25 procurement вопросов для AI chatbot vendors

В каких регионах клиентские данные хранятся в состоянии покоя?

SLAtech: Хостинг в вашей юрисдикции доступен по запросу (Enterprise-развёртывания); развёртывания в выделенном тенанте можно закрепить за одним регионом.

Какие субпроцессоры обрабатывают клиентские данные и где?

SLAtech: Наш провайдер языковой модели (США, инференс LLM), провайдер повторного ранжирования (Канада, опционально), Sentry (США, ошибки), Cloudflare (глобальная edge-сеть, WAF / CDN), SendGrid (США, транзакционная почта). Полный список на /ru/sub-processors/ — обновляется в течение 14 дней после изменения.

Какие стандартные договорные положения (SCC) регулируют передачу данных за пределы EEA?

SLAtech: SCC 2021/914 — текущий шаблон Европейской комиссии. Оценка влияния на передачу данных доступна по запросу.

Можно ли закрепить регион хранения данных за одним регионом?

SLAtech: Да — тариф Enterprise предлагает развёртывание в выделенном тенанте, закреплённое за одним регионом Azure. На тарифах с общим тенантом (Starter / Pro) — автоматическое переключение на резерв между регионами.

Хранятся ли резервные копии в том же регионе, что и основные данные?

SLAtech: Да. Ежедневные резервные копии со сроком хранения 35 дней; восстановление на момент времени в пределах последних 24 часов. Регион резервных копий совпадает с основным, если клиент не закрепил иначе.

Соответствует ли поставщик SOC 2?

SLAtech: Отчёт Type I планируется на Q3 2026; Type II — Q2 2027. Операционные средства контроля на /ru/security/ независимо аудируются по запросу.

Сертифицирован ли поставщик по ISO 27001?

SLAtech: Сертификация планируется на Q4 2026. Область действия СУИБ (ISMS) = продакшн-инфраструктура + системы обработки клиентских данных.

Готов ли поставщик подписать BAA по HIPAA?

SLAtech: Да — на тарифе Enterprise с развёртыванием в выделенном тенанте. Стандартный шаблон BAA доступен через security@slatech.ai.

Соответствует ли поставщик GDPR и подпишет ли DPA?

SLAtech: Да — DPA подписывается при регистрации на тарифе Enterprise; стандартный шаблон DPA доступен для ознакомления.

Как поставщик управляет областью действия PCI-DSS?

SLAtech: SLAtech не хранит, не обрабатывает и не передаёт данные банковских карт — платежи обрабатываются внешним платёжным провайдером уровня PCI-DSS Level 1. Применяется SAQ-A.

Опишите шифрование данных в состоянии покоя и при передаче.

SLAtech: AES-256-GCM в состоянии покоя, TLS 1.2+ при передаче с HSTS preload. Ротация ключей — ежегодно и при кадровых изменениях.

Опишите средства контроля идентификации, аутентификации и авторизации.

SLAtech: Хеширование паролей Argon2id, политика паролей для каждого тенанта, RBAC, журнал аудита действий администратора. SAML SSO — на тарифе Enterprise (Okta, OneLogin, Azure AD, Google Workspace).

Опишите программу управления уязвимостями.

SLAtech: Обновления зависимостей Dependabot в продакшене, статический анализ GitHub CodeQL на каждом PR, ежегодный внешний тест на проникновение (следующий — Q4 2026), политика скоординированного раскрытия уязвимостей.

Как обнаруживаются и как уведомляются инциденты безопасности?

SLAtech: Sentry на каждом backend-сервисе с очисткой PII, мониторинг синтетических транзакций с интервалом 5 минут, страница статуса в реальном времени на status.slatech.ai. SLA по уведомлению об инцидентах: в течение 24 часов для значимых инцидентов (в соответствии с NIS2).

Какая модель ценообразования?

SLAtech: Фиксированные тарифы в пяти вариантах: Free $0/мес, Starter $49/мес, Pro $249/мес, Enterprise $499/мес, Custom Solutions по индивидуальной цене. Число диалогов не ограничено в разумных пределах. Никакой оплаты за решение или за сообщение.

Есть ли бесплатный тариф?

SLAtech: Да — постоянный тариф Free за $0/мес, без банковской карты. Переход на любой платный тариф (Starter / Pro / Enterprise) или Custom Solutions по выбору покупателя.

Что включено в стандартный MSA?

SLAtech: GDPR-совместимый DPA, список субпроцессоров, ссылки на SCC 2021/914, SLA доступности 99,9% с сервисными компенсациями на тарифе Enterprise.

Какова политика расторжения и экспорта данных?

SLAtech: Расторжение по желанию с уведомлением за 30 дней. При расторжении клиентские данные можно экспортировать в течение 90 дней (контент базы знаний в Markdown / JSON + история диалогов в JSONL). После этого данные безвозвратно удаляются.

Типичное время до запуска первого виджета?

SLAtech: 10-30 минут самостоятельно для веб-виджета. WhatsApp Business + Telegram добавляют ещё 20 минут. Привлечение консультанта по внедрению не требуется.

Какие интеграции поставляются из коробки?

SLAtech: Telegram, WhatsApp Business (Cloud API), Shopify, Google Calendar, Zapier, универсальный webhook JSON-POST (для собственных CRM). HubSpot, Salesforce и Pipedrive — на первом уровне поддержки на тарифе Pro.

Какие форматы знаний поддерживаются для загрузки?

SLAtech: PDF, DOCX, обычный текст, Markdown, собранные веб-страницы, загрузка пар вопрос-ответ, ручное создание статей. Разбивка на фрагменты и построение эмбеддингов выполняются фоновым процессом Worker; сверка — ежедневно ночью.

Финансовая устойчивость и прозрачность поставщика?

SLAtech: Частная компания под управлением основателя. Права на экспорт клиентских данных сохраняются даже при событиях, связанных с платёжеспособностью поставщика, согласно пункту о непрерывности в MSA.

Какова готовность к аварийному восстановлению?

SLAtech: RTO 4 часа, RPO 1 час. Ежедневные резервные копии со сроком хранения 35 дней; переключение между регионами для высокой доступности. План аварийного восстановления тестируется ежеквартально.

Как управляется риск концентрации на LLM-провайдерах?

SLAtech: Слой абстракции над несколькими провайдерами — основной провайдер языковой модели, а альтернативные провайдеры доступны на тарифе Enterprise для резервирования или закрепления за отдельным тенантом. Смена провайдера не требует миграции на стороне клиента.

Как обнаруживаются регрессии оценки / качества?

SLAtech: Отраслевой набор тестов запускается каждую ночь против закрытого набора из 200 вопросов. Падение оценки на ≥3 балла запускает ручной разбор. Публичная таблица результатов на /ru/eval/.