Соглашение об обработке данных

Термины с прописной буквы, определения которых здесь не приведены, имеют значения, установленные в Условиях. В настоящем DPA:

Законодательство о защите данных

GDPR и законы государств — членов ЕС и ЕЭЗ, обеспечивающие его применение или дополняющие его, Директива 2002/58/EC («Директива о конфиденциальности и электронных средствах связи») в редакции, имплементированной в национальное законодательство, а также, если они применимы к обработке, GDPR Великобритании вместе с Законом Великобритании о защите данных 2018 года и Федеральный закон Швейцарии о защите данных («FADP»).

Термины GDPR

Термины «контролер», «обработчик», «субъект данных», «персональные данные», «нарушение безопасности персональных данных», «обработка», «специальные категории персональных данных» и «надзорный орган» имеют значения, установленные в GDPR.

Персональные данные Заказчика

Персональные данные, которые мы обрабатываем от имени Заказчика при предоставлении Сервиса, как описано в Приложении I. К ним не относятся персональные данные, которые мы обрабатываем в качестве контролера (см. раздел 1).

Сервис

Сервис электронной почты ExitoMail, Exito Vault, Exito Transfer, собственные домены и функции администрирования организации, предоставляемые Заказчику согласно Условиям.

Пользователи

Лица, которым Заказчик разрешает использовать Сервис в рамках своего аккаунта, включая владельца и участников организации Заказчика.

Субобработчик

Любое привлечённое нами третье лицо, которое обрабатывает Персональные данные Заказчика. Наши сотрудники и отдельные подрядчики, работающие под нашим непосредственным руководством, не являются Субобработчиками.

Инцидент безопасности

Нарушение безопасности, которое приводит к случайному или неправомерному уничтожению, утрате, изменению, несанкционированному раскрытию Персональных данных Заказчика, передаваемых, хранящихся или иным образом обрабатываемых нами или нашими Субобработчиками, либо к несанкционированному доступу к ним. Иными словами, нарушение безопасности персональных данных (статья 4(12) GDPR), затрагивающее Персональные данные Заказчика.

СДП

Стандартные договорные положения о передаче персональных данных в третьи страны, содержащиеся в приложении к Исполнительному решению Комиссии (ЕС) 2021/914 от 4 июня 2021 года и заполненные в соответствии с разделом 8.

Ограниченная передача (Restricted Transfer)

Раскрытие Персональных данных Заказчика путём их передачи или предоставления к ним доступа (включая удалённый доступ) получателю в стране за пределами Европейской экономической зоны (ЕЭЗ), на которую не распространяется решение об адекватности согласно статье 45 GDPR (либо, в отношении данных из Великобритании или Швейцарии, эквивалентные правила Великобритании или Швейцарии об адекватности).

Рабочий день

Любой день с понедельника по пятницу, кроме федеральных праздничных дней США.

Порядок приоритета

В случае противоречия между документами они применяются в следующем порядке:

1. СДП, если они применимы;
2. настоящее DPA;
3. Условия;
4. любые другие правила или документы, являющиеся частью нашего соглашения с Заказчиком.

Ни одно положение настоящего DPA не ограничивает права Заказчика или субъектов данных, предусмотренные Законодательством о защите данных. Такие слова, как «включая» и «например», вводят примеры и не ограничивают значение предшествующих им общих формулировок.

Предмет обработки

Обработка Персональных данных Заказчика, необходимая для предоставления ему Сервиса: размещение почтовых ящиков на exitomail.com и собственных доменах Заказчика, отправка и получение писем, хранение файлов и предоставление к ним общего доступа в Exito Vault, отправка файлов по ссылке с помощью Exito Transfer, администрирование организации Заказчика и оказание поддержки.

Продолжительность

В течение всего срока предоставления Сервиса Заказчику согласно Условиям, а после его окончания — до удаления Персональных данных Заказчика в порядке, описанном в разделе 12.

Характер и цель

Обработка включает размещение, хранение, передачу, получение и доставку Персональных данных Заказчика, их фильтрацию на предмет спама и вредоносных программ, индексирование для поиска, резервное копирование, восстановление и удаление, а также связанную с этим поддержку и администрирование. Мы выполняем её исключительно для предоставления, обслуживания, защиты и поддержки Сервиса в соответствии с указаниями Заказчика (раздел 5).

Субъекты данных и виды персональных данных

Краткое описание (полное описание приведено в Приложении I):

• Субъекты данных. Пользователи Заказчика; лица, с которыми они переписываются; лица, которые получают ссылки Exito Transfer или загружают файлы по ссылкам «Запрос файлов»; лица, чьи данные Пользователи сохраняют в контактах; а также все лица, упомянутые в письмах, файлах или передачах.
• Персональные данные. Содержание и метаданные писем, контакты, файлы в Exito Vault, файлы в Exito Transfer и адреса электронной почты их получателей, данные аккаунта и аутентификации, журналы, включая IP-адреса, а также настройки собственных доменов и DNS.

