Настоящее Соглашение об обработке данных («DPA») является частью Условий использования Adapty (как они определены ниже), заключенных между Клиентом и Adapty, которые регулируют использование и предоставление Клиентом услуг Adapty.
Клиент и Adapty далее совместно именуются «Стороны», а по отдельности — «Сторона». Сведения о Сторонах приведены в Приложении 1.
В случае противоречия или несоответствия положениям Условий использования Adapty настоящее DPA имеет преимущественную силу над иными положениями Условий использования Adapty в той мере, в какой существует такое противоречие или несоответствие.
Термины, написанные с заглавной буквы и не определенные в настоящем документе иным образом, имеют значение, установленное Условиями использования Adapty.
Настоящее DPA, включая все приложения, устанавливает обязательства Сторон по защите данных в отношении Персональных данных, обрабатываемых Adapty от имени Клиента, как описано в Приложении 1 к настоящему DPA, в соответствии с Применимым законодательством о защите персональных данных.
1. Определения
1.1. Условия использования Adapty означают условия использования, размещенные по адресу https://adapty.io/terms/, или иное письменное или электронное соглашение между Клиентом и Adapty.
1.2. Применимое законодательство о защите персональных данных означает все законы, законодательные акты, регламенты, постановления, кодексы, правила, руководящие указания, распоряжения или любые иные правовые обязательства, установленные любым государственным органом, которые регулируют сбор, использование, передачу и раскрытие Персональных данных.
1.3. Контролер данных означает физическое лицо или организацию, которые определяют цели и средства обработки Персональных данных либо иным образом отвечают за принятие решений в отношении обработки Персональных данных.
1.4. Обработчик данных означает физическое или юридическое лицо либо иной орган, который обрабатывает Персональные данные от имени Контролера.
1.5. Запрос субъекта данных имеет значение, установленное в пункте 3.2 настоящего DPA.
1.6. Субъект данных означает прямо или косвенно идентифицированное либо идентифицируемое физическое лицо, к которому относятся Персональные данные.
1.7. GDPR означает Регламент (ЕС) 2016/679 Европейского парламента и Совета о защите физических лиц при обработке персональных данных и о свободном обращении таких данных, а также об отмене Директивы 95/46/ЕС.
1.8. UK GDPR означает сохраненную редакцию Общего регламента ЕС о защите данных ((ЕС) 2016/679) (EU GDPR) в том виде, в каком он является частью права Англии и Уэльса, Шотландии и Северной Ирландии в силу раздела 3 European Union (Withdrawal) Act 2018, и с изменениями, внесенными приложением 1 к Data Protection, Privacy and Electronic Communications (Amendment etc.) (EU Exit) Regulations 2019 (SI 2019/419).
1.9. Персональные данные означают любую информацию, которая относится к идентифицированному или идентифицируемому физическому лицу и регулируется Применимым законодательством о защите персональных данных, предоставленную Клиентом для обработки, включая информацию, относящуюся к идентифицированному или идентифицируемому лицу.
1.10. Нарушение защиты персональных данных означает нарушение безопасности, повлекшее случайное или незаконное уничтожение, утрату, изменение, несанкционированное раскрытие Персональных данных или несанкционированный доступ к ним.
1.11. Обработка, обрабатывает и обрабатывать означают любую деятельность, связанную с использованием Персональных данных, либо то, что может быть установлено Применимым законодательством о защите персональных данных в отношении понятий «обработка», «обрабатывает» или «обрабатывать». Сюда относится любая операция или совокупность операций, совершаемых с Персональными данными или с наборами Персональных данных с использованием или без использования средств автоматизации, такие как сбор, запись, систематизация, структурирование, хранение, адаптация или изменение, извлечение, просмотр, использование, раскрытие путем передачи, распространение или иное предоставление доступа, сопоставление или комбинирование, ограничение, удаление или уничтожение. Обработка также включает передачу Персональных данных третьим лицам.
1.12. Стандартные договорные условия (SCC) означают стандартные договорные условия, утвержденные Европейской комиссией (с учетом их обновления, изменения, замены или отмены Европейской комиссией с течением времени). Если Европейская комиссия заменит Стандартные договорные условия измененными или новыми стандартными договорными условиями, то в той мере, в какой соответствующий надзорный орган одобряет использование таких измененных или новых стандартных договорных условий, ссылки в настоящем документе на «Стандартные договорные условия» толкуются как ссылки на такие измененные или новые стандартные договорные условия.
1.13. Субобработчик означает стороннего обработчика данных, привлеченного Adapty, которому предоставлен или потенциально может быть предоставлен доступ к Персональным данным либо который обрабатывает Персональные данные.
1.14. Уведомление о смене субобработчика имеет значение, установленное в пункте 4.1 настоящего DPA.
2. Обработка персональных данных
2.1. Роли Сторон
Стороны признают и соглашаются, что в отношении обработки персональных данных Клиент является контролером, а Adapty — обработчиком.
2.2. Сведения об обработке данных
Предмет, срок, характер и цель (цели) обработки персональных данных, а также тип персональных данных и категории субъектов данных указаны в Приложении 1.
2.3. Объем обработки
Adapty воздерживается от обработки персональных данных за пределами разумных и обычных указаний, установленных Клиентом, как это предусмотрено Условиями использования Adapty или настоящим DPA, за исключением случаев, когда такая обработка требуется в соответствии с применимым законодательством, которому подчиняется Adapty.
2.4. Инструкции Клиента
Инструкции Клиента по обработке персональных данных должны соответствовать применимому законодательству о защите персональных данных. Клиент несет единоличную ответственность за точность, качество и законность персональных данных, а также за способы, которыми Клиент получает персональные данные. Без ограничения вышеизложенного Клиент несет единоличную ответственность за обеспечение наличия надлежащего правового основания и права на обработку персональных данных в соответствии с положениями Условий использования Adapty и настоящего DPA. Клиент, в частности, признает и соглашается, что использование им Сервисов не будет нарушать права какого-либо субъекта данных.
2.5. Законное основание для обработки
Клиент признает и соглашается, что Сервисы Adapty зависят от подтвержденного законного основания и основываются на нем, при этом Клиент обязан получить такое основание, а Adapty полагается на него. Клиент заверяет, что такое законное основание существует.
2.6. Защита персональных данных детей
При обработке персональных данных детей (как они определены в применимом законодательстве о защите персональных данных) Клиент обязан соблюдать дополнительные требования, установленные правилами платформ, нормативными актами и применимым законодательством о защите персональных данных, которые направлены на защиту детей. Некоторые из этих законов направлены непосредственно на защиту детей (например, COPPA), тогда как другие имеют более широкую сферу действия, но содержат особые меры защиты детей (например, GDPR и аналогичные региональные законы).
3. Запросы субъектов данных
3.1. Ответы на Запросы субъектов данных
Клиент несет единоличную ответственность за соблюдение любых правовых обязательств в отношении запросов на осуществление прав субъектов данных в соответствии с применимым законодательством о защите персональных данных. Стороны соглашаются и признают, что Adapty не имеет возможности отвечать на запросы субъектов данных.
3.2. Запросы субъектов данных
Ответственность Клиента и обработка Запросов субъектов данных. Клиент несет единоличную ответственность за соблюдение любых установленных законом обязательств в отношении Запросов субъектов данных в соответствии с Применимым законодательством о защите персональных данных. Клиент уполномочивает Adapty, действующую исключительно на основании документально оформленных инструкций Клиента и в качестве Обработчика Клиента, автоматически обрабатывать и исполнять запросы на отписку и возражения против прямого маркетинга, полученные непосредственно от Получателей через механизмы отписки, доступные в Сообщениях, в том числе путем добавления соответствующего Получателя в стоп-лист Клиента.
За исключением случаев, прямо предусмотренных настоящим пунктом, Adapty не отвечает по существу на Запросы субъектов данных от имени Клиента и в той мере, в какой это допускается законом, перенаправляет Субъекта данных к Клиенту и (или) уведомляет Клиента в соответствии с настоящим пунктом.
3.3. Запрос субъекта
Если Клиент запрашивает помощь Adapty в ответе на запрос, Adapty в той мере, в какой это практически осуществимо, прилагает коммерчески разумные усилия для оказания Клиенту помощи в ответе на такой запрос в той мере, в какой Adapty имеет на это законное право и ответ на такой запрос требуется применимым законодательством о защите персональных данных.
3.4. Расходы
В той мере, в какой это допускается законом, Клиент несет ответственность за любые расходы, понесенные в результате оказания Adapty такой помощи, включая любую плату, связанную с предоставлением дополнительной функциональности. В таких случаях Adapty заранее уведомляет Клиента об этих расходах.
4. Привлечение субобработчиков
4.1. Назначение субобработчиков
Клиент уполномочивает Adapty назначать субобработчиков в соответствии с настоящим разделом и с учетом любых ограничений, предусмотренных DPA. Клиент признает и соглашается, что Adapty вправе привлекать субобработчиков без предварительного согласия Клиента. Условием, при котором стороннему субобработчику разрешается обрабатывать персональные данные, является заключение Adapty с каждым субобработчиком письменного соглашения, содержащего обязательства по защите данных, которые обеспечивают уровень защиты персональных данных не ниже предусмотренного настоящим DPA. Adapty в письменной форме уведомляет Клиента о любых предполагаемых изменениях, касающихся добавления или замены субобработчиков, до внесения таких изменений в состав субобработчиков (далее — «Уведомление о смене субобработчика»). Клиент вправе возразить против таких изменений в составе субобработчиков в соответствии с пунктом 4.2 настоящего DPA.
4.2. Текущий перечень субобработчиков
Текущий перечень субобработчиков, привлекаемых Adapty для обработки, приведен в Приложении 3 к настоящему DPA. Adapty обновляет перечень субобработчиков в настоящем DPA в течение тридцати (30) дней после любых изменений, связанных с добавлением или заменой субобработчика.
4.3. Ответственность
В отношении каждого субобработчика Adapty обязуется: (i) принимать разумные меры для обеспечения того, чтобы субобработчик был обязан обеспечивать уровень защиты персональных данных, требуемый DPA, и (ii) нести полную ответственность перед Клиентом за соблюдение субобработчиком его обязательств по защите данных в случае, если субобработчик не исполнит такие обязательства.
4.4. Право на возражение против субобработчиков
Клиент вправе обоснованно возразить против любого предполагаемого изменения, связанного с добавлением или заменой субобработчика (например, если предоставление персональных данных субобработчику может нарушить применимое законодательство о защите данных или ослабить защиту таких персональных данных), незамедлительно уведомив Adapty об этом в письменной форме в течение тридцати (30) дней с момента получения уведомления о смене субобработчика. В таком уведомлении Клиент должен изложить разумные основания для возражения.
Если Клиент уведомит Adapty о таком возражении, стороны добросовестно проведут переговоры по данному вопросу с целью достижения коммерчески разумного решения. Если такие возражения не удается урегулировать в течение пятнадцати (15) дней, поскольку обработка не может надлежащим образом продолжаться без участия такого субобработчика, Adapty вправе отказаться от дальнейшей обработки в соответствии с настоящим DPA и расторгнуть Условия использования Adapty без ответственности за такое расторжение.
5. Трансграничная передача персональных данных
5.1. Передача из ЕС
В той мере, в какой обработка Персональных данных защищается GDPR, Стороны настоящим соглашаются, что такая передача регулируется SCC, которые включены в настоящее DPA посредством ссылки и являются его неотъемлемой частью. Варианты и приложения SCC считаются заполненными на основании Приложения 4 к настоящему DPA.
5.2. Передача из Швейцарии
В той мере, в какой обработка Персональных данных защищается Федеральным законом Швейцарии о защите данных от 19 июня 1992 года («FADP»), Стороны настоящим соглашаются, что такая передача регулируется SCC с необходимыми адаптациями, благодаря которым SCC соответствуют швейцарскому праву и, следовательно, пригодны для обеспечения надлежащего уровня защиты при передаче данных из Швейцарии в третью страну в соответствии с подпунктом a пункта 2 статьи 6 FADP. Перечень адаптаций приведен в пункте 4.3 для передачи персональных данных в страну с ненадлежащим уровнем защиты данных на основе стандартных договорных условий и типовых договоров от 27 августа 2021 года Федерального уполномоченного по защите данных и информации (доступны по адресу https://www.edoeb.admin.ch/edoeb/en/home/data-protection/handel-und-wirtschaft/transborder-data-flows.html). Применяется Пример 2 Случая 2.
5.3. Передача из Великобритании
В той мере, в какой обработка Персональных данных защищается UK GDPR, Стороны настоящим соглашаются, что такая передача регулируется Международным дополнением к стандартным договорным условиям Европейской комиссии для международной передачи данных, размещенным по адресу https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf, в редакции, принятой, измененной или обновленной Управлением Уполномоченного по информации Великобритании, Парламентом или Государственным секретарем.
6. Технические и организационные меры
6.1. Технические и организационные меры
Adapty обязуется внедрить и поддерживать надлежащие технические и организационные меры для обеспечения надлежащего уровня безопасности, конфиденциальности и целостности Персональных данных, включая, когда это уместно и применимо, меры, предусмотренные статьей 32 GDPR, как указано в Приложении 2 к настоящему DPA, для защиты Персональных данных от:
- случайного или незаконного уничтожения, а также
- утраты, изменения, несанкционированного раскрытия Персональных данных или несанкционированного доступа к ним (каждое из которых — «Нарушение защиты персональных данных»).
6.2. Контроль соблюдения
Adapty регулярно контролирует соблюдение мер, изложенных в Приложении 2 к настоящему DPA.
6.3. Содействие в обеспечении соблюдения
С учетом характера Обработки и Персональных данных, доступных Adapty, Adapty оказывает Клиенту содействие в обеспечении соблюдения обязательств, предусмотренных статьями 32–36 GDPR.
7. Нарушение защиты персональных данных
7.1. Уведомление о Нарушении защиты персональных данных
Если Adapty станет известно о нарушении защиты персональных данных, Adapty в той мере, в какой это допускается законом, без неоправданной задержки уведомляет Клиента по электронной почте после того, как Adapty или любому Субобработчику станет известно о нарушении защиты персональных данных, затрагивающем персональные данные Клиента, и предоставляет разумно необходимую информацию (в той мере, в какой такая информация в разумных пределах известна Adapty и (или) находится под ее контролем).
7.2. Сотрудничество
Adapty с учетом характера обработки и информации, доступной Adapty, сотрудничает с Клиентом, оказывая ему содействие в исполнении любых обязательств по информированию субъектов данных или органов по защите данных о нарушении защиты персональных данных в соответствии с Применимым законодательством о защите персональных данных. Adapty также принимает любые меры и действия, разумно необходимые для устранения или смягчения последствий нарушения защиты персональных данных, и информирует Клиента обо всех существенных обстоятельствах, связанных с нарушением защиты персональных данных.
8. Аудит
8.1. Право Клиента на проведение аудита
Adapty предоставляет Клиенту всю информацию, разумно необходимую для подтверждения соблюдения обязательств, установленных настоящим DPA, и содействует проведению аудитов, включая проверки, осуществляемых Клиентом или иным аудитором, уполномоченным Клиентом, в отношении соблюдения обязательств по настоящему DPA.
8.2. Содействие Adapty в проведении аудита
Adapty предоставляет Клиенту всю информацию, системы и персонал, разумно необходимые Клиенту или его сторонним аудиторам для проведения такого аудита, при условии что Клиент:
8.2.1. направляет уведомление за сорок пять (45) дней до проведения аудита; и
8.2.2. проводит аудит в обычное рабочее время; и
8.2.3. принимает все разумные меры для предотвращения излишних помех в деятельности Adapty. Такие аудиты должны быть строго ограничены информацией, связанной с обработкой персональных данных.
8.3. Параметры аудита
Стороны по взаимному согласию определяют объем, сроки и продолжительность аудита или проверки.
8.4. Конфиденциальность
Все аудиты по настоящему DPA проводятся с соблюдением обязательств о конфиденциальности. Клиент обязан предоставить Adapty полный отчет об аудите и не вправе передавать его третьим лицам, за исключением своих бухгалтеров и юридических консультантов, которые обязаны соблюдать конфиденциальность. Клиент не вправе использовать такой отчет об аудите для каких-либо целей, кроме оценки соблюдения Adapty настоящего DPA.
8.5. Расходы
Клиент несет расходы на проведение такого аудита, если Стороны не договорятся об ином.
8.6. Периодичность аудитов
Клиент не вправе осуществлять свои права на проведение аудита чаще одного раза в течение любых двенадцати (12) календарных месяцев, за исключением следующих случаев:
8.6.1. если и когда этого требует компетентный орган по защите данных; или
8.6.2. если это необходимо в связи с нарушением безопасности персональных данных, произошедшим у Adapty и (или) Субобработчиков.
9. Конфиденциальность
9.1. Adapty принимает все разумные меры для обеспечения благонадежности любого персонала, уполномоченного обрабатывать персональные данные, и обеспечивает, чтобы такой персонал был связан надлежащими обязательствами о конфиденциальности и во всех случаях действовал в соответствии с применимым законодательством о защите данных.
10. Удаление или возврат персональной информации
10.1 В случае (i) прекращения действия настоящего DPA, или (ii) письменного запроса Клиента, или (iii) если Adapty более не требуется обрабатывать Персональные данные для исполнения своих обязательств по Условиям использования Adapty и настоящему DPA, или (iv) если Adapty отказывается от обработки в соответствии с пунктом 4.4 настоящего DPA, Adapty по выбору Клиента удаляет, уничтожает или возвращает Клиенту все Персональные данные и уничтожает или возвращает все существующие копии, если только Применимое законодательство о защите персональных данных не обязывает Adapty хранить копию Персональных данных в течение определенного срока хранения. По истечении такого срока хранения Adapty незамедлительно удаляет или уничтожает все оставшиеся Персональные данные.
В отношении профилей Получателей Adapty Mail удаление осуществляется путем необратимой деидентификации Персональных данных в профиле и пометки профиля как удаленного. Полученная в результате запись не может в разумных пределах быть использована Adapty — самостоятельно или в сочетании с иной доступной Adapty информацией — для идентификации или повторной идентификации соответствующего Получателя.
Резервные копии хранятся и перезаписываются в соответствии со стандартным циклом ротации резервных копий Adapty.
10.2. Если Персональные данные обрабатывались какими-либо Подрядчиками, Adapty обеспечивает, чтобы в таких случаях такие Подрядчики также вернули, удалили или уничтожили все находящиеся у них Персональные данные в соответствии с условиями, изложенными в настоящем разделе.
11. Права потребителей Калифорнии на неприкосновенность частной жизни
11.1. Термины «Персональная информация», «Потребитель» и иные термины, написанные с заглавной буквы, в настоящем разделе 11 имеют значения, установленные California Consumer Privacy Act of 2018, Cal. Civ. Code §§ 1798.100 et seq., с учетом последующих изменений («CCPA»).
11.2. Настоящим согласовано, что любой обмен персональными данными между Сторонами осуществляется исключительно в целях достижения деловой цели и Adapty не получает и не обрабатывает какие-либо персональные данные в качестве вознаграждения за Сервисы.
11.3. Соответственно, Клиент несет единоличную ответственность за соблюдение CCPA в связи с использованием им Сервисов. Клиент несет единоличную ответственность и единолично отвечает за обеспечение того, чтобы обмен или передача персональных данных Субъектов данных в ходе предоставления Сервисов не являлись Продажей персональных данных.
11.4. Adapty не будет хранить, использовать или передавать персональные данные в коммерческих целях, кроме как для предоставления Сервисов, указанных в Условиях использования Adapty.
12. Срок действия
12.1. Настоящее DPA вступает в силу с даты, указанной в Условиях использования Adapty. Настоящее DPA действует до тех пор, пока действуют Условия использования Adapty.
13. Делимость положений
13.1. Если какое-либо положение настоящего DPA является или будет признано недействительным, не имеющим силы или не подлежащим исполнению полностью или частично, это не влияет на действительность, действие и исполнимость остальных положений настоящего DPA.
13.2. Любое такое недействительное, не имеющее силы или не подлежащее исполнению положение в той мере, в какой это допускается законом, считается замененным таким действительным, имеющим силу и подлежащим исполнению положением, которое наиболее точно отражает экономический замысел и цель недействительного, не имеющего силы или не подлежащего исполнению положения в отношении его предмета, времени, места и сферы применения.
13.3. Указанное правило применяется с соответствующими изменениями для восполнения любых пробелов, которые могут быть обнаружены в настоящем DPA.
14. Полнота соглашения
14.1. Стороны прямо заявляют, что настоящее DPA (включая приложения, на которые в нем имеются ссылки) и документы, на которые в нем имеются ссылки, составляют полное соглашение между Сторонами и заменяют собой любые предшествующие проекты, соглашения, обязательства, взаимопонимания, условия и договоренности любого рода между Сторонами, как в письменной, так и в иной форме, в отношении предмета настоящего DPA независимо от какого-либо противоречащего этому порядка приоритета.
