Соглашение об обработке данных (DPA)

Это типовая редакция соглашения об обработке персональных данных (DPA). Оно применяется, когда «GARM INC» SRL (ITCore) по договору ИТ-аутсорсинга обслуживает инфраструктуру клиента и при этом получает доступ к персональным данным: администрирует серверы, сети и VPN, обеспечивает информационную безопасность, настраивает резервное копирование и мониторинг, сопровождает 1С и UNA, Microsoft 365 и Active Directory, обслуживает рабочие станции, ведёт helpdesk, обслуживает системы видеонаблюдения и контроля доступа (СКУД), IP-телефонию, выполняет функции ИТ-директора по подписке (vCIO).

В этих случаях клиент — оператор данных, а мы — лицо, уполномоченное оператором (обработчик). Мы не выбираем, какие данные и зачем хранит клиент, а лишь обеспечиваем работу систем, в которых они хранятся.

Соглашение подписывается как приложение к основному договору. Реквизиты сторон, номер договора, описание обработки (Приложение 1) и перечень субобработчиков (Приложение 3) заполняются при подписании. Здесь опубликован текст, который мы предлагаем по умолчанию.

Оператор («Клиент») — компания, указанная в основном договоре.

Обработчик («Исполнитель») — «GARM INC» SRL, IDNO 1017600028014, юридический адрес: MD-2043, mun. Chișinău, bd. Traian 2, of. 135, Республика Молдова. Ответственный за защиту данных (DPO): dpo@itcore.md; общая почта: info@itcore.md.

Термины «персональные данные», «обработка», «оператор», «обработчик», «субъект данных», «нарушение безопасности персональных данных» и «надзорный орган» понимаются так, как в Регламенте (ЕС) 2016/679 (GDPR) и Законе Республики Молдова № 195/2024 о защите персональных данных.

Субобработчик — третье лицо, которое Исполнитель привлекает к обработке данных Клиента. Системы Клиента — серверы, сети, рабочие станции, учётные записи, облачные сервисы, учётные системы и иное оборудование и программы, которые Клиент поручил обслуживать Исполнителю. ЕЭЗ — Европейская экономическая зона.

Исполнитель обрабатывает персональные данные только для оказания услуг по основному договору и только по документированным указаниям Клиента. Указания — это основной договор, это соглашение и заявки, направленные уполномоченными лицами Клиента с адресов электронной почты, указанных в договоре, или через согласованную систему заявок (helpdesk).

Обычные заявки пользователей Клиента в рамках helpdesk (сброс пароля, настройка рабочего места, восстановление файла) выполняются в порядке, установленном основным договором. Указания, которые меняют объём или судьбу данных, — выгрузка, массовое удаление, передача данных третьему лицу, предоставление кому-либо доступа к чужой почте, файлам или записям видеонаблюдения — Исполнитель принимает только письменно от уполномоченного лица Клиента. Устные распоряжения такими указаниями не считаются.

Исполнитель не использует данные Клиента в своих целях: не строит на них продукты, не обучает на них модели, не анализирует их вне задач Клиента и не передаёт третьим лицам, кроме субобработчиков по разделу 8.

Клиент как оператор отвечает за законность обработки: правовое основание и согласия субъектов, где они нужны, информирование своих сотрудников и других субъектов (в том числе о видеонаблюдении и контроле доступа), законность своих указаний, точность данных и предоставление Исполнителю доступа только к тем системам и данным, которые нужны для услуги.

Клиент назначает уполномоченных лиц, которые вправе давать указания по разделу 4, и своевременно сообщает Исполнителю об их смене.

Если указание Клиента, по мнению Исполнителя, нарушает GDPR или Закон № 195/2024, Исполнитель сразу сообщает об этом Клиенту и может приостановить исполнение такого указания до письменного разъяснения.

Исполнитель обязуется:

• обрабатывать данные только по указаниям Клиента, кроме случаев, когда обработки требует закон; тогда Исполнитель предупреждает Клиента заранее, если закон это не запрещает;
• допускать к данным и Системам Клиента только сотрудников, которым это нужно для услуги, по персональным учётным записям и с минимально необходимыми правами, и отзывать доступ, когда он больше не нужен;
• обеспечить, чтобы допущенные сотрудники были связаны обязательством о конфиденциальности;
• обращаться к содержимому данных (почтовым ящикам, файлам, базам 1С и UNA, записям видеонаблюдения, журналам СКУД и телефонии) только в объёме, нужном для конкретной заявки или для устранения сбоя;
• применять меры безопасности из Приложения 2;
• помогать Клиенту в исполнении статей 32–36 GDPR с учётом характера обработки и доступной Исполнителю информации, в том числе предоставлять сведения для оценки воздействия на защиту данных;
• вести учёт обработки, которую он выполняет от имени Клиента, в объёме ст. 30(2) GDPR;
• по окончании услуг вернуть или удалить данные и передать дела по разделу 12.