Заказчик несёт ответственность за использование Сервиса и, в частности, за следующее:

• Законные основания и прозрачность. Наличие законных оснований для обработки (статья 6 GDPR и, когда применимо, статья 9), а также предоставление Пользователям и другим субъектам данных информации, предусмотренной статьями 13 и 14 GDPR.
• Законные указания. Обеспечение соответствия своих указаний Законодательству о защите данных и нашей Политике допустимого использования.
• Пользователи и настройки. Управление своими Пользователями (владельцем и участниками, которых приглашает Заказчик), их почтовыми ящиками и адресами, настройками общего доступа и сроками действия ссылок, а также определение данных, которые будут помещаться в Сервис, и сроков их хранения. Заказчик должен обеспечить защиту Пользователями своих учётных данных и включение ими двухэтапной аутентификации.
• Пригодность. Оценка пригодности Сервиса, в том числе мер, указанных в Приложении II, и с учётом отсутствия сквозного шифрования, для данных, которые Заказчик намерен обрабатывать с его помощью, в частности специальных категорий персональных данных (статья 9 GDPR) и персональных данных, относящихся к обвинительным приговорам и правонарушениям (статья 10 GDPR).
• Собственные системы. Обеспечение безопасности собственных устройств, сетей и почтовых клиентов, а также любых копий данных, экспортированных из Сервиса.

Обработка только по документированным указаниям

Мы обрабатываем Персональные данные Заказчика только по его документированным указаниям, в том числе в отношении передачи в третьи страны, если иное не требуется законодательством ЕС или государства-члена ЕС, действие которого на нас распространяется. В таком случае мы сообщаем Заказчику об этом требовании законодательства до начала обработки, если такое законодательство не запрещает это по важным основаниям общественного интереса (статья 28(3)(a) GDPR). Как американская компания мы также обязаны соблюдать законодательство США; запросы государственных органов в соответствии с ним обрабатываются в порядке, описанном в разделе 14 и положениях 14 и 15 СДП.

Документированными указаниями Заказчика являются:

• настоящее DPA и Условия;
• использование и настройка Сервиса Заказчиком и его Пользователями (например, отправка письма, предоставление общего доступа к файлу, установка срока действия ссылки, добавление домена или удаление Пользователя либо его данных); и
• любые другие письменные указания Заказчика, соответствующие Условиям и подтверждённые нами в письменной форме. Для указаний, выходящих за рамки функций Сервиса, необходимо наше предварительное письменное согласие.

Указания, нарушающие законодательство

Мы незамедлительно сообщим Заказчику, если, по нашему мнению, его указание нарушает GDPR или иные положения ЕС либо государства-члена ЕС о защите данных. Мы вправе приостановить выполнение такого указания, пока Заказчик не подтвердит или не изменит его. Мы не обязаны проводить полную юридическую проверку указаний Заказчика.

Конфиденциальность персонала

Мы предоставляем доступ к Персональным данным Заказчика только тем сотрудникам, которым он необходим для предоставления, защиты или поддержки Сервиса, и только в необходимом объёме. Все лица, имеющие доступ, связаны письменными обязательствами о конфиденциальности либо несут соответствующую предусмотренную законом обязанность соблюдать конфиденциальность. Эти обязательства сохраняются после прекращения их работы с нами. Такие лица также проходят обучение по вопросам безопасности и защиты данных.

Наш персонал не читает содержимое писем, файлов или передач, кроме случаев, когда это необходимо для оказания поддержки по запросу Заказчика или Пользователя, расследования проблемы безопасности, злоупотребления или обжалования либо соблюдения законодательства. Такой доступ ограничивается объёмом, необходимым для выполнения соответствующей задачи, и регистрируется в связанном с ней обращении в службу поддержки или деле о злоупотреблении. Автоматизированные фильтрация и применение правил выполняются на основе сигналов и результатов сканирования без чтения содержимого персоналом.

Безопасность

Мы внедряем и поддерживаем технические и организационные меры, описанные в разделе 6 и Приложении II, как того требует статья 32 GDPR.

Без продажи, рекламы и иных целей

Мы не продаём, не сдаём в аренду и не передаём кому-либо Персональные данные Заказчика в рекламных или маркетинговых целях, не показываем рекламу и не анализируем содержимое для профилирования Пользователей. Мы не используем Персональные данные Заказчика в собственных целях, кроме следующих случаев:

1. для формирования агрегированных статистических показателей работы, которые не позволяют идентифицировать Заказчика, его Пользователей или других лиц (например, общий объём используемого хранилища, количество писем и частоту ошибок) и которые мы используем для работы Сервиса, планирования ресурсов и повышения надёжности;
2. для обеспечения безопасности Сервиса и его пользователей и предотвращения злоупотреблений в необходимом объёме (например, для фильтрации спама и вредоносных программ, применения ограничений на отправку и расследования сообщений о злоупотреблениях); и
3. для соблюдения законодательства.

Если при обработке согласно пункту (b) или (c) мы выступаем контролером, к такой обработке применяется наша Политика конфиденциальности.

Учёт деятельности по обработке

Мы ведём реестр всех категорий деятельности по обработке, осуществляемой от имени наших клиентов, как того требует статья 30(2) GDPR, и по запросу предоставляем его надзорному органу.

Сотрудничество с надзорными органами

Мы сотрудничаем с надзорными органами при выполнении ими своих задач (статья 31 GDPR). Если это не запрещено законом, мы без неоправданной задержки сообщаем Заказчику о любых обращениях или запросах надзорного органа, касающихся Персональных данных Заказчика.

Контакт по вопросам защиты данных

Вопросы о настоящем DPA следует направлять нашей группе по вопросам конфиденциальности по адресу privacy@exitomail.com. Мы не назначали сотрудника по защите данных; всеми вопросами защиты данных занимается наша группа по вопросам конфиденциальности.

С учётом уровня развития техники, расходов на реализацию, характера, объёма, контекста и целей обработки, а также рисков для прав и свобод субъектов данных мы применяем надлежащие технические и организационные меры, обеспечивающие уровень безопасности, соответствующий риску (статья 32 GDPR). Эти меры описаны в Приложении II, а простым языком — на нашей странице «Безопасность».

Наша программа безопасности разработана на основе ISO/IEC 27001:2022 и ISO/IEC 27701. Мы не сертифицированы ни по одному из этих стандартов, и никакое положение настоящего DPA не следует толковать как заявление о наличии такой сертификации.

Подходы к безопасности развиваются, поэтому мы можем со временем обновлять эти меры. Мы не будем вносить изменения, которые существенно снижают общий уровень защиты Персональных данных Заказчика.

Общее разрешение

Заказчик предоставляет нам общее письменное разрешение на привлечение Субобработчиков (статья 28(2) GDPR). Наши текущие Субобработчики перечислены в Приложении III и на странице «Субобработчики». Заказчик разрешает привлечение всех указанных Субобработчиков, включая отмеченных как планируемые или условные, которые получают данные только после запуска или включения соответствующей функции.

Уведомление об изменениях

Мы уведомляем Заказчика не менее чем за 30 дней до того, как новый или заменяющий Субобработчик начнёт обрабатывать Персональные данные Заказчика. Уведомление отправляется по электронной почте владельцу аккаунта Заказчика и публикуется путём обновления страницы «Субобработчики». Любое лицо также может подписаться на эти обновления, написав по адресу privacy@exitomail.com и указав тему «Subprocessor updates».

Право на возражение

Заказчик вправе в течение указанного 30-дневного срока направить письменное возражение против привлечения нового или заменяющего Субобработчика по адресу privacy@exitomail.com, если для этого имеются разумные основания, связанные с защитой данных. В таком случае мы добросовестно обсудим с Заказчиком причины возражения и постараемся устранить их, например разъяснив применяемые меры защиты или предложив способ использования Сервиса без обработки данных Заказчика этим Субобработчиком.

Если нам не удастся урегулировать возражение в разумный срок, Заказчик вправе путём письменного уведомления прекратить использование затронутой части Сервиса либо всего Сервиса, если затронутую часть невозможно обоснованно использовать отдельно. Мы пропорционально возместим Заказчику все предварительно уплаченные им суммы за период после прекращения использования. Это является средством правовой защиты Заказчика в случае неурегулированного возражения и не затрагивает его права согласно Законодательству о защите данных и СДП.

Срочная замена

Если по не зависящим от нас причинам нам потребуется срочно заменить Субобработчика, например из-за внезапного прекращения работы поставщика или риска безопасности, мы вправе сделать это с более коротким сроком уведомления в пределах, допускаемых СДП и Законодательством о защите данных. Мы сообщим об этом Заказчику в кратчайший возможный срок, и указанное выше право на возражение будет применяться с момента такого уведомления.

Наша ответственность за Субобработчиков

• Равнозначные обязательства. Мы привлекаем каждого Субобработчика на основании письменного договора, устанавливающего обязательства по защите данных, обеспечивающие не меньший уровень защиты, чем настоящее DPA, и, в частности, достаточные гарантии принятия надлежащих технических и организационных мер (статья 28(4) GDPR).
• Комплексная проверка. До привлечения каждого Субобработчика мы оцениваем применяемые им меры обеспечения безопасности и защиты данных, а затем периодически пересматриваем результаты такой оценки.
• Ответственность. Мы сохраняем полную ответственность перед Заказчиком за исполнение обязательств каждым Субобработчиком.
• Копии. По запросу мы предоставляем Заказчику копию согласованных с Субобработчиком условий о защите данных. Перед предоставлением копии мы вправе удалить из неё коммерческую информацию или конфиденциальные сведения.

