Договор об обработке данных (AVV)

Стандартные договорные условия

Официальный текст согласно EUR-Lex (CELEX 32021D0915), приложение к решению. Выбранные варианты отмечены как [Выбор: …], невыбранные - зачеркнуты; в остальном текст остался без изменений.

Раздел II: Обязанности сторон

Пункт 6: Описание обработки

Подробная информация об операциях ### обработки, в частности о категориях персональных данных и целях, для которых персональные данные обрабатываются по поручению контролера, приведена в Приложении II.

Пункт 7: Обязанности сторон

7.1. Указания

а) Обработчик обрабатывает персональные данные исключительно на основании задокументированных указаний Контролера, за исключением случаев, когда он обязан осуществлять обработку в соответствии с законодательством Европейского Союза или законодательством того государства-члена, под юрисдикцией которого он находится. В таком случае обработчик данных уведомляет контролера об этих правовых требованиях до начала обработки, если соответствующее законодательство не запрещает этого в связи с важными общественными интересами. Контролер может давать дополнительные указания на протяжении всего срока обработки персональных данных. Эти указания должны всегда документироваться.

б) Обработка данных по поручению незамедлительно информирует ответственное лицо, если считает, что указания, данные ответственным лицом, противоречат Регламенту (ЕС) 2016/679, Регламенту (ЕС) 2018/1725 или действующим положениям о защите данных Союза или государств-членов.

7.2. Целевое назначение

Обработчик обрабатывает персональные данные исключительно для конкретной цели (целей), указанной (указанных) в Приложении II, если он не получает иных указаний от Контролера.

7.3. Срок обработки персональных данных

Данные обрабатываются обработчиком только в течение срока, указанного в Приложении II.

7.4. Безопасность обработки

а) Обработчик принимает, как минимум, технические и организационные меры, перечисленные в Приложении III, для обеспечения безопасности персональных данных. Это включает защиту данных от нарушений безопасности, которые, будь то непреднамеренно или незаконно, приводят к уничтожению, утрате, изменению или несанкционированному раскрытию данных либо к несанкционированному доступу к ним (далее - «нарушение защиты персональных данных»). При оценке адекватного уровня защиты Стороны должным образом учитывают состояние техники, затраты на внедрение, характер, объем, обстоятельства и цели обработки, а также риски, связанные с затронутыми лицами.

б) Обработчик предоставляет своему персоналу доступ к персональным данным, являющимся предметом обработки, только в той мере, в какой это абсолютно необходимо для исполнения, управления и контроля за выполнением настоящего договора. Обработчик данных гарантирует, что лица, уполномоченные осуществлять обработку полученных персональных данных, взяли на себя обязательства по соблюдению конфиденциальности или подпадают под действие надлежащего установленного законом обязательства по сохранению тайны.

7.5. Конфиденциальные данные

В случае если обработка касается персональных данных, из которых следует расовое или этническое происхождение, политические взгляды, религиозные или мировоззренческие убеждения либо членство в профсоюзах, либо генетических данных или биометрических данных, предназначенных для однозначной идентификации физического лица, данные о здоровье, сексуальной жизни или сексуальной ориентации лица, либо данные об уголовных приговорах и преступлениях (далее - «конфиденциальные данные»), обработчик данных применяет специальные ограничения и/или дополнительные гарантии.

7.6. Документирование и соблюдение настоящих положений

а) Стороны должны быть в состоянии подтвердить соблюдение настоящих положений.

б) Обработчик данных обязан оперативно и надлежащим образом рассматривать запросы Контролера, касающиеся обработки данных в соответствии с настоящими положениями.

c) Обработчик предоставляет Контролеру всю информацию, необходимую для подтверждения соблюдения обязательств, установленных в настоящих положениях и непосредственно вытекающих из Регламента (ЕС) 2016/679 и/или Регламента (ЕС) 2018/1725. По запросу Контролера Обработчик данных также разрешает проведение проверки операций по обработке данных, подпадающих под действие настоящих положений, с разумной периодичностью или при появлении признаков несоблюдения требований, а также содействует проведению такой проверки. При принятии решения о проведении проверки или аудита контролер может учитывать соответствующие сертификаты обработчика.

