Договор об обработке данных

1. Стороны и предпосылки договора

1.1. Настоящий договор об обработке данных (далее Договор) заключён между:

• Клиентом, который заказал Модуль(и) Holdis и для которого создан собственный Экземпляр (далее Ответственный обработчик), и
• Oden Grupp OÜ, регистрационный код [REGISTRIKOOD], адрес [AADRESS], эл. почта info@holdis.eu (далее Уполномоченный обработчик).

1.2. Договор является неотъемлемой частью Общих условий услуги Holdis (далее Условия) и вступает в силу вместе с договором об оказании услуги, заключённым на основании Условий (далее Договор об услуге). [ЮРИСТУ: подтвердить, что заключения путём ссылки (согласия при подаче заказа) достаточно; GDPR ст. 28 ч. 9 требует письменной формы, которая включает электронную форму.]

1.3. Договор применяется к персональным данным, которые Уполномоченный обработчик обрабатывает от имени Ответственного обработчика в его Экземпляре. Договор не применяется:

• к данным, ответственным обработчиком которых является сам Уполномоченный обработчик (например, данные контактных лиц Клиента при расчётах), которые описывает Политика конфиденциальности;
• к Дневниковому центру, где Акты хранятся отдельно от Экземпляра и обработку персональных данных в котором описывают Условия и Политика конфиденциальности. [ЮРИСТУ: определить роли в Дневниковом центре в отношении Актов (отдельный ответственный обработчик, совместная ответственность по ст. 26 или обработка по поручению) и при необходимости расширить Договор или заключить отдельное соглашение.]

1.4. В Договоре понятия используются в значении GDPR (Регламент (ЕС) 2016/679) и Условий. В случае противоречия между Договором и Условиями по вопросам обработки персональных данных приоритет имеет Договор.

2. Предмет, срок, характер и цель обработки

2.1. Предмет. Уполномоченный обработчик обрабатывает персональные данные, которые Ответственный обработчик и его Пользователи вносят в Экземпляр или которые возникают при использовании Экземпляра.

2.2. Срок. Обработка продолжается в течение срока действия Договора об услуге и после него в течение сроков, установленных в пункте 12.

2.3. Характер. Обработка включает сохранение, хранение, упорядочивание, отображение, передачу по указанию Ответственного обработчика (например, отправку электронных писем), резервное копирование, экспорт и удаление данных.

2.4. Цель. Единственной целью обработки является оказание Услуги Ответственному обработчику в соответствии с Договором об услуге.

2.5. Категории субъектов данных, виды персональных данных и иные подробности приведены в Приложении 1.

3. Обязанности Ответственного обработчика

3.1. Ответственный обработчик:

• обеспечивает наличие правового основания для обработки персональных данных и информирование субъектов данных об обработке;
• даёт Уполномоченному обработчику указания. Указания, данные в Договоре, Условиях и настройках Услуги, считаются документированными указаниями; дополнительные указания даются в форме, позволяющей письменное воспроизведение;
• отвечает за выбор своих Пользователей и предоставленные им права;
• не вносит в Экземпляр больше данных, чем необходимо для его целей.

4. Обязанности Уполномоченного обработчика

4.1. Уполномоченный обработчик:

• обрабатывает персональные данные только на основании документированных указаний Ответственного обработчика, в том числе при передаче данных в третью страну, за исключением случаев, когда этого требует право Европейского союза или Эстонии; в таком случае он уведомляет Ответственного обработчика до начала обработки, если закон этого не запрещает;
• незамедлительно уведомляет Ответственного обработчика, если, по его мнению, указание нарушает GDPR или иные нормы о защите данных;
• не использует персональные данные в собственных целях;
• не смешивает данные Ответственного обработчика с данными других Клиентов: у каждого Клиента есть отдельный Экземпляр с собственной виртуальной машиной и собственной базой данных;
• ведёт реестр операций по обработке согласно GDPR ст. 30 ч. 2.

4.2. Демо-экземпляр ничего не отправляет за пределы Holdis.

4.3. Загруженная Ответственным обработчиком документация оборудования видна только его работникам.

5. Конфиденциальность

5.1. Уполномоченный обработчик обеспечивает, чтобы доступ к персональным данным имели только те его работники и иные лица, которым это необходимо для оказания Услуги, и чтобы они обязались соблюдать конфиденциальность или имели установленную законом обязанность конфиденциальности.

5.2. Обязанность конфиденциальности действует и после прекращения Договора.

6. Безопасность

6.1. Уполномоченный обработчик применяет надлежащие технические и организационные меры согласно GDPR ст. 32, учитывая уровень техники, затраты на внедрение, характер, объём, контекст и цели обработки, а также риски для прав и свобод физических лиц.

6.2. Применяемые меры описаны в Приложении 2. Уполномоченный обработчик может обновлять меры, если уровень безопасности при этом не снижается.

7. Субобработчики

7.1. Ответственный обработчик даёт Уполномоченному обработчику общее разрешение на привлечение субобработчиков. Субобработчики, привлекаемые на момент заключения Договора, перечислены в Приложении 3.

7.2. Уполномоченный обработчик уведомляет Ответственного обработчика о намерении добавить или заменить субобработчика не менее чем за [30] дней по электронной почте. [ЮРИСТУ: срок уведомления.]

7.3. Ответственный обработчик может в течение срока уведомления заявить обоснованное возражение против изменения. Если стороны не находят решения, Ответственный обработчик может прекратить Договор об услуге до вступления изменения в силу без договорного штрафа или иной санкции.

7.4. Уполномоченный обработчик договором возлагает на субобработчика те же обязанности по защите данных, что установлены в Договоре, и отвечает перед Ответственным обработчиком за выполнение обязанностей субобработчиком.

8. Помощь при запросах субъектов данных

8.1. Уполномоченный обработчик с помощью надлежащих технических и организационных мер помогает Ответственному обработчику выполнять обязанность отвечать на запросы субъектов данных (GDPR ст. 12 по 23). Услуга позволяет Ответственному обработчику самостоятельно просматривать, исправлять и экспортировать данные.

8.2. Если субъект данных обращается непосредственно к Уполномоченному обработчику, Уполномоченный обработчик незамедлительно передаёт запрос Ответственному обработчику и сам по существу на него не отвечает, за исключением случаев, когда это указал Ответственный обработчик.

8.3. Если помощь выходит за рамки обычного оказания Услуги, Уполномоченный обработчик может требовать разумную плату в заранее согласованном объёме. [ЮРИСТУ: требовать ли плату.]

9. Помощь в выполнении иных обязанностей

9.1. Уполномоченный обработчик с учётом характера обработки и доступной ему информации помогает Ответственному обработчику выполнять обязанности по GDPR ст. 32 по 36 (безопасность, уведомление о нарушениях, оценка воздействия на защиту данных и предварительная консультация).

10. Уведомление о нарушении, связанном с персональными данными

10.1. Уполномоченный обработчик уведомляет Ответственного обработчика о нарушении, связанном с персональными данными, без неоправданной задержки, но не позднее чем через [24] часа с момента, когда ему стало известно о нарушении. [ЮРИСТУ: срок; предложение 24 часа, чтобы у Ответственного обработчика оставалось время выполнить 72-часовой срок по GDPR ст. 33.]

10.2. Уведомление направляется на контактный адрес Ответственного обработчика, указанный в Услуге, и по возможности содержит:

• характер нарушения, включая категории и примерное количество затронутых субъектов данных и записей персональных данных;
• имя и контактные данные контактного лица;
• вероятные последствия нарушения;
• принятые или планируемые меры для устранения нарушения и смягчения его неблагоприятных последствий.

10.3. Если всю информацию невозможно предоставить одновременно, она предоставляется по частям без неоправданной задержки.

