Соглашение об обработке данных
Заключено в соответствии со ст. 28(3) GDPR. Является неотъемлемой частью Условий использования и автоматически применяется к каждому клиенту WorkAist Cloud.
Действует с: 2026-07-10
Этот документ публикуется на нескольких языках. В случае каких-либо расхождений английская версия имеет обязательную силу.
1. Стороны и роли
Настоящее Соглашение об обработке данных («DPA») заключается между клиентом, указанным в аккаунте WorkAist («Контролёр»), и ILIN & SADOVENKO, LDA, Rua de Xabregas, nº 2, Escritório 3.21, 1900-440 Lisboa, Portugal, NIF 517251876 («Обработчик»).
В отношении Данных клиента, обрабатываемых в WorkAist Cloud, Контролёр определяет цели и средства обработки, а Обработчик осуществляет обработку от имени Контролёра. Если сам Контролёр является обработчиком для третьего лица, Контролёр гарантирует, что он обладает полномочиями на заключение настоящего DPA и что даваемые им инструкции отражают инструкции этого третьего лица.
Настоящий DPA не применяется к WorkAist Self-Hosted, где Данные клиента не поступают в системы Обработчика, а также к данным, в отношении которых сам Обработчик выступает контролёром и которые регулируются Политикой конфиденциальности.
2. Приоритет документов
В случае противоречия между настоящим DPA и Условиями использования по вопросам защиты данных приоритет имеет настоящий DPA. В случае противоречия с индивидуально согласованной формой заказа или подписанным соглашением об обработке данных приоритет имеет этот документ.
3. Предмет, срок, характер и цель обработки
Предметом является предоставление WorkAist Cloud. Характер и цель обработки заключаются в хостинге, хранении, передаче и автоматизированной обработке Данных клиента, чтобы настроенные Контролёром Агенты, коннекторы и процессы могли работать, вместе с деятельностью по поддержке, обеспечению безопасности, учёту и выставлению счетов, необходимой для предоставления Сервиса.
Обработка продолжается в течение всего срока действия договора Контролёра на WorkAist Cloud, а также в течение периодов удаления, указанных в пункте 11.
4. Категории субъектов данных и персональных данных
Контролёр сам решает, что загружать. Как правило, обработка затрагивает:
| Категории субъектов данных | Категории персональных данных |
|---|---|
| Сотрудники и уполномоченные пользователи Контролёра | Имя, рабочий email, роль, данные аутентификации, записи журнала аудита |
| Клиенты, лиды и контакты Контролёра | Имя, email, номер телефона, компания, переписка, записи CRM, любой идентификатор, который Контролёр решает синхронизировать |
| Поставщики и партнёры Контролёра | Контактные данные, данные договоров и счетов |
| Любой субъект данных, упоминаемый в документах или сообщениях, обрабатываемых Контролёром | Любые персональные данные, содержащиеся в файлах, письмах, транскриптах, изображениях или сообщениях, которые Контролёр передаёт в Сервис |
Специальные категории персональных данных согласно ст. 9 GDPR и персональные данные, касающиеся судимостей и правонарушений, согласно ст. 10 GDPR, не должны обрабатываться в Сервисе, если стороны заранее письменно не согласовали дополнительные меры защиты.
Источник данных
Данные клиента поступают в Сервис потому, что Контролёр подключает внешние системы, загружает файлы либо поручает своим Агентам их получение. Только Контролёр выбирает эти источники и определяет, что импортируется.
Контролёр гарантирует, что обладает законным основанием по ст. 6 GDPR — а в применимых случаях по ст. 9 — для сбора этих персональных данных и их передачи Обработчику, а также что любое требуемое в исходной системе информационное уведомление или согласие получено. Обработчик не имеет доступа к исходным системам Контролёра, не выбирает их и не проверяет и не может проверить их соответствие законодательству о защите данных. Установление этого является обязанностью Контролёра как контролёра.
5. Обработка на основании документированных инструкций
Обработчик обрабатывает Данные клиента только на основании документированных инструкций Контролёра, в том числе в отношении передач в третьи страны, если иное не требуется от него законодательством Союза или государства-члена, которому подчиняется Обработчик. В этом случае Обработчик информирует Контролёра о таком правовом требовании до начала обработки, если только соответствующее законодательство не запрещает такое информирование по важным основаниям публичного интереса.
Условия использования, настоящий DPA, а также настройка и использование Сервиса Контролёром составляют полные документированные инструкции Контролёра. Любая дополнительная инструкция должна быть в письменной форме и, если она требует усилий сверх стандартной функциональности Сервиса, может подлежать разумной плате, согласованной заранее.
Обработчик без неоправданной задержки информирует Контролёра, если, по его мнению, какая-либо инструкция нарушает GDPR или иное законодательство Союза или государств-членов о защите данных.
6. Конфиденциальность
Обработчик обеспечивает, чтобы лица, уполномоченные на обработку Данных клиента, приняли на себя обязательства о конфиденциальности либо были связаны соответствующей законодательной обязанностью сохранения конфиденциальности, а также чтобы доступ был ограничен теми, кому он необходим для исполнения договора.