г) Контролер может провести проверку самостоятельно или назначить независимого аудитора. Проверки могут также включать инспекции в помещениях или на физических объектах обработчика данных и, при необходимости, проводятся с надлежащим предварительным уведомлением.

e) Стороны предоставляют компетентному(ым) надзорному(ым) органу(ам) по запросу информацию, указанную в настоящем положении, включая результаты проверок.

7.7. Привлечение субподрядчиков

а) ВАРИАНТ 2: ОБЩЕЕ ПИСЬМЕННОЕ РАЗРЕШЕНИЕ: Обработчик данных имеет общее разрешение Контролера на привлечение субподрядчиков, перечисленных в согласованном списке. Обработчик данных обязан заблаговременно, не позднее чем за 30 дней, в явной письменной форме уведомлять Контролера обо всех намечаемых изменениях в данном списке, связанных с добавлением или заменой субподрядчиков, тем самым предоставляя Контролеру достаточно времени, выразить возражения против этих изменений до привлечения соответствующего(их) субподрядчиков. Обработка данных предоставляет Контролеру необходимую информацию, чтобы тот мог реализовать своё право на возражение. [Вариант: вариант 2, срок 30 дней; согласованный перечень приведен в Приложении IV]

б) Если обработчик данных поручает субподрядчику-обработчику осуществление определенных операций по обработке данных (по поручению контролера), то такое поручение должно осуществляться на основании договора, который возлагает на субподрядчика по обработке данных по существу те же обязательства по защите данных, что и те, которые применяются к обработчику данных в соответствии с настоящими положениями. Обработчик данных обеспечивает выполнение субподрядчиком обязательств, которые возлагаются на обработчика данных в соответствии с настоящими положениями, а также в соответствии с Регламентом (ЕС) 2016/679 и/или Регламентом (ЕС) 2018/1725.

c) Обработчик данных предоставляет Контролеру по его запросу копию такого соглашения о субподряде и любых последующих изменений к нему. В той мере, в какой это необходимо для защиты коммерческой тайны или иной конфиденциальной информации, включая персональные данные, обработчик данных вправе засекретить текст соглашения перед передачей его копии.

г) Обработчик несет перед Контролером полную ответственность за то, чтобы субподрядчик выполнял свои обязательства в соответствии с договором, заключенным с Обработчиком. Обработчик уведомляет Контролера в случае невыполнения субподрядчиком своих договорных обязательств.

e) Обработчик данных согласовывает с субподрядчиком положение о третьих лицах, согласно которому Контролер - в случае, если Обработчик данных фактически или юридически прекратил своё существование или стал неплатежеспособным - имеет право расторгнуть договор о субподряде и дать указание субподрядчику по обработке данных удалить или вернуть персональные данные.

7.8. Международная передача данных

a) Любая передача данных обработчиком данных в третью страну или международную организацию осуществляется исключительно на основании задокументированных указаний контролера или в целях соблюдения специального положения законодательства Европейского Союза или законодательства государства-члена, под юрисдикцией которого находится обработчик данных, и должна соответствовать главе V Регламента (ЕС) 2016/679 или Регламента (ЕС) 2018/1725.

б) Контролер соглашается с тем, что в случаях, когда обработчик привлекает субподрядчика в соответствии с пунктом 7.7 для осуществления определенных операций по обработке (по поручению контролера) и эти операции по обработке включают передачу персональных данных в значении главы V Регламента (ЕС) 2016/679, обработчик данных и субподрядчик по обработке данных могут обеспечить соблюдение требований главы V Регламента (ЕС) 2016/679, используя стандартные договорные условия, утвержденные Комиссией в соответствии со статьёй 46, пунктом 2 Регламента (ЕС) 2016/679, при условии соблюдения требований, необходимых для применения данных стандартных договорных условий.

