данные могут появляться в riabot

При использовании riabot через диалоги, виджет, мессенджеры, CRM, базу знаний, рассылки и интеграции могут обрабатываться разные данные.
К ним могут относиться:
  • имя;
  • номер телефона;
  • email;
  • username или ID в мессенджере;
  • ссылка на профиль;
  • город;
  • адрес доставки или адрес объекта;
  • текст сообщений;
  • история диалога;
  • сведения о заказе;
  • сведения о товаре или услуге;
  • данные заявки;
  • комментарии клиента;
  • вложения, файлы, изображения, документы и иные материалы, если такая функциональность доступна или будет доступна;
  • данные из CRM;
  • данные из внешних каналов и интеграций;
  • сведения, которые Заказчик загружает в Базу знаний, инструкции, промпты и сценарии.
Заказчик самостоятельно отвечает за то, какие данные он собирает, передаёт, загружает и использует через riabot.

4. База знаний, промпты и инструкции

4.1. База знаний, промпты, инструкции и сценарии могут использоваться ИИ-сотрудником для формирования ответов.
4.2. Заказчик не должен загружать в Базу знаний, промпты, инструкции и сценарии данные, которые он не вправе передавать в riabot, внешние ИИ-модели, каналы общения, интеграции или третьим лицам.
4.3. Не рекомендуется загружать без необходимости:
  • паспортные данные;
  • медицинские документы;
  • сведения о диагнозах, лечении и здоровье;
  • банковские данные;
  • платёжные данные;
  • данные несовершеннолетних;
  • коммерческую тайну;
  • врачебную, адвокатскую, банковскую или иную охраняемую законом тайну;
  • внутренние документы с ограниченным доступом;
  • персональные данные третьих лиц без правового основания.
4.4. Если такие данные всё же используются в сценариях Заказчика, Заказчик самостоятельно отвечает за наличие правовых оснований, согласий, уведомлений, ограничений доступа и иных необходимых мер.

5. Внешние ИИ-модели и OpenAI

5.1. Для работы ИИ-функций riabot может использовать внешние ИИ-модели и провайдеров искусственного интеллекта, включая OpenAI.
5.2. Во внешние ИИ-модели могут передаваться данные, необходимые для работы ИИ-сотрудника, включая:
  • текущий запрос или сообщение;
  • историю диалога;
  • промпты;
  • инструкции;
  • сценарии;
  • Базу знаний, включая её фрагменты или всю Базу знаний целиком;
  • технический контекст;
  • текстовые, файловые, мультимедийные и иные данные, если соответствующий функционал доступен или будет доступен в Сервисе.
5.3. riabot может применять меры минимизации и маскирования отдельных данных, включая телефон и адрес электронной почты.
5.4. При этом riabot не гарантирует автоматическое удаление или маскирование всех персональных данных, коммерческой тайны, конфиденциальной информации, ФИО, адресов, номеров заказов, названий компаний, медицинских, финансовых, юридических или иных чувствительных сведений из текста диалогов, Базы знаний, инструкций, файлов и иных материалов.
5.5. Если Заказчик не вправе передавать отдельные данные во внешние ИИ-модели, иностранные сервисы или третьим лицам, Заказчик обязан не загружать такие данные в riabot, не включать их в Базу знаний, промпты, инструкции, сценарии и диалоги либо не использовать соответствующий сценарий обработки.

6. Первичное хранение данных граждан РФ

6.1. Если Заказчик собирает персональные данные граждан Российской Федерации через сайт, виджет, мессенджеры, ИИ-сотрудника или иные каналы, Заказчик должен учитывать требования законодательства о первичном сборе и хранении таких данных с использованием баз данных, расположенных на территории Российской Федерации.
6.2. На дату публикации настоящей Инструкции в документах riabot указано, что первичный сбор и хранение данных граждан РФ в рамках Сервиса осуществляется с использованием инфраструктуры на территории Российской Федерации, если такое требование применимо к соответствующей обработке.
6.3. При этом использование внешних ИИ-моделей, мессенджеров, CRM, аналитики, каналов связи, платёжных сервисов и интеграций может включать передачу данных третьим лицам и трансграничную передачу.
6.4. Заказчик должен учитывать это при настройке сценариев, выборе каналов, подготовке собственных документов и получении согласий.

