В соответствии с условиями обслуживания («Условия») Smartsupp предоставляет сервис, как это предусмотрено этими Условиями, Вам как пользователю сервиса. Взаимоотношения между Smartsupp и пользователем строятся на основании онлайн-регистрации пользователя либо заключённого письменного или электронного договора, к которому прилагаются Условия; вместе они составляют соглашение между Вами и Smartsupp («Соглашение»). Настоящее дополнение по обработке данных («DPA») является неотъемлемой частью Соглашения.

Термины, написанные с заглавной буквы, имеют то же значение, что и определено в Условиях или других приложениях, на которые есть ссылка в Условиях, если иное не оговорено в этом DPA.

Smartsupp заключает настоящий DPA в соответствии с применимыми законами о защите данных, такими как Регламент (ЕС) 2016/679 Европейского парламента и Совета по защите физических лиц при обработке персональных данных и о свободном перемещении таких данных («GDPR»), Законом о защите данных 2018 года или CCPA/CPRA, а также иными применимыми законами о конфиденциальности, действующими в момент предоставления сервиса по Соглашению («применимые законы о конфиденциальности»).

Если в настоящем DPA указано, что Smartsupp выступает как обработчик персональных данных, это следует понимать в том же значении, что и термин «обработчик» согласно GDPR и аналогичные термины в других применимых законах о конфиденциальности (например, «поставщик услуг» по определению CCPA). Если в настоящем DPA указано, что Вы являетесь контролёром персональных данных, это аналогично термину «контролёр» по смыслу GDPR и соответствующим терминам применимых законов о конфиденциальности (например, «бизнес» по определению CCPA).

Мы структурировали статью по разделам:

1.1 Обработка персональных данных в роли обработчика. Smartsupp может обрабатывать персональные данные от имени пользователя в рамках предоставления сервиса, выступая в качестве обработчика персональных данных (или суб-обработчика) по отношению к пользователю.

Действия по обработке, выполняемые Smartsupp, вытекают из регистрации, Соглашения либо из официальных запросов пользователя в процессе работы на платформе, доступной по адресу https://www.smartsupp.com («Платформа»).

1.2 Разрешение на обработку персональных данных. Пользователь настоящим разрешает Smartsupp обрабатывать персональные данные субъектов данных, предоставленных им в процессе использования сервиса, в порядке и объёме, установленном данным DPA. Smartsupp осуществляет обработку персональных данных на основании зафиксированных инструкций пользователя и только в той мере, которая необходима для корректного выполнения обязательств Smartsupp по Соглашению.

1.3 Ответственность пользователя. Поскольку Smartsupp действует как обработчик персональных данных, пользователь выступает в роли контролёра, поэтому на нём лежит вся ответственность за выполнение всех требований, связанных с обработкой персональных данных. К таким обязанностям относятся: корректное информирование субъектов данных о обработке персональных данных, получение согласий на их обработку (при необходимости), а также обработка запросов субъектов данных на реализацию их прав (например, права на информацию, доступ, исправления, удаление, ограничение обработки, возражение и т.д.). Smartsupp оказывает поддержку пользователю для выполнения этих требований через Платформу либо по официальным запросам пользователя. Однако Smartsupp не несёт ответственности за корректность и правомерность действий пользователя, включая любые действия, которые могут нарушать законы о защите данных или иные правовые требования страны использования сервиса пользователем.

2.1 Предмет обработки. Обработка персональных данных, определяемых ниже, осуществляется Smartsupp для предоставления сервиса в рамках Соглашения, в частности в процессе использования Вами функционала сервиса, описанного на нашем сайте.

2.2 Типы персональных данных. В процессе выполнения обязательств по Соглашению и оказания сервиса на условиях этого DPA могут обрабатываться следующие категории персональных данных:

a) контактные данные, такие как имя, фамилия, электронная почта, номер телефона либо контакт в социальной сети;

b) данные о посещении сайта пользователем, включая URL посещённого сайта, дату и время, техническую информацию (разрешение экрана, тип устройства, браузер, операционная система и т.д.), IP-адрес, геоданные (страна и город, откуда пользователь зашёл на Ваш сайт);

c) информация, содержащаяся во взаимодействиях и сообщениях между пользователями и клиентами либо другими пользователями при использовании возможностей сервиса;

d) технические логи и прочие данные о пользователях, участвующих в работе сервиса (с помощью сторонних инструментов);

e) иные персональные данные, загруженные либо каким-либо образом переданные пользователем;

f) персональные данные, вид, объём и особенности которых определяются и контролируются самим пользователем в процессе использования сервиса.

