Соглашение об обработке данных (DPA) — FrameCRM

1. Стороны и заключение

Контролёр: Клиент, оформивший Подписку на FrameCRM (далее — «Контролёр»).

Обработчик: Pavlo Okhmak, индивидуальный предприниматель (физическое лицо, осуществляющее предпринимательскую деятельность), зарегистрированный в Торговом реестре Чешской Республики, идентификационный номер (IČO) 29485941, местонахождение (место осуществления деятельности) Bezručova 4201, 430 03 Chomutov, Чешская Республика, не является плательщиком НДС (далее — «Обработчик»).

Настоящее Соглашение об обработке данных (далее — «Соглашение» или «DPA») является частью Условий предоставления услуг. Контролёр принимает его, подтверждая согласие при регистрации в FrameCRM; подпись не требуется. Соглашение отвечает требованию о наличии договора согласно ст. 28(3) Регламента (ЕС) 2016/679 (GDPR).

Обязательной является чешская редакция настоящего Соглашения; настоящий русский текст является переводом и предоставляется исключительно в информационных целях, а в случае расхождений преимущественную силу имеет чешская редакция. В вопросах защиты персональных данных Соглашение имеет приоритет перед Условиями предоставления услуг.

2. Предмет, срок, характер и цель обработки

Предмет: обработка персональных данных, которые Контролёр или его пользователи вносят в FrameCRM.
Срок: в течение срока действия Подписки и после него до удаления данных в соответствии со статьёй 10.
Характер обработки: сбор (включая запросы и записи с веб-сайта Контролёра или из формы онлайн-записи, если они используются), хранение, систематизация, отображение, поиск, изменение, экспорт, подготовка напоминаний и сообщений, которые пользователи Контролёра сами отправляют клиентам (например, по ссылке WhatsApp), уведомления для пользователей Контролёра (через Telegram, если это включено Контролёром), выставление документов, например счетов, резервное копирование и удаление.
Цель: предоставление сервиса FrameCRM — учёт клиентов Контролёра, автомобилей, заказов, календаря, напоминаний, отзывов, счетов, склада, расчёта заработной платы и статистики.

3. Категории субъектов данных и персональных данных

Субъекты данных: клиенты и потенциальные клиенты Контролёра, их контактные лица, сотрудники и другие пользователи Контролёра.

Категории данных:

идентификационные и контактные данные (имя, телефон, адрес электронной почты, адрес);
данные об автомобиле (марка, модель, регистрационный номер, VIN, показания одометра);
история заказов, записи на приём, цены и записи о платежах, заметки;
данные для выставления счетов (наименование плательщика, адрес, идентификационный номер / номер плательщика НДС);
фотографии (преимущественно автомобилей), которые могут содержать и иные персональные данные;
переписка с клиентами и отзывы;
данные о пользователях Контролёра (имя, адрес электронной почты, телефон, роль, записи о входах, журнал действий), а если Контролёр использует расчёт заработной платы, — также правила оплаты их труда, начисления и выплаты.

Обработка специальных категорий данных (ст. 9 GDPR) или данных о судимостях не предполагается; Контролёр не вносит такие данные в FrameCRM.

4. Обязанности Контролёра

Контролёр несёт ответственность за наличие правового основания для обработки, надлежащее информирование субъектов данных, точность вносимых данных и соответствие своих указаний Обработчику законодательству. Контролёр обеспечивает защиту учётных данных своих пользователей.

5. Обязанности Обработчика

Обработчик:

обрабатывает персональные данные только по документально оформленным указаниям Контролёра — такими указаниями считаются Условия предоставления услуг, настоящее Соглашение, а также настройки и действия Контролёра в приложении, — в том числе в отношении передачи данных в третьи страны; он незамедлительно уведомит Контролёра, если сочтёт какое-либо указание незаконным;
обеспечивает, чтобы лица, уполномоченные на обработку данных, приняли на себя обязательство о соблюдении конфиденциальности;
принимает технические и организационные меры в соответствии со ст. 32 GDPR (статья 7);
соблюдает условия привлечения субобработчиков (статья 6);
оказывает Контролёру содействие в ответах на запросы субъектов данных — в частности, с помощью функций приложения для поиска, исправления, экспорта и удаления данных;
оказывает Контролёру содействие в выполнении его обязанностей согласно ст. 32–36 GDPR с учётом характера обработки и доступной информации;
удаляет или возвращает данные после прекращения оказания услуги (статья 10);
предоставляет Контролёру информацию, необходимую для подтверждения соблюдения обязанностей, и допускает проведение аудитов (статья 11);
не использует данные Контролёра в собственных целях.

