Чек-лист GDPR для чат-бота (2026): PDPL, LGPD и другие

Чек-лист GDPR для чат-бота раньше означал ссылку на политику конфиденциальности и баннер о cookie. В 2026 году он должен закрывать ещё и обязанность раскрывать факт общения с ИИ по Регламенту ЕС об ИИ, которая применяется со 2 августа 2026 года, плюс законы о защите данных стран Залива и более широкого региона MENA, Турции, Индии, Бразилии и картину «штат за штатом» в США. В этом гиде — 10 практических шагов, таблица сроков уведомления об утечке по странам и понятная картина по Ираку и Курдистанскому региону.

Этот чек-лист — общая информация, а не юридическая консультация; советуйтесь с квалифицированным юристом в каждой юрисдикции, где вы работаете.

Главное

Регламент ЕС об ИИ требует, чтобы чат-боты сообщали, что они ИИ, если это не очевидно. Статья 50(1) применяется со 2 августа 2026 года, и Digital Omnibus от июля 2026 года её не отложил.
Большинство регуляторов отсчитывают 72 часа на уведомление об утечке, но не все. GDPR, правила саудовского PDPL, Совет KVKK, Египет, Бахрейн, Оман и Иордания работают по 72 часам, а ADGM — «без неоправданной задержки и, где это осуществимо, не позднее 72 часов»; Кувейт даёт лицензированным провайдерам 24 часа, DIFC требует лишь «как только это практически возможно», а бразильский ANPD — 3 рабочих дня. В США единого срока нет: уведомление об утечке идёт по отдельному закону каждого штата, а в Калифорнии это 30 календарных дней с момента обнаружения для уведомления пострадавших жителей.
Статья 28(3) GDPR требует обязывающего договора (DPA) с каждым обработчиком — обычно это ваша платформа-инбокс и поставщик ИИ-модели.
В Ираке нет действующего всеобъемлющего закона о защите данных для частного сектора, как и в Курдистанском регионе, поэтому практика уровня GDPR — разумная база.
Инструмент ИИ-автоответов обязан читать сообщения, чтобы на них отвечать, поэтому контроль доступа, сроки хранения и зашифрованные учётные данные важны не меньше шифрования при передаче.

Кому нужен чек-лист GDPR для чат-бота в 2026 году

Чат-бот, соответствующий GDPR, обрабатывает персональные данные на законном основании, объясняет людям, что происходит с их данными, обеспечивает их безопасность и позволяет реализовать права. Компания, которая продаёт в WhatsApp, Instagram или Telegram, обычно отвечает и перед местными законами:

ЕС: GDPR (применяется с 25 мая 2018 года) и статья 50 Регламента ЕС об ИИ. Обслуживаете людей в ЕС из-за его пределов? Спросите юриста, применяется ли GDPR.
США: единого федерального закона о приватности нет. Обязанности в основном на уровне штатов, во главе с калифорнийскими CCPA/CPRA, плюс согласие по TCPA на автоматические маркетинговые звонки и сообщения и правила штатов о раскрытии бота — например, в Мэне.
Саудовская Аравия: саудовский PDPL, льготный период которого закончился 14 сентября 2024 года. Регулятор — SDAIA; закон охватывает и обработку за рубежом данных о людях, находящихся в Саудовской Аравии.
ОАЭ (федеральный уровень): Декрет-закон № 45 от 2021 года, действует с января 2022 года, исполнительные регламенты к нему по-прежнему не изданы.
DIFC: закон № 5 от 2020 года; ежегодно уведомляйте комиссара об обработке, а правила статьи 10 об автономных системах распространяются и на чат-ботов.
ADGM: Регламент о защите данных 2021 года; до начала обработки зарегистрируйтесь в Управлении по защите данных и продлевайте регистрацию ежегодно.
Катар: закон № 13 от 2016 года, надзор осуществляет NCSA; явное согласие плюс разрешение для данных особого характера.
Бахрейн: закон № 30 от 2018 года; для передачи за рубеж нужен утверждённый список PDPA, его разрешение или иное основание.
Кувейт: регламент CITRA, в 2024 году сужённый до лицензированных телеком- и интернет-провайдеров, поэтому большинство компаний под него не подпадают.
Оман: Королевский декрет № 6/2022, применяется с 5 февраля 2026 года; согласие в приоритете, основания «законного интереса» нет.
Иордания: закон № 24 от 2023 года, применяется с марта 2025 года; предварительное согласие и отдельное согласие на передачу за рубеж.
Марокко: закон № 09-08; сначала задекларируйте обработку в CNDP, а для передачи за рубеж получите разрешение CNDP.
Египет: закон 151/2020; его исполнительные регламенты (декрет № 816 от 2025 года) дают срок примерно до начала ноября 2026 года.
Турция: KVKK (закон № 6698), изменённый законом 7499 с 1 июня 2024 года.
Индия: закон DPDP 2023 года; правила приняты в ноябре 2025 года, большинство существенных обязанностей — примерно с мая 2027 года.
Бразилия: LGPD (закон 13.709/2018), надзор осуществляет ANPD.

