Соглашение об обработке данных — OAZEE

Настоящее Соглашение об обработке данных (DPA) является частью Условий использования OAZEE между Arti Group s.r.o., регистрационный номер (IČO) 27930432, налоговый номер (DIČ) CZ27930432, юридический адрес: Schulhoffova 793/3, Háje, 149 00 Прага 4, Чешская Республика (OAZEE), и клиентом, использующим OAZEE для обработки персональных данных от его имени (Клиент).

Оно применяется, когда OAZEE обрабатывает персональные данные в контенте сайта, обращениях посетителей или связанных операциях хостинга и доставки исключительно для Клиента. Обычно Клиент является контролёром; если Клиент — агентство, действующее для контролёра, OAZEE выступает его субобработчиком. Клиент должен иметь полномочия давать соответствующие указания.

Термины «контролёр», «обработчик», «персональные данные», «обработка» и «нарушение безопасности персональных данных» имеют значения, установленные GDPR. В пределах своей области применения настоящее DPA имеет приоритет над противоречащими общими условиями. Оно не регулирует самостоятельные цели OAZEE как контролёра в отношении аккаунтов, оплаты, безопасности и поддержки, описанные в Политике конфиденциальности. Применимое законодательство о защите данных имеет приоритет над договорными ограничениями.

• Предмет: размещение и работа сайта Клиента, обработка персональных данных, которые Клиент решает включить или собирать через поддерживаемые функции.
• Характер и цели: хранение, получение, отображение и публикация контента сайта по указанию Клиента; получение, проверка на спам, хранение и доставка обращений посетителей по электронной почте; техническая поддержка, безопасность, удаление или возврат данных, необходимые для этих функций.
• Субъекты данных: посетители сайта Клиента, его потенциальные и действующие клиенты, контактные лица, сотрудники и другие лица, данные которых Клиент предоставляет законно.
• Типы данных: тексты и изображения сайта, имена, деловые контактные данные, адреса электронной почты, телефоны, сообщения, сведения об услуге или записи на приём, если используются, время отправки, хешированные сведения об IP, сведения о браузере/user-agent и соответствующие признаки безопасности или спама. Провайдеры инфраструктуры и защиты могут обрабатывать данные соединения, необходимые для доставки и безопасности.
• Продолжительность: пока продолжаются соответствующая услуга обработки и законные указания о хранении, после чего данные возвращаются или удаляются по разделу 10. Продолжение хранения в аккаунте не разрешает постороннее использование.

Стандартный сервис не предназначен для сбора особых категорий данных, данных об уголовных правонарушениях, документов, удостоверяющих личность, или иных особо чувствительных сведений через универсальные формы или запросы к ИИ. Клиент не должен поручать такую обработку без законного основания и прямо согласованных подходящих условий. Чувствительные сведения, присланные без запроса, остаются защищёнными персональными данными и не становятся доступными для самостоятельного использования.

Клиент поручает OAZEE обрабатывать данные только для предоставления функций, выбранных по договору, в соответствии с зафиксированными настройками и запросами Клиента и настоящим DPA. Запрос на публикацию контента сайта является указанием сделать этот контент общедоступным; частное обращение через форму не является указанием его опубликовать.

OAZEE обрабатывает данные только на основании законных документированных указаний, включая указания о международной передаче, если иное не требуется применимым правом ЕС или государства-члена. В таком случае OAZEE информирует Клиента до обработки, если это не запрещено законом. OAZEE незамедлительно сообщает Клиенту, если указание предположительно нарушает законодательство о защите данных, и может приостановить его выполнение до уточнения.

OAZEE не использует контролируемые Клиентом данные посетителей для собственной рекламы, независимого обучения моделей, продажи или не связанной с услугой разработки продуктов. Разрешение разместить форму не разрешает передавать её сообщения провайдеру ИИ для его самостоятельных целей. Обработка ИИ в пределах настоящего DPA требует соответствующего указания Клиента и условий с провайдером, совместимых с настоящим DPA.

Клиент определяет правовое основание, предоставляет обязательные уведомления посетителям, ограничивает сбор необходимыми данными и даёт законные указания о хранении. Эти обязанности не освобождают OAZEE от собственных обязанностей обработчика.

OAZEE обеспечивает обязательство конфиденциальности для лиц, уполномоченных обрабатывать данные, и предоставляет им доступ только в объёме, необходимом для работы. OAZEE применяет надлежащие технические и организационные меры по статье 32 GDPR с учётом рисков, масштаба, контекста, современного уровня технологий и стоимости реализации.