7. Безопасность обработки
С учётом уровня развития техники, затрат на реализацию, а также характера, объёма, контекста и целей обработки, равно как и риска для прав и свобод физических лиц, Обработчик реализует следующие технические и организационные меры согласно ст. 32 GDPR.
Приложение II — Технические и организационные меры
| Мера | Реализация |
|---|---|
| Шифрование при передаче | Весь трафик к Сервису и от него передаётся по TLS с автоматически обновляемыми сертификатами. Внутренний трафик между сервисами не выходит за пределы сети хоста. |
| Шифрование секретов | Учётные данные клиентов и секреты коннекторов шифруются в состоянии покоя с использованием AES-256-GCM под ключом, хранящимся вне базы данных приложения. |
| Псевдонимизация | Записи телеметрии и учёта использования ссылаются на клиентов и Агентов по идентификатору, а не по имени или email, везде, где идентификатора достаточно. |
| Конфиденциальность — контроль доступа | Ролевой контроль доступа для каждого рабочего пространства. Каждый Агент ограничен собственным префиксом хранилища и собственной схемой базы данных; межарендный доступ отклоняется на уровне данных, а не только в интерфейсе. |
| Конфиденциальность — персонал | Административный доступ по принципу минимально необходимых привилегий, предоставляемый индивидуально и пересматриваемый при смене роли. Все административные действия записываются в журнал аудита, доступный только для добавления записей. |
| Целостность | Валидация входных данных и параметризованные запросы повсеместно. Каждое изменение через API операций фиксируется строкой журнала аудита с указанием субъекта действия. |
| Доступность и отказоустойчивость | Управляемый хостинг в дата-центре класса Tier III в Германии. Автоматизированное ежедневное резервное копирование базы данных, хранимое в зашифрованном виде отдельно от продуктивной среды. |
| Восстановление | Документированная процедура восстановления из последней резервной копии; восстановление отрабатывается в рамках изменений инфраструктуры. |
| Тестирование и оценка | Сканирование уязвимостей зависимостей в процессе непрерывной интеграции, ревью кода перед слиянием, а также периодический пересмотр данных мер не реже одного раза в год и при существенных изменениях Сервиса. |
| Минимизация данных на этапе проектирования | Коннекторы синхронизируют только поля, включённые Контролёром. Контролёр может удалить любую синхронизированную таблицу в любое время. |
Обработчик может обновлять эти меры по мере развития технологий при условии, что уровень защиты не снижается. Действующей всегда является версия, опубликованная на этой странице.
8. Субобработчики
Контролёр предоставляет Обработчику общее письменное разрешение на привлечение субобработчиков. Обработчик договорно возлагает на каждого субобработчика обязательства по защите данных не менее строгие, чем предусмотренные настоящим DPA, и несёт перед Контролёром полную ответственность за исполнение субобработчиком своих обязательств.
Приложение III — Утверждённые субобработчики
Следующие субобработчики привлекаются для каждого клиента WorkAist Cloud, поскольку они являются частью инфраструктуры, на которой работает Сервис.
| Субобработчик | Цель | Местонахождение | Гарантия передачи |
|---|---|---|---|
| Hetzner Online GmbH | Хостинг серверов приложений, базы данных и резервных копий | Германия (ЕС) | Не применимо |
| Cloudflare, Inc. | DNS, обратный прокси, терминация TLS, защита от DDoS | Глобальная edge-сеть, включая ЕС | СДУ; EU-US Data Privacy Framework |
| Stripe Payments Europe, Ltd. | Обработка платежей и подписок | Ирландия (ЕС) | СДУ для последующих внутригрупповых передач; EU-US Data Privacy Framework |
| Resend, Inc. | Доставка транзакционных писем | США | СДУ |
Поставщики моделей
Поставщики больших языковых моделей рассматриваются иначе, поскольку их выбирает Контролёр.
- Если Контролёр предоставляет собственные учётные данные поставщика, этот поставщик привлекается Контролёром по его инструкциям и в рамках его собственного договора с ним. Он не является субобработчиком Обработчика. Обработчик лишь передаёт запрос с использованием предоставленных учётных данных и не даёт никаких гарантий в отношении безопасности этого поставщика, места обработки, практик обучения моделей или соответствия требованиям законодательства.
- Если Контролёр использует управляемую Обработчиком оплату токенов, поставщика выбирает Обработчик, и такой поставщик является субобработчиком Обработчика. В настоящее время в этом качестве привлекается Anthropic PBC (США) для инференса больших языковых моделей на основании Стандартных договорных условий и с договорным запретом на обучение на направляемых ему данных.
Контролёр может в любое время внутри Сервиса увидеть, какого поставщика модели использует каждый из его Агентов, и изменить его.
Изменения субобработчиков
Обработчик уведомляет Контролёра не менее чем за 30 дней по электронной почте до добавления или замены субобработчика. Контролёр может возразить по разумным основаниям, связанным с защитой данных, в течение этих 30 дней. Если стороны не могут урегулировать возражение, Контролёр может расторгнуть договор в отношении затронутой части Сервиса без штрафа и получить пропорциональный возврат предоплаченных платежей.
