NeuroCRMДодаток про обробку даних
Цей Додаток про обробку даних («DPA») є частиною Умов надання послуг між вами («Замовник», контролер) та Empire Luxury International Corporation (DBA Neuro Empire) («NeuroCRM», обробник) і регулює обробку персональних даних, що містяться в Контенті Замовника. У разі суперечності щодо питань захисту даних цей DPA має переважну силу над Умовами.
1. Ролі та сфера застосування
Щодо Контенту Замовника Замовник є контролером (або обробником, що діє для своїх власних клієнтів), а NeuroCRM є обробником (або субобробником). NeuroCRM обробляє Контент Замовника виключно для надання Сервісу та за задокументованими інструкціями Замовника, які включають Умови, цей DPA та використання функцій Сервісу. NeuroCRM діє як незалежний контролер лише щодо обмежених облікових, платіжних даних та даних безпеки, описаних у Політиці конфіденційності.
2. Деталі обробки
Предмет: надання Сервісу NeuroCRM. Тривалість: строк підписки Замовника плюс будь-який період згортання. Характер і мета: хостинг, зберігання та операції з обробки, необхідні для надання Сервісу в конфігурації, налаштованій Замовником. Категорії суб’єктів даних: контакти, ліди, клієнти, персонал Замовника та інші особи, чиї дані вносить Замовник. Категорії персональних даних: такі, що визначаються Замовником, зазвичай ідентифікаційні та контактні дані, бізнес-записи та комунікації; Замовник не повинен вносити дані особливих категорій, якщо це не погоджено письмово.
3. Інструкції Замовника та відповідність вимогам
NeuroCRM обробляє Контент Замовника лише за задокументованими інструкціями, у тому числі щодо передачі, якщо інше не вимагається застосовним законодавством (у такому разі NeuroCRM повідомить Замовника, якщо це не заборонено). NeuroCRM повідомить Замовника, якщо, на її думку, інструкція порушує застосовне законодавство про захист даних. Замовник несе відповідальність за правомірність Контенту Замовника та за наявність усіх необхідних повідомлень і згод.
4. Конфіденційність персоналу
NeuroCRM забезпечує, щоб персонал, уповноважений обробляти Контент Замовника, був зобов’язаний дотримуватися конфіденційності та обробляв дані лише згідно з інструкціями.
5. Заходи безпеки
NeuroCRM впроваджує належні технічні та організаційні заходи для забезпечення рівня безпеки, що відповідає ризику, включно з шифруванням під час передачі та шифруванням токенів доступу під час зберігання, логічною ізоляцією орендарів, контролем доступу та журналюванням, стійкістю та резервним копіюванням, а також регулярним переглядом. Зведення доступне на запит і в Політиці конфіденційності.
6. Субобробники
Замовник надає загальний дозвіл на залучення NeuroCRM субобробників. Чинний перелік розміщено за адресою /legal/subprocessors. NeuroCRM покладає на кожного субобробника зобов’язання щодо захисту даних, які є не менш захисними, ніж цей DPA, і залишається відповідальною за їхню діяльність. NeuroCRM надасть щонайменше за 30 днів повідомлення про будь-якого нового субобробника або субобробника, що замінюється; Замовник може заперечити на обґрунтованих підставах щодо захисту даних, і якщо сторони не можуть вирішити заперечення, Замовник може розірвати відповідну частину Сервісу та отримати відшкодування передплачених невикористаних коштів.
7. Запити суб’єктів даних і сприяння
З урахуванням характеру обробки NeuroCRM, за допомогою належних заходів і в межах комерційно розумного, сприятиме Замовнику у відповідях на запити суб’єктів даних і у виконанні його зобов’язань щодо безпеки, повідомлення про порушення, оцінок впливу на захист даних та попередніх консультацій. Якщо NeuroCRM отримає запит безпосередньо від суб’єкта даних, вона перешле його Замовнику та не відповідатиме, окрім як за інструкцією або як того вимагає закон.
8. Повідомлення про порушення безпеки персональних даних
NeuroCRM повідомить Замовника без невиправданої затримки, і в будь-якому разі протягом 24 годин з моменту, коли їй стало відомо про підтверджене чи обґрунтовано підозрюване порушення безпеки персональних даних, що зачіпає Контент Замовника, і надасть наявну інформацію для допомоги Замовнику у виконанні його зобов’язань щодо повідомлення, з оновленнями в міру просування розслідування. Таке повідомлення не є визнанням провини чи відповідальності. Визначення того, чи повідомляти регуляторів або суб’єктів даних, та здійснення таких повідомлень є відповідальністю Замовника як контролера; NeuroCRM забезпечує розумне сприяння.
9. Міжнародні передачі
Якщо обробка передбачає передачу персональних даних за межі ЄЕЗ, Великої Британії чи Швейцарії до країни без рішення про адекватність, сторони включають Standard Contractual Clauses Європейської Комісії (2021/914), Module Two (контролер до обробника), доповнені інформацією з цього DPA, разом із UK International Data Transfer Addendum та швейцарськими адаптаціями, де це застосовно; альтернативно NeuroCRM може покладатися на EU-US Data Privacy Framework, де вона сертифікована. NeuroCRM застосовує додаткові заходи за необхідності. У разі суперечності SCC мають переважну силу виключно в обсязі, необхідному для цього.
10. Російський контур даних (152-FZ)
Щодо персональних даних осіб у Російській Федерації NeuroCRM підтримує відокремлений російський контур з первинним записом і зберіганням на серверах, розташованих у Росії, відповідно до Федерального закону № 152-FZ, та обробляє такі дані за інструкцією Замовника згідно зі статтею 6(3) 152-FZ. Цей контур і його процес повідомлення про порушення (попереднє протягом 24 годин і результати протягом 72 годин до Роскомнагляду) функціонують незалежно від ланцюга GDPR. Див. Політику обробки персональних даних (Росія).
11. Аудит
NeuroCRM надасть інформацію, необхідну для демонстрації відповідності цьому DPA, та дозволить проведення аудитів. Щоб мінімізувати перебої, NeuroCRM може задовольняти запити на аудит шляхом надання чинних сертифікацій або звітів третіх сторін (таких як ISO 27001 або SOC 2 Type II), де такі доступні. Аудити на місці або детальні аудити обмежуються одним разом на рік (за винятком випадків після порушення), вимагають щонайменше за 30 днів повідомлення, взаємно узгодженого обсягу, конфіденційності та проводяться в робочий час без необґрунтованого втручання.
12. Повернення та видалення
Після припинення дії, за вибором Замовника, зробленим протягом 30 днів, NeuroCRM поверне Контент Замовника в загальновживаному форматі або видалить його та, на запит, засвідчить видалення протягом розумного строку, за винятком обсягу, в якому зберігання вимагається законом. Звичайні резервні копії перезаписуються відповідно до стандартного циклу ротації.
13. Відповідальність і пріоритет
Відповідальність кожної сторони за цим DPA підпадає під обмеження та винятки, передбачені Умовами надання послуг, включно з підвищеним лімітом для порушень захисту даних. Цей DPA, включно з включеними до нього SCC, має переважну силу над суперечливими положеннями Умов щодо питань захисту даних. DPA регулюється положеннями Умов про застосовне право та вирішення спорів, що застосовуються до Замовника.