Как оформить использование YandexGPT или GigaChat через API: нужно ли поручение и согласие клиентов?

Провайдер модели, который обрабатывает запросы в интересах компании, — обработчик по поручению. Поручение оформляется договором и должно содержать перечень данных и действий, цели обработки, обязанность соблюдать конфиденциальность и обеспечивать безопасность, требования ч. 5 ст. 18, ст. 18.1 и 19, обязанность по запросу предоставлять документы о принятых мерах и уведомлять оператора об инцидентах по ч. 3.1 ст. 21 (ч. 3 ст. 6). По буквальному тексту ч. 3 ст. 6 поручение даётся с согласия субъекта, если иное не предусмотрено федеральным законом; позиции Роскомнадзора по этому вопросу не найдено (для кадровых данных см. Q77), поэтому безопаснее включать обработчика в согласие и политику. Сам обработчик получать согласие субъекта не обязан (ч. 4 ст. 6). Перед субъектом за обработчика отвечает оператор (ч. 5 ст. 6).

Условия доступа надо читать. Пользовательское соглашение GigaChat на developers.sber.ru запрещает передавать запросы, содержащие персональные данные пользователя или третьих лиц (п. 7.2.1–7.2.2), и загружать охраняемую законом тайну (п. 4.5.6), а коммерческое использование допускает только по отдельному соглашению (п. 3.1); для персональных данных нужен именно коммерческий договор с условиями поручения. У Yandex Cloud условия сервиса DataSphere устанавливают, что загруженная клиентом информация используется только для предоставления сервиса и не применяется для обучения моделей Яндекса, если клиент сам не включил такой параметр (п. 1.4–1.5); условия Foundation Models для YandexGPT нужно проверить отдельно. Если провайдер по договору вправе использовать запросы для своих целей, он не обработчик, и передача требует самостоятельного основания (Q32).

Трансграничной передачи нет, когда получатель — российское юрлицо, а обработка идёт в России (ст. 12 говорит о передаче иностранному лицу или на территорию иностранного государства). Локализация соблюдена, если журналы запросов и дообученные веса хранятся в России. Закон 243-ФЗ от 26.07.2026 вводит с 01.03.2027 статус суверенной модели, для которой хранение данных и подготовка ответов должны выполняться в российских центрах обработки (ч. 2 ст. 6 243-ФЗ), но этот статус не заменяет договор поручения и не создаёт основания обработки персональных данных.

Практические шаги: коммерческий договор с приложением-поручением и запретом использования запросов для обучения; срок хранения журналов запросов у провайдера и порядок их уничтожения (приказ РКН № 179); документы провайдера о мерах защиты по ч. 3 ст. 6; фильтр избыточных полей перед отправкой (ч. 5 ст. 5); сведения об обработчике в политике и уведомлении РКН; условие об уведомлении об инцидентах в течение суток.