ООО «SELLAI»

Сервис SafeLaw (safelaw.ai)

ИНН: 312530703

Адрес: Республика Узбекистан, Республика Каракалпакстан, г. Нукус, ул. А. С. Пушкина, 91/7

Электронная почта: info@safelaw.ai. Телефон: +998 90 590 59 00

ПОЛИТИКА УПРАВЛЕНИЯ ПОСТАВЩИКАМИ УСЛУГ

Документ TPSP-01

Версия 1.2

Дата ввода в действие: 15 мая 2026 г.

Дата последнего пересмотра: 30 октября 2026 г.

Соответствие: PCI DSS v4.0.1, SAQ A

1. Назначение

Настоящая Политика управления поставщиками услуг (далее — Политика) устанавливает порядок выбора, оценки, заключения договоров, мониторинга и прекращения отношений ООО «SELLAI» (далее — Компания) с третьими сторонами, оказывающими услуги, которые могут повлиять на безопасность данных пользователей, в том числе данных платёжных карт, обрабатываемых в рамках сервиса SafeLaw (safelaw.ai). Политика разработана в соответствии с Требованием 12.8 стандарта PCI DSS v4.0.1.

2. Область применения

Действие Политики распространяется на всех поставщиков услуг (Third-Party Service Providers, далее — TPSP), которые:

• имеют доступ к данным платёжных карт пользователей или могут повлиять на безопасность среды обработки таких данных (CDE);
• обрабатывают, хранят или передают персональные данные пользователей Компании;
• предоставляют инфраструктурные услуги, обеспечивающие работу публичных сервисов Компании;
• осуществляют поддержку или администрирование информационных систем Компании.

3. Определения

Поставщик услуг (TPSP) — юридическое или физическое лицо, не являющееся работником Компании, оказывающее услуги, перечисленные в разделе 2 настоящей Политики.

Должная осмотрительность (Due Diligence) — процесс предварительной оценки потенциального поставщика услуг на предмет его способности обеспечить безопасность данных, переданных ему Компанией.

Attestation of Compliance (AoC) — документ, подтверждающий соответствие поставщика услуг требованиям PCI DSS.

DPA (Data Processing Agreement) — соглашение об обработке персональных данных между Компанией (контролёр) и поставщиком услуг (обработчик).

4. Реестр поставщиков услуг

Компания ведёт актуальный реестр всех поставщиков услуг, подпадающих под действие настоящей Политики. По каждому поставщику в реестре фиксируются:

• наименование, страна регистрации, контактные данные;
• вид и описание оказываемых услуг;
• категория услуг с точки зрения PCI DSS (платёжный сервис, инфраструктура, хостинг, AI, прочее);
• конкретные требования PCI DSS, исполняемые поставщиком от имени Компании;
• дата заключения и срок действия договора;
• наличие и срок действия Attestation of Compliance (для платёжных и инфраструктурных TPSP);
• наличие DPA (для поставщиков, обрабатывающих персональные данные);
• дата последней оценки соответствия;
• ответственное лицо со стороны Компании за взаимодействие с поставщиком.

Реестр пересматривается не реже одного раза в 12 месяцев и обновляется при любых изменениях состава поставщиков.

4.1. Действующий состав поставщиков услуг Компании

Состояние на 30 октября 2026 г.:

Поставщик

Юрисдикция

Услуга / роль

Категория PCI DSS

FreedomPay

Узбекистан

Приём платежей по картам Uzcard и Humo; ввод платёжных реквизитов происходит на стороне провайдера

Платёжный сервис

Click

Узбекистан

Приём платежей через платёжный сервис Click; оплата происходит на странице провайдера

Платёжный сервис

Payme

Узбекистан

Приём платежей через платёжный сервис Payme; оплата происходит на странице провайдера

Платёжный сервис

Telegram FZ-LLC

ОАЭ

Канал поддержки пользователей (@safelaw_support_bot) и Telegram-версия сервиса SafeLaw (@safelawaibot)

Прочее / канал коммуникации

Netcup GmbH

Германия

Хостинг производственных серверов сервиса SafeLaw

Инфраструктура / хостинг

Google LLC

США

Корпоративная почта и совместная работа (Google Workspace)

Корпоративные сервисы

Anthropic PBC

США

AI-сервис: API моделей ИИ

AI-сервис

Voyage AI

США

AI-сервис ранжирования результатов поиска (Rerank API); получает текст запроса пользователя

AI-сервис

OpenAI, OpCo, LLC

США

AI-сервис: API моделей ИИ

AI-сервис

Namecheap, Inc.