Соответствие требованиям для ИИ-чат-бота в США: CCPA, TCPA и раскрытие бота

Общая информация, а не юридическая консультация. Применяется ли к вам любой из этих законов, зависит от вашей выручки, числа записей, отрасли и типов данных — уточните у юриста.

Публикуемые подсчёты законов штатов США о приватности расходятся из-за методологии: по состоянию на сентябрь 2026 года около 20 действуют и 24 приняты.

Калифорнийский CCPA в редакции CPRA применяется к коммерческой компании, которая ведёт деятельность в Калифорнии, собирает персональные данные её жителей и проходит один из трёх порогов: мировая годовая валовая выручка свыше $26,625,000 (цифра, действующая с 1 января 2025 года); покупка, продажа или передача персональных данных 100 000 и более калифорнийских потребителей или домохозяйств; либо 50% и более выручки от продажи или передачи персональных данных. Калифорния даёт шесть прав: знать, удалить, исправить, отказаться от продажи и передачи, ограничить использование чувствительных персональных данных и не подвергаться дискриминации. У других штатов общее ядро — уведомление о конфиденциальности и отказы от таргетированной рекламы, продажи и отдельных видов профилирования, — и большинство добавляет согласие opt-in для чувствительных данных, которые свободный текст в чате заранее классифицировать не может.

Самый жёсткий механизм — договоры: по регламентам CCPA (§7051(c)) подрядчик без надлежащего договора поставщика услуг (service provider) таковым не является, и раскрытие ему персональных данных может считаться продажей или передачей. Около десятка штатов также требуют соблюдать универсальный сигнал отказа на той странице, где стоит ваш виджет, а не в WhatsApp, Instagram или Telegram; Global Privacy Control признан в Калифорнии, Колорадо и Коннектикуте, и список меняется, так что проверяйте его.

Сверху ложатся отраслевые правила: HIPAA — если ваш клиент относится к охватываемым организациям (covered entity), а в переписке есть медицинские данные; Meta и Telegram не подписывают соглашения business associate для обычной деловой переписки, поэтому защищённая медицинская информация через эти каналы идти не может. Плюс GLBA Safeguards Rule для небанковских финансовых компаний и COPPA для данных детей до 13 лет. По разделу 5 закона FTC Act заявления о приватности и безопасности, которые вы публикуете, должны быть правдивыми.

Исходящий маркетинг — отдельная тема. TCPA требует предварительного явного письменного согласия на маркетинговые звонки и сообщения на мобильные номера в США, отправленные автодозвонщиком или в записи, а установленная законом компенсация составляет $500 за каждый звонок или сообщение с нарушением и до $1,500 за умышленные или осознанные нарушения, как правило за каждое сообщение. Отзыв согласия может прийти любым разумным способом, и его нужно исполнить в течение 10 рабочих дней. Распространяется ли TCPA на сообщения WhatsApp, идущие через интернет, не решено, поэтому относитесь к письменному opt-in как к разумной базовой мере, а не как к устоявшемуся правилу; политика Meta WhatsApp Business Messaging Policy требует opt-in в любом случае.

Раскрытие бота тоже регулируется на уровне штатов. Закон о чат-ботах штата Мэн (10 M.R.S. §1500-DD), действующий с 24 сентября 2025 года, самый широкий и охватывает обычных ботов продаж и поддержки; Юта требует раскрытия, когда потребитель об этом спрашивает, и по своей инициативе — во взаимодействиях с высоким риском, например когда собираются медицинские или финансовые данные. Калифорнийский B.O.T. Act уже: нужен умысел ввести в заблуждение, публичные платформы с 10 млн и более уникальных посетителей из США в месяц, а чёткое раскрытие служит «безопасной гаванью».

