Соглашение об обработке данных

Содержание

1. 1. Сфера применения, роли и определения
2. 2. Сведения об Обработке
3. 3. Инструкции Клиента
4. 4. Конфиденциальность уполномоченных лиц
5. 5. Меры безопасности
6. 6. Субобработчики
7. 7. Местонахождение данных и международные передачи
8. 8. Содействие в связи с запросами Субъектов данных
9. 9. Уведомление о Нарушении безопасности персональных данных
10. 10. Оценки воздействия и консультации с регуляторами
11. 11. Информация и аудиты
12. 12. Возврат и удаление данных
13. 13. Запросы государственных органов
14. 14. Ответственность
15. 15. Срок действия и приоритет
16. 16. Контактное лицо по защите данных и реестр обработки
17. Приложение 1: Сведения об Обработке
18. Приложение 2: Технические и организационные меры
19. Приложение 3: Субобработчики

Версия: 1.2 · Опубликовано: 16 октября 2026 года · Вступает в силу: при принятии для новых Рабочих пространств; для Рабочих пространств, принявших более раннюю Версию, — в дату, которую STAK указывает в своём уведомлении согласно пункту 20 Условий обслуживания клиентов · Приоритетный текст: английский (пункт 23.9 Условий обслуживания клиентов)

Издатель: STAK Global, LLC, компания с ограниченной ответственностью, созданная в штате Делавэр, Соединённые Штаты Америки (регистрационный номер 10798493), которой принадлежат STAK (ستاك) и Сервисы. Контакт: [email protected].

1. Сфера применения, роли и определения

1.1 Настоящее Соглашение об обработке данных является неотъемлемой частью Договора согласно пункту 3.1 Условий обслуживания клиентов STAK («Условия»). Оно регулирует Обработку STAK Персональных данных Клиента. Термины, определённые в Условиях, имеют то же значение в настоящем Соглашении об обработке данных.

1.2 Клиент является Контролёром Персональных данных Клиента, а STAK — Обработчиком, который обрабатывает их от имени Клиента и по его инструкциям.

• Контролёр и Обработчик означают их эквиваленты согласно Применимому законодательству о защите данных, например контролирующую организацию и обрабатывающую организацию в Королевстве Саудовская Аравия.
• Если Клиент обрабатывает данные в качестве обработчика от имени другого контролёра, STAK обрабатывает их как обработчик, действующий для Клиента, и не является Субобработчиком по смыслу пункта 1.3. Клиент обеспечивает, чтобы его инструкции соответствовали инструкциям этого контролёра.
• STAK обрабатывает Данные аккаунта как Контролёр, как описано в Политике конфиденциальности, и настоящее Соглашение об обработке данных к ним не применяется. Ни эта ссылка, ни ссылка в Приложении 3 не создают договорных обязательств согласно пункту 3.2 Условий.

1.3 Следующие выражения имеют значения, указанные рядом с каждым из них:

• Персональные данные Клиента: Персональные данные, содержащиеся в Данных Клиента, включая данные о Конечных клиентах, работниках, поставщиках и Пользователях Клиента, за исключением Данных аккаунта.
• Чувствительные персональные данные: медицинские и клинические данные, а также любые данные, которые Применимое законодательство о защите данных относит к чувствительным.
• Обработка: любая операция, совершаемая с Персональными данными, такая как их сбор, запись, хранение, извлечение, использование, раскрытие, передача и удаление.
• Субобработчик: любое лицо, которое STAK привлекает для Обработки Персональных данных Клиента в целях предоставления Сервисов.
• Субъект данных: физическое лицо, к которому относятся Персональные данные.
• Инцидент безопасности: любое событие, которое угрожает или предположительно угрожает конфиденциальности, целостности или доступности Сервисов.
• Нарушение безопасности персональных данных: любое нарушение безопасности, приводящее к случайному или незаконному уничтожению, утрате или изменению Персональных данных Клиента либо к их несанкционированному раскрытию или доступу к ним.
• Резервная копия: любая копия Данных Клиента, созданная в целях восстановления, согласно пункту 12.3 и Приложению 2.
• Производственная среда: системы и базы данных, на которых работают Сервисы и которые использует Клиент, за исключением Резервных копий.
• Применимое законодательство о защите данных: законодательство о защите персональных данных, применимое к Обработке, в каждом случае в том виде, в каком оно применяется, включая следующее:
  • в Государстве Кувейт: Закон № 20 2014 года об электронных транзакциях, а также Положение о защите конфиденциальности данных, Нормативная рамка облачных вычислений и Политика классификации данных, изданные Управлением по регулированию связи и информационных технологий, каждый акт в пределах своей сферы;
  • Закон о защите персональных данных Королевства Саудовская Аравия, изданный Королевским указом № (M/19) от 9/2/1443 AH, с изменениями, его Исполнительный регламент и Положение о передаче персональных данных за пределы Королевства;
  • в Объединённых Арабских Эмиратах: Федеральный указ-закон № (45) 2021 года о защите персональных данных, Федеральный закон № (2) 2019 года об использовании информационно-коммуникационных технологий в сфере здравоохранения, а также законы о защите данных Международного финансового центра Дубая и Глобального рынка Абу-Даби для тех, кто им подчиняется;
  • Закон № (30) 2018 года, утверждающий Закон о защите персональных данных Королевства Бахрейн;
  • Закон № (13) 2016 года о защите конфиденциальности персональных данных Государства Катар;
  • Закон о защите персональных данных, изданный Королевским указом № (6/2022) Султаната Оман;
  • Общий регламент Европейского союза по защите данных (Регламент (ЕС) 2016/679), если он применяется к Клиенту;
  • Общий регламент по защите данных Соединённого Королевства и Data Protection Act 2018; Федеральный закон Швейцарии о защите данных; California Consumer Privacy Act с изменениями и другие комплексные законы штатов США о конфиденциальности; закон Канады Personal Information Protection and Electronic Documents Act и законы провинций; Lei Geral de Proteção de Dados Бразилии (Закон № 13.709/2018); закон Индии Digital Personal Data Protection Act, 2023; Закон Турции № 6698 о защите персональных данных; Закон Египта № 151 2020 года; закон Южной Африки Protection of Personal Information Act, 2013; закон Сингапура Personal Data Protection Act 2012; закон Австралии Privacy Act 1988; а также любой другой закон о защите персональных данных, применимый к Обработке.

2. Сведения об Обработке

В Приложении 1 изложены предмет, продолжительность, характер и цель Обработки, категории Субъектов данных и категории Персональных данных.

3. Инструкции Клиента

3.1 STAK обрабатывает Персональные данные Клиента только по документированным инструкциям Клиента. Такими инструкциями являются:

• Договор;
• настройки Рабочего пространства;
• действия Пользователей в рамках Сервисов;
• любые иные письменные инструкции, согласованные Сторонами.

3.2 STAK может Обрабатывать данные иначе, чем по этим инструкциям, если этого требует Применимое законодательство. STAK уведомляет Клиента заранее, если закон не запрещает такое уведомление.

3.3 STAK уведомляет Клиента, если считает, что инструкция нарушает Применимое законодательство о защите данных. STAK вправе отказаться выполнять эту инструкцию, пока Клиент не изменит её, устранив нарушение, или не подтвердит её письменно с указанием правового основания, которое STAK разумно принимает.

3.4 Клиент отвечает за законность своих инструкций и за наличие правового основания для сбора и Обработки Персональных данных Клиента. Это включает информирование Субъектов данных и получение их согласия, когда это необходимо, включая согласие на передачу их данных согласно пункту 7.

4. Конфиденциальность уполномоченных лиц

STAK ограничивает доступ к Персональным данным Клиента работниками и подрядчиками, которым они необходимы для работы, и обязывает их соблюдать конфиденциальность. Работники и подрядчики STAK получают доступ к Данным Клиента только в следующих случаях, и начало каждого такого доступа к Производственной среде фиксируется в журнале:

• (a) для оказания поддержки, о которой просит Клиент;
• (b) для эксплуатации и обслуживания Сервисов и их восстановления из Резервных копий;
• (c) для расследования Инцидента безопасности или предполагаемого нарушения Политики допустимого использования;
• (d) если этого требует закон.

