Дополнение об обработке данных

Настоящее Дополнение об обработке данных (далее — Дополнение) является частью Условий предоставления услуг, сторонами которых являетесь вы и компания группы GridStudio, указанная в вашем счёте (далее — мы, нас). Оно применяется всякий раз, когда мы обрабатываем от вашего имени персональные данные, содержащиеся в Данных клиента. Термины, написанные с заглавной буквы и не определённые здесь, имеют значение, приведённое в Условиях предоставления услуг.

В отношении такой обработки вы являетесь контролёром или обработчиком, действующим в интересах собственных клиентов, а мы — вашим обработчиком. Каждая сторона соблюдает применимое к ней законодательство о защите данных, включая, где это уместно, Общий регламент по защите данных ЕС и Великобритании, турецкий Закон о защите персональных данных (KVKK) и Закон ОАЭ о защите персональных данных.

Настоящее Дополнение не распространяется на данные, которые мы обрабатываем как контролёр в собственных целях, например данные аккаунта и платёжные данные. Такая обработка описана в Политике конфиденциальности.

Если настоящее Дополнение и остальная часть Условий предоставления услуг противоречат друг другу в вопросах обработки персональных данных, преимущественную силу имеет настоящее Дополнение.

• Предмет и цель: отправка и получение сообщений в подключённых вами Каналах, отчётность об их статусе, доставка вам событий вебхуков, расчёты и поддержание безопасности Сервиса.
• Продолжительность: пока у вас есть Аккаунт, а после этого — пока данные не будут удалены, как описано в разделе 10.
• Характер обработки: получение, хранение, передача Провайдерам каналов, запись в журналы, отображение вам и удаление.
• Субъекты данных: люди, которым вы отправляете сообщения и от которых их получаете, а также любые иные лица, упомянутые в сообщениях.
• Категории данных: идентификаторы, такие как номера телефонов, идентификаторы чатов и идентификаторы пользователей платформ; содержание сообщений и медиафайлы, на которые они ссылаются; статусы доставки и прочтения; а также ссылки и метаданные, которые вы добавляете.
• Специальные категории: Сервис не предназначен для специальных категорий персональных данных. Вы решаете, что содержат ваши сообщения, и вам запрещено отправлять такие данные, если у вас нет законного основания или если Провайдер канала этого не разрешает.

Мы обрабатываем персональные данные только по вашим документально подтверждённым указаниям. Условия предоставления услуг, настоящее Дополнение и использование вами API и консоли составляют ваши полные указания. Мы сообщаем вам, если, по нашему мнению, указание нарушает законодательство о защите данных, и не обязаны выполнять такое указание.

Мы также можем обрабатывать данные, если этого требует применимый к нам закон. В таком случае мы сначала сообщаем вам об этом, если этот закон этого не запрещает.

Вы отвечаете за законность обработки: за наличие правового основания, за согласия и уведомления, которые должны быть предоставлены субъектам данных, и за точность данных, которые вы передаёте.

Мы обеспечиваем, чтобы лица, уполномоченные обрабатывать персональные данные, были связаны обязательством соблюдать конфиденциальность и имели доступ к данным только в той мере, в какой этого требует их работа.

Мы применяем технические и организационные меры, соответствующие риску, и можем обновлять их при условии, что уровень защиты не снижается. В настоящее время к ним относятся:

• шифрование данных при передаче с помощью TLS;
• хранение паролей в виде хешей Argon2id, а токенов сеансов и API-ключей — только в виде хешей;
• шифрование при хранении по алгоритму AES-256-GCM секретов подписи вебхуков и ключей, связывающих Аккаунт с платформой доставки;
• передача учётных данных, токенов и кодов авторизации Каналов платформе доставки без их хранения или записи в журналы шлюзом;
• ролевой доступ для участников Аккаунта, API-ключи, ограниченные разрешениями и IP-адресами, ограничение частоты запросов и блокировка после повторных неудачных попыток входа;
• логическое разделение данных каждого Аккаунта;
• журнал аудита административных действий, включая каждый случай, когда наши сотрудники получают доступ к Аккаунту для оказания поддержки;
• подписанные доставки вебхуков и проверка адресов вебхуков на принадлежность к диапазонам частных сетей.

Вы даёте нам общее разрешение привлекать субобработчиков. Мы привлекаем их на основании письменного договора, который возлагает на них обязательства по защите данных, равноценные предусмотренным настоящим Дополнением, и остаёмся ответственными перед вами за их работу.