Объём персональных данных зависит от выбранного пользователем функционала сервиса. Сервис не предназначен для хранения специальных категорий персональных данных. Пользователь не должен использовать сервис для хранения или обработки таких данных. В случае если пользователь обрабатывает специальные категории данных через сервис, Smartsupp ответственности за такую обработку не несёт.

2.3 Категории субъектов данных. Smartsupp осуществляет обработку персональных данных следующих категорий субъектов данных:

a) сотрудники и иные работники либо лица, уполномоченные действовать от имени пользователя;

b) лица, для которых пользователь создал аккаунт в сервисе;

c) клиенты и иные пользователи пользователя, которым предоставляется сервис;

d) посетители сайта пользователя;

e) иные лица, чьи персональные данные были переданы Smartsupp пользователем при предоставлении сервиса и были зафиксированы или обработаны в связи с этим.

3.1 Характер обработки персональных данных. Smartsupp обрабатывает персональные данные в автоматизированной электронной форме. Обработка включает доступ к персональным данным в процессе оказания сервиса, просмотр, хранение персональных данных и иные действия, связанные с предоставлением сервиса пользователю. Характер обработки данных определяется:

a) фактом заключения Соглашения между сторонами;

b) запросами пользователя или других уполномоченных им лиц, использующих Платформу;

c) спецификой сервиса и Платформы;

d) любыми иными официальными инструкциями пользователя.

3.2 Цель обработки. Цель обработки — предоставление сервиса пользователю на условиях, определённых в Условиях, и другие задачи, вытекающие из оказания сервиса.

4.1 Срок обработки персональных данных. Обработка персональных данных осуществляется на протяжении всего периода действия Соглашения или до тех пор, пока Smartsupp получает инструкции от пользователя в рамках исполнения Соглашения. Smartsupp обязуется соблюдать все предусмотренные законы о защите данных обязательства на протяжении действия Соглашения, если только Соглашение не определяет, что эти обязательства действуют и после его прекращения.

4.2 Возврат и удаление персональных данных. После прекращения Соглашения Smartsupp обязуется удалить все персональные данные, хранящиеся для оказания сервиса, в течение 3 месяцев после расторжения, если другое не предусмотрено применимыми законами о конфиденциальности. Если пользователь запросит возврат данных в течение указанного срока, Smartsupp вправе установить разумную плату, о которой сообщит заранее.

5.1 Обязательства Smartsupp. В процессе обработки персональных данных Smartsupp обязуется:

a) обрабатывать персональные данные исключительно на основании официальных инструкций пользователя; для избежания недоразумений — обработка данных в рамках исполнения Соглашения считается обработкой по инструкции пользователя;

b) следовать указаниям пользователя в отношении передачи персональных данных третьим странам или международным организациям, если иное не требуется законодательством Европейского союза или государства, которому подчиняется Smartsupp;

c) обеспечить, чтобы все лица, имеющие доступ к персональным данным, были связаны обязательством о конфиденциальности либо подчинялись требованиям о сохранении тайны, закреплённым в законе;

d) с учётом характера обработки помогать пользователю посредством надлежащих технических и организационных мер, где это возможно, в вопросах исполнения обязанностей пользователя по реагированию на запросы субъектов данных; детали обработки запросов изложены в пункте 5.2 настоящего DPA;

e) оказывать содействие пользователю в исполнении его обязанностей по (i) обеспечению требуемого уровня безопасности данных, (ii) уведомлению в орган по защите данных о возможных инцидентах, а при необходимости — и субъектов данных, (iii) проведению оценки воздействия на защиту персональных данных и (iv) предварительной консультации с контролирующим органом — с учётом специфики обработки и характера обрабатываемых данных;

f) предоставлять пользователю либо его уполномоченному лицу возможность контроля (включая проведение аудита или проверки) соблюдения норм данного DPA, особенно в части исполнения обязательств по обработке персональных данных, а также содействовать такого рода проверкам согласно разумным инструкциям пользователя. Правила аудита прописаны в разделах 5.3 и 5.4 настоящего DPA;

g) предоставлять пользователю любую обоснованно ожидаемую информацию, необходимую для подтверждения исполнения обязательств по действующему законодательству о защите персональных данных.

5.2 Запросы субъектов данных. В случае если субъект данных обращается напрямую к Smartsupp, Smartsupp уведомляет субъекта о необходимости направлять запрос непосредственно пользователю. Smartsupp приложит все разумные усилия для содействия пользователю в ответе на такой запрос в рамках дозволенного законом. Пользователь берёт на себя все расходы, связанные с такой помощью Smartsupp, и отвечает за корректность рассмотрения этих запросов.

5.3 Правила аудита. Пользователь вправе запросить проведение аудита (проверки) только по адресу электронной почты Smartsupp dpo@smartsupp.com с разумной периодичностью. После запроса стороны предварительно согласуют (i) дату проведения проверки, (ii) меры безопасности и способы обеспечения конфиденциальности в процессе аудита, (iii) предполагаемое время начала, объём и длительность аудита. Если в течение 30 дней согласие не достигнуто, Smartsupp вправе самостоятельно определить условия аудита.

5.4 Аудитор. Smartsupp может письменно возразить против выбранного пользователем аудитора (уполномоченного специалиста), если посчитает, что аудитор недостаточно квалифицирован, не является независимым, находится в конкурентном положении по отношению к Smartsupp или по иным объективным причинам не подходит. При возражении пользователь должен назначить иного аудитора или провести аудит самостоятельно. Любую выявленную в ходе аудита информацию о несоответствиях требованиям закона или настоящему DPA пользователь незамедлительно сообщает Smartsupp.

5.5 Объём аудита. Объём аудита, инициированного пользователем, ограничивается изучением документов и процессов, непосредственно касающихся использования сервиса этим пользователем.

5.6 Суб-обработчики. Пользователь соглашается на привлечение Smartsupp к обработке персональных данных иных суб-обработчиков. В зависимости от выбранного или запрошенного пользователем сервиса Smartsupp может привлекать сторонних суб-обработчиков либо передавать персональные данные другим получателям. Пользователь подтверждает, что Smartsupp вправе использовать суб-обработчиков, перечень которых размещён по адресу: https://help.smartsupp.com/ru/articles/12647685

5.7 Возражения против новых суб-обработчиков. Smartsupp уведомляет пользователя письменно либо обновляет открытый перечень суб-обработчиков перед началом работы нового суб-обработчика, и у пользователя есть 10 рабочих дней для направления возражения. В случае отсутствия возражений Smartsupp привлекает суб-обработчика. При поступлении обоснованного возражения Smartsupp пересмотрит свою позицию и, если согласится, не будет привлекать нового суб-обработчика либо внесёт разумные изменения в настройки пользователя, чтобы сервис не касался этого суб-обработчика. Если реализация невозможна, Smartsupp имеет право расторгнуть соглашение с пользователем полностью или частично либо прекратить предоставлять часть сервиса, связанного с данным суб-обработчиком, без признания дефолта и ущерба для пользователя. Предоплаченные суммы за неиспользованный срок по соответствующему сервису подлежат возврату, и штраф не начисляется.

5.8 Обязательства новых суб-обработчиков. Если Smartsupp привлекает суб-обработчика, тот обязан взять на себя аналогичные обязательства по защите персональных данных, действующие между пользователем и Smartsupp, и реализовать все необходимые технические и организационные меры.

5.9 Ответственность за суб-обработчиков. Smartsupp несёт ответственность за действия и бездействие своих суб-обработчиков в той же мере, как если бы сам предоставлял сервис напрямую на условиях этого DPA, если иное не предусмотрено Соглашением.

5.10 Расходы, связанные с исполнением DPA. Если иное не согласовано письменно, каждая сторона несёт собственные расходы, связанные с исполнением настоящего DPA. Smartsupp вправе выставлять пользователю разумные счета за затраты, понесённые при рассмотрении любых запросов или исполнении своих обязательств по настоящему DPA.