7. Трансграничная передача данных

7.1. Использование riabot может включать трансграничную передачу персональных данных, если данные передаются во внешние ИИ-модели, иностранные мессенджеры, внешние каналы связи, CRM, аналитические сервисы или иные сервисы, инфраструктура которых находится за пределами Российской Федерации.
7.2. Заказчик как оператор персональных данных своих конечных пользователей самостоятельно отвечает за наличие правовых оснований для такой передачи, если она осуществляется в рамках сценариев Заказчика.
7.3. Если сценарий Заказчика предполагает трансграничную передачу персональных данных конечных пользователей, Заказчику рекомендуется:
  • проверить, действительно ли такая передача необходима;
  • указать её в своих документах;
  • получить согласие субъекта, если оно требуется;
  • направить уведомление в уполномоченный орган, если такая обязанность применима к Заказчику;
  • не передавать данные, если у Заказчика нет правового основания для такой передачи.
7.4. Если Заказчик не вправе осуществлять трансграничную передачу отдельных данных, он обязан не использовать сценарии, функции, интеграции или каналы, которые предполагают такую передачу, либо не передавать соответствующие данные через riabot.

8. Виджет на сайте Заказчика

8.1. Если Заказчик размещает виджет riabot на своём сайте, Заказчик должен убедиться, что на его сайте размещены необходимые документы и уведомления.
8.2. В зависимости от сценария Заказчику могут понадобиться:
  • Политика обработки персональных данных;
  • Согласие на обработку персональных данных;
  • уведомление о том, что обращение может обрабатываться с использованием ИИ-сотрудника;
  • согласие на рекламную рассылку, если через виджет собираются контакты для рекламы;
  • уведомление о cookie и аналитике, если они используются на сайте.
8.3. Если ИИ-сотрудник через виджет запрашивает персональные данные, Заказчик должен обеспечить наличие правового основания для такого сбора.
8.4. Если в виджете пользователь может оставить телефон, email, имя, адрес, описание задачи или иные персональные данные, Заказчик должен заранее определить цель сбора таких данных и не запрашивать лишнее.

9. Мессенджеры, соцсети и внешние каналы

9.1. Заказчик может использовать riabot с различными каналами общения, включая Telegram, WhatsApp, ВКонтакте, Авито, MAX, виджет на сайт и иные каналы.
9.2. При подключении внешних каналов Заказчик самостоятельно отвечает за соблюдение:
  • законодательства о персональных данных;
  • законодательства о рекламе;
  • законодательства о связи, если применимо;
  • правил соответствующего мессенджера, социальной сети, маркетплейса, CRM или иной платформы;
  • требований к согласиям и отказам от сообщений.
9.3. Внешние площадки могут иметь свои правила обработки данных, ограничения на рассылки, лимиты, антиспам-требования и основания для блокировки аккаунтов.
9.4. riabot не отвечает за блокировки, ограничения или претензии внешних площадок, если они возникли из-за действий Заказчика, содержания сообщений, незаконной базы, отсутствия согласий или нарушения правил площадки.

10. Рассылки через riabot

10.1. Если Заказчик использует riabot для отправки рассылок, он самостоятельно отвечает за:
  • законность базы контактов;
  • наличие согласий получателей;
  • содержание сообщений;
  • рекламный характер сообщений;
  • маркировку рекламы, если она требуется;
  • прекращение отправки сообщений лицам, отказавшимся от рассылки;
  • соблюдение правил Telegram, WhatsApp и иных каналов;
  • претензии, жалобы, штрафы и требования, связанные с рассылками.
10.2. Заказчику запрещается использовать riabot для рассылок по купленным, украденным, спарсенным, незаконно полученным или иным неправомерным базам контактов.
10.3. Перед запуском рассылки Заказчик должен подтвердить в интерфейсе riabot наличие законных оснований и необходимых согласий получателей.
Рекомендуемый текст подтверждения:
«Подтверждаю, что имею законные основания и необходимые согласия получателей на отправку сообщений, законно владею загруженной базой контактов и самостоятельно отвечаю за содержание рассылки, соблюдение законодательства о рекламе, персональных данных и правил площадок».
10.4. Если получатель отказался от сообщений, пожаловался, попросил больше не писать или заблокировал отправителя, Заказчик обязан прекратить отправку сообщений такому получателю.
10.5. Если в конкретном канале нет автоматической отписки, Заказчик обязан вести учёт отказов самостоятельно.

