Правовая информация
Поручение на обработку данных Платформой gro.now (b2b)
Редакция v.1.1 от 28.11.2025
1. Вводная часть
1.1.
Настоящее Поручение на обработку данных платформой gro.now (далее – «Поручение» или «DPA») заключено между:
(i) ТОО «Pwron», БИН 241040012133, адрес: Республика Казахстан, г. Алматы, Бостандыкский район, ул. Сатпаева, д. 90/54, кв. 5, индекс 050000; сайт: https://gro.now/ (далее – «Обработчик»),
И
(ii) Клиентом, заключившим с Обработчиком Пользовательское соглашение для клиентов Платформы gro.now см. https://www.gro.now/legal/terms (далее – «Пользовательское соглашение» или «ПС»), являющимся Оператором (Контролером) персональных данных в смысле применимого законодательства (далее – совместно именуемые «Стороны»).
(i) ТОО «Pwron», БИН 241040012133, адрес: Республика Казахстан, г. Алматы, Бостандыкский район, ул. Сатпаева, д. 90/54, кв. 5, индекс 050000; сайт: https://gro.now/ (далее – «Обработчик»),
И
(ii) Клиентом, заключившим с Обработчиком Пользовательское соглашение для клиентов Платформы gro.now см. https://www.gro.now/legal/terms (далее – «Пользовательское соглашение» или «ПС»), являющимся Оператором (Контролером) персональных данных в смысле применимого законодательства (далее – совместно именуемые «Стороны»).
1.2.
Настоящее Поручение регулирует отношения Сторон, возникающие при обработке Обработчиком персональных данных, переданных ему Клиентом или полученных от субъектов данных по поручению Клиента, в рамках исполнения Основного договора.
1.3.
Настоящее Поручение является неотъемлемой частью Пользовательского соглашения и подлежит толкованию совместно с ним, а также с иными внутренними документами Обработчика, регулирующими использование платформы gro.now, включая:
- Общую политику обработки персональных данных https://www.gro.now/legal/general-privacy-policy;
- Политику обработки персональных данных респондентов (https://www.gro.now/legal/privacy-policy) – самостоятельный документ, регулирующий обработку персональных данных лиц, участвующих в опросах, тестах, исследованиях и иных активностях, организованных Клиентами на платформе;
- Политику обработку cookies https://gro.now/legal/cookie-policy.
- Соглашение об уровне сервисного обслуживания (SLA) https://www.gro.now/legal/sla;
- Правила проведения Опросов и Активностей для b2b-клиентов Платформы (https://gro.now/legal/activity-rules) – документ, регулирующий порядок проведения Опросов и иных Активностей Клиентами на Платформе;
- Правила допустимого использования (AUP) https://www.gro.now/legal/acceptable-use-policy.
1.4.
В случае противоречия между условиями настоящего Поручения и условиями иных документов, в части, касающейся обработки персональных данных, преимущественную силу имеет настоящее Поручение.
1.5.
Применимым законодательством для целей настоящего Поручения является законодательство Республики Казахстан, если иное прямо не предусмотрено Основным договором.
2. Термины и роли
2.1. Платформа
Платформа – программно-аппаратный комплекс gro.now, включая веб-интерфейсы мобильные приложения (арр), бэкенд-сервисы, модули аналитики на базе ИИ, коннекторы данных, SDK и (при наличии) API, а также относящуюся к ним документацию.
2.2. Оператор / Контролер
Оператор / Контролер – Клиент, который самостоятельно определяет цели и (или) содержание обработки персональных данных и предоставляет Обработчику инструкции по их обработке в рамках Основного договора.
2.3. Обработчик
Обработчик – ТОО «Pwron», владелец Платформы, обрабатывающий персональные данные инструкциям Оператора (Контролера) и в его интересах.
2.4. Субобработчик
Субобработчик – третье лицо, привлекаемое Обработчиком для выполнения отдельных операций обработки персональных данных от имени Обработчика и на условиях, обеспечивающих уровень защиты не ниже, чем по настоящему Поручению.
