Договор об обработке персональных данных

Оператор (компания):

Наименование

Адрес

Регистрационный номер

ИНН (PIB)

Представитель

E-mail по вопросам данных

Обработчик: [NAZIV PRAVNOG LICA], [ULICA I BROJ, POŠTANSKI BROJ, MESTO], регистрационный номер [MATIČNI BROJ], ИНН (PIB) [PIB], e-mail [privatnost@<domain>].

Договор заключается путём принятия Условий использования или подписания настоящего образца и действует со дня открытия учётной записи Оператора.

Настоящий договор регулирует права и обязанности сторон в связи с обработкой персональных данных, которую Обработчик осуществляет от имени Оператора при оказании услуги Apointo, в соответствии со статьёй 45 Закона о защите персональных данных (Закон).

Обработчик собирает данные через сайт Оператора, хранит, упорядочивает, отображает их уполномоченным пользователям Оператора, использует для отправки уведомлений о записях, копирует в резервные копии и удаляет — исключительно для оказания услуги онлайн-записи и ведения записей.

Обработка длится в течение срока действия договора об использовании услуги с учётом сроков, указанных в статье 9.

• Клиенты Оператора: имя и фамилия, номер телефона, адрес e-mail, комментарий клиента, записи (услуга, сотрудник, время, статус) и внутренние заметки Оператора.
• Сотрудники и партнёры Оператора: имя, адрес e-mail, роль, график работы и отсутствия.

Оператор обязуется не вносить в услугу особые категории персональных данных (статья 17 Закона), например данные о здоровье или аллергиях, если у него нет для этого правового основания и он предварительно письменно не уведомил Обработчика.

Обработчик обрабатывает данные только на основании документированных указаний Оператора. Указаниями считаются настоящий договор, настройки и действия Оператора в услуге, а также письменные указания, направленные на e-mail Обработчика.

Обработчик без промедления сообщает Оператору, если считает какое-либо указание противоречащим закону. Обработчик может обрабатывать данные без указаний, если это требуется по закону, и сообщает об этом Оператору, если закон это не запрещает.

• Обеспечивает, чтобы лица, имеющие доступ к данным, были связаны обязательством о конфиденциальности.
• Применяет технические, организационные и кадровые меры защиты, указанные в Приложении 2 (статья 50 Закона).
• По мере возможности помогает Оператору отвечать на запросы субъектов об осуществлении прав, а запросы, полученные напрямую, без промедления передаёт Оператору.
• Помогает Оператору выполнять обязанности по статьям 50–55 Закона (безопасность, нарушения, оценка воздействия и предварительная консультация с Уполномоченным).
• Предоставляет Оператору информацию, необходимую для подтверждения выполнения обязательств по настоящему договору.

Обработчик уведомляет Оператора о нарушении безопасности персональных данных без неоправданной задержки, но не позднее 48 часов с момента, когда ему стало об этом известно, чтобы Оператор мог в течение 72 часов уведомить Уполномоченного (статья 52 Закона). Уведомление содержит описание нарушения, категории и примерное число субъектов и записей, вероятные последствия и принятые меры.

Оператор даёт общее письменное разрешение на привлечение Обработчиком субобработчиков, указанных в Приложении 1. О намерении добавить или заменить субобработчика Обработчик уведомляет Оператора не менее чем за 30 дней; в этот срок Оператор может заявить обоснованное возражение и, если соглашение не достигнуто, отказаться от услуги без штрафа.

Обработчик договором возлагает на субобработчиков те же обязанности по защите данных и отвечает перед Оператором за их работу.

Данные хранятся в регионе EU (Frankfurt, Nemačka). Передача данных субобработчикам за пределы Республики Сербия осуществляется только в соответствии со статьями 63–65 Закона, а если страна получателя не входит в список стран с надлежащим уровнем защиты, — на основании стандартных договорных положений или иных надлежащих мер защиты.

После прекращения договора об использовании услуги Оператор может в течение 30 дней выгрузить данные. По истечении этого срока Обработчик удаляет все данные Оператора, если их хранение не предусмотрено законом, а копии в зашифрованных резервных копиях исчезают не позднее чем через следующие 30 дней.

Не чаще одного раза в год и с уведомлением не менее чем за 30 дней Оператор может самостоятельно или через уполномоченного аудитора, связанного обязательством о конфиденциальности, проверить выполнение обязательств Обработчиком — прежде всего на основании документации, которую предоставляет Обработчик. Расходы на проверку несёт Оператор.

Оператор отвечает за законность обработки, наличие правового основания, точность вносимых данных и информирование субъектов об обработке (статья 23 Закона), включая информацию о том, что данные от его имени обрабатывает Обработчик.

В вопросах защиты персональных данных настоящий договор имеет преимущество перед Условиями использования. Ответственность сторон регулируется Законом (статья 86) и Условиями использования. К договору применяется право Республики Сербия, споры рассматривает компетентный суд в Белграде. Преимущественную силу имеет текст на сербском языке.

За Оператора (имя, подпись, дата)

За Обработчика (имя, подпись, дата)

• Зашифрованная передача данных (HTTPS, HSTS) и шифрование хранимых данных у поставщика инфраструктуры.
• Разделение данных каждого Оператора на уровне базы данных (правила доступа на уровне строк) и доступ по ролям по принципу минимальных привилегий.
• Двухфакторный вход для администраторов платформы; пароли хранятся только в виде криптографического хеша.
• Ссылки, с помощью которых клиенты управляют записью, хранятся только в виде хеша и не могут быть восстановлены из базы данных.
• Журнал действий пользователей без персональных данных клиентов.
• Защита форм от ботов и ограничение числа запросов.
• Ночные резервные копии, зашифрованные открытым ключом, закрытая часть которого хранится вне инфраструктуры, в отдельном хранилище, с периодической проверкой восстановления.
• Удаление адресов e-mail, номеров телефонов и ссылок доступа из отчётов об ошибках и журналов.
• Регулярное обновление программного обеспечения, автоматическая проверка известных уязвимостей и заголовки безопасности (CSP).
• Письменные процедуры на случай инцидентов, восстановления и смены ключей доступа.