Давид, российское размещение сервера само по себе Вашу схему не легализует. Здесь нужно проверить и фактическую обработку данных, и договор конкретного поставщика нейросети. По двум названным Вами сервисам есть существенная разница.
1. В соглашении GigaChat для физических лиц пункт 8.7 прямо запрещает загружать персональные данные третьих лиц; пункт 8.6 не предусматривает их обработку. Если к Вашему подключению применяется именно это соглашение, направлять туда накладные с данными поставщиков или покупателей нельзя по условиям договора. Согласие этих людей само по себе договорный запрет не отменяет. Нужно выбрать продукт и договор, допускающие такую обработку, либо предварительно исключить персональные данные из передаваемого содержимого. Это не вывод обо всех вариантах GigaChat: корпоративные соглашения проверяются отдельно.
Официальный текст: developers.sber.ru/docs/ru/policies/gigachat-agreement/individuals
2. В условиях Yandex Foundation Models, напротив, пункт 5.1 предусматривает поручение обработки данных из запросов. Но пункт 5.3 возлагает на клиента обеспечение правовых оснований, а пункт 5.4.1 допускает использование информации для отладки и обучения, если не указан специальный запрещающий параметр. Поэтому проверьте применимый договор, этот параметр, сроки хранения и удаления, доступ подрядчиков и местонахождение обработки. Отключение обучения не означает отсутствия самой передачи данных.
Условия редакции от 22.12.2025: yandex.ru/legal/cloud_terms_yandex_foundation_models/ru/
3. Роли определяются по фактическим целям, а не названием в оферте. Для учёта клиента Вы можете быть обработчиком по поручению; для собственных целей, например ведения аккаунтов, — оператором. Статус самозанятого этому не препятствует. В поручении нужны данные, операции, цели, конфиденциальность, безопасность и порядок сообщения об инцидентах; следует согласовать цепочку привлечённых обработчиков — ч. 3 ст. 6 Закона от 27.07.2006 № 152-ФЗ.
4. Направление данных в США через посредника нельзя разрешить одной ссылкой на уведомление Роскомнадзора. Помимо ст. 12 необходимо соблюдать ч. 5 ст. 18 о локализации при сборе. Нужно установить получателей и операции за рубежом; Вашей российской базы для вывода недостаточно.
5. Замена реквизитов метками не гарантирует, что за рубеж уходит информация, уже не относящаяся к определяемому человеку. Проверьте косвенные признаки и возможность сопоставления. Если сначала отправляете оригинал накладной для распознавания, последующая очистка результата уже не предотвращает передачу исходных данных. Одной очистки видимого текста также недостаточно без проверки изображения, метаданных и журналов запросов.
До работы с реальными данными, включая бесплатный тест, нужны правовые основания, поручения, политика, меры защиты и уведомление по ст. 22 в части Ваших функций оператора, если нет законного исключения. Для покупателей российская нейросеть сама по себе этих условий не заменяет.
Текст закона на сайте Минтруда: mintrud.gov.ru/docs/laws/130
Для индивидуального заключения нужны черновик политики, оферта, схема движения данных и точные договоры с посредником и ИИ-провайдерами. Покажите также пример того, что реально уходит в запросе, на вымышленных данных. После определения состава материалов можно согласовать отдельные объём, цену и срок заключения; по одному описанию без проверки документов фиксировать их преждевременно.
