Соглашение об обработке данных

1. Определения

• Персональные данные: любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу («субъект данных»).
• Контролёр данных: сторона, определяющая цели и средства обработки Персональных данных.
• Обработчик данных: сторона, обрабатывающая Персональные данные от имени Контролёра.
• Обработка: любая операция с Персональными данными, включая сбор, запись, хранение, использование, раскрытие, ограничение, удаление или уничтожение.
• Утечка данных: любое случайное или незаконное уничтожение, потеря, изменение, несанкционированное раскрытие или доступ к Персональным данным.

2. Сфера действия и цель

Провайдер обрабатывает Персональные данные только для предоставления Сервиса, описанного в соглашении с Клиентом, и строго в соответствии с задокументированными инструкциями Клиента, если иное не требуется применимым законом. Предмет, срок, характер и цель обработки определяются использованием Сервиса Клиентом.

3. Роли сторон

В отношении Персональных данных, обрабатываемых от имени Клиента, Клиент выступает как Контролёр данных, а Провайдер — как Обработчик данных. Каждая сторона отвечает за соблюдение обязательств по защите данных, применимых к её роли.

4. Обязанности Провайдера

• Обрабатывать Персональные данные только по задокументированным инструкциям Клиента.
• Обеспечивать, чтобы персонал, уполномоченный обрабатывать Персональные данные, был связан обязательствами о конфиденциальности.
• Применять надлежащие технические и организационные меры для защиты Персональных данных от несанкционированной обработки и случайной потери.
• Уведомлять Клиента без неоправданной задержки после того, как ему станет известно об Утечке данных, затрагивающей Персональные данные Клиента.
• Содействовать Клиенту, учитывая характер обработки, в выполнении его обязательств, включая оценки воздействия на защиту данных и реагирование на запросы субъектов данных и надзорных органов.
• Вести учёт операций по обработке, выполняемых от имени Клиента.

5. Обязанности Клиента

• Обеспечивать, чтобы все Персональные данные, предоставляемые Провайдеру, собирались и обрабатывались законно, добросовестно и прозрачно.
• Предоставлять чёткие и законные задокументированные инструкции по обработке Персональных данных.
• Незамедлительно информировать Провайдера о любых изменениях требований к обработке или обстоятельств, влияющих на обрабатываемые Персональные данные.

6. Субобработчики

Клиент уполномочивает Провайдера привлекать субобработчиков для поддержки предоставления Сервиса. Провайдер налагает на каждого субобработчика обязательства по защите данных, по существу эквивалентные изложенным в настоящем DPA, и заблаговременно уведомляет Клиента о любых предполагаемых изменениях субобработчиков, чтобы Клиент мог возразить по обоснованным причинам.

7. Международная передача данных

Любая передача Персональных данных в юрисдикцию, отличную от юрисдикции Клиента, осуществляется в соответствии с применимым законодательством о защите данных и при наличии надлежащих мер защиты, таких как стандартные договорные положения или эквивалентный механизм.

8. Меры безопасности

Провайдер поддерживает технические и организационные меры безопасности, соответствующие риску, включая шифрование при передаче, контроль доступа, средства аутентификации и мониторинг. Эти меры пересматриваются и обновляются по мере развития Сервиса и ландшафта угроз.

9. Уведомление об утечке данных

Если Провайдеру станет известно об Утечке данных, затрагивающей Персональные данные Клиента, он уведомит Клиента без неоправданной задержки и предоставит разумно доступную информацию, чтобы помочь Клиенту выполнить обязательства по уведомлению органов или субъектов данных.

10. Срок действия, возврат и удаление

Настоящее DPA действует до тех пор, пока Провайдер обрабатывает Персональные данные от имени Клиента. По прекращении или истечении Сервиса Провайдер по выбору Клиента удалит или вернёт Персональные данные, обрабатываемые от имени Клиента, если их хранение не требуется применимым законом.

11. Право на аудит

Провайдер предоставляет информацию, разумно необходимую для подтверждения соблюдения настоящего DPA, и допускает разумные аудиты и содействует им при условии разумного предварительного уведомления, конфиденциальности и взаимного согласования сроков и объёма, чтобы не нарушать работу Провайдера или других клиентов.

12. Ответственность

Ответственность по настоящему DPA регулируется ограничениями и исключениями, изложенными в Условиях использования, за исключением случаев, когда применимое законодательство о защите данных предусматривает иное.

13. Применимое право

Настоящее DPA регулируется положениями о применимом праве и разрешении споров, изложенными в Условиях использования, и споры разрешаются в соответствии с ними.

14. Изменения

Любое изменение настоящего DPA должно быть оформлено письменно. Если изменения необходимы для отражения обновлённых правовых требований, Провайдер уведомит Клиента, и обновлённое DPA будет применяться к продолжающейся обработке.