Договор об обработке данных

Стороны и предмет

Договор входит в Условия подписки и принимается Клиентом при регистрации. Клиент — оператор (responsable), Vadim Savchuk, NIF [NIF будет указан] («PafPaf»), — обработчик (encargado). Предмет — обработка персональных данных, необходимая для оказания сервиса PafPaf.

Срок

Действует, пока действует договор на сервис, и затем на время, нужное для возврата и удаления данных по разделу об окончании обработки.

Характер и цель обработки

Хранение, организация, просмотр, изменение, выгрузка и удаление данных для учёта участников, клиентов, посещений, заказов, товаров и сотрудников Клиента, а также отправка от его имени служебных писем сервиса (подтверждение email, вход, приглашения).

Данные и субъекты

• Субъекты: участники, клиенты и сотрудники Клиента, контактные лица.
• Данные: идентификационные и контактные (имя, email, телефон), номер участника или клиента, статус и даты вступления, отметки посещений, заказы, подпись, копии удостоверений личности, если Клиент решит их хранить, и дополнительные поля, которые Клиент настроит сам.
• Какие данные вносить, решает Клиент. Если он обрабатывает данные особых категорий (например, о здоровье), у него должно быть правовое основание и оценка рисков; PafPaf применяет меры этого договора.

Обязанности PafPaf

• Обрабатывать данные только по документированным инструкциям Клиента — этому договору и действиям Клиента в приложении, в том числе в части международной передачи. Если инструкция противоречит закону, PafPaf сразу сообщит об этом.
• Обеспечить, чтобы допущенные к данным лица были связаны обязательством конфиденциальности.
• Применять меры безопасности по ст. 32 GDPR: шифрование соединений, хранение паролей в виде необратимого хэша, разделение данных клиентов, доступ по минимально необходимым правам, резервное копирование и журналирование технических действий.
• Помогать Клиенту отвечать на запросы субъектов данных и выполнять ст. 32–36 GDPR (безопасность, уведомление об утечках, оценка воздействия, предварительные консультации) с учётом информации, которой располагает PafPaf.
• Сообщать Клиенту об утечке, затрагивающей его данные, без неоправданной задержки и в любом случае не позднее 48 часов с момента, когда о ней стало известно, со всей имеющейся информацией, чтобы Клиент мог уведомить надзорный орган в течение 72 часов.
• Предоставлять информацию, подтверждающую соблюдение договора, и допускать аудит с разумным предупреждением и без доступа к данным других клиентов.
• Вести реестр обработок, которые PafPaf выполняет как обработчик.

Субобработчики

Клиент даёт PafPaf общее разрешение привлекать субобработчиков со страницы Субобработчики. Об изменениях в списке PafPaf предупреждает не менее чем за 30 дней; Клиент может обоснованно возразить и, если договориться не удалось, отменить подписку без штрафов.

PafPaf договором возлагает на каждого субобработчика те же обязанности по защите данных и отвечает перед Клиентом за их выполнение.

Международная передача

Данные хранятся на серверах в Европейском союзе. Если субобработчик входит в группу со штаб-квартирой за пределами ЕЭЗ, передача основана на решении о достаточности защиты, например Data Privacy Framework ЕС–США, или на стандартных договорных условиях Еврокомиссии.

Запросы органов власти

Если орган власти запрашивает доступ к данным Клиента, PafPaf проверит правовое основание запроса и, когда нужно, наличие судебного решения, передаст только строго необходимое и уведомит Клиента, если закон это не запрещает.

Обязанности Клиента

Иметь правовое основание для каждой обработки, информировать субъектов данных, вносить только необходимые данные, настраивать доступ своих сотрудников и проводить оценку воздействия, когда она обязательна.

Окончание обработки

После окончания сервиса PafPaf 30 дней держит данные доступными для выгрузки Клиентом, затем удаляет их вместе с копиями, если закон не требует хранения. Резервные копии удаляются по завершении цикла их ротации.