Часть F - Соглашение об обработке данных (DPA)

Настоящее соглашение является неотъемлемой частью условий использования и применяется к каждому клиенту, для которого Компания обрабатывает персональные данные.

F.1 Роли

Клиент - контролёр (בעל שליטה). Palmidos Ltd - обработчик (מעבד). В отношении данных аккаунта самого Клиента Компания является контролёром, и действует политика конфиденциальности.

F.2 Приложение 1 - сведения об обработке

Предмет: услуги по управлению кампаниями и платформа ChatAdsAI. Срок: на срок действия соглашения и до завершения удаления или возврата в соответствии с разделом F.10. Характер и цель: создание, запуск, оптимизация и отчётность по кампаниям; приём, хранение, отображение, классификация и экспорт лидов; создание контента; операционная коммуникация. Виды данных: имя; электронная почта; телефон; название бизнеса и должность; содержание обращения; формулировка согласия на рассылку, показанная субъекту данных, и отметка времени, когда оно было дано; идентификаторы кампании; IP-адрес и идентификаторы устройства; данные о взаимодействии с объявлением. Субъекты данных: лиды и обратившиеся из кампаний; контактные лица от имени Клиента. Чувствительная информация: Клиент обязуется не передавать чувствительную информацию в значении Закона о защите частной жизни и статьи 9 GDPR, за исключением информации, передачи которой невозможно избежать в силу самого характера Сервиса, как указано выше. Компания классифицирует базу данных на соответствующем уровне безопасности в документе определения базы данных.

F.3 Обязанности обработчика

Компания:

(а) будет обрабатывать персональные данные исключительно по документированным указаниям Клиента - включая указания, содержащиеся в настоящем соглашении и в использовании Клиентом Сервиса - в том числе в отношении передачи в третью страну, если иное не требуется законом, и в этом случае уведомит Клиента заранее, если закон этого не запрещает; (б) обеспечит, чтобы все лица, уполномоченные на обработку, были связаны обязанностью конфиденциальности; (в) будет применять меры безопасности в соответствии с Приложением 3; (г) не будет привлекать субпроцессора иначе как в соответствии с разделом F.5; (д) будет помогать Клиенту надлежащими техническими и организационными средствами в ответах на запросы субъектов данных; (е) будет помогать Клиенту, с учётом характера обработки и информации, имеющейся в её распоряжении, в исполнении его обязанностей по статьям 32-36 GDPR; (ж) удалит или вернёт данные по выбору Клиента в соответствии с разделом F.10; (з) предоставит Клиенту информацию, необходимую для доказательства выполнения её обязанностей, и допустит аудит в соответствии с разделом F.9; (и) уведомит Клиента, если, по её мнению, его указание нарушает закон; (й) не будет обрабатывать персональные данные для какой-либо собственной цели - включая разработку, обучение, benchmarking или получение аналитических выводов - и не будет продавать, сдавать в аренду или передавать персональные данные третьему лицу, кроме как по указанию Клиента или как требуется законом; (к) будет вести учёт видов обработки в соответствии со статьёй 30(2) GDPR и предоставит его для ознакомления по требованию; (л) будет исполнять свои обязанности как держателя в соответствии с Правилами о защите частной жизни (безопасность информации), 5777-2017, включая правила 15 и 19.

F.4 Обязанности контролёра

Клиент обязуется: (а) что имеется действительное правовое основание для сбора данных и их передачи Компании, включая согласия на рассылки в соответствии с требованиями закона; (б) что он предоставил субъектам данных необходимые уведомления; (в) предоставить или письменно утвердить формулировку согласия на рассылку, указанную в форме лида, и эта формулировка считается его документированным указанием; (г) что его указания соответствуют закону; (д) не передавать чувствительную информацию в нарушение раздела F.2.

F.4A Права контролёра

Клиенту принадлежат права: давать указания о способе обработки и изменять свои указания; получать документацию и проводить аудит в соответствии с F.9; возражать против субпроцессора в соответствии с F.5.3; выбирать между удалением и возвратом в соответствии с F.10; получать помощь в соответствии с F.7 и F.8; и получать уведомление об инциденте безопасности в соответствии с F.7.

F.5 Субпроцессоры

F.5.1. Клиент предоставляет общее письменное разрешение на привлечение субпроцессоров, указанных в Приложении 2.