2.5. Персональные данные (ПДн)
Персональные данные (ПДн) – любая информация, относящаяся к прямо или косвенно определяемому физическому лицу (Субъекту данных), включая, но не ограничиваясь: идентификационными данными, контактными данными, данными об использовании сервиса, техническими идентификаторами, ответами респондентов и иными категориями, описываемыми в Приложении 1.
2.6. Обработка
Обработка – любое действие (операция) или набор действий с ПДн, включая сбор, запись, систематизацию, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
2.7. Субъект данных
Субъект данных – физическое лицо, к которому относятся ПДн (включая сотрудников и представителей Клиента, респондентов, пользователей интеграций и иных лиц, как указано в Приложении 1).
2.8. Активность
Активность – любой сценарий участия Респондентов на Платформе gro.now, проводимый по поручению Оператора или Обработчиком самостоятельно, включая, но не ограничиваясь: электронные Опросы, иные исследования, тесты, конкурсы, розыгрыши, игры, реферальные механики и иные формы взаимодействия.
2.9. Респондент
Респондент – физическое лицо, участвующее в Активности и предоставляющее свои персональные данные в процессе участия.
2.10. Инструкции Оператора
Инструкции Оператора – документированные (включая электронные) указания Оператора Обработчику относительно целей, категорий ПДн, операций обработки, сроков хранения, передачи, удаления и иных параметров. Инструкции могут содержаться в Основном договоре, настройках аккаунта/проекта в gro.now, заявках на поддержку, интеграционных спецификациях и иных письменных коммуникациях.
2.11. Инцидент безопасности (Нарушение безопасности ПДн)
Инцидент безопасности (Нарушение безопасности ПДн) – событие, повлекшее или способное повлечь случайное или незаконное уничтожение, утрату, изменение, несанкционированное раскрытие или доступ к ПДн, обрабатываемым Обработчиком.
2.12. Технические и организационные меры (ТОМs)
Технические и организационные меры (ТОМs) — совокупность мер защиты ПДн, применяемых Обработчиком и перечисленных в Приложении 2 либо в отдельном соглашении с Оператором.
2.13. Трансграничная передача
Трансграничная передача — передача ПДн на территорию иностранного государства, на серверы или третьим лицам, находящимся вне юрисдикции, определенной Основным договором, а также удаленный доступ к ПДн из такой юрисдикции.
2.14. Применимое право
Применимое право – законодательство, подлежащее применению к отношениям Сторон по настоящему Поручению, как определено в разделе 1 и Пользовательском соглашении, включая локальные требования РК и иные обязательные нормы при трансграничной обработке.
2.15. Конфиденциальная информация
Конфиденциальная информация – любая информация Стороны, явно обозначенная как конфиденциальная или считающаяся таковой по своей природе (включая ПДн), раскрытая другой Стороне в связи с настоящим Поручением.
2.16. Агрегированные/обезличенные данные
Агрегированные/обезличенные данные – данные, обработанные таким образом, что Субъект данных не идентифицируется и не является идентифицируемым, при условии соблюдения процедур обезличивания; такие данные не считаются ПДн.
2.17. Роли и их разграничение.
a) Обработчик действует исключительно как обработчик по отношению к ПДн, обрабатываемым по Инструкциям Оператора;
b) В части ПДн, которые Обработчик обрабатывает для собственных целей (например, бухгалтерский учет, безопасность инфраструктуры, анти-фрод), Обработчик выступает самостоятельным оператором/контролером – такие обработки регулируются Политикой конфиденциальности и не покрываются настоящим Поручением.
c) В части данных, получаемых из внешних источников и интеграций (например, аккаунты SSO, календарные слоты, трекеры), роль Обработчика определяется Инструкциями Оператора и описанием в Приложении 1; при наличии собственных целей провайдеров интеграций последние выступают самостоятельными операторами.
b) В части ПДн, которые Обработчик обрабатывает для собственных целей (например, бухгалтерский учет, безопасность инфраструктуры, анти-фрод), Обработчик выступает самостоятельным оператором/контролером – такие обработки регулируются Политикой конфиденциальности и не покрываются настоящим Поручением.
c) В части данных, получаемых из внешних источников и интеграций (например, аккаунты SSO, календарные слоты, трекеры), роль Обработчика определяется Инструкциями Оператора и описанием в Приложении 1; при наличии собственных целей провайдеров интеграций последние выступают самостоятельными операторами.