Шаг 1: составьте карту персональных данных чат-бота и их маршрутов

Картирование данных — это перечень всех персональных данных, которых касается бот, мест их хранения и получателей. По каждому каналу зафиксируйте:

Что присылают клиенты: имена, номера телефонов, адреса электронной почты, адреса, детали заказа, фотографии и голосовые сообщения.
Что вы храните: историю диалогов, профили контактов и логи ИИ-запросов.
Что связывает системы: токены доступа к каналам, API-ключи ИИ-провайдеров и секреты вебхуков.
Куда уходят данные: мессенджер-платформа, ваш поставщик инбокса, поставщик ИИ-модели и любые CRM или платёжные инструменты.

Запишите и сроки хранения у каждого поставщика. Meta сообщает, что выступает обработчиком данных для WhatsApp Cloud API и хранит сообщения Cloud API не дольше 30 дней (документация Meta для разработчиков). Смотрите наше сравнение Cloud API и приложения Business.

Шаг 2: выберите законное основание и соберите согласие там, где оно нужно

Статья 6 GDPR перечисляет законные основания обработки. Выбирайте по одному на каждую цель, а не на каждый инструмент:

Ответы на вопросы о заказах и поддержка — это одна цель.
Маркетинговые рассылки и повторные касания — отдельная цель; проверьте, нужно ли для них отдельное согласие.
Повторное использование переписки для улучшения вашего ИИ — ещё одна цель; не подмешивайте её молча.

Запишите основание рядом с каждой целью в карте данных и храните подтверждения согласий.

Шаг 3: сообщайте пользователям, что они говорят с ИИ (статья 50 Регламента ЕС об ИИ)

По статье 50(1) Регламента ЕС об ИИ система ИИ, которая взаимодействует с людьми, должна ясно и с первого контакта сообщать им, что они имеют дело с ИИ, — кроме случаев, когда это и так очевидно. Обязанность применяется со 2 августа 2026 года, штрафы — до 15 млн евро или 3% мирового оборота, согласно FAQ Европейской комиссии по статье 50. Digital Omnibus по ИИ, действующий с 27 июля 2026 года, её не отложил. Спросите юриста, как эта обязанность применяется к вашей схеме, и проверьте, что ваш инструмент чат-бота показывает такое раскрытие.

Поставьте однострочное раскрытие в первый ответ бота в каждом диалоге, например: «Здравствуйте, я ИИ-ассистент бренда [Бренд]».
Дайте ссылку на политику конфиденциальности с информацией, которой требует статья 13 GDPR при сборе данных у людей.
Некоторые штаты США требуют того же: Мэн — с 24 сентября 2025 года, а Юта — когда потребитель спрашивает или во взаимодействии с высоким риском.

Шаг 4: минимизируйте данные, которые бот собирает, хранит и отправляет ИИ-моделям

Минимизация данных означает сбор только того, что нужно для задачи. Меньше данных — меньше того, что придётся защищать, удалять и указывать в уведомлениях.

Не спрашивайте номера документов или даты рождения, чтобы ответить на вопрос о доставке или часах работы.
Скажите клиентам никогда не присылать в чат номера карт и пароли, а бота научите такие данные отклонять.
Передавайте ИИ-модели только нужный контекст, а не карточку клиента целиком.
Прочитайте в условиях вашего ИИ-провайдера, используются ли данные из API для обучения.
Предусмотрите передачу человеку для жалоб, возвратов и любых решений с реальными последствиями для клиента.

Шаг 5: шифруйте учётные данные, токены и персональные данные клиентов при передаче и при хранении

Статья 32(1)(a) GDPR называет псевдонимизацию и шифрование мерами безопасности. По статье 34(3)(a) GDPR вы можете не уведомлять людей, если шифрование сделало утёкшие данные нечитаемыми. Уведомить регулятора по статье 33 всё равно может потребоваться.

Используйте HTTPS/TLS для каждого вызова API и каждого вебхука.
Шифруйте токены доступа к каналам, API-ключи ИИ и секреты вебхуков на уровне приложения, а ключ держите отдельно от базы данных, чтобы утёкший дамп базы не отдал ваш аккаунт WhatsApp или Instagram.
Шифруйте контактные поля с высоким риском — например, номера телефонов и адреса.