Меры включают ограничение доступа и аутентификацию, защиту данных при передаче, безопасное обращение с учётными данными, разграничение клиентского доступа, соразмерную защиту от злоупотреблений и спама, надлежащее журналирование и реагирование на инциденты, а также меры доступности и восстановления данных, где это уместно. Защита управляемой инфраструктуры и хранение оцениваются применительно к соответствующей обработке. Настоящее DPA не заявляет конкретной сертификации, исключительного региона хранения, фиксированного срока восстановления резервных копий или абсолютной гарантии безопасности.

OAZEE предоставляет Клиенту сведения, разумно необходимые для оценки применимых мер, и существенно не снижает общий уровень защиты, требуемый законом, в течение предоставления услуги обработки.

Клиент даёт общее письменное разрешение на привлечение субобработчиков, надлежащим образом указанных для соответствующей обработки. Перечень в разделе 12 должен определять фактических провайдеров, функции, места обработки и применимые условия передачи до поручения им обработки. Неиспользуемая программная интеграция сама по себе не означает, что провайдер получает данные Клиента.

До добавления или замены субобработчика данных Клиента OAZEE направляет сведения о предполагаемом изменении на зарегистрированный контакт Клиента, по возможности не менее чем за 30 дней, чтобы Клиент мог обоснованно возразить по причинам защиты данных. О действительно срочном изменении по причинам безопасности или закона сообщается как можно раньше; срочность не отменяет требований законного разрешения и защиты.

Клиент может возразить в период уведомления. Стороны ищут разумную альтернативу или защитную меру. Если возражение не разрешено и законная альтернатива отсутствует, Клиент может прекратить затронутую услугу обработки до вступления изменения в силу без платы за досрочное прекращение и получить возврат за неиспользованную затронутую услугу, причитающийся по закону или договору. Это не обещание продолжать использовать незаконного или недоступного поставщика.

OAZEE письменно возлагает на субобработчиков обязанности, обеспечивающие такую же соответствующую защиту персональных данных, как настоящее DPA, и отвечает перед Клиентом за их исполнение в соответствии со статьёй 28 GDPR. Конечный провайдер модели ИИ не освобождается от этих требований только потому, что доступ идёт через другую платформу.

Указание Клиента не отменяет ограничений GDPR на передачу за пределы ЕЭЗ. До передачи, подпадающей под ограничения, OAZEE должна установить и документировать действительный механизм для фактического получателя и обработки вместе с необходимой оценкой и дополнительными мерами.

Обработка из раздела 12 включает передачу в США. Она основывается на EU-U.S. Data Privacy Framework (DPF), если получатель и деятельность охвачены действующей сертификацией, и/или на применимых стандартных договорных положениях (SCC) по соответствующему DPA поставщика. В Политике конфиденциальности, разделы 8–9, указаны места обработки, юридические лица получателей и ссылки на условия передачи. Европейское юридическое лицо — сторона договора — не исключает доступа или обработки в США.

Решение об адекватности защиты применяется только при соблюдении его условий. Использование DPF требует действующей сертификации соответствующего получателя и деятельности. При использовании SCC должны быть заполнены надлежащие стороны, модуль, приложения, описание обработки и меры; общее упоминание в настоящем DPA не является заключёнными положениями о передаче.

OAZEE предоставляет по запросу сведения о фактическом механизме и доступ к гарантиям с учётом законной защиты конфиденциальной информации и персональных данных третьих лиц. Если передачу невозможно законно продолжать, она должна быть прекращена либо заменена другим законным механизмом.

С учётом характера обработки OAZEE помогает Клиенту надлежащими мерами отвечать на запросы доступа, исправления, удаления, ограничения, возражения и переносимости, где применимо. Запросы можно координировать через Показать адрес email.

Если OAZEE получает запрос о данных, контролируемых Клиентом, она без неоправданной задержки передаёт его Клиенту и не принимает самостоятельного решения об ответе, кроме случаев, предусмотренных законом. За оценку запроса отвечает Клиент; OAZEE своевременно помогает соблюсти применимый законный срок. Возврат данных возможен по запросу и не ограничен информацией, видимой в личном кабинете.

OAZEE уведомляет Клиента без неоправданной задержки после того, как узнаёт о нарушении безопасности персональных данных, обрабатываемых по настоящему DPA. По мере доступности уведомление включает характер инцидента, затронутые категории и приблизительное количество, контактное лицо, вероятные последствия и принятые или предлагаемые меры.

В ходе расследования сведения могут предоставляться поэтапно без неоправданной задержки. OAZEE сотрудничает в локализации, устранении последствий и выполнении Клиентом обязанностей оценки и уведомления. Возможный 72-часовой срок уведомления надзорного органа контролёром не является договорным периодом, позволяющим OAZEE откладывать уведомление Клиента.