3. Предмет DPA и инструкции Клиента
3.1.
Настоящее Поручение определяет условия и порядок обработки Обработчиком персональных данных, переданных ему Оператором или собранных Обработчиком по поручению Оператора в ходе предоставления сервисов Платформы, включая проведение и поддержку Активностей.
3.2.
Обработка осуществляется исключительно в объеме и целях, определенных Оператором и документированных в:
- (i) Пользовательском соглашении и его приложениях;
- (ii) настройках аккаунта/проекта, конфигурациях Активностей и форм на платформе gro.now;
- (iii) технических спецификациях интеграций и API;
- (iv) письменных/электронных Инструкциях Оператора, переданных через интерфейс платформы или официальные каналы связи.
3.3. Обработчик обязуется:
- (i) обрабатывать ПДн только по Инструкциям Оператора, кроме случаев обязательной обработки по закону;
- (ii) не использовать ПДн в собственных целях, не связанных с исполнением поручения Оператора;
- (iii) не раскрывать/не передавать ПДн третьим лицам, за исключением случаев, прямо предусмотренных DPA, Основным договором или законом;
- (iv) применять соответствующие ТОМs (см. Приложение 2 либо отдельное соглашение с Оператором).
3.4.
Если Инструкция Оператора, по разумному мнению Обработчика, противоречит применимому праву о ПДн, Обработчик незамедлительно уведомляет Оператора и приостанавливает исполнение такой Инструкции до уточнения.
3.5.
Когда Оператор поручает Обработчику сбор ПДн непосредственно у Респондентов (через формы и иные механики Активностей), Обработчик действует как технический посредник, обеспечивающий инфраструктуру для сбора, хранения, маршрутизации и визуализации данных по поручению Оператора. При этом Оператор обязан:
(i) определить цели и правовые основания обработки Респондентов;
(ii) обеспечить надлежащее информирование Респондентов и содержание уведомлений;
(iii) использовать тексты и механики согласий/уведомлений, согласованные с Политикой обработки персональных данных Респондентов.
(i) определить цели и правовые основания обработки Респондентов;
(ii) обеспечить надлежащее информирование Респондентов и содержание уведомлений;
(iii) использовать тексты и механики согласий/уведомлений, согласованные с Политикой обработки персональных данных Респондентов.
3.6.
Платформа gro.now может включать автоматизированные функции (аналитика, статистика, визуализация, контроль целостности и др.), использование которых поручается Обработчику исключительно для выполнения Инструкций Оператора и без расширения целей обработки. Отдельно от этого Обработчик может осуществлять собственные анти-фрод и иные функции безопасности инфраструктуры как самостоятельный оператор/контролер в объёме, описанном в Политике конфиденциальности, что не покрывается настоящим DPA.
3.7.
Обработчик вправе полагаться на Инструкции, зафиксированные в электронных логах платформы, настройках Активностей, параметрах интеграций и переписке через официальные каналы, как на действительные письменные Инструкции Оператора.
3.8.
Самостоятельные Активности Обработчика. Если Обработчик проводит Активность самостоятельно (не по поручению Оператора) для собственных целей, Обработчик выступает самостоятельным оператором/контролером; такая обработка не покрывается настоящим DPA и регулируется Политикой конфиденциальности и Политикой обработки персональных данных Респондентов. В рамках настоящего DPA Обработчик не осуществляет собственных целей при обработке ПДн Респондентов по поручению Оператора.
4. Категории данных и субъектов
4.1.
Обработчик осуществляет обработку персональных данных, переданных Оператором или собранных по его поручению, в отношении следующих категорий субъектов данных:
- a) Респонденты – физические лица, участвующие в Активностях, проводимых на Платформе;
- b) Сотрудники и представители Оператора – лица, имеющие доступ к платформе и участвующие в управлении Активностями или обработке данных;
- c) Пользователи интеграций и внешних сервисов (например, системы аналитики, CRM, рассылок), если данные таких пользователей передаются или синхронизируются с gro.now;
- d) Иные лица, чьи персональные данные могут быть включены в результаты Активностей или переданы Оператором Обработчику (например, клиенты, партнеры, участники программ лояльности).