15. Применимое право и юрисдикция
15.1. DPA регулируется правом в соответствии с условиями, изложенными в Условиях использования Adapty.
15.2. Стороны настоящим подчиняются юрисдикции, выбранной в DPA, в отношении любых споров или требований, каким бы то ни было образом возникающих из настоящего DPA, включая споры относительно его существования, действительности или прекращения, а также последствий его недействительности.
16. Прочие положения
16.1. В случае противоречия или неясности между:
16.1.1 любым положением DPA и любым положением Условий использования Adapty преимущественную силу имеют положения DPA;
16.1.2. любым положением настоящего DPA и любыми подписанными SCC преимущественную силу имеют положения подписанных SCC.
Приложение 1. Параметры обработки данных
Часть A. Перечень Сторон
Контролер
| Наименование | Наименование Клиента, указанное в Договоре, при регистрации или в отдельной Форме заказа |
|---|---|
| Адрес | Адрес Клиента, указанный в Договоре, при регистрации или в отдельной Форме заказа |
| Официальный регистрационный номер | Регистрационный номер Клиента, указанный в Договоре или в отдельной Форме заказа |
| Имя, должность и контактные данные контактного лица | Представитель Клиента, указанный в Договоре или в отдельной Форме заказа |
| Роль | Контролер |
Обработчик
| Наименование | Adapty Tech Inc. |
|---|---|
| Адрес | 2093 Philadelphia Pike #9181, Claymont, DE 19703, USA |
| Имя, должность и контактные данные контактного лица | Kirill Potekhin, технический директор, [email protected] |
| Роль | Обработчик |
Часть B. Описание обработки
| Категории субъектов данных | Конечные пользователи мобильного приложения (мобильных приложений) Клиента; посетители и пользователи веб-сайтов, веб-воронок и иных цифровых ресурсов Клиента, а также подписчики, привлеченные через них; и иные физические лица, контактные данные которых Клиент на законных основаниях предоставляет Adapty в целях отправки Сообщений через Adapty Mail. |
|---|---|
| Категории передаваемых персональных данных | Категории персональных данных, обрабатываемых Обработчиком в ходе предоставления Сервисов, могут включать следующие категории в зависимости от настроек и инструкций Клиента: |
| i. Техническая информация | Данная категория включает технические данные, относящиеся к устройству, которое Конечный пользователь использует для доступа к цифровым сервисам Клиента, таким как мобильные игры или приложения. Такая информация может включать, например, IP-адрес, модель устройства, операционную систему и языковые настройки. |
| ii. Идентификаторы | Данная категория включает различные идентификаторы, связанные с устройством Конечного пользователя или экземпляром приложения. Такие идентификаторы могут включать, например, идентификатор Apple для рекламодателей (IDFA), идентификатор для поставщиков (IDFV), рекламный идентификатор Google и иные аналогичные идентификаторы. |
| iii. Данные об использовании | Данная категория относится к информации о том, как Конечные пользователи взаимодействуют с сервисами Клиента. Она включает, помимо прочего, события в приложении; действия Конечного пользователя, такие как клики по рекламным объявлениям Клиента; просмотры (показы) рекламных объявлений Клиента; временные метки скачивания и установки приложения; запуски приложения; покупки в приложении, включая время и сумму покупки; а также любые дополнительные события или данные о взаимодействии, которые Клиент решит отслеживать и анализировать в зависимости от особенностей своих сервисов. |
| iv. Контактная информация | Данная категория включает персональные данные, которые прямо идентифицируют отдельного Конечного пользователя или относятся к нему и необходимы для коммуникации или для функциональности, предназначенной для конкретного пользователя. Такие данные могут включать, например, адрес электронной почты, имя, фамилию и иную информацию, которую Клиент намеренно передает Обработчику. |
| v. Данные электронной почты и сообщений | Адрес электронной почты; имя; сведения об отправителе и получателе; содержание сообщения; метаданные сообщения; статус подписки и согласия; информация об отписках, жалобах, отказах в доставке и стоп-листе; данные о доставке, открытиях, кликах и вовлеченности; а также иные атрибуты, которые Клиент предоставляет для сегментации, персонализации и доставки Сообщений. |
