Соглашение об обработке данных (DPA)

1. Вступление

1.1. Настоящее Соглашение об обработке данных (далее — «DPA») является приложением к Публичной оферте и регулирует обработку персональных данных, осуществляемую ФЛП Вдовин Андрей Васильевич (далее — «Обработчик») от имени Заказчика (далее — «Контролер») при предоставлении услуги Автофикс.

1.2. Настоящее DPA применяется исключительно к услуге Автофикс, при которой браузер посетителя Веб-сайта Заказчика обращается к серверу Обработчика за файлом исправлений.

2. Определения

• Персональные данные — любая информация, касающаяся идентифицированного или идентифицируемого физического лица.
• Обработка — любая операция с персональными данными.
• Контролер — Заказчик, определяющий цели и средства обработки персональных данных посетителей своего Веб-сайта.
• Обработчик — InclusiveWeb (ФЛП Вдовин А.В.), обрабатывающий данные от имени Контролера.
• Субобработчик — третье лицо, привлеченное Обработчиком для обработки данных.

3. Предмет обработки

3.1. Что обрабатывается

При предоставлении услуги Автофикс сервер Обработчика получает и обрабатывает:

• Запросы браузера посетителя к серверу Обработчика за файлом исправлений (IP-адрес, User-Agent, идентификатор Веб-сайта)
• Правила исправлений, сформированные по результатам Аудита Веб-сайта Заказчика

3.2. Что НЕ обрабатывается

3.3. Характер обработки

• Обработка на стороне браузера — исправления применяются к странице в браузере посетителя. Обработчик не получает и не обрабатывает HTML Веб-сайта Заказчика.
• Транзитная обработка — Обработчик отдает браузеру файл исправлений. HTTP-трафик Веб-сайта через серверы Обработчика не проходит, содержимое страниц не получается и не сохраняется.
• Цель обработки — исключительно применение исправлений доступности, подтвержденных Заказчиком по результатам Аудита.

4. Категории данных и субъектов

4.1. Категории персональных данных

*Хеши URL хранятся для выявления изменений на страницах (не сами URL).

4.2. Субъекты данных

Посетители Веб-сайта Заказчика, браузер которых загружает файл исправлений с сервера Обработчика.

5. Обязательства Обработчика

Обработчик обязуется:

• 5.1. Обрабатывать данные исключительно для предоставления услуги Автофикс и в соответствии с инструкциями Контролера.
• 5.2. Не хранить контент страниц или персональные данные посетителей.

5.3. Обеспечить технические и организационные меры защиты:

• Шифрование при передаче (HTTPS/TLS)
• Ограниченный доступ к инфраструктуре
• Обработка на стороне браузера — содержимое страниц не передается
• Принцип fail-open (при ошибке — оригинальная страница)

• 5.4. Незамедлительно уведомить Контролера о любом инциденте безопасности, касающемся данных.
• 5.5. После прекращения услуги удалить все правила исправлений и конфигурацию Веб-сайта в течение 30 дней.
• 5.6. Предоставлять Контролеру информацию, необходимую для подтверждения соответствия.

6. Субобработчики

6.1. Перечень субобработчиков

Платежные провайдеры не являются субобработчиками по настоящему DPA, поскольку не обрабатывают данные посетителей Веб-сайта Заказчика. Они обрабатывают платежные данные самого Заказчика в соответствии с разделом 7 Политики конфиденциальности: АО «Универсал Банк» (monobank) — обработка платежей в гривнах; Creem (creem.io) — обработка платежей в долларах США, налогов и возвратов средств в качестве Merchant of Record.

6.2. Изменение субобработчиков

Обработчик уведомит Контролера об изменении субобработчиков за 30 дней до внедрения. Контролер может возразить в течение 14 дней.

7. Права субъектов данных

7.1. Поскольку Обработчик не хранит персональные данные посетителей, запросы субъектов данных (доступ, удаление, ограничение) направляются Контролеру.

7.2. Обработчик будет содействовать Контролеру в выполнении таких запросов в пределах технических возможностей.

8. Инциденты безопасности

8.1. Обработчик уведомит Контролера об инциденте безопасности в течение 72 часов с момента его обнаружения.

8.2. Уведомление будет включать:

• Характер инцидента
• Категории и объем данных
• Принятые меры

9. Срок действия

9.1. Настоящее DPA действует в течение всего срока предоставления услуги Автофикс.

9.2. После прекращения услуги Обработчик удаляет все данные конфигурации в течение 30 дней.

10. Применимое право

Настоящее DPA регулируется законодательством Украины, в частности Законом Украины «О защите персональных данных».

Контактная информация

По вопросам обработки данных: