Соглашение об обработке персональных данных

01Стороны и сфера действия

Настоящее Соглашение об обработке персональных данных (далее — «DPA») является частью соглашения между COTRONIKA EOOD, болгарской компанией с ограниченной ответственностью с UIC 202457989 и юридическим адресом в Sofia 1700, Bulgaria (далее — «Обработчик»), и Customer (далее — «Оператор») в отношении использования платформы UXO на условиях Terms of Service по адресу /legal/terms (далее — «Соглашение»).

DPA применяется всякий раз, когда Обработчик обрабатывает персональные данные от имени Оператора в рамках предоставления Сервиса. Когда Обработчик обрабатывает персональные данные в собственном качестве (например, платёжные данные Customer и контактные данные уполномоченных сотрудников-пользователей), он делает это как оператор в соответствии с Политикой конфиденциальности по адресу /legal/privacy — такая обработка не входит в сферу действия настоящего DPA.

Если между настоящим DPA и Соглашением возникает противоречие, в вопросах, касающихся обработки персональных данных от имени Оператора, преимущественную силу имеет настоящее DPA.

02Определения

Термины с заглавной буквы, не определённые здесь, имеют значение, присвоенное им в Соглашении. Термины «personal data», «processing», «controller», «processor», «data subject», «sub-processor» и «personal data breach» имеют значения, установленные Article 4 of Regulation (EU) 2016/679 (далее — «GDPR»).

Applicable Data Protection Law

GDPR, законы государств-членов ЕС, реализующие или дополняющие его (включая болгарский закон о защите персональных данных), а также любое иное законодательство о защите данных или privacy, применимое к обработке персональных данных Обработчиком по настоящему DPA.

EEA

European Economic Area.

SCCs

Standard Contractual Clauses for the transfer of personal data to third countries adopted by the European Commission in Decision (EU) 2021/914 of 4 June 2021.

Customer Personal Data

Персональные данные, обрабатываемые Обработчиком от имени Оператора по настоящему DPA.

03Роли и инструкции по обработке

Стороны признают, что в отношении Customer Personal Data Оператор является оператором данных, а Обработчик — обработчиком данных. Документированные инструкции Оператора для Обработчика состоят из Соглашения, настоящего DPA и любых дополнительных инструкций, разумно предоставляемых через параметры конфигурации Сервиса или в письменной форме.

Обработчик будет обрабатывать Customer Personal Data только по документированным инструкциям Оператора и только для целей, описанных в Annex I, если иное не требуется Applicable Data Protection Law. Если Обработчик считает, что инструкция нарушает Applicable Data Protection Law, он уведомит Оператора и может отказаться выполнять такую инструкцию.

Оператор гарантирует, что обладает правом и законным основанием для предоставления Customer Personal Data Обработчику и для поручения Обработчику выполнять обработку, описанную в настоящем DPA. Оператор отвечает за предоставление субъектам данных всей требуемой информации, за управление отношениями с субъектами данных и за получение согласия в случаях, когда именно согласие является законным основанием обработки.

04Обязанности обработчика (Article 28(3) GDPR)

Обработчик обязуется:

• обрабатывать Customer Personal Data только по документированным инструкциям Оператора, включая инструкции в отношении международных передач (см. Section 9);
• обеспечивать, чтобы лица, уполномоченные обрабатывать Customer Personal Data, приняли на себя обязательство о конфиденциальности либо были связаны надлежащей установленной законом обязанностью соблюдать конфиденциальность;
• реализовывать технические и организационные меры, указанные в Annex II, для защиты Customer Personal Data от случайного или незаконного уничтожения, утраты, изменения, несанкционированного раскрытия или доступа;
• соблюдать условия настоящего DPA при привлечении субобработчиков (Section 5);
• с учётом характера обработки содействовать Оператору надлежащими техническими и организационными мерами, насколько это возможно, в исполнении обязанности Оператора отвечать на запросы субъектов данных (Section 7);
• содействовать Оператору в обеспечении соблюдения обязательств, предусмотренных Articles 32 to 36 GDPR (безопасность, уведомление о нарушении, оценка воздействия на защиту данных, предварительная консультация), с учётом характера обработки и информации, доступной Обработчику;
• по выбору Оператора удалить либо вернуть все Customer Personal Data после окончания оказания услуг и удалить существующие копии, если только Applicable Data Protection Law не требует их хранения (см. Section 10);
• предоставлять Оператору всю информацию, необходимую для подтверждения соблюдения обязательств, установленных Article 28 GDPR, а также допускать и содействовать проведению аудитов в порядке, предусмотренном Section 8.

