Дополнение об обработке персональных данных (DPA) — iFurn.pro

Настоящее Дополнение об обработке персональных данных (далее — «DPA») применяется, когда Исполнитель (платформа iFurn.pro, далее — «Сервис») обрабатывает персональные данные от имени Пользователя при предоставлении Сервиса и когда к такой обработке применяется Общий регламент ЕС о защите данных 2016/679 (далее — «GDPR») или иное применимое законодательство о защите данных.

DPA является частью Договора публичной оферты и дополняет Политику конфиденциальности. В случае противоречия относительно обработки персональных данных, на которую распространяется GDPR, применяется настоящее DPA; вопросы ответственности регулируются Договором публичной оферты. Термины, не определённые здесь, имеют значение, придаваемое GDPR.

1. Роли сторон

В отношении персональных данных, которые Пользователь вносит или загружает в Сервис (далее — «Данные Пользователя»), Пользователь является контролёром (владельцем), а Исполнитель — процессором (распорядителем), действующим от имени Пользователя. В отношении данных собственной учётной записи Пользователя и технических данных Сервиса контролёром выступает Исполнитель (см. Политику конфиденциальности).

2. Предмет и детали обработки

Предмет и срок: предоставление Сервиса в течение срока действия Договора публичной оферты. Характер и цель: обработка, необходимая для работы функций Сервиса по указаниям Пользователя.

Категории данных: идентификационные и контактные данные, а также иные данные, которые Пользователь вносит в Сервис (в том числе о клиентах, работниках или контрагентах Пользователя). Категории субъектов данных: лица, данные которых Пользователь обрабатывает через Сервис. Операции обработки: сбор, хранение, структурирование, использование, передача в пределах Сервиса и удаление, необходимые для предоставления Сервиса. Права и обязанности Пользователя как контролёра определяются GDPR, настоящим DPA и Договором публичной оферты. Пользователь не должен вносить специальные категории данных, если это не является необходимым и законным.

3. Указания Пользователя

Исполнитель обрабатывает Данные Пользователя только по документированным указаниям Пользователя, включая Договор публичной оферты, Политику конфиденциальности и настройки Сервиса, кроме случаев, когда обработка требуется законодательством; в таком случае Исполнитель до начала обработки уведомляет Пользователя о соответствующем юридическом требовании, если только закон не запрещает такое уведомление. Если, по мнению Исполнителя, указание нарушает законодательство о защите данных, Исполнитель незамедлительно уведомляет об этом Пользователя.

4. Конфиденциальность

Исполнитель обеспечивает, чтобы лица, уполномоченные обрабатывать Данные Пользователя, были обязаны соблюдать конфиденциальность.

5. Безопасность

Исполнитель принимает надлежащие технические и организационные меры с учётом состояния техники, затрат, характера, объёма и рисков обработки, как описано в Политике безопасности. Никакие меры не гарантируют абсолютной безопасности; Исполнитель не гарантирует полной защищённости от всех возможных угроз.

6. Субпроцессоры

Пользователь предоставляет общее разрешение на привлечение субпроцессоров (в частности, хостинг-провайдеров, дата-центров, поставщиков облачной инфраструктуры, электронной почты, аналитических и платёжных сервисов). Актуальный перечень субпроцессоров постоянно доступен Пользователю (в частности, публикуется Исполнителем). О планируемом добавлении или замене субпроцессора Исполнитель заблаговременно уведомляет Пользователя (в том числе путём обновления перечня), предоставляя разумную возможность заявить возражение.

Пользователь может заявить обоснованное соображениями защиты данных возражение в отношении нового субпроцессора в течение разумного срока до начала соответствующей обработки. Если возражение не удаётся урегулировать, Пользователь вправе прекратить использование соответствующей части Сервиса. Исполнитель возлагает на субпроцессоров соответствующие обязанности по защите персональных данных в случаях и объёме, предусмотренных применимым законодательством. Ответственность Исполнителя за действия или бездействие субпроцессоров определяется применимым законодательством и Договором публичной оферты. Имущественная (денежная) ответственность Исполнителя ограничивается в соответствии с Договором публичной оферты в части, в которой такое ограничение допускается императивными нормами применимого законодательства.