Данные остаются в ЕС

Мы храним Персональные данные Заказчика в Европейском союзе:

Некоторые наши Субобработчики учреждены в Соединённых Штатах Америки (см. Приложение III), поэтому нельзя исключить доступ к данным из-за пределов ЕЭЗ, например для технического обслуживания или оказания поддержки. Кроме того:

• Наш сайт и веб-приложение по адресу exitomail.com, включая используемые в браузере экраны веб-почты, Exito Vault и Exito Transfer, предоставляются через глобальную сеть Cloudflare. Cloudflare завершает зашифрованное соединение на своих периферийных узлах, поэтому во время передачи трафик, включая письма и файлы, открытые в веб-приложении, может проходить через центры обработки данных за пределами ЕЭЗ.
• Системы доставки почты и почтовые приложения (SMTP, IMAP и JMAP на mail.exitomail.com) подключаются непосредственно к нашему серверу, и их трафик никогда не проходит через Cloudflare.
• Браузер загружает и скачивает файлы Exito Vault и Exito Transfer непосредственно в объектное хранилище и из него (Wasabi и Cloudflare R2) по подписанным ссылкам с коротким сроком действия. Поэтому эти поставщики также видят IP-адреса лиц, загружающих и скачивающих файлы.

Когда Пользователи отправляют письма или передачи получателям за пределами ЕЭЗ, соответствующее раскрытие данных осуществляется по указаниям Заказчика в рамках выбранного им способа использования Сервиса.

Стандартные договорные положения между Заказчиком и нами

Мы учреждены в Соединённых Штатах Америки, и на нас не распространяется решение об адекватности, поскольку мы не сертифицированы в рамках Рамочной программы ЕС — США по защите данных. Поэтому, когда на Заказчика распространяется GDPR, предоставление нам доступа к Персональным данным Заказчика является Ограниченной передачей (Restricted Transfer), даже если данные хранятся в ЕС (Рекомендации EDPB 05/2021, пример 11). СДП включены в настоящее DPA посредством ссылки и применяются к нему. Заказчик является «экспортёром данных», а мы — «импортёром данных». СДП заполняются следующим образом:

Последующая передача Субобработчикам

Если обработка Персональных данных Заказчика одним из наших Субобработчиков представляет собой Ограниченную передачу (Restricted Transfer), мы обеспечиваем применение к ней действительного механизма согласно главе V GDPR и положению 8.8 СДП: либо СДП (Модуль 3, передача от обработчика обработчику), либо, если получатель сертифицирован в рамках Программы ЕС — США по защите данных, решение об адекватности, принятое Комиссией 10 июля 2023 года (Исполнительное решение (ЕС) 2023/1795). Cloudflare, Inc. сертифицирована; Wasabi Technologies LLC не сертифицирована, поэтому к ней применяются СДП. Механизм, используемый для каждого Субобработчика, указан в Приложении III.

Законодательство США и оценка последствий передачи

Как американский поставщик услуг электронной связи и удалённых вычислений мы можем быть обязаны законодательством США раскрыть находящиеся в нашем владении, распоряжении или под нашим контролем данные независимо от места их хранения (например, согласно 18 U.S.C. § 2713). В соответствии с положением 14 СДП мы оцениваем, как законодательство и практика США могут повлиять на нашу способность исполнять свои обязательства, учитывая гарантии, которые Комиссия оценила в своём решении об адекватности от 10 июля 2023 года, и применяем дополнительные меры, предусмотренные Приложением II и разделом 14. Краткая информация предоставляется Заказчику по запросу.

Данные из Великобритании и Швейцарии

• Великобритания. К Ограниченным передачам (Restricted Transfer), на которые распространяется GDPR Великобритании, применяется изданное комиссаром Великобритании по вопросам информации Дополнение о международной передаче данных (International Data Transfer Addendum) к Стандартным договорным положениям Европейской комиссии (версия B1.0, действует с 21 марта 2022 года), при этом таблицы 1–3 заполняются сведениями из настоящего DPA и приложений к нему. В отношении таблицы 4 как импортёр, так и экспортёр вправе прекратить действие Дополнения в порядке, предусмотренном его разделом 19. Дополнение регулируется правом Англии и Уэльса, а споры подлежат рассмотрению судами Англии и Уэльса.
• Швейцария. К Ограниченным передачам, на которые распространяется FADP, применяются СДП со следующими изменениями: ссылки на GDPR считаются ссылками на FADP; компетентным надзорным органом является Федеральный уполномоченный Швейцарии по защите данных и информации; термин «государство-член» не препятствует субъектам данных в Швейцарии предъявлять требования по месту своего обычного проживания (положение 18(c)).