05Субобработчики

Общее разрешение

Оператор предоставляет Обработчику общее разрешение на привлечение субобработчиков, перечисленных в Annex III, по состоянию на дату настоящего DPA. Обработчик остаётся полностью ответственным перед Оператором за исполнение обязанностей любого субобработчика.

Новые или заменяющие субобработчики

Обработчик заранее проинформирует Оператора о любом планируемом добавлении либо замене субобработчика, предоставив Оператору разумную возможность возразить по основаниям, связанным с защитой данных. Уведомление будет направлено по email основному контактному лицу по аккаунту либо через объявление в продукте или на сайте, поддерживаемое для этой цели, не менее чем за thirty days до вступления изменений в силу.

Возражение

Оператор может возразить в течение периода уведомления, если у него имеются разумные и документированные основания, связанные с защитой данных. Стороны обсудят такое возражение добросовестно. Если разногласия не удастся урегулировать, Оператор вправе прекратить затронутую часть Сервиса, направив письменное уведомление; Обработчик вернёт любые предоплаченные Fees за неиспользованную часть такого Сервиса с даты прекращения.

Обязанности субобработчика

Если Обработчик привлекает субобработчика, он возложит на такого субобработчика те же обязательства по защите данных, которые установлены настоящим DPA, посредством письменного договора, в частности обеспечив достаточные гарантии реализации надлежащих технических и организационных мер, чтобы обработка соответствовала требованиям GDPR.

06Уведомление о нарушении персональных данных

Обработчик уведомит Оператора без неоправданной задержки после того, как ему станет известно о нарушении безопасности персональных данных, затрагивающем Customer Personal Data. Уведомление будет направлено на email, связанный с основным контактным лицом Оператора по аккаунту, и в той мере, в какой соответствующая информация известна Обработчику на тот момент, будет включать:

• описание характера нарушения, включая, где это возможно, категории и приблизительное количество затронутых субъектов данных и записей;
• имя и контактные данные контактного лица Обработчика;
• вероятные последствия нарушения;
• меры, принятые или предлагаемые для устранения нарушения и смягчения его возможных неблагоприятных последствий.

Если невозможно предоставить всю эту информацию сразу, Обработчик будет предоставлять её поэтапно по мере доступности, без дальнейшей неоправданной задержки.

Уведомление о нарушении не означает признания вины или ответственности со стороны Обработчика.

07Содействие в реализации прав субъектов данных

Сервис предоставляет Оператору инструменты самообслуживания для ответа субъектам данных, реализующим свои права на доступ, исправление, удаление, ограничение, переносимость и возражение по Articles 15-22 GDPR (например, рабочая панель сотрудников позволяет экспортировать историю заказов и контактные записи клиентов, а Оператор может удалять записи напрямую).

Если инструментов самообслуживания недостаточно, Обработчик, с учётом характера обработки, окажет Оператору разумное содействие в ответе на запрос субъекта данных. Обработчик может взимать разумную плату за содействие по запросам, которые являются явно необоснованными или чрезмерными, в частности ввиду их повторяющегося характера.

Если Обработчик получает запрос субъекта данных непосредственно от субъекта данных в отношении Customer Personal Data, он проинформирует субъекта данных о необходимости адресовать запрос Оператору и уведомит Оператора без неоправданной задержки.

08Аудиты

Обработчик предоставит Оператору по разумному письменному запросу информацию, необходимую для подтверждения соблюдения им своих обязательств по Article 28 GDPR.

Если Оператор обоснованно считает, что предоставленной информации недостаточно для подтверждения соблюдения требований, Оператор может проводить аудит не чаще одного раза в календарный год, направив письменное уведомление минимум за тридцать дней. Аудиты проводятся в рабочие часы, с соблюдением конфиденциальности данных других клиентов, без необоснованного вмешательства в бизнес Обработчика и силами самого Оператора либо квалифицированного независимого стороннего аудитора, связанного надлежащими обязательствами конфиденциальности. Расходы по аудиту несёт Оператор, если только аудит не выявит существенное нарушение настоящего DPA, за которое отвечает Обработчик.

Более частые аудиты могут потребоваться, если надзорный орган предписывает Оператору провести такой аудит либо если произошло нарушение безопасности персональных данных, существенно затрагивающее данные Оператора.