США

Регистратор доменного имени safelaw.ai

Инфраструктура

Google LLC

США

Веб-аналитика Google Analytics 4: статистика посещаемости и измерение эффективности рекламы; подключается только после согласия пользователя на аналитические cookie

Прочее / веб-аналитика

Meta Platforms, Inc.

США

Meta Pixel: измерение конверсии и эффективности рекламы; подключается только после согласия пользователя на маркетинговые cookie

Прочее / маркетинг

Microsoft Corporation

США

Веб-аналитика Microsoft Clarity: статистика поведения на сайте, тепловые карты и записи сессий с маскированием ввода в чат, вопросов и ответов; подключается только после согласия пользователя на аналитические cookie

Прочее / веб-аналитика

ООО «Яндекс»

Россия

Веб-аналитика Яндекс Метрика с Вебвизором и картой кликов: статистика посещаемости и записи сессий с маскированием ввода в чат, вопросов и ответов; подключается только после согласия пользователя на аналитические cookie

Прочее / веб-аналитика

PostHog Inc.

США; данные хранятся и обрабатываются в ЕС (Франкфурт, Германия)

Продуктовая аналитика и записи сессий с маскированием ввода в чат, вопросов и ответов; подключается только после согласия пользователя на аналитические cookie

Прочее / веб-аналитика

Ни один из перечисленных поставщиков, за исключением поставщиков платёжных услуг (FreedomPay, Click, Payme), не имеет доступа к данным платёжных карт пользователей, поскольку Компания не обрабатывает PAN и SAD на своей инфраструктуре.

5. Процедура выбора поставщика

5.1. Должная осмотрительность

Перед заключением договора с потенциальным поставщиком услуг, подпадающим под действие настоящей Политики, осуществляется его оценка по следующим критериям:

• наличие необходимых лицензий, разрешений, регистраций;
• соответствие применимым стандартам и сертификациям (PCI DSS, ISO 27001, SOC 2 — в зависимости от типа услуги);
• репутация на рынке, наличие инцидентов информационной безопасности в публичных источниках;
• прозрачность политик информационной безопасности и обработки данных;
• способность подписать договорные обязательства по защите данных;
• географическое расположение инфраструктуры обработки данных;
• финансовая устойчивость;
• условия SLA и поддержки.

Для платёжных провайдеров и поставщиков, имеющих доступ к данным платёжных карт, обязательным является наличие действующего сертификата PCI DSS соответствующего уровня. Запрашивается копия Attestation of Compliance (AoC).

5.2. Документирование оценки

Результаты оценки документально оформляются в виде краткого отчёта, содержащего: наименование поставщика, предлагаемые услуги, перечень проверенных критериев, выявленные риски, рекомендацию о заключении договора или отказе. Отчёт хранится в течение срока действия договора и 3 лет после его прекращения.

6. Договорные требования

Договор с TPSP, имеющим доступ к данным Компании или влияющим на безопасность данных, в обязательном порядке содержит положения:

• обязательство поставщика соблюдать применимое законодательство и стандарты (в том числе PCI DSS — для платёжных и инфраструктурных провайдеров; Закон РУз № ЗРУ-547 «О персональных данных» — для обработчиков персональных данных пользователей-резидентов Узбекистана);
• чёткое распределение ответственности по обеспечению информационной безопасности между Компанией и поставщиком;
• обязанность поставщика уведомить Компанию об инцидентах информационной безопасности, затрагивающих данные Компании, не позднее установленного срока;
• право Компании на запрос подтверждающих документов о соответствии поставщика стандартам безопасности;
• обязательства по конфиденциальности информации, полученной от Компании;
• порядок возврата или уничтожения данных Компании при прекращении договора;
• ответственность за нарушение договорных обязательств в части безопасности данных.

При невозможности включения отдельных положений в стандартные условия международных поставщиков (Google, Anthropic, OpenAI, Voyage AI, Netcup и др.) Компания опирается на публичные условия использования, политики конфиденциальности и Data Processing Agreement, предлагаемые этими поставщиками, и обеспечивает их соответствие требованиям Компании. Заключение DPA с указанными поставщиками является обязательным.

7. Распределение обязанностей по обеспечению соответствия PCI DSS

Между Компанией и TPSP осуществляется чёткое распределение обязанностей по обеспечению соответствия требованиям PCI DSS. Распределение фиксируется документально в матрице ответственности (Responsibility Matrix).