6.1 Обязанность по обеспечению безопасности. Smartsupp внедрила и поддерживает технические и организационные меры, предотвращающие несанкционированный или случайный доступ, изменение, удаление, утрату, передачу или любое иное неправомерное использование персональных данных. Smartsupp регулярно контролирует соблюдение этих мер.

6.2 Специальные меры безопасности. Smartsupp реализует и поддерживает следующие меры для обеспечения соответствующего уровня защиты:

Технические меры:

a) Псевдонимизация и шифрование персональных данных:

Платформа допускает только защищённые каналы и протоколы для входящих соединений; все данные шифруются Smartsupp при передаче с помощью SSL/TLS

ИТ-системы, обрабатывающие персональные данные, используют только защищённые протоколы;

Управление криптографическими ключами осуществляется надёжно.

b) Способность обеспечивать постоянную конфиденциальность, целостность, доступность и устойчивость систем и сервисов обработки:

физический доступ к серверам Smartsupp ограничен только авторизованными сотрудниками;

ограничен доступ (физический и сетевой) к серверам, где хранятся персональные данные;

предотвращается доступ неавторизованных лиц к персональным данным и несанкционированное их использование;

сотрудники, имеющие разрешение на обработку персональных данных, имеют доступ только к данным, которые им необходимы, и не могут читать, копировать, изменять или удалять их без соответствующего разрешения;

доступ защищён надёжной аутентификацией (например, сложными паролями);

права доступа регулярно проверяются;

все попытки доступа (успешные и неудачные) регистрируются и мониторятся;

сотрудникам Smartsupp запрещено скачивать персональные данные локально или хранить их вне защищённых систем;

любые сбои и аномалии Платформы фиксируются в журналах логирования.

c) Возможность быстро восстановить доступность персональных данных и доступ к ним в случае технических или физических инцидентов:

Smartsupp реализовал систему резервного копирования и инструменты восстановления данных;

процедуры восстановления, читаемость и целостность резервных копий периодически проверяются.

d) Smartsupp ведёт регулярное тестирование, оценку и анализ эффективности применяемых мер по обеспечению безопасности обработки персональных данных.

e) Персональные данные не подлежат изменению или удалению без разрешения в процессе передачи, транспортировки или хранения, а получатели данных при передаче могут быть идентифицированы и проверены.

Организационные меры:

f) Все сотрудники, привлекаемые к обработке персональных данных, заранее ознакомлены с конфиденциальностью таких данных, проходят соответствующее обучение и подписывают обязательство о неразглашении.

g) Smartsupp внедрил внутренние регламенты и процедуры, направленные на обеспечение защиты персональных данных в соответствии с требованиями законодательства о конфиденциальности.

h) По вопросам, связанным с этим DPA, применением законодательства о защите данных, а также любым вопросам по конфиденциальности, Вы можете обратиться на адрес dpo@smartsupp.com.

6.3 Информационные инциденты. В случае выявления нарушения персональных данных Smartsupp уведомит пользователя без необоснованной задержки, но не позднее 48 часов с момента получения информации об инциденте, и приложит все усилия, чтобы предоставить пользователю имеющуюся на тот момент информацию, включая:

Smartsupp оперативно ответит на любой запрос пользователя о содействии при возникновении информационного инцидента.

6.4 Незаконные инструкции. Если пользователь даёт Smartsupp инструкцию, которая приводит к нарушению положений законодательства о защите данных, и Smartsupp в связи с этим подвергнется штрафу со стороны надзорных органов либо будет обязан возместить ущерб субъекту данных, пользователь обязуется компенсировать Smartsupp все убытки после получения официального уведомления от Smartsupp.

6.5 Ограничение ответственности. К настоящему DPA применяется ограничение ответственности, действующее по Условиям.

6.6 Внесение изменений. К этому DPA применяются правила внесения изменений, установленные в Условиях.

6.7 Вступление в силу. Настоящий DPA приобретает юридическую силу одновременно с заключением Соглашения между пользователем и Smartsupp.