Соглашение об обработке персональных данных

Версия 1.0

Это Соглашение об обработке данных («DPA») является частью и дополняет Условия использования, Договор о подписке, Форму заказа или иное соглашение, регулирующее использование Программного обеспечения CodiCo для диспетчеризации («Основное соглашение»), заключенное между:

BILTO GROUP LLC, компанией, зарегистрированной в Объединенных Арабских Эмиратах, управляющей Программным обеспечением CodiCo для диспетчеризации («Обработчик»),

и

Клиентом, выступающим в качестве контроллера персональных данных («Контроллер»).

Контроллер и Обработчик совместно именуются «Стороны».

1. ЦЕЛЬ

Настоящее DPA регулирует Обработку Персональных данных Обработчиком от имени Контроллера в связи с предоставлением Программного обеспечения CodiCo для диспетчеризации и связанных с ним услуг.

Стороны признают, что Контроллер определяет цели и средства Обработки Персональных данных и действует как Контроллер, в то время как Обработчик действует исключительно как Обработчик в соответствии со Статьей 28 GDPR.

2. ОПРЕДЕЛЕНИЯ

«Персональные данные», «Контроллер», «Обработчик», «Субъект данных», «Обработка», «Надзорный орган» и другие термины, написанные с заглавной буквы, имеют значения, присвоенные им в соответствии с GDPR.

«Данные клиента» означают все Персональные данные, представленные, хранящиеся, переданные или иным образом обработанные через Программное обеспечение CodiCo для диспетчеризации Контроллером или от его имени.

3. ХАРАКТЕР ОБРАБОТКИ

Обработчик предоставляет облачные услуги диспетчеризации, бронирования, управления автопарком, управления водителями, управления пассажирами, планирования, отчетности, связи и связанные с ними услуги.

Обработка может включать в себя:

● сбор;

● хранение;

● организацию;

● извлечение;

● консультирование;

● передачу;

● синхронизацию;

● удаление;

● анализ, необходимый для работы сервиса.

Обработчик обязуется Обрабатывать Персональные данные исключительно с целью предоставления Услуг и в соответствии с документированными инструкциями Контроллера.

4. КАТЕГОРИИ СУБЪЕКТОВ ДАННЫХ

Категории Субъектов данных могут включать:

● пассажиров;

● клиентов;

● водителей;

● диспетчеров;

● операторов;

● администраторов;

● сотрудников Контроллера;

● деловые контакты.

5. КАТЕГОРИИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Категории Персональных данных могут включать:

● имена;

● адреса электронной почты;

● номера телефонов;

● информацию о бронировании;

● информацию о поездке;

● места посадки и высадки;

● информацию о водителе;

● информацию о транспортном средстве;

● учетные данные аккаунта;

● данные GPS и местоположения;

● журналы связи;

● информацию об использовании сервиса.

Контроллер не должен загружать или предоставлять специальные категории персональных данных в соответствии со Статьей 9 GDPR, если это прямо не согласовано в письменной форме.

Обработчик не требует и не запрашивает копии паспортов, водительских прав, медицинских карт или других данных специальных категорий.

6. ОБЯЗАННОСТИ КОНТРОЛЛЕРА

Контроллер гарантирует, что:

a) у него есть законные основания для Обработки Персональных данных;

b) он предоставил все необходимые уведомления Субъектам данных;

c) он несет единоличную ответственность за точность, качество и законность Данных клиента;

d) он получил все необходимые согласия, где это требуется.

Контроллер остается единолично ответственным за соблюдение GDPR и применимых законов о конфиденциальности.

7. ОБЯЗАТЕЛЬСТВА ОБРАБОТЧИКА

Обработчик обязан:

a) Обрабатывать Персональные данные только на основании документированных инструкций Контроллера;

b) обеспечивать конфиденциальность персонала, имеющего доступ к Персональным данным;

c) внедрять надлежащие технические и организационные меры;

d) оказывать Контроллеру содействие в реагировании на запросы Субъектов данных, где это разумно возможно;

e) уведомлять Контроллера без неоправданной задержки после того, как ему стало известно о Нарушении безопасности Персональных данных, затронувшем Данные клиента;

f) оказывать разумное содействие в отношении обязательств по соблюдению GDPR.

8. МЕРЫ БЕЗОПАСНОСТИ

Обработчик должен поддерживать разумные и надлежащие административные, технические и организационные меры защиты, предназначенные для обеспечения безопасности Данных клиента от несанкционированного доступа, раскрытия, изменения или уничтожения.

Меры безопасности могут включать:

● шифрование HTTPS;

● контроль доступа;

● процедуры аутентификации;

● разрешения на основе ролей;

● резервное копирование;

● защиту межсетевым экраном (firewall);

● мониторинг и ведение журналов;

● обновления безопасности программного обеспечения.

Обработчик не гарантирует, что Услуги будут полностью избавлены от всех уязвимостей или инцидентов безопасности.

9. СУБОБРАБОТЧИКИ

Контроллер предоставляет Обработчику общее разрешение на привлечение Субобработчиков.

Обработчик может время от времени добавлять, заменять или удалять Субобработчиков, если это разумно необходимо для предоставления Услуг.

Обработчик должен вести актуальный список Субобработчиков и предоставлять эту информацию по запросу.

Обработчик остается ответственным за деятельность своих Субобработчиков в той мере, в какой это требуется применимым законодательством.

Сторонние сервисы, самостоятельно выбранные, подключенные или настроенные Контроллером, не считаются Субобработчиками Обработчика.

10. МЕЖДУНАРОДНАЯ ПЕРЕДАЧА ДАННЫХ

Контроллер признает, что доступ к Данным клиента, их обработка или передача на международном уровне могут осуществляться там, где это необходимо для работы, обслуживания, поддержки и предоставления Услуг.

Обработчик должен внедрить надлежащие гарантии, где это требуется в соответствии с применимыми законами о защите данных.

11. ЗАПРОСЫ СУБЪЕКТОВ ДАННЫХ

Если Обработчик получает запрос непосредственно от Субъекта данных, касающийся Данных клиента, Обработчик может перенаправить Субъекта данных к Контроллеру.

Обработчик должен оказывать разумное содействие Контроллеру в реагировании на такие запросы, когда это требуется по закону.

12. ПРАВА НА АУДИТ

Контроллер может запросить информацию, разумно необходимую для подтверждения соблюдения настоящего DPA.

Физические инспекции, тестирование на проникновение, анализ исходного кода, сканирование уязвимостей, доступ к внутренним системам, доступ к конфиденциальной коммерческой информации или доступ к данным, относящимся к другим клиентам, не требуются.

Любой аудит должен:

● проводиться не более одного раза за календарный год;

● проводиться в обычные рабочие часы;

● проводиться при условии письменного уведомления не менее чем за 30 дней;

● не мешать операционной деятельности Обработчика;

● осуществляться за счет Контроллера.

13. ВОЗВРАТ И УДАЛЕНИЕ ДАННЫХ

После прекращения предоставления Услуг Данные клиента остаются доступными для экспорта в течение десяти (10) дней.

По истечении этого периода Данные клиента подлежат безвозвратному удалению из рабочих систем.

Остаточные копии, содержащиеся в резервных копиях, могут сохраняться до тех пор, пока они не будут перезаписаны в соответствии с процедурами хранения резервных копий Обработчика.

14. ОГРАНИЧЕНИЕ ОТВЕТСТВЕННОСТИ

В максимальной степени, разрешенной законом, совокупная ответственность Обработчика, возникающая из настоящего DPA или в связи с ним, не должна превышать общую сумму вознаграждения, выплаченную Контроллером Обработчику в течение двенадцати (12) месяцев, непосредственно предшествующих событию, повлекшему за собой претензию.

Обработчик не несет ответственности за косвенные, случайные, последующие, особые, штрафные убытки или неустойки, включая упущенную выгоду, прибыль, деловую репутацию, упущенные коммерческие возможности или потерю данных.

Ничто в настоящем DPA не ограничивает ответственность в тех случаях, когда такое ограничение запрещено применимым законодательством.

