Это соглашение об обработке данных является частью договора на использование Sapita между Otuny OÜ как обработчиком (мы) и компанией, которая использует Sapita, как контролёром (вы). Оно применяется, когда мы обрабатываем персональные данные для вас так, как описано ниже, и написано в соответствии со статьёй 28 GDPR.
1. Роли и сфера действия
Для персональных данных, которые вы вводите в Sapita для ведения своих книг, вы являетесь контролёром, а мы — обработчиком. Мы обрабатываем эти данные только для предоставления Sapita вам.
Предмет, длительность, характер и цель обработки, виды персональных данных и категории субъектов указаны в Приложении A.
Когда мы обрабатываем персональные данные для собственных целей, например данные учётной записи, оплаты и безопасности, мы действуем как контролёр по нашему уведомлению о конфиденциальности, и это соглашение на такие данные не распространяется.
2. Инструкции
Мы обрабатываем персональные данные только по вашим документированным инструкциям. Ваше использование Sapita, включая настройки и действия в нём, является инструкцией. Если мы считаем, что инструкция нарушает GDPR или другой закон, мы сообщаем вам и можем не выполнять её до уточнения.
3. Конфиденциальность
Все, кто уполномочен обрабатывать персональные данные, приняли обязательство о конфиденциальности или связаны подходящим обязательством. Их доступ ограничен тем, что нужно сервису.
4. Безопасность
Мы применяем технические и организационные меры, соразмерные риску, в соответствии со статьёй 32 GDPR. Кратко они включают шифрование данных при передаче и хранении, контроль доступа с двухфакторной аутентификацией для учётных записей и ограниченный, журналируемый доступ сотрудников, разделение данных каждой компании от данных всех остальных, зашифрованные резервные копии с регулярной проверкой восстановления и мониторинг сервиса на злоупотребления.
Мы можем обновлять эти меры при условии, что уровень защиты не снижается.
5. Субобработчики
Вы даёте нам общее разрешение привлекать субобработчиков, указанных в списке субобработчиков. Каждый субобработчик связан письменным договором с обязательствами, которые соответствуют этому соглашению.
О любом планируемом добавлении или замене субобработчика мы сообщаем вам по e-mail и в списке не менее чем за 30 дней до вступления изменения в силу. В этот срок вы можете возразить по обоснованным основаниям защиты данных. Если возражение не удаётся урегулировать, вы можете прекратить подписку.
Мы по-прежнему отвечаем перед вами за работу наших субобработчиков.
6. Помощь в выполнении ваших обязанностей
С учётом характера обработки мы помогаем вам отвечать на запросы людей, которые реализуют свои права. Инструменты выгрузки и удаления в Sapita и наша форма обратной связи это поддерживают. Мы также помогаем вам выполнять обязанности по статьям 32–36 GDPR, включая уведомление об утечках и оценку воздействия, если нужная информация есть у нас.
7. Утечки персональных данных
Если мы узнаём об утечке персональных данных, которая затрагивает данные, которые мы обрабатываем для вас, мы уведомляем вас без неоправданной задержки. В уведомлении описывается утечка в известных нам пределах, её вероятные последствия и принятые или предлагаемые меры.
По мере получения новых сведений мы держим вас в курсе и помогаем с вашими уведомлениями надзорному органу и заинтересованным лицам.
8. Информация и проверки
Мы предоставляем сведения, необходимые для подтверждения выполнения наших обязательств по этому соглашению, и отвечаем на разумные письменные вопросники о нашей обработке. Доказательства предоставляются в виде документов и сводок. Проверка на месте не входит в это соглашение, если мы не согласились на неё письменно.
9. Возврат и удаление
Вы можете выгрузить все свои данные в любое время. Когда соглашение заканчивается, данные остаются доступными только для чтения и для выгрузки в течение установленного законом срока хранения. После этого мы их удаляем, если закон не требует их сохранить. Удалённые данные могут оставаться в резервных копиях до их устаревания. Мы подтверждаем удаление, когда вы об этом просите.
10. Международная передача данных
Персональные данные обрабатываются в Европейском союзе. Если субобработчик передаёт данные за пределы Европейской экономической зоны, мы обеспечиваем применение подходящей гарантии по главе V GDPR, как описано в списке субобработчиков и уведомлении о конфиденциальности.
11. Ответственность, применимое право и приоритет
Ответственность по этому соглашению подчиняется ограничениям условий использования. Соглашение регулируется эстонским правом, и юрисдикция принадлежит судам, названным в условиях. Если это соглашение противоречит условиям об обработке персональных данных, приоритет имеет это соглашение.
Приложение A. Описание обработки
- Предмет и цель: предоставление Sapita, услуги ведения бухгалтерии, включая хранение, запись, отображение, выгрузку и удаление ваших книг и документов.
- Длительность: срок вашей подписки и установленный законом срок хранения после неё.
- Субъекты данных: ваши сотрудники, руководители и владельцы учётных записей, ваши покупатели и поставщики (включая индивидуальных предпринимателей), а также люди, которые присылают вам счета.
- Виды персональных данных: имена, контактные данные, сведения о компании и в реестре, номера банковских счетов, данные счетов и платежей, адреса и содержание загруженных документов.
Приложение B. Субобработчики
Субобработчики, которые обрабатывают персональные данные для Sapita, и то, что делает каждый из них, перечислены ниже. Их местонахождение указано в списке субобработчиков.
- UpCloud: хостинг кластера Sapita и блочного хранилища.
- Cloudflare: сетевая безопасность и безопасность на периферии, контроль доступа, проверки ботов, маршрутизация входящей почты со счетами и хранение документов и резервных копий.
- Cloudflare Email Service: транзакционная почта.
- Stripe: платежи, биллинг подписок и счета за подписки.
- Google Firebase Cloud Messaging: push-уведомления для пользователей мобильного приложения, которые их включили.