С учётом характера обработки и доступной информации OAZEE помогает Клиенту выполнять обязанности по безопасности, уведомлению о нарушениях, оценке воздействия на защиту данных и предварительным консультациям, когда это требуется.

OAZEE предоставляет информацию, необходимую для подтверждения соблюдения статьи 28 GDPR, допускает аудит и содействует ему, включая проверки Клиентом или уполномоченным независимым аудитором. Стороны согласуют разумные условия уведомления, объёма, конфиденциальности и защиты данных других клиентов; эти условия не могут отменять законное право на аудит или препятствовать компетентному органу. Пригодные независимые отчёты могут использоваться, но не выдаются за сертификации, которыми OAZEE не обладает.

Обычное сотрудничество входит в соответствующие законные обязанности. Отдельно согласованная плата за действительно дополнительную работу должна быть разумной и не препятствовать обязательным правам или исправлению собственного нарушения OAZEE.

По завершении соответствующей услуги обработки Клиент может выбрать возврат или удаление своих персональных данных, включая копии, если право ЕС или государства-члена не требует хранения. Запрос направляется на Показать адрес email; OAZEE помогает без неоправданной задержки и при запросе возврата предоставляет пригодный распространённый формат, соответствующий данным. После возврата OAZEE удаляет оставшиеся копии, если закон не требует их хранения, с учётом ограниченного цикла резервных копий ниже.

Если Клиент сохраняет аккаунт и поручает продолжить хранение для восстановления, эта определённая цель хранения может продолжаться по настоящему DPA. Окончание платного хостинга с сохранением восстанавливаемого контента не равнозначно указанию удалить весь контент. Операционные сроки хранения из Политики конфиденциальности подчиняются законным указаниям Клиента и требованию необходимости GDPR.

Записи, обязательные к хранению по закону, изолируются для соответствующей цели. Резервные копии, ожидающие применимого цикла удаления, защищены, не используются для новых целей и удаляются или анонимизируются, когда ограниченное хранение больше не нужно. OAZEE по запросу объясняет применимое исключение или цикл хранения.

Для указаний обработчику и вопросов защиты данных используется Показать адрес email. Уведомления о данных Клиента направляются на актуальный контакт его аккаунта, если не согласован другой. Клиент обязан поддерживать этот контакт актуальным.

Настоящее DPA следует положению Условий использования о чешском праве, не ограничивая GDPR, компетентные надзорные органы, права физических лиц и другие неотменяемые гарантии. Оно не обязывает потребителя обращаться исключительно в чешский суд вопреки применимому праву.

В Политике конфиденциальности, раздел 8, указаны соответствующие провайдеры и функции. Для фактической обработки данных Клиента различаются:

• Vercel Inc. (США): хостинг, Blob и защита BotID, включая применимую обработку Kasada;
• Neon: база данных; текущие публичные условия указывают Databricks, Inc. и её аффилированное лицо Neon, LLC (США);
• Resend / Plus Five Five, Inc. (США): доставка обращений и служебных писем, включая хранение сообщений в США;
• настроенные провайдеры ИИ или голоса при законном включении данных Клиента: Google (включая Google Cloud EMEA Limited, Ирландия, для платного Gemini API с чешским платёжным адресом), OpenAI, OpenRouter с соответствующим конечным провайдером либо Recraft;
• другие провайдеры только в пределах фактической обработки от имени Клиента на основании необходимого разрешения.

Самостоятельная обработка платежей Stripe, раскрытие реестрам через Gransy / Subreg или соответствующий реестр доменов и собственные уведомления поддержки OAZEE оцениваются по фактическим ролям; не все они автоматически являются субобработчиками данных форм посетителей.

Регион базы данных — AWS US East 1, Северная Виргиния, США (us-east-1). Регион функций Vercel по умолчанию для OAZEE — Вашингтон, округ Колумбия, США (iad1), статический контент доставляется через глобальную CDN. Логотипы, фотографии и загрузки используют Vercel Blob; регион функций не определяет расположение каждой копии Blob, кеша, резервной копии или удалённого доступа. Resend хранит данные писем в США; выбор региона отправки этого не меняет.

Получатели и условия передачи из Политики конфиденциальности, разделы 8–9, являются частью этого перечня. Для каждого активного субобработчика OAZEE предоставляет через Показать адрес email соответствующее юридическое лицо, функцию, категории данных, места обработки и удалённого доступа и гарантии передачи, уведомляя об изменениях по разделу 5. Дополнительные и конечные провайдеры должны определяться для фактической обработки; перечисленные регионы не означают, что вся обработка ограничена ими.