6. Субобработчики

Контролёр даёт общее разрешение на привлечение субобработчиков. На дату вступления в силу настоящего Соглашения ими являются:

Субобработчик	Деятельность	Местонахождение / гарантии
Cloudflare, Inc.	Работа приложения (Workers), CDN, защита от атак	Глобальная сеть — DPF, стандартные договорные условия
Supabase, Inc.	База данных (PostgreSQL) и хранилище файлов	Данные хранятся в ЕС (Франкфурт, Германия) — стандартные договорные условия
Resend	Отправка служебных электронных писем пользователям Контролёра (например, подтверждение регистрации, уведомления о платежах)	США — стандартные договорные условия
Telegram	Уведомления для пользователей Контролёра (только если это включено Контролёром)	За пределами ЕС — использование необязательно
Google	Maps/Places для поиска адресов и рейтингов (по желанию)	Google Ireland Ltd. — DPF, стандартные договорные условия

Платежи за Подписку обрабатываются Stripe; однако Stripe не обрабатывает персональные данные клиентов Контролёра.

Сообщения клиентам через WhatsApp отправляют пользователи Контролёра из собственного приложения WhatsApp (ссылка click-to-chat); поэтому WhatsApp (Meta) не является субобработчиком Обработчика, а использование WhatsApp Контролёром регулируется его собственными отношениями с Meta. При расшифровке VIN пользователем в бесплатную публичную базу данных NHTSA vPIC (Министерство транспорта США) для определения марки и модели передаётся только VIN (без каких-либо иных данных); адреса студий могут определяться с помощью OpenStreetMap (Nominatim).

Обработчик уведомит Контролёра по электронной почте не менее чем за 14 дней о любом планируемом добавлении или замене субобработчика. Контролёр вправе заявить возражение по обоснованным причинам, связанным с защитой данных; если стороны не найдут решения, Контролёр вправе отменить Подписку с даты такого изменения. Обработчик возлагает на своих субобработчиков те же обязанности по защите данных и несёт ответственность за их исполнение.

Передача данных в третьи страны осуществляется только при наличии гарантий согласно главе V GDPR (решения о достаточности уровня защиты, стандартные договорные условия).

7. Технические и организационные меры

шифрование при передаче (HTTPS/TLS) и шифрование хранимых данных на стороне поставщика базы данных;
вход по паролям или одноразовым ссылкам для входа (с ограниченным сроком действия), защищённые сеансы, роли и права пользователей в рамках учётной записи;
логическое разделение данных каждого клиента;
доступ Обработчика к рабочим данным только в необходимом объёме (поддержка, устранение неполадок), защищённый надёжной аутентификацией;
регулярное резервное копирование на стороне поставщика базы данных с возможностью восстановления;
постоянное обновление программного обеспечения и зависимостей, хранение секретов вне исходного кода;
журналы операций и событий безопасности;
минимизация данных — персональные данные клиентов не передаются в аналитику;
порядок реагирования на инциденты безопасности.

8. Нарушения безопасности персональных данных

Обработчик уведомит Контролёра о нарушении безопасности персональных данных без неоправданной задержки, но не позднее чем через 48 часов после того, как ему стало о нём известно. Уведомление содержит доступную Обработчику информацию согласно ст. 33(3) GDPR и дополняется по мере поступления новых сведений. Обработчик примет разумные меры для смягчения последствий.

9. Запросы субъектов данных

Если Обработчик получит от субъекта данных запрос, касающийся данных Контролёра, он без неоправданной задержки перешлёт его Контролёру и не будет отвечать на него самостоятельно, если Контролёр не уполномочит его на это.

10. Удаление и возврат данных

В течение срока действия Подписки Контролёр может в любое время экспортировать и удалять данные. После прекращения Подписки Обработчик хранит данные в течение 90 дней, в течение которых Контролёр может запросить их в машиночитаемом формате. Затем Обработчик безвозвратно удаляет данные; копии в резервных копиях удаляются в рамках ротации резервных копий не позднее чем через 30 дней. Это не применяется, если хранение данных требуется по закону.

11. Информация и аудиты

По запросу Обработчик предоставит Контролёру информацию, необходимую для подтверждения соблюдения ст. 28 GDPR, как правило, в форме письменных ответов и документации. Контролёр или уполномоченный им аудитор, связанный обязательством о конфиденциальности, вправе провести аудит или проверку на месте, предварительно уведомив об этом не менее чем за 30 дней, не чаще одного раза в год (за исключением расследования нарушения безопасности персональных данных или требования надзорного органа), за счёт Контролёра.

12. Ответственность и заключительные положения

Ответственность сторон регулируется ст. 82 GDPR, а в остальном — Условиями предоставления услуг. Настоящее Соглашение действует до тех пор, пока Обработчик обрабатывает данные Контролёра. Оно регулируется законодательством Чешской Республики.

Контакт по вопросам защиты данных: info@frame-webs.com.