5. Меры безопасности

5.1 STAK применяет надлежащие технические и организационные меры для защиты Персональных данных Клиента с учётом характера и рисков Обработки. Они включают как минимум меры, указанные в Приложении 2.

5.2 STAK может обновлять эти меры при условии, что общий уровень защиты не снижается.

5.3 Клиент отвечает за меры безопасности, находящиеся под его собственным контролем, такие как управление Пользователями и правами, включение двухэтапного входа, защита своих устройств и оборудования и сохранность экспортируемых данных.

6. Субобработчики

6.1 Клиент разрешает STAK привлекать Субобработчиков, перечисленных в Приложении 3.

6.2 STAK обязан заключить письменный договор с каждым Субобработчиком. Договор должен налагать обязательства по защите данных, обеспечивающие уровень защиты, соответствующий Обработке и по существу эквивалентный настоящему Соглашению об обработке данных. STAK остаётся ответственным перед Клиентом за исполнение обязательств своих Субобработчиков.

6.3 STAK уведомляет Клиента о любом новом Субобработчике не менее чем за 30 дней до того, как он начнёт обрабатывать Персональные данные Клиента, в рамках Сервисов или по электронной почте.

6.4 В течение срока уведомления Клиент может в письменной форме возразить против нового Субобработчика по обоснованным причинам, связанным с защитой данных. Если Стороны не могут согласовать решение, Клиент может расторгнуть затронутую подписку или Договор до начала Обработки и получить возврат предоплаченной Платы за оставшийся период.

6.5 Подключённые поставщики, которых Клиент подключает через собственные аккаунты, не являются Субобработчиками STAK. К ним относятся Поставщики платёжных услуг, Meta в отношении собственного аккаунта Клиента в WhatsApp Business и платформы доставки. Отправка данных им по инструкциям Клиента является передачей, осуществляемой по указанию Клиента и от его имени.

6.6 Данные отправляются поставщику Функций ИИ только тогда, когда Пользователь запрашивает одну из этих функций, когда Пользователь загружает для одной из них документ, например чек, или когда автоматизация, настроенная Пользователем, выполняет этап с использованием ИИ, и отправляются только данные, необходимые для выполнения этого запроса или этапа. Поставщик не вправе использовать их для обучения своих моделей. Чувствительные персональные данные отправляются ему только в том случае, если их содержит сам запрос или этап.

7. Местонахождение данных и международные передачи

7.1 Сервисы размещаются, а Персональные данные Клиента преимущественно хранятся в Производственной среде Amazon Web Services в регионе Франкфурт, в Федеративной Республике Германия. Резервные копии хранятся в том же регионе, а их копии создаются в отдельном регионе Amazon Web Services в Республике Ирландия.

7.2 Клиент признаёт следующее и прямо разрешает вытекающие из этого передачи:

• (a) хостинг осуществляется в Европейском союзе, который может находиться за пределами страны, в которой Клиент учреждён или ведёт деятельность;
• (b) Cloudflare постоянно обрабатывает сетевой трафик через свою глобальную сеть;
• (c) остальные Субобработчики, перечисленные в Приложении 3, обрабатывают данные в других странах, включая Соединённые Штаты Америки, только при использовании соответствующего сервиса;
• (d) работники STAK могут получать доступ к данным из Государства Кувейт, только в случаях, указанных в пункте 4.

7.3 При передаче Персональных данных Клиента за пределы страны, в которой они были собраны, STAK применяет следующие гарантии:

• (a) договоры, указанные в пункте 6.2, включая стандартные договорные положения, заключённые STAK с Субобработчиками за пределами Европейского союза;
• (b) шифрование при передаче и при хранении;
• (c) механизмы передачи, признаваемые Применимым законодательством о защите данных, если оно их требует, включая механизмы, указанные в пункте 7.6.

7.4 Клиент обязан получить любое согласие или разрешение, которого требует законодательство его страны для передачи Персональных данных Клиента за пределы этой страны, будь то от регулятора или от Субъектов данных. По запросу STAK предоставляет необходимую для этого информацию.