14.1 ОГРАЖДЕНИЕ ОТ ОТВЕТСТВЕННОСТИ (ИНДЕМНИФИКАЦИЯ) КОНТРОЛЛЕРОМ

Контроллер обязуется оградить Обработчика от ответственности и компенсировать убытки по любым претензиям, штрафам, взысканиям, ущербу или расходам, возникающим в связи с:

● незаконным сбором Персональных данных Контроллером;

● отсутствием законного основания для Обработки;

● непредоставлением необходимых уведомлений Субъектам данных;

● инструкциями Контроллера, нарушающими применимое законодательство.

15. ПРИМЕНИМОЕ ПРАВО

Настоящее DPA регулируется законодательством, указанным в Основном соглашении.

При отсутствии такого положения применяются законы Объединенных Арабских Эмиратов.

16. ПОРЯДОК ПРИОРИТЕТА

В случае любого конфликта между настоящим DPA и Основным соглашением, настоящее DPA имеет преимущественную силу исключительно в отношении вопросов защиты данных.

17. СРОК ДЕЙСТВИЯ И ПРЕКРАЩЕНИЕ ДЕЙСТВИЯ

Настоящее DPA вступает в силу с даты, когда Контроллер впервые принимает Основное соглашение, создает учетную запись, получает доступ к Услугам или иным образом использует Услуги, в зависимости от того, что произошло ранее.

Настоящее DPA остается в силе до тех пор, пока Обработчик Обрабатывает Персональные данные от имени Контроллера.

Прекращение действия или истечение срока действия Основного соглашения автоматически прекращает действие настоящего DPA, за исключением случаев, когда Обработчик продолжает Обрабатывать Персональные данные после такого прекращения в целях хранения данных, соблюдения законодательства, сохранения резервных копий, разрешения споров, обеспечения соблюдения договорных прав или иных законных деловых целей, разрешенных применимым законодательством.

Положения, касающиеся конфиденциальности, ответственности, аудита, международной передачи, удаления данных, разрешения споров и любые другие положения, которые по своей природе предназначены для сохранения силы после прекращения действия, остаются в силе после прекращения действия настоящего DPA.

После прекращения предоставления Услуг с Данными клиента обращаются в соответствии с Разделом 13 (Возврат и удаление данных).

Прекращение действия настоящего DPA не освобождает ни одну из Сторон от каких-либо обязательств, возникших до даты прекращения действия.

ПРИЛОЖЕНИЕ А

ДЕТАЛИ ОБРАБОТКИ

A. ПРЕДМЕТ ОБРАБОТКИ

Обработчик предоставляет облачные услуги по диспетчеризации транспорта, управлению бронированием, управлению водителями, управлению пассажирами, управлению автопарком, связи, планированию, отчетности и связанные с ними программные услуги через платформу Программного обеспечения CodiCo для диспетчеризации.

B. ЦЕЛЬ ОБРАБОТКИ

Персональные данные обрабатываются исключительно с целью:

● предоставления Услуг;

● управления бронированием перевозок;

● диспетчеризации и назначения поездок;

● управления водителями и транспортными средствами;

● содействия связи между пассажирами, водителями и диспетчерами;

● генерации отчетов и аналитики;

● поддержки клиентов;

● поддержания безопасности, доступности и производительности Услуг.

C. ПРОДОЛЖИТЕЛЬНОСТЬ ОБРАБОТКИ

Обработка продолжается в течение срока действия активной подписки Клиента.

После прекращения предоставления Услуг Данные клиента остаются доступными для экспорта в течение тесяти (10) дней.

По истечении этого периода Данные клиента удаляются в соответствии с DPA.

