Соглашение об обработке данных (DPA)

Настоящее Соглашение об обработке данных («DPA») — часть Условий использования между Клиентом и BA Solutions, LLC («Gramdesk», «мы»). Оно применяется, когда мы обрабатываем персональные данные Конечных пользователей Клиента по его поручению и к этой обработке применяется Общий регламент ЕС по защите данных (GDPR), UK GDPR, швейцарский закон FADP или другой закон о защите данных со сходными требованиями («Законодательство о защите данных»). Клиент принимает DPA, принимая Условия; подпись не нужна. Если DPA и Условия расходятся в вопросах обработки персональных данных, действует DPA.

«Конечные пользователи» — люди, которые пишут подключённому Клиентом аккаунту Instagram, комментируют его или иначе с ним взаимодействуют, а также все, кого Клиент записывает как контакт. Термины «контролёр» (оператор), «обработчик», «утечка персональных данных» и «субъект данных» имеют значения из GDPR.

Клиент — оператор, а мы — обработчик данных Конечных пользователей, описанных в Приложении I. Клиент отвечает за законность обработки, которую поручает, в том числе за наличие правового основания для неё и для применения к ней функций ИИ, за информирование Конечных пользователей, которого требует закон, и за точность данных, которые вносит. Клиент не поручает нам обрабатывать особые категории данных и понимает, что Конечные пользователи могут сами отправить такие данные в сообщениях.

Мы обрабатываем данные Конечных пользователей только по документированным указаниям Клиента — это Условия, DPA и то, как Клиент пользуется Сервисом и настраивает его: например, какие аккаунты подключает, какие функции ИИ включает и что отправляет, — если иное не требуется законом; в этом случае мы заранее сообщим Клиенту, если закон это не запрещает. Мы сообщим Клиенту, если, по нашему мнению, указание нарушает Законодательство о защите данных.

Клиент также поручает нам выполнять запросы на удаление, которые Meta передаёт от пользователей Instagram: такой запрос удаляет данные этого аккаунта Instagram во всех рабочих пространствах, где он подключён, включая пространство Клиента.

Мы не продаём данные Конечных пользователей, не используем их для рекламы, не составляем по ним профили людей, не используем их для слежки и для каких-либо собственных целей.

Законы штатов США о защите данных

Если применяется Закон Калифорнии о защите прав потребителей на неприкосновенность частной жизни (CCPA) или сходный закон штата США, мы действуем как поставщик услуг или обработчик Клиента. Мы не будем продавать или передавать данные Конечных пользователей; хранить, использовать или раскрывать их вне наших прямых деловых отношений с Клиентом или для иных целей, кроме предоставления Сервиса; объединять их с персональными данными, полученными от других, — кроме случаев, разрешённых этим законом. Мы будем соблюдать этот закон, обеспечим данным Конечных пользователей требуемую им защиту и сообщим Клиенту, если больше не сможем выполнять эти обязанности, чтобы Клиент мог принять разумные меры для прекращения и устранения несанкционированного использования.

Люди, которым мы разрешаем обрабатывать данные Конечных пользователей, связаны обязательством конфиденциальности и получают доступ только в той мере, в какой это нужно, чтобы предоставлять, поддерживать и защищать Сервис.

Мы применяем технические и организационные меры из Приложения II с учётом современного уровня технологий, затрат и рисков обработки. Мы можем их обновлять, если общий уровень защиты не снижается.

Клиент даёт нам общее разрешение привлекать субобработчиков данных Конечных пользователей. Текущий список — первая таблица на странице Субобработчики; остальные указанные там поставщики данных Конечных пользователей не получают или получают их только потому, что Клиент сам их туда отправляет (подключённый им чат Telegram). О новом субобработчике данных Конечных пользователей мы объявим там не позднее чем за 30 дней до того, как он начнёт их обрабатывать, кроме случаев, когда замена срочно нужна для работы или безопасности Сервиса, — тогда мы объявим о ней как можно скорее. В этот срок Клиент может возразить по обоснованным причинам, связанным с защитой данных, написав на support@gramdesk.io; если мы не можем разумно учесть возражение, Клиент может прекратить затронутую часть Сервиса, и мы вернём предоплату за оставшуюся часть периода банковским переводом или зачислением на аккаунт. На каждого субобработчика мы возлагаем обязанности по защите данных не ниже установленных DPA и отвечаем за их исполнение.