9. Содействие в реализации прав субъектов данных
С учётом характера обработки Обработчик содействует Контролёру посредством надлежащих технических и организационных мер, насколько это возможно, в исполнении обязанности Контролёра отвечать на запросы о реализации прав субъекта данных согласно Главе III GDPR.
Сервис предоставляет Контролёру прямой доступ к Данным клиента, чтобы он мог самостоятельно находить, экспортировать, исправлять и удалять персональные данные. Если запрос всё же требует участия Обработчика, Обработчик отвечает без неоправданной задержки и в любом случае в течение 10 рабочих дней. Если субъект данных обращается непосредственно к Обработчику по поводу Данных клиента, Обработчик не даёт ответа по существу; он без неоправданной задержки направляет запрос Контролёру.
10. Содействие в соответствии со статьями 32–36
Обработчик содействует Контролёру в обеспечении соблюдения обязательств по ст. 32–36 GDPR с учётом характера обработки и информации, доступной Обработчику, — в частности, в отношении безопасности обработки, уведомления о нарушениях защиты персональных данных, информирования субъектов данных, оценки воздействия на защиту данных и предварительных консультаций.
Нарушение защиты персональных данных
Обработчик уведомляет Контролёра без неоправданной задержки и в любом случае в течение 48 часов после того, как ему стало известно о нарушении защиты персональных данных, затрагивающем Данные клиента. Уведомление описывает характер нарушения, категории и приблизительное число затронутых субъектов данных и записей, вероятные последствия, принятые или предлагаемые меры, а также контактное лицо. Если не вся информация доступна одновременно, она предоставляется поэтапно без дальнейшей неоправданной задержки. Обработчик не уведомляет надзорный орган или субъектов данных от имени Контролёра, если ему не поручено это сделать.
11. Удаление и возврат Данных клиента
По выбору Контролёра Обработчик удаляет или возвращает все Данные клиента после окончания оказания услуг, связанных с обработкой, и удаляет имеющиеся копии, если законодательство Союза или государства-члена не требует хранения персональных данных.
- В течение 30 дней после окончания договора Контролёр может экспортировать Данные клиента из Сервиса либо потребовать их возврата в структурированном, широко используемом, машиночитаемом формате.
- Обработчик удаляет Данные клиента из действующих систем в течение 30 дней после закрытия этого окна экспорта.
- Зашифрованные резервные копии, содержащие Данные клиента, перезаписываются в рамках их обычной ротации и в любом случае в течение 90 дней после удаления из действующих систем.
- По письменному запросу Обработчик письменно подтверждает удаление.
12. Аудит и предоставление информации
Обработчик предоставляет Контролёру всю информацию, необходимую для подтверждения соблюдения ст. 28 GDPR, и обеспечивает возможность проведения аудитов, включая инспекции, проводимых Контролёром или иным уполномоченным им аудитором, и содействует их проведению.
На практике Обработчик сначала предоставляет свою актуальную документацию по техническим и организационным мерам, список субобработчиков и письменные ответы на анкету по безопасности. Если этого недостаточно для подтверждения соблюдения, Контролёр может провести очный или удалённый аудит с письменным уведомлением за 30 дней, не чаще одного раза в календарный год, если только не произошло нарушение защиты персональных данных или этого не требует надзорный орган. Аудиты проводятся в рабочее время, не должны неоправданно нарушать деятельность Обработчика и подчиняются требованиям конфиденциальности. Контролёр несёт собственные расходы на аудит; Обработчик несёт свои собственные расходы, за исключением случаев, когда аудит выявляет существенное нарушение настоящего DPA.
13. Международные передачи данных
Обработчик хранит Данные клиента в состоянии покоя в Германии. Передачи субобработчикам за пределами Европейского экономического пространства, перечисленным в Приложении III, осуществляются на основании Стандартных договорных условий Европейской комиссии (Имплементационное решение (ЕС) 2021/914), Модуль третий, применяемых в случаях, когда Обработчик, выступая обработчиком, привлекает субобработчика, дополненных при необходимости дополнительными гарантиями, а также — если получатель сертифицирован — на основании решения об адекватности в рамках EU-US Data Privacy Framework.
Заключая настоящий DPA, Контролёр поручает Обработчику заключить указанные Стандартные договорные условия с каждым субобработчиком от имени и по поручению Контролёра.
14. Ответственность
Ответственность по настоящему DPA регулируется ограничением ответственности, установленным в Условиях использования, за исключением того, что ничто не ограничивает ответственность любой из сторон перед субъектом данных по ст. 82 GDPR или перед надзорным органом.
15. Срок действия, применимое право и контакты
Настоящий DPA вступает в силу с момента начала действия договора Контролёра на WorkAist Cloud и остаётся в силе до тех пор, пока Обработчик обрабатывает Данные клиента. Он регулируется законодательством Португалии, и суды Лиссабона обладают исключительной юрисдикцией без ущерба для ст. 79 GDPR.
Контакты по всем вопросам в рамках настоящего DPA: [email protected].