Соглашение об обработке данных

Это Соглашение об обработке данных (Data Processing Agreement, DPA) является неотъемлемой частью договора между Агентством и TargetPoint (продукт Lumen) и заключается во исполнение ст. 28 GDPR. Оно определяет, как Lumen обрабатывает персональные данные по поручению Агентства при использовании платформы.

1. Роли сторон

• Агентство - контролёр (controller). Определяет цели и способы обработки персональных данных своих лидов и клиентов и отвечает за наличие правовых оснований и согласий.
• Lumen - обработчик (processor). Обрабатывает персональные данные исключительно по документированным поручениям Агентства для оказания услуги.
• В отношении данных самого аккаунта Агентства (реквизиты, биллинг) Lumen выступает самостоятельным контролёром - это регулируется Политикой конфиденциальности.

2. Предмет, срок, характер и цель обработки

Предмет: обработка персональных данных, содержащихся в Данных клиента, для предоставления Сервиса Lumen (ведение CRM, коммуникации, автоматизация, ИИ-подсказки). Характер и цель определяются функциональностью Сервиса и поручениями Агентства. Срок обработки - период действия договора и предусмотренные им сроки после его прекращения. Категории данных и субъектов приведены в Приложении 1.

3. Обязанности Lumen как обработчика

• обрабатывать данные только по документированным поручениям Агентства (включая трансграничные передачи), если иное не требует закон ЕС или государства-члена;
• обеспечивать конфиденциальность: доступ к данным имеют только уполномоченные лица, связанные обязательством о неразглашении;
• применять надлежащие технические и организационные меры безопасности (Приложение 2);
• соблюдать условия привлечения субпроцессоров (раздел 5, Приложение 3);
• с учётом характера обработки содействовать Агентству в ответе на запросы субъектов данных (доступ, удаление, исправление, переносимость и др.);
• содействовать Агентству в обеспечении безопасности, уведомлении об инцидентах, проведении оценки воздействия (DPIA) и консультаций с надзорным органом;
• по выбору Агентства удалить или вернуть данные по окончании оказания услуг (раздел 9);
• предоставлять сведения, необходимые для подтверждения соблюдения ст. 28 GDPR, и допускать проверки (раздел 8).

4. Обязанности Агентства как контролёра

• обрабатывать данные и давать поручения в соответствии с законом, имея правовое основание и, где требуется, согласия субъектов;
• обеспечивать законность загрузки переписки и документов, удостоверяющих личность (специальные категории);
• обеспечивать согласия и основания для коммуникаций, проходящих через сторонние интеграции: согласие на маркетинговые рассылки (e-mail, WhatsApp, Telegram), opt-in для сообщений WhatsApp, а также согласие на запись телефонных разговоров, включая двухстороннее согласие сторон разговора там, где этого требует применимое право;
• соблюдать Правила допустимого использования, в т.ч. в части рассылок, звонков и согласий получателей.

При использовании интеграций (обмен сообщениями, телефония, e-mail, платежи, ИИ, eSIM) соответствующие персональные данные обрабатываются указанными в Приложении 3 третьими лицами. Lumen выступает обработчиком и поставщиком инструмента; ответственность за законность конкретной рассылки, звонка, записи разговора и сбора необходимых согласий несёт Агентство как контролёр.

5. Субпроцессоры

Агентство предоставляет Lumen общее разрешение на привлечение субпроцессоров при условии заключения с ними договоров с обязательствами по защите данных не ниже установленных настоящим DPA. Актуальный перечень приведён в Приложении 3. О намерении добавить или заменить субпроцессора мы уведомляем и предоставляем Агентству 30 дней (срок настраивается) на обоснованное возражение; при неурегулированном возражении Агентство вправе прекратить затронутую услугу.

6. Международные передачи

Передача Данных клиента за пределы ЕЭЗ осуществляется только при наличии надлежащих гарантий и применяется нейтрально к любой юрисдикции:

• ЕС/ЕЭЗ (GDPR): решение об адекватности либо стандартные договорные положения ЕС (SCC) с дополнительными техническими и организационными мерами при необходимости;
• ОАЭ (PDPL, Federal Decree-Law No. 45 of 2021): передача в страны с адекватным уровнем защиты либо на основании договорных гарантий или согласия субъекта в предусмотренных законом случаях;
• прочие юрисдикции: эквивалентные договорные гарантии не ниже указанного уровня.

Механизм передачи по каждому субпроцессору отражён в Приложении 3.

7. Уведомление об утечках (breach notification)

При выявлении нарушения безопасности персональных данных Lumen уведомляет Агентство без неоправданной задержки и, как правило, в течение 72 часов с момента, когда нам стало известно о нарушении. Уведомление содержит доступную информацию о характере инцидента, затронутых категориях и объёме данных, вероятных последствиях и принятых/предлагаемых мерах. Агентство как контролёр отвечает за уведомление надзорного органа и субъектов, если это требуется законом.

8. Аудит

Lumen предоставляет Агентству по разумному запросу информацию, необходимую для подтверждения соблюдения обязательств, и допускает аудиты (в т.ч. проверки), проводимые Агентством или назначенным им независимым аудитором, с предварительным уведомлением, в рабочее время и без несоразмерного нарушения работы Сервиса и конфиденциальности других клиентов.

9. Возврат и удаление данных

По прекращении оказания услуг Lumen, по выбору Агентства, удаляет или возвращает Данные клиента и удаляет существующие копии, если хранение не требуется по закону. По умолчанию Агентству предоставляется 90 дней (настраивается) на экспорт данных, после чего данные удаляются, а резервные копии - в рамках штатного цикла ротации.

10. Ответственность и приоритет

Ответственность сторон регулируется договором и применимым правом. В случае противоречий между настоящим DPA и договором в части обработки персональных данных приоритет имеет DPA.