С учётом характера обработки мы, насколько это возможно, помогаем Заказчику посредством надлежащих технических и организационных мер отвечать на запросы субъектов данных, осуществляющих свои права согласно главе III GDPR (доступ, исправление, удаление, ограничение обработки, переносимость данных и возражение) (статья 28(3)(e) GDPR).

Средства самообслуживания

Большинство запросов можно выполнить непосредственно в Сервисе:

• Доступ и переносимость данных. Пользователи могут скачивать свою почту через IMAP с помощью любого стандартного почтового клиента, а также скачивать свои файлы из Exito Vault. Данные организации также могут быть экспортированы с нашей помощью по запросу.
• Исправление. Пользователи могут исправлять данные собственных профилей.
• Удаление. Пользователи могут удалять письма, файлы и передачи, а владелец — почтовый ящик участника вместе с хранящимися в нём данными: удаление происходит по истечении 30 дней, в течение которых ящик можно восстановить. Удалённые объекты удаляются из систем в порядке, описанном в разделе 12 и Приложении I.

Запросы, полученные нами напрямую

Если субъект данных направляет нам запрос, касающийся Персональных данных Заказчика, мы не отвечаем на него самостоятельно, за исключением сообщения лицу о том, что запрос передан, или его перенаправления к Заказчику. Мы передаём запрос Заказчику без неоправданной задержки при условии, что можем определить Заказчика по этому запросу.

Дополнительная помощь

Если имеющихся средств недостаточно, мы по запросу оказываем разумную дополнительную помощь. Если выполнение запроса потребует от нас значительных усилий, мы вправе взимать разумную плату, заранее согласованную с Заказчиком.

С учётом характера обработки и доступной нам информации мы помогаем Заказчику выполнять его обязательства согласно статьям 32–36 GDPR, включая проведение оценки воздействия на защиту данных (статья 35) и предварительных консультаций с надзорными органами (статья 36).

В основном мы делаем это путём предоставления документации, а именно настоящего DPA и приложений к нему, наших страниц «Безопасность» и «Субобработчики», а также информации о международной передаче данных, и отвечая на разумные вопросы Заказчика об обработке.

Уведомление

Мы уведомляем Заказчика об Инциденте безопасности без неоправданной задержки после того, как нам становится о нём известно, и в любом случае в течение 72 часов с этого момента. Мы направляем уведомление на адрес электронной почты владельца аккаунта Заказчика и любому другому контактному лицу, письменно указанному Заказчиком для этой цели.

Содержание уведомления

В той мере, в которой доступна соответствующая информация, уведомление содержит следующие сведения (статья 33(3) GDPR):

• характер Инцидента безопасности, включая, по возможности, категории и примерное количество затронутых субъектов данных и записей персональных данных;
• имя и контактные данные контактного лица, у которого Заказчик может получить дополнительную информацию;
• вероятные последствия Инцидента безопасности; и
• меры, которые мы приняли или предлагаем принять для устранения Инцидента безопасности, включая меры по смягчению его возможных неблагоприятных последствий.

Если мы не можем предоставить всю эту информацию одновременно, мы предоставляем её поэтапно, без дальнейшей неоправданной задержки, по мере проведения расследования.

Наши ответные меры

Мы незамедлительно принимаем разумные меры для локализации и расследования Инцидента безопасности, смягчения его последствий и предотвращения его повторения. Мы документируем факты, последствия и принятые меры по устранению и оказываем Заказчику разумное содействие в исполнении его собственных обязательств.

Обязанности Заказчика

Выступая контролером, Заказчик сохраняет ответственность за принятие решения о необходимости уведомления надзорных органов и затронутых субъектов данных, а также за такое уведомление (статьи 33 и 34 GDPR). Мы не уведомляем третьих лиц от имени Заказчика об Инциденте безопасности, затрагивающем Персональные данные Заказчика, если Заказчик не попросит нас об этом или если этого не требует законодательство.

Без признания вины

Уведомление об Инциденте безопасности или принятие ответных мер в связи с ним не означает признания нами какой-либо вины или ответственности.

Что не является Инцидентом безопасности

Неудавшиеся попытки или действия, которые не нарушают безопасность Персональных данных Заказчика, например проверка доступности узлов, сканирование портов, неудачные попытки входа или атаки типа «отказ в обслуживании», не приведшие к несанкционированному доступу или утрате данных, не требуют уведомления.

Экспорт в любое время

В период использования Сервиса Заказчик может в любое время экспортировать Персональные данные Заказчика:

• Почта. по протоколу IMAP с помощью любого стандартного почтового клиента;
• Exito Vault. путём скачивания файлов и папок;
• Данные организации. с нашей помощью по запросу.

До прекращения предоставления Сервиса Заказчику следует экспортировать данные, которые он хочет сохранить. Если Заказчику потребуется помощь, мы окажем разумное содействие по запросу, направленному до прекращения предоставления Сервиса.