D. КАТЕГОРИИ СУБЪЕКТОВ ДАННЫХ

Категории Субъектов данных могут включать:

Пассажиры

● клиенты

● пассажиры

● путешественники

Водители

● наемные водители

● водители, работающие по контракту

● владельцы-операторы

Персонал клиента

● диспетчеры

● операторы

● администраторы

● менеджеры

● сотрудники

● подрядчики

Деловые контакты

● поставщики

● партнеры

● агенты

● аффилированные лица

E. КАТЕГОРИИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Данные пассажиров

● имя

● фамилия

● адрес электронной почты

● номер телефона

● адрес подачи (посадки)

● адрес назначения (высадки)

● информация о бронировании

● история поездок

Данные водителей

● имя

● фамилия

● адрес электронной почты

● номер телефона

● информация о транспортном средстве

● статус доступности

● данные GPS-местоположения

● назначенные поездки

Операционные данные

● информация об учетной записи

● записи о входе в систему

● журналы активности

● журналы связи

● информация об использовании сервиса

Данные о местоположении

● местоположение транспортных средств

● местоположение водителей

● маршруты поездок

● диспетчерская информация

F. СПЕЦИАЛЬНЫЕ КАТЕГОРИИ ДАННЫХ

Услуги не предназначены для обработки Специальных категорий Персональных данных, определенных Статьей 9 GDPR.

Контроллер не должен загружать или иным образом предоставлять такие данные, если это прямо не согласовано Обработчиком в письменной форме.

Обработчик оставляет за собой право удалять такие данные, когда это разумно необходимо для защиты целостности и соответствия Услуг применимым требованиям.

ПРИЛОЖЕНИЕ B

ТЕХНИЧЕСКИЕ И ОРГАНИЗАЦИОННЫЕ МЕРЫ

Обработчик поддерживает разумные и надлежащие технические и организационные меры, предназначенные для защиты Данных клиента.

Следующие меры могут внедряться и обновляться время от времени:

1. КОНТРОЛЬ ДОСТУПА

● системы, защищенные паролем;

● разрешения на основе ролей;

● ограниченный доступ сотрудников;

● принципы наименьших привилегий;

● механизмы аутентификации пользователей.

2. СЕТЕВАЯ БЕЗОПАСНОСТЬ

● шифрование связи по протоколам HTTPS/TLS;

● защита межсетевым экраном (firewall);

● средства контроля безопасности инфраструктуры;

● мониторинг и ведение журналов.

3. БЕЗОПАСНОСТЬ ДАННЫХ

● логическое разделение сред клиентов;

● контролируемый доступ к Данным клиента;

● процедуры резервного копирования;

● процедуры безопасного удаления.

4. БЕЗОПАСНОСТЬ ПЕРСОНАЛА

Уполномоченный персонал несет обязательства по соблюдению конфиденциальности.

Доступ к Данным клиента предоставляется только в тех случаях, когда это разумно необходимо для:

● поддержки клиентов;

● технического обслуживания;

● устранения неполадок;

● предоставления услуг.

5. УДАЛЕННЫЙ ДОСТУП

Обработчик использует распределенный штат сотрудников.

Уполномоченный персонал может получать удаленный доступ к Данным клиента из различных юрисдикций исключительно в законных деловых целях, связанных с Услугами.

Такой доступ ограничен уполномоченным персоналом и регулируется мерами контроля безопасности.

6. УПРАВЛЕНИЕ ИНЦИДЕНТАМИ

Обработчик поддерживает процедуры, предназначенные для выявления, расследования и реагирования на инциденты безопасности.

Если это требуется применимым законодательством, Контроллер уведомляется без неоправданной задержки после того, как Обработчику стало известно о Нарушении безопасности Персональных данных, затронувшем Данные клиента.

7. ТЕСТИРОВАНИЕ И ТЕХНИЧЕСКОЕ ОБСЛУЖИВАНИЕ

Обработчик осуществляет непрерывное техническое обслуживание, мониторинг и обновления безопасности, соответствующие характеру Услуг.

Обработчик не гарантирует абсолютную безопасность или бесперебойную работу Услуг.

8. ИЗМЕНЕНИЯ

Обработчик может время от времени изменять, улучшать или заменять меры безопасности при условии, что общий уровень безопасности не будет существенно снижен.

ПРИЛОЖЕНИЕ C

СУБОБРАБОТЧИКИ

Контроллер признает и соглашается с тем, что Обработчик может привлекать следующих Субобработчиков: