Договор поручения на обработку персональных данных (DPA)

Настоящий Договор поручения на обработку персональных данных (далее — «DPA») является неотъемлемой частью Публичной оферты (Условий использования сервиса Evimarko) и заключается между пользователем Сервиса (далее — «Студия», владелец персональных данных) и [реквизиты будут указаны] (далее — «Evimarko», распорядитель персональных данных) в момент акцепта Условий. DPA заключен в соответствии со статьями 2, 4 Закона Украины «О защите персональных данных» (далее — Закон) и статьей 28 Регламента (ЕС) 2016/679 (GDPR).

1. Роли сторон

1. Студия является владельцем персональных данных (controller) своих клиентов, их представителей и собственных сотрудников, которые она вносит в Сервис или получает через него (онлайн-запись, мессенджеры, сайт студии, интеграции). Студия самостоятельно определяет цель, состав и средства обработки этих данных.
2. Evimarko является распорядителем (processor) и обрабатывает такие данные исключительно по поручению и документированным инструкциям Студии, в объеме, необходимом для предоставления Сервиса.
3. Инструкциями Студии считаются: Условия и настоящий DPA; действия Студии и ее сотрудников в Сервисе (внесение, изменение, удаление данных, настройка рассылок, интеграций, онлайн-записи); письменные запросы Студии на email Evimarko. Если инструкция, по мнению Evimarko, нарушает закон, Evimarko сообщает об этом Студии и может ее не выполнять.

2. Предмет, характер и срок обработки

• Характер обработки: сбор (через формы и интеграции), запись, хранение, систематизация, изменение, поиск, просмотр, передача по настройкам Студии (уведомления клиентам, мессенджеры, фискализация), обезличивание, удаление, резервное копирование.
• Цель: предоставление Студии функций CRM — учет клиентов, записей, заказов, автомобилей, приема авто, смет, оплат, гарантий, коммуникации с клиентами.
• Категории субъектов: клиенты Студии и потенциальные клиенты, их представители, сотрудники Студии.
• Категории данных: ФИО, телефон, email, язык; данные автомобиля (госномер, VIN, марка, модель); адрес; история заказов и платежей; фото; подписи; переписка; записи звонков (при наличии интеграции); заметки. Особые категории данных (здоровье, биометрия для идентификации и т. п.) Студия в Сервис не вносит.
• Срок: в течение действия Условий и до удаления данных согласно разделу 8.

3. Обязанности и гарантии Студии

1. Студия гарантирует, что имеет законные основания для обработки каждого персонального данного, которое вносит в Сервис или собирает через него, и что она самостоятельно и за собственный счет:
   • получает необходимые согласия клиентов (в частности, на фото автомобиля, на рассылки и рекламные сообщения, на переписку в мессенджерах), а также хранит доказательства этих согласий;
   • информирует клиентов об обработке их данных (ст. 12 Закона; ст. 13–14 GDPR), в частности о том, что для обработки используется Сервис Evimarko;
   • рассматривает запросы клиентов относительно их прав (доступ, исправление, удаление и т. п.);
   • соблюдает правила отправки сообщений (без спама, с возможностью отписки) и правила мессенджеров;
   • не вносит избыточных данных и данных, не нужных для цели обработки.
2. Студия отвечает за законность сбора данных своих клиентов и за свои инструкции. Студия возмещает Evimarko убытки, штрафы и расходы (включая расходы на правовую помощь), возникшие из-за претензий субъектов данных или органов власти, вызванных нарушением Студией закона или настоящего DPA.
3. Студия отвечает за действия своих сотрудников в Сервисе, за предоставление им прав доступа и за сохранность паролей.

4. Обязанности Evimarko

1. Обрабатывать данные только по документированным инструкциям Студии, кроме случаев, когда обработки требует закон (о чем Evimarko сообщает Студии, если это не запрещено).
2. Обеспечить, чтобы лица, имеющие доступ к данным, были обязаны соблюдать конфиденциальность.
3. Принимать технические и организационные меры безопасности в соответствии со ст. 24 Закона и ст. 32 GDPR: шифрование соединения (TLS); шифрование чувствительных полей в базе данных; хранение паролей в виде хеша; двухфакторная аутентификация; изоляция данных разных студий; ролевой доступ; журнал действий; резервное копирование; размещение серверов в ЕС (Польша).
4. Помогать Студии (с учетом характера обработки) выполнять запросы субъектов данных, проводить оценку воздействия и консультации с надзорным органом — в пределах имеющихся функций Сервиса; дополнительная помощь может быть платной.
5. Уведомлять Студию о нарушении безопасности персональных данных (утечке) без неоправданной задержки, по возможности — в течение 48 часов после того, как Evimarko узнал о нем, с описанием характера нарушения, вероятных последствий и принятых мер.
6. Не использовать данные клиентов Студии для собственных целей, не продавать их и не передавать для рекламы. Evimarko может формировать обезличенную агрегированную статистику, по которой невозможно установить личность или Студию.

5. Субподрядчики (субраспорядители)

1. Студия предоставляет общее разрешение на привлечение субраспорядителей: хостинг-провайдера в ЕС, сервиса почтовых рассылок, сервисов резервного копирования, а также сервисов, которые Студия подключает сама (мессенджеры, SMS, телефония, фискализация, платежные сервисы) — в отношении последних Студия действует по собственному усмотрению и по правилам этих сервисов.
2. Evimarko возлагает на субраспорядителей обязанности по защите данных, не менее строгие, чем в настоящем DPA, и отвечает перед Студией за их действия в пределах, определенных Условиями.
3. О замене или добавлении субраспорядителя (кроме выбранных Студией) Evimarko уведомляет в Сервисе или по электронной почте. Если у Студии есть обоснованные возражения, она может прекратить пользование Сервисом до вступления изменений в силу — это ее единственное средство правовой защиты.

6. Передача за границу

Данные хранятся на серверах в ЕС (Польша). Передача данных за пределы ЕЭП и Украины осуществляется только по настройкам Студии (например, через подключенные ею мессенджеры) или с соблюдением гарантий, предусмотренных ст. 29 Закона и главой V GDPR (решение об адекватности, стандартные договорные положения ЕС).

7. Аудит

По письменному запросу Студии Evimarko предоставляет информацию, необходимую для подтверждения выполнения настоящего DPA (описание мер безопасности, перечень субраспорядителей). Инспекция на месте возможна не чаще одного раза в год, с уведомлением не менее чем за 30 дней, в рабочее время, за счет Студии, при условии подписания соглашения о конфиденциальности и без доступа к данным других студий.

8. Возврат и удаление данных

В течение действия Условий Студия может самостоятельно выгружать и удалять данные в Сервисе. После прекращения Условий данные хранятся 30 календарных дней для выгрузки по запросу Студии, после чего удаляются; резервные копии перезаписываются в течение следующих 30 дней. Evimarko может хранить данные дольше только тогда, когда этого требует закон.

9. Ответственность и срок действия

1. Ответственность Evimarko по настоящему DPA ограничивается так же, как определено в разделе 9 Условий (сумма, уплаченная за последний месяц), насколько это допускает закон.
2. DPA действует, пока действуют Условия, а в части удаления данных и конфиденциальности — до полного исполнения соответствующих обязанностей.
3. В случае противоречий между Условиями и настоящим DPA относительно обработки персональных данных преобладает DPA.

10. Реквизиты распорядителя

[реквизиты будут указаны]
ИНН (РНУКПН) / код ЕГРПОУ: [реквизиты будут указаны]
Адрес: [реквизиты будут указаны]
Email: [email protected]
Телефон: [реквизиты будут указаны]