Настоящее Соглашение об обработке данных («DPA») является неотъемлемой частью Соглашения между ELXAO SASU («Процессор») и клиентом («Контроллер») и реализует статью 28 Регламента (ЕС). 2016/679 («GDPR») и Закон Франции о защите данных (Закон № 78-17 от 6 января 1978 г. с поправками). Оно применяется всякий раз, когда ELXAO обрабатывает персональные данные от имени Контролера в ходе предоставления Услуг.
Определения
Термины «персональные данные», «обработка», «контролер», «обработчик», «субобработчик», «субъект данных», «данные особой категории» и «нарушение персональных данных» имеют значения, указанные в статье 4 GDPR. Условия Соглашения применяются к настоящему DPA, за исключением случаев, когда настоящее DPA явно отменяет их.
Предмет, продолжительность и характер обработки
| Товар | Описание |
|---|---|
| Тема сообщения | Предоставление услуг по маркетинговым операциям (веб-сайты, SEO, платные СМИ, аналитика, CRM/электронная почта, брендинг, социальные сети, локализация, PM/мероприятия) от имени Контролера. |
| Продолжительность | Продолжительность Соглашения, а также периоды хранения, указанные ниже. |
| Природа и цель | Хранение, организация, анализ, передача, размещение и удаление персональных данных, необходимые для предоставления Услуг. |
| Категории субъектов данных | Конечные пользователи, потенциальные клиенты, клиенты, подписчики, сотрудники, поставщики и посетители мероприятий Контролера. |
| Категории персональных данных | Идентификационные данные (имя, должность), контактные данные (электронная почта, телефон, почтовый адрес), профессиональные данные (компания, роль), онлайн-идентификаторы (IP-адрес, файлы cookie, идентификаторы устройств), поведенческие данные (клики, сеансы, конверсии), коммерческие данные (заказы, выставление счетов), данные о мероприятиях (регистрации, посещаемость, значки, записи). |
| Данные специальной категории | Не обрабатывается по умолчанию. Любое исключение требует письменной инструкции и дополнительных мер безопасности. |
Роли и инструкции
Контроллер определяет цели и средства обработки. ELXAO обрабатывает персональные данные исключительно на основании документированных инструкций Контролера, которые формализованы Соглашением, приказами, соглашениями об уровне обслуживания, Политикой конфиденциальности Контролера и любыми конкретными письменными инструкциями, отправленными после этого. ELXAO без неоправданной задержки проинформирует Контролера, если он посчитает, что указание нарушает закон о защите данных.
Конфиденциальность персонала
ELXAO гарантирует, что каждое лицо, уполномоченное обрабатывать персональные данные, связано обязательством по соблюдению конфиденциальности (трудовой договор, договор внештатного сотрудника или соглашение о неразглашении) и прошло обучение по защите персональных данных, соответствующее его роли.
Меры безопасности
ELXAO реализует соответствующие технические и организационные меры (статья 32 GDPR), в том числе:
- Шифрование TLS 1.2+ при передаче и шифрование AES-256 при хранении для производственных хранилищ данных.
- Ролевое управление доступом по принципу наименьших привилегий; обязательная многофакторная аутентификация для всех администраторов.
- Надежная инфраструктура, размещенная в ЕС, с регулярным сканированием уязвимостей и исправлениями.
- Проверка кода, управление секретами, безопасный SDLC и разделение производственной и промежуточной сред.
- Централизованное ведение журнала с защитой целостности; оповещение о подозрительных событиях аутентификации и экспорта данных.
- Зашифрованные, географически разделенные резервные копии с документированными тестами восстановления.
- Процедуры ввода/вывода персонала, менеджер паролей, защищенные ноутбуки с полнодисковым шифрованием.
- Планы обеспечения непрерывности бизнеса и реагирования на инциденты пересматриваются не реже одного раза в год.
Подобработка
Контроллер предоставляет ELXAO общее разрешение на привлечение субобработчиков для выполнения определенных действий по обработке (хостинг, доставка электронной почты, аналитика, рекламные платформы, инструменты поддержки клиентов, платформы управления событиями). ELXAO ведет текущий список субобработчиков, доступный по запросу по адресу [email protected], и будет направлять предварительное уведомление не менее чем за тридцать (30) дней о любом предполагаемом добавлении или замене, в течение которого Контролер может возражать по разумным причинам защиты данных. ELXAO налагает на каждого субобработчика обязательства по защите данных не менее защитные, чем те, которые изложены в настоящем DPA.
Международные переводы
Персональные данные обрабатываются в основном на территории Европейской экономической зоны (ЕЭЗ). Если обработка предполагает передачу за пределы ЕЭЗ в страну без принятия решения об адекватности, ELXAO опирается на соответствующие гарантии в соответствии со статьей 46 GDPR, в основном на Стандартные договорные условия (SCC) Европейской комиссии от 4 июня 2021 года, дополненные любыми дополнительными мерами, необходимыми для оценки воздействия передачи.
Помощь Контролеру
ELXAO помогает Контролеру посредством соответствующих технических и организационных мер выполнять свои обязательства по реагированию на запросы субъектов данных (статьи 12–22 GDPR) и обеспечивать соблюдение статей 32–36 GDPR (безопасность, уведомление о нарушении, DPIA, предварительные консультации). Стандартная помощь включена в Услуги; За существенную работу, превышающую один (1) рабочий день по запросу, может быть выставлен счет по действующим на тот момент профессиональным тарифам ELXAO после письменного уведомления.
Утечка персональных данных
ELXAO уведомляет Контролера без неоправданной задержки и в любом случае в течение семидесяти двух (72) часов после того, как ему стало известно об утечке персональных данных, затрагивающей данные Контролера. В уведомлении указывается характер нарушения, категории и приблизительные объемы нарушения, вероятные последствия и меры, принятые или предлагаемые для его устранения.
Аудиты
ELXAO предоставляет Контролеру по обоснованному запросу и не чаще одного раза в год (за исключением случаев нарушения) информацию, необходимую для демонстрации соответствия настоящему DPA, включая отчеты типа ISO 27001 / SOC 2 от субобработчиков, если таковые имеются. Аудит на месте может проводиться Контролером или взаимно одобренным сторонним аудитором, связанным соблюдением конфиденциальности, за счет Контролера, с разумным предварительным уведомлением и в рабочее время таким образом, чтобы не нарушать необоснованным образом деятельность ELXAO.
Возврат или удаление данных
После прекращения действия Соглашения ELXAO по выбору Контролера, выраженному в течение тридцати (30) дней, либо вернет все персональные данные в структурированном, широко используемом и машиночитаемом формате, либо удалит их из всех производственных и операционных систем. Резервные копии удаляются в соответствии со стандартным циклом ротации (до девяноста (90) дней) и могут храниться по истечении этого периода только в случаях, когда этого требует применимое законодательство, и в этом случае на них распространяются обязательства по безопасности и конфиденциальности настоящего DPA.
Ответственность
Положения об ответственности MSA применяются к претензиям, возникающим в соответствии с настоящим DPA. Каждая сторона несет ответственность перед субъектами данных и надзорными органами в соответствии со статьей 82 GDPR.
Контакты
По любым вопросам, запросам или уведомлениям о защите данных в соответствии с настоящим DPA обращайтесь по адресу ELXAO по адресу [email protected].