4.2. Категории персональных данных,
Категории персональных данных, обрабатываемых в рамках исполнения настоящего Поручения, могут включать:
a) Идентификационные данные (имя, фамилия, никнейм, ID в системе, учетная запись, e-mail, номер телефона и т. д.);
b) Контактные данные (почтовый адрес, страна, часовой пояс, язык интерфейса и др.);
c) Ответы и контент Респондентов, предоставленные ими в рамках Активностей (например, текстовые, числовые, аудио- или визуальные данные, прикрепленные файлы);
d) Технические данные (IP-адреса, идентификаторы устройств, данные cookie и SDK, лог-данные, данные браузера, источник перехода, дата и время активности);
e) Метаданные об использовании платформы, включая историю входов, действий и изменений в проектах;
f) Данные сотрудников и представителей Оператора, переданные для целей регистрации, аутентификации, администрирования и поддержки аккаунта;
g) Иные категории данных, определенные в Приложении 1 и Инструкциях Оператора.
a) Идентификационные данные (имя, фамилия, никнейм, ID в системе, учетная запись, e-mail, номер телефона и т. д.);
b) Контактные данные (почтовый адрес, страна, часовой пояс, язык интерфейса и др.);
c) Ответы и контент Респондентов, предоставленные ими в рамках Активностей (например, текстовые, числовые, аудио- или визуальные данные, прикрепленные файлы);
d) Технические данные (IP-адреса, идентификаторы устройств, данные cookie и SDK, лог-данные, данные браузера, источник перехода, дата и время активности);
e) Метаданные об использовании платформы, включая историю входов, действий и изменений в проектах;
f) Данные сотрудников и представителей Оператора, переданные для целей регистрации, аутентификации, администрирования и поддержки аккаунта;
g) Иные категории данных, определенные в Приложении 1 и Инструкциях Оператора.
4.3.
В отношении данных, собираемых у Респондентов напрямую, Обработчик действует как технический посредник и не определяет содержание или законность передаваемых данных. Ответственность за законность целей, полноту и актуальность таких данных несет Оператор.
4.4.
Оператор обязан не передавать Обработчику персональные данные, относящиеся к специальным категориям (биометрические, генетические, сведения о здоровье, политических взглядах, религиозных убеждениях и др.), если их обработка не предусмотрена Основным договором или отдельным письменным согласием Обработчика.
4.5.
Обработчик имеет право анонимизировать или агрегировать персональные данные в целях тестирования, анализа производительности и улучшения качества сервисов, при условии, что такие данные не позволяют идентифицировать конкретного субъекта данных.
4.6.
Перечень и описание категорий персональных данных, а также соответствующих субъектов данных и целей обработки приведены в Приложении 1 к настоящему Поручению.
5. Правовые основания на стороне Клиента
5.1. Ответственность Оператора.
Оператор подтверждает и гарантирует, что обладает всеми необходимыми правовыми основаниями для поручения обработки персональных данных Обработчику (договор, закон, согласие, легитимный интерес и т. п.), включая обработку данных Респондентов в рамках Активностей.
5.2. Информирование субъектов.
Оператор обеспечивает надлежащее и своевременное информирование Респондентов и иных субъектов данных о целях, объеме, сроках, получателях, трансграничной передаче, правах субъектов и роли Обработчика как процессора. При использовании материалов Обработчика (шаблоны баннеров/уведомлений) Оператор отвечает за их актуальность и соответствие конкретной Активности.
5.3. Согласия (где применимо).
Если правовым основанием является согласие, Оператор:
a) получает свободное, конкретное, информированное и однозначное согласие;
b) документирует факт получения и возможность отзыва;
c) обеспечивает, чтобы текст согласия согласовывался с Политикой обработки персональных данных Респондентов и условиями конкретной Активности.
a) получает свободное, конкретное, информированное и однозначное согласие;
b) документирует факт получения и возможность отзыва;
c) обеспечивает, чтобы текст согласия согласовывался с Политикой обработки персональных данных Респондентов и условиями конкретной Активности.
