Угоди про обробку даних (DPA): аналіз

QR Branding API — ст. 28 GDPR

---

1. Генерація ШІ: дві моделі

1.1 Власні облікові записи QR Branding у провайдерів

Дизайнер ШІ на qr-branding.com і керований ендпоінт маркетплейсу (POST /api/qr/ai/generate-managed) використовують власні ключі API QR Branding у Groq, Google (Gemini) і OpenAI через внутрішній ланцюжок резервування. Для цих запитів:

• QR Branding є контролером, а ці провайдери діють як його обробники і зазначені на сторінці субобробників.
• Провайдеру надсилаються лише промпт для дизайну та параметри генерації; жодної електронної пошти, платіжних даних, IP-адреси чи ідентифікатора клієнта.

1.2 Модель BYOK (Bring Your Own Key)

Ендпоінт маркетплейсу POST /api/qr/ai/generate використовує модель BYOK. Це означає, що:

• QR Branding не використовує власні облікові записи чи ключі API для цих запитів.
• Клієнт надає власний ключ API (llmApiKey) у кожному запиті й вибирає провайдера: OpenAI, Anthropic, Google, Mistral, Cohere, Groq, xAI, DeepSeek чи Qwen або власний OpenAI-сумісний ендпоінт (local).
• QR Branding діє як технічний посередник, що пересилає промпт для дизайну провайдеру, використовуючи ключ клієнта.
• Ключ API клієнта не зберігається й не журналюється і видаляється після завершення HTTP-запиту.

Наслідки з погляду GDPR

У моделі BYOK договірні відносини з провайдером LLM — це прямі відносини між клієнтом і провайдером. Отже:

• Для запитів BYOK QR Branding не є контролером щодо провайдера LLM.
• Саме клієнт має укласти власну DPA з провайдером LLM, якщо обробляє персональні дані.
• Для запитів BYOK QR Branding не потребує DPA з провайдерами.

---

2. DPA, потрібні QR Branding

QR Branding потрібні DPA з його прямими провайдерами (повний список — на сторінці субобробників). Для API та генерації ШІ важливі такі:

---

3. Відповідальність клієнта (ендпоінт BYOK)

Документація API та Політика конфіденційності повідомляють клієнта, що:

1. Під час використання ендпоінту ШІ BYOK його промпт надсилається вибраному ним провайдеру LLM з використанням його власного ключа API.
2. Відносини з провайдером LLM регулюються власними умовами клієнта з цим провайдером.
3. Якщо клієнт обробляє персональні дані через ендпоінт ШІ BYOK, його відповідальність — мати відповідні угоди (DPA) з провайдером LLM.
4. QR Branding рекомендує клієнтам ознайомитися з політиками конфіденційності вибраного провайдера LLM.

Підтримувані провайдери (довідка для клієнта)

Ендпоінт BYOK також підтримує xAI, DeepSeek і Qwen, а також власний OpenAI-сумісний ендпоінт клієнта. Клієнт має самостійно перевірити умови обробки даних цих провайдерів.

---

4. Технічні заходи захисту ключів API клієнтів

Хоча ми не зберігаємо ключі API клієнтів, ми застосовуємо такі заходи захисту:

---

Документ оновлено 2026-10-07. Версія 2.0 описувала лише модель BYOK; ця версія додає генерацію ШІ з власними обліковими записами QR Branding у провайдерів (сайт і керований ендпоінт).