LLAMAS®

ПОЛИТИКА КОНФИДЕНЦИАЛЬНОСТИ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ (соглашение об обработке персональных данных)

для платформы app.llamas.ru

Дата вступления в силу: 1 января 2026 г. | Версия 1.0

ЧАСТЬ I. ПОЛИТИКА КОНФИДЕНЦИАЛЬНОСТИ

1. Общие положения

Российская версия настоящей Политики применяется к обработке персональных данных в российском контуре LLAMAS® и регулируется законодательством Российской Федерации, прежде всего Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами.

Настоящая Политика конфиденциальности и условия обработки персональных данных («Политика») регулирует обработку и защиту персональных данных при использовании технологической платформы LLAMAS® («Лья́мас») по адресу app.llamas.ru («Платформа»).

Оператор Платформы для пользователей и обработки, осуществляемой в Российской Федерации: Индивидуальный предприниматель Льямас Лемякина Лаура; ИНН 780457122791; ОГРНИП 323784700034740. Адрес регистрации: 195113, г. Санкт-Петербург, ул. Даниила Хармса, д. 6, кв. 85. Контакт по вопросам персональных данных: founder@llamas.ru.

Адрес электронной почты для обращений субъектов персональных данных и вопросов конфиденциальности: founder@llamas.ru. Адрес lauritakis@mail.ru используется для регистрационной и официальной корреспонденции ИП Льямас Лемякина Лаура.

Индивидуальный предприниматель Льямас Лемякина Лаура; ИНН 780457122791; ОГРНИП 323784700034740; адрес регистрации: 195113, г. Санкт-Петербург, ул. Даниила Хармса, д. 6, кв. 85; электронная почта: founder@llamas.ru.

Платформа предоставляет технологическую инфраструктуру, аккаунты, чат, инструменты управления задачами и ЦРМ, ИИ-функциональность, подбор специалистов, аудио-/видеосвязь и поддержку. Услуги, описанные на lauramas.ru, могут регулироваться отдельными договорами и не расширяют автоматически обязательства Платформы.

2. Применимое законодательство

Обработка персональных данных в российской версии Платформы осуществляется в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», иными применимыми нормативными правовыми актами Российской Федерации и обязательными требованиями уполномоченных государственных органов.

Российская версия настоящей Политики применяется к обработке персональных данных, осуществляемой ИП Льямас Лемякина Лаура в российском контуре Платформы.

3. Роли сторон

ИП Льямас Лемякина Лаура является оператором персональных данных в отношении обработки, цели и средства которой определяются LLAMAS® самостоятельно, включая регистрацию пользователей, обеспечение безопасности Платформы, поддержку, расчёты, служебные коммуникации и исполнение требований законодательства Российской Федерации.

Если Заказчик передаёт персональные данные через Платформу для обработки в своих целях и определяет цели такой обработки, Заказчик является оператором персональных данных, а LLAMAS® осуществляет обработку персональных данных по поручению Заказчика в объёме, предусмотренном договором и законодательством Российской Федерации.

Заказчик самостоятельно отвечает за законность передаваемых им персональных данных, наличие соответствующего правового основания, предоставление необходимых уведомлений субъектам и получение отдельных согласий в случаях, когда такие согласия требуются законодательством.

LLAMAS® является поставщиком технологической Платформы и инструментов взаимодействия. Само использование Платформы не создаёт трудовых отношений между LLAMAS® и выбранным Специалистом. Конкретная правовая квалификация отношений определяется их фактическим содержанием и обязательными требованиями законодательства Российской Федерации.

Рабочий график, содержание заданий, приоритеты, сроки, контроль выполнения и принятие результата согласовываются Заказчиком и Специалистом, если иное прямо не установлено отдельным письменным соглашением или обязательным законодательством.

3.1. Проверка статуса Специалистов

Для идентификации Специалиста, обеспечения законной работы Платформы, предотвращения злоупотреблений и выполнения обязательных требований законодательства LLAMAS® вправе обрабатывать сведения о правовом и налоговом статусе Специалиста, включая ИНН, сведения о регистрации в качестве индивидуального предпринимателя и сведения о применении специального налогового режима «Налог на профессиональный доход» (НПД), когда это необходимо.

Специалист самостоятельно отвечает за достоверность предоставленных сведений о своём статусе, сохранение необходимого для его деятельности статуса, исполнение собственных налоговых обязанностей, формирование чеков и иных документов в случаях, предусмотренных законодательством. Это не ограничивает обязанности LLAMAS®, которые прямо возложены на оператора Платформы обязательным законодательством Российской Федерации и не могут быть исключены соглашением сторон.

4. Категории данных

• имя, фамилия, компания, должность и деловые контакты;
• адрес электронной почты, телефон, данные аккаунта и авторизации;
• чаты, сообщения, обращения в поддержку;
• задачи, инструкции, ЦРМ-данные, документы и файлы;
• IP-адрес, сведения об устройстве, временные метки, журналы доступа и безопасности;
• договорная, расчётная и транзакционная информация;
• иные данные, которые Заказчик самостоятельно и законно размещает в Платформе.

Платформа по умолчанию не запрашивает и не предполагает обработку специальных категорий персональных данных, включая сведения о расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни и судимости, а также биометрических персональных данных. Пользователь не должен размещать такие данные, если это не является объективно необходимым и не существует отдельного законного основания и требуемого согласия. LLAMAS® вправе удалить или ограничить обработку избыточно размещённых чувствительных данных.

Источниками персональных данных являются сам пользователь или Заказчик, сведения, формируемые при использовании Платформы, а также данные, законно переданные выбранным Специалистом, платёжным провайдером или подключённой по инициативе пользователя интеграцией. Если данные получены не непосредственно от субъекта, применимые обязанности по информированию выполняются в соответствии с ролью LLAMAS® и требованиями соответствующего законодательства.

5. Цели и правовые основания

• предоставление и защита Платформы;
• управление аккаунтами;
• чат, задачи, ЦРМ и взаимодействие со Специалистами;
• ИИ-инструменты по запросу пользователя;
• поддержка;
• платежи и договорный учёт;
• безопасность, предотвращение злоупотреблений и диагностика;
• исполнение закона.

Для российского контура обработка осуществляется только при наличии применимого правового основания, предусмотренного законодательством Российской Федерации. Если для конкретной операции требуется согласие субъекта персональных данных, такое согласие оформляется отдельно от Политики, оферты, договора и иных подписываемых или подтверждаемых документов. Настоящая Политика сама по себе не заменяет отдельное согласие, когда оно обязательно.

Предоставление данных, необходимых для регистрации аккаунта, исполнения договора, обеспечения безопасности или выполнения обязательных требований закона, может быть необходимым условием использования соответствующей функции. Необязательные данные предоставляются добровольно; отказ от их предоставления не ограничивает функции, для которых такие данные объективно не требуются.

5.1. Матрица целей обработки для российского контура

Для целей применения Федерального закона № 152-ФЗ обработка в российском контуре конкретизируется следующим образом. Перечень данных применяется только в объёме, необходимом для соответствующей цели. Для удобства чтения единая матрица представлена в двух взаимосвязанных таблицах 5.1.A и 5.1.B.

Матрица 5.1.A — цели, субъекты и состав данных

Матрица 5.1.B — основание, операции, сроки и уничтожение

6. ИИ-функциональность

Платформа использует ИИ-инструменты, включая подбор, аналитику, помощь в делегировании и генеративные функции. ИИ-результаты могут быть неточными и требуют проверки человеком.

LLAMAS® не использует и не разрешает своим субобработчикам использовать персональные данные, конфиденциальную информацию, запросы, файлы, сообщения, входные или выходные данные Заказчика для обучения, дообучения, тонкой настройки или совершенствования универсальных моделей искусственного интеллекта без предварительного прямо выраженного письменного согласия Заказчика.

Для выполнения ИИ-функции минимально необходимый объём данных может передаваться OpenRouter и соответствующему модельному провайдеру. Конкретный модельный провайдер зависит от выбранной функции и конфигурации.

LLAMAS® применяет доступные договорные и технические настройки конфиденциальности провайдеров, но не гарантирует действия независимого провайдера сверх того, что LLAMAS® может разумно контролировать.

7. Поставщики, получатели и инфраструктура

Telegram в текущую инфраструктуру Платформы не включён. Если Заказчик в будущем самостоятельно инициирует подключение Telegram или другого внешнего сервиса, это считается дополнительной интеграцией по инициативе Заказчика.

8. Интеграции по инициативе Заказчика

Заказчик отвечает за решение использовать внешний мессенджер, ЦРМ, систему связи, хранилище или иной сторонний сервис и за наличие основания для передачи ему данных. LLAMAS® отвечает только за часть интеграции, находящуюся под разумным техническим контролем LLAMAS®, кроме случаев обязательной ответственности по закону.

9. Безопасность

LLAMAS® применяет технические и организационные меры, соразмерные риску. Для передачи данных используется защищённое соединение SSL/TLS в той мере, в которой он реализован в производственной конфигурации. Также могут применяться разграничение доступа, аутентификация, журналирование, мониторинг, конфиденциальность, резервирование и процедуры реагирования на инциденты.

Доступ сторонних поставщиков ограничивается объёмом, технически необходимым для соответствующей функции. Абсолютная безопасность программных и облачных систем не гарантируется.

10. Хранение и трансграничная передача

Основная серверная инфраструктура и первичное хранение персональных данных российского контура размещаются в Российской Федерации. При сборе персональных данных граждан Российской Федерации с использованием сети Интернет запись, систематизация, накопление, хранение, уточнение и извлечение выполняются с использованием баз данных, находящихся на территории Российской Федерации, в соответствии с обязательными требованиями российского законодательства.

Трансграничная передача персональных данных осуществляется только при наличии законного основания, после выполнения применимых требований статьи 12 Федерального закона № 152-ФЗ и только в объёме, необходимом для конкретной функции Платформы.

Подключение Заказчиком внешнего сервиса или интеграции не отменяет требований законодательства Российской Федерации к законности передачи персональных данных.

11. Срок хранения и прекращение

Данные хранятся не дольше, чем необходимо для целей обработки, договора, безопасности, закона и защиты юридических требований.

После прекращения услуги Заказчику предоставляется пять (5) рабочих дней для экспорта доступных Данных Заказчика через стандартный функционал в общепринятом формате, если такой экспорт технически поддерживается. После этого LLAMAS® вправе закрыть доступ.

Обычные данные аккаунта, переписка, задачи и рабочие данные могут храниться до трёх (3) лет после прекращения договорных отношений, если цель обработки не достигнута ранее и более раннее удаление не требуется законом. Данные, которые необходимо хранить для бухгалтерского, налогового, договорного учёта, исполнения обязательных требований или защиты юридических требований, могут храниться в течение соответствующего обязательного срока. Удалённые из активных систем данные могут временно сохраняться в резервных копиях в пределах обычного технического цикла резервирования и не используются для обычной коммерческой обработки.

11.1. Порядок уничтожения персональных данных в российском контуре

При достижении цели обработки LLAMAS® прекращает обработку и уничтожает персональные данные либо обеспечивает их уничтожение лицом, действующим по поручению LLAMAS®, в срок, не превышающий 30 календарных дней, если сохранение не допускается договором или иным законным основанием.

При отзыве согласия, когда дальнейшее хранение более не требуется и отсутствует иное законное основание, персональные данные уничтожаются в срок, установленный Федеральным законом № 152-ФЗ. При требовании субъекта о прекращении обработки LLAMAS® прекращает обработку в обязательный срок с учётом предусмотренных законом исключений.

При выявлении неправомерной обработки она прекращается в срок, предусмотренный законом; если обеспечить правомерность невозможно, соответствующие персональные данные уничтожаются в установленный законом срок.

Если уничтожение в установленный срок технически невозможно, данные блокируются и уничтожаются не позднее предельного срока, установленного Федеральным законом № 152-ФЗ. Уничтожение оформляется и подтверждается в соответствии с применимыми требованиями Роскомнадзора.

Удаление из активной информационной системы означает прекращение обычного использования данных. Технически изолированные резервные копии перезаписываются в обычном цикле резервирования и до перезаписи не используются для иных целей, кроме восстановления и обеспечения безопасности.

12. Права субъектов

Субъект персональных данных вправе получать сведения об обработке его персональных данных в объёме, предусмотренном законодательством Российской Федерации; требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными либо не являются необходимыми для заявленной цели обработки; отозвать согласие в случаях, когда обработка основана на согласии; потребовать прекращения обработки в случаях и порядке, предусмотренных законом; а также обжаловать действия или бездействие оператора в Роскомнадзор или в судебном порядке.

Обращения направляются на founder@llamas.ru. LLAMAS® вправе запросить сведения, необходимые для подтверждения личности и полномочий заявителя, и исполняет обращения в сроки, установленные Федеральным законом № 152-ФЗ.

13. Файлы куки, дети и законные раскрытия

Платформа может использовать строго необходимые файлы куки и аналогичные технологии для авторизации, обеспечения безопасности, сохранения пользовательской сессии и работы основной функциональности.

Если Платформа использует аналитические, рекламные или иные необязательные файлы куки, их использование осуществляется при наличии требуемого законодательством правового основания и, когда это необходимо, отдельного согласия пользователя.

Платформа предназначена для профессионального и делового использования и не ориентирована на детей.

LLAMAS® вправе раскрывать персональные данные в случаях, когда раскрытие обязательно в соответствии с законодательством Российской Федерации, судебным актом или законным требованием уполномоченного государственного органа, ограничивая раскрытие необходимым объёмом.

13.1. Отдельные согласия и публичные профили

Настоящая Политика не является согласием на обработку персональных данных. В случаях, когда обработка по законодательству Российской Федерации требует согласия субъекта, LLAMAS® получает такое согласие отдельно от договора, оферты, пользовательского соглашения и иных документов.

Если Специалист или иной пользователь по собственной инициативе размещает в публичной части Платформы персональные данные, доступные неопределённому кругу лиц (например, имя, фотографию, профессиональное описание, опыт, рейтинг или иные сведения профиля), распространение таких данных осуществляется только при наличии отдельного надлежащего основания и, когда требуется статьёй 10.1 Федерального закона № 152-ФЗ, отдельного согласия на обработку персональных данных, разрешённых субъектом для распространения. Пользователь вправе устанавливать предусмотренные законом запреты и условия такого распространения.

14. Изменения и контакты

LLAMAS® вправе обновлять Политику в связи с изменениями закона, технологий и Платформы. Существенные изменения публикуются в Платформе или сообщаются иным разумным способом.

Реквизиты российского оператора: ИП Льямас Лемякина Лаура, ИНН 780457122791, ОГРНИП 323784700034740, адрес регистрации: 195113, г. Санкт-Петербург, ул. Даниила Хармса, д. 6, кв. 85, электронная почта: founder@llamas.ru.

ЧАСТЬ II. УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПО ПОРУЧЕНИЮ ОПЕРАТОРА

15. Применение и приоритет

соглашение об обработке персональных данных является частью Б2Б-договора в той мере, в которой LLAMAS® обрабатывает персональные данные от имени Заказчика. При противоречии с основным договором соглашение об обработке персональных данных имеет приоритет только по вопросам такой обработки. Основной договор регулирует коммерческий объём, доступ, оплату, Специалистов и общую ответственность.

соглашение об обработке персональных данных не делает LLAMAS® ответственным за хозяйственные решения Заказчика, незаконные инструкции или независимое выполнение Специалистом операционных задач.

16. Инструкции и обязанности Заказчика

LLAMAS® обрабатывает данные только по документированным инструкциям, включая договор, настройки и использование Платформы и письменные обращения. LLAMAS® вправе приостановить незаконную инструкцию.

• обеспечить законное основание, уведомления и согласия;
• минимизировать передаваемые данные;
• управлять своими пользователями и доступами;
• самостоятельно управлять графиком, задачами и контролем Специалистов;
• обрабатывать запросы субъектов в своей роли Оператора;
• сообщать о специальных требованиях локализации/передачи.

17. Конфиденциальность и безопасность

Лица, допущенные LLAMAS® к данным, должны быть связаны обязательствами конфиденциальности и получать доступ только по необходимости. LLAMAS® поддерживает меры безопасности, соответствующие риску, и вправе обновлять их без существенного снижения общего уровня защиты.

18. Лица, привлекаемые к обработке персональных данных

Заказчик предоставляет LLAMAS® право привлекать третьих лиц к обработке персональных данных в объёме, необходимом для предоставления, защиты и технического обеспечения Платформы, при условии соблюдения требований законодательства Российской Федерации и договора.

LLAMAS® обеспечивает установление для привлечённых лиц обязанностей по конфиденциальности, безопасности и обработке персональных данных в соответствии с поручением и применимым законодательством.

При существенном изменении состава лиц, которым поручается обработка данных Заказчика, LLAMAS® предоставляет Заказчику разумное предварительное уведомление, если такое уведомление предусмотрено договором или обязательно по закону. Заказчик вправе сообщить обоснованные возражения, непосредственно связанные с риском для персональных данных.

19. Инциденты

LLAMAS® уведомляет Заказчика без неоправданной задержки после обнаружения подтверждённого нарушения персональных данных Заказчика. По мере доступности сообщаются характер инцидента, затронутые категории, вероятные последствия, меры и контакт.

Заказчик определяет необходимость уведомления субъектов/регуляторов, кроме случаев прямой обязанности LLAMAS®. Уведомление не является признанием вины или ответственности.

20. Помощь, запросы и аудит

LLAMAS® оказывает разумную помощь с правами субъектов, безопасностью, оценкой инцидентов и иными обязательствами Оператора с учётом характера обработки и доступной информации.

При необходимости обязательного аудита Заказчик может запросить его не чаще одного раза в 12 месяцев, кроме существенного инцидента или требования органа. Аудит проводится с уведомлением, конфиденциальностью и без раскрытия данных других клиентов, коммерческой тайны и чувствительных сведений о безопасности.

21. Возврат и удаление

После прекращения соответствующей услуги Заказчику предоставляется пять (5) рабочих дней для экспорта доступных Данных Заказчика через стандартный функционал Платформы в общепринятом формате.

По истечении срока экспорта LLAMAS® вправе закрыть доступ. После прекращения цели обработки персональные данные удаляются, возвращаются или уничтожаются в соответствии с документированными инструкциями Заказчика, условиями договора и обязательными требованиями законодательства Российской Федерации.

Удалённые из активных систем данные могут сохраняться в технически изолированных резервных копиях до их перезаписи в обычном цикле резервирования, не превышающем 30 календарных дней. В этот период такие данные не используются для обычной обработки.

22. ИИ и данные Заказчика

Данные Заказчика не используются для обучения универсальных ИИ-моделей без прямого письменного согласия. При активации ИИ-функции минимально необходимая информация может передаваться OpenRouter и одобренному модельному провайдеру для выполнения запроса.

Заказчик отвечает за решение о допустимости направления конкретных данных в ИИ и не должен передавать ненужные чувствительные сведения.

23. Платежи и звонки

Оплата банковской картой через Платформу осуществляется с использованием эквайринга Т-Банка. При оплате по выставленному счёту Заказчик осуществляет обычный банковский перевод по указанным реквизитам; в таком случае данные банковской карты через Платформу в Т-Банк не передаются.

24. Распределение обязанностей и ответственности

Каждая сторона несёт ответственность за выполнение обязанностей по защите персональных данных, которые относятся к её фактической роли и деятельности в соответствии с законодательством Российской Федерации и основным договором.

Заказчик отвечает за законность целей обработки, которые он определяет самостоятельно, содержание передаваемых им данных и правомерность своих инструкций. LLAMAS® отвечает за обработку, осуществляемую в пределах собственной роли и контроля.

Действия Специалистов и третьих лиц, осуществляемые самостоятельно и вне порученной LLAMAS® обработки, оцениваются в соответствии с фактическими обстоятельствами и применимым законодательством.

25. Приостановление и срок действия соглашения об обработке персональных данных

LLAMAS® вправе временно приостановить затронутую обработку для предотвращения инцидента, исполнения закона, прекращения незаконной инструкции или защиты инфраструктуры. соглашение об обработке персональных данных действует, пока LLAMAS® обрабатывает данные от имени Заказчика; положения, которые по природе должны сохраняться, продолжают действовать после прекращения.

ПРИЛОЖЕНИЕ 1. ОПИСАНИЕ ОБРАБОТКИ

ПРИЛОЖЕНИЕ 2. ТЕХНИЧЕСКИЕ И ОРГАНИЗАЦИОННЫЕ МЕРЫ

ПРИЛОЖЕНИЕ 3. ПОСТАВЩИКИ И ЛИЦА, ПРИВЛЕКАЕМЫЕ К ОБРАБОТКЕ

ПРИЛОЖЕНИЕ 4. ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА

Трансграничная передача персональных данных из российского контура осуществляется только при наличии законного основания и с соблюдением требований законодательства Российской Федерации, включая предусмотренные законом уведомления и ограничения.

Передача отдельным техническим поставщикам допускается только в объёме, необходимом для конкретной функции Платформы. До начала такой передачи LLAMAS® выполняет применимые требования к трансграничной передаче персональных данных.

ПРИЛОЖЕНИЕ 5. ИИ-ПРАВИЛА

• никакого обучения универсальных ИИ-моделей на Данных Заказчика без письменного согласия;
• передача только для запрошенной ИИ-функции и в необходимом объёме;
• не передавать ненужные чувствительные данные;
• ИИ-результат требует человеческой проверки;
• смена ИИ-провайдера регулируется правилами о субобработчиках;
• допустимо использование законно обезличенной агрегированной статистики.

ПРИЛОЖЕНИЕ 6. РАЗГРАНИЧЕНИЕ ОТВЕТСТВЕННОСТИ

PART I — PRIVACY POLICY

1. Identity, scope and purpose

This Privacy Policy and Data Processing Terms ("Policy") explains how the operator of the LLAMAS® technology platform ("LLAMAS®", "we", "us", "our") processes and protects Personal Data in connection with the platform available at app.llamas.ru (the "Platform").

Platform operator: Individual Entrepreneur Laura Llamas Lemiakina, registered under the laws of the Republic of Armenia, State Registration No. 282.1470566, Taxpayer No. 26852295, Registration (Record) No. 47710566, registration date 30 July 2025, address: Nor Nork, Bakunts 2, building 2, apartment 37, Yerevan 0076, Armenia. Privacy contact: founder@llamas.ru.

Privacy contact: founder@llamas.ru.

The Platform provides technological infrastructure, account functionality, communications, task-management and CRM-related tools, AI-powered functionality, specialist-matching tools, support functionality and other digital tools made available from time to time.

Services described, marketed or ordered through lauramas.ru may be subject to separate service terms, statements of work, order forms or agreements. Unless expressly stated in a signed agreement, the publication or description of a service on lauramas.ru does not by itself expand the technical obligations of the Platform under this Policy.

This Policy is intended to operate alongside applicable mandatory data-protection laws. It does not exclude rights or obligations that cannot lawfully be excluded.

2. Regulatory framework

The English/international version is issued by Individual Entrepreneur Laura Llamas Lemiakina, established in the Republic of Armenia. The Armenian Law on Protection of Personal Data and other mandatory Armenian requirements apply to the Armenian operator.

Where Regulation (EU) 2016/679 (GDPR) applies by virtue of its territorial scope, LLAMAS® also complies with the GDPR and applicable EU/EEA data-protection requirements. The GDPR applies in addition to mandatory Armenian requirements and does not replace them.

3. Definitions

4. LLAMAS® roles and allocation of responsibility

LLAMAS® may act as Controller for account administration, billing, security, support, service communications, compliance, fraud prevention and its own legitimate operational purposes.

Where a business Customer submits Personal Data to the Platform and instructs LLAMAS® to process those data solely on the Customer’s behalf, the Customer acts as Controller and LLAMAS® acts as Processor to the extent required by applicable law. Part II of this document then applies as the Data Processing Terms.

The Customer remains responsible for the lawfulness, accuracy and appropriateness of Customer Data and for establishing a lawful basis, providing required notices and obtaining any required consents before Personal Data are uploaded, disclosed or otherwise made available through the Platform.

LLAMAS® does not become the employer, manager or day-to-day supervisor of a Specialist merely because the Platform facilitates matching, communication, task allocation or access. Operational instructions, working hours, deadlines, priorities, quality control and acceptance of a Specialist’s work remain matters between the Customer and the selected Specialist unless a signed agreement expressly states otherwise.

LLAMAS® may provide consultative or platform-support assistance to help a Customer establish or adjust working arrangements. Such assistance does not transfer the Customer’s management responsibility to LLAMAS®.

5. Categories of Personal Data

• identity and business contact data, such as name, business email, telephone number, company and role;
• account, authentication and access information;
• Customer communications, chat content and support correspondence;
• tasks, instructions, notes, CRM information, uploaded files and documents;
• technical data, such as IP address, device/browser information, timestamps, logs and security events;
• billing, invoicing and contractual information;
• usage and interaction data relating to Platform functions;
• Personal Data contained in Customer Data submitted at the Customer’s discretion.

Customers should not submit special-category, highly sensitive, criminal-offence, medical, biometric, children’s or other restricted Personal Data unless the processing is lawful, necessary, proportionate and expressly permitted by the applicable agreement and Platform functionality.

Sources of Personal Data include the Data Subject or Customer directly, data generated through use of the Platform, and information lawfully supplied through a selected Specialist, payment provider or Customer-requested integration. Where Personal Data are obtained from another source and Article 14 GDPR applies, the required information will be provided by the party responsible for that notice under the parties’ actual roles.

6. Purposes of processing

• providing, operating, maintaining and securing the Platform;
• creating and administering accounts;
• enabling communications, task management and specialist interaction;
• providing AI-powered and automation functionality initiated by users;
• providing technical and consultative support;
• billing, accounting and contract administration;
• detecting abuse, fraud, security threats and technical failures;
• maintaining logs, backups and business continuity where applicable;
• complying with legal obligations and responding to lawful requests;
• improving reliability, usability and performance using data that LLAMAS® is lawfully permitted to use.

7. Legal bases

Where GDPR applies and LLAMAS® acts as Controller, processing may be based, as appropriate, on performance of a contract, compliance with a legal obligation, legitimate interests, consent or another lawful basis available under Article 6 GDPR.

Where consent is relied upon, consent may be withdrawn at any time without affecting the lawfulness of processing carried out before withdrawal. Where provision of Personal Data is a contractual or statutory requirement, or necessary to enter into a contract, LLAMAS® will identify this where relevant and explain the possible consequences of not providing the data.

LLAMAS® does not use AI Match, analytics or delegation tools to make decisions based solely on automated processing that produce legal effects or similarly significant effects on an individual, unless such processing is separately disclosed and a lawful basis and the safeguards required by Article 22 GDPR are in place.

Where LLAMAS® acts as Processor, the Customer is responsible for identifying and documenting the lawful basis for its processing. LLAMAS® processes Customer Personal Data on documented instructions, subject to Part II.

8. AI functionality and automated tools

The Platform may provide AI-powered tools, including matching, analytics, delegation assistance, content generation, productivity tools and other AI-enabled functions.

AI outputs may be probabilistic, incomplete or inaccurate and are provided as technological assistance rather than legal, financial, medical, tax, employment or other regulated professional advice. Users remain responsible for reviewing outputs before relying on them or using them to make decisions.

LLAMAS® shall not use, and shall not permit its subprocessors to use, the Customer's Personal Data, Confidential Information, prompts, files, communications, inputs or outputs for the training, retraining, fine-tuning or improvement of general-purpose artificial intelligence models without the Customer's prior express written consent.

This restriction does not prevent LLAMAS® from processing Customer Data as technically necessary to provide an AI function requested by the user, nor from using genuinely anonymised and aggregated technical/statistical information that does not identify and cannot reasonably be used to identify the Customer or a Data Subject.

Where an AI Provider is used as a Subprocessor, the applicable Subprocessor and transfer provisions in Part II and Schedule 3 apply.

9. Specialists and third-party interactions

A Customer may choose to provide Personal Data to a selected Specialist in connection with tasks. The Customer is responsible for deciding what information a Specialist needs and for avoiding unnecessary disclosure.

Where a Specialist processes Personal Data independently, outside LLAMAS®-controlled processing or contrary to Platform rules, the Specialist’s and Customer’s respective responsibilities are determined by the actual circumstances and applicable law. LLAMAS® remains responsible for processing that falls within its own legal role and control.

Customers should use Platform channels and controls where available and should not instruct Specialists to transfer Personal Data to unauthorised external systems.

9.1. Verification of Specialists and independent professional status

LLAMAS® may process identification, registration, professional, business and tax-status information of Specialists where reasonably necessary to verify eligibility to use the Platform, comply with applicable Armenian and EU/EEA requirements, prevent fraud and maintain trust and safety.