Знайте предел: сервер, который пишет ИИ-ответы, обязан читать текст сообщений, поэтому шаги 6 и 7 важны не меньше шифрования.

Шаг 6: включите ролевой доступ и ведите журналы аудита

Ролевой доступ (RBAC) даёт каждому человеку только те права, которые нужны для его работы:

Операторы на линии получают диалоги и контакты, но не биллинг, настройки ИИ или API-ключи.
Пользователи с доступом только на чтение видят лишь нужное и не могут ничего менять.
Отзывайте доступ в день ухода сотрудника и меняйте ключи, которые он мог видеть.
Фиксируйте, кто менял чувствительные настройки.

Правило 6 индийского DPDP относит хранение логов в течение одного года к мерам безопасности. Спросите каждого поставщика в вашем стеке, какие механизмы контроля доступа сотрудников у него работают и как этот доступ фиксируется, и храните ответы вместе с картой данных.

Шаг 7: задайте сроки хранения и настройте обработку запросов на удаление и доступ

Статья 17 GDPR даёт людям право на удаление, поэтому нужен способ найти и удалить данные одного человека во всех системах.

Определите срок хранения для каждого типа данных: открытые диалоги, закрытые диалоги, маркетинговые контакты.
Удаляйте или обезличивайте данные, когда срок истёк; автоматизировать это — хорошая практика.
Постройте процесс обработки запроса: подтвердите личность, найдите данные в инбоксе, CRM, логах ИИ и выгрузках, выполните запрос и зафиксируйте это.
Следите за сроком ответа в каждом законе, которому вы подчиняетесь. В Индии Data Fiduciaries («фидуциары данных») должны отвечать на запросы о правах в течение 90 дней, когда заработают существенные правила DPDP (примерно с мая 2027 года). В Калифорнии на проверяемые запросы даётся 45 дней с возможностью однократного продления.

Если вы подключаете Facebook или Instagram, проверьте, как ваш поставщик инбокса обрабатывает запросы Meta на удаление данных.

Шаг 8: подпишите DPA с каждым обработчиком и контролируйте трансграничную передачу

Договор об обработке данных (DPA) — это обязывающий контракт, которого статья 28(3) GDPR требует между вами и каждым обработчиком, работающим с персональными данными по вашему поручению. Для ИИ-чат-бота это обычно платформа-инбокс, поставщик ИИ-модели и поставщик мессенджер-API. Проверьте субобработчиков, использование данных для обучения ИИ, удаление по окончании договора и то, как быстро поставщик обязан сообщить вам об утечке. В США та же идея превращается в условие — см. выше правило CCPA §7051(c) о поставщике услуг.

Трансграничная передача тоже требует внимания. После турецкого закона 7499 передача за рубеж требует решения об адекватности, подходящих гарантий — например, стандартного договора по форме Совета — или узкого исключения. Совет не публиковал списка адекватности, а исключения покрывают только разовые, неповторяющиеся передачи, поэтому непрерывный поток данных чат-бота на них не построить: рассчитывайте на стандартный договор Совета и проверьте, какие шаги по уведомлению он требует. Хостинг за пределами Саудовской Аравии не выводит вас из-под саудовского PDPL, если вы обрабатываете данные о людях, находящихся там, а для саудовской передачи нужны допустимая цель плюс адекватность или гарантия с документированной оценкой рисков. Бразилия требует текст оговорок ANPD без изменений. Спросите у поставщика модели, на какую гарантию передачи он опирается, и подтвердите с юристом, что она удовлетворяет каждому закону, которому вы подчиняетесь.

Шаг 9: подготовьте план реагирования на утечку под сроки каждой юрисдикции

План реагирования на утечку — это короткий регламент о том, кто что делает в первые 72 часа, потому что большинство сроков начинают отсчёт с момента, когда вам стало известно об утечке.

Назначьте ответственного за инцидент и его замену.
Перечислите всех регуляторов и сроки, которым вы подчиняетесь (см. таблицу ниже).
Подготовьте шаблоны уведомлений клиентам на всех языках, которые вы поддерживаете, включая арабский и курдский.
Опишите, как быстро отозвать и заменить токены каналов, API-ключи ИИ и секреты вебхуков.

