Приложение об обработке данных

1. Стороны, сфера действия и приоритет

Настоящее приложение об обработке данных («Приложение») заключается между вами, клиентом AFFIX («Контролёр»), и LTD AFFIX SERVICE, идентификационный код 400431868, юридический адрес, указанный для идентификационного кода 400431868 в Публичном реестре Грузии (napr.gov.ge) («AFFIX» или «Обработчик»). Оно является частью правил и условий и действует, пока AFFIX обрабатывает персональные данные от вашего имени.

Оно охватывает персональные данные, которые AFFIX обрабатывает для вас, когда размещает ваш сайт, магазин, формы, бронирования, аккаунты покупателей и почту, работает AI Studio на вашем или подключённом вами сайте и синхронизирует подключённый магазин Shopify («Персональные данные клиента»). Данные о вас как о нашем клиенте (аккаунт, оплата) AFFIX обрабатывает как контролёр по политике конфиденциальности.

При противоречии этого Приложения правилам приоритет имеет Приложение. Если применяются включённые ниже стандартные договорные условия и они противоречат Приложению, приоритет имеют стандартные договорные условия.

2. Сведения об обработке

• Предмет и характер: размещение, хранение, отображение, передача, резервное копирование, доставка почты, редактирование с помощью AI и поддержка вашего сайта и услуг.
• Цель: оказание заказанных вами услуг AFFIX по вашим указаниям.
• Срок: срок действия ваших услуг плюс сроки удаления из раздела «Удаление и возврат».
• Субъекты данных: посетители вашего сайта, ваши покупатели и потенциальные покупатели, лица, заполняющие ваши формы, бронирующие, подписывающиеся или подающие заявки, ваши корреспонденты по почте и ваши сотрудники с доступом к сайту.
• Категории данных: идентификационные и контактные данные (имя, почта, телефон, адрес), данные заказов, бронирований и доставки, данные аккаунтов, сообщения и содержимое форм, загруженные файлы, технические данные (IP-адрес, браузер, идентификаторы cookie) и любые другие данные, которые вы решите собирать.
• Особые категории: только если вы их собираете (например рецепты в шаблоне аптеки). Вы отвечаете за наличие правового основания и за то, чтобы сообщить нам, если нужны дополнительные меры защиты.

3. Ваши указания

AFFIX обрабатывает Персональные данные клиента только по вашим документированным указаниям. Ваши полные указания - это правила, это Приложение и настройки и действия, которые вы выполняете в услуге. AFFIX также обрабатывает данные, когда этого требует закон; об этом он заранее сообщит вам, если закон этого не запрещает.

AFFIX сообщит вам, если сочтёт, что указание нарушает законодательство о защите данных.

Вы отвечаете за законность обработки, которую поручаете: за правовое основание, собственную политику конфиденциальности (AFFIX предоставляет стандартную, которую можно дополнить), настройки баннера cookie и включённые вами инструменты и интеграции. Платёжные, SMS- и другие провайдеры, которых вы подключаете со своими аккаунтами, - ваши собственные провайдеры, а не субобработчики AFFIX.

4. Конфиденциальность и безопасность

AFFIX обеспечивает, чтобы лица, допущенные к обработке Персональных данных клиента, были связаны обязательством конфиденциальности и получали доступ к ним только когда это нужно для оказания или поддержки услуги.

AFFIX применяет надлежащие технические и организационные меры, в том числе:

• шифрование при передаче (HTTPS/TLS) и шифрование секретов, токенов и данных доступа при хранении;
• размещение в дата-центрах ЕС (Hetzner, Германия) с контролем физического доступа оператором дата-центра;
• разделение сайтов клиентов, минимально необходимый доступ, двухфакторную аутентификацию сотрудников и журналирование доступа к конфиденциальным данным;
• регулярное резервное копирование и возможность восстановления, мониторинг доступности и обновления безопасности;
• защиту от атак через Cloudflare, ограничения частоты запросов и проверки на ботов;
• процесс обработки инцидентов и пересмотра этих мер.

5. Субобработчики

Вы даёте AFFIX общее разрешение привлекать субобработчиков. Текущий список приведён в политике конфиденциальности, в разделе «Кому мы передаём данные»: Hetzner Online GmbH (хостинг, ЕС), Cloudflare, Inc. (DNS, доставка и защита), Anthropic, PBC (AI Studio), Twilio Inc. (SMS, только если вы не подключили собственного провайдера) и DomainNameAPI (регистрируемые вами домены).

AFFIX возлагает на каждого субобработчика обязательства по защите данных не менее строгие, чем в этом Приложении, и отвечает перед вами за их исполнение.

О намерении добавить или заменить субобработчика AFFIX сообщит вам по почте не менее чем за 30 дней. В этот срок вы можете возразить по обоснованным причинам, связанным с защитой данных; если мы не сможем урегулировать возражение, вы можете прекратить соответствующие услуги и получить возврат за неиспользованную часть периода.

6. Содействие

С учётом характера обработки AFFIX помогает вам отвечать на запросы субъектов данных (большинство данных можно просмотреть, экспортировать, исправить и удалить в админ-панели вашего сайта). Если субъект данных обращается напрямую в AFFIX по поводу вашего сайта, AFFIX пересылает запрос вам и сам на него не отвечает, если вы об этом не попросите.

AFFIX предоставляет вам информацию, разумно необходимую для оценки воздействия на защиту данных и консультаций с надзорными органами.

7. Нарушения безопасности персональных данных

AFFIX уведомляет вас без неоправданной задержки, по возможности в течение 48 часов, после того как узнаёт о нарушении, затрагивающем Персональные данные клиента. В уведомлении, насколько это известно, описываются характер нарушения, категории и примерное число затронутых лиц и записей, вероятные последствия и принятые или предлагаемые меры. AFFIX принимает разумные меры для локализации нарушения и помогает вам уведомить органы и субъектов данных.

8. Международная передача

AFFIX учреждён в Грузии и хранит Персональные данные клиента на серверах в ЕС. Некоторые субобработчики находятся в США и других странах или получают доступ к данным оттуда.

Если вы учреждены в ЕС/ЕЭЗ или к вашей обработке применяется GDPR, к передаче в AFFIX посредством ссылки включаются стандартные договорные условия, утверждённые Исполнительным решением Комиссии (ЕС) 2021/914 (https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj), где вы - экспортёр данных, а AFFIX - импортёр: Модуль 2 (от контролёра к обработчику) или Модуль 3 (от обработчика к обработчику), если вы сами являетесь обработчиком. Для них: пункт 7 (присоединение) применяется; в пункте 9 применяется вариант 2 (общее разрешение) с указанным выше уведомлением за 30 дней; необязательная формулировка пункта 11 не применяется; по пункту 13 компетентен надзорный орган страны вашего учреждения, а если вы не учреждены в ЕС - страны вашего представителя в ЕС; в пункте 17 применяется вариант 2, а если это право не допускает прав третьих лиц-выгодоприобретателей - право Ирландии; по пункту 18 - суды государства - члена ЕС, где вы учреждены. Приложение I заполняется разделом «Сведения об обработке», Приложение II - разделом «Конфиденциальность и безопасность», Приложение III - списком субобработчиков.

Если применяется UK GDPR, аналогично применяется Дополнение о международной передаче данных к стандартным договорным условиям ЕС, изданное Комиссаром по информации Великобритании. Если применяется швейцарский закон о защите данных, условия применяются с адаптированными к нему ссылками и компетенцией швейцарского надзорного органа.

Если вы учреждены в Грузии, передача осуществляется по статьям 37 и 38 Закона Грузии «О защите персональных данных».

Для дальнейшей передачи AFFIX использует стандартные договорные условия со своими субобработчиками или их сертификацию по Рамочной программе ЕС-США о конфиденциальности данных.

9. Информация и аудит

AFFIX по запросу предоставляет информацию, необходимую для подтверждения соблюдения этого Приложения. Если этого недостаточно, вы можете провести аудит AFFIX сами или через независимого аудитора, связанного обязательством конфиденциальности, раз в год с уведомлением за 30 дней, в рабочее время и без нарушения работы услуги и данных других клиентов; свои расходы вы несёте сами. Число аудитов, требуемых надзорным органом или проводимых после нарушения, не ограничено.

10. Удаление и возврат

До окончания услуг вы можете экспортировать Персональные данные клиента из админ-панели сайта и почтовых ящиков. После окончания услуги AFFIX удаляет Персональные данные клиента в сроки из политики конфиденциальности, а из резервных копий - при их перезаписи в обычной ротации, если закон не требует их хранить.

11. Ответственность и срок

Ответственность каждой стороны по этому Приложению определяется разделом об ответственности правил, кроме случаев, когда стандартные договорные условия или обязательный закон устанавливают иное. Приложение прекращается, когда AFFIX больше не обрабатывает для вас Персональные данные клиента.

Вопросы об этом Приложении: [email protected]. Если вашей организации нужна подписанная копия, напишите нам, и мы подпишем этот текст.