| Передача чувствительных данных (если применимо) и применяемые ограничения или гарантии, полностью учитывающие характер данных и связанные с ними риски, например строгое ограничение целей, ограничение доступа (включая доступ только для сотрудников, прошедших специальное обучение), ведение журналов доступа к данным, ограничения на последующую передачу или дополнительные меры безопасности | Не применимо |
| Характер обработки (объем обработки) | Получение, сбор, запись, систематизация, хранение, извлечение, просмотр, использование, сегментация, персонализация, внесение в стоп-лист, ограничение, удаление, а также по документально оформленным инструкциям Клиента — передача Сообщений и связанных с ними метаданных Получателям. |
| Цель (цели) обработки данных | Персональные данные могут обрабатываться только в следующих целях: предоставление Сервисов в соответствии с Договором. Обработчик не будет продавать Персональные данные Клиента. |
| Срок, в течение которого будут обрабатываться Персональные данные, или, если это невозможно, критерии, используемые для определения такого срока | Персональные данные Обрабатываются в течение срока действия Условий использования Adapty, а после этого — только в течение срока, необходимого для завершения возврата или удаления в соответствии с пунктом 10 настоящего DPA, соблюдения Применимого законодательства о защите персональных данных, завершения применимых циклов хранения резервных копий или хранения анонимизированной информации, которая не идентифицирует Субъекта данных и не позволяет в разумных пределах осуществить его повторную идентификацию. |
Приложение 2. Технические и организационные меры, включая технические и организационные меры по обеспечению безопасности данных
| Меры по обеспечению | Принятые меры (Да/Нет) | Если да, укажите конкретные сведения |
|---|---|---|
| Псевдонимизация и шифрование персональных данных | Да | Персональные данные шифруются при передаче. |
| Обеспечение постоянной конфиденциальности, целостности, доступности и отказоустойчивости систем и сервисов обработки данных | Да | Все данные хранятся и обрабатываются в закрытой внутренней сети, защищенной межсетевым экраном. Данные непрерывно реплицируются между несколькими центрами обработки данных. Поддерживаются инкрементные резервные копии. |
| Обеспечение возможности восстановления доступности персональных данных и доступа к ним в разумный срок в случае физического или технического инцидента | Да | Данные непрерывно реплицируются между несколькими центрами обработки данных. Поддерживаются инкрементные резервные копии. |
| Процессы регулярного тестирования, анализа и оценки эффективности технических и организационных мер по обеспечению безопасности обработки | Да | Весь код, развертываемый в производственной среде, проходит проверку. Автоматизированные тесты, в том числе тесты безопасности, являются частью процесса развертывания. Стороннее программное обеспечение регулярно обновляется до последней стабильной версии, включая, помимо прочего, операционные системы, базы данных, кеши, IDE и сервисы оркестрации. |
| Идентификация и авторизация Клиента | Да | Авторизация Клиента осуществляется с использованием адреса электронной почты и пароля. Все пароли хранятся в зашифрованном виде с использованием случайной соли. |
| Защита данных при передаче | Да | Все данные передаются в зашифрованном виде с использованием сертификатов SSL/TLS. |
| Защита данных при хранении | Да | Все данные хранятся и обрабатываются в закрытой внутренней сети, защищенной межсетевым экраном. |
| Обеспечение физической безопасности мест обработки персональных данных | Да | Для хранения и обработки данных используются центры обработки данных уровня Tier 1. |
| Ведение журналов событий | Да | Используется распределенная система журналирования, которая хранит данные за межсетевым экраном. |
| Обеспечение конфигурации системы, включая конфигурацию по умолчанию | Да | Конфигурация системы, включая конфигурацию по умолчанию, проверяется и находится под постоянным контролем. Порты и пароли по умолчанию изменяются. |
| Управление ИТ, корпоративное управление в сфере ИТ и ИТ-безопасность | Да | Обработчик применяет различные меры безопасности инфраструктуры для защиты информации Клиента от несанкционированного доступа, утраты, изменения, вирусов, троянских программ и иного аналогичного вредоносного кода. К таким мерам относятся: • Регулярное обновление операционных систем, оборудования и стороннего программного обеспечения для устранения уязвимостей безопасности. • Использование межсетевых экранов и систем предотвращения вторжений (IPS) для ограничения доступа к серверам и их защиты. • Обеспечение защищенных коммуникаций удаленного доступа с использованием многофакторной аутентификации. • Резервное копирование данных Клиента по ежедневному графику с ротацией. |
