Договор поручения обработки персональных данных

01Стороны, сфера действия и приоритет

1. Настоящий договор поручения обработки персональных данных («Договор поручения») заключён между Клиентом («Контролёр») и [●] («Обработчик») и является неотъемлемой частью Условий использования («Основной договор»). Он действует с момента заключения Основного договора без отдельной подписи; подписанный экземпляр предоставим по запросу.
2. Он относится к персональным данным, которые Контролёр или его Пользователи вносят, загружают либо иным образом предоставляют в Сервисе («Персональные данные Контролёра»).
3. Если Клиент сам обрабатывает эти данные от имени собственного клиента (как обработчик), а Обработчик является его субобработчиком, Клиент обеспечивает соответствие своих указаний указаниям своего контролёра.
4. При противоречии в отношении персональных данных Договор поручения имеет приоритет над Условиями; стандартные договорные положения, если они применяются, имеют приоритет над обоими.

02Предмет, характер, цель и срок

Предметом является обработка Персональных данных Контролёра в целях оказания Сервиса: хостинг, хранение, упорядочивание, отображение, извлечение, передача (e-mail, SMS, вебхуки), резервное копирование и удаление данных, а также поддержка и обеспечение безопасности. Обработка длится в течение действия Основного договора и периода, необходимого для возврата или удаления данных (раздел 10). Подробности: приложение 1.

03Указания Контролёра

1. Обработчик обрабатывает данные только по документированным указаниям Контролёра. Указаниями являются Основной договор и настоящий Договор поручения, использование Контролёром функций Сервиса (настройка, внесение данных, автоматизации, интеграции) и обоснованные письменные указания, совместимые с Сервисом.
2. Если право ЕС или государства-члена обязывает Обработчика обрабатывать иначе, он уведомит об этом Контролёра до начала обработки, если это право не запрещает такого уведомления.
3. Обработчик незамедлительно уведомляет Контролёра, если, по его мнению, указание нарушает GDPR или иные нормы о защите данных (ст. 28(3)(h) GDPR).
4. Обработчик не обрабатывает Персональные данные Контролёра для собственных целей, кроме: оказания, поддержки и обеспечения безопасности Сервиса; составления эксплуатационной статистики без содержимого данных Контролёра; исполнения правовых обязанностей.

04Конфиденциальность и персонал

Обработчик обеспечивает, чтобы лица, уполномоченные обрабатывать данные, были связаны обязательством конфиденциальности (в том числе после прекращения работы), имели доступ только в объёме, необходимом для их обязанностей, и были обучены защите данных.

05Безопасность

Обработчик применяет технические и организационные меры, описанные в приложении 2, соответствующие риску (ст. 32 GDPR). Он может их обновлять, если не снижает общего уровня защиты.

06Субобработчики

1. Контролёр предоставляет общее письменное согласие на использование субобработчиков, перечисленных в приложении 3.
2. О намерении добавить или заменить субобработчика Обработчик уведомляет Контролёра не менее чем за 30 дней (e-mail на адрес владельца рабочего пространства либо обновлением приложения 3). Контролёр может в течение 14 дней возразить по обоснованным причинам, связанным с защитой данных.
3. Если стороны не разрешат возражение, Контролёр может расторгнуть затронутую часть Сервиса, а Обработчик вернёт плату за период после расторжения.
4. Обработчик возлагает на субобработчиков обязанности, не менее равноценные обязанностям настоящего Договора поручения, и отвечает перед Контролёром за их исполнение (ст. 28(4) GDPR).

07Содействие Контролёру

1. Запросы субъектов данных: Обработчик в течение 5 рабочих дней передаёт Контролёру полученный запрос, не отвечая по существу, и предоставляет функции, позволяющие исполнять запросы (поиск, экспорт, редактирование, удаление).
2. Оценка воздействия и консультации: по запросу предоставляет сведения, необходимые для оценки воздействия на защиту данных и предварительной консультации с надзорным органом (ст. 35–36 GDPR).
3. Нарушения: уведомляет Контролёра о нарушении защиты Персональных данных Контролёра без неоправданной задержки, в любом случае в течение 48 часов после того, как ему стало об этом известно, приводя имеющиеся сведения (характер нарушения, категории и приблизительное число лиц и записей, вероятные последствия, принятые меры), и содействует его выяснению.
4. Содействие является частью Сервиса и не влечёт отдельной платы; если оно требует несоразмерных усилий, стороны заранее согласуют разумное вознаграждение.