Удаление после прекращения предоставления Сервиса

После прекращения предоставления Сервиса Заказчику (или получения от Заказчика запроса на удаление его аккаунта) мы удаляем Персональные данные Заказчика из наших активных систем и активных систем наших Субобработчиков в течение 30 дней.

Копии в резервных копиях наших баз данных удаляются по мере вывода резервных копий из ротации в течение 30 дней. До этого времени резервные копии остаются зашифрованными и защищёнными мерами, указанными в Приложении II, и используются только для аварийного восстановления. Если нам потребуется восстановить резервную копию, мы повторно удалим все данные, которые уже были удалены.

Подтверждение

По запросу мы письменно подтверждаем Заказчику удаление данных, предоставляя свидетельство об удалении.

Хранение, требуемое законодательством

После прекращения предоставления Сервиса мы сохраняем Персональные данные Заказчика только в тех случаях, когда законодательство ЕС или государства-члена ЕС требует от нас их хранения (статья 28(3)(g) GDPR) либо когда на них распространяется требование о сохранении, описанное в нашей Политике допустимого использования, например в отношении материалов, которые мы обязаны сохранять после сообщения о них в NCMEC. В таком случае мы обеспечиваем их конфиденциальность, обрабатываем их только в соответствующих целях и удаляем после прекращения действия такого обязательства.

Предоставляемая нами информация

Мы предоставляем Заказчику всю информацию, необходимую для подтверждения соблюдения статьи 28 GDPR и настоящего DPA (статья 28(3)(h) GDPR), включая:

• настоящее DPA и технические и организационные меры, указанные в Приложении II;
• наш обзор «Безопасность», а также по запросу и при условии соблюдения конфиденциальности — соответствующие политики безопасности и защиты данных;
• наш список Субобработчиков и копии согласованных с ними условий о защите данных (см. раздел 7);
• краткие сведения о сертификациях, проведённых третьими лицами, или аудиторских отчётах, которые наши Субобработчики публикуют либо предоставляют нам, при наличии; и
• письменные ответы на разумные вопросы Заказчика, включая ответы на один опросник по безопасности в год.

Аудиты и проверки

Если этой информации недостаточно для подтверждения соблюдения требований, мы разрешаем проведение аудитов, включая проверки, Заказчиком или назначенным им независимым аудитором и содействуем их проведению на следующих условиях:

• Аудитор. Аудитор связан письменными обязательствами о конфиденциальности и не является нашим конкурентом.
• Уведомление и периодичность. Заказчик направляет нам письменное уведомление не менее чем за 30 дней с указанием предлагаемого объёма проверки, при этом проверки проводятся не чаще одного раза в течение любого 12-месячного периода.
• Порядок проведения. Проверки проводятся дистанционно или на месте, в Рабочие дни и обычные рабочие часы, без нарушения работы Сервиса и предоставления доступа к данным других клиентов. Объекты, эксплуатируемые нашими Субобработчиками, проверяются на основании предоставляемых ими отчётов и сведений.
• Расходы. Заказчик несёт собственные расходы и расходы на аудитора. Если проверка потребует от нас значительных временных затрат, мы вправе потребовать от Заказчика возмещения наших разумных расходов, размер которых согласовывается заранее.
• Результаты. Заказчик предоставляет нам отчёт о проверке, сохраняет его конфиденциальность и использует его исключительно для проверки соблюдения настоящего DPA. Мы устраняем все существенные замечания в разумный срок.

Ограничения в отношении срока уведомления и частоты проверок не применяются, если проверка проводится по требованию надзорного органа или после Инцидента безопасности, затрагивающего Персональные данные Заказчика. Проверки в соответствии с СДП проводятся в том же порядке в той мере, в которой он не противоречит СДП.

Если мы получаем от государственного органа (включая правоохранительный орган или орган национальной безопасности) юридически обязательный запрос на раскрытие Персональных данных Заказчика или предоставление доступа к ним, мы:

1. стараемся предложить органу запросить данные непосредственно у Заказчика;
2. незамедлительно уведомляем Заказчика и, когда это возможно, предоставляем копию запроса, если это не запрещено законом; при наличии такого запрета мы принимаем разумные меры для получения разрешения не соблюдать его, чтобы как можно скорее проинформировать Заказчика;
3. проверяем законность запроса и оспариваем его, если после тщательной оценки приходим к выводу о наличии разумных оснований считать его незаконным, чрезмерно широким или не соответствующим законодательству страны назначения либо ЕС, а также используем доступные способы обжалования;
4. в ответ раскрываем только минимальный допустимый объём данных, исходя из разумного толкования запроса; и
5. документируем запрос, нашу оценку и наш ответ.

Мы не создавали и не будем добровольно создавать скрытые механизмы доступа к Сервису, а также не предоставляем государственным органам прямой или массовый доступ к Персональным данным Заказчика. Поскольку мы являемся американской компанией, эти обязательства применяются, в частности, к запросам в соответствии с законодательством США. Когда применяются СДП, такие запросы также регулируются положением 15. Распоряжения в соответствии со статьями 9 и 10 Акта о цифровых услугах обрабатываются в порядке, описанном в нашей политике «Уведомление и принятие мер».

Ответственность каждой стороны, возникающая из настоящего DPA или в связи с ним, регулируется ограничениями и исключениями ответственности, установленными в Условиях, как если бы настоящее DPA являлось их частью.

Ни одно положение настоящего DPA или Условий не ограничивает и не исключает:

• ответственность перед субъектами данных согласно статье 82 GDPR или их права как третьих лиц-бенефициаров согласно СДП;
• ответственность любой из сторон согласно СДП в той мере, в которой СДП не допускают её ограничения; или
• любую ответственность, которая не может быть ограничена или исключена согласно применимому законодательству.

Настоящее DPA вступает в силу после принятия Заказчиком Условий (а для существующего клиента — при первой обработке Персональных данных Заказчика с помощью Сервиса) и действует до тех пор, пока мы обрабатываем Персональные данные Заказчика. Оно продолжает действовать после прекращения действия Условий до удаления всех Персональных данных Заказчика в порядке, описанном в разделе 12.

Если мы больше не можем соблюдать настоящее DPA, мы незамедлительно сообщаем об этом Заказчику. После этого Заказчик вправе приостановить затронутую обработку и, если мы не восстановим соответствие требованиям в разумный срок, прекратить использование затронутой части Сервиса с пропорциональным возвратом всех предварительно уплаченных сумм за период после прекращения использования.

Применимое право и юрисдикция

Если Заказчик подпадает под действие GDPR, настоящее DPA регулируется тем же правом, что и СДП согласно положению 17 (см. раздел 8), чтобы оно являлось договором в соответствии с законодательством государства-члена, как того требует статья 28(3) GDPR, а споры, возникающие из него, рассматриваются судами, выбранными согласно положению 18. Если применяется только GDPR Великобритании, настоящее DPA регулируется законодательством Англии и Уэльса. Во всех остальных случаях оно регулируется правом законодательством штата Флорида, США, а юрисдикцией обладают судов штата и федеральных судов, расположенных в округе Майами-Дейд, штат Флорида, как установлено в Условиях.

Изменения настоящего DPA

Мы вправе обновлять настоящее DPA, чтобы:

• отразить изменения в Законодательстве о защите данных, разъяснения органов или судов либо новые стандартные договорные положения;
• отразить изменения Сервиса, которые не снижают уровень защиты Персональных данных Заказчика; или
• уточнить его формулировки.

Мы сообщаем о существенных изменениях не менее чем за 30 дней до их вступления в силу по электронной почте владельцу аккаунта Заказчика и на этой странице. Изменения никогда не снижают общий уровень защиты Персональных данных Заказчика. Предыдущие версии предоставляются по запросу.

Уведомления

Заказчик направляет уведомления согласно настоящему DPA по адресу privacy@exitomail.com. Мы направляем уведомления на адрес электронной почты владельца аккаунта Заказчика.

Делимость положений

Если какое-либо положение настоящего DPA признаётся недействительным или не имеющим исковой силы, остальные положения продолжают действовать, а такое положение заменяется действительным положением, которое в максимально возможной степени соответствует его первоначальной цели.

A. Перечень сторон

Экспортер данных (контролер или обработчик, действующий от имени своего контролера)

Наименование и адрес

Заказчик, определяемый по наименованию организации, контактным и платёжным данным, указанным при регистрации или в Настройках.

Контактное лицо

Владелец аккаунта Заказчика или другое контактное лицо, письменно указанное Заказчиком.

Деятельность

Использование Сервиса (ExitoMail, Exito Vault, Exito Transfer и собственных доменов) в деловых целях.

Роль

Контролер (модуль 2 СДП) или обработчик (модуль 3 СДП).

Подпись и дата

Принятие Условий, включая настоящее DPA, в дату их принятия.

Импортер данных (обработчик)

Наименование и адрес

EXITO Media LLC, компания с ограниченной ответственностью, учреждённая по законодательству штата Вайоминг (Секретарь штата Вайоминг, регистрационный номер 2022-001141268), с адресом ведения деятельности 111 NE 1st St, 8th Floor, #88287, Miami, FL 33132, United States

Контактные данные

privacy@exitomail.com

Сотрудник по защите данных

Не назначен. Вопросами защиты данных занимается группа по вопросам конфиденциальности.

Представитель в ЕС (статья 27 GDPR)

Data Protection Representative Limited (trading as DataRep), 77 Camden Street Lower, Dublin, D02 XE80, Ireland. Электронная почта: datarequest@datarep.com (укажите «EXITO Media LLC» в теме письма). Онлайн-форма: datarep.com/data-request (откроется в новой вкладке). У него также есть адрес в каждой другой стране ЕС и ЕЭЗ: все адреса.