Положение 8: Оказание содействия контролеру

а) Обработчик незамедлительно уведомляет контролера о каждом запросе, полученном им от заинтересованного лица. Он не отвечает на запрос самостоятельно, за исключением случаев, когда он уполномочен на это контролером.

b) С учётом характера обработки данных обработчик данных оказывает поддержку контролеру в выполнении его обязанности по предоставлению ответов на запросы заинтересованных лиц об осуществлении их прав. При выполнении своих обязанностей в соответствии с буквами а) и b) обработчик данных следует указаниям контролера.

c) Помимо обязанности обработчика оказывать содействие контролеру в соответствии с пунктом 8 подпунктом b, обработчик, с учетом характера обработки данных и имеющейся у него информации, также оказывает содействие контролеру в выполнении следующих обязанностей:

• 1) обязанность проводить оценку последствий предполагаемых операций по обработке для защиты персональных данных (далее - «оценка последствий для защиты данных»), если какой-либо вид обработки, по всей вероятности, повлечет за собой высокий риск для прав и свобод физических лиц;
• 2) обязанность проконсультироваться с компетентным(и) надзорным(и) органом(ами) до начала обработки, если оценка последствий для защиты данных показывает, что обработка повлечет за собой высокий риск, при условии, что контролер не примет меры по снижению этого риска;
• 3) Обязанность обеспечивать достоверность и актуальность персональных данных путем незамедлительного уведомления контролером обработчика в случае выявления им неточностей или устаревания обрабатываемых им персональных данных;
• 4) Обязательства в соответствии со статьёй 32 Регламента (ЕС) 2016/679. [Выбор: Вариант 1]

г) Стороны определяют в Приложении III надлежащие технические и организационные меры, направленные на оказание обработчиком данных поддержки контролеру в применении настоящего положения, а также сферу применения и объем необходимой поддержки.

Положение 9: Уведомление о нарушениях защиты персональных данных

В случае нарушения ### защиты персональных данныхобработчик данных сотрудничает с контролером и оказывает ему соответствующую поддержку, с тем чтобы контролер мог выполнить свои обязательства в соответствии со статьями 33 и 34 Регламента (ЕС) 2016/679 или, в соответствующих случаях, в соответствии со статьями 34 и 35 Регламента (ЕС) 2018/1725, при этом обработчик данных учитывает характер обработки и имеющуюся в его распоряжении информацию.

9.1. Нарушение защиты данных, обрабатываемых контролером

В случае нарушения защиты персональных данных, связанного с данными, обрабатываемыми контролером, обработчик оказывает контролеру следующую поддержку:

а) в незамедлительном уведомлении о нарушении защиты персональных данных в компетентный(ые) надзорный(е) орган(ы), после того как Контролеру стало известно о данном нарушении, если это уместно (за исключением случаев, когда нарушение защиты персональных данных, по всей вероятности, не создаст риска для прав и свобод физических лиц);

b) в сборе следующей информации, которая в соответствии со статьёй 33, пунктом 3 Регламента (ЕС) 2016/679 должна быть указана в уведомлении контролера, причём эта информация должна включать, как минимум, следующее: [Выбор: Вариант 1]

• 1) характер персональных данных, насколько это возможно, с указанием категорий и приблизительного числа затронутых лиц, а также категорий и приблизительного числа затронутых записей персональных данных;
• 2) вероятные последствия нарушения защиты персональных данных;
• 3) меры, принятые или предложенные контролером для устранения нарушения защиты персональных данных, а также, при необходимости, меры по смягчению его возможных негативных последствий.

Если и в той мере, в какой не вся эта информация может быть предоставлена одновременно, первоначальное уведомление содержит информацию, доступную на тот момент, а дополнительная информация предоставляется впоследствии без необоснованной задержки, как только она станет доступной;

c) при выполнении обязательства, предусмотренного статьёй 34 Регламента (ЕС) 2016/679 о незамедлительном уведомлении заинтересованного лица о нарушении защиты персональных данных, если такое нарушение, по всей вероятности, повлечет за собой высокий риск для прав и свобод физических лиц. [Выбор: Вариант 1]

9.2. Нарушение защиты данных, обрабатываемых обработчиком

В случае нарушения защиты персональных данных, связанного с данными, обрабатываемыми обработчиком, обработчик незамедлительно сообщает об этом контролеру после того, как ему стало известно о данном нарушении. Данное уведомление должно содержать, как минимум, следующую информацию:

а) описание характера нарушения (по возможности с указанием категорий и приблизительного числа затронутых лиц, а также приблизительного числа затронутых записей);

б) контактные данные контактного лица, у которого можно получить дополнительную информацию о нарушении защиты персональных данных;

c) предполагаемые последствия и принятые или предлагаемые меры по устранению нарушения защиты персональных данных, включая меры по смягчению его возможных негативных последствий.

