Соглашение об обработке данных

1. Сфера применения и роли

Настоящее Соглашение об обработке данных («DPA») является частью Условий обслуживания между Rediacc OÜ («Rediacc», «Обработчик») и Клиентом в случае, когда Клиент использует Сервисы как бизнес, а Rediacc обрабатывает Персональные данные клиента от имени Клиента. Термины, определённые в Условиях обслуживания, имеют здесь то же значение. Эта страница составлена на английском языке. Переводы предоставляются только для удобства; если перевод отличается от английской версии, приоритет имеет английская версия.

В отношении Персональных данных клиента Клиент является контролёром (или обработчиком, действующим в интересах своего контролёра), а Rediacc является обработчиком (или субобработчиком). В отношении записей об Аккаунте, об оплате и о принятии, а также Данных телеметрии Rediacc является самостоятельным контролёром, как описано в Политике конфиденциальности, и настоящее DPA к такой обработке не применяется.

Данные клиента на Машинах Клиента Rediacc не обрабатывает. Зашифрованное хранилище конфигурации и размещённые резервные копии шифруются ключами, которых у Rediacc нет, поэтому Rediacc хранит эти блоки данных, но не может прочитать их содержимое.

2. Определения

• "Законы о защите данных" означают Общий регламент ЕС по защите данных (Регламент (ЕС) 2016/679, «GDPR»), GDPR Великобритании и любой иной закон о защите данных, применимый к обработке по настоящему DPA.
• "Персональные данные клиента" означают персональные данные, которые Rediacc обрабатывает от имени Клиента при предоставлении Платформы, например имена и адреса электронной почты Авторизованных пользователей и членов команды, приглашённых Клиентом, а также зашифрованные данные, которые Клиент хранит на Платформе.
• "Нарушение безопасности персональных данных", "обработка", "контролёр", "обработчик" и "субъект данных" имеют значения, указанные в GDPR.
• "SCC" означают стандартные договорные условия, утверждённые Имплементационным решением Европейской комиссии (ЕС) 2021/914.
• "Субобработчик" означает третье лицо, привлечённое Rediacc для обработки Персональных данных клиента.

3. Обработка по инструкциям

Rediacc обрабатывает Персональные данные клиента только по документированным инструкциям Клиента, которыми являются Условия обслуживания, настоящее DPA, а также использование и настройка Сервисов Клиентом, если иное не требует закон; в таком случае Rediacc сообщает об этом Клиенту до начала обработки, если закон этого не запрещает. Rediacc сообщает Клиенту, если считает, что инструкция нарушает Законы о защите данных.

4. Сведения об обработке

• Предмет и цель: предоставление Платформы, включая управление Аккаунтом и командой, выдачу лицензий, зашифрованное хранилище конфигурации, размещённое хранилище резервных копий и поддержку
• Срок: срок действия Условий обслуживания плюс срок удаления, указанный в разделе 11
• Характер обработки: сбор, хранение, передача, извлечение и удаление
• Категории субъектов данных: Авторизованные пользователи Клиента, приглашённые члены команды и контактные лица партнёров
• Категории персональных данных: имена, адреса электронной почты, организация и должность, данные аутентификации (хеши паролей, открытые ключи passkey), сетевые адреса и user agent сессий, а также любые персональные данные внутри зашифрованных данных, которые Клиент хранит на Платформе
• Особые категории: не предполагаются; Клиент не должен хранить на Платформе особые категории данных в незашифрованном виде

5. Конфиденциальность

Rediacc обеспечивает, чтобы каждое лицо, уполномоченное обрабатывать Персональные данные клиента, было связано обязательством соблюдать конфиденциальность.

6. Безопасность

Rediacc применяет надлежащие технические и организационные меры в соответствии со статьёй 32 GDPR, включая:

• шифрование при передаче (TLS 1.2 или выше) и при хранении, а также шифрование на стороне клиента для хранилища конфигурации и размещённых резервных копий ключами, которых у Rediacc нет
• доступ к производственным системам только для уполномоченного персонала с многофакторной аутентификацией
• логическое разделение данных клиентов и региональное хранение данных
• журналирование и мониторинг производственных систем и регулярную проверку мер безопасности

7. Субобработчики

Клиент разрешает Rediacc привлекать Субобработчиков. Rediacc налагает на каждого Субобработчика обязательства по защите данных, не менее строгие, чем настоящее DPA, и остаётся ответственной за работу своих Субобработчиков. Текущие Субобработчики:

