25 закупочных вопросов поставщикам AI-чат-ботов

В каких регионах клиентские данные хранятся в состоянии покоя?

SLAtech: Хостинг в вашей юрисдикции доступен по запросу (Enterprise-развёртывания); развёртывания в выделенном тенанте можно закрепить за одним регионом.

Какие субпроцессоры обрабатывают клиентские данные и где?

SLAtech: По категориям: провайдер облачного хостинга, наш провайдер языковой модели (США, инференс LLM), провайдер векторного поиска, провайдер мониторинга ошибок (США, ошибки), провайдер CDN и защиты периметра (глобальная edge-сеть, WAF / CDN), провайдер транзакционной почты (США, транзакционная почта). Список категорий на /ru/sub-processors/ - обновляется в течение 14 дней после изменения. Полный список с названиями поставщиков предоставляется по запросу - под NDA или в составе нашего соглашения об обработке данных (DPA).

Какие стандартные договорные положения (SCC) регулируют передачу данных за пределы EEA?

SLAtech: SCC 2021/914 - текущий шаблон Европейской комиссии. Оценка влияния на передачу данных доступна по запросу.

Можно ли закрепить регион хранения данных за одним регионом?

SLAtech: Да - тариф Enterprise предлагает развёртывание в выделенном тенанте, закреплённое за одним регионом на ваш выбор. На тарифах с общим тенантом (Starter / Pro) - автоматическое переключение на резерв между регионами.

Хранятся ли резервные копии в том же регионе, что и основные данные?

SLAtech: Да. Ежедневные резервные копии со сроком хранения 35 дней; восстановление на момент времени в пределах последних 24 часов. Регион резервных копий совпадает с основным, если клиент не закрепил иначе.

Соответствует ли поставщик SOC 2?

SLAtech: Отчёт Type I планируется на Q3 2026; Type II - Q2 2027. Операционные средства контроля на /ru/security/ независимо аудируются по запросу.

Сертифицирован ли поставщик по ISO 27001?

SLAtech: Сертификация планируется на Q4 2026. Область действия СУИБ (ISMS) = продакшн-инфраструктура + системы обработки клиентских данных.

Готов ли поставщик подписать BAA по HIPAA?

SLAtech: Да - на тарифе Enterprise с развёртыванием в выделенном тенанте. Стандартный шаблон BAA доступен через security@slatech.ai.

Соответствует ли поставщик GDPR и подпишет ли DPA?

SLAtech: Да - DPA подписывается при регистрации на тарифе Enterprise; стандартный шаблон DPA доступен для ознакомления.

Как поставщик управляет областью действия PCI-DSS?

SLAtech: SLAtech не хранит, не обрабатывает и не передаёт данные банковских карт - платежи обрабатываются внешним платёжным провайдером уровня PCI-DSS Level 1. Применяется SAQ-A.

Опишите шифрование данных в состоянии покоя и при передаче.

SLAtech: AES-256-GCM в состоянии покоя, TLS 1.2+ при передаче с HSTS preload. Ротация ключей - ежегодно и при кадровых изменениях.

Опишите средства контроля идентификации, аутентификации и авторизации.

SLAtech: Хеширование паролей Argon2id, политика паролей для каждого тенанта, RBAC, журнал аудита действий администратора. SAML SSO - на тарифе Enterprise (Okta, OneLogin, Azure AD, Google Workspace).

Опишите программу управления уязвимостями.

SLAtech: Обновления зависимостей Dependabot в продакшене, статический анализ GitHub CodeQL на каждом PR, ежегодный внешний тест на проникновение (следующий - Q4 2026), политика скоординированного раскрытия уязвимостей.

Как обнаруживаются и как уведомляются инциденты безопасности?

SLAtech: Мониторинг ошибок на каждом backend-сервисе с очисткой PII, мониторинг синтетических транзакций с интервалом 5 минут, страница статуса в реальном времени на status.slatech.ai. SLA по уведомлению об инцидентах: в течение 24 часов для значимых инцидентов (в соответствии с NIS2).

Какая модель ценообразования?

SLAtech: Фиксированные тарифы в пяти вариантах: Free $0/мес, Starter $49/мес, Pro $249/мес, Enterprise $499/мес, Custom Solutions по индивидуальной цене. В каждый тариф входит месячный объём решённых обращений (Free - 100, Starter - 500, Pro - 5 000, Enterprise - 15 000); сверх него можно добавить объём или перейти на тариф выше. Никакой оплаты за решение или за сообщение.

Есть ли бесплатный тариф?

SLAtech: Да - постоянный тариф Free за $0/мес, без банковской карты. Переход на любой платный тариф (Starter / Pro / Enterprise) или Custom Solutions по выбору покупателя.

Что включено в стандартный MSA?

SLAtech: GDPR-совместимый DPA, список субпроцессоров, ссылки на SCC 2021/914, SLA доступности 99,9% с сервисными компенсациями на тарифе Enterprise.

Какова политика расторжения и экспорта данных?

SLAtech: Расторжение по желанию с уведомлением за 30 дней. При расторжении клиентские данные можно экспортировать в течение 90 дней (контент базы знаний в Markdown / JSON + история диалогов в JSONL). После этого данные безвозвратно удаляются.

Типичное время до запуска первого виджета?

SLAtech: 10-30 минут самостоятельно для веб-виджета. Telegram и WhatsApp Business добавляют ещё 20 минут. Привлечение консультанта по внедрению не требуется.

Какие интеграции поставляются из коробки?

SLAtech: Telegram, WhatsApp Business (Cloud API, ваш собственный номер), Shopify, Google Calendar, Zapier, универсальный webhook JSON-POST (для собственных CRM). HubSpot, Salesforce и Pipedrive подключаются через подписанный webhook лидов на тарифе Pro и выше, напрямую или через Zapier / Make - встроенных коннекторов к CRM нет. WhatsApp подключается с вашим собственным номером и токеном Cloud API; подключение в один клик через Meta ждёт проверки Meta.

Какие форматы знаний поддерживаются для загрузки?

SLAtech: PDF, DOCX, обычный текст, Markdown, собранные веб-страницы, загрузка пар вопрос-ответ, ручное создание статей. Разбивка на фрагменты и построение эмбеддингов выполняются фоновым процессом Worker; сверка - ежедневно ночью.

Финансовая устойчивость и прозрачность поставщика?

SLAtech: Частная компания под управлением основателя. Права на экспорт клиентских данных сохраняются даже при событиях, связанных с платёжеспособностью поставщика, согласно пункту о непрерывности в MSA.

Какова готовность к аварийному восстановлению?

SLAtech: RTO 4 часа, RPO 1 час. Ежедневные резервные копии со сроком хранения 35 дней; переключение между регионами для высокой доступности. План аварийного восстановления тестируется ежеквартально.

Как управляется риск концентрации на LLM-провайдерах?

SLAtech: Слой абстракции над несколькими провайдерами - основной провайдер языковой модели, а альтернативные провайдеры доступны на тарифе Enterprise для резервирования или закрепления за отдельным тенантом. Смена провайдера не требует миграции на стороне клиента.

Как обнаруживаются регрессии оценки / качества?

SLAtech: Набора тестов и публикуемой таблицы результатов нет. Ответы, построенные на найденном содержании, оцениваются на фактологичность и помечаются, когда не подкреплены источником, - по каждому запросу и видимо клиенту. Что потребовалось бы для публикуемого сравнения на /ru/eval/.