11. Работа в чувствительных и регулируемых сферах

11.1. Использование riabot в отдельных сферах требует повышенного внимания.
К таким сферам относятся, например:
  • медицина;
  • стоматология;
  • пластическая хирургия;
  • психология;
  • юридические услуги;
  • нотариальные услуги;
  • финансы;
  • кредиты и займы;
  • страхование;
  • HR и подбор персонала;
  • образование;
  • детские услуги;
  • недвижимость;
  • автомобильная тематика;
  • иные сферы, где требуется лицензия, разрешение, квалификация или специальное правовое регулирование.
11.2. В таких сферах Заказчик самостоятельно отвечает за:
  • наличие лицензий, разрешений, статуса и квалификации;
  • законность оказываемых услуг;
  • корректность информации;
  • настройку ограничений ИИ-сотрудника;
  • проверку ответов специалистом;
  • соблюдение требований к рекламе;
  • соблюдение требований к обработке персональных данных и специальных категорий данных.
11.3. riabot не оказывает конечным пользователям Заказчика медицинские, юридические, психологические, финансовые, нотариальные, кадровые или иные профессиональные услуги.
11.4. ИИ-сотрудник не должен использоваться для самостоятельной постановки диагнозов, назначения лечения, выдачи юридических заключений, инвестиционных рекомендаций, психологических диагнозов, нотариальных действий, кредитных решений, кадровых решений или иных профессионально значимых решений без проверки специалистом Заказчика.

12. Запросы субъектов персональных данных

12.1. Конечные пользователи Заказчика могут обращаться к Заказчику с запросами о своих персональных данных.
Такие запросы могут касаться:
  • подтверждения факта обработки;
  • получения информации об обработке;
  • уточнения данных;
  • блокирования данных;
  • удаления данных;
  • отзыва согласия;
  • прекращения рассылок;
  • иных прав субъекта персональных данных.
12.2. Заказчик как оператор персональных данных самостоятельно отвечает на такие запросы в сроки, предусмотренные законом.
12.3. Если для исполнения запроса нужны технические действия со стороны riabot, Заказчик может направить запрос в поддержку riabot.
12.4. В запросе рекомендуется указать:
  • данные Аккаунта;
  • канал общения;
  • ИИ-сотрудника;
  • идентификатор диалога или пользователя, если он известен;
  • какое действие требуется выполнить;
  • правовое основание запроса;
  • срок, в который Заказчику нужно получить содействие.
12.5. riabot оказывает разумное содействие в пределах технических возможностей Сервиса, условий Оферты и Приложения №1.
12.6. Если конечный пользователь обращается напрямую в riabot по поводу данных, которые обрабатываются в интересах Заказчика, riabot вправе перенаправить такой запрос Заказчику или запросить у Заказчика инструкции.

13. Инциденты и утечки

13.1. Если Заказчик обнаружил утечку, несанкционированный доступ, компрометацию аккаунта, ошибочную рассылку, незаконную передачу данных, загрузку неправильной базы или иной инцидент, который может затрагивать персональные данные, Заказчик должен незамедлительно принять меры для ограничения ущерба.
13.2. Заказчику рекомендуется:
  • остановить спорный сценарий;
  • отключить рассылку, канал или интеграцию, если это необходимо;
  • сменить пароли, токены и API-ключи;
  • ограничить доступ сотрудников или подрядчиков;
  • зафиксировать дату, время и обстоятельства инцидента;
  • определить, какие данные могли быть затронуты;
  • уведомить riabot, если инцидент связан с работой Сервиса;
  • выполнить обязанности оператора персональных данных, если они применимы к Заказчику.
13.3. Если инцидент возник из-за действий Заказчика, его сотрудников, партнёров, подрядчиков, неправильных настроек, незаконной базы контактов, отсутствия согласий, нарушения правил площадок или компрометации доступа Заказчика, ответственность за последствия такого инцидента несёт Заказчик.

14. Что не стоит делать

Заказчику не рекомендуется:
  • собирать персональные данные без понятной цели;
  • запрашивать больше данных, чем нужно;
  • загружать в Базу знаний персональные данные без необходимости;
  • использовать купленные, украденные или спарсенные базы контактов;
  • запускать рекламные рассылки без согласий;
  • игнорировать отказы от рассылок;
  • передавать во внешние ИИ-модели данные, которые нельзя передавать;
  • загружать медицинские, паспортные, банковские и иные чувствительные данные без правовых оснований;
  • обещать пользователям, что ответ ИИ всегда точный;
  • использовать ИИ-сотрудника вместо специалиста в регулируемых сферах;
  • скрывать от пользователей, как обрабатываются их данные, если раскрытие требуется законом;
  • давать доступ к Аккаунту сотрудникам и подрядчикам без контроля;
  • хранить пароли, токены и ключи API в открытом виде.