Шаг 10: пересматривайте чек-лист GDPR для чат-бота по графику

Сейчас: убедитесь, что вы готовы к египетскому сроку соответствия примерно к началу ноября 2026 года.
Ежеквартально: пересматривайте доступ команды, подключённые каналы и активные API-ключи.
Раз в полгода: проводите тестовый запрос на удаление и учения по утечке.
При каждом изменении: обновляйте карту данных и список поставщиков, когда добавляете канал, ИИ-модель или подрядчика, и проводите предварительную проверку рисков приватности для любого нового применения ИИ.
Ежегодно: перепроверяйте каждую страну, особенно исполнительные регламенты ОАЭ, индийский этап примерно с мая 2027 года и проект закона в Ираке.

Краткий справочник по странам: статус и сроки уведомления об утечке (сентябрь 2026)

Юрисдикция	Основной закон	Статус (сентябрь 2026)	Уведомление регулятора об утечке
ЕС/ЕЭП	GDPR + ст. 50 Регламента ЕС об ИИ	Действует	72 часа (ст. 33 GDPR)
США (федеральный уровень)	Общего закона о приватности нет; FTC Act раздел 5, TCPA, отраслевые правила	Общего закона нет; отраслевые правила действуют	Общей федеральной обязанности нет; только отраслевые правила (HIPAA: людям — в течение 60 дней с момента обнаружения, в HHS — в течение 60 дней при утечках, затронувших 500+ человек, в остальных случаях в течение 60 дней после конца календарного года; GLBA Safeguards Rule: в FTC в течение 30 дней с момента обнаружения события с незашифрованными данными 500 и более клиентов)
Калифорния (CCPA/CPRA)	Cal. Civ. Code §1798.100 и далее	Действует; регламенты CPPA вступили в силу 1 января 2026	CCPA срок не устанавливает; отдельный закон §1798.82 (в редакции SB 446, действует с 1 января 2026 года) даёт 30 календарных дней с момента обнаружения на уведомление пострадавших жителей, плюс уведомление генпрокурора Калифорнии в течение 15 дней после уведомления потребителей, если затронуто более 500 жителей Калифорнии. Сроки различаются от штата к штату
Саудовская Аравия	PDPL (M/19, изменён M/148)	Применяется с 14 сентября 2024	72 часа в SDAIA (ст. 24 регламентов)
ОАЭ (федеральный уровень)	Декрет-закон № 45 от 2021 года	Действует; исполнительные регламенты не изданы	«Немедленно»; срок в часах не указан
DIFC	Закон DIFC № 5 от 2020 года	Действует; изменён в 2022 и 2025	Как только это практически возможно (ст. 41); правила 72 часов нет
ADGM	Регламент о защите данных 2021 года	Действует и применяется	Без неоправданной задержки, где осуществимо — 72 часа
Катар	Закон № 13 от 2016 года (PDPPL)	Действует; руководства NCSA опубликованы	В законе нет; руководство NCSA ожидает 72 часа
Бахрейн	Закон № 30 от 2018 года	Действует; PDPA работает с 2022 года	72 часа с момента обнаружения в PDPA
Кувейт	Регламент CITRA, изменён в 2024	Обязателен только для лицензиатов CITRA	24 часа, только для лицензиатов
Оман	Королевский декрет № 6/2022	Полностью применяется с 5 февраля 2026	72 часа в MTCIT
Иордания	Закон № 24 от 2023 года	Льготный период закончился 17 марта 2025	72 часа; субъектам данных — в течение 24 часов
Египет	Закон 151/2020	Срок соответствия истекает примерно в начале ноября 2026	72 часа в PDPC
Марокко	Закон № 09-08	Действует; режим декларирования	Нет: закон № 09-08 не устанавливает общей обязанности уведомлять об утечке
Турция	KVKK (закон № 6698)	Действует, изменён в июне 2024	72 часа в Совет KVKK
Индия	Закон DPDP 2023 года	Большинство обязанностей примерно с мая 2027	Подробный отчёт в течение 72 часов (правило 7)
Бразилия	LGPD	Действует, санкции с августа 2021	3 рабочих дня в ANPD, для малых агентов срок удваивается
Ирак	Всеобъемлющего закона для частного сектора нет	Есть проект закона	Законодательной обязанности нет; уточните у местного юриста
Курдистанский регион	Всеобъемлющего закона нет; закон № 6 от 2008 года	—	Законодательной обязанности нет; уточните у местного юриста

Ирак и Курдистанский регион: по данным DataGuidance, приватность в Ираке опирается на конституцию 2005 года, а не на отдельный закон. Ближайший акт в Курдистанском регионе — закон № 6 от 2008 года о злоупотреблении средствами связи.