С учётом характера обработки мы помогаем Клиенту отвечать на запросы Конечных пользователей об осуществлении их прав — в частности, удаляя данные подключённого аккаунта или контакта и предоставляя копию данных по запросу, — а также с оценкой воздействия на защиту данных и предварительными консультациями в части, касающейся Сервиса. Если Конечный пользователь обратится к нам напрямую, мы передадим запрос Клиенту и не будем отвечать сами, если закон не требует иного.

Мы уведомим Клиента без неоправданной задержки после того, как узнаем об утечке, затрагивающей данные Конечных пользователей, сообщим по мере появления сведения, которые нужны Клиенту для исполнения его собственных обязанностей, и примем разумные меры, чтобы её локализовать.

Когда Клиент отключает аккаунт Instagram, мы безвозвратно удаляем данные, импортированные из него в это пространство. Когда аккаунт Клиента удаляется, мы удаляем данные Конечных пользователей в течение 30 дней; копии в резервных копиях базы перезаписываются ещё в течение 7 дней. До удаления Клиент может запросить копию своих данных по адресу support@gramdesk.io; мы предоставим её в течение 30 дней файлом JSON в машиночитаемом виде. Дольше мы храним данные, только если этого требует закон.

Мы предоставляем информацию, разумно необходимую, чтобы подтвердить соблюдение DPA, в том числе ответы на разумные опросники по безопасности. Если этого недостаточно, Клиент может раз в год, предупредив за 30 дней, поручить независимому аудитору, связанному обязательством конфиденциальности, проверить относящиеся к делу записи за счёт Клиента — так, чтобы не нарушать работу Сервиса и не раскрывать данные других клиентов.

Мы зарегистрированы в США, Сервис размещён в Швеции, а некоторые субобработчики находятся в других странах (см. страницу Субобработчики). Если Законодательство о защите данных ограничивает передачу данных Конечных пользователей нам или дальше, в DPA по ссылке включаются:

• Стандартные договорные условия, утверждённые Исполнительным решением Комиссии (ЕС) 2021/914, — Модуль 2 (от оператора обработчику) и Модуль 3 (от обработчика обработчику), если Клиент сам является обработчиком, — при этом: пункт 7 не включается; пункт 9 — вариант 2 со сроком уведомления из § 6; необязательная формулировка пункта 11 не включается; пункт 17 — вариант 1, право Ирландии; пункт 18 — суды Ирландии; Приложения I и II — как изложено ниже;
• для Великобритании — Дополнение о международной передаче данных, выпущенное Комиссаром по информации, с Частью 1, заполненной по этому DPA, и правом каждой стороны прекратить его по его разделу 19;
• для Швейцарии — те же Стандартные договорные условия, где применимым правом является FADP, если передача им регулируется, компетентным органом — Федеральный уполномоченный по защите данных и информации, а «государство-член» включает Швейцарию.

Если государственный орган запросит у нас данные Конечных пользователей, мы сообщим Клиенту, если закон это не запрещает, оспорим запрос при разумных основаниях и раскроем не больше, чем законно требует запрос.

C. Компетентный надзорный орган

• Если Клиент учреждён в ЕС, — надзорный орган, ответственный за него по пункту 13(a).
• Если Клиент не учреждён в ЕС, но назначил представителя по статье 27 GDPR, — надзорный орган государства-члена, где учреждён представитель.
• Если Клиент не учреждён в ЕС и не обязан назначать представителя, — Комиссия по защите данных Ирландии.
• Для передачи по UK GDPR — Офис Комиссара по информации; по FADP — Федеральный уполномоченный Швейцарии по защите данных и информации.

• Шифрование при передаче: TLS на всех соединениях с сайтом, консолью и API.
• Шифрование при хранении: хранилища базы данных и файлов зашифрованы средствами AWS.
• Токены доступа Instagram и токены платёжных карт зашифрованы в базе алгоритмом Fernet (AES-128-CBC с HMAC-SHA256).
• База данных — в закрытых подсетях, недоступна из интернета; отдельная роль базы данных для приложения.
• Учётные данные базы данных и другие производственные секреты передаются серверам из AWS Secrets Manager.
• Размещение в AWS eu-north-1 (Стокгольм); автоматические резервные копии базы хранятся 7 дней.
• Ролевой доступ внутри каждого пространства; журнал действий в пространстве.
• Секреты приглашений хранятся только в виде хешей; ограничения на повторные попытки входа и запросы кодов.
• Токены доступа и полные номера телефонов не попадают в журналы; журналы удаляются через 30 дней.
• Мониторинг ошибок настроен не передавать персональные данные по умолчанию; записи сессий скрываются в браузере.
• Доступ сотрудников ограничен тем, что нужно для работы и поддержки Сервиса.