ქვე-დამმუშავებლები და მონაცემთა მდებარეობები
მოქმედი production არქიტექტურის გამჭვირვალე სია. განახლებულია 2026-08-26.
მოქმედი პროვაიდერები
| პროვაიდერი | ფუნქცია | მდებარეობა / შენიშვნა |
|---|---|---|
| Supabase | Postgres, Auth, private file storage | Primary project region: AWS eu-central-1, Frankfurt, Germany. Region განსაზღვრავს primary project data-ს მდებარეობას. Supabase-ის control-plane/support/subprocessors შეიძლება მოიცავდეს სხვა იურისდიქციებს მისი DPA-ს შესაბამისად. |
| Vercel | Next.js hosting და server functions | Kontroli functions დაყენებულია fra1 (Frankfurt)-ზე. Vercel-ის DPA აღნიშნავს, რომ primary processing facilities აშშ-შია და პლატფორმის მონაცემები შეიძლება დამუშავდეს აშშ-სა და სხვა ქვეყნებში. |
| Google Gemini API - Paid | დოკუმენტის AI extraction და verifier | Paid Services-ში prompts/files/responses Google-ის პროდუქტების გასაუმჯობესებლად არ გამოიყენება და ექვემდებარება Google-ის DPA-ს. Gemini Developer API-ის მიმდინარე კონფიგურაცია არ გვაძლევს EU-only processing/data-residency გარანტიას. |
| Resend | Transactional email: confirmation, recovery, OTP, notifications, secure links | Sending region: eu-west-1, Ireland. Resend აცხადებს, რომ account data, email metadata, logs და API records ინახება აშშ-ში, მიუხედავად sending region-ისა. კონფიდენციალური signed PDF attachment-ად არ იგზავნება. |
| Bank of Georgia | ონლაინ გადახდის checkout და payment confirmation | საქართველო. Kontroli არ ინახავს სრული ბარათის მონაცემებს; payment status/technical IDs ინახება billing ჩანაწერებში. |
საერთაშორისო გადაცემის სტატუსი
Germany და Ireland საქართველოს მოქმედ adequacy ნუსხაშია. მიუხედავად ამისა, კონკრეტული პროვაიდერის corporate/control-plane/subprocessor არქიტექტურამ შეიძლება გამოიწვიოს შემდგომი გადაცემა adequacy ნუსხის გარეთ.
საქართველოს „პერსონალურ მონაცემთა დაცვის შესახებ“ კანონის 37-ე მუხლის მიხედვით, non-adequate სახელმწიფოში ხელშეკრულებით უზრუნველყოფილ გარანტიებზე დაყრდნობილი გადაცემა წინასწარ შეიძლება საჭიროებდეს სახელმწიფო აუდიტის სამსახურის ნებართვას. ამიტომ Kontroli ცალკე აფასებს provider-level onward transfers-ს და არ აცხადებს „EU-only“ რეჟიმს იქ, სადაც შესაბამისი ტექნიკური და სამართლებრივი გარანტია არ არის.
მონაცემთა მინიმიზაცია
- Vercel-ზე არ უნდა ინახებოდეს მომხმარებლის დოკუმენტები როგორც მუდმივი storage;
- Resend-ში signed/confidential PDF attachment-ად აღარ იგზავნება, email შეიცავს მინიმალურ ტექსტს და დაცულ ბმულს;
- AI provider-ს ეგზავნება მხოლოდ მომხმარებლის მიერ analysis-ისთვის მოთხოვნილი დოკუმენტი/საჭირო context;
- payment provider-ს არ გადაეცემა დოკუმენტის შინაარსი;
- ქვე-დამმუშავებლის ცვლილებისას ეს გვერდი განახლდება.
მნიშვნელოვანი production შეზღუდვა
სანამ Gemini/Vercel/Resend-ის ნებისმიერი non-adequate onward transfer-ისთვის მოთხოვნილი ქართული სამართლებრივი საფუძველი ან ნებართვა სრულად დოკუმენტირებული არ არის, Kontroli-მ არ უნდა გააფართოოს მაღალი რისკის ან განსაკუთრებული კატეგორიის მონაცემების production დამუშავება. ძლიერი საბოლოო მიზანია sensitive processing-ის მაქსიმალურად EU-resident არქიტექტურაზე გადაყვანა.