7.5 STAK может перенести основной хостинг или Резервные копии в другой регион, уведомив Клиента не менее чем за 30 дней, и Клиент может возразить согласно пункту 6.4, при этом любое расторжение по этому пункту вступает в силу до даты переноса. Временный запуск Сервисов из Резервных копий в Республике Ирландия после утраты основного региона хостинга не является переносом по настоящему пункту, и STAK уведомляет Клиента об этом без промедления.

7.6 Механизмы передачи, требуемые законом: без ущерба для пункта 7.4:

• (a) Если к Клиенту применяется Общий регламент Европейского союза по защите данных, стандартные договорные положения, утверждённые Имплементационным решением Европейской комиссии (ЕС) 2021/914 («Стандартные договорные положения ЕС»), включены в настоящее Соглашение об обработке данных путём ссылки: Модуль Два (от контролёра к обработчику), если Клиент является контролёром, и Модуль Три (от обработчика к обработчику), если он обрабатывает данные для другого контролёра. Клиент является экспортёром данных, а STAK — импортёром данных. Применяется Пункт 7 (оговорка о присоединении). Согласно Пункту 9(a) применяется Вариант 2 (общее письменное разрешение) со сроком уведомления, указанным в пункте 6.3. Необязательная формулировка в Пункте 11(a) не применяется. Согласно Пунктам 17 и 18 применяются право и суды Республики Ирландия. Компетентный надзорный орган определяется согласно Пункту 13. Их приложения заполняются Приложениями 1, 2 и 3. Они имеют приоритет над Договором в случае противоречия между ними.
• (b) Если к Клиенту применяется Закон о защите персональных данных Королевства Саудовская Аравия, Стандартные договорные положения о передаче персональных данных, изданные Саудовским управлением по данным и искусственному интеллекту, Второй шаблон (от контролёра к обработчику), включены в настоящее Соглашение об обработке данных путём ссылки. Клиент является экспортёром данных, а STAK — импортёром данных, и их приложения заполняются Приложениями 1, 2 и 3. STAK предоставляет Клиенту информацию, необходимую для оценки рисков передачи, которую Клиент обязан провести в соответствии с Положением о передаче персональных данных за пределы Королевства. Они имеют приоритет над Договором в случае противоречия между ними.
• (c) Если к Клиенту применяется Федеральный указ-закон № (45) 2021 года Объединённых Арабских Эмиратов, STAK применяет к переданным данным положения, меры и средства контроля этого закона в той мере, в какой они распространяются на обработчика.
• (d) Если к Клиенту применяется Общий регламент по защите данных Соединённого Королевства, Международное дополнительное соглашение о передаче данных к Стандартным договорным положениям ЕС, изданное Уполномоченным по информации Соединённого Королевства (версия B1.0, действующая с 21 марта 2022 года с последующими изменениями), включено путём ссылки. Таблицы с 1 по 3 заполняются данными Сторон из Договора и Приложений с 1 по 3. Что касается Таблицы 4, любая из Сторон может прекратить действие Дополнительного соглашения, как это допускает его Раздел 19.
• (e) Если к Клиенту применяется Федеральный закон Швейцарии о защите данных, Стандартные договорные положения ЕС применяются со следующими изменениями: Федеральный уполномоченный Швейцарии по защите данных и информации является компетентным надзорным органом для передач, регулируемых этим законом; ссылки на GDPR включают этот закон; а «государство-член» толкуется таким образом, чтобы субъекты данных в Швейцарии могли предъявлять требования в Швейцарии.
• (f) Если другое Применимое законодательство о защите данных требует определённого инструмента передачи, например стандартных договорных положений национального органа по защите данных Бразилии или типового договора по Закону Турции № 6698, STAK подписывает или включает этот инструмент по запросу Клиента, а его данные заполняются на основании Приложений с 1 по 3.
• (g) Если применяется California Consumer Privacy Act или аналогичный закон штата США о конфиденциальности, STAK действует в качестве поставщика услуг, подрядчика или обработчика Клиента. STAK не продаёт и не передаёт третьим лицам Персональные данные Клиента. STAK не сохраняет, не использует и не раскрывает их ни для каких целей, кроме предоставления Сервисов по Договору, а также вне прямых деловых отношений с Клиентом. STAK не объединяет их с персональной информацией из других источников, за исключением случаев, разрешённых этими законами. STAK соблюдает эти законы и обеспечивает тот же уровень защиты конфиденциальности, который они требуют. STAK сообщает Клиенту, если больше не может выполнять эти обязательства. Клиент может принимать разумные меры для прекращения и устранения любого несанкционированного использования. STAK подтверждает, что понимает эти ограничения.

7.7 Данные, которые должны оставаться в определённой стране: Клиент не должен хранить в Сервисах данные, которые Применимое законодательство требует хранить или обрабатывать в пределах определённой страны, если только Сервисы не показывают согласно пункту 9.5 Условий, что хостинг в этой стране доступен для соответствующего Приложения. Это следует из пункта 13.4 Условий и пункта 5.4 Политики допустимого использования.

8. Содействие в связи с запросами Субъектов данных

8.1 Сервисы предоставляют Клиенту инструменты для просмотра, экспорта и исправления Персональных данных его Конечных клиентов, инструмент для их стирания путём замены личности псевдонимом с сохранением записей, которые закон требует хранить, а также инструменты для просмотра и исправления данных его работников. Клиент использует эти инструменты для ответов на запросы Субъектов данных, а STAK содействует согласно пункту 8.3 во всём, что они не охватывают, включая экспорт и удаление данных работников.

8.2 Если STAK получает запрос непосредственно от Субъекта данных в отношении Персональных данных Клиента, STAK без промедления передаёт его Клиенту и отвечает только по инструкциям Клиента.

8.3 STAK оказывает Клиенту разумное содействие во всём, что не охватывают доступные инструменты.

9. Уведомление о Нарушении безопасности персональных данных

9.1 STAK уведомляет Клиента без неоправданной задержки после того, как ему стало известно о любом Нарушении безопасности персональных данных, затрагивающем Персональные данные Клиента. STAK делает это в течение 24 часов с момента, когда ему стало об этом известно, если это возможно, и в любом случае в течение 48 часов.

9.2 Уведомление включает, насколько информация доступна:

• (a) характер нарушения;
• (b) категории данных и Субъектов данных, а также их приблизительное количество;
• (c) вероятные последствия;
• (d) принятые и предлагаемые меры по устранению нарушения;
• (e) точка контакта в STAK.

STAK предоставляет дополнительную информацию, как только она становится доступной.

9.3 STAK немедленно принимает разумные меры для локализации нарушения и ограничения его последствий. STAK взаимодействует с Клиентом при уведомлении регуляторов и Субъектов данных, если Клиент обязан это сделать, с учётом сроков, установленных для Клиента законом. Если Применимое законодательство требует, чтобы сам STAK уведомил регулятора о нарушении, STAK делает это в установленный срок и сообщает об этом Клиенту.

9.4 Уведомление STAK о нарушении или содействие STAK в его урегулировании не является признанием вины или ответственности.

10. Оценки воздействия и консультации с регуляторами

По запросу Клиента STAK предоставляет разумную информацию, необходимую для проведения оценки воздействия на защиту данных или для консультации с регулятором, в той мере, в какой это касается Сервисов.

11. Информация и аудиты

11.1 По запросу Клиента STAK предоставляет информацию, разумно необходимую для подтверждения соблюдения настоящего Соглашения об обработке данных. Это включает документацию по безопасности и ответы на один вопросник по безопасности в год.

11.2 Клиент может за свой счёт провести аудит или поручить его проведение независимому аудитору, связанному обязательством конфиденциальности, в следующих случаях:

• (a) если этого требует регулятор;
• (b) после Нарушения безопасности персональных данных, затрагивающего его данные;
• (c) если информации, предоставленной согласно пункту 11.1, недостаточно.

Аудит осуществляется на следующих условиях:

• Клиент уведомляет STAK об аудите не менее чем за 30 дней.
• Он проводится в рабочие часы в Рабочие дни.
• Аудит согласно подпункту (c) проводится не чаще одного раза в год.
• Ни один аудит не распространяется на объекты Субобработчиков. Вместо этого достаточно их сертификатов и независимых отчётов.
• Ни один аудит не включает доступ к данным других клиентов или к чему-либо, что влияет на их безопасность.

12. Возврат и удаление данных

12.1 Клиент может экспортировать Персональные данные Клиента в любое время и в течение 30 дней после прекращения Договора согласно пункту 19.5 Условий.

12.2 По истечении периода экспорта STAK удаляет Персональные данные Клиента из Производственной среды в течение 30 дней, если Применимое законодательство не требует их хранения, и с учётом приостановки удаления, предусмотренной пунктом 19.5 Условий, пока STAK уведомлён о судебном споре, расследовании или запросе компетентного органа.

12.3 Резервные копии хранятся в течение следующих сроков:

• (a) восстановление на определённый момент времени и ежедневные Резервные копии: 35 дней с даты создания каждой Резервной копии;
• (b) ночные логические Резервные копии базы данных (дампы базы данных): 35 дней;
• (c) ежемесячные Резервные копии: 12 месяцев с даты создания каждой Резервной копии;
• (d) предыдущие версии загруженных файлов: 90 дней с даты их замены или удаления.

Правила, применяемые к этим Резервным копиям:

• Ежедневные и ежемесячные Резервные копии и их копии хранятся в защищённых хранилищах резервных копий, политика которых не позволяет никому, включая собственный персонал STAK, удалить Резервную копию до окончания срока её хранения или изменить этот срок, а блокировка которых в режиме соответствия (compliance mode) поставщика хостинга не позволяет удалить любую Резервную копию как минимум в течение первых 35 дней.
• Ночные логические Резервные копии защищены от изменения и удаления до окончания срока их хранения.
• STAK не удаляет никакие Резервные копии до окончания срока их хранения, даже по просьбе Клиента.
• Все Резервные копии исключаются из использования и применяются только для технического восстановления, с учётом пункта 12.4, либо если этого требует закон.
• Все Резервные копии, содержащие удалённые данные, истекают по окончании этих сроков, то есть не позднее чем через 12 месяцев, после чего удалённые данные уничтожаются безвозвратно.
• По запросу STAK сообщает Клиенту дату, в которую истекает срок последней Резервной копии, содержащей удалённые данные, чтобы Клиент мог сообщить об этом Субъекту данных.

12.4 Если STAK восстанавливает Резервную копию в течение этих сроков, STAK повторно применяет до предоставления доступа к данным стирания, выполненные согласно пункту 8.1, и удаления, произведённые согласно пункту 12.2 после даты этой Резервной копии, используя имеющиеся у него записи об этих операциях.

13. Запросы государственных органов

Если STAK получает обязательный запрос от государственного или судебного органа о раскрытии Персональных данных Клиента, STAK уведомляет Клиента, если закон не запрещает такое уведомление. STAK ограничивает раскрытие минимумом, которого требует запрос. STAK оспаривает запросы, которые разумно считает незаконными, имеющимися законными средствами.

14. Ответственность

Ответственность каждой Стороны по настоящему Соглашению об обработке данных, включая её ответственность перед другой Стороной по стандартным договорным положениям, указанным в пункте 7.6, подчиняется положениям об ограничении ответственности в пункте 16 Условий в той мере, в какой эти пункты это допускают, и без ущерба для прав Субъектов данных по ним.

15. Срок действия и приоритет

15.1 Настоящее Соглашение об обработке данных действует, пока STAK обрабатывает Персональные данные Клиента.

15.2 В случае противоречия настоящего Соглашения об обработке данных Условиям оно имеет приоритет по вопросам, касающимся Персональных данных Клиента.

15.3 Если Применимое законодательство о защите данных налагает обязательное требование, более строгое, чем настоящее Соглашение об обработке данных, это требование применяется в пределах своей сферы.

16. Контактное лицо по защите данных и реестр обработки

STAK назначил контактное лицо по защите данных, с которым можно связаться по электронной почте [email protected]. STAK ведёт реестр операций по обработке, которые он осуществляет от имени клиентов, и предоставляет его компетентному регулятору, если этого требует закон.

Приложение 1: Сведения об Обработке

• Предмет: предоставление Сервисов Клиенту в соответствии с Условиями.
• Продолжительность: срок действия Договора, период экспорта и удаления после него согласно пункту 12, сроки хранения Резервных копий, указанные в пункте 12.3, и сроки хранения у Субобработчиков, изложенные в Приложении 3.
• Характер и цель:
  • хранение и хостинг Данных Клиента;
  • обработка продаж, заказов, бронирований и счетов;
  • управление складским учётом, бухгалтерией, персоналом и расчётом заработной платы;
  • отправка сообщений, которые запрашивает Клиент, через собственные аккаунты Клиента у Подключённых поставщиков либо через поставщиков обмена сообщениями, которых использует STAK, после их включения в перечень Приложения 3;
  • предоставление Функций ИИ при их использовании;
  • Резервные копии, безопасность и Поддержка.
• Категории Субъектов данных:
  • Конечные клиенты, гости и пациенты Клиента;
  • его работники и кандидаты на работу;
  • Пользователи;
  • его поставщики и их контактные лица;
  • водители и курьеры.
• Категории Персональных данных:
  • идентификационные и контактные данные, такие как имя, телефон, адрес электронной почты, адрес и место доставки;
  • записи о транзакциях, заказах, бронированиях и счетах;
  • ссылочные данные, связанные с платежами, без полных номеров карт;
  • данные программы лояльности, предпочтения и согласия;
  • данные о работниках Клиента, такие как номер гражданского удостоверения личности, сведения о праве на проживание, заработная плата, международный номер банковского счёта (IBAN), посещаемость и отпуска;
  • фотографии и документы, которые загружает Клиент;
  • журналы сообщений и журнал аудита.
• Чувствительные персональные данные: медицинские и клинические данные при использовании клинических Приложений с учётом пункта 7.7 и пункта 13.4 Условий, согласно которому функции карт пациентов не должны использоваться для пациентов, получающих медицинские услуги в Государстве Кувейт или Объединённых Арабских Эмиратах; а также медицинские данные в кадровых досье, такие как больничные листы. Клинические записи и кадровые досье шифруются отдельными ключами, и эти данные видны только Пользователям, обладающим ролями, уполномоченными их видеть. Коды диагнозов и процедур в страховых требованиях и предварительных разрешениях, а также изображения страховых карт защищены шифрованием баз данных и хранилища, описанным в Приложении 2.