08Информация и аудиты

1. Обработчик предоставляет Контролёру сведения, необходимые для подтверждения исполнения требований ст. 28 GDPR.
2. Контролёр (или независимый аудитор, связанный обязательством конфиденциальности) может проводить аудит не чаще одного раза в 12 месяцев (и после нарушения защиты данных), с предупреждением за 30 дней, в рабочие часы, без нарушения работы и без доступа к данным других клиентов. Расходы на аудит несёт Контролёр.
3. Обработчик может исполнить эту обязанность, предоставив актуальные независимые отчёты или сертификаты либо заполнив опросник. Полномочия надзорного органа не затрагиваются.

09Передача в третьи страны

Обработчик стремится обрабатывать данные в Европейской экономической зоне; места обработки каждого субобработчика указаны в приложении 3. Передача за пределы ЕЭЗ осуществляется только по документированному указанию и с гарантиями главы V GDPR (решение об адекватности, стандартные договорные положения или иное действительное основание).

10Возврат и удаление

После окончания Основного договора Контролёр может в течение 30 дней экспортировать данные функциями Сервиса. Затем Обработчик безвозвратно удаляет Персональные данные Контролёра из рабочих систем; резервные копии перезаписываются в цикле, не превышающем 35 дней. По запросу он подтверждает удаление. Исключение составляют данные, которые Обработчик обязан хранить на основании закона.

11Ответственность

Ответственность сторон регулируется Основным договором без ущерба для прав субъектов данных по ст. 82 GDPR.

12Срок и заключительные положения

Договор поручения действует, пока Обработчик обрабатывает Персональные данные Контролёра. Он регулируется польским правом, а споры разрешают суды согласно Основному договору. Он может быть изменён в порядке изменения Условий (раздел 14 Условий) либо письменно.

Приложение 1 — Описание обработки

Приложение 2 — Технические и организационные меры

• Контроль доступа и аутентификация: пароли как хэши Argon2id; многофакторная аутентификация (приложение TOTP, SMS-код, passkeys, резервные коды) с возможностью сделать её обязательной для всей команды; политика сессий с абсолютным лимитом и лимитом простоя, уведомления о входе с нового устройства, удалённый отзыв сессий, необязательный список разрешённых IP-адресов; роли и права пользователей (владелец, администратор, менеджер, исполнитель, наблюдатель).
• Шифрование: передача данных шифруется (TLS); секреты в базе (API-ключи, пароли почтовых ящиков, секреты вебхуков и TOTP) шифруются алгоритмом AES-256-GCM, ключ хранится вне базы данных.
• Разделение данных: каждая запись привязана к идентификатору компании клиента, а доступ обеспечивается на стороне сервера.
• Журналирование и подотчётность: журнал изменений, который нельзя редактировать или удалять через интерфейс (кто, что, когда, IP-адрес), и журнал входов; возможность восстановления удалённых записей (мягкое удаление).
• Защита от злоупотреблений: ограничение числа попыток (rate limiting); блокировка исходящих соединений (вебхуки, почтовые ящики) в частные и внутренние сети; API-ключи хранятся только как хэши и показываются один раз.
• Непрерывность: регулярные резервные копии базы данных и файлов; разделение процессов веб-интерфейса и фоновых задач.
• Организация: обязательства конфиденциальности, принцип минимальных прав, процедура реагирования на инциденты и уведомления о нарушениях, оценка поставщиков, процедура удаления данных.

Приложение 3 — Субобработчики

Обработчик пользуется следующими субобработчиками:

Сервисы, которые Контролёр сам подключает к Сервису, — в частности, собственный аккаунт Stripe (оплата записей), собственный почтовый ящик (IMAP/SMTP), HubSpot или Pipedrive (миграция) и конечные точки вебхуков, — не являются субобработчиками Обработчика; за договоры с ними отвечает Контролёр.