Договор об обработке данных

Стороны

Контролёр данных ("Заказчик")

Обработчик ("Alvoru")

Далее совместно: "Стороны".

Принимая во внимание, что

• Стороны заключили основной договор, в рамках которого Alvoru как Обработчик обрабатывает персональные данные от имени Заказчика (далее: "Основной договор");
• на основании статьи 28 пункт 3 GDPR требуется письменное соглашение об обработке данных, в котором закреплены договорённости о том, каким образом Обработчик обрабатывает персональные данные;
• это соглашение об обработке данных (далее: "DPA") является неотъемлемой частью Основного договора.

Статья 1 — Определения

Термины, написанные в этом DPA с заглавной буквы, имеют значение, придаваемое им в GDPR, дополненное определениями из Общих условий Alvoru.

Статья 2 — Предмет и срок

2.1 Настоящий DPA регулирует обработку персональных данных Alvoru по поручению Заказчика в рамках Основного договора.

2.2 Настоящий DPA вступает в силу с даты начала Основного договора и прекращается в силу закона при расторжении Основного договора, без ущерба для тех положений, которые по своей природе призваны продолжать действовать.

Статья 3 — Характер и цель обработки

3.1 Характер и цель обработки состоят в предоставлении Услуги, описанной в Основном договоре (AI-обслуживание клиентов, включая чат-бот, электронную почту и календарь).

3.2 Alvoru обрабатывает персональные данные исключительно по документированному указанию Заказчика, за исключением иных законодательных обязательств (ст. 28 пункт 3 подпункт a GDPR). В последнем случае Alvoru уведомляет Заказчика об обработке, за исключением случаев, когда этот закон запрещает это по веским причинам.

Статья 4 — Вид персональных данных и категории субъектов данных

Особые категории персональных данных (ст. 9 GDPR) и данные о судимости (ст. 10 GDPR) не обрабатываются, если иное не согласовано дополнительно в письменной форме.

Статья 5 — Обязательства Обработчика

5.1 Alvoru обрабатывает персональные данные исключительно в целях, закреплённых в Основном договоре и настоящем DPA, и по письменному указанию Заказчика.

5.2 Alvoru гарантирует, что лица, обрабатывающие персональные данные, связаны обязательством о конфиденциальности, будь то в силу закона или в силу договора.

5.3 Alvoru оказывает Заказчику, с учётом характера обработки, разумную помощь в удовлетворении запросов субъектов данных при осуществлении их прав на основании GDPR.

5.4 Alvoru предоставляет Заказчику всю информацию, необходимую для подтверждения соблюдения статьи 28 GDPR.

5.5 Запрет на обучение AI. Alvoru никогда не будет использовать персональные данные, которые она обрабатывает от имени Контролёра данных, для обучения, тонкой настройки или иного улучшения AI-моделей, а также для разработки собственных или сторонних AI-приложений.

Статья 6 — Меры безопасности (статья 32 GDPR)

Alvoru принимает надлежащие технические и организационные меры для обеспечения уровня безопасности, соответствующего риску, включая:

• Шифрование при передаче (TLS 1.2+) и, где применимо, шифрование в состоянии покоя;
• Контроль доступа на основе least privilege; двухфакторная аутентификация для администраторов;
• Файрволы, fail2ban и мониторинг вторжений;
• Ежедневные зашифрованные резервные копии со сроком хранения максимум 90 дней;
• Ограничительные права доступа к файлам (600) для конфигурационных файлов и файлов данных;
• Журналирование и мониторинг доступа к производственным системам;
• Периодическая оценка и актуализация мер безопасности.

Статья 7 — Субобработчики

7.1 Заказчик предоставляет Alvoru общее письменное согласие на привлечение субобработчиков при условии, что Alvoru соблюдает прочие положения настоящей статьи.

7.2 На данный момент привлечены следующие субобработчики:

7.3 Alvoru налагает на субобработчиков те же обязательства по защите данных, что и предусмотренные в настоящем DPA (статья 28, пункт 4 GDPR).