Приложение 2: Технические и организационные меры

1. Шифрование:
   • Данные при передаче шифруются с помощью TLS версии 1.2 или более поздней, а подлинность сервера базы данных проверяется при каждом соединении.
   • Данные при хранении в базах данных, на дисках, в файлах, Резервных копиях и хранилище секретов шифруются с помощью AES-256 с использованием ключей, управляемых через AWS Key Management Service (AWS KMS) или поставщиком хостинга.
   • Кадровые досье и клинические записи дополнительно шифруются внутри приложения отдельными ключами, а данные подключения к Подключённым поставщикам хранятся в отдельном хранилище секретов, зашифрованном отдельным ключом.
2. Изоляция данных каждого клиента: каждая запись Данных Клиента содержит идентификатор Бизнеса, которому она принадлежит. Политики безопасности на уровне строк в базе данных применяются к роли приложения, а у роли приложения нет разрешения их обходить. Ограничения составных ключей не позволяют связывать записи одного Бизнеса с записями другого.
3. Контроль доступа:
   • Доступ предоставляется по принципу наименьших привилегий.
   • Доступ к Производственной среде ограничен поимённо указанными работниками STAK, требует многофакторной аутентификации, а начало каждого доступа фиксируется в журнале.
   • Административный доступ к серверам осуществляется только через AWS Systems Manager, без прямого входа (SSH).
4. Безопасность входа Пользователей:
   • Для Пользователей Сервисы предлагают ключи доступа, приложения-аутентификаторы и коды подтверждения, отправляемые на подтверждённый телефон.
   • Для Клиента они предлагают настраиваемые роли и права, доступ с ограничением по Филиалам и, в тех Тарифах, которые их включают, правила неактивности сеансов и оповещения Владельцам о входах с новых устройств.
5. Журнал аудита: ведётся журнал аудита изменений, который не может изменить или удалить ни один Пользователь. Он фиксирует исполнителя, время, источник и IP-адрес. Когда Клиент стирает Персональные данные Конечного клиента согласно пункту 8.1, записи теряют сведения, идентифицирующие этого человека, но сохраняют информацию о том, что было сделано, кем и когда. Журнал аудита удаляется вместе с Данными Клиента согласно пункту 12. Бухгалтерские проводки связаны в цепочку, которая выявляет любое вмешательство.
6. Резервные копии и восстановление:
   • автоматические непрерывные Резервные копии позволяют восстановление на определённый момент времени в пределах 35 дней;
   • ежедневные Резервные копии хранятся 35 дней, а ежемесячные — 12 месяцев, и они копируются в отдельный географический регион в Республике Ирландия. Политика хранилищ резервных копий не позволяет удалять их до окончания срока хранения или изменять этот срок, а блокировка в режиме соответствия (compliance mode) не позволяет удалять любую Резервную копию как минимум в течение первых 35 дней;
   • логическая Резервная копия базы данных создаётся каждую ночь и хранится 35 дней в хранилище, защищённом от изменения и удаления;
   • восстановление базы данных из Резервных копий тестируется каждый месяц.
7. Платёжные данные: Сервисы спроектированы так, чтобы STAK не хранил полные номера карт. Платежи совершаются на страницах, размещённых Поставщиками платёжных услуг, либо на их сертифицированных терминалах и в приложениях для приёма карт. На экранах Сервисов нет полей для ввода данных карт, а Сервисы позволяют Клиенту сканировать текстовые поля свободного ввода на предмет номеров карт, введённых по ошибке, чтобы их можно было удалить.
8. Сеть и инфраструктура: базы данных работают в частных сетях, недоступных публично, за межсетевыми экранами. Межсетевой экран веб-приложений и защита от атак типа «отказ в обслуживании» обеспечиваются через Cloudflare.
9. Управление уязвимостями и безопасная разработка: код проверяется, а автоматизированные тесты запускаются перед каждым выпуском. Программные библиотеки проверяются, а обновления безопасности применяются без промедления.
10. Мониторинг и реагирование на инциденты:
    • облачная инфраструктура автоматически контролируется круглосуточно с немедленными оповещениями;
    • каждое административное действие в облачной инфраструктуре фиксируется в журнале, а угрозы и избыточные разрешения выявляются автоматически с помощью специализированных сервисов Amazon (AWS CloudTrail, GuardDuty и IAM Access Analyzer);
    • применяются документированные процедуры реагирования на Инциденты безопасности и уведомления согласно пункту 9.
11. Непрерывность бизнеса: применяются планы обеспечения непрерывности и восстановления в соответствии с целями восстановления, указанными в Соглашении об уровне обслуживания.
12. Персонал: Работники и подрядчики STAK связаны обязательством конфиденциальности и проходят обучение по вопросам безопасности.
13. Безопасное удаление: данные удаляются согласно пункту 12, а поставщик хостинга уничтожает носители в соответствии со своими стандартами.

Приложение 3: Субобработчики

Поставщики, используемые только при включении. У STAK настроены следующие поставщики, но сегодня STAK не использует их для Обработки Персональных данных Клиента. STAK начинает использовать любого из них только после уведомления согласно пункту 6.3 не менее чем за 30 дней, и в уведомлении указывается, где поставщик обрабатывает данные и как долго их хранит.

После того как STAK включит собственный номер WhatsApp, Meta будет отправлять с него коды для входа Пользователям и коды подтверждения Конечным клиентам, которые подтверждают свои номера телефонов на Публичных страницах. При этом она обрабатывает данные, которые STAK обрабатывает как Контролёр в соответствии с Политикой конфиденциальности, а не Персональные данные Клиента.

Помимо перечисленных выше поставщиков, STAK не использует для Обработки Персональных данных Клиента поставщиков услуг текстовых сообщений, push-уведомлений, цифровых кошельков, а также поиска, проверки и картографирования адресов.