15. Практический чек-лист перед запуском ИИ-сотрудника

Перед запуском ИИ-сотрудника Заказчику рекомендуется проверить:
  1. Определены ли цели обработки персональных данных?
  2. Понятно ли, какие данные собирает ИИ-сотрудник?
  3. Не собирает ли ИИ-сотрудник лишние данные?
  4. Есть ли у Заказчика правовые основания для обработки данных?
  5. Нужны ли согласия пользователей? Если нужны — подготовлены ли они?
  6. Опубликована ли у Заказчика Политика обработки персональных данных?
  7. Указано ли в документах Заказчика, что данные могут обрабатываться через ИИ-сотрудника, технического провайдера, мессенджеры, CRM, внешние ИИ-модели и иные сервисы?
  8. Понимает ли Заказчик, что данные из диалогов, Базы знаний, промптов и инструкций могут передаваться во внешние ИИ-модели?
  9. Нет ли в Базе знаний лишних персональных данных, коммерческой тайны, медицинских документов, паспортных данных, банковских данных и иных чувствительных сведений?
  10. Если используется виджет на сайте, размещены ли на сайте нужные документы и уведомления?
  11. Если используются мессенджеры, соблюдаются ли правила соответствующих площадок?
  12. Если планируется рассылка, есть ли законная база контактов и согласия получателей?
  13. Есть ли способ учитывать отказы от рассылок?
  14. Если сценарий включает трансграничную передачу данных, есть ли для этого правовые основания?
  15. Настроены ли доступы сотрудников, партнёров и подрядчиков?
  16. Проверены ли ответы ИИ-сотрудника в тестовых диалогах?
  17. Есть ли у Заказчика порядок обработки запросов субъектов персональных данных?
  18. Понимает ли Заказчик, кто отвечает за данные конечных пользователей?

16. Рекомендуемые тексты для интерфейса Заказчика

Если Заказчик использует ИИ-сотрудника на своём сайте, в форме заявки или в виджете, он может использовать собственные тексты уведомлений и согласий.
Пример короткого уведомления:
«Нажимая кнопку отправки, вы соглашаетесь на обработку персональных данных в соответствии с Политикой обработки персональных данных. Обращение может быть обработано с использованием ИИ-сотрудника и технических сервисов, необходимых для ответа на запрос».
Пример уведомления перед диалогом:
«Диалог может обрабатываться с использованием ИИ-сотрудника. Не передавайте в чат лишние персональные данные, паспортные данные, банковские данные, медицинские документы и иную конфиденциальную информацию, если это не требуется для вашего обращения».
Пример согласия на рекламную рассылку:
«Согласен получать рекламные и информационные сообщения о товарах, услугах, акциях и предложениях. Согласие можно отозвать в любой момент».
Заказчик должен адаптировать такие тексты под свою деятельность, свои цели обработки, свои каналы связи и свои документы.

17. Связь с документами riabot

17.1. Настоящая Инструкция не изменяет условия Публичной оферты riabot и приложений к ней.
17.2. При противоречии между настоящей Инструкцией и Публичной офертой riabot, Приложением №1, Приложением №2, Приложением №3, Приложением №4, Политикой конфиденциальности или иными документами riabot применяются соответствующие документы riabot.
17.3. Настоящая Инструкция предназначена для удобства Заказчиков и помогает лучше понять, какие действия рекомендуется выполнить до запуска ИИ-сотрудников, рассылок, каналов общения и интеграций.

18. Контакты riabot

По вопросам работы riabot, обработки данных, настройки ИИ-сотрудников, каналов, интеграций и рассылок можно обратиться:
Индивидуальный предприниматель Шамсиддинов Руслан Захаддинович
ИНН: 610932664803
ОГРНИП: 325619600112942
Адрес: 347684, Россия, Ростовская обл., Егорлыкский р-н, х. Мирный, ул. Первооснователей, д. 4, кв. 1
Email: sales@riacode.com
Телефон: +7 (993) 080-00-91
Сайт: https://riabot.ru
Личный кабинет: https://app.riabot.ru