Как Raabt помогает в работе над соответствием требованиям в Саудовской Аравии, странах Залива и за их пределами

Это карта возможностей, а не подтверждение соответствия требованиям. Ни один инструмент сам по себе не делает вас соответствующим: это решают ваше законное основание, ваши уведомления, ваши сроки хранения и ваши договоры. Что платформа действительно может дать — это механизмы контроля, наличия которых от вас ждёт каждый закон.

Чего требует закон	Что Raabt даёт вам сегодня	Что остаётся вашей задачей
Меры безопасности (ст. 32 GDPR, саудовский PDPL, Бахрейн, Оман, Иордания, KVKK)	Токены доступа к каналам, ключи ИИ-провайдеров, секреты вебхуков, а также номера телефонов, адреса почты и адреса из заказов клиентов шифруются алгоритмом AES-256-GCM; пароли хешируются через Argon2id; одноразовые коды хранятся только в виде хешей HMAC-SHA256	Сроки хранения, шифрование устройств и безопасность всего, что вы выгружаете наружу
Контроль доступа и минимум необходимых прав	Четыре роли (владелец, администратор, оператор, наблюдатель) с разрешениями по разделам, биллинг только у владельца, одноразовый код на почту при входе по паролю и отзыв сессий при выходе из аккаунта	Проверять, у кого есть доступ, и убирать ушедших сотрудников в тот же день
Сообщать людям, что они говорят с ИИ (ст. 50 Регламента ЕС об ИИ, Мэн, Юта)	Настройки ИИ — раздел с разграничением прав, поэтому менять то, как отвечает бот, могут только выбранные вами роли	Написать саму строку с раскрытием, поставить её в первое сообщение бота и проверить, что она показывается во всех каналах
Разделять данные разных клиентов	Эндпоинты бизнеса проверяют, что вызывающий — активный участник именно этого бизнеса, прежде чем что-либо вернуть	Решать, кого вы приглашаете в рабочее пространство
Запросы на удаление (ст. 17 GDPR и аналоги)	Колбэк Meta на удаление данных с кодом подтверждения и ссылкой на статус на странице удаления данных; для удаления аккаунта нужны пароль и код из письма, после чего аккаунт деактивируется, а его адрес почты обезличивается	Запросы на удаление данных отдельных клиентов и ваша собственная политика хранения и удаления
Проверенные интеграции с защитой от подмены	Вебхуки Meta отклоняются без действительной подписи X-Hub-Signature-256, вебхуки Telegram требуют секретный токен, а вложения отдаются только по ссылкам с истекающей подписью HMAC	Менять токены каналов и API-ключи, когда сотрудники уходят
Реагирование на утечку (72 часа в ЕС, Саудовской Аравии, Бахрейне, Омане, Иордании и Турции; 24 часа для кувейтских лицензиатов; в США — правила каждого штата)	Действия сотрудников самой платформы Raabt пишутся в журнал, доступный только на дозапись (кто, что, когда, IP), секреты при этом скрываются	Ваш регламент реагирования на инцидент, уведомления регулятору и уведомления клиентам
Передача данных за рубеж	API-ключи ИИ-провайдеров и JSON сервисных аккаунтов шифруются на уровне приложения (AES-256-GCM)	Выбор того, какой ИИ-провайдер обрабатывает ваши тексты, ваша оценка трансграничной передачи, стандартные договоры и любые местные уведомления

Что Raabt делает для защиты данных бизнеса сегодня

Ни один инструмент не делает вас соответствующим требованиям; результат зависит от того, как вы его настроите и как им пользуетесь. Если вы запускаете ИИ-чат-бота на Raabt, сегодня работают такие меры:

Зашифрованные учётные данные и выбранные контакты: токены доступа к каналам (Facebook, Instagram, WhatsApp, Telegram), API-ключи ИИ-провайдеров, секреты вебхуков и номера телефонов, адреса почты и адреса в заказах клиентов шифруются на уровне приложения алгоритмом AES-256-GCM.
Пароли и коды для входа: пароли хешируются через Argon2id. При входе по почте и паролю до начала сессии требуется одноразовый код, отправленный письмом; вход через Google этот код не использует.
Ролевой доступ команды: четыре роли (владелец, администратор, оператор, наблюдатель) с разрешениями по разделам; доступ к биллингу нельзя делегировать никому, кроме владельца.
Изоляция между компаниями: эндпоинты бизнеса подтверждают, что вызывающий — активный участник этого бизнеса, и иначе возвращают «не найдено».
Проверенные вебхуки: вебхуки Meta без действительной подписи X-Hub-Signature-256 отклоняются, а вебхуки Telegram требуют секретный токен.
Запросы Meta на удаление: Raabt поддерживает колбэк Meta на удаление данных, ссылка на статус — на странице удаления данных.
Отзыв сессий: выход из аккаунта отзывает сессии через блок-лист, который проверяется при каждом авторизованном запросе.
Удаление аккаунта: нужны пароль и одноразовый код из письма. Аккаунт сразу деактивируется, а его адрес почты обезличивается, но это не стирает данные диалогов и контактов.

Одно ограничение, которое надо учесть: диалоги не защищены сквозным шифрованием, потому что серверы Raabt обязаны читать сообщения, чтобы генерировать ИИ-ответы. Сервер, который составляет ответ, обязан сначала прочитать сообщение.

Планируйте сроки хранения, доступ и уведомления клиентов с учётом этого и посмотрите нашу политику конфиденциальности.

Частые вопросы

Общая информация, а не юридическая консультация.

Соответствует ли мой ИИ-чат-бот требованиям GDPR?

Ответ даст только разбор вашей собственной схемы. Проверьте законное основание для каждой цели, понятную политику конфиденциальности, DPA с каждым обработчиком, надлежащие меры безопасности, например шифрование, и работающую обработку запросов на удаление.

Нужно ли сообщать пользователю, что он общается с ИИ-чат-ботом?

В ЕС — как правило, да. Со 2 августа 2026 года статья 50(1) Регламента ЕС об ИИ требует, чтобы системы ИИ, которые взаимодействуют с людьми, давали это понять с первого контакта, кроме случаев, когда это очевидно. В США Мэн требует уведомления там, где коммерческий чат-бот может ввести потребителя в заблуждение и создать впечатление, что он говорит с человеком; Юта требует раскрытия, когда потребитель об этом спрашивает, и по своей инициативе — во взаимодействиях с высоким риском, например когда собираются медицинские или финансовые данные.

Применяется ли Регламент ЕС об ИИ к чат-ботам в поддержке клиентов?

Да, через требования прозрачности статьи 50 к системам ИИ, которые взаимодействуют с людьми. Digital Omnibus перенёс сроки для отдельных систем высокого риска (приложение III) на 2 декабря 2027 года, а сроки приложения I — на 2 августа 2028 года. Уточните у юриста, относится ли ваш сценарий к высокому риску.

Применяются ли законы США о приватности к моему чат-боту в WhatsApp или Instagram?

Часто да — но от штата к штату, а не через один федеральный закон. Переписка, привязанная к номеру телефона или аккаунту в Instagram, по этим законам является персональными данными, а сверху ложатся обязанности раскрывать бота и согласие по TCPA на исходящий маркетинг. Пороги и открытый вопрос по TCPA — в разделе о США выше.

Нужен ли DPA с поставщиком чат-бота?

По GDPR — да, если поставщик обрабатывает персональные данные по вашему поручению, потому что статья 28(3) требует обязывающего договора с каждым обработчиком. Проверьте субобработчиков, условия об обучении ИИ и удаление по окончании договора.

Сколько можно хранить переписку чат-бота по GDPR?

Единой цифры, которую можно просто списать, нет. Распространённый подход — хранить диалоги ровно столько, сколько требует заявленная цель, указывать этот срок клиентам в политике конфиденциальности и затем удалять или обезличивать данные. Срок подтвердите с юристом.

Есть ли в Ираке закон о защите персональных данных?

Всеобъемлющего закона для частного сектора нет, хотя есть проект закона. Статья 17 конституции 2005 года защищает личную жизнь, а статья 40 — тайну связи. В Курдистанском регионе всеобъемлющего закона тоже нет, поэтому практика уровня GDPR пока остаётся разумной базой.

Готовы запустить ИИ-автоответы с зашифрованными учётными данными каналов и ролевым доступом команды? Начать бесплатно.