Для Данных клиента мы используем следующие категории субобработчиков:

• Хостинг и инфраструктура: провайдеры, у которых размещены наши серверы, базы данных и резервные копии;
• Компании группы GridStudio: которые обеспечивают работу платформы доставки, соединяющейся с Провайдерами каналов, и поддерживают Сервис.

Мы сообщаем владельцам вашего Аккаунта, прежде чем добавить или заменить субобработчика. Вы можете возразить по обоснованным соображениям защиты данных в течение четырнадцати дней. Если мы не сможем урегулировать возражение, вы можете расторгнуть договор, и тогда мы возвращаем оплаченный вами неиспользованный баланс Кошелька и неиспользованную часть купленных вами Пакетов, срок действия которых не истёк, рассчитанную пропорционально.

Провайдеры каналов, такие как Meta, Telegram, TikTok, Twilio и другие SMS-провайдеры и операторы связи, не являются нашими субобработчиками. Вы сами их выбираете, у вас с каждым из них собственный договор, а мы передаём им данные по вашим указаниям. Наш платёжный провайдер и наш провайдер доставки электронной почты обрабатывают данные аккаунта и платёжные данные для нас как для контролёра и не получают Данные клиента.

С учётом характера обработки мы помогаем вам посредством надлежащих технических и организационных мер отвечать на запросы субъектов данных, осуществляющих свои права. Консоль и API позволяют вам искать и получать сообщения определённого получателя. Если субъект данных обращается непосредственно к нам, мы направляем его к вам и не отвечаем на запрос сами, если вы не попросите нас об этом или если этого не требует закон.

Мы также оказываем вам разумную помощь в оценке воздействия на защиту данных, в консультациях с надзорными органами и в обеспечении безопасности обработки в той мере, в какой это относится к Сервису и в какой вы не можете получить эту информацию самостоятельно.

Мы уведомляем владельцев вашего Аккаунта без неоправданной задержки после того, как нам становится известно о нарушении безопасности персональных данных, затрагивающем Данные клиента. В уведомлении описывается то, что нам известно о характере нарушения, затронутых данных, его вероятных последствиях и принятых или предлагаемых мерах, и мы дополняем информацию по мере её поступления. Уведомление не является признанием вины.

Вы поручаете нам передавать Данные клиента Провайдерам каналов и указанным вами получателям, где бы они ни находились. Мы и наши субобработчики можем обрабатывать Данные клиента в странах, отличных от той, где зарегистрированы вы.

Если законодательство о защите данных ограничивает передачу, стороны опираются на признанный им механизм передачи. Если для передачи от вас к нам требуются стандартные договорные условия, утверждённые Европейской комиссией, вместе с дополнением для Великобритании, где это уместно, они включаются в настоящее Дополнение посредством ссылки, причём вы являетесь экспортёром данных, а мы — импортёром данных, а сведения об обработке изложены в разделах 2 и 5.

В течение срока действия договора вы можете получать Данные клиента через консоль и API. Когда договор прекращается, мы удаляем Данные клиента в разумный срок, если применимый к нам закон не требует их хранить; в таком случае мы сохраняем их конфиденциальность и не используем их ни для какой иной цели. По запросу, поданному до закрытия Аккаунта, мы оказываем вам разумную помощь в экспорте данных.

Резервные копии перезаписываются в соответствии с нашим циклом резервного копирования. Записи, необходимые нам как контролёру, например итоги использования для расчётов, хранятся в соответствии с Политикой конфиденциальности.

Мы предоставляем информацию, разумно необходимую для подтверждения того, что мы соблюдаем настоящее Дополнение, и отвечаем на письменные вопросы о наших мерах безопасности.

Если этой информации недостаточно для выполнения требования закона, вы можете не чаще одного раза в двенадцать месяцев и при условии письменного уведомления за тридцать дней провести аудит самостоятельно или через независимого аудитора, связанного обязательством конфиденциальности. Аудит проводится в рабочее время, не должен нарушать работу Сервиса или раскрывать данные других клиентов и осуществляется за ваш счёт. Более частые аудиты возможны, если их требует надзорный орган, или после нарушения безопасности персональных данных.

Ограничения и исключения ответственности, предусмотренные Условиями предоставления услуг, применяются к настоящему Дополнению, кроме случаев, когда законодательство о защите данных не допускает их применения к правам субъектов данных.

Настоящее Дополнение действует, пока мы обрабатываем персональные данные от вашего имени. Если вам нужен подписанный экземпляр, напишите по адресу support@omnimessage.co.