09Международные передачи

Обработчик преимущественно обрабатывает Customer Personal Data в Bulgaria (EU). Если Обработчик или субобработчик передаёт Customer Personal Data в страну за пределами EEA, на которую не распространяется решение о достаточности по Article 45 GDPR, стороны соглашаются, что такая передача будет осуществляться на основании надлежащих гарантий в смысле Article 46 GDPR, которыми будут:

• SCCs, подписанные между экспортёром данных и импортёром данных в применимой форме модуля, с вариантами выбора и факультативными положениями, указанными в Annex IV; либо
• если импортёр прошёл самосертификацию в рамках EU-US Data Privacy Framework (Commission Implementing Decision (EU) 2023/1795), — решение о достаточности в сочетании с самосертификацией такого импортёра.

Там, где это требуется, Обработчик проведёт оценку влияния передачи данных и внедрит дополнительные меры, если это разумно необходимо для того, чтобы гарантируемый GDPR уровень защиты не был подорван.

10Возврат или удаление данных

После прекращения Соглашения и по выбору Оператора Обработчик:

• вернёт все Customer Personal Data Оператору в структурированном, общепринятом и машиночитаемом формате через инструменты экспорта Сервиса или иным разумным способом; либо
• удалит все Customer Personal Data.

В течение трёх месяцев после прекращения Обработчик удалит Customer Personal Data из рабочих систем и из штатных резервных копий в рамках обычных операционных циклов, за исключением случаев, когда Applicable Data Protection Law или иной применимый закон требует дальнейшего хранения (например, бухгалтерских и налоговых документов) либо когда хранение необходимо для установления, осуществления или защиты правовых требований. Любые сохранённые данные продолжают подпадать под действие настоящего DPA.

11Ответственность и срок действия

Ответственность каждой стороны по настоящему DPA регулируется ограничениями и исключениями, предусмотренными Соглашением. Ничто в настоящем DPA не исключает и не ограничивает ответственность стороны за мошенничество, грубую небрежность, умышленное неправомерное поведение либо любую ответственность, которую нельзя ограничить или исключить по Applicable Data Protection Law.

Настоящее DPA вступает в силу с даты заключения сторонами Соглашения и действует до тех пор, пока Обработчик не удалит и не вернёт все Customer Personal Data в соответствии с Section 10. Обязательства по настоящему DPA сохраняют силу после прекращения Соглашения до тех пор, пока Обработчик хранит Customer Personal Data.

12Применимое право

Настоящее DPA регулируется правом Республики Болгария без учёта её коллизионных норм. Исключительной юрисдикцией по любым спорам, возникающим из настоящего DPA или в связи с ним, обладают суды города Sofia, если только Applicable Data Protection Law не предоставляет исключительную юрисдикцию иному форуму.

13Контакты

Вопросы по настоящему DPA, запросы на осуществление прав от имени субъектов данных или уведомления, требуемые по нему, следует направлять на [email protected] либо по почте: COTRONIKA EOOD, Sofia 1700, Bulgaria.

A1Annex I — Описание обработки

Предмет

Обработка персональных данных Обработчиком от имени Оператора в целях предоставления платформы UXO по Соглашению.

Срок

В течение срока действия Соглашения и любого последующего периода, в течение которого Обработчик хранит Customer Personal Data в соответствии с Section 10.

Характер и цели обработки

Хостинг, хранение, извлечение, отображение, передача, ознакомление, организация, структурирование, индексирование, поиск, псевдонимизация, удаление и иные операции, необходимые для работы тех функций платформы UXO, которые Оператор решит использовать, включая цифровые меню, заказы по QR-коду, сценарии самовывоза и доставки, бронирования, рабочую панель сотрудников, поверхность маркетплейса и вспомогательную аналитику.

Категории субъектов данных

• Гости заведений Оператора, которые сканируют QR-код, оформляют заказы, делают бронирования или иным образом взаимодействуют с клиентскими поверхностями.
• Уполномоченные сотрудники Оператора, которые используют рабочую панель сотрудников, очереди кухни / бара или сервис печати.
• Там, где это применимо, поставщики и иные деловые контакты, которых Оператор добавляет в своё заведение.

Категории персональных данных

• Контактные и идентификационные данные — имя, email, телефон, адрес доставки.
• Данные заказов и бронирований — позиции, варианты, комментарии, время, данные о столе либо самовывозе/доставке, статус оплаты.
• Данные аккаунта — языковые предпочтения, сохранённые адреса, токены аутентификации.
• Данные сотрудников — имя, роль, контактные данные, токены сессии, журналы активности.
• Технические данные и данные соединения — IP-адрес, устройство, браузер, приблизительное местоположение, серверные журналы и телеметрия безопасности.

