Соглашение об обработке данных

1. Сфера действия и роли

Клиент является контролером, а Lyniti является обработчиком Персональных Данных Клиента. Если Клиент обрабатывает эти данные от имени другого контролера, Клиент является обработчиком и назначает Lyniti своим субобработчиком. В таком случае Клиент подтверждает, что соответствующий контролер уполномочил его назначить Lyniti и давать инструкции, описанные в настоящем DPA.

Каждая сторона соблюдает Законодательство о Защите Данных, применимое к ее роли. Lyniti обрабатывает Персональные Данные Клиента только для предоставления, защиты, поддержки и обслуживания согласованного сервиса в пределах, разрешенных Соглашением и документированными инструкциями Клиента.

2. Определения и приоритет

Персональные Данные Клиента означают персональные данные в контенте Клиента, которые Lyniti обрабатывает от имени Клиента по Соглашению. Законодательство о Защите Данных означает GDPR и иные законы о конфиденциальности или защите данных, применимые к обработке. Контролер, обработчик, субъект данных, персональные данные, обработка, Нарушение Безопасности Персональных Данных и надзорный орган имеют значения, установленные применимым Законодательством о Защите Данных. Субобработчик означает третье лицо, назначенное Lyniti для обработки Персональных Данных Клиента.

При противоречии настоящего DPA и Соглашения в вопросах обработки Персональных Данных Клиента преимущественную силу имеет настоящее DPA. При противоречии применимых Стандартных Договорных Положений и настоящего DPA преимущественную силу имеют такие положения.

3. Документированные инструкции

Клиент поручает Lyniti обрабатывать Персональные Данные Клиента в объеме, необходимом для предоставления сервиса, реализации использования и настройки сервиса Клиентом, ответа на запросы поддержки, исполнения Соглашения и выполнения иных законных письменных инструкций, согласованных сторонами. Эти инструкции включают передачи, разрешенные Разделом 12.

Lyniti обрабатывает Персональные Данные Клиента только по документированным инструкциям Клиента, если иная обработка не требуется применимым законом. Если закон требует иной обработки, Lyniti уведомит Клиента до обработки, кроме случаев, когда закон запрещает уведомление по важным причинам общественного интереса. Lyniti незамедлительно сообщит Клиенту, если, по мнению Lyniti, инструкция нарушает применимое Законодательство о Защите Данных, и может приостановить соответствующую обработку до разрешения вопроса.

4. Обязанности Клиента

Клиент отвечает за законность, точность и качество Персональных Данных Клиента и инструкций, включая предоставление необходимых уведомлений, наличие правового основания и разрешений и ответы субъектам данных. Клиент не будет поручать Lyniti обработку с нарушением Законодательства о Защите Данных или использовать сервис для обработки, не разрешенной Соглашением.

5. Конфиденциальность

Lyniti обеспечивает, чтобы лица, уполномоченные обрабатывать Персональные Данные Клиента, были связаны надлежащей обязанностью конфиденциальности и получали доступ к данным только в объеме, необходимом для их обязанностей.

6. Безопасность

Учитывая современный уровень техники, стоимость реализации, характер, объем, контекст и цели обработки, а также риски для физических лиц, Lyniti внедряет и поддерживает надлежащие технические и организационные меры для защиты Персональных Данных Клиента в соответствии со статьей 32 GDPR. Приложение 2 описывает текущие меры. Lyniti может обновлять меры без существенного снижения общего уровня защиты в течение срока действия.

7. Субобработчики

Клиент предоставляет Lyniti общее предварительное письменное разрешение использовать Субобработчиков, указанных в Реестре Субобработчиков. Lyniti возлагает на каждого Субобработчика обязательства по защите данных, обеспечивающие для выполняемой им обработки по существу такую же защиту, какую требует настоящее DPA. Lyniti сохраняет ответственность перед Клиентом за выполнение этих обязательств Субобработчиком.

Lyniti заранее уведомит о планируемом добавлении или замене до начала обработки Персональных Данных Клиента новым Субобработчиком. Уведомление может быть направлено контактному лицу учетной записи Клиента, предоставлено через сервис или опубликовано через подписку на обновления Субобработчиков. Клиент может возразить по обоснованным причинам защиты данных в срок, указанный в уведомлении.

При своевременном возражении стороны добросовестно ищут коммерчески разумную альтернативу. Если она отсутствует, любая сторона может прекратить затронутый сервис без штрафа за неиспользованный предоплаченный период. Lyniti может назначить Субобработчика раньше для решения срочной проблемы безопасности, закона или непрерывности сервиса, но уведомит Клиента без неоправданной задержки и сохранит право Клиента на возражение.

8. Запросы субъектов данных

С учетом характера обработки Lyniti, насколько возможно, помогает Клиенту посредством надлежащих технических и организационных мер выполнять обязанность отвечать на запросы об осуществлении прав субъектов данных. Получив запрос в отношении Персональных Данных Клиента, Lyniti оперативно направит его Клиенту, если это не запрещено законом, и не будет отвечать иначе как по инструкции Клиента или требованию закона.

9. Помощь при нарушениях, по безопасности, DPIA и органам

Lyniti уведомит Клиента без неоправданной задержки после того, как узнает о Нарушении Безопасности Персональных Данных, затрагивающем Персональные Данные Клиента. Lyniti предоставит разумно доступную информацию, необходимую для обязанностей Клиента по уведомлению и документированию, и будет поэтапно предоставлять дополнительную информацию по мере ее появления. Уведомление не означает признания вины или ответственности.

С учетом характера обработки и доступной Lyniti информации Lyniti оказывает Клиенту разумную помощь в исполнении обязанностей по статьям 32-36 GDPR, включая безопасность, оценку и уведомление о нарушениях, оценку воздействия на защиту данных и предварительную консультацию с надзорным органом. Стороны заранее согласуют плату за чрезвычайную помощь вне стандартных функций сервиса, кроме случаев, когда помощь требуется из-за нарушения настоящего DPA компанией Lyniti.

10. Возврат и удаление

По выбору Клиента и с учетом доступных функций сервиса Lyniti возвращает или удаляет Персональные Данные Клиента после прекращения Соглашения и удаляет существующие копии, если применимый закон не требует хранения. Клиент должен запросить возврат до удаления учетной записи или рабочего пространства и использовать доступные средства экспорта. Данные, сохраняемые по закону, остаются защищенными настоящим DPA и обрабатываются только для обязательной цели.

Персональные Данные Клиента в защищенных резервных копиях изолированы от обычного использования и удаляются в ходе ротации резервных копий Lyniti, если закон не требует более длительного хранения.

11. Информация и аудиты

Lyniti предоставляет информацию, разумно необходимую для подтверждения соблюдения статьи 28 GDPR и настоящего DPA. Сначала Lyniti может отвечать на запросы актуальной документацией о безопасности, сертификатами или отчетами независимого аудита.

Если информации недостаточно, Клиент или связанный конфиденциальностью независимый аудитор может проводить аудит один раз за двенадцать месяцев с разумным предварительным уведомлением и в обычные рабочие часы. Дополнительные аудиты разрешены после подтвержденного Нарушения Безопасности Персональных Данных Клиента или по требованию надзорного органа. Аудиты не должны необоснованно мешать работе или давать доступ к данным другого клиента. Клиент несет свои расходы, если аудит не выявит существенное нарушение настоящего DPA компанией Lyniti. Lyniti сообщит Клиенту, если, по ее мнению, инструкция по аудиту нарушает Законодательство о Защите Данных.

12. Международные передачи

Lyniti не передает Персональные Данные Клиента из Европейской экономической зоны в страну без применимого решения об адекватности, если передача не использует действующую гарантию по главе V GDPR, например Стандартные Договорные Положения Европейской комиссии, вместе с дополнительными мерами, когда они необходимы. Lyniti предоставляет разумно доступную информацию о соответствующих механизмах передачи с учетом обязанностей конфиденциальности.

Если ограниченная передача между Клиентом и Lyniti требует Стандартных Договорных Положений, принятых Исполнительным решением Комиссии (ЕС) 2021/914, они включаются в настоящее DPA посредством ссылки. Модуль 2 применяется, когда Клиент является контролером, а Модуль 3, когда Клиент является обработчиком. Применяется пункт 7; в пункте 9 используется вариант 2 и порядок уведомления из Раздела 7; необязательный текст пункта 11 не применяется; в пункте 17 используется вариант 1 и право Финляндии; по пункту 18 применяются суды Хельсинки, Финляндия. Компетентный надзорный орган определяется по пункту 13, а при применении пункта 13(b) им является Управление уполномоченного по защите данных Финляндии. Данные Соглашения и Приложение 1 заполняют Приложение I, Приложение 2 заполняет Приложение II, а Реестр Субобработчиков заполняет Приложение III. Принятие Соглашения считается подписанием этих положений в разрешенной законом мере.

13. Срок и общие условия

Настоящее DPA вступает в силу вместе с Соглашением и действует, пока Lyniti обрабатывает Персональные Данные Клиента. Положения Соглашения об ответственности, применимом праве и спорах применяются к настоящему DPA, если Законодательство о Защите Данных или применимые Стандартные Договорные Положения не требуют иного.

Lyniti может обновлять настоящее DPA согласно положению Соглашения об изменениях. Lyniti заранее уведомит о существенном изменении, уменьшающем права Клиента в области защиты данных. Согласованное сторонами DPA изменяется только в порядке, разрешенном подписанным соглашением. При противоречии перевода английской версии преимущественную силу имеет английская версия, если императивный закон не требует иного.

Приложение 1: Сведения об обработке

Настоящее приложение определяет предмет, продолжительность, характер, цель и объем обработки, требуемые статьей 28 GDPR.

Стороны

Клиент является организацией, указанной в Соглашении. Lyniti является поставщиком сервиса, указанным в Условиях использования. Контактные данные указаны в Соглашении и учетной записи Клиента.

Предмет

Обработка Персональных Данных Клиента для размещения, эксплуатации, защиты, поддержки, обслуживания и предоставления договорных сервисов Lyniti для совместной работы, рабочих пространств, коммуникаций, файлов, проектов, управления бизнесом и связанных функций.

Продолжительность

Срок Соглашения и ограниченный последующий период, необходимый для возврата или удаления данных, завершения ротации резервных копий, решения вопросов безопасности или выполнения законных обязанностей хранения.

Характер и цель

Сбор, запись, организация, структурирование, хранение, извлечение, просмотр, передача, сопоставление, доступ поддержки, мониторинг безопасности, резервное копирование, восстановление, экспорт, ограничение и удаление по мере необходимости для предоставления и защиты сервиса по инструкциям Клиента.

Субъекты данных

Уполномоченные пользователи Клиента, сотрудники, подрядчики, соискатели, клиенты, потенциальные клиенты, поставщики, деловые контакты, партнеры и другие лица, чьи персональные данные Клиент передает сервису.

Категории персональных данных

Идентификационные и контактные данные; данные учетной записи и аутентификации; профессиональные и трудовые данные; содержимое рабочих пространств, проектов, задач, сообщений, документов, файлов, календарей, клиентов, финансово-деловых процессов и совместной работы; метаданные устройств, сети, аудита и использования; записи поддержки; и иные переданные Клиентом персональные данные.

Особые категории

Lyniti намеренно их не требует. Клиент может передавать особые категории или данные о судимостях только когда Соглашение это разрешает, обработка законна и Клиент предоставляет надлежащие инструкции и гарантии.

Частота

Постоянно или по инициативе Клиента и его уполномоченных пользователей во время использования сервиса.

Место обработки и передачи

Основная обработка сервиса выполняется в Европейской экономической зоне. Места и механизмы передач Субобработчиков указаны в Реестре и регулируются Разделом 12.

Инструкции и права Клиента

Инструкции описаны в Разделе 3. Клиент сохраняет права и обязанности контролера либо обработчика, действующего для другого контролера, по применимому Законодательству о Защите Данных.

Приложение 2: Технические и организационные меры

Меры выбираются с учетом риска и развиваются вместе с сервисом. Текущие меры включают:

• Контроль доступа по должностным обязанностям, минимальные привилегии, контроль аутентификации и периодическая проверка доступа.
• Шифрование при передаче с использованием актуальной транспортной защиты и шифрование производственных данных и защищенных резервных копий в состоянии покоя, где это поддерживает соответствующая система.
• Контроль авторизации арендаторов и рабочих пространств для предотвращения несанкционированного доступа между клиентами.
• Журналирование, мониторинг, управление уязвимостями, безопасные практики изменений и надлежащие процедуры реагирования на инциденты.
• Процедуры резервного копирования, восстановления, доступности и непрерывности бизнеса, включая периодическую проверку восстановления.
• Обязанности персонала по конфиденциальности и обучение безопасности в соответствии с обязанностями.
• Проверка поставщиков, договорные требования защиты данных и оценка Субобработчиков.
• Процессы ответа на запросы субъектов данных, инциденты безопасности, запросы удаления и вопросы Клиента о соответствии.
• Периодическое тестирование и оценка эффективности мер безопасности с устранением недостатков с учетом риска.

Документы по ссылкам

Следующие актуальные документы дополняют описание обработки и становятся его частью, когда настоящее DPA на них ссылается:

• Реестр Субобработчиков Lyniti
• Центр доверия Lyniti
• Стандартные Договорные Положения Европейской комиссии (Решение 2021/914)

Контакт по вопросам конфиденциальности

Направляйте вопросы по DPA, инструкции по защите данных, запросы аудита и возражения против Субобработчиков по адресу:

Электронная почта: support@lyniti.com