Соглашение о обработке данных PhotoRobot (DPA)

Этот документ представляет собой Соглашение о обработке данных PhotoRobot: версия 1.0 — PhotoRobot Edition, uni-Robot Ltd., Чехия.

‍

‍

1. Партии

Это Соглашение об обработке данных ("DPA") заключается между:

Контроллер (Клиент)
Физическое или юридическое лицо, вступившее в Условия использования PhotoRobot и использующее Услугу.

и

Процессор:
uni-Robot Ltd.
Водичкова 710/31
110 00 Прага 1
Чешская Республика
Идентификатор компании: 01478061
НДС: CZ01478061
Электронная почта: legal@photorobot.com

Далее коллективно называются «Стороны».

Этот DPA дополняет Условия использования PhotoRobot и применяется, когда PhotoRobot обрабатывает персональные данные от имени Клиента.

‍

‍

2. Предмет и характер обработки

PhotoRobot («Процессор») предоставляет облачные сервисы, локальные программные расширения, управление прошивкой и инфраструктуру хостинга, необходимую для обработки изображений, метаданных и связанного цифрового контента, загружаемых Клиентом («Контроллером»).

Обработка включает:

• Коллекция
• Хранилище
• Трансмиссия
• Извлечение метаданных
• синхронизация между CL ↔ Cloud
• Хостинг контента, загруженного клиентами
• Создание журналов и диагностика
• Резервные операции

Обработка осуществляется исключительно от имени Контролера согласно его задокументированным инструкциям.

‍

‍

3. Продолжительность

Этот DPA действует на протяжении всего срока договорных отношений между Сторонами, а затем — до тех пор, пока Процессор хранит или обрабатывает любые персональные данные от имени Контролера.

‍

‍

4. Персональные данные и категории субъектов данных

4.1. Виды персональных данных

В зависимости от того, как используется сервис, обработанные данные могут включать:

• Идентификационные данные (имя, фамилия, компания)
• Контактные данные (электронная почта, телефон)
• Визуальный контент (изображения, видео)
• Метаданные, связанные с загруженным контентом
• журнальные данные, IP-адреса, технические идентификаторы
• Данные на уровне проекта
• учетные данные (хешированные), токены доступа

Процессор не требует и не обрабатывает специальных категорий данных (ст. 9 GDPR).

‍

4.2. Категории субъектов данных

• Сотрудники клиента
• Клиенты или партнёры клиента
• Авторизованные пользователи
• Любые лица, представленные в визуальном контенте, загруженном Клиентом

Клиент несёт исключительную ответственность за законный сбор данных от субъектов данных.

‍

‍

5. Инструкции от контроллера

Процессор обрабатывает только персональные данные:

1. согласно задокументированным инструкциям Контролера,
2. по мере необходимости для предоставления услуги,
3. обеспечивать безопасность, целостность и доступность систем,
4. как того требует законодательство ЕС или Чехия.

Если Процессор считает инструкцию незаконной, Процессор обязан уведомить Контролера.

‍

‍

6. Конфиденциальность

Процессор гарантирует, что все лица, уполномоченные обрабатывать персональные данные:

• подлежат обязательствам по конфиденциальности,
• прошли соответствующее обучение,
• обрабатывать данные исключительно по указаниям Контролёра.

‍

‍

7. Подпроцессоры

Процессор использует определённые сторонние устройства («Субпроцессоры») для поддержки Сервиса.

‍

7.1. Утверждённые субпроцессоры

Контроллер предоставляет общее разрешение процессору на взаимодействие со следующими категориями субпроцессоров:

• поставщики облачной инфраструктуры (например, Google Cloud Platform)
• Поставщики доставки электронной почты
• Поставщики аналитики
• Системы продажи билетов
• Услуги мониторинга безопасности
• Системы резервного копирования и аварийного восстановления

Полный список ведётся в списке субпроцессоров PhotoRobot и может быть обновлён.

‍

7.2. Уведомление об изменениях

Процессор должен уведомлять Контролера о любых планируемых изменениях субпроцессоров не менее чем за 15 дней до заранее, что позволяет Контролёру возразить на разумных основаниях.

‍

‍

8. Международные передачи данных

Если подпроцессоры или инфраструктура расположены вне ЕЭЗ, процессор обеспечивает:

• применение стандартных договорных положений (SCC 2021),
• дополнительные технические и организационные гарантии,
• минимизировал доступ и шифрование,
• Аудиты соответствия со стороны поставщика.

Google Cloud Platform предоставляет:

• ISO 27001, ISO 27017, ISO 27018
• Отчеты SOC 1/2/3
• Документация по соответствию GDPR

Подробности доступны по адресу https://cloud.google.com/security.

‍

‍

9. Меры безопасности

Процессор должен внедрять отраслевые стандарты технических и организационных мер (TOM), включая:

‍

9.1. Технические меры

• Шифрование данных в транзите через TLS
• Защищённое хранилище с зашифрованными токенами доступа
• Изолированные среды обработки
• Хэширование пароля
• Ограничения скорости и системы обнаружения вторжений
• Многоуровневый файрвол
• Безопасность физического дата-центра (через Google Cloud)

‍

9.2. Организационные меры

• Управление доступом на основе ролей
• Логирование и мониторинг доступа
• Внутренние политики для обработки данных
• Обязательства по конфиденциальности сотрудников
• Периодическое обучение безопасности
• Управление рисками поставщиков

Полный список TOM доступен по запросу.

‍

‍

10. Права субъектов данных

Процессор помогает контроллеру реагировать на:

• Запросы на доступ
• Исправление
• Удаление
• Ограничение
• Переносимость данных
• Возражения

Процессор должен без чрезмерных задержек пересылать любой прямой запрос от подлежащего данным Контролёру.

‍

‍

11. Уведомление об утечке данных

В случае утечки персональных данных Процессор должен уведомить Контролера:

• без излишних задержек,
• включая всю информацию, требуемую в соответствии со статьёй 33 GDPR,
• и предоставлять постоянные обновления до завершения устранения.

Контролер остаётся ответственным за уведомление властей и пострадавших лиц.

‍

‍

12. Удаление или возврат данных

После расторжения контракта:

• Процессор удаляет данные клиента через 30 дней,
• если не указано иное Контролёром,
• за исключением случаев, когда удержание требуется законом.

Резервные копии перезаписываются в течение обычного жизненного цикла.

‍

‍

13. Аудиты

Контроллер имеет право:

• получение документации, подтверждающей соответствие GDPR
• запросить отчёт по TOM
• Проведение разумных аудитов, ограниченных одним разом в год
• полагаться на сторонние сертификаты (отчёты ISO/SOC Google Cloud)

Аудиты не должны ставить под угрозу безопасность или нарушать операции.

‍

‍

14. Ответственность

Ответственность сторон регулируется Условиями использования.
Процессор несёт ответственность только за нарушения, вызванные собственным нарушением обязательств по GDPR.

‍

‍

15. Регулирующее право и юрисдикция

Этот DPA регулируется законами Чешской Республики.

Споры разрешаются судами в Праге, Чехия.

‍

‍

16. Стандартные договорные положения (SCC)

При необходимости SCC 2021 (Модуль 2: Контроллер → процессор) применяется в качестве приложения к этому DPA.

PhotoRobot:

• включает SCC по ссылке,
• включает все обязательные пункты,
• Реализует дополнительные технические меры
• обеспечивает соответствие передачам субпроцессорам за пределами ЕЭЗ.

SCC может быть предоставлен полностью по запросу.

‍

‍

17. Контакт

uni-Robot Ltd.
Водичкова 710/31
110 00 Прага 1
Чешская Республика

Электронная почта: legal@photorobot.com

‍