• Cloudflare, Inc. (США; глобальная сеть): размещение портала учётной записи и API (Workers), базы данных аккаунтов (D1), размещённого хранилища резервных копий и объектов (R2), доставка контента и DNS, а также защита форм от ботов (Turnstile)
• Amazon Web Services, Inc. (Amazon Simple Email Service в регионе AWS, обслуживающем регион аккаунта Клиента): доставка транзакционных писем, таких как ссылки для входа, уведомления и счета
• Stripe, Inc. и её аффилированные лица (США и Ирландия): обработка платежей, выставление счетов по подпискам, оформление счетов и расчёт налогов для платных Подписок
• Hostinger (виртуальные серверы в Европейском союзе): размещение конечной точки телеметрии и наблюдаемости (otlp.rediacc.io), которая принимает Данные телеметрии и журналы сервисов

Rediacc уведомляет не менее чем за тридцать (30) дней до добавления или замены Субобработчика, обновляя эту страницу и направляя уведомление на адрес электронной почты Аккаунта. В течение этого срока Клиент может возразить по разумным причинам, связанным с защитой данных. Если стороны не могут разрешить возражение, Клиент может прекратить затронутые Сервисы и получить возврат предоплаченных платежей за период после прекращения.

Веб-аналитика сайта (Plausible) не обрабатывает Персональные данные клиента и регулируется Политикой конфиденциальности.

8. Международные передачи

Если Персональные данные клиента передаются в страну за пределами Европейской экономической зоны, в отношении которой нет решения об адекватности, SCC включаются в настоящее DPA путём ссылки: Модуль два (от контролёра к обработчику), если Клиент является контролёром, и Модуль три (от обработчика к обработчику), если Клиент является обработчиком. Для SCC: применяется необязательная оговорка о присоединении (пункт 7); применяется пункт 9(a), вариант 2 (общее разрешение) со сроком уведомления из раздела 7; необязательная формулировка пункта 11 не применяется; в пунктах 17 и 18 выбраны право и суды страны: Эстония; Приложения I и II заполняются разделами 1, 4 и 6, а Приложение III разделом 7 настоящего DPA.

Для передач, подпадающих под GDPR Великобритании, вместе с SCC применяется Дополнение о международной передаче данных (International Data Transfer Addendum), выпущенное Уполномоченным по информации Великобритании. Rediacc полагается на Рамочную программу защиты данных ЕС и США (EU-US Data Privacy Framework) в отношении Субобработчиков, сертифицированных по ней.

9. Запросы субъектов данных и содействие

Rediacc незамедлительно передаёт Клиенту любой запрос субъекта данных о Персональных данных клиента и сама на него не отвечает, кроме как по инструкциям Клиента. С учётом характера обработки Rediacc помогает Клиенту отвечать на такие запросы и выполнять его обязанности по статьям 32-36 GDPR, включая оценки воздействия на защиту данных и предварительные консультации.

10. Нарушение безопасности персональных данных

Rediacc уведомляет Клиента без неоправданной задержки и в любом случае в течение семидесяти двух (72) часов после того, как ей стало известно о Нарушении безопасности персональных данных, затрагивающем Персональные данные клиента. В уведомлении по мере возможности описываются характер нарушения, категории и примерное число затронутых субъектов данных и записей, вероятные последствия, а также принятые или предлагаемые меры. Rediacc принимает разумные меры для локализации и устранения нарушения.

11. Удаление или возврат

По окончании предоставления Сервисов Клиент может экспортировать Персональные данные клиента в течение тридцати (30) дней. После этого Rediacc удаляет Персональные данные клиента из активных систем, а из резервных копий в течение девяноста (90) дней, если закон не обязывает Rediacc их хранить.

12. Аудиты

Rediacc предоставляет Клиенту информацию, необходимую для подтверждения соблюдения статьи 28 GDPR, главным образом в виде письменных ответов на разумные вопросники по безопасности и имеющихся аудиторских отчётов и сертификатов Rediacc и её Субобработчиков. Если этой информации недостаточно или этого требует надзорный орган, Клиент может провести аудит за свой счёт, уведомив за тридцать (30) дней, в рабочее время, не чаще одного раза в год, с соблюдением конфиденциальности и так, чтобы не нарушать работу Сервисов и других клиентов.

13. Ответственность и приоритет

Ответственность каждой стороны по настоящему DPA подчиняется ограничениям Условий обслуживания, кроме случаев, когда Законы о защите данных этого не допускают. Если настоящее DPA противоречит Условиям обслуживания, при обработке Персональных данных клиента приоритет имеет настоящее DPA; если SCC противоречат настоящему DPA, приоритет имеют SCC.

14. Источник настоящего DPA

Отдельные части настоящего DPA адаптированы из Common Paper Data Processing Agreement Standard Terms Version 1.1 (commonpaper.com/standards/data-processing-agreement/1.1), опубликованных Common Paper, Inc. по международной лицензии Creative Commons Attribution 4.0 (CC BY 4.0). Текст изменён: он перестроен, сокращён и адаптирован к Сервисам. Common Paper, Inc. не одобряет настоящее DPA.