Соглашение об обработке данных

Стороны и сфера действия

Настоящее Соглашение об обработке данных («Соглашение») заключено между клиентом, принявшим наши Условия использования («Клиент», контролёр (оператор)), и IGP Global Solutions FZ-LLC («IGP one», обработчик). Оно применяется, когда IGP one обрабатывает персональные данные от имени Клиента при предоставлении Сервиса («Персональные данные Клиента»).

Соглашение является частью Условий использования и считается принятым, когда Клиент принимает эти Условия. При противоречии между этим Соглашением и Условиями в вопросах защиты данных преимущественную силу имеет Соглашение. Чтобы получить экземпляр, подписанный обеими сторонами, напишите на [email protected].

Сведения об обработке (Приложение I)

Предмет и цель: предоставление Сервиса IGP one, включая ИИ-агента (в чате и в голосовом режиме), создание контента, публикацию, обработку комментариев, сообщений и ответов на сторис, сценарии «комментарий → личное сообщение», автоматизацию ответов на сторис, сбор лидов, уведомления и отчёты.

Характер обработки: сбор через подключённые аккаунты, хранение, систематизация, анализ ИИ-моделями, создание ответов и контента, передача на подключённые платформы и удаление.

Срок: срок подписки Клиента и указанный ниже срок удаления.

Субъекты данных: люди, взаимодействующие с подключённым аккаунтом Instagram Клиента (например, авторы комментариев, отправители сообщений, люди, отвечающие на его сторис, и лиды), а также участники команды Клиента.

Категории данных: имена пользователей, имена и фото профилей, ID на платформе, содержание сообщений, комментариев и ответов на сторис, контактные данные и запросы, которыми делятся люди, заметки и метки лидов, имена и адреса электронной почты участников команды, а также история чата рабочего пространства (включая расшифровки голосовых диалогов; голосовое аудио обрабатывается в реальном времени и не хранится).

Специальные категории: не предполагаются. Клиент не должен использовать Сервис для сбора данных специальных категорий, сведений о здоровье, данных платёжных карт или номеров документов, удостоверяющих личность.

Периодичность передачи: непрерывно, пока используется Сервис. Срок хранения: как указано в разделе «Удаление и возврат данных». Компетентный надзорный орган для целей SCC: определяется в соответствии с пунктом 13 применительно к Клиенту. Субобработчики (Приложение III): как указано на нашей странице «Субобработчики».

Инструкции Клиента

IGP one обрабатывает Персональные данные Клиента только по документированным инструкциям Клиента, в том числе в отношении международной передачи данных, если иное не требуется законом; в таком случае IGP one сообщает об этом Клиенту до начала обработки, если закон этого не запрещает. Такими инструкциями являются Условия, это Соглашение, а также настройка и использование Сервиса Клиентом. IGP one сообщит Клиенту, если сочтёт, что инструкция нарушает законодательство о защите данных.

Клиент отвечает за наличие правового основания и предоставление субъектам данных необходимых уведомлений, в том числе о том, что используются автоматические ответы и ответы, подготовленные с помощью ИИ.

Конфиденциальность

IGP one обеспечивает, чтобы все лица, допущенные к обработке Персональных данных Клиента, были связаны обязательствами о конфиденциальности и получали к ним доступ только в той мере, в какой это нужно для предоставления и поддержки Сервиса.

Безопасность (Приложение II)

IGP one применяет надлежащие технические и организационные меры, в том числе: шифрование при передаче и хранении; основное хранение Персональных данных Клиента в Европейском союзе; логическую изоляцию клиентов с защитой на уровне строк (row-level security); шифрование токенов доступа к соцсетям на уровне полей в защищённом хранилище; доступ на основе ролей; единый вход (SSO) и контроль доступа для внутренних инструментов; журналы аудита; ежедневное резервное копирование с проверкой восстановления; постоянный мониторинг ошибок и доступности. Журналы сервиса, в которых нет содержания сообщений, хранятся у Better Stack в США. Эти меры описаны на нашей странице «Безопасность и защита данных» и могут обновляться при условии, что общий уровень защиты не снижается.

Субобработчики

Клиент даёт IGP one общее разрешение на привлечение субобработчиков, перечисленных на нашей странице «Субобработчики».

IGP one не менее чем за 30 дней уведомляет о добавлении или замене субобработчика, обрабатывающего Персональные данные Клиента, обновляя эту страницу и отправляя письма владельцам аккаунтов. В течение этого срока Клиент может возразить по обоснованным причинам, связанным с защитой данных. Если мы не можем разумно устранить возражение, Клиент может прекратить использование затронутой части Сервиса и получить возврат предоплаты за неё.

IGP one возлагает на каждого субобработчика обязательства по защите данных, обеспечивающие не меньший уровень защиты, чем это Соглашение, и остаётся ответственным за своих субобработчиков.

Международная передача

Персональные данные Клиента хранятся в ЕС. IGP one может получать к ним доступ из Объединённых Арабских Эмиратов, а ИИ-провайдеры и другие субобработчики могут обрабатывать их в США.

