Соглашение об обработке данных

1. Введение и область применения

Настоящее Соглашение об обработке данных (далее «DPA») является частью Соглашения об обслуживании между TR7 Ltd (далее «TR7», «Обработчик») и клиентом (далее «Клиент», «Контролёр»). Настоящее DPA устанавливает условия, на которых TR7 обрабатывает персональные данные от имени Клиента в соответствии с Общим регламентом по защите данных Соединённого Королевства (UK GDPR), Общим регламентом по защите данных Европейского Союза (EU GDPR 2016/679) и Data Protection Act 2018.

2. Определения

В настоящем DPA термины «персональные данные», «субъект данных», «обработка», «контролёр», «обработчик», «субобработчик» и «надзорный орган» имеют значения, присвоенные им в UK GDPR и EU GDPR. «Законы о защите данных» означает UK GDPR, EU GDPR, Data Protection Act 2018 и любое применимое национальное законодательство, вносящее изменения, с учётом поправок, вносимых время от времени.

3. Роли и обязанности

Клиент выступает в качестве Контролёра данных и определяет цели и средства обработки персональных данных. TR7 выступает в качестве Обработчика данных и обрабатывает персональные данные исключительно от имени и в соответствии с документированными инструкциями Клиента. TR7 не обрабатывает персональные данные для каких-либо целей, кроме указанных Клиентом, если только это не требуется применимым законодательством, и в этом случае TR7 информирует Клиента до начала обработки (если это не запрещено законом).

4. Категории данных

В рамках настоящего DPA могут обрабатываться следующие категории персональных данных:

Субъекты данных: Сотрудники, подрядчики, конечные пользователи и авторизованные контактные лица Клиента.

Категории персональных данных:
• Контактная информация (имя, адрес электронной почты, номер телефона, должность)
• Учётные данные (имена пользователей, зашифрованные пароли)
• Журналы доступа к системе и IP-адреса
• Сообщения технической поддержки и содержание заявок
• Метаданные конфигурации, связанные с именованными пользователями

Специальные категории: TR7 не обрабатывает намеренно специальные категории персональных данных (например, данные о здоровье, биометрические данные). Клиент не должен передавать TR7 данные специальных категорий без предварительного письменного соглашения.

5. Цель и продолжительность обработки

TR7 обрабатывает персональные данные исключительно для следующих целей:

• Предоставление и эксплуатация Программного обеспечения TR7 и связанных услуг
• Оказание технической поддержки и профессиональных услуг
• Управление учётными записями пользователей и контролем доступа
• Формирование аналитики использования и отчётов о производительности (по возможности анонимизированных)
• Соблюдение правовых и нормативных обязательств

Обработка продолжается в течение действия Соглашения об обслуживании и прекращается при его расторжении с учётом Раздела 10 (Хранение и удаление данных).

6. Меры безопасности

TR7 внедряет и поддерживает надлежащие технические и организационные меры для защиты персональных данных, включая, помимо прочего:

• Шифрование: Данные при передаче шифруются с использованием TLS 1.2 или выше. Данные в состоянии покоя шифруются с использованием AES-256 или эквивалента.
• Контроль доступа: Ролевое управление доступом (RBAC) с принципами минимальных привилегий. Многофакторная аутентификация (MFA) для всех сотрудников TR7, имеющих доступ к данным Клиента.
• Сетевая безопасность: Защита межсетевым экраном, системы обнаружения вторжений и сегментация сети для изоляции сред Клиента.
• Мониторинг: Непрерывный мониторинг безопасности, анализ журналов и автоматические оповещения о подозрительных действиях.
• Персонал: Все сотрудники TR7, имеющие доступ к персональным данным, связаны обязательствами конфиденциальности и проходят регулярное обучение по защите данных.
• Физическая безопасность: Дата-центры, используемые TR7, обеспечивают отраслевые стандарты физической безопасности, включая круглосуточное видеонаблюдение, биометрический доступ и контроль окружающей среды.
• Реагирование на инциденты: Документированные процедуры реагирования на инциденты с определёнными ролями, протоколами связи и процессами анализа после инцидента.
• Непрерывность бизнеса: Регулярное резервное копирование, процедуры аварийного восстановления и меры обеспечения избыточности для гарантирования доступности данных.

7. Субобработчики

Клиент даёт общее письменное разрешение TR7 привлекать субобработчиков для обработки персональных данных при соблюдении следующих условий:

• TR7 ведёт список текущих субобработчиков, доступный по запросу.
• TR7 уведомляет Клиента не менее чем за тридцать (30) дней до привлечения нового субобработчика или замены существующего.
• Клиент может возразить против нового субобработчика в течение четырнадцати (14) дней после уведомления. Если Клиент возражает на разумных основаниях и TR7 не может удовлетворить возражение, любая из сторон может прекратить затронутые услуги.
• TR7 налагает на каждого субобработчика обязательства по защите данных, не менее строгие, чем установленные в настоящем DPA.
• TR7 несёт полную ответственность за действия и бездействие своих субобработчиков.

8. Права субъектов данных

TR7 оказывает Клиенту содействие в ответах на запросы субъектов данных, реализующих свои права в соответствии с Законами о защите данных, включая право на доступ, исправление, удаление, ограничение обработки, переносимость данных и право на возражение. TR7 незамедлительно уведомляет Клиента при получении запроса непосредственно от субъекта данных и не отвечает на такой запрос без предварительных письменных инструкций Клиента, за исключением случаев, предусмотренных законом.

9. Уведомление о нарушении данных

TR7 уведомляет Клиента без неоправданной задержки и в любом случае в течение 72 часов после обнаружения нарушения безопасности персональных данных. Уведомление включает:

• Характер нарушения, включая категории и приблизительное количество затронутых субъектов данных и записей
• Вероятные последствия нарушения
• Меры, принятые или предложенные для устранения нарушения и смягчения его последствий
• Контактные данные ответственного за защиту данных TR7

TR7 сотрудничает с Клиентом и предпринимает все разумные меры для содействия в расследовании, смягчении и устранении нарушения.

10. Хранение и удаление данных

При прекращении действия Соглашения об обслуживании TR7, по выбору Клиента, либо возвращает все персональные данные Клиенту, либо безопасно удаляет все персональные данные в течение девяноста (90) дней, за исключением случаев, когда хранение требуется применимым законодательством. TR7 предоставляет письменное подтверждение удаления по запросу Клиента. Любые персональные данные, хранящиеся в целях соблюдения правовых требований, продолжают защищаться в соответствии с настоящим DPA.

11. Международная передача данных

TR7 не передаёт персональные данные за пределы Соединённого Королевства или Европейского экономического пространства (ЕЭП) без предварительного письменного согласия Клиента и без обеспечения надлежащих гарантий, таких как:

• Стандартные договорные условия (SCCs), утверждённые Управлением Комиссара по информации Великобритании (ICO) или Европейской комиссией
• Решение о достаточности защиты, принятое Государственным секретарём Великобритании или Европейской комиссией
• Обязательные корпоративные правила, утверждённые соответствующим надзорным органом

TR7 проводит оценку воздействия передачи данных, когда это необходимо, и реализует дополнительные меры для обеспечения по существу эквивалентного уровня защиты данных.

12. Аудиты и проверки

TR7 предоставляет Клиенту всю информацию, необходимую для подтверждения соответствия настоящему DPA, и допускает и содействует проведению аудитов, включая проверки, осуществляемые Клиентом или независимым аудитором, назначенным Клиентом. Такие аудиты проводятся с разумным предварительным уведомлением (не менее тридцати дней), в обычное рабочее время и не должны необоснованно нарушать деятельность TR7. Расходы на аудит несёт Клиент, за исключением случаев, когда аудит выявляет существенное несоблюдение со стороны TR7.

13. Оценка воздействия на защиту данных

TR7 оказывает Клиенту разумное содействие в проведении Оценок воздействия на защиту данных (DPIA), когда это требуется Законами о защите данных, а также в любых предварительных консультациях с соответствующим надзорным органом.

14. Ответственность

Ответственность каждой стороны по настоящему DPA подчиняется ограничениям, установленным в Соглашении об обслуживании и Лицензионном соглашении с конечным пользователем (EULA). Каждая сторона несёт ответственность за ущерб, причинённый обработкой, нарушающей Законы о защите данных, в соответствии с положениями об ответственности UK GDPR и EU GDPR.

15. Контакт

По вопросам защиты данных:

TR7 Ltd
Контактное лицо по защите данных
EAGLE TOWER, Montpellier Drive, Office Suite 120
Cheltenham GL50 1TA, United Kingdom
Email: privacy@tr7.com

UK Information Commissioner's Office (ICO): ico.org.uk