Each Specialist remains responsible for maintaining any registration, licence, professional, business, self-employment or tax status required for the lawful provision of the Specialist’s services and for the Specialist’s own tax declarations, taxes, social contributions and other mandatory payments, except to the extent a non-waivable obligation is imposed on LLAMAS® by applicable law.

The use of the Platform and the verification of such information do not by themselves create an employment relationship. The legal classification of the relationship is determined by the actual circumstances and mandatory applicable law.

AI Match is a matching and recommendation tool. LLAMAS® does not rely solely on AI Match to make a decision to suspend or terminate a Specialist’s account or contractual relationship, or another comparably significant decision, where applicable law requires human oversight, explanation or review.

10. Security

LLAMAS® applies technical and organisational measures appropriate to the nature and risk of processing. Measures may include encrypted transport using SSL/TLS, access controls, authentication, logging, monitoring, confidentiality controls, backup/recovery measures, incident handling and minimisation of access by third-party providers.

The technical and organisational measures applicable to the Platform are described in Schedule 2 and are maintained in accordance with the nature and risk of the relevant processing.

LLAMAS® maintains appropriate technical and organisational measures designed to protect Personal Data and reviews those measures in light of the nature, scope and risk of the processing.

11. Hosting, storage and processing locations

For the international/European version of the Platform, the primary server environment and primary storage of Personal Data are located in the Netherlands.

Approved service providers may process limited Personal Data in other jurisdictions where this is necessary for the relevant functionality and the transfer is permitted under applicable Armenian law and, where GDPR applies, Chapter V GDPR or another lawful transfer mechanism.

12. International transfers

Transfers of Personal Data from Armenia are carried out in accordance with the Law of the Republic of Armenia on Protection of Personal Data and any applicable requirements concerning an adequate level of protection, contractual safeguards or authorisation by the competent Armenian authority.

Where GDPR applies, transfers of Personal Data outside the EU/EEA are made only where a lawful Chapter V GDPR mechanism is available, including an adequacy decision, applicable Standard Contractual Clauses, or another mechanism permitted by GDPR. Supplementary safeguards are applied where required by the relevant transfer assessment.

13. Retention

LLAMAS® retains Personal Data only for as long as necessary for the relevant processing purpose, the contractual relationship, security, compliance obligations and the establishment, exercise or defence of legal claims.

Ordinary account, communications, task and service records may be retained for up to three (3) years after termination of the relevant relationship unless the purpose is achieved earlier, a valid deletion request must be honoured earlier, or applicable law requires a different period. Accounting, tax, payment and contractual records may be retained for any longer period required by applicable law.

Deleted data may remain in technically isolated backups until overwritten in the ordinary backup cycle, which does not exceed 30 calendar days. Such backup data are not used for ordinary processing.

14. Data Subject rights

Subject to applicable law, individuals may have rights of access, correction, deletion, restriction, objection, portability, withdrawal of consent and complaint to a competent supervisory authority.

Where GDPR applies, LLAMAS® will handle Controller-side Data Subject requests without undue delay and in principle within one month, subject to the extensions and exceptions permitted by GDPR. A Data Subject may lodge a complaint with the supervisory authority competent for their habitual residence, place of work or the alleged infringement.

Where LLAMAS® acts as Processor, requests concerning Customer-controlled Personal Data should normally be directed to the relevant Customer. LLAMAS® will provide reasonable assistance to the Customer in accordance with Part II.

Requests concerning Personal Data for which LLAMAS® acts as Controller may be sent to founder@llamas.ru. LLAMAS® may request information reasonably necessary to verify identity and authority.

15. Cookies and similar technologies

The Platform may use strictly necessary cookies or similar technologies for authentication, security, session management and core functionality. Analytics, advertising or other non-essential technologies will not be activated before any consent required under applicable EU/EEA ePrivacy and data-protection rules has been obtained. Where non-essential cookies are used, the cookie interface or notice will identify their purpose, provider and duration and provide a practical way to withdraw or change consent.

A separate cookie notice or consent interface may be provided where required by law.

16. Children

The Platform is intended for business and professional use and is not directed to children. Customers must not intentionally submit children’s Personal Data unless legally authorised and expressly supported by the relevant service configuration.

17. Disclosures required by law

LLAMAS® may disclose information where required by a binding legal obligation, court order or lawful request of a competent authority. Where legally permitted and reasonably practicable, LLAMAS® will seek to limit disclosure to what is required and, where LLAMAS® acts as Processor, inform the Customer before disclosure.

18. Changes to this Policy

LLAMAS® may update this Policy to reflect legal, technical or operational changes. Material changes affecting Personal Data processing will be communicated or made available through the Platform or other reasonable means. Changes do not retroactively remove mandatory rights or materially reduce contractual data-protection commitments during a paid service period where such reduction would be prohibited by the applicable agreement.

Applicable privacy framework for the Armenian operator

The Armenian operator processes Personal Data in accordance with the Law of the Republic of Armenia on Protection of Personal Data.

Where GDPR applies, LLAMAS® complies with the GDPR requirements applicable to its actual role as Controller or Processor, including transparency, lawful processing, Data Subject rights, security, processor and Subprocessor controls, breach handling and international-transfer safeguards.

Where Article 27 GDPR requires the appointment of a representative in the European Union, LLAMAS® will maintain an EU representative and make the representative’s contact details available through the Platform and this Policy.

19. Contact

Where Article 27 GDPR requires LLAMAS® to designate a representative in the European Union because services are offered to individuals in the Union or their behaviour is monitored there, the representative’s identity and contact details will be made available in the Platform and this Policy. This requirement is assessed by reference to the actual EU-facing processing and cannot be replaced by a contractual disclaimer.