7.4 Alvoru информирует Заказчика не менее чем за 14 дней о замене или добавлении субобработчиков. В течение этого срока Заказчик может подать мотивированное возражение. При обоснованном возражении Заказчик вправе бесплатно расторгнуть Основной договор.

Статья 8 — Передача за пределы ЕЭЗ

Передача персональных данных в страну за пределами Европейского экономического пространства осуществляется исключительно на основании решения об адекватности (ст. 45 GDPR), обязательных корпоративных правил, стандартных договорных положений ЕС (ст. 46, пункт 2, подпункт c GDPR) или иной предусмотренной GDPR гарантии, дополненных дополнительными техническими и организационными мерами там, где это требуется.

Статья 9 — Права субъектов данных

9.1 Alvoru оказывает Заказчику надлежащую поддержку при обработке запросов субъектов данных (доступ, исправление, удаление, ограничение, переносимость, возражение) с помощью технических функций в клиентском портале и, при необходимости, дополнительного содействия.

9.2 Alvoru незамедлительно передаёт Заказчику запросы субъектов данных, поступающие непосредственно в Alvoru.

Статья 10 — Утечки данных

10.1 Alvoru информирует Заказчика незамедлительно и не позднее чем в течение 48 часов после обнаружения нарушения в связи с персональными данными (ст. 33, пункт 2 GDPR), чтобы Заказчик мог своевременно выполнить свою обязанность по уведомлению в течение 72 часов в Autoriteit Persoonsgegevens.

10.2 Уведомление в любом случае содержит: характер нарушения, категории и количество затронутых субъектов, категории и количество затронутых записей, вероятные последствия и принятые или предлагаемые меры.

10.3 Alvoru оказывает Заказчику надлежащее содействие при уведомлении в Autoriteit Persoonsgegevens и, где это уместно, субъектов данных.

Статья 11 — Аудит

11.1 Заказчик может один раз в календарный год, после предварительного письменного уведомления не менее чем за 30 дней, за свой счёт провести (или поручить провести) аудит соблюдения Alvoru настоящего DPA.

11.2 Аудит проводится независимым, связанным обязательством конфиденциальности аудитором, в рабочее время и таким образом, чтобы не нарушать нормальную деятельность Alvoru.

11.3 Вместо аудита на месте Alvoru может ограничиться актуальным отчётом независимой третьей стороны (например, ISO 27001 или SOC 2), при условии что этот отчёт предоставляет разумно достаточную уверенность.

Статья 12 — Расторжение и удаление данных

12.1 После расторжения Основного договора Alvoru по выбору Заказчика и по первому письменному требованию удалит или вернёт Заказчику все персональные данные в соответствии со статьёй 28, пункт 3, подпункт g GDPR.

12.2 Такое требование может быть подано в течение 60 дней после расторжения. При его отсутствии данные автоматически удаляются через 60 дней.

12.3 Офлайн-резервные копии удаляются в соответствии с обычным графиком ротации не позднее чем через 90 дней после расторжения.

12.4 Данные, которые Alvoru обязана хранить в силу закона, хранятся в течение установленного законом срока.

Статья 13 — Ответственность

13.1 Ответственность Alvoru по настоящему DPA включена в положения об ответственности Общих условий, относящихся к Основному договору, и ограничена ими.

13.2 Императивные положения GDPR остаются в силе.

Статья 13a — Реестр операций обработки

Alvoru ведёт реестр операций обработки в соответствии со статьёй 30 GDPR. Этот реестр в любом случае содержит: наименование и контактные данные Alvoru как обработчика, категории операций обработки, выполняемых от имени Контролёров данных, передачи в третьи страны и применяемые гарантии, а также общее описание технических и организационных мер безопасности. Реестр доступен по запросу для Autoriteit Persoonsgegevens.

Статья 14 — Применимое право и споры

К настоящему DPA применяется право Нидерландов. Споры передаются в суд Оверэйссел, отделение Алмело.

Подписание

Отправьте подписанную версию (отсканированную или подписанную цифровой подписью) на info@alvoru.com. Alvoru вернёт совместно подписанную копию.