10.4. Уполномоченный обработчик документирует нарушения и сотрудничает с Ответственным обработчиком при расследовании нарушения и смягчении его последствий.

11. Международная передача

11.1. Уполномоченный обработчик обрабатывает персональные данные Экземпляра в Европейской экономической зоне, на своих серверах в Эстонии. Передача данных за пределы Европейской экономической зоны не планируется.

11.2. Данные могут передаваться за пределы Европейской экономической зоны только с предварительного письменного разрешения Ответственного обработчика и с соблюдением требований главы V GDPR.

12. Возврат и удаление данных

12.1. Ответственный обработчик может экспортировать свои данные в любом состоянии Договора об услуге, пока данные хранятся. Экспорт можно позднее загрузить обратно в Holdis.

12.2. При прекращении Договора об услуге у Ответственного обработчика есть [X] дней на экспорт данных. Затем доступ прекращается, и Уполномоченный обработчик удаляет данные Экземпляра в течение [X] дней. [ЮРИСТУ: сроки; согласовать с пунктом 7.4 Условий.]

12.3. Если Экземпляр приостановлен из-за просрочки платежа, данные хранятся 3 месяца с момента приостановления. В течение этого времени можно скачать только экспорт, зафиксированный на момент приостановления. Затем данные удаляются.

12.4. Удалённые данные исчезают из резервных копий примерно в течение 3 месяцев после удаления. До этого резервные копии защищены мерами, описанными в Приложении 2, и используются только для восстановления.

12.5. Удаление подтверждает работник Уполномоченного обработчика. По запросу Ответственного обработчика Уполномоченный обработчик подтверждает удаление в форме, позволяющей письменное воспроизведение.

12.6. Данные могут храниться дольше только в том случае, если этого требует право Европейского союза или Эстонии.

13. Аудиты и предоставление информации

13.1. Уполномоченный обработчик предоставляет Ответственному обработчику всю информацию, необходимую для подтверждения выполнения Договора и GDPR ст. 28.

13.2. Ответственный обработчик или уполномоченный им аудитор, связанный обязанностью конфиденциальности, может провести аудит или проверку, уведомив об этом не менее чем за [30] дней, не чаще одного раза в год, за исключением случаев нарушения или требования надзорного органа.

13.3. Расходы на аудит несёт Ответственный обработчик, за исключением случая, когда аудит выявляет существенное нарушение со стороны Уполномоченного обработчика. [ЮРИСТУ: периодичность аудита, распределение расходов и предпочесть ли письменный опросник.]

13.4. Аудит не должен ставить под угрозу конфиденциальность данных других Клиентов или безопасность Услуги.

14. Ответственность

14.1. Стороны отвечают перед субъектами данных в соответствии с GDPR ст. 82.

14.2. Ответственность сторон друг перед другом ограничена в объёме, установленном в Условиях, за исключением случаев, когда закон не допускает ограничения. [ЮРИСТУ: применять ли к нарушению Договора отдельный или более высокий предел ответственности.]

15. Срок действия и заключительные положения

15.1. Договор действует в течение срока действия Договора об услуге и до тех пор, пока Уполномоченный обработчик обрабатывает персональные данные Ответственного обработчика.

15.2. Договор изменяется в порядке изменения Условий. Изменения, вытекающие из правовых актов, могут вступить в силу раньше.

15.3. К Договору применяется право Эстонии. Споры разрешаются в порядке, установленном в Условиях.

15.4. Неотъемлемыми частями Договора являются Приложение 1, Приложение 2 и Приложение 3.

Приложение 1. Подробности обработки

Ответственный обработчик	Клиент (фирма по обслуживанию или выездным работам)
Уполномоченный обработчик	Oden Grupp OÜ
Предмет	персональные данные, обрабатываемые в Экземпляре Клиента
Срок	срок действия Договора об услуге и сроки пункта 12
Характер	сохранение, хранение, упорядочивание, отображение, передача по указанию Ответственного обработчика, резервное копирование, экспорт, удаление
Цель	оказание Услуги Holdis Клиенту
Субъекты данных	клиенты Клиента (физические лица) и их контактные лица; представители и подписанты клиентов Клиента; работники Клиента и иные Пользователи; жители зданий или иные лица, если их данные внесены к объекту или рабочему заданию
Виды данных	контактные данные (имя, эл. почта, телефон, адрес); данные объектов и зданий; данные рабочих заданий, Актов и работ; фотографии; подписи; данные учётных записей Пользователей и история действий; данные договоров; в Модуле Palgad данные о зарплате (например, личный код, банковский счёт, заработная плата, налоговые данные и данные о рабочем времени); в Модуле Tööpäev данные о рабочем времени; в Модуле Sõidukid данные о транспортных средствах и их использовании [ЮРИСТУ: подтвердить виды данных каждого Модуля]
Особые категории данных	Не предусмотрены. Данные о зарплате могут содержать сведения о нетрудоспособности, которые могут указывать на данные о здоровье. [ЮРИСТУ: оценить применимость GDPR ст. 9]
Местонахождение	собственные серверы Уполномоченного обработчика в Эстонии [ЮРИСТУ: подтвердить]
Хранение	согласно пункту 12

Приложение 2. Меры безопасности

1. Изоляция. У каждого Клиента есть отдельный Экземпляр с собственной виртуальной машиной и собственной базой данных. Данные разных Клиентов не хранятся в общей базе данных.
2. Размещение. Услуга размещается на собственных серверах Уполномоченного обработчика (виртуализация Proxmox) в Эстонии. [ЮРИСТУ: подтвердить местонахождение и физическую безопасность помещений.]
3. Резервное копирование. С данных делаются резервные копии на собственных серверах Уполномоченного обработчика, а дополнительная копия хранится на собственном сервере резервного копирования в другом месте. Удалённые данные исчезают из резервных копий примерно в течение 3 месяцев. [ЮРИСТУ: подтвердить частоту резервного копирования и шифрование резервных копий.]
4. Электронная почта. Электронные письма отправляются через собственный почтовый сервер Уполномоченного обработчика.
5. Контроль доступа. Права Пользователей определяет Клиент. Работники Уполномоченного обработчика получают доступ к данным только тогда, когда это необходимо для оказания Услуги или обслуживания. [ЮРИСТУ: подтвердить журналирование доступа и требования к аутентификации работников.]
6. Передача данных. Передача данных между Пользователем и Услугой зашифрована (TLS). [ЮРИСТУ: подтвердить.]
7. Удаление. Удаление данных подтверждает работник Уполномоченного обработчика.
8. Демо-экземпляр. Демо-экземпляр ничего не отправляет за пределы Holdis.
9. Документация оборудования. Загруженная Клиентом документация оборудования видна только работникам Клиента.
10. Секреты. Пароли, ключи и иные секреты не хранятся в исходном коде. [ЮРИСТУ: подтвердить.]
11. Обновления. Обновления безопасности устанавливаются незамедлительно, при необходимости без предварительного уведомления.

Приложение 3. Субобработчики

Уполномоченный обработчик размещает Услугу на собственных серверах и отправляет электронные письма через собственный почтовый сервер. На момент заключения Договора Уполномоченный обработчик не привлекает субобработчиков для обработки персональных данных Экземпляра, за исключением перечисленных ниже. [ЮРИСТУ: подтвердить.]

Субобработчик	Услуга	Доступ к персональным данным	Местонахождение
[RUUMIDE / ANDMEKESKUSE PAKKUJA]	физическое размещение серверов	физический доступ к оборудованию [ЮРИСТУ: подтвердить, является ли он субобработчиком]	Эстония
Zone Media OÜ	система доменных имён (DNS)	отсутствует	Эстония
[MUU ALAMTÖÖTLEJA]	[TEENUS]	[ULATUS]	[ASUKOHT]