Соглашение Zer.lv об обработке данных

1. Статус, стороны и приоритет

DPA заключается электронно между клиентом Zer.lv, указанным в аккаунте, и SIA FIXLAB, рег. № 40203523267, юридический адрес Liepu aleja 38, Babīte, Babītes pag., Mārupes nov., LV-2101, Latvija. Принятие условий Zer.lv включает принятие настоящего DPA.

В отношении персональных данных рабочей области клиент является контролёром, а SIA FIXLAB — обработчиком. Если клиент сам является обработчиком, он подтверждает, что соответствующий контролёр разрешил поручения и привлечение SIA FIXLAB и его субобработчиков. При противоречии DPA имеет приоритет над условиями только в вопросах обработки данных по поручению клиента.

2. Предмет и срок

SIA FIXLAB обрабатывает персональные данные рабочей области в течение подписки и последующего периода возврата и удаления исключительно для предоставления, защиты, обслуживания, поддержки, резервирования и восстановления Zer.lv. DPA действует, пока SIA FIXLAB не удалит или не вернёт все данные рабочей области согласно разделу 16 настоящего DPA «Возврат и удаление».

3. Документированные поручения

Условия, настоящее DPA, настроенные клиентом параметры, разрешённое использование Zer.lv и принятые SIA FIXLAB письменные запросы образуют документированные поручения. SIA FIXLAB обрабатывает и передаёт данные рабочей области только по этим поручениям, если право ЕС или Латвии не требует иного. В таком случае SIA FIXLAB сообщает клиенту до обработки, если уведомление не запрещено законом.

Поручение за пределами обычного сервиса Zer.lv требует предварительного письменного согласования и может учитывать разумные технические ограничения, срок и стоимость исполнения. SIA FIXLAB незамедлительно сообщает, если поручение, по его мнению, нарушает применимое право о защите данных, и может приостановить его до выяснения обстоятельств.

4. Цели, характер и операции обработки

Цели включают работу CRM; аутентификацию и управление доступом; ведение клиентов, устройств, заказов, услуг, склада, продаж, финансов, сотрудников и отчётов; создание документов; хранение комментариев и вложений; доставку необязательных уведомлений; поддержку; журналы безопасности; резервирование и восстановление.

Операции могут включать получение, сбор, запись, организацию, структурирование, хранение, извлечение, просмотр, обновление, передачу, ограничение, резервирование, восстановление, экспорт по запросу клиента и удаление. SIA FIXLAB не продаёт данные рабочей области и не использует их для рекламы третьих лиц.

5. Категории субъектов данных

Субъектами могут быть действующие и потенциальные клиенты заказчика; владельцы, сотрудники и подрядчики заказчика; поставщики и их представители; плательщики, контактные лица и иные физические лица, чьи данные клиент законно вносит в рабочую область.

6. Категории персональных данных

Данные могут включать имя и фамилию, должность, сведения о компании, адрес, телефон и email; историю клиента; тип, бренд, модель, IMEI и серийный номер устройства; заказы, заявленные дефекты, диагностику, результаты ремонта, услуги, товары, комментарии, вложения и переписку; назначения, права и расчёты вознаграждения сотрудников; продажи, суммы операций и способ оплаты без реквизитов платёжных карт; IP-адрес, сведения о сессии, устройстве, приложении, безопасности и аудите; а также иной текст или файлы, намеренно загруженные клиентом.

7. Ограниченные данные

Zer.lv не предназначен для реквизитов платёжных карт, паролей аккаунтов, секретов аутентификации, обширных сведений из государственных удостоверений, данных о судимости и правонарушениях либо специальных категорий персональных данных. Клиент не должен вносить их, кроме случаев, когда это строго необходимо, законно, соразмерно и защищено надлежащими мерами, согласованными с SIA FIXLAB. Клиент отвечает за то, чтобы не помещать ненужную конфиденциальную информацию в свободные поля и вложения.

8. Обязанности клиента

Клиент обеспечивает правовое основание и прозрачное информирование, исполняет запросы субъектов, соблюдает минимизацию и сроки хранения, поддерживает разумную точность данных, допускает только уполномоченных лиц, правильно настраивает роли, защищает учётные данные и устройства пользователей и обеспечивает законность поручений и экспорта. Клиент без неоправданной задержки сообщает SIA FIXLAB о предполагаемом несанкционированном доступе к рабочей области.

9. Обязанности обработчика и конфиденциальность

SIA FIXLAB обрабатывает данные рабочей области только в объёме настоящего DPA и предоставляет доступ исключительно уполномоченным лицам, которым он необходим для поддержки, безопасности, восстановления, обслуживания, расследования злоупотреблений или соблюдения закона. Эти лица связаны договорной или установленной законом обязанностью конфиденциальности. Доступ администрации платформы и поддержки ограничивается и журналируется.

10. Технические и организационные меры безопасности

С учётом уровня техники, стоимости внедрения, контекста обработки и рисков SIA FIXLAB поддерживает логическое разделение рабочих областей компаний; ролевой доступ и принцип минимально необходимых прав; защиту паролей, аутентификации и сессий; ограничения частоты и проверку происхождения запросов; шифрование при передаче и защиту вложений и резервных копий при хранении; закрытое файловое хранилище с контролем доступа, размера, типа и вредоносного содержимого; журналы аудита и входов; ограниченный доступ к серверам и секретам; обновления безопасности и проверку зависимостей; защищённые циклические резервные копии и проверки восстановления; выявление, локализацию, устранение и разбор инцидентов.