F.5.2. Компания уведомит о добавлении или замене за 30 дней, по электронной почте и на странице субпроцессоров, на обновления которой можно подписаться.

F.5.3. Клиент вправе возразить по разумным и мотивированным причинам, связанным с защитой данных, в течение 15 дней. Стороны будут действовать добросовестно для нахождения решения. Если решение не найдено в течение 30 дней - Клиент вправе немедленно расторгнуть соглашение, срок обязательства прекращается, и ему выплачивается пропорциональный возврат платы за сервис, уплаченной вперёд. Сказанное не умаляет права Компании заменить поставщика по причинам чрезвычайной ситуации или безопасности, уведомив без промедления.

F.5.4. Компания заключит с каждым субпроцессором соглашение на условиях защиты данных не менее строгих, чем в настоящем соглашении, в том числе в соответствии с правилом 3 Правил о передаче данных за границу, и останется полностью ответственной перед Клиентом за его исполнение.

F.6 Международные передачи

F.6.1. Компания находится в Израиле, в отношении которого существует решение Европейской комиссии об адекватности (подтверждено повторно 15.1.2024) и параллельное признание в Великобритании. Передача из EEA и из Великобритании Компании не требует дополнительного механизма, пока признание действует.

F.6.2. Альтернативный механизм. Если решение об адекватности отменено, приостановлено или сужено так, что не охватывает передачи по настоящему соглашению - автоматически применяются стандартные договорные положения, указанные в Решении Комиссии (EU) 2021/914, Модуль 2, настоящим включённые путём ссылки, с учётом следующих дополнений: (а) Клиент - экспортёр; Компания - импортёр; данные сторон указаны в аккаунте Клиента и в разделе 32 условий использования - Annex I.A; (б) Clause 7 - применяется; (в) Clause 9 - Option 2, срок уведомления 30 дней; (г) необязательный Clause 11(a) - не применяется; (д) Clause 17 - Option 1, право Ирландии; (е) Clause 18(b) - суды Ирландии, без ущерба для Clause 18(c); (ж) Annex I.B - Приложение 1; Annex I.C - надзорный орган государства места нахождения Клиента, а при его отсутствии - ирландский DPC; Annex II - Приложение 3; Annex III - Приложение 2; (з) при любом противоречии приоритет имеют положения SCC, и разделы 30 и F.12 к ним не применяются.

F.6.3. Для передач из Великобритании - UK International Data Transfer Addendum; из Швейцарии - необходимые адаптации.

F.6.4. Передачи из Израиля. Передача персональных данных из Израиля субпроцессору за пределами Израиля осуществляется в соответствии с Правилами о защите частной жизни (передача данных в базы данных за пределами государства), 5761-2001, включая письменное обязательство получателя по правилу 3. Для передачи в государство без решения ЕС об адекватности - SCCs в Модуле 3 в соответствии с Clause 8.8 и документированная оценка воздействия передачи. По запросу Клиента Компания предоставит описание механизма, применимого к каждому субпроцессору.

F.6.5. Данные, происходящие из EEA, обрабатываются также в соответствии с Правилами о защите частной жизни (положения о данных, переданных в Израиль из Европейской экономической зоны), 5783-2023 (תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ"ג-2023), включая уведомление субъекта данных в течение 30 дней, если оно требуется.

F.7 Инцидент безопасности

F.7.1. Компания уведомит Клиента об инциденте безопасности, касающемся данных, которые она обрабатывает для него, без неоправданной задержки и в любом случае не позднее 24 часов с момента, когда ей стало о нём известно, по электронной почте контактному лицу, указанному в аккаунте, и в интерфейсе.

F.7.2. Если по истечении 12 часов обстоятельства ещё не выяснены - передаётся предварительное уведомление, которое дополняется позднее. Уведомление включает описание инцидента, категории и объём данных и субъектов данных, ожидаемые последствия, принятые меры и контактное лицо.

F.7.3. Формальная ответственность за уведомление надзорного органа и субъектов данных лежит на Клиенте как на контролёре. Компания окажет ему помощь без дополнительной платы в предоставлении информации, документации, количественной оценке объёма и определении затронутых субъектов данных. Сказанное не умаляет обязанности Компании сообщить Управлению по защите частной жизни о серьёзном инциденте безопасности в базе данных, принадлежащей ей, в соответствии с правилом 11(d). Уведомление не является признанием ответственности.