| Сертификация/гарантия процессов и продуктов | Да | Да. Adapty имеет действующее заключение SOC 2 Type II, подтверждающее операционную эффективность ее средств контроля в области безопасности, доступности и конфиденциальности. Актуальный отчет SOC 2 Type II предоставляется Клиентам и потенциальным Клиентам по запросу при условии заключения NDA. |
| Обеспечение минимизации данных | Да | Сбор данных ограничивается персональной информацией, необходимой для предоставления Сервисов. Персональная информация не используется в целях, не указанных в Соглашении об обработке данных и Договоре, и хранится только в течение срока, необходимого для достижения таких целей. |
| Обеспечение качества данных | Да | Клиент может запросить изменение или удаление данных Конечных пользователей. |
| Обеспечение ограниченного хранения данных | Да | Персональные данные хранятся в соответствии с договорными условиями, согласованными с Клиентом, и в соответствии с требованиями применимого законодательства. |
| Обеспечение подотчетности | Да | Персональные данные логически связаны с конкретным Клиентом и не передаются между не связанными между собой клиентами. События и журналы аудита, связанные с доступом к платформе и системам, регистрируются, отслеживаются и периодически проверяются. |
| Обеспечение переносимости и удаления данных | Да | Обработчик обеспечивает переносимость и удаление данных по письменному запросу Клиента с учетом условий Договора и применимого законодательства. |
Приложение 3. Перечень субобработчиков
Клиент дал разрешение на привлечение следующих дополнительных обработчиков:
| Наименование | Адрес | Описание обработки |
|---|---|---|
| Amazon Web Services, Inc. | 410 Terry Avenue North, Seattle, WA 98109-5210, USA | Инфраструктура облачного хостинга и инфраструктура доставки электронной почты, включая передачу Сообщений электронной почты и обработку метаданных, связанных с доставкой. |
| OVH US, LLC | 11480 Commerce Park Dr, Ste 500, Reston, VA 20191-1556, USA | Инфраструктура облачного хостинга |
| Cloudflare, Inc. | 101 Townsend St, San Francisco, CA 94107, USA | Инфраструктура доставки и кеширования контента |
Приложение 4. Условия SCC
Положения Стандартных договорных условий ЕС, изложенных в Приложении к Исполнительному решению Комиссии (ЕС) 2021/914 от 4 июня 2021 года (далее — «SCC ЕС»), включаются в Соглашение об обработке данных посредством ссылки следующим образом:
1. Применимый модуль
Модулем, применимым к передаче Персональных данных Контролера, происходящих из ЕС, в соответствии с Договором, является Модуль 2 — «От контролера к обработчику».
2. Выбранные варианты
В тех случаях, когда Исполнительное решение Комиссии (ЕС) 2021/914 допускает выбор вариантов в SCC ЕС, выбираются следующие варианты:
| Положение SCC | Выбранный вариант / уточнение |
|---|---|
| Пункт 7: Положение о присоединении | Факультативное положение о присоединении не применяется. |
| Пункт 9: Привлечение субобработчиков | Вариант 2. Срок составляет 30 рабочих дней. |
| Пункт 11: Средства правовой защиты / Компенсация | Факультативное положение не применяется. |
| Статья 17: Применимое право | Вариант 1. Право Ирландии. |
| Раздел 18: Выбор суда и юрисдикции | Суды Ирландии. |
3. Приложение IA к SCC считается заполненным следующим образом:
- Экспортером данных является Клиент, а данные экспортера данных совпадают с данными, указанными в Приложении 1 (Часть A) к DPA.
Деятельность, связанная с передаваемыми данными в соответствии с SCC: передача Персональных данных экспортером данных импортеру данных, с тем чтобы импортер данных мог обрабатывать такие Персональные данные от имени экспортера данных и предоставлять Сервисы в соответствии с Условиями использования Adapty. - Импортером данных является Adapty, а данные Adapty совпадают с данными, указанными в Приложении 1 (Часть A) к DPA.
Деятельность, связанная с данными, передаваемыми в соответствии с SCC: получение Персональных данных от Экспортера данных в целях предоставления Сервисов в соответствии с Условиями использования Adapty.
4. Приложение IB к SCC совпадает с Приложением 1 к DPA, и, кроме того, для заполнения Приложения IB включается следующая информация: передача осуществляется непрерывно.
5. Приложение IC заполняется следующим образом: надзорный орган Республики Ирландия.
6. Приложение II к SCC совпадает с Приложением 2 к DPA.
7. Приложение III к SCC совпадает с Приложением 3 к DPA.
Последнее обновление:
