Договор об обработке персональных данных по GDPR — проект

1. Стороны

1.1 Контролёр персональных данных

Контролёр персональных данных: бизнес-клиент, поручающий Computer Repair Twente оказание услуг, при которых могут обрабатываться персональные данные.

• название компании;
• правовая форма;
• адрес;
• почтовый индекс и место;
• KVK номер;
• Номер НДС, если применимо;
• контактное лицо;
• адрес электронной почты;
• Номер телефона.

Далее именуемый: Контролёр персональных данных или клиент.

1.2 Обработчик персональных данных

Обработчик персональных данных: Computer Repair Twente, находящийся в Enschede.

• название компании: Computer Repair Twente;
• e-mail: contact@computerrepairtwente.nl;
• телефон /WhatsApp:06-55734000;
• Сайт: www.computerrepairtwente.nl.

Далее именуемый: Обработчик или Computer Repair Twente.

1.3 Стороны вместе

Контролёр и обработчик персональных данных совместно именуются сторонами.

2. Цель настоящего Соглашения

2.1 Договорённости о персональных данных

Этот договор об обработке персональных данных устанавливает условия, на которых Computer Repair Twente обрабатывает персональные данные от имени контролёра.

2.2 GDPR

Этот договор предназначен для выполнения обязательств по GDPR в той мере, в какой Computer Repair Twente выступает обработчиком персональных данных.

2.3 В дополнение к другим договорённостям

Этот договор об обработке персональных данных действует дополнительно к коммерческому предложению, договору, общим условиям, SLA, условиям поддержки или другим письменным договорённостям сторон. При противоречиях его положения имеют приоритет в части обработки персональных данных в роли обработчика.

3. Роль сторон

3.1 Контролёр персональных данных

Клиент является контролёром персональных данных, когда определяет:

• какие персональные данные обрабатываются;
• почему эти персональные данные обрабатываются;
• как долго эти данные требуются;
• кто может иметь доступ;
• каких субъектов данных это касается;
• какая правовая основа применяется;
• Какие инструкции следует выполнять Computer Repair Twente.

3.2 Обработчик персональных данных

Computer Repair Twente является обработчиком персональных данных, когда мы обрабатываем их исключительно по поручению и инструкциям клиента.

3.3 Не является обработчиком данных при ведении собственной документации

Computer Repair Twente не является обработчиком данных при ведении собственной клиентской документации, выставлении счетов, подготовке коммерческих предложений, управлении дебиторской задолженностью, маркетинге, защите собственных систем или выполнении законных обязательств. Для этих операций Computer Repair Twente является самостоятельным контролёром персональных данных. Эти ситуации регулируются нашим заявлением о конфиденциальности.

4. Предмет и длительность обработки

4.1 Предмет

Обработка касается персональных данных, которые Computer Repair Twente может обрабатывать при ИТ-услугах для бизнеса, поддержке, управлении, обслуживании, обеспечении безопасности, резервном копировании, восстановлении, переносе, устранении инцидентов или аналогичных работах.

4.2 Продолжительность

Этот договор действует в течение срока оказания услуг, при которых Computer Repair Twente обрабатывает персональные данные по поручению клиента.

4.3 Окончание

Обработка заканчивается, когда:

• Услуга заканчивается;
• соглашение прекращается;
• Персональные данные больше не требуются;
• Клиент требует удаления или возврата в письменной форме;
• законодательная обязанность хранения или законное основание требует более длительного хранения.

5. Характер и цель обработки

5.1 Характер обработки

Computer Repair Twente может обрабатывать персональные данные, например, следующими способами:

• просматривать;
• временное хранение;
• копия;
• передача;
• восстанавливать;
• защищать;
• создавать резервные копии;
• удалять;
• Анализ для разрешения ошибок;
• конфигурировать в системах;
• обрабатываться в рамках поддерживающей коммуникации;
• временно становится видимым при удаленной поддержке.

5.2 Цели

Обработка происходит только в объеме, необходимом для оказания услуг клиенту.