Если и в той мере, в какой не вся эта информация может быть предоставлена одновременно, первоначальное уведомление содержит информацию, доступную на тот момент, а дополнительная информация предоставляется впоследствии без необоснованной задержки, как только она станет доступной.

Стороны определяют в Приложении III все прочие сведения, которые обработчик данных должен предоставить, чтобы оказать поддержку контролеру в выполнении его обязательств в соответствии со статьями 33 и 34 Регламента (ЕС) 2016/679. [Выбор: Вариант 1]

Приложение I: Перечень сторон

Обработчик данных

Transpareo AG, Tech Cluster Zug, Oberallmendstrasse 18, 6300 Цуг, Швейцария, UID CHE-220.381.580, в лице Гюнтера Райхельта, председателя совета директоров. Контактная информация: privacy@mail.transpareo.com.

Уполномоченный по вопросам защиты данных и представитель в ЕС в соответствии со ст. 27 Общего регламента по защите данных (GDPR): DGD Deutsche Gesellschaft für Datenschutz, проф. д-р h.c. Хейко Джонни Маньеро, Franz-Joseph-Str. 11, 80801 Мюнхен, Германия, info@mail.dg-datenschutz.de.

Компания Transpareo имеет штаб-квартиру в Швейцарии, в отношении которой Комиссией принято решение о достаточности защиты данных (2000/518/ЕС). Данные хранятся в Германии.

Контролеры

Transpareo заключает настоящие положения с каждым контролером в индивидуальном порядке. Контролирующим лицом является либо:

1. клиент, использующий платформу Transpareo в соответствии с Общими условиями (ОУ). Имя, адрес и контактное лицо - это данные, которые он указывает при заключении договора через платформу и обновляет в своей учетной записи; контактным лицом является владелец учетной записи. Условия считаются согласованными с момента заключения настоящего договора (пункт 14 ОУ).
2. поставщик, который через страницу поставщиков направляет запрос своим собственным поставщикам. Ответственным лицом является компания, на которую указывает ссылка, по которой осуществляется перенаправление, как это указано в запросе. Контактным лицом является лицо, осуществляющее перенаправление, с указанием его имени и адреса электронной почты. Поставщик принимает настоящие положения, соглашаясь с ними от имени своей компании при перенаправлении запроса; Transpareo сохраняет принятую версию положений и время перенаправления вместе со ссылкой. Кроме того, к нему применяются Условия использования для поставщиков.

Transpareo назначает уполномоченного по защите данных ответственного лица, как только последнее его укажет.

Общие условия или Условия использования для поставщиков в каждом конкретном случае являются основным договором. Условия заключаются в электронной форме (ст. 28, п. 9 Общего регламента по защите данных); датой присоединения считается момент заключения.

Приложение III: Технические и организационные меры

Шифрование и псевдонимизация

• Все соединения шифруются с помощью протокола TLS.
• Учетные данные и другая конфиденциальная информация (PIN-коды, ключи для одноразовых кодов, учетные данные SMTP, ключи API) хранятся в базе данных в зашифрованном виде с использованием алгоритма AES-256-GCM, причем для каждой рабочей области используется отдельный ключ.
• Резервные копии хранятся в зашифрованном виде.
• В статистике посещений IP-адреса сохраняются исключительно в виде хеш-значений с использованием секретного ключа. Запросы к странице поставщика в эту статистику не попадают.

Разделение

• У каждого клиента имеется собственная база данных.

Физическая безопасность

• Серверы и хранилища данных размещены в центрах обработки данных компании Hetzner Online GmbH в Фалькенштайне (Германия), сертифицированных по стандарту ISO 27001.

