Соглашение об обработке данных

1. Определения

«Законодательство о защите данных»: это UK GDPR, UK Data Protection Act 2018, EU GDPR и любое другое законодательство о защите данных, применимое к обработке. «Персональные данные», «обработка», «контролёр», «обработчик», «субъект данных» и «утечка персональных данных» имеют значения, определённые в этом законодательстве. «Сервис» имеет значение, определённое в Условиях.

2. Что охватывает это DPA

Это DPA не охватывает данные, которые мы используем в своих целях, например данные аккаунта, оплату, предотвращение мошенничества и записи о заказах, которые мы храним по закону. Контролёром этих данных являемся мы, и их обработку объясняет Политика конфиденциальности.

3. Ваши обязанности

• Вы решаете, зачем обрабатываются данные ваших посетителей, и отвечаете за то, чтобы у вас было на это правовое основание.
• Вы сообщаете посетителям и покупателям, как используете их данные, например в собственном уведомлении о конфиденциальности, на которое ведёт ссылка с вашей страницы.
• Вы получаете согласие там, где его требует закон, например перед подключением Conversions API от Meta, если закон страны ваших посетителей требует для этого согласия.
• Вы даёте нам только законные указания. Ваши настройки в Сервисе считаются вашими указаниями.

4. Наши обязанности

• Мы обрабатываем персональные данные только по вашим документально оформленным указаниям: это настоящие Условия, это DPA и ваши настройки, если закон не требует иного. Если мы считаем, что указание нарушает закон, мы сообщаем вам.
• Каждый сотрудник LoadFocus LTD, у которого есть доступ к данным, обязан сохранять их конфиденциальность.
• Мы защищаем данные мерами, описанными в разделе 5.
• Мы привлекаем субобработчиков только так, как сказано в разделе 6.
• Мы помогаем вам отвечать на запросы субъектов данных (раздел 7), а также выполнять ваши обязанности по безопасности, уведомлениям об утечках и оценке воздействия, насколько это позволяет характер обработки.
• Мы удаляем или возвращаем данные по окончании работы Сервиса (раздел 9).
• Мы даём вам информацию, нужную, чтобы показать, что мы соблюдаем статью 28, и разрешаем аудит так, как сказано в разделе 10.

5. Меры безопасности

• Шифрование при передаче: страницы, приложение и наши API работают по HTTPS.
• Доступ: база данных и хранилище сеансов принимают подключения только с наших собственных серверов и требуют пароль. К рабочим системам имеют доступ только сотрудники, которым это нужно для работы.
• Секреты: ключи и пароли хранятся в AWS Systems Manager Parameter Store и никогда не лежат в нашем коде.
• Аккаунты: вход через Google; любой сохранённый пароль хешируется с помощью bcrypt; сеансы используют защищённые cookie HTTP-only.
• Защита от злоупотреблений: ограничения частоты запросов при входе и регистрации и проверка того, что запросы приходят с нашего сайта.
• Минимизация данных: IP-адреса покупателей хранятся только в виде сокращённого одностороннего хеша; идентификаторы карт при неудачных платежах хранятся до 48 часов.

Мы пересматриваем эти меры при изменении Сервиса. На странице безопасности объясняется, как сообщить об уязвимости.

6. Субобработчики

Вы разрешаете нам привлекать этих субобработчиков для данных, на которые распространяется это DPA:

Каждый субобработчик связан письменным договором с условиями защиты данных, не менее строгими, чем в этом DPA. Мы по-прежнему отвечаем за них.

О новом субобработчике мы сообщаем по почте не менее чем за 30 дней до начала его работы. В этот срок вы можете возразить по почте, указав причины. Если мы не можем учесть ваше возражение, вы можете закрыть аккаунт, и мы вернём предоплаченные деньги за неиспользованное время.

7. Запросы субъектов данных

Если посетитель или покупатель просит нас предоставить доступ к его данным, исправить или удалить их, мы без промедления передаём запрос вам и сами на него не отвечаем, если закон не требует этого от нас. Вы можете написать на hello@more.you, и мы поможем найти, экспортировать или удалить данные этого человека.

8. Утечки персональных данных

Если нам станет известно об утечке персональных данных, затрагивающей данные по этому DPA, мы сообщим вам без необоснованной задержки и в любом случае в течение 48 часов. Мы расскажем, что произошло, какие данные и скольких людей это касается, что мы делаем и к кому вы можете обратиться. По мере поступления новых сведений мы будем присылать подробности.

9. Удаление данных по окончании

Когда вы закрываете аккаунт, ваши страницы снимаются с публикации, и мы прекращаем обрабатывать данные для вас. Мы удаляем их в течение 90 дней, если закон не требует их хранить. Перед закрытием аккаунта вы можете попросить у нас копию аналитики и заказов по адресу hello@more.you.

10. Информация и аудит

По запросу мы отвечаем на разумные письменные вопросы о том, как мы защищаем данные. Если этих ответов недостаточно, чтобы показать, что мы соблюдаем это DPA, или если этого требует регулятор, вы можете провести у нас аудит один раз в год, уведомив нас за 30 дней, в рабочее время, силами независимого аудитора, связанного обязательством конфиденциальности. Аудит оплачиваете вы.

11. Международная передача

Мы находимся в Великобритании, а наши серверы в США. Когда персональные данные из Великобритании или Европейской экономической зоны передаются в страну без решения об адекватности, мы используем признаваемый законом механизм передачи: расширение для Великобритании к EU-US Data Privacy Framework, если получатель сертифицирован, или стандартные договорные условия ЕС с дополнением для Великобритании (UK Addendum).

Если вы находитесь в Европейской экономической зоне и мы получаем от вас персональные данные, между вами и нами действуют стандартные договорные условия ЕС (модуль 2, от контролёра к обработчику, или модуль 3, если вы сами являетесь обработчиком), и они входят в это DPA. Пункт 7 не применяется, применяется вариант 2 пункта 9 со сроком уведомления из раздела 6, необязательная формулировка в пункте 11 не применяется, а по пунктам 17 и 18 применимым правом выбрано право Ирландии, а компетентными судами выбраны суды Ирландии. Приложениями служат разделы 2, 5 и 6 этого DPA.

12. Ответственность, порядок документов и право

Ограничения ответственности из Условий применяются и к этому DPA, кроме случаев, когда законодательство о защите данных их не допускает. Если это DPA и Условия расходятся по вопросам персональных данных, применяется это DPA. Если стандартные договорные условия и это DPA расходятся, применяются стандартные договорные условия.

К этому DPA применяется то же право, что и к Условиям, кроме случаев, когда иное сказано в разделе 11 или в законодательстве о защите данных. Мы можем обновлять его, чтобы следовать закону или изменениям Сервиса, и сообщим вам по почте до изменения, которое снижает вашу защиту.

13. Контакты

Вопросы по этому DPA: hello@more.you.