Privacy and data-protection enquiries: founder@llamas.ru

Platform: app.llamas.ru

Service information: lauramas.ru

Platform operator: Individual Entrepreneur Laura Llamas Lemiakina, registered under the laws of the Republic of Armenia, State Registration No. 282.1470566, Taxpayer No. 26852295, Registration (Record) No. 47710566, registration date 30 July 2025, address: Nor Nork, Bakunts 2, building 2, apartment 37, Yerevan 0076, Armenia. Privacy contact: founder@llamas.ru.

PART II — DATA PROCESSING TERMS (DPA)

20. Application and precedence

These Data Processing Terms ("DPA") form part of any written B2B agreement under which LLAMAS® processes Personal Data on behalf of a Customer through the Platform.

If there is a conflict between this DPA and the Main Agreement regarding processing of Customer Personal Data, this DPA prevails solely with respect to that processing. The Main Agreement continues to govern commercial scope, Platform access, fees, Specialist arrangements, liability and other matters.

Nothing in this DPA makes LLAMAS® responsible for the Customer’s business decisions, the content or legality of Customer instructions, or a Specialist’s independent performance of operational tasks.

21. Roles

For processing described in Schedule 1, the Customer is Controller and LLAMAS® is Processor, unless applicable law requires a different characterisation.

Each party is independently responsible for processing for which it determines its own purposes and means.

22. Customer instructions

LLAMAS® shall process Customer Personal Data only on documented instructions from the Customer, including instructions contained in the Main Agreement, the Customer’s use and configuration of the Platform, support requests and other written directions accepted by LLAMAS®.

If LLAMAS® reasonably believes an instruction infringes applicable data-protection law, LLAMAS® may suspend the affected processing and inform the Customer, unless prohibited by law. LLAMAS® is not required to provide legal advice regarding the Customer’s instructions.

The Customer shall not issue instructions that require LLAMAS® to violate applicable law, materially compromise Platform security, disclose another customer’s data, or materially alter shared Platform infrastructure unless separately agreed.

23. Customer warranties and responsibilities

• the Customer has all necessary rights, notices, consents and lawful bases for Customer Personal Data;
• Customer instructions are lawful, documented and proportionate;
• the Customer will minimise Personal Data and will not submit unnecessary restricted data;
• the Customer will configure access permissions and manage its users appropriately;
• the Customer will supervise Specialists and determine their operational duties, deadlines and access;
• the Customer will respond to Data Subject requests and regulatory enquiries for which it is Controller;
• the Customer will promptly notify LLAMAS® of any special legal or localisation requirement relevant to its data.

24. Confidentiality and authorised personnel

LLAMAS® shall ensure that persons authorised by LLAMAS® to process Customer Personal Data are subject to confidentiality obligations and receive access only to the extent reasonably necessary for their functions.

The Customer shall apply equivalent confidentiality and access discipline to its own users and Specialists under its control.

25. Security of processing

LLAMAS® shall maintain appropriate technical and organisational measures designed to protect Customer Personal Data, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of processing and the risks to individuals.

The measures are described in Schedule 2. LLAMAS® may update security measures where the overall level of protection is not materially reduced.

Security obligations under this DPA apply to processing within LLAMAS®’s control and operate together with any service-availability commitments set out in the Main Agreement.

26. Subprocessors

The Customer grants LLAMAS® general written authorisation to engage Subprocessors that are necessary to provide, secure, maintain and support the Platform.

LLAMAS® shall maintain an up-to-date list of Subprocessors and shall provide reasonable advance notice of any material addition or replacement where required by applicable law or the Main Agreement. The Customer may object on reasonable, specific and documented data-protection grounds.

LLAMAS® shall impose on each Subprocessor data-protection obligations appropriate to the processing and required by applicable law. LLAMAS® remains responsible for the performance of its Subprocessors to the extent required by applicable law and the Main Agreement.

27. International transfers

LLAMAS® shall not intentionally transfer Customer Personal Data internationally in breach of mandatory transfer restrictions applicable to LLAMAS® as Processor.

For EEA-restricted transfers, the parties will use a lawful Chapter V GDPR mechanism where required. Where Standard Contractual Clauses are required, the applicable EU Commission clauses may be incorporated by reference or executed as necessary, together with supplementary measures where appropriate.

For Armenian Personal Data, LLAMAS® will observe mandatory Armenian transfer rules, including regulatory permission requirements where applicable.

28. Personal Data Breach

LLAMAS® shall notify the Customer without undue delay after becoming aware of a confirmed Personal Data Breach affecting Customer Personal Data for which LLAMAS® acts as Processor and shall use reasonable efforts to provide the initial notice within 24 hours where reasonably practicable.

The notice shall, to the extent information is available, describe the nature of the breach, the categories of affected Personal Data and Data Subjects, the likely consequences, the measures taken or proposed, and a contact point for follow-up. Information may be provided in phases as the investigation develops.

LLAMAS® shall take reasonable steps to contain, investigate and remediate the breach and shall provide information reasonably necessary for the Customer to comply with applicable notification duties.

29. Data Subject requests

Taking into account the nature of processing, LLAMAS® shall provide reasonable technical and organisational assistance, insofar as possible, to enable the Customer to respond to requests by Data Subjects.

If LLAMAS® receives a request relating solely to Customer-controlled data, LLAMAS® may refer the requester to the Customer unless prohibited by law.

Assistance that requires material bespoke development, extensive manual work or activity outside standard Platform functionality may be subject to reasonable additional charges where permitted by law and agreed in advance.

30. Assistance with compliance

Taking into account the nature of processing and information available to LLAMAS®, LLAMAS® shall provide reasonable assistance with security, breach assessment, data-protection impact assessments and prior consultation obligations where required by applicable law.

The Customer remains responsible for its own legal assessments, records of processing, transparency notices, lawful bases and decisions as Controller.

31. Audit and information rights

LLAMAS® shall make available information reasonably necessary to demonstrate compliance with its Processor obligations.