Идентификация и авторизация

• Пароли хранятся исключительно в виде хешей bcrypt.
• Двухфакторная авторизация с использованием одноразового кода или ключа безопасности доступна всем пользователям; заказчик может потребовать её применения для своей рабочей области.
• Сеанс заканчивается по истечении периода бездействия, который устанавливает заказчик (по умолчанию - восемь часов).
• В рабочей области действуют роли и права доступа, назначаемые клиентом.
• Сотрудники Transpareo открывают рабочую область исключительно посредством входа в систему от имени клиента, что фиксируется в журнале платформы и в журнале безопасности рабочей области.
• Страница поставщика: ссылка содержит случайный ключ из 16 символов (80 бит); без ввода PIN-кода страница не отображает никаких данных из набора. После пяти неверных вводов PIN-кода ссылка блокируется на 15 минут. Страница принимает не более 120 запросов в минуту с каждого IP-адреса. При разблокировке сеансу присваивается новый идентификатор. Страница заблокирована для поисковых систем и не передает свой адрес сторонним сайтам.

Ведение журналов

• Изменения в записях данных и действия на странице поставщика регистрируются с указанием времени, лица, совершившего действие, и IP-адреса и хранятся в течение пяти лет; данные о входе в систему и другие события, связанные с безопасностью, хранятся в течение одного года.
• Серверные журналы удаляются через 14 дней.

Целостность

• Изображения поставщиков хранятся без метаданных в защищённой зоне за пределами общедоступного хранилища до тех пор, пока их не примет проверка. Ответ изменяет запись только после завершения проверки.
• Опубликованные версии паролей имеют криптографическую подпись.

Доступность и восстановление

• Каждые четыре часа база данных и файлы каждой активной рабочей области резервируются, шифруются и хранятся отдельно от серверов в объектном хранилище на территории Германии. Локальные копии удаляются через четыре дня. Резервные копии в объектном хранилище хранятся в течение 90 дней, после чего окончательно удаляются в течение следующих 30 дней.
• Сервисы и серверы находятся под постоянным мониторингом; обновления безопасности устанавливаются на регулярной основе.
• Компания Transpareo регулярно проверяет эти меры и адаптирует их в соответствии с современным уровнем техники.

Поддержка ответственного лица (пункты 8 и 9)

• Клиент может просматривать, исправлять и удалять данные своей рабочей области на платформе. Поставщик видит ответы на свои запросы о передаче данных на странице поставщиков и может отозвать любую переданную ссылку.
• Запросы заинтересованных лиц, поступающие в Transpareo, незамедлительно перенаправляются компанией Transpareo ответственному лицу.
• Уведомления в соответствии с положениями пунктов 7.7 и 9.2 направляются по электронной почте владельцу учетной записи клиента, а также на адрес электронной почты, указанный поставщиком при передаче данных. Контактным лицом в соответствии с пунктом 9.2, подпункт b, является privacy@mail.transpareo.com.
• В уведомлении в соответствии с пунктом 9.2 дополнительно указываются время совершения нарушения и его обнаружения, а также затронутые рабочие области или ссылки.

Швейцарское дополнение

Настоящее дополнение представляет собой дополнительное положение в соответствии с пунктом 2 подпунктом b. В той мере, в какой обработка данных регулируется Федеральным законом Швейцарии о защите данных (DSG):

1. ссылки на Регламент (ЕС) 2016/679 одновременно считаются ссылками на соответствующие положения DSG, а именно: ст. 28 GDPR - на ст. 9 DSG, ст. 32 - на ст. 8, статьи 33 и 34 - на статью 24, статьи 35 и 36 - на статьи 22 и 23, глава V - на статьи 16-18, права заинтересованных лиц - на статьи 25-32 Закона о защите данных (DSG), а конфиденциальные данные, указанные в пункте 7.5, - на персональные данные, требующие особой защиты, в соответствии со статьёй 5, буква c Закона о защите данных (DSG);
2. компетентным надзорным органом является Федеральный уполномоченный по вопросам защиты данных и свободы информации (EDÖB); компетенция надзорных органов в соответствии с Общим регламентом по защите данных (GDPR) остается неизменной;
3. правом государства-члена считается также швейцарское право.

По состоянию на 8 октября 2026 года