1. Предмет и срок действия
Настоящее Соглашение об обработке данных («DPA») является неотъемлемой частью основного соглашения (Рамочного соглашения об оказании услуг, Соглашения о подписке SaaS или Технического задания) между Клиентом («Контролер») и CM Apps («Обработчик») и действует в течение срока действия основного соглашения.
Предмет, характер, цель обработки, категории персональных данных и категории субъектов данных определены в Приложении 1.
2. Обработка по указаниям
CM Apps обрабатывает персональные данные только по документированным указаниям Контролера и в целях оказания услуги по основному соглашению. Если CM Apps считает, что указание нарушает применимое законодательство, она незамедлительно информирует об этом Контролера.
Если применимое законодательство напрямую обязывает CM Apps обрабатывать данные, Контролер информируется об этом заранее, за исключением случаев, когда такое уведомление запрещено.
3. Конфиденциальность и персонал
Персонал и подрядчики CM Apps, имеющие доступ к персональным данным, связаны обязательствами о конфиденциальности и проходят обучение по защите данных. Доступ ограничивается по принципу минимальных привилегий в соответствии с требованиями роли.
4. Меры безопасности
В соответствии со ст. 32 GDPR и ст. 12 KVKK CM Apps применяет технические и организационные меры, соразмерные риску: шифрование при передаче и, где это возможно, при хранении, ролевой доступ, многофакторную аутентификацию, журналирование, резервное копирование и аварийное восстановление, а также тестирование безопасности. Краткое описание мер приведено в Приложении 2.
5. Субобработчики
Контролер предоставляет общее разрешение на привлечение субобработчиков, указанных в Списке субобработчиков. CM Apps уведомляет не менее чем за [30] дней до привлечения нового субобработчика; Контролер вправе заявить возражение по обоснованным причинам. Если возражение не может быть урегулировано, затронутая часть услуги может быть прекращена.
CM Apps заключает с субобработчиками письменные соглашения, налагающие обязательства, эквивалентные предусмотренным настоящим DPA, и несет ответственность за исполнение обязательств своими субобработчиками.
6. Содействие в обработке запросов субъектов данных
С учетом характера услуги CM Apps посредством надлежащих технических и организационных мер содействует Контролеру в ответах на запросы субъектов данных (доступ, удаление, переносимость и т. д.). Запросы, полученные CM Apps напрямую, передаются Контролеру без неоправданной задержки.
7. Уведомление об утечке данных
После того как CM Apps стало известно об утечке персональных данных, она информирует Контролера без неоправданной задержки и не позднее чем в течение [48] часов; она предоставляет имеющуюся у нее информацию о характере утечки, затронутых категориях данных и субъектов данных, вероятных последствиях и принятых мерах, а также содействует Контролеру в выполнении его законодательных обязательств по уведомлению.
8. Оценка воздействия и аудиты
CM Apps оказывает Контролеру разумное содействие при проведении оценки воздействия на защиту данных и процедур предварительных консультаций.
Контролер вправе проводить аудит соответствия не более [1] раза в год с предварительным уведомлением не менее чем за [30] дней силами аудитора, связанного обязательствами о конфиденциальности. В первую очередь CM Apps предоставляет имеющиеся у нее отчеты независимых аудитов и сертификаты.
9. Международная передача
Передача за пределы ЕЭЗ или Турции осуществляется только с использованием механизмов, допускаемых применимым законодательством. Для данных из ЕС Стандартные договорные условия Европейской комиссии (2021/914; Модуль 2 и, при необходимости, Модуль 3) включаются в настоящее DPA в качестве Приложения 3; для данных из Турции применяется стандартный договор или решение об адекватности согласно ст. 9 KVKK. Страны передачи указаны в Списке субобработчиков.
10. Возврат и удаление данных по окончании соглашения
В течение [30] дней после окончания оказания услуги Контролер вправе запросить экспорт данных в машиночитаемом формате. По истечении этого срока CM Apps удаляет данные и все их копии в течение [90] дней с учетом законодательных обязательств по хранению и по запросу подтверждает это в письменной форме.
11. Ответственность и приоритет
Ответственность сторон по настоящему DPA подчиняется ограничениям, предусмотренным основным соглашением; императивные нормы законодательства о защите данных остаются в силе. В случае противоречия между настоящим DPA и основным соглашением настоящее DPA имеет приоритет в вопросах, касающихся обработки персональных данных.
Приложение 1: Сведения об обработке
Предмет обработки: [продукт/услуга]. Продолжительность: срок действия основного соглашения. Характер и цель: [хостинг, хранение, обработка, поддержка]. Категории персональных данных: [идентификационные, контактные, данные использования, данные операций]. Категории субъектов данных: [сотрудники, клиенты, конечные пользователи Клиента].
Приложение 2: Технические и организационные меры
[Управление доступом, шифрование, сетевая безопасность, журналирование и мониторинг, резервное копирование, непрерывность бизнеса, управление поставщиками, обучение: заполняется для каждого проекта.]
Приложение 3: Стандартные договорные условия
[Текст SCC, прилагаемый к Имплементационному решению Европейской комиссии 2021/914; выбранный модуль, факультативные положения, компетентный надзорный орган и применимое право указываются в настоящем приложении.]