F.8 Запросы субъектов данных

F.8.1. Если Компания получила запрос непосредственно от субъекта данных - она направит его к Клиенту и уведомит Клиента.

F.8.2. Компания будет помогать Клиенту надлежащими техническими и организационными средствами, включая инструменты экспорта, редактирования и удаления в Сервисе, без дополнительной платы и в срок, позволяющий Клиенту соблюсти сроки, установленные законом. Ручная помощь, существенно выходящая за рамки обычного использования - по согласованию и за разумную плату, о которой будет заранее договорено.

F.9 Аудит

F.9.1. Компания предоставит Клиенту по его запросу, не чаще одного раза в 12 месяцев, разумную документацию для доказательства выполнения соглашения, включая ответы на вопросник по безопасности и отчёты аудита третьей стороны, если они имеются.

F.9.2. Если документация не дала разумного ответа на аспекты, которые Клиент просил проверить - Клиент вправе провести аудит на месте, самостоятельно или через назначенного им аудитора, с уведомлением за 30 дней, в рабочие часы, не чаще одного раза в 12 месяцев (если только это не требуется вследствие инцидента безопасности или требования органа власти), за свой счёт, с соблюдением конфиденциальности и способом, который не будет несоразмерно нарушать деятельность Компании. Компания вправе возразить против определённого аудитора по разумным причинам в письменном виде в течение 10 дней, и тогда Клиент предложит другого аудитора.

F.10 Удаление и возврат

F.10.1. В течение 30 дней после окончания соглашения Клиент сообщит, хочет ли он, чтобы данные были удалены или возвращены. При отсутствии уведомления - удаление по истечении 60 дней.

F.10.2. Если Клиент выбрал возврат - Компания передаст данные в формате CSV или JSON без оплаты и затем удалит их.

F.10.3. Право на экспорт и удаление не зависит от оплаты, отсутствия долга или любого иного условия.

F.10.4. Компания вправе хранить данные, которые она обязана хранить по закону, только в необходимом объёме. Резервные копии будут удалены в обычном цикле резервного копирования и не позднее чем через 90 дней. На сохранённые данные продолжают распространяться обязанности настоящего соглашения.

F.10.5. По запросу Клиента - письменное подтверждение удаления в течение 14 дней.

F.11 Ответственность

F.11.1. Ответственность сторон по настоящему соглашению подчиняется разделу 22 условий использования, за исключением: (а) ответственности Компании перед субъектами данных по статье 82 GDPR, которая не ограничена; (б) ответственности Компании по статье 28(4) GDPR за действия субпроцессоров; (в) права регресса Клиента по статье 82(5) GDPR в отношении доли Компании в инциденте - в отношении которых действует отдельный и накопительный предел в размере наибольшей из сумм: платы за сервис, уплаченной за 24 месяца, предшествовавших событию, или €50,000.

F.11.2. Сказанное не ограничивает ответственность, которую закон не позволяет ограничивать.

F.12 Применимое право

Израильское право, за исключением стандартных договорных положений, если и когда они будут применяться.

---

Приложение 2 - субпроцессоры

Раскрытие в отношении независимого контролёра (не является субпроцессором): рекламная платформа OpenAI получает данные кампании как независимый контролёр, на своих условиях, в соответствии с разрешением, которое сам Клиент предоставил ей в своём рекламном аккаунте. Клиент отвечает за правовое основание для такой передачи.

Обработчик только данных аккаунта (политика конфиденциальности, не DPA): платёжный провайдер.

Приложение 3 - меры безопасности

Контроль доступа по ролям и по принципу минимальных прав · двухфакторная аутентификация для административного доступа · немедленное снятие разрешений при прекращении работы · TLS 1.2+ при передаче, шифрование при хранении · разделение сред · журналы доступа и административных действий · зашифрованные резервные копии и проверки восстановления · обновления безопасности и сканирование зависимостей · соглашения о конфиденциальности и обучение работников · проверка субпроцессоров · процедура реагирования на инциденты · документ определения базы данных в соответствии с правилом 2 Правил о безопасности информации, проверяется и обновляется раз в год, и в нём указаны управляющий базой данных, держатель и ответственный за информационную безопасность · ежеквартальная оценка применимости обязанности назначить ответственного за защиту частной жизни с учётом совокупного объёма обработки.