Цели могут включать, в частности:

• ИТ-поддержка;
• управление рабочим местом;
• системного менеджмента;
• управление пользователями;
• поддержка аккаунта;
• поддержка электронной почты;
• резервное копирование и восстановление;
• восстановление данных;
• миграция данных;
• поддержка безопасности;
• разрешение инцидентов;
• обслуживание;
• устранение неполадок;
• документирование работ по поддержке;
• Сообщение уведомлений о поддержке;
• Реализация соглашения или SLA.

6. Категории субъектов персональных данных

В зависимости от заказа могут обрабатываться персональные данные, в частности, следующих лиц:

• персонал клиента;
• дирекция или руководство клиента;
• пользователей клиентских систем;
• контактные лица клиента;
• клиентов клиента;
• Поставщики клиента;
• посетители или деловые контакты клиента;
• другим лицам, чьи данные содержатся в системах, файлах или резервных копиях клиента.

Точные категории могут различаться по клиентам или заказам и могут быть указаны в приложении.

7. Виды персональных данных

В зависимости от заказа Computer Repair Twente может получать доступ или выполнять обработку, в частности, следующего:

• имя;
• деловой адрес электронной почты;
• личный адрес электронной почты, если таковой имеется, в системах;
• номер телефона;
• имя пользователя;
• учетная запись пользователя;
• функция или отдел;
• права доступа;
• системные и лог-данные;
• IP-адреса;
• название устройства;
• серийные номера;
• данные о рабочем месте;
• настройки электронной почты;
• файлы и документы;
• резервные копии;
• календарь или контактные данные;
• сообщения об ошибках;
• история обращений в поддержку;
• технические конфигурационные данные;
• уведомления о безопасности;
• Данные, видимые при удаленной поддержке.

7.1 Специальные персональные данные

Computer Repair Twente не ставит целью обработку особых категорий персональных данных. Однако такие данные могут быть видны в файлах, письмах, резервных копиях или системах клиента. Клиент остаётся ответственным за ограничение, защиту или удаление таких данных, когда они не нужны для заказа.

7.2 Уголовные данные

Обработка данных об уголовных правонарушениях не является целью услуг Computer Repair Twente. Если такие данные случайно видны в системах или файлах клиента, Computer Repair Twente обрабатывает их лишь в необходимой мере в рамках технического задания и по инструкциям клиента.

8. Инструкции контролёра персональных данных

8.1 Только по инструкции

Computer Repair Twente обрабатывает персональные данные исключительно на основании письменных или подтверждаемых инструкций контролёра персональных данных, если законное обязательство не требует иного.

8.2 Подтверждаемые инструкции

Инструкции могут быть даны через:

• соглашение;
• предложение;
• e-mail;
• WhatsApp;
• обращение в поддержку;
• подтверждение заказа;
• SLA;
• запрос поддержки;
• устное наставление, которое впоследствии подтверждается наглядно;
• документация или договорённость о работе.

8.3 Незаконные инструкции

Если Computer Repair Twente считает, что инструкция противоречит GDPR или другому законодательству, Computer Repair Twente информирует об этом клиента, насколько это разумно возможно.

8.4 Без самостоятельного использования

Computer Repair Twente не использует обрабатываемые от имени клиента персональные данные для собственных целей, кроме случаев, когда это разрешено законом или необходимо для собственной документации, доказательств, безопасности либо законных обязательств.

9. Конфиденциальность

9.1 Обязанность соблюдать конфиденциальность

Computer Repair Twente соблюдает конфиденциальность персональных данных и конфиденциальной информации клиента.

9.2 Лица, находящиеся под ответственностью обработчика данных

Computer Repair Twente гарантирует, что лица, обрабатывающие персональные данные под её ответственностью, связаны обязанностью конфиденциальности либо соответствующей законной или договорной обязанностью неразглашения.

9.3 Исключения

Обязательство конфиденциальности не применяется в тех случаях, когда раскрытие информации требуется законом, постановлением суда или компетентным надзорным органом.

10. Меры безопасности

10.1 Надлежащие меры

Computer Repair Twente принимает соответствующие технические и организационные меры для защиты персональных данных от потери, несанкционированного доступа, изменения, раскрытия или незаконной обработки.

10.2 Примеры мер

В зависимости от услуг и технических возможностей меры могут включать:

• сильные пароли;
• MFA, где возможно;
• ограниченный доступ на основе необходимости знать;
• безопасные устройства;
• безопасные соединения там, где это возможно;
• Зашифрованная передача, где это уместно;
• обновления программного обеспечения и патчи, где это возможно;
• антивирусные или защитные меры, если это необходимо;
• ведение журналов, где уместно;
• тщательное хранение информации о клиентах;
• ограничение доступа к информации службы поддержки;
• соглашения о конфиденциальности;
• безопасное удаление данных, где это возможно;
• использование надежных инструментов и поставщиков;
• Физическая защита оборудования и рабочих мест.

10.3 Нет абсолютной гарантии безопасности

Ни одна система не свободна от рисков полностью. Computer Repair Twente не гарантирует полного предотвращения всех форм несанкционированного доступа, утечек данных, вредоносного ПО, взлома, человеческих ошибок или системных сбоев.

10.4 Зависимость от ИТ-среды клиента

Безопасность также зависит от среды клиента, существующих настроек, политики паролей, управления правами, обновлений, поведения пользователей, сетевой защиты и соблюдения клиентом рекомендаций.

11. Субобработчики персональных данных

11.1 Привлечение

Computer Repair Twente может привлекать субобработчиков персональных данных, когда это необходимо или желательно для оказания услуг.

Примерами субобработчиков данных или сторонних сервисов могут быть:

• хостинг-провайдеры;
• облачные поставщики;
• Поставщики электронной почты;
• Инструменты удаленной поддержки;
• услуги резервного копирования;
• бухгалтерское или административное программное обеспечение;
• Программное обеспечение безопасности;
• системы учёта обращений или документации;
• поставщики ИТ-инструментов;
• Специализированные ИТ-партнеры.

11.2 Надлежащие договорённости

Computer Repair Twente при необходимости обеспечивает надлежащие договорённости с субобработчиками о защите персональных данных.

11.3 Перечень по запросу

По запросу Computer Repair Twente может предоставить обзор соответствующих подпроцессоров, используемых для обслуживания клиентов.

11.4 Возражение

Если клиент возражает против конкретного субобработчика, он сообщает об этом письменно с обоснованием. Затем стороны обсуждают разумное решение.

12. Передача данных за пределы Европейской экономической зоны

12.1 Обработка в рамках ЕЭЗ

Computer Repair Twente стремится по возможности обрабатывать персональные данные в пределах Европейской экономической зоны.

12.2 Внешние сервисы

Некоторые внешние службы или поставщики могут обрабатывать персональные данные за пределами Европейской экономической зоны.

12.3 Надлежащие гарантии

Если персональные данные обрабатываются за пределами Европейской экономической зоны, это будет сделано только при наличии соответствующей основы или гарантии в объеме, требуемом законодательством.

13. Утечки данных и инциденты безопасности

13.1 Уведомление клиента

Если Computer Repair Twente обнаруживает или обоснованно подозревает нарушение безопасности персональных данных клиента, Computer Repair Twente сообщает об этом контролёру персональных данных без неоправданной задержки.

13.2 Информация в уведомлении

Там, где это возможно, Computer Repair Twente предоставляет соответствующую информацию, такую как:

• характер инцидента;
• Дата или вероятная дата;
• соответствующих систем;
• тип персональных данных;
• категории субъектов данных;
• вероятная причина;
• предпринятые или предложенные меры;
• возможные последствия;
• Контакты для последующих вопросов.

13.3 Обязанность уведомить надзорный орган

Контролёр персональных данных остаётся ответственным за оценку того, нужно ли сообщать об утечке данных в Autoriteit Persoonsgegevens или субъектам данных, если письменно не согласовано иное.

13.4 Сотрудничество

Computer Repair Twente оказывает клиенту разумное содействие в оценке и урегулировании утечки данных в пределах услуг и разумных возможностей.

13.5 Стоимость

Если утечка данных или инцидент вызваны обстоятельствами вне ответственности Computer Repair Twente, может взиматься плата за расследование, восстановление, отчётность или поддержку.

14. Права субъектов данных

14.1 Поддержка

Computer Repair Twente оказывает клиенту разумное содействие по запросам субъектов данных в той мере, в какой они касаются персональных данных, обрабатываемых Computer Repair Twente в качестве обработчика.

Подумайте о запросах о:

• доступ;
• исправление;
• удаление;
• ограничение;
• портативность;
• возражение;
• отзыв согласия.

14.2 Ответственность клиента

Клиент несет ответственность за оценку и реагирование на запросы субъектов данных.

14.3 Перенаправление запроса

Когда субъект данных связывается с Computer Repair Twente непосредственно о данных, обрабатываемых от имени клиента, Computer Repair Twente направит запрос клиенту, если не требуется иное.

15. Содействие выполнению обязательств по GDPR

Computer Repair Twente оказывает клиенту разумное содействие в выполнении обязательств по GDPR, связанных с обработкой данных Computer Repair Twente. Это может включать информацию о мерах безопасности, помощь при утечках данных, содействие реализации прав субъектов данных, информацию для DPIA, сведения о субобработчиках, а также прекращение обработки или удаление данных.

Эта поддержка применяется в той мере, в какой она является разумной, технически возможной и в рамках согласованной услуги. Если работа выходит за рамки обычного объема, могут взиматься расходы.

16. Аудит и контроль

16.1 Разумная проверка

Контролёр персональных данных может обоснованно запрашивать информацию для проверки соблюдения Computer Repair Twente этого договора об обработке персональных данных.

16.2 Запрос на аудит

Аудит или проверка возможны только после предварительного письменного согласования цели, объёма, графика, конфиденциальности, безопасности и стоимости.

16.3 Ограничение

Аудиты не должны необоснованно нарушать деятельность, безопасность, конфиденциальность других клиентов или конфиденциальность информации Computer Repair Twente.

16.4 Стоимость

Расходы на аудиты, обширные информационные запросы или внешних аудиторов несет заказчик, если иное не согласовано в письменной форме.

17. Периоды хранения

17.1 По инструкции

Computer Repair Twente хранит персональные данные, обрабатываемые от имени клиента, не дольше необходимого для заказа либо согласно указаниям клиента.

17.2 Предусмотренные законом обязанности по хранению

Некоторые данные могут храниться дольше, когда это необходимо для юридических обязательств, администрирования, доказательств, споров, безопасности или собственного бизнеса.

17.3 Данные службы поддержки и журналы

История поддержки, обращения, журналы и документация могут храниться столько, сколько необходимо для обслуживания, гарантии, безопасности, учёта или доказательств, если не согласовано иное.

18. Конец обработки

18.1 Удалить или вернуть

После прекращения обслуживания Computer Repair Twente удаляет или возвращает персональные данные, обработанные от имени клиента, в зависимости от инструкции клиента и технических возможностей.

18.2 Исключения

Удаление или возврат могут не выполняться, если:

• применяются установленные законом обязательства по хранению;
• данные необходимы для администрирования;
• данные необходимы для целей доказательства;
• данные включаются в резервные копии, которые не могут быть немедленно выборочно удалены;
• удаление технически невозможно или несоразмерно;
• Более длительное хранение необходимо для обеспечения безопасности или урегулирования споров.

18.3 Резервное копирование

Данные резервного копирования могут оставаться в обычном цикле резервного копирования до тех пор, пока они не будут автоматически перезаписаны или удалены.

19. Ответственность

19.1 Общее ограничение

Ответственность Computer Repair Twente ограничена в соответствии с общими условиями, предложением, соглашением или конкретными письменными соглашениями.

19.2 Нет ответственности за инструкции заказчика

Computer Repair Twente не отвечает за ущерб вследствие указаний клиента, неверных данных, отсутствующей информации, небезопасной среды клиента, недостаточного управления доступом, слабых паролей, отсутствия резервных копий или действий сотрудников либо третьих сторон клиента.

19.3 Без ответственности за косвенный ущерб

Computer Repair Twente не отвечает за непрямой ущерб, косвенные убытки, простой бизнеса, потерю выручки, упущенную прибыль, репутационный ущерб, потерю данных или претензии третьих лиц в той мере, в какой это разрешено законом.

20. Форс-мажор

Computer Repair Twente не отвечает за ненадлежащее исполнение вследствие форс-мажора, включая сбои у поставщиков, в облачных сервисах, интернете, кибератаки, перебои электроснабжения, болезнь, государственные меры, транспортные проблемы или другие обстоятельства вне разумного контроля Computer Repair Twente.

21. Конфиденциальность после прекращения

Обязанности по конфиденциальности сохраняются и после прекращения услуг или этого договора об обработке персональных данных, пока информация носит конфиденциальный характер.

22. Изменения

Поправки к настоящему соглашению об обработке должны быть действительны только в том случае, если они были подтверждены в письменной форме обеими сторонами.

Computer Repair Twente может изменять этот проект документа на сайте при изменении законодательства, услуг, мер безопасности или ведения бизнеса. Для уже подписанных договоров действует подписанная версия, если стороны письменно не договорятся об ином.

23. Применимое право

Нидерландское законодательство применяется к данному соглашению об обработке. Споры представляются в компетентный суд в соответствии с основными соглашениями между сторонами, если иное не предусмотрено обязательным законом.

24. Подписание

Этот проект договора становится обязательным только после заполнения и подписания либо письменного подтверждения обеими сторонами.

Приложение 1 — Описание обработки

Это приложение можно заполнить отдельно для каждого клиента.

• ИТ-поддержка;
• управление рабочим местом;
• системного менеджмента;
• удаленная поддержка;
• обслуживание;
• резервное копирование и восстановление;
• восстановление данных;
• миграция данных;
• поддержка безопасности;
• разрешение инцидентов;
• Деловые ИТ-услуги.

Категории субъектов персональных данных
Сотрудники, пользователи, контактные лица, клиенты заказчика, поставщики и другие лица, данные которых находятся в системах заказчика.

Виды персональных данных
Имя, адрес электронной почты, номер телефона, учетные записи пользователей, системные данные, данные журнала, файлы, резервные копии, технические данные, данные связи и права доступа.

Период хранения
В соответствии с заказом, договором или указаниями клиента, если не действуют предусмотренные законом обязанности по хранению или технические ограничения.

Приложение 2 — Меры безопасности

В зависимости от услуг и технических возможностей могут применяться, в частности, следующие меры:

• сильные пароли;
• MFA, где возможно;
• ограниченный доступ;
• безопасные соединения;
• Зашифрованная передача, где это возможно;
• исправления и обновления, где это уместно;
• антивирусные/безопасные средства в соответствующих случаях;
• ведение журналов, где уместно;
• тщательное хранение информации о клиентах;
• конфиденциальность;
• безопасность собственных устройств;
• ограничение доступа к информации службы поддержки;
• безопасное удаление, где это возможно.

Приложение 3 — Субобработчики персональных данных

Если применимо, здесь может быть приведён перечень субобработчиков или их категорий, например:

• хостинг-провайдер;
• Поставщик электронной почты;
• поставщик облачных услуг;
• программное обеспечение удаленной поддержки;
• служба резервного копирования;
• бухгалтерское программное обеспечение;
• система документации или учёта обращений;
• Программное обеспечение безопасности;
• Специализированный ИТ-партнер.

Связанные юридические и деловые страницы

• Уведомление о конфиденциальности
• Общие условия
• SLA и договорённости о поддержке
• Порядок обслуживания
• Правила гарантии и обслуживания
• Порядок подачи жалоб