Меры могут обновляться вслед за развитием технологий при условии, что общий уровень защиты существенно не снижается. Сведения о безопасности, публикация которых создала бы значимый риск для Zer.lv или других клиентов, могут предоставляться конфиденциально, а не публично.

11. Запросы субъектов и помощь в соблюдении

Если субъект напрямую обращается к SIA FIXLAB по поводу данных рабочей области, SIA FIXLAB без задержки передаёт запрос клиенту и не отвечает по существу без разрешения клиента, кроме требований закона. С учётом характера обработки и доступной информации SIA FIXLAB разумно помогает клиенту с запросами на доступ, исправление, удаление, ограничение, переносимость и возражение, а также с обязанностями по статьям 32–36 GDPR, включая оценку воздействия на защиту данных и консультации с надзорным органом.

12. Нарушения защиты персональных данных

Узнав о подтверждённом нарушении, затрагивающем данные рабочей области, SIA FIXLAB без неоправданной задержки уведомляет клиента и принимает разумные меры по локализации, расследованию и устранению. По мере поступления сведений уведомление описывает характер нарушения, затронутые данные и приблизительные категории или количество, если их разумно возможно определить, контактное лицо, вероятные последствия и принятые либо планируемые меры. Информация может предоставляться поэтапно. Уведомление не означает признания вины или ответственности.

13. Запросы государственных органов

SIA FIXLAB сообщает клиенту о юридически обязательном запросе, проверке или расследовании в отношении данных рабочей области, если уведомление не запрещено законом. SIA FIXLAB проверяет правовое основание, ограничивает раскрытие требуемым объёмом и, когда это уместно и юридически возможно, оспаривает незаконный или несоразмерный запрос.

14. Субобработчики

Клиент даёт общее письменное разрешение на перечисленных ниже субобработчиков. SIA FIXLAB возлагает на них обязанности по защите данных, по существу равнозначные настоящему DPA, и сохраняет ответственность за исполнение переданных им обязанностей по обработке.

Hetzner Online GmbH, Германия/ЕЭЗ — инфраструктурный хостинг, сеть, база рабочей области, закрытое файловое хранилище и защищённые резервные копии. Google Cloud EMEA Limited, Ирландия — Firebase Cloud Messaging только при включённых Android push-уведомлениях; обработка ограничивается push-токеном устройства и метаданными уведомления или события заказа, необходимыми для доставки.

Когда это разумно возможно, SIA FIXLAB не менее чем за 14 дней до начала обработки новым существенным субобработчиком рабочей области сообщает на email аккаунта его название, местонахождение и функции. Клиент может в этот срок возразить по обоснованным причинам защиты данных. Стороны ищут практическое решение; если его нет, SIA FIXLAB может отключить затронутую необязательную функцию либо клиент может прекратить затронутую услугу до вступления изменения в силу.

15. Международная передача

Основной хостинг рабочих областей Zer.lv находится в ЕЭЗ. Если субобработчик или привлечённый им субобработчик передаёт данные рабочей области за пределы ЕЭЗ, SIA FIXLAB обеспечивает соблюдение главы V GDPR посредством применимого решения об адекватности, утверждённых стандартных договорных положений и необходимых дополнительных мер либо другого законного механизма. Сведения о применяемом механизме можно запросить по адресу fixlablv@gmail.com.

16. Возврат и удаление

Во время активной подписки владелец может использовать доступные функции экспорта. По окончании обработки SIA FIXLAB по выбору клиента возвращает доступные данные рабочей области в поддерживаемом формате экспорта либо удаляет их, если право ЕС или Латвии не требует хранения. Активные данные обычно удаляются в течение 30 дней после проверенного запроса или окончания обработки; остатки шифрованных резервных копий удаляются циклом ротации в течение 30 дней. Данные, законно сохраняемые для бухгалтерского учёта, безопасности, предотвращения мошенничества, спора или юридического требования, изолируются и используются только для соответствующей цели.

17. Подтверждение соблюдения и аудит

SIA FIXLAB предоставляет сведения, разумно необходимые для подтверждения соблюдения статьи 28 GDPR. Сначала используются документы и дистанционные доказательства. С соблюдением конфиденциальности и безопасности клиент может провести соразмерный аудит не чаще одного раза за 12 месяцев, письменно уведомив не менее чем за 30 дней, в рабочее время и без нарушения работы других клиентов. Квалифицированный независимый аудитор не должен быть конкурентом и обязан соблюдать конфиденциальность. Разумные расходы несёт клиент, кроме случая выявления существенного нарушения SIA FIXLAB. Ограничения частоты и срока уведомления не действуют после существенного инцидента, при достоверных признаках несоблюдения или по требованию компетентного органа.

18. Прекращение и контакт

Если SIA FIXLAB не может соблюдать DPA, он уведомляет клиента и может приостановить затронутую обработку до восстановления соответствия. Положения условий Zer.lv об ответственности и применимом праве действуют без ограничения прав и обязанностей, которые нельзя ограничить законом. Уведомления по вопросам конфиденциальности и DPA направляются на fixlablv@gmail.com.