Соглашение об обработке данных

1. Определения

Такие термины, как контролёр, обработчик, субобработчик, субъект данных, персональные данные, обработка и нарушение безопасности персональных данных, имеют значения, установленные UK GDPR и EU GDPR. «Законы о защите данных» означают UK GDPR, EU GDPR (Регламент 2016/679), Закон Великобритании о защите данных 2018 года и любые другие применимые законы о защите данных или конфиденциальности.

2. Роли и сфера применения

В отношении персональных данных, обрабатываемых по соглашению, Клиент является контролёром, а Clavio — обработчиком (либо, если Клиент сам является обработчиком для своих конечных пользователей, Clavio выступает субобработчиком). Clavio обрабатывает персональные данные только для предоставления и поддержки Сервиса. Предмет, продолжительность, характер и цель обработки, виды персональных данных и категории субъектов данных описаны ниже в Приложении A.

3. Обязанности Обработчика (статья 28)

Clavio обязуется:

• Документированные указания — обрабатывать персональные данные только по документированным указаниям Клиента (включая указания в соглашении и этом DPA), если закон не требует иного; в таком случае Clavio, когда это допускается законом, заранее уведомит Клиента.
• Конфиденциальность — обеспечить, чтобы лица, уполномоченные обрабатывать персональные данные, были связаны надлежащим обязательством соблюдать конфиденциальность.
• Безопасность — применять технические и организационные меры, описанные в §6 и Приложении B (статья 32).
• Субобработчики — привлекать субобработчиков только в соответствии с §5.
• Содействие в реализации прав субъектов данных — с учётом характера обработки помогать Клиенту надлежащими мерами отвечать на запросы субъектов данных (доступ, исправление, удаление, ограничение, переносимость, возражение).
• Содействие в соблюдении требований — помогать Клиенту обеспечивать соблюдение статей 32–36 (безопасность, уведомление о нарушениях, оценка воздействия на защиту данных и предварительные консультации), учитывая доступную Clavio информацию.
• Удаление или возврат — по выбору Клиента удалить или вернуть все персональные данные после окончания предоставления услуг и удалить существующие копии, если закон не требует хранения (см. §8).
• Аудиты — предоставлять информацию, необходимую для подтверждения соблюдения статьи 28, и допускать аудиты, включая проверки, проводимые Клиентом или уполномоченным им аудитором, и содействовать им при условии разумных мер конфиденциальности и безопасности.

4. Нарушение безопасности персональных данных

Clavio обязуется уведомить Клиента без неоправданной задержки после того, как узнает о нарушении безопасности персональных данных, затрагивающем персональные данные Клиента, и предоставить разумно доступную ей информацию, чтобы помочь Клиенту выполнить собственные обязанности по уведомлению надзорных органов и субъектов данных согласно статьям 33 и 34.

5. Субобработчики

Клиент предоставляет общее разрешение Clavio привлекать субобработчиков для предоставления Сервиса. Текущие субобработчики Clavio перечислены в нашей Политике конфиденциальности и указаны ниже. Clavio возложит на каждого субобработчика обязательства по защите данных, по существу эквивалентные предусмотренным этим DPA, и остаётся ответственной за исполнение обязательств своими субобработчиками. Clavio уведомит Клиента о планируемых изменениях состава субобработчиков и предоставит возможность возразить по обоснованным причинам, связанным с защитой данных.

• Anthropic — улучшение расшифрованного текста с помощью ИИ; обрабатывает расшифровки и содержимое диктовки.
• OpenAI (Whisper) — преобразование речи в текст; обрабатывает голосовые записи.
• Groq — может выполнять преобразование речи в текст при соответствующей настройке; обрабатывает голосовые записи и связанные данные инференса в соответствии с применимыми настройками управления данными аккаунта.
• Lemon Squeezy — обработка платежей и выставление счетов за подписку в качестве Merchant of Record (официального продавца); обрабатывает данные аккаунта и идентификационные данные (имя, электронную почту), расчётную и платёжную информацию, а также страну для целей налогообложения.
• Apple — вход и проверка личности; обрабатывает данные аккаунта и идентификационные данные.
• Google — вход и проверка личности; обрабатывает данные аккаунта и идентификационные данные.
• Railway — хостинг приложения и инфраструктура баз данных; может обрабатывать все категории, описанные в Приложении A.
• GitLab — доставка программного обеспечения и инструменты эксплуатации; обрабатывает диагностические и эксплуатационные данные.

6. Меры безопасности (статья 32)

Clavio поддерживает надлежащие технические и организационные меры защиты персональных данных, включая: шифрование данных при передаче (TLS); хранение только хешированных токенов аутентификации вместо паролей; управление доступом по принципу служебной необходимости; использование надёжных поставщиков инфраструктуры; а также эксплуатационные практики, направленные на постоянное обеспечение конфиденциальности, целостности, доступности и устойчивости Сервиса. Краткое описание этих мер приведено в Приложении B.

7. Международная передача данных

Если обработка в рамках этого DPA предполагает передачу персональных данных за пределы Великобритании или ЕЭЗ в страну без решения об адекватности защиты, стороны соглашаются, что такие передачи осуществляются с надлежащими гарантиями по статье 46, а именно на основании Стандартных договорных положений Европейской комиссии (EU 2021/914) и, для передач из Великобритании, Соглашения Великобритании о международной передаче данных / Дополнения Великобритании, которые включаются в настоящее соглашение посредством ссылки и заполняются сведениями из Приложений. Мы подписываем эти положения в стандартном порядке без согласования изменений.

8. Срок действия, удаление и возврат

Это DPA действует, пока Clavio обрабатывает персональные данные от имени Клиента. При прекращении или истечении срока предоставления Сервиса Clavio по выбору Клиента удалит или вернёт его персональные данные и удалит существующие копии с учётом коротких периодов ротации резервных копий и любых установленных законом требований к хранению.

9. Приложение A — Сведения об обработке

• Предмет и характер: предоставление сервиса голосовой диктовки с ИИ — запись, передача, расшифровка и улучшение диктовки, а также управление аккаунтами и подписками.
• Цель: предоставление Сервиса Клиенту и его уполномоченным пользователям.
• Продолжительность: в течение срока действия соглашения плюс любой ограниченный период завершения обработки согласно §8.
• Категории субъектов данных: уполномоченные пользователи Клиента (например, сотрудники или участники команды).
• Виды персональных данных: данные аккаунта и идентификационные данные (идентификатор пользователя, имя, электронная почта, включая адреса частной ретрансляции Apple); голосовые записи и расшифровки; сведения о подписке, счетах и платежах (обрабатываемые нашим Merchant of Record, Lemon Squeezy), включая страну для целей налогообложения; данные об использовании, диагностике, устройстве и ОС.
• Особые категории данных: голосовые записи, временно обрабатываемые для создания расшифровок; не используются для обучения моделей ИИ.

10. Приложение B — Меры безопасности (краткое описание)

• Шифрование персональных данных при передаче (TLS).
• Аутентификация через поставщиков удостоверений, в которых выполнен вход; хранение только хешированных токенов, а не паролей.
• Управление доступом к системам и данным на основе ролей и служебной необходимости.
• Использование надёжных поставщиков инфраструктуры и субобработчиков ИИ, прошедших проверку безопасности, на условиях защиты данных.
• Журналирование и мониторинг для выявления событий безопасности и реагирования на них, а также процедура уведомления Клиента о нарушениях безопасности персональных данных.
• Меры, направленные на своевременное восстановление доступности персональных данных и доступа к ним после инцидента.

11. Контакты

Чтобы запросить или подписать это DPA либо задать вопросы о нём, свяжитесь с office@justetools.co.uk .