Юридическая политика и политика
Соглашение об обработке данных (DPA)
Эти термины относятся к FIRST SERVER. Юридическое лицо, зарегистрированный адрес и контактные данные опубликованы в нашем Официальное уведомление. Вы можете связаться с нами через Страница «Свяжитесь с нами».
1. Стороны, роли и применение
Настоящее DPA предназначено для включения в принятое соглашение об обслуживании, в котором клиент выступает в качестве контролера (или уполномоченного обработчика), а FIRST SERVER обрабатывает персональные данные от его имени. Публикация сама по себе не является заключением соглашения об обработке. Прежде чем начать обработку, стороны должны записать информацию о конкретной услуге в разделе 11 и согласовать применимые меры безопасности и субобработчика. Если клиент является обработчиком, он подтверждает полномочия своего контролера на назначение FIRST SERVER.
2. Документированные инструкции
Обработка ограничивается предоставлением и обеспечением безопасности контрактной инфраструктуры и выполнением документированных законных инструкций, включая инструкции о передаче. Эти инструкции составляют соглашение, завершенный график обработки и авторизованные запросы на обслуживание. Если закон требует другой обработки, FIRST SERVER заранее проинформирует клиента, если это не запрещено. FIRST SERVER немедленно проинформирует клиента, если он сочтет, что инструкция нарушает GDPR или другой применимый закон ЕС или государства-члена о защите данных.
3. Конфиденциальность и безопасность
Уполномоченный персонал должен соблюдать обязательства по конфиденциальности. FIRST SERVER должен реализовать соответствующие технические и организационные меры в соответствии со статьей 32 GDPR, принимая во внимание риск, объем, стоимость и современное состояние. Согласованный график обеспечения безопасности должен учитывать контроль доступа и минимальные привилегии, конфиденциальность, целостность и доступность, разделение арендаторов, обработку инцидентов, восстановление, физическую безопасность и регулярную оценку. Специальное шифрование, частота резервного копирования, время восстановления или сертификаты применяются только в том случае, если они документально подтверждены и согласованы; здесь не требуется непроверенная сертификация.
Клиент продолжает нести ответственность за свой законный сбор, инструкции, разрешения на уровне приложения и задачи безопасности, возложенные на него соглашением об обслуживании.
4. Субпроцессоры
FIRST SERVER может назначать субобработчиков только с предварительного специального или общего письменного разрешения клиента. При наличии общего разрешения текущий список должен быть предоставлен, а предлагаемые дополнения или замены уведомлены не менее чем за 30 дней, что позволяет подать обоснованное возражение по поводу защиты данных. Стороны будут искать подходящее решение; если это невозможно, затронутая обработка не должна продолжаться без законного согласованного решения, которое может включать прекращение затронутой услуги.
Субобработчики должны быть связаны обязательствами по защите данных, эквивалентными тем, которые применимы к делегированной обработке. FIRST SERVER несет ответственность перед клиентом за выполнение субобработчиком этих обязательств. Поставщик доставки веб-сайта не является автоматически субобработчиком для каждой рабочей нагрузки размещенного клиента.
5. Помощь и утечка персональных данных
Принимая во внимание характер обработки, FIRST SERVER должен помогать клиенту с запросами субъектов данных и со статьями 32–36 GDPR, включая реагирование на нарушения, оценку воздействия и предварительные консультации. Запросы, полученные напрямую, будут перенаправлены незамедлительно, если закон не требует иного ответа.
FIRST SERVER должен уведомить клиента без неоправданной задержки после того, как ему станет известно об утечке персональных данных, затрагивающей персональные данные клиента. Доступная информация будет включать характер, затронутые категории и приблизительное количество известных случаев, вероятные последствия, точку контакта и меры по смягчению последствий. Информация может предоставляться поэтапно без неоправданных дальнейших задержек. Ответственность за соблюдение установленных законом сроков уведомления остается за клиентом.
6. Международные переводы
Места обработки и перемещения должны быть задокументированы в графике обслуживания. Для передачи за пределы ЕЭЗ требуются законные инструкции и действующий механизм Главы V GDPR, такой как применимое решение об адекватности или соответствующие стандартные договорные положения, а также необходимые дополнительные меры. Этот DPA сам по себе не заменяет положения о международной передаче.
7. Демонстрация соответствия и аудиты
FIRST SERVER должен предоставлять информацию, необходимую для демонстрации соблюдения статьи 28, а также разрешать и способствовать проведению аудитов, включая проверки со стороны клиента или уполномоченного аудитора. Разумные меры могут защитить конфиденциальность, других клиентов и безопасность, но не должны нарушать право на аудит или доступ регулирующего органа. Стороны должны согласовать объем и сроки, за исключением случаев, когда срочность требует иного.
8. Окончание обработки
По выбору клиента FIRST SERVER должен вернуть или удалить персональные данные клиента после прекращения оказания услуги, а также удалить существующие копии, если только законодательство ЕС или государства-члена не требует сохранения. Стороны документируют формат экспорта и график удаления, включая истечение срока действия резервной копии. Сохраненные копии должны оставаться защищенными, при необходимости изолироваться от обычного использования и удаляться по истечении срока хранения.
9. Ответственность и приоритет
DPA имеет преимущественную силу над противоречивыми общими условиями обработки персональных данных. Договорные ограничения применяются между сторонами только в той степени, в которой это законно, и не могут ограничивать права субъектов данных в соответствии со статьей 82 GDPR, обязательства перед надзорными органами или другую обязательную ответственность. Обработка FIRST SERVER собственных счетов и записей деловых контактов в качестве контролера описана отдельно в Политике конфиденциальности.
10. Контакты
Клиент должен указать контактное лицо по оперативной конфиденциальности и инцидентам в графике обслуживания. Контактная информация FIRST SERVER находится на странице Страница «Свяжитесь с нами». Контактные данные должны оставаться актуальными для получения срочных уведомлений.
11. Требуемый график обработки для конкретной услуги
Прежде чем настоящий DPA будет использоваться в качестве полного соглашения об обработке, необходимо выполнить и согласовать следующие действия для каждой применимой услуги:
- Личность клиента/контролера и уполномоченные контакты; принятый заказ и дата вступления в силу DPA.
- Предмет, продолжительность, характер и цели: например, хранение, передача, защита и удаление данных в указанной среде хостинга в течение срока обслуживания и согласованного периода закрытия.
- Категории субъектов данных и фактически задействованные персональные данные, включая любые данные особой категории или данные об уголовных преступлениях, а также согласованные ограничения.
- Места обработки, авторизованные субобработчики, делегированные задачи и гарантии международной передачи.
- Конкретные технические и организационные меры, распределение ответственности и любые согласованные меры по восстановлению или резервному копированию.
- Механизмы возврата, удаления и истечения срока действия резервной копии, а также документированные дополнительные инструкции.
На этой странице устанавливаются договорные рамки; он не утверждает, что расписание неизвестного клиента или список субобработчиков уже согласованы.