Соглашение об обработке данных – baseplan.ai
Это перевод для удобства. Обязательную силу имеет текст на английском языке.
Настоящее Соглашение об обработке данных («DPA») является частью Условий обслуживания между Клиентом и Etrog, индивидуальным предприятием, зарегистрированным в Израиле, 139 Keren Kayemet LeIsrael St., Be'er Sheva, Israel («Etrog»). Оно применяется, когда Etrog обрабатывает персональные данные от имени Клиента при предоставлении baseplan.ai. Оно принимается вместе с Условиями обслуживания и не требует отдельной подписи. Экземпляр, подписанный обеими сторонами, предоставляется по запросу по адресу privacy@baseplan.ai.
1. Определения. «GDPR» означает Регламент (ЕС) 2016/679 (Общий регламент ЕС по защите данных) и, где применимо, GDPR Великобритании. Термины «персональные данные», «обработка», «контролёр», «обработчик», «субъект данных» и «нарушение безопасности персональных данных» имеют значения, установленные в GDPR. «Субобработчик» означает третье лицо, привлекаемое Etrog для обработки персональных данных Клиента.
2. Роли. Клиент является контролёром персональных данных, содержащихся в контенте, который он и его пользователи загружают или создают в Сервисе («Персональные данные Клиента»). Etrog является его обработчиком. В отношении данных учётных записей, данных безопасности и платёжных данных, которые Etrog использует в собственных целях, Etrog является контролёром, как описано в его Политике конфиденциальности.
3. Указания. Etrog обрабатывает Персональные данные Клиента только по документально оформленным указаниям Клиента. Такими указаниями являются Условия обслуживания, настоящее DPA и использование Клиентом функций Сервиса. Исключением является обработка, требуемая по закону, о которой Etrog сообщит Клиенту, если закон этого не запрещает. Etrog сообщит Клиенту, если сочтёт, что какое-либо указание нарушает законодательство о защите данных.
4. Конфиденциальность. Все лица, которых Etrog уполномочивает обрабатывать Персональные данные Клиента, связаны обязательством конфиденциальности. Доступ предоставляется только в объёме, необходимом для предоставления, поддержки или обеспечения безопасности Сервиса.
5. Безопасность. Etrog применяет надлежащие технические и организационные меры для защиты Персональных данных Клиента. Они перечислены в Приложении 2. Etrog вправе совершенствовать их, но не будет снижать их общий уровень.
6. Субобработчики. Клиент предоставляет Etrog общее разрешение на привлечение субобработчиков. Актуальный перечень приведён на странице субобработчиков. Etrog обязуется:
- связывать каждого субобработчика письменным договором с обязательствами по защите данных, обеспечивающими защиту не ниже, чем настоящее DPA;
- нести ответственность за своих субобработчиков;
- объявлять о новом или заменяющем субобработчике не менее чем за 30 дней на указанной странице и по электронной почте администраторам Клиента.
Клиент может в течение этого срока заявить возражение по обоснованным причинам, связанным с защитой данных. Если стороны не могут урегулировать возражение, Клиент вправе прекратить пользование затронутой услугой и получить возврат предоплаченного неиспользованного вознаграждения за неё.
7. Запросы субъектов данных. С учётом характера обработки Etrog помогает Клиенту отвечать на запросы субъектов данных. Это осуществляется главным образом с помощью собственных функций Сервиса, таких как редактирование, удаление и экспорт проектов и пользователей. Если Etrog получает запрос напрямую, он передаёт его Клиенту и не отвечает на него самостоятельно, если Клиент не даст соответствующего указания.
8. Нарушения безопасности персональных данных. Etrog уведомляет Клиента без неоправданной задержки и в любом случае в течение 72 часов с момента, когда ему стало известно о нарушении безопасности персональных данных, затрагивающем Персональные данные Клиента. Уведомление содержит имеющуюся на тот момент информацию, необходимую Клиенту для выполнения его собственных обязанностей. Etrog принимает разумные меры для локализации нарушения и уменьшения его последствий.
9. Содействие. Etrog оказывает Клиенту разумное содействие, используя доступную ему информацию, при проведении оценок воздействия на защиту данных и предварительных консультаций с органами власти.
10. Международная передача данных. Etrog учреждён в Израиле. Европейская комиссия и Соединённое Королевство признают, что Израиль обеспечивает адекватный уровень защиты. Если субобработчик обрабатывает Персональные данные Клиента в стране, не имеющей такого признания, Etrog обеспечивает действительный механизм передачи. Таким механизмом являются либо стандартные договорные условия (Решение Комиссии 2021/914) с Дополнением Великобритании, где это применимо, либо сертификация поставщика в рамках Рамочной программы конфиденциальности данных ЕС–США.
11. Удаление и возврат. По окончании пользования Сервисом Клиент может экспортировать свои Результаты и проекты в течение 30 дней. Затем Etrog удаляет Персональные данные Клиента. Копии в резервных копиях истекают в течение цикла резервного копирования: резервные копии базы данных — в течение 7 дней, а восстанавливаемые удалённые файлы — в течение 30 дней. Исключением являются данные, которые Etrog обязан хранить по закону.
12. Аудиты. По письменному запросу Etrog предоставляет информацию, необходимую для подтверждения соблюдения им настоящего DPA, включая ответы на разумные опросники по безопасности. Если этой информации недостаточно, Клиент может провести аудит самостоятельно или через независимого аудитора, связанного обязательством конфиденциальности, на следующих условиях: не чаще одного раза в год, с уведомлением за 30 дней, в рабочее время, за счёт Клиента и без доступа к данным других клиентов. Аудит субобработчиков осуществляется на основании их собственных сертификатов и отчётов.
13. Ответственность и приоритет. Ответственность по настоящему DPA подлежит ограничениям, установленным в Условиях обслуживания, в той мере, в какой это допускает закон. В случае противоречия между настоящим DPA и Условиями обслуживания в вопросах защиты персональных данных преимущественную силу имеет настоящее DPA. Настоящее DPA действует до тех пор, пока Etrog обрабатывает Персональные данные Клиента.
Приложение 1 – Сведения об обработке
- Предмет и цель: предоставление baseplan.ai Клиенту. Это включает размещение, считывание и преобразование планов и моделей, проектирование опалубки и временных опор, создание чертежей, отчётов, ведомостей объёмов и моделей, отправку служебных писем и поддержку пользователей.
- Характер: хранение, преобразование, автоматизированный анализ (в том числе с помощью ИИ), формирование результатов, передача и удаление.
- Срок: срок действия Условий обслуживания плюс сроки удаления, указанные в разделе 11.
- Субъекты данных: пользователи Клиента, а также лица, сведения о которых содержатся в контенте Клиента, например проектировщики, инженеры, заказчики и контактные лица, указанные на чертежах или в штампах.
- Категории данных: имена, адреса электронной почты, роли и должности, номера лицензий, подписи или печати на чертежах, записи об активности и иные контактные данные, которые Клиент решит загрузить. Специальные категории данных не требуются и не предполагаются.
Приложение 2 – Технические и организационные меры
- Размещение в Google Cloud в Европейском союзе (Бельгия; файловое хранилище в мультирегионе ЕС) в центрах обработки данных, сертифицированных по ISO 27001 и SOC 2.
- Шифрование при передаче (TLS) для всего трафика и шифрование при хранении для базы данных, файлов и резервных копий.
- Обязательная двухэтапная проверка для каждого пользователя. Пароли хранятся только в виде хешей Argon2. Сеансы входа ограничены одним рабочим днём.
- Данные каждой компании отделены от данных всех других компаний. Доступ проверяется по компании и по роли при каждом запросе.
- Секреты хранятся в управляемом хранилище секретов. Сервисные учётные записи действуют по принципу минимальных привилегий. Изменения в рабочей среде вносятся только через автоматизированный конвейер развёртывания.
- Ежедневное резервное копирование базы данных с восстановлением на момент времени и защита рабочей базы данных от удаления.
- Ограничение частоты запросов, журналирование событий безопасности и контрольный журнал действий пользователей и персонала.
- Установленные сроки хранения с автоматическим ежедневным удалением (см. Политику конфиденциальности).
- Доступ персонала ограничен необходимым для поддержки, эксплуатации и обеспечения безопасности при соблюдении конфиденциальности.
- Реагирование на инциденты с уведомлением о нарушениях, описанным в разделе 8.
Приложение 3 – Субобработчики
См. страницу субобработчиков, которая является частью настоящего DPA.