Исполнитель получает доступ к Системам Клиента удалённо, по зашифрованным каналам, и на месте — в помещениях Клиента. Средства удалённого доступа и мониторинга, которые Исполнитель устанавливает в Системах Клиента, перечисляются в Приложении 1 или в документации к основному договору.

Учётные записи и пароли от Систем Клиента, которые Клиент передал Исполнителю или которые Исполнитель создал для работы, хранятся в защищённом хранилище и не пересылаются открытым текстом. Административные учётные записи Систем Клиента принадлежат Клиенту: по его запросу Исполнитель в любой момент передаёт ему актуальные учётные данные.

Сервисы, договор на которые Клиент заключил сам (например, Microsoft 365, хостинг, услуги связи, сопровождение 1С или UNA у разработчика), являются обработчиками Клиента, а не субобработчиками Исполнителя. Исполнитель администрирует их от имени Клиента в пределах прав, которые Клиент ему дал.

Клиент даёт общее письменное разрешение на привлечение субобработчиков, перечисленных в Приложении 3.

О новом субобработчике или замене действующего Исполнитель сообщает Клиенту письменно не позднее чем за 30 календарных дней. Клиент может в течение 15 календарных дней заявить мотивированное возражение, связанное с защитой данных. Если стороны не найдут решения, Клиент вправе без штрафов отказаться от той части услуг, для которой нужен этот субобработчик. Если возражения нет, замена считается согласованной.

Если действующий поставщик отказал и под угрозой доступность услуг, Исполнитель может сразу привлечь замену и сообщает об этом Клиенту в течение 3 рабочих дней с объяснением.

С каждым субобработчиком Исполнитель заключает договор с обязательствами по защите данных не ниже этого соглашения и отвечает перед Клиентом за субобработчика как за себя.

Исполнитель — компания из Республики Молдова, его сотрудники работают с Системами Клиента из Республики Молдова. Если Клиент находится в ЕЭЗ или его данные подпадают под GDPR, такой доступ — передача данных за пределы ЕЭЗ, поэтому стороны заключают стандартные договорные условия Еврокомиссии (Решение (ЕС) 2021/914, модуль 2 «оператор — обработчик»). Они прилагаются к этому соглашению и имеют преимущество при противоречии.

Передача данных субобработчикам за пределы Республики Молдова и ЕЭЗ — только при надлежащем правовом механизме по Закону № 195/2024 и главе V GDPR; механизм указывается в Приложении 3. Иные передачи за рубеж — только по указанию Клиента.

Если орган иностранного государства потребует раскрыть данные Клиента, Исполнитель предупредит Клиента до раскрытия, если закон это позволяет, раскроет только минимально необходимое и обжалует требование, если для этого есть разумные основания.

Запросы субъектов данных рассматривает Клиент. Если запрос придёт Исполнителю, тот не отвечает по существу, а в течение 3 рабочих дней пересылает его Клиенту и сообщает об этом заявителю.

По указанию Клиента Исполнитель в течение 10 рабочих дней выгружает, исправляет, удаляет данные субъекта или ограничивает их обработку в Системах Клиента, чтобы Клиент уложился в месячный срок ст. 12(3) GDPR.

Об обнаруженном нарушении безопасности данных Клиента Исполнитель сообщает Клиенту без необоснованной задержки и не позднее 48 часов с момента, когда узнал о нём, — на адрес для инцидентов, указанный в основном договоре. Это касается и инцидентов в Системах Клиента, которые Исполнитель обнаружил при мониторинге или обслуживании, даже если их причина не связана с действиями Исполнителя.

Уведомление содержит то, что известно на момент отправки: что произошло, какие системы, категории и сколько примерно субъектов и записей затронуты, вероятные последствия, принятые и предлагаемые меры, контакт для связи. Недостающее досылается по мере выяснения; первое уведомление не задерживается ради полной картины.

Исполнитель помогает Клиенту локализовать инцидент и устранить его последствия в объёме услуг по основному договору и сохраняет журналы и другие сведения, нужные для расследования.

Уведомлять CNPDCP, другой надзорный орган и субъектов решает Клиент. Исполнитель делает это сам только по письменному указанию Клиента или если этого требует закон. Все нарушения Исполнитель фиксирует и по запросу передаёт записи Клиенту.