Where documentary evidence is insufficient and applicable law requires an audit right, the Customer may request an audit no more than once in any twelve-month period, unless a confirmed material incident or competent authority reasonably requires otherwise.

Audits must be subject to reasonable prior written notice, confidentiality, security and non-disruption requirements; must not expose other customers’ data, trade secrets or security-sensitive information; and should use independent reports, certifications or remote review where reasonably sufficient.

The Customer shall bear its own audit costs and LLAMAS®’s reasonable costs for extraordinary audit assistance, except where an audit identifies a material breach by LLAMAS® that directly caused the need for the audit, to the extent permitted by law.

32. Return, export and deletion

Upon termination or expiry of the relevant service, the Customer shall have five (5) working days to export Customer Data available through the standard Platform functionality in a commonly used format.

After that export period, LLAMAS® may close access to the Platform. At the Customer’s documented choice, LLAMAS® shall return or delete Customer Personal Data after the end of the processing, unless applicable law requires continued storage.

Deleted Personal Data may remain in technically isolated backup copies until overwritten in the ordinary backup cycle, which does not exceed 30 calendar days. During that period, the data shall remain protected and shall not be used for ordinary business processing.

33. AI and Customer Data

LLAMAS® shall not use, and shall not permit its Subprocessors to use, the Customer’s Personal Data, Confidential Information, prompts, files, communications, inputs or outputs for the training, retraining, fine-tuning or improvement of general-purpose artificial intelligence models without the Customer’s prior express written consent.

Where a user invokes an AI function, LLAMAS® may transmit only the Personal Data reasonably necessary to OpenRouter and/or the approved model provider required to perform the requested function.

LLAMAS® applies available contractual and technical privacy controls to restrict secondary use of Customer Data by AI providers and selects processing arrangements consistent with the applicable data-protection requirements.

34. Government and legal requests

If LLAMAS® receives a legally binding demand for Customer Personal Data, LLAMAS® may disclose only the information it is legally required to disclose. Where legally permitted, LLAMAS® will notify the Customer before disclosure and may reasonably challenge manifestly unlawful or disproportionate requests.

35. Liability and allocation of risk

Liability arising from this DPA is governed by the liability provisions of the Main Agreement, subject to any rights and obligations that cannot be limited under applicable law.

Nothing in this DPA limits any responsibility that applicable law requires a party to retain.

LLAMAS® is not liable for a breach caused solely by unlawful Customer instructions, Customer misconfiguration, credentials compromised through the Customer, unauthorised processing by the Customer or its users, or independent actions of Specialists or third parties outside LLAMAS®’s reasonable control, except to the extent LLAMAS® independently failed to comply with a mandatory obligation.

Each party remains responsible for the data-protection obligations that apply to its own role and activities.

36. Suspension

LLAMAS® may suspend affected processing or access where reasonably necessary to prevent or contain a security incident, comply with law, address unlawful instructions, protect other users or infrastructure, or prevent material harm. Where practicable and lawful, LLAMAS® will inform the Customer and seek to restore affected functionality when the reason for suspension is resolved.

37. Term and survival

This DPA applies for as long as LLAMAS® processes Customer Personal Data on behalf of the Customer. Confidentiality, deletion, legal retention, liability and other provisions that by their nature should survive will continue after termination.

For clarity, this DPA allocates data-protection responsibilities only. It does not make LLAMAS® the employer, tax agent or professional guarantor of a Specialist merely because the Specialist uses the Platform. Any mandatory status, employment, tax, social-security or platform-work obligations are determined by the actual facts and applicable law and remain unaffected by any contractual allocation that cannot lawfully exclude them.

SCHEDULE 1 — DETAILS OF PROCESSING

SCHEDULE 2 — TECHNICAL AND ORGANISATIONAL MEASURES

The following technical and organisational measures describe the Platform's standard security framework. Specific controls apply to the extent implemented and appropriate to the relevant processing environment.

SCHEDULE 3 — SUBPROCESSORS & THIRD-PARTY SERVICES

THIS SCHEDULE MUST BE COMPLETED WITH ACTUAL PROVIDER NAMES BEFORE IT IS RELIED UPON AS A COMPLETE SUBPROCESSOR DISCLOSURE.

LLAMAS® may update this Schedule in accordance with Clause 26. The Customer may raise reasonable, specific and documented objections on data-protection grounds, but does not receive a general veto over LLAMAS® technology architecture.

SCHEDULE 4 — REGIONAL DATA TRANSFER TERMS

A. EU/EEA

Where GDPR Chapter V applies, LLAMAS® and the Customer shall ensure that a lawful transfer mechanism is in place before restricted Personal Data are transferred to a third country. This may include an adequacy decision, applicable Standard Contractual Clauses or another mechanism permitted by GDPR. Supplementary technical, contractual or organisational measures will be used where required by the applicable transfer assessment.

B. Armenia

Transfers subject to Armenian law shall comply with the Armenian Law on Protection of Personal Data, including requirements relating to adequate protection, consent, contractual safeguards and permission of the authorised body where applicable.

SCHEDULE 5 — AI & CUSTOMER DATA RULES

• No training or fine-tuning of general-purpose AI models using Customer Data without prior express written Customer consent.
• AI processing is limited to the function requested by the user and data reasonably necessary to provide it.
• Customers should not submit unnecessary sensitive or restricted Personal Data to AI tools.
• AI outputs require human review and are not guaranteed to be accurate, complete or suitable for a particular legal, financial, medical, employment or regulated purpose.
• Where third-party AI Providers are used, they are governed by the Subprocessor and international-transfer provisions of this document.
• Anonymised and aggregated information that cannot reasonably identify a Customer or Data Subject may be used for security, performance measurement and Platform improvement where lawful.
• LLAMAS® may modify, replace or add AI providers or technical models in the course of Platform development, subject to applicable Subprocessor notice and data-protection requirements.

SCHEDULE 6 — PLATFORM / SPECIALIST RESPONSIBILITY MATRIX