Для передачи персональных данных, на которые распространяется GDPR, в страну без решения о достаточности защиты стороны принимают стандартные договорные положения (SCC), утверждённые Имплементационным решением Комиссии (ЕС) 2021/914: Модуль второй (от контролёра к обработчику) между Клиентом и IGP one и, при необходимости, Модуль третий (от обработчика к обработчику) между IGP one и его субобработчиками. Применяется пункт 7 (присоединение); в пункте 9(a) выбран вариант общего разрешения с указанным выше сроком уведомления; необязательная формулировка пункта 11 не применяется; к пунктам 17 и 18 применяется право Ирландии, а споры рассматриваются судами Ирландии. Приложениями I и II являются приведённые выше разделы.

Для данных из Великобритании применяется Дополнение о международной передаче данных к SCC ЕС (International Data Transfer Addendum), изданное Комиссаром по информации Великобритании; таблицы 1–3 в нём заполняются на основании этого Соглашения и SCC. Для данных из Швейцарии применяются SCC, при этом ссылки в них понимаются как ссылки на Федеральный закон Швейцарии о защите данных, а Федеральный уполномоченный Швейцарии по защите данных и информации (FDPIC) является компетентным органом.

Если субобработчик сертифицирован по Рамочной программе защиты данных ЕС — США (Data Privacy Framework), вместо SCC может использоваться эта программа.

Передача данных, на которую распространяются PDPL ОАЭ или законодательство Израиля, осуществляется по правилам передачи, установленным этими законами, в том числе на основании договорных гарантий.

Если IGP one получает от государственного органа юридически обязательный запрос о предоставлении Персональных данных Клиента, он уведомляет об этом Клиента, если это допускает закон, оспаривает запрос при наличии разумных оснований и раскрывает только минимально необходимый объём данных.

Содействие Клиенту

IGP one помогает Клиенту отвечать на запросы субъектов данных, главным образом с помощью инструментов самообслуживания для доступа, экспорта, исправления и удаления. Если IGP one получает запрос напрямую, он без неоправданной задержки пересылает его Клиенту и не отвечает на него, кроме как по инструкции Клиента или по требованию закона.

IGP one оказывает разумное содействие в выполнении обязанностей Клиента в области безопасности, уведомления об утечках, оценки воздействия на защиту данных и предварительных консультаций с органами власти (статьи 32–36 GDPR) на основе доступной ему информации и ведёт учёт обработки, которую осуществляет для Клиента.

Утечки персональных данных

IGP one уведомляет Клиента без неоправданной задержки и в любом случае в течение 48 часов с момента, когда ему стало известно об утечке персональных данных, затрагивающей Персональные данные Клиента. Уведомление описывает, что произошло, какие данные и лица затронуты, возможные последствия и принятые или предлагаемые меры, и дополняется по мере появления новой информации.

IGP one не уведомляет органы власти или субъектов данных от имени Клиента, если Клиент об этом не просит или этого не требует закон.

Удаление и возврат данных

Клиент может экспортировать Персональные данные Клиента в любой момент в течение срока подписки и в течение 30 дней после её окончания. По выбору Клиента данные возвращаются путём экспорта или удаляются: после удаления Клиентом аккаунта или через 30 дней после прекращения договора IGP one удаляет Персональные данные Клиента, а из циклических резервных копий они исчезают ещё в течение 35 дней, если закон не требует более длительного хранения.

Пока Instagram подключён, сообщения и комментарии хранятся 12 месяцев после последней активности в диалоге, а записи о лидах — пока существует аккаунт Клиента и Instagram остаётся подключённым. Когда Клиент отключает Instagram, токен доступа удаляется сразу, а данные, полученные через это подключение, удаляются в течение 30 дней, если за это время аккаунт не будет подключён снова.

Аудиты

IGP one предоставляет информацию, разумно необходимую для подтверждения соблюдения этого Соглашения, в том числе письменные ответы на опросники по безопасности один раз в год. Если этого недостаточно или этого требует орган власти, Клиент может провести аудит один раз в год с уведомлением за 30 дней, в рабочее время, силами независимого аудитора, связанного обязательствами о конфиденциальности, за свой счёт.

Законы штатов США о конфиденциальности

Для целей CCPA/CPRA и аналогичных законов штатов США IGP one действует как поставщик услуг (service provider) или обработчик. IGP one не будет продавать или передавать Персональные данные Клиента; не будет хранить, использовать или раскрывать их вне прямых деловых отношений или для любых целей, кроме предоставления Сервиса; не будет объединять их с другими данными, кроме как в пределах, допускаемых этими законами; и уведомит Клиента, если больше не сможет выполнять эти обязательства. IGP one подтверждает, что понимает эти ограничения и будет их соблюдать.

ОАЭ и Израиль

Персональные данные Клиента, на которые распространяется PDPL ОАЭ, IGP one обрабатывает только по инструкциям, сохраняет их конфиденциальность и безопасность, уведомляет об утечках, как указано выше, и удаляет их по окончании обработки. В отношении данных, на которые распространяются Закон Израиля о защите частной жизни и Положения о безопасности данных, IGP one выполняет обязанности держателя (holder), обрабатывающего данные для Клиента, включая меры безопасности, конфиденциальность, сообщение Клиенту об утечках и возврат или удаление данных по окончании сотрудничества.

Ответственность и срок действия

Ответственность каждой стороны по этому Соглашению подпадает под ограничения, установленные Условиями, кроме случаев, когда закон или SCC этого не допускают. Соглашение действует, пока IGP one обрабатывает Персональные данные Клиента.

Контакты

Вопросы о защите данных: [email protected]. Подписанные экземпляры и юридические уведомления: [email protected].