Деятельность

Предоставление Сервиса Заказчику согласно Условиям.

Роль

Обработчик (модуль 2 СДП) или субобработчик (модуль 3 СДП).

Подпись и дата

Как для экспортера данных.

B. Описание обработки

Категории субъектов данных

• Пользователи. Владелец и участники организации Заказчика, а также любые другие лица, которым Заказчик предоставляет аккаунт.
• Участники переписки. Лица, которые отправляют письма Пользователям или получают письма от них.
• Контакты. Лица, чьи данные Пользователи сохраняют в контактах, письмах или файлах.
• Получатели файлов через Transfer и общий доступ. Лица, которые получают от Пользователей ссылки Exito Transfer или ссылки общего доступа Exito Vault, а также лица, которые загружают файлы Пользователям по ссылкам «Запрос файлов».
• Лица, упомянутые в содержимом. Все лица, названные или описанные в письмах, файлах или передачах.

Категории персональных данных

• Письма. Содержимое и вложения писем, темы, адреса отправителей и получателей, заголовки, включая IP-адреса отправляющих серверов, даты, папки, пометки и поисковые индексы.
• Контакты. Имена, адреса электронной почты и другие данные, сохраняемые Пользователями.
• Exito Vault. Файлы и папки, их названия, размеры и типы, а также ссылки для общего доступа и их настройки.
• Exito Transfer. Файлы, их названия и размеры, адреса электронной почты получателей, сообщения получателям, настройки ссылок и события скачивания (уведомления о скачивании).
• Данные аккаунта. Имена, адреса электронной почты и псевдонимы, резервный адрес электронной почты, роли и членство в организации, настройки и данные аутентификации (хеши паролей и секреты двухфакторной аутентификации).
• Журналы. IP-адреса, сведения о браузерах и клиентах, временные метки, события входа, журналы запросов и доставки почты, а также журнал аудита административных действий.
• Данные доменов. Имена собственных доменов, записи DNS и статус проверки, ключи DKIM, а также любые учётные данные поставщика DNS, которые Заказчик решит предоставить для автоматической настройки.

Конфиденциальные данные

Мы не запрашиваем и не намерены обрабатывать специальные категории персональных данных. Тем не менее Заказчик и его Пользователи могут включать такие данные в письма, файлы или передачи. Всё содержимое защищается одинаковыми мерами (Приложение II): ограничением доступа персонала, использованием TLS при передаче, шифрованием данных при хранении в объектном хранилище и отсутствием анализа содержимого, кроме автоматизированной фильтрации спама и вредоносных программ и индексирования для поиска.

Периодичность передачи

Непрерывно, пока Заказчик использует Сервис.

Характер обработки

Размещение, хранение, передача, получение и доставка писем, фильтрация спама и вредоносных программ, индексирование для поиска, резервное копирование, восстановление, удаление, а также связанная с этим поддержка и администрирование.

Цель обработки

Предоставление, обслуживание, защита и поддержка Сервиса для Заказчика в соответствии с его указаниями.

Срок хранения

Как указано в таблице ниже.

Передача Субобработчикам

Субобработчикам, перечисленным в Приложении III, в отношении предмета, характера и продолжительности обработки, описанных там и в настоящем Приложении.

C. Компетентный надзорный орган

Надзорный орган, определённый в соответствии с положением 13 СДП, как указано в разделе 8. Поскольку у нас нет учреждения в ЕС, у нас нет собственного ведущего надзорного органа.

Ниже приведены технические и организационные меры, которые мы принимаем согласно статье 32 GDPR и положению 8.6 СДП. Наша программа безопасности разработана на основе ISO/IEC 27001:2022 и ISO/IEC 27701; она не сертифицирована. Ссылки показывают, какие меры контроля из Приложения A к ISO/IEC 27001:2022 поддерживаются каждой мерой. Мы пересматриваем эти меры не реже одного раза в год, а также после существенных изменений или инцидентов.

A.5 Организационные меры контроля

A.6 Меры контроля в отношении персонала

A.7 Физические меры контроля

A.8 Технологические меры контроля

Меры содействия Заказчику

• Инструменты самообслуживания для доступа к данным, их экспорта, исправления и удаления (раздел 9).
• Уведомление о нарушении безопасности без неоправданной задержки и в течение 72 часов с момента, когда нам стало о нём известно (раздел 11).
• Документация для оценки воздействия и аудитов (раздел 10 и раздел 13).

Меры Субобработчиков

Каждый Субобработчик обязан применять к осуществляемой им обработке меры, обеспечивающие как минимум уровень защиты, описанный в настоящем Приложении, как предусмотрено нашим письменным договором с ним (раздел 7).

Заказчик разрешает привлечение следующих Субобработчиков. Тот же перечень с учётом всех объявленных изменений опубликован на нашей странице «Субобработчики». Изменения вносятся в порядке, предусмотренном разделом 7.