Сервис не предназначен для обработки специальных категорий персональных данных (Article 9 GDPR) или данных о судимостях и правонарушениях (Article 10 GDPR). Оператор обязуется не загружать такие данные без предварительного письменного согласования дополнительных гарантий с Обработчиком.

A2Annex II — Технические и организационные меры

С учётом современного уровня техники, затрат на реализацию, а также характера, объёма, контекста и целей обработки и риска для прав и свобод физических лиц Обработчик реализует надлежащие технические и организационные меры для обеспечения уровня безопасности, соответствующего риску. В настоящее время такие меры включают:

Конфиденциальность

• Шифрование TLS 1.2+ при передаче для всего трафика к Сервису и от Сервиса.
• Шифрование рабочих баз данных и резервных копий в состоянии покоя с использованием алгоритмов отраслевого стандарта.
• Ролевое разграничение доступа на основе принципа минимально необходимых привилегий. Доступ сотрудников к рабочим данным ограничен лицами, чья роль действительно этого требует.
• Изоляция арендаторов, обеспечиваемая при каждом запросе к базе данных через обязательный фильтр арендатора restaurant.
• Пароли хранятся в виде хэшей с солью с использованием медленного, memory-hard алгоритма. Токены сессии ротируются и истекают.

Целостность

• Процесс управления изменениями кода с коллегиальной проверкой изменений, затрагивающих рабочие системы.
• Автоматизированный конвейер непрерывной интеграции для сборки и тестирования перед развёртыванием.
• Журналы аудита административных действий, подписанные и защищённые от незаметного изменения.

Доступность и устойчивость

• Резервированная рабочая инфраструктура с регулярными автоматизированными резервными копиями.
• DDoS-защита и web-application firewall через Cloudflare.
• Планирование ёмкости и мониторинг состояния системы.
• Документированные процедуры реагирования на инциденты с определённой цепочкой эскалации.

Периодическое тестирование и пересмотр

• Регулярная установка исправлений уязвимостей операционной системы, runtime языка, framework, зависимостей и инфраструктурных компонентов.
• Периодическая оценка уровня безопасности поставщиков для субобработчиков, перечисленных в Annex III.
• Периодический пересмотр и обновление настоящих технических и организационных мер.

Обработчик может время от времени обновлять эти меры, чтобы отражать изменения в современном уровне техники и профиле риска Сервиса, при условии что обновлённые меры не приводят к существенному снижению уровня защиты.

A3Annex III — Текущие субобработчики

Ниже перечислены текущие субобработчики, привлечённые Обработчиком для предоставления Сервиса. Список отражает состояние на дату «Last updated» и поддерживается в соответствии с Section 5.

A4Annex IV — Выбор модулей SCC

Если SCCs применяются к передаче в рамках Section 9, заранее выбираются следующие параметры:

• Module. Module Two (transfer controller-to-processor) применяется между Оператором и любым субобработчиком вне EEA, привлекаемым Оператором напрямую. Module Three (transfer processor-to-processor) применяется между Обработчиком и любым субобработчиком вне EEA, которого он привлекает от имени Оператора.
• Clause 7 (docking clause). Применяется. Другие операторы и обработчики могут присоединяться к SCCs в соответствии с этим положением.
• Clause 9 (sub-processors). Option 2 (general written authorisation), с периодом уведомления, установленным в Section 5.
• Clause 11 (redress). Факультативная формулировка, допускающая подачу субъектом данных жалобы в независимый орган по разрешению споров, не выбирается.
• Clause 17 (governing law). Bulgarian law.
• Clause 18 (forum and jurisdiction). Суды города Sofia, Bulgaria.
• Annex I.A (parties). Оператор идентифицируется по сведениям аккаунта, предоставленным Обработчику; Обработчик — COTRONIKA EOOD; контакт по вопросам защиты данных для обеих сторон — [email protected] для Обработчика и email аккаунта Оператора для Оператора.
• Annex I.B (description). Как установлено в Annex I к настоящему DPA.
• Annex II (security measures). Как установлено в Annex II к настоящему DPA.
• Annex III (sub-processors). Как установлено в Annex III к настоящему DPA.

14Обновления настоящего DPA

Обработчик может время от времени обновлять настоящее DPA, например чтобы отражать изменения в законодательстве, функциональности Сервиса или составе субобработчиков. Обработчик разумным образом заранее уведомит основное контактное лицо по аккаунту о существенных изменениях. Обновления, которые не приводят к существенному снижению уровня защиты Customer Personal Data, могут вступать в силу с даты их публикации на этой странице.