7.1. Обязанности платёжных провайдеров (FreedomPay, Click, Payme)

• обработка, хранение, передача данных платёжных карт пользователей;
• обеспечение безопасности платёжного шлюза и платёжных страниц;
• соответствие требованиям PCI DSS, применимым к платёжному сервисному провайдеру;
• уведомление Компании о любых инцидентах безопасности, затрагивающих платёжные операции.

7.2. Обязанности Компании

• обеспечение того, чтобы данные платёжных карт не передавались на инфраструктуру Компании;
• безопасная интеграция с платёжным шлюзом (правильная настройка redirect flow, проверка возвращаемых параметров);
• защита веб-сайта safelaw.ai от вмешательств, которые могли бы привести к перенаправлению пользователей на поддельные платёжные страницы;
• соблюдение требований SAQ A, применимых к мерчанту с полным аутсорсингом обработки CHD;
• ведение реестра TPSP и мониторинг их соответствия PCI DSS.

8. Мониторинг соответствия поставщиков

Компания осуществляет регулярный мониторинг соответствия поставщиков услуг применимым требованиям:

• не реже одного раза в 12 месяцев запрашивается актуальная Attestation of Compliance у платёжных и инфраструктурных TPSP;
• при наличии у поставщика публичного Trust Center или страницы соответствия (Compliance Page) актуальность статуса проверяется по официальным источникам;
• отслеживаются публикации поставщиков об инцидентах безопасности, в том числе через их официальные блоги, страницы статуса и публичные отчёты;
• при выявлении существенных проблем у поставщика (утечка данных, отзыв сертификации, ухудшение финансового положения) проводится повторная оценка.

Результаты мониторинга фиксируются в реестре TPSP.

9. Управление изменениями

При любом из следующих событий проводится пересмотр статуса поставщика:

• изменение перечня услуг, оказываемых поставщиком;
• изменение объёма или категории данных, передаваемых поставщику;
• истечение срока сертификации/AoC поставщика;
• публикация информации об инциденте безопасности у поставщика;
• изменение собственника, юрисдикции или существенных условий деятельности поставщика.

10. Прекращение отношений с поставщиком

При прекращении договора с поставщиком обеспечиваются:

• своевременное прекращение всех технических интеграций (отзыв API-ключей, токенов доступа, удаление учётных записей у поставщика и в системах Компании);
• возврат или уничтожение данных Компании, переданных поставщику, с получением документального подтверждения;
• исключение поставщика из активного реестра TPSP (с сохранением записи в архивной части на установленный срок);
• уведомление работников Компании, использовавших услуги поставщика, о порядке перехода на альтернативное решение.

11. Ответственное лицо

Выполнение настоящей Политики, ведение реестра TPSP и мониторинг соответствия поставщиков возлагаются на ответственного за работу с поставщиками услуг. Роль возлагается приказом директора на работника Общества; в настоящей Политике указывается только роль, без фамилий. Ответственный за работу с поставщиками услуг согласует оценку рисков с ответственным за информационную безопасность; решения о заключении и прекращении договоров с поставщиками принимает директор Общества.

12. Пересмотр Политики

Настоящая Политика пересматривается не реже одного раза в 12 месяцев, а также при существенных изменениях состава поставщиков услуг, изменениях бизнес-модели Компании, изменениях нормативно-правовой базы или стандартов (PCI DSS).

13. Сведения о документе

Версия

Дата

Изменения

Утвердил

1.0

15.05.2026

Первичное утверждение документа

Директор Общества

1.1

22.09.2026

Плановый пересмотр: обновление реестра поставщиков услуг (FreedomPay, Telegram); из реестра исключён прежний платёжный эквайер, платёжным поставщиком указан FreedomPay; роль ответственного за работу с поставщиками услуг; контактные данные; реквизиты Общества

Директор Общества

1.2

30.10.2026

Внеплановый пересмотр: в реестр поставщиков услуг добавлены платёжные сервисы Click и Payme и сервис ранжирования Voyage AI; реестр приведён в соответствие с фактически используемыми сервисами

Директор Общества

Утверждение документа

Документ утверждён директором Общества и введён в действие с 15 мая 2026 года. Документ подлежит обязательному ознакомлению всеми работниками, подрядчиками и иными лицами, имеющими доступ к информационным активам Общества.