7. Содействие Пользователю

С учётом характера обработки и насколько это технически возможно, Исполнитель оказывает Пользователю разумное содействие: доступными в Сервисе средствами — в отношении запросов субъектов данных; а также в отношении обеспечения безопасности, уведомления об инцидентах и оценки воздействия (DPIA) и консультаций с надзорным органом. Содействие, выходящее за пределы стандартной функциональности Сервиса, оказывается за обоснованными расходами Пользователя. Обработку запросов субъектов данных в отношении Данных Пользователя обеспечивает сам Пользователь как контролёр.

8. Инциденты с персональными данными

Исполнитель уведомляет Пользователя об инциденте с персональными данными, касающемся Данных Пользователя, без неоправданной задержки после того, как ему стало о нём известно, и предоставляет доступную на тот момент информацию. Уведомление надзорного органа и субъектов данных (при необходимости) осуществляет Пользователь как контролёр.

9. Удаление или возврат данных

После прекращения предоставления Сервиса Исполнитель по выбору Пользователя удаляет или возвращает Данные Пользователя доступными средствами, кроме случаев, когда их дальнейшее хранение требуется законодательством. Пользователь самостоятельно заблаговременно выгружает нужные ему данные; техническое резервное копирование удаляется в соответствии с обычными циклами.

10. Аудит

Исполнитель по обоснованному письменному запросу Пользователя предоставляет информацию, необходимую для подтверждения соблюдения настоящего DPA, — прежде всего в форме имеющейся документации, сертификатов, отчётов о проверках или письменных ответов; как правило, этого достаточно для подтверждения соответствия. Если предоставленных сведений объективно недостаточно или имеются обоснованные сомнения в соблюдении настоящего DPA или GDPR, Исполнитель допускает аудит или инспекцию и содействует ей. Организационные детали такого аудита (объём, время и порядок) предварительно согласовываются письменно; такое согласование не может быть безосновательно задержано или использовано для отказа в аудите. Плановые аудиты проводятся, как правило, не чаще одного раза в год, в рабочее время, с разумным заблаговременным уведомлением, с соблюдением конфиденциальности, без чрезмерного вмешательства в работу Сервиса и за обоснованными документально подтверждёнными расходами Пользователя; это ограничение по периодичности не применяется в случае инцидента с персональными данными, обоснованных оснований полагать о нарушении, существенного изменения обработки или требования надзорного органа. Расходы на аудит не возлагаются на Пользователя в той части, в которой аудит выявил существенное нарушение со стороны Исполнителя. В отношении субпроцессоров (в частности, дата-центров и облачных провайдеров) прямой физический доступ может быть ограничен условиями соответствующих поставщиков; в таком случае Исполнитель обеспечивает эквивалентные права аудита в договорах с субпроцессорами и предоставляет имеющиеся отчёты, сертификаты и иное разумное содействие. Ограничения по периодичности и порядку не применяются в той части, в которой иное прямо предписано надзорным органом на основании закона.

11. Международные передачи

Если обработка предполагает передачу персональных данных за пределы Европейской экономической зоны (ЕЭЗ), такая передача осуществляется при наличии правового основания в соответствии с GDPR (в том числе решения об адекватности, стандартных договорных положений или иных надлежащих гарантий).

12. Ответственность

Настоящее DPA не расширяет и не увеличивает ответственность Исполнителя по сравнению с Договором публичной оферты. Совокупная ответственность Исполнителя, связанная с обработкой персональных данных, ограничивается в соответствии с Договором публичной оферты. Исполнитель не отвечает за указания Пользователя, за законность Данных Пользователя и за неисполнение Пользователем его обязанностей как контролёра. Ограничения ответственности не применяются в той части, в которой они запрещены императивными нормами законодательства.

13. Соотношение документов

В части обработки персональных данных, на которую распространяется GDPR, настоящее DPA имеет приоритет над Политикой конфиденциальности. В отношении ответственности приоритет имеет Договор публичной оферты. Во всём остальном применяются Договор публичной оферты и Политика конфиденциальности. Все положения применяются с учётом императивных норм законодательства.