По окончании услуг Исполнитель по выбору Клиента возвращает данные, которые хранятся у Исполнителя, или удаляет их. Клиент сообщает выбор до окончания услуг или в течение 30 календарных дней после; без ответа Исполнитель письменно напоминает и затем удаляет данные.

При окончании услуг Исполнитель также:

• передаёт Клиенту или указанному им новому подрядчику актуальные учётные данные от Систем Клиента, конфигурации и техническую документацию;
• передаёт резервные копии данных Клиента, если они хранятся у Исполнителя;
• отключает свои учётные записи и удаляет из Систем Клиента свои средства удалённого доступа и мониторинга либо передаёт их Клиенту, если он об этом попросит.

Удаление из систем Исполнителя — в течение 30 календарных дней после возврата или истечения срока выбора. Если данные остались в резервных копиях Исполнителя, они удаляются при плановой ротации копий и до того не используются ни для чего, кроме восстановления после аварии. По запросу Исполнитель письменно подтверждает удаление.

Исполнитель может сохранить данные в объёме и на срок, которых требует закон, предупредив Клиента и сохраняя их защиту.

Сначала Исполнитель предоставляет Клиенту документацию: описание мер из Приложения 2 и актуальный перечень субобработчиков. Независимых сертификатов (например, ISO/IEC 27001) и отчётов о внешнем тестировании на проникновение у Исполнителя на дату этой редакции нет.

Если документации недостаточно, Клиент может провести проверку сам или через независимого аудитора, не являющегося конкурентом Исполнителя, — не чаще раза в 12 месяцев, предупредив за 30 календарных дней. После нарушения безопасности, затронувшего данные Клиента, или по требованию надзорного органа — с предупреждением за 5 рабочих дней. Проверка не должна мешать работе Исполнителя и затрагивать данные других клиентов; аудитор подписывает соглашение о неразглашении. Расходы несёт Клиент, если проверка не выявила существенного нарушения этого соглашения Исполнителем.

Ответственность сторон по этому соглашению определяется основным договором, включая его ограничения, если закон не запрещает их применять. Каждая сторона отвечает за ущерб от своего нарушения требований о защите данных; сторона, возместившая субъекту больше своей доли, вправе требовать разницу с другой.

Соглашение действует с подписания и до тех пор, пока Исполнитель не прекратит обработку данных Клиента, включая возврат, удаление и передачу дел по разделу 12. Разделы о конфиденциальности, ответственности и удалении данных действуют и после окончания основного договора.

К соглашению применяется право Республики Молдова, если стороны письменно не договорились об ином; это не ограничивает прав субъектов и полномочий надзорных органов по GDPR и Закону № 195/2024. По вопросам защиты данных соглашение имеет преимущество перед основным договором. Изменения — письменно, кроме Приложения 3, которое обновляется в порядке раздела 8.

Заполняется при подписании под конкретные услуги:

• предмет обработки — какие услуги из основного договора оказываются и какие Системы Клиента обслуживаются;
• категории субъектов — например, сотрудники Клиента, его клиенты и контрагенты, посетители помещений, абоненты телефонии;
• категории данных — например, учётные записи и контакты сотрудников, содержимое почты и файлов, данные в 1С и UNA (в том числе кадровые и расчётные), записи видеонаблюдения, журналы проходов СКУД, журналы и записи звонков, технические журналы и данные мониторинга;
• особые категории по ст. 9 GDPR, в том числе биометрические данные в СКУД, — по умолчанию не обрабатываются; если они есть в Системах Клиента, это указывается здесь вместе с дополнительными мерами;
• где хранятся данные — в инфраструктуре Клиента, у его поставщиков или у Исполнителя (например, резервные копии и данные мониторинга), и какие средства удалённого доступа и мониторинга устанавливает Исполнитель;
• срок — срок основного договора плюс возврат, удаление и передача дел по разделу 12.

Характер обработки: хранение, систематизация, изменение, извлечение, резервное копирование, восстановление, перенос между системами, удаление — в объёме, нужном для услуг. Содержимое данных Исполнитель просматривает только по заявке Клиента и при устранении сбоев.

Меры пересматриваются не реже раза в 12 месяцев и после существенных изменений в услугах или инфраструктуре.

Перечень субобработчиков, которых Исполнитель привлекает к работам для Клиента, приводится в приложении к основному договору: наименование, страна, что делает, к каким данным имеет доступ, механизм передачи за рубеж. Перечень обновляется в порядке раздела 8; действующую редакцию Исполнитель предоставляет Клиенту по запросу.

Сервисы, договор на которые Клиент заключил сам, в перечень не входят (раздел 7).

Вопросы по этому соглашению и по защите данных — на dpo@itcore.md.