5.4. Специальные категории и «деликатные» данные.
Передача Обработчику специальных категорий данных (например, сведения о здоровье, биометрия) допускается только при наличии соответствующего основания и предварительного письменного согласования с Обработчиком. Оператор обязуется не передавать такие данные по умолчанию.
5.5. Несовершеннолетние.
Если Активность предполагает участие несовершеннолетних, Оператор подтверждает наличие необходимых правовых оснований и дополнительных уведомлений/согласий законных представителей, а также корректной верификации возраста (age-gating), если это требуется.
5.6. Интеграции и сторонние источники.
При подключении интеграций (например, SSO-провайдеры, календарные/коммуникационные сервисы, CRM, аналитика) Оператор обеспечивает наличие правового основания для передачи данных в gro.now и надлежащее уведомление субъектов о таких передачах и получателях.
5.7. Трансграничная передача.
Оператор подтверждает законность трансграничной передачи ПДн (включая размещение/доступ за пределами юрисдикции Оператора) и, при необходимости, применение соответствующих правовых механизмов (договорные оговорки/стандартные положения/иные инструменты), с учетом требований применимого права.
5.8. Минимизация и актуальность.
Оператор обязуется передавать Обработчику только минимально необходимый объем ПДн, обеспечивать их точность и актуальность, а также устранять избыточные или ошибочные данные.
5.9. Законность контента Активностей.
Оператор несет ответственность за законность содержания Активностей, формул и вопросов, а также за недопущение запроса у Респондентов чрезмерных или запрещенных категорий данных.
5.10. Документирование и DPIA.
Оператор ведет необходимые записи об обработке, при необходимости проводит оценку воздействия (DPIA) и обеспечивает выполнение иных обязанностей контролера по применимому праву.
5.11. Запросы субъектов и органов.
Оператор принимает и валидирует исходные запросы субъектов и государственных органов и направляет Обработчику только валидные и релевантные поручения, необходимые для исполнения таких запросов в части, относящейся к Обработчику.
5.12. Отсутствие перекладывания обязанностей.
Ничто в настоящем Поручении не рассматривается как передача Обработчику обязанностей Оператора по выбору правового основания, информированию, получению согласий, оценке правомерности Активностей или содержания запросов к Респондентам.
6. Место и режим обработки. Трансграничная передача
6.1. Места обработки.
Обработка ПДн по настоящему Поручению осуществляется Обработчиком и/или его Субобработчиками в дата-центрах и локациях, указанных в Приложении 1 (описание обработки) и Приложении 3 (перечень Субобработчиков). Фактические локации могут включать территорию Республики Казахстан и иные юрисдикции, если это необходимо для оказания сервисов платформы gro.now.
6.2. Удаленный доступ.
Предоставление удаленного доступа к ПДн из другой юрисдикции квалифицируется как трансграничная передача. Такой доступ допускается строго по принципу need-to-know и при соблюдении ТOMs (Приложение 2 либо отдельное соглашение с Оператором).
6.3. Триггеры трансграничной передачи.
Трансграничная передача (в т.ч. доступ) может происходить при:
a) хостинге и резервном копировании;
b) использовании облачных Субобработчиков (SaaS/PaaS/IaaS);
c) инцидентах, требующих эскалации/поддержки;
d) подключении интеграций по Инструкциям Оператора;
e) активации механизмов отказоустойчивости/DR.
6.4. Правовые механизмы.
Для каждой соответствующей передачи Обработчик обеспечивает наличие договорных гарантий и иных механизмов, допускаемых применимым правом (в т.ч. стандартные/модульные положения, дополнительные обязательства, оценка правоприменительной практики в принимающей стране), а Оператор – наличие правового основания передачи в отношении своих субъектов (разд. 5).
6.5. Ограничения локального права.
Если обязательные требования локального права Оператора предусматривают особые условия/запреты трансграничной передачи, Оператор:
a) уведомляет Обработчика до начала соответствующей обработки;
b) указывает необходимые ограничения в Инструкциях;
c) при необходимости – выбирает конфