Соглашение об обработке данных

1. Стороны и предмет

Настоящее Соглашение об обработке персональных данных, далее - «Соглашение» или DPA, заключается между клиентом, далее - «Заказчик», и ТОО «АИОМАНТ», БИН 260740012090, Республика Казахстан, 010000, г. Астана, район Нұра, проспект Тұран, дом 71, кв. 58, далее - «Исполнитель» или «Aiomant», и является неотъемлемой частью договора на использование платформы Aiomant.

Соглашение определяет условия, на которых Исполнитель обрабатывает персональные данные, передаваемые или создаваемые Заказчиком при использовании платформы.

2. Роли сторон

Заказчик выступает собственником персональных данных по законодательству Республики Казахстан и контролёром, controller, по GDPR: он определяет цели и средства обработки, отвечает за законность сбора данных и наличие оснований для их передачи Исполнителю.

Исполнитель выступает оператором, действующим по поручению, и обработчиком, processor, по GDPR: обрабатывает данные исключительно по документированным инструкциям Заказчика.

При on-premise развёртывании Исполнитель не получает доступа к данным Заказчика и обработчиком не является; настоящее Соглашение в этом случае применяется только к тем данным, которые Заказчик передаёт в рамках технической поддержки.

3. Характеристики обработки

4. Обязанности Исполнителя

• Обрабатывать данные только по документированным инструкциям Заказчика, включая условия основного договора и настройки платформы.
• Обеспечивать, чтобы лица, допущенные к обработке, были связаны обязательством конфиденциальности.
• Применять технические и организационные меры защиты, соразмерные риску: шифрование трафика и чувствительных данных при хранении, ролевое разграничение доступа, маскирование секретов, изоляцию сред, журналирование, резервное копирование.
• Не привлекать новых субобработчиков без предварительного уведомления Заказчика.
• Содействовать Заказчику в ответах на обращения субъектов данных и в оценке воздействия на защиту данных.
• Уведомлять Заказчика об инциденте безопасности, затронувшем его данные, без неоправданной задержки и не позднее 72 часов с момента обнаружения, с описанием характера инцидента, затронутых категорий данных и принятых мер.
• По окончании оказания услуг по выбору Заказчика удалить данные или вернуть их в машиночитаемом формате, а имеющиеся копии уничтожить, если иное не предписано законом. Срок по умолчанию - 30 дней.
• Предоставлять Заказчику информацию, необходимую для подтверждения соблюдения настоящего Соглашения, и допускать аудит не чаще одного раза в год либо после подтверждённого инцидента, по предварительному согласованию и с соблюдением конфиденциальности.

5. Обязанности Заказчика

• Обеспечить законное основание для сбора и передачи данных Исполнителю и уведомление субъектов данных.
• Не размещать в тестовых средах реальные персональные данные, если можно использовать обезличенные или синтетические. Это основной способ снизить риск для обеих сторон.
• Корректно управлять правами доступа своих пользователей внутри платформы.
• Давать инструкции, не противоречащие применимому законодательству.

6. Субобработчики

Заказчик даёт общее согласие на привлечение перечисленных ниже субобработчиков. Мы уведомляем о добавлении или замене субобработчика не менее чем за 30 календарных дней по электронной почте; в этот срок Заказчик вправе мотивированно возразить, и стороны добросовестно ищут решение, вплоть до расторжения договора без штрафных санкций.

Перечень исчерпывающий и относится только к сайту aiomant.com. На момент публикации платформа Aiomant поставляется исключительно в варианте on-premise: она разворачивается в контуре Заказчика, субобработчики к обработке его данных не привлекаются, и данные не покидают инфраструктуру Заказчика.

Мы готовим облачный (SaaS) вариант платформы. До его запуска перечень будет дополнен провайдером облачной инфраструктуры с указанием юрисдикции, и мы уведомим клиентов в порядке, описанном выше.

7. Трансграничная передача

Передача данных за пределы Республики Казахстан осуществляется при условии, что принимающая сторона обеспечивает защиту данных, либо на основании согласия субъекта, либо на основании стандартных договорных условий, где они применимы - ст. 16 ЗРК № 94-V, глава V GDPR. Перечень стран размещения приведён в таблице раздела 6.

8. Ответственность и срок действия

Соглашение действует, пока Исполнитель обрабатывает данные Заказчика. Положения о конфиденциальности, удалении данных и содействии сохраняют силу после прекращения договора. Ответственность сторон определяется основным договором и документом: Условиями использования. В случае противоречия между настоящим Соглашением и основным договором в части обработки персональных данных приоритет имеет настоящее Соглашение.

9. Как получить подписанный экземпляр

Напишите на hello@aiomant.com - с указанием юридического лица, применимой юрисдикции и требуемого формата. Мы также предоставляем материалы для оценки поставщика: описание архитектуры, схему потоков данных и модель разграничения доступа. Подробнее: страница «Безопасность».

Документ составлен на русском языке. Английская версия приведена для удобства; при расхождении толкований преимущественную силу имеет русская редакция.