Соглашение об обработке данных

1. Определения

• Персональные данные: любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу («субъект данных»).
• Контролёр данных: сторона, определяющая цели и средства обработки Персональных данных.
• Обработчик данных: сторона, обрабатывающая Персональные данные от имени Контролёра.
• Обработка: любая операция с Персональными данными, включая сбор, запись, хранение, использование, раскрытие, ограничение, удаление или уничтожение.
• Утечка данных: любое случайное или незаконное уничтожение, потеря, изменение, несанкционированное раскрытие или доступ к Персональным данным.

2. Сфера действия и цель

Провайдер обрабатывает Персональные данные только для предоставления Сервиса, описанного в соглашении с Клиентом, и строго в соответствии с задокументированными инструкциями Клиента, если иное не требуется применимым законом. Предмет, срок, характер и цель обработки определяются использованием Сервиса Клиентом.

3. Роли сторон

В отношении Персональных данных, обрабатываемых от имени Клиента, Клиент выступает как Контролёр данных, а Провайдер — как Обработчик данных. Каждая сторона отвечает за соблюдение обязательств по защите данных, применимых к её роли.

4. Обязанности Провайдера

• Обрабатывать Персональные данные только по задокументированным инструкциям Клиента.
• Обеспечивать, чтобы персонал, уполномоченный обрабатывать Персональные данные, был связан обязательствами о конфиденциальности.
• Применять надлежащие технические и организационные меры для защиты Персональных данных от несанкционированной обработки и случайной потери.
• Уведомлять Клиента без неоправданной задержки после того, как ему станет известно об Утечке данных, затрагивающей Персональные данные Клиента.
• Содействовать Клиенту, учитывая характер обработки, в выполнении его обязательств, включая оценки воздействия на защиту данных и реагирование на запросы субъектов данных и надзорных органов.
• Вести учёт операций по обработке, выполняемых от имени Клиента.
• Без промедления сообщать Клиенту, если, по мнению Провайдера, инструкция нарушает применимое законодательство о защите данных, и приостанавливать соответствующую обработку до подтверждения или исправления инструкции.

5. Обязанности Клиента

• Обеспечивать, чтобы все Персональные данные, предоставляемые Провайдеру, собирались и обрабатывались законно, добросовестно и прозрачно.
• Предоставлять чёткие и законные задокументированные инструкции по обработке Персональных данных.
• Незамедлительно информировать Провайдера о любых изменениях требований к обработке или обстоятельств, влияющих на обрабатываемые Персональные данные.

6. Субобработчики

Клиент даёт Провайдеру общее разрешение привлекать субобработчиков для поддержки предоставления Сервиса. Провайдер привлекает субобработчиков следующих категорий: операторы хостинга и дата-центров; сетевые, инфраструктурные и связностные партнёры прокси-платформы; платёжные провайдеры; сервисы доставки электронной почты; инструменты поддержки, мониторинга и аналитики. По письменному запросу на [email protected] и при условии принятия обязательства о конфиденциальности Провайдер раскрывает субобработчиков, привлечённых к обработке данных Клиента.

На каждого субобработчика возлагаются обязательства по защите данных, по существу эквивалентные изложенным в настоящем DPA, при этом Провайдер остаётся полностью ответственным перед Клиентом за исполнение этих обязательств каждым субобработчиком.

Провайдер уведомляет Клиента не менее чем за тридцать (30) дней до привлечения нового или замены действующего субобработчика либо за более короткий срок, если замена необходима по соображениям безопасности, непрерывности Сервиса или соблюдения закона. В течение этого срока Клиент вправе возразить по обоснованным причинам, связанным с защитой данных; если стороны не согласуют работающую альтернативу, Клиент вправе прекратить затронутую часть Сервиса и получить пропорциональный возврат предоплаченных и неиспользованных средств по ней.

7. Международная передача данных

Любая передача Персональных данных в страну, не признанную обеспечивающей адекватный уровень защиты, осуществляется при наличии надлежащих гарантий — Стандартных договорных положений Европейской комиссии, британского Дополнения о международной передаче данных (IDTA) или эквивалентного механизма, — которые включаются в настоящее DPA посредством ссылки и имеют преимущественную силу над ним при расхождении.

По запросу Провайдер сообщает Клиенту, какая гарантия применяется к конкретной передаче, и предоставляет копию соответствующих положений, скрывая только то, чего требует конфиденциальность.

8. Меры безопасности

С учётом современного уровня развития технологий, затрат на внедрение и рисков для субъектов данных Провайдер поддерживает технические и организационные меры, соответствующие риску, включая как минимум следующие:

• Шифрование данных при передаче (TLS); пароли аккаунтов хранятся исключительно в виде солёных хэшей.
• Административный доступ ограничен уполномоченным персоналом и защищён аутентификацией с автоматической блокировкой после серии неудачных попыток.
• Короткоживущие токены аутентификации, ограничение частоты запросов и защита от автоматизированных атак на учётные данные.
• Сегментация сети между публичной частью Сервиса, административным интерфейсом и базами данных, которые не доступны из интернета.
• Журналирование событий безопасности и оповещения об аномалиях, например о входе с неизвестного устройства.
• Доступ к Персональным данным ограничен лицами, которым он необходим для работы Сервиса и которые связаны обязательством о конфиденциальности.
• Процесс пересмотра и улучшения этих мер по мере развития Сервиса и ландшафта угроз.

9. Уведомление об утечке данных

Если Провайдеру станет известно об Утечке данных, затрагивающей Персональные данные Клиента, он уведомит Клиента без неоправданной задержки и в любом случае в течение семидесяти двух (72) часов с момента, когда ему стало об этом известно.

Уведомление содержит описание характера утечки, категории и приблизительное число затронутых субъектов данных и записей, вероятные последствия, а также принятые или предлагаемые меры по устранению и снижению последствий. Если вся эта информация недоступна одновременно, Провайдер предоставляет её по частям, не задерживая первое уведомление, и содействует Клиенту в выполнении его собственных обязанностей перед надзорными органами и субъектами данных.

10. Срок действия, возврат и удаление

Настоящее DPA действует до тех пор, пока Провайдер обрабатывает Персональные данные от имени Клиента. По прекращении или истечении Сервиса Провайдер по выбору Клиента удалит или вернёт Персональные данные, обрабатываемые от имени Клиента, и завершит удаление в течение девяноста (90) дней, если их хранение не требуется применимым законом — в этом случае Провайдер хранит только то, что требует закон, столько, сколько он требует, и продолжает защищать эти данные в соответствии с настоящим DPA.

11. Право на аудит

Провайдер предоставляет информацию, разумно необходимую для подтверждения соблюдения настоящего DPA, и допускает разумные аудиты и содействует им при условии разумного предварительного уведомления, конфиденциальности и взаимного согласования сроков и объёма, чтобы не нарушать работу Провайдера или других клиентов.

12. Ответственность

Ответственность по настоящему DPA регулируется ограничениями и исключениями, изложенными в Условиях использования, за исключением случаев, когда применимое законодательство о защите данных предусматривает иное.

13. Применимое право

Настоящее DPA регулируется положениями о применимом праве и разрешении споров, изложенными в Условиях использования, и споры разрешаются в соответствии с ними.

14. Изменения

Любое изменение настоящего DPA должно быть оформлено письменно. Если изменения необходимы для отражения обновлённых правовых требований, Провайдер уведомит Клиента, и обновлённое DPA будет применяться к продолжающейся обработке.

Приложение 1 — Сведения об обработке

Настоящее Приложение содержит сведения, которые законодательство о защите данных требует фиксировать в соглашении об обработке.

• Предмет: предоставление Сервиса — прокси-связности, личного кабинета и API для управления ею, биллинга и поддержки.
• Срок: на срок действия соглашения между сторонами плюс срок удаления, указанный в разделе 10.
• Характер и цель: размещение и администрирование Аккаунта Клиента; маршрутизация инициированного Клиентом сетевого трафика через прокси-сеть; обработка платежей; оказание поддержки; предотвращение мошенничества и злоупотреблений.
• Виды Персональных данных: идентификаторы аккаунта (имя или логин, адрес электронной почты), данные аутентификации, платёжные и транзакционные записи, IP-адреса и метаданные соединений, переписка с поддержкой, а также любые Персональные данные, содержащиеся в трафике, который Клиент решает пропускать через Сервис, — Провайдер передаёт такой трафик транзитом и не проверяет, не журналирует и не хранит его содержимое.
• Категории субъектов данных: Клиент, его персонал и уполномоченные пользователи Аккаунта Клиента, а также любые лица, чьи данные Клиент передаёт через Сервис.
• Особые категории данных: Сервис их не запрашивает и не требует; Клиент не должен пропускать через него данные особых категорий без предварительного письменного согласования дополнительных гарантий.
• Периодичность обработки: непрерывная, пока Клиент пользуется Сервисом.