Соглашение об обработке данных (DPA)

1. Включение в договор и роли

Настоящее DPA становится частью договора только после его включения в подписанный Заказ или иной согласованный документ. Клиент выступает контролёром либо обработчиком, действующим по поручению другого контролёра; PRO AGENCY EUROPE SRL выступает обработчиком или субобработчиком соответственно.

Клиент отвечает за законность инструкций, уведомления субъектов, правовое основание и соблюдение собственных обязанностей контролёра.

2. Предмет, срок и характер обработки

Предмет: предоставление функций SMBF и согласованных EPR, VAT, tax, finance или data services. Срок: период договора плюс ограниченный период экспорта, удаления и резервного копирования. Характер операций может включать получение, импорт, структурирование, сопоставление, расчёт, хранение, просмотр, передачу по инструкции, экспорт и удаление.

Цель обработки — выполнить Заказ: подготовить country scope, расчёты, проекты заявок и отчётов, evidence trail, поддержку и согласованные интеграции.

3. Категории субъектов и данных

• Субъекты: пользователи клиента, сотрудники и контактные лица; покупатели и получатели заказов; поставщики, партнёры и представители, если их данные включены в согласованный workflow.
• Данные: имя, рабочие контакты, роль, страна, идентификаторы аккаунта и журнала действий.
• Commerce-данные: номер заказа или псевдонимизированный идентификатор, страна назначения, даты, SKU, количество, возврат и fulfilment-события.
• Документы: доверенности, регистрационные материалы и доказательства только в объёме, необходимом для Заказа.
• Специальные категории и сведения о судимостях не входят в обычный scope и не должны передаваться без отдельного письменного соглашения.

4. Документированные инструкции

PRO AGENCY EUROPE SRL обрабатывает данные только по документированным инструкциям клиента, включая Заказ, настройки, действия уполномоченных пользователей и письменные обращения. Если инструкция, по нашему мнению, нарушает GDPR, мы сообщаем об этом и можем приостановить её выполнение до уточнения.

Передача третьей стороне или за пределы ЕЭЗ выполняется только по инструкции, на основании договора либо когда этого требует право; в последнем случае клиент уведомляется, если уведомление не запрещено законом.

5. Конфиденциальность и безопасность

Лица с доступом к данным связаны обязательством конфиденциальности и получают доступ по принципу минимальной необходимости. До production processing SMBF документирует соразмерные риску технические и организационные меры.

• Контроль ролей и привилегированного доступа, MFA для административных функций и регулярный review доступа.
• Шифрование передачи, управление секретами, журналирование чувствительных действий и разделение сред.
• Tenant isolation, минимизация полей, резервное копирование, восстановление и безопасное удаление.
• Управление уязвимостями, изменениями и инцидентами; обучение лиц с доступом.

6. Субобработчики

Клиент предоставляет общее письменное разрешение на использование субобработчиков из опубликованного реестра. До production activation в реестре должны быть указаны фактические поставщики, функция, место обработки и механизм передачи.

О планируемом новом субобработчике SMBF уведомляет минимум за 30 дней, когда договор не устанавливает иной срок. Клиент может обоснованно возразить по причинам защиты данных. Если разумное решение невозможно, стороны могут прекратить затронутый сервис.

На субобработчика возлагаются по существу эквивалентные обязанности. PRO AGENCY EUROPE SRL остаётся ответственным перед клиентом за выполнение этих обязанностей в предусмотренном законом и договором объёме.

7. Права субъектов и запросы

С учётом характера обработки SMBF разумно помогает клиенту выполнять запросы на доступ, исправление, удаление, ограничение, переносимость и возражение. Прямой запрос субъекта без ответа по существу передаётся клиенту, если закон не требует иного.

8. Нарушения безопасности

После подтверждения нарушения персональных данных SMBF уведомляет клиента без неоправданной задержки и предоставляет доступную информацию о характере, вероятных последствиях, затронутых категориях и мерах реагирования. Уведомление не означает признание вины.

Клиент отвечает за уведомление надзорного органа и субъектов, если закон не возлагает эту обязанность непосредственно на SMBF.

9. Оценки, консультации и compliance evidence

SMBF предоставляет разумную информацию, необходимую клиенту для оценки безопасности, DPIA, консультации с надзорным органом и подтверждения соблюдения статьи 28 GDPR. Объём, частота, confidentiality и стоимость нестандартной проверки согласуются заранее.

10. Аудит

Сначала используются актуальные описания controls, ответы на questionnaire и доступные независимые отчёты. Если этого недостаточно, клиент может запросить не чаще одного раза в год аудит в рабочее время, с разумным уведомлением, без доступа к данным других клиентов и без нарушения безопасности. Дополнительные аудиты возможны после существенного инцидента или по требованию органа.

11. Возврат и удаление

По окончании сервиса SMBF по выбору клиента возвращает или удаляет данные после согласованного периода экспорта, кроме сведений, которые необходимо хранить по закону. Данные в резервных копиях удаляются по обычному защищённому циклу и до этого не используются для иных целей.

12. Передачи за пределы ЕЭЗ

Если обработка за пределами ЕЭЗ необходима, стороны используют применимый механизм главы V GDPR, включая решение об адекватности или Standard Contractual Clauses, и документируют дополнительные меры после оценки риска.

13. Приоритет и контакт

При противоречии по защите данных DPA имеет приоритет над общими Условиями, а подписанные SCC — над DPA в регулируемой ими части. Коммерческие и security-параметры конкретного сервиса могут быть уточнены в Заказе без уменьшения обязательных гарантий.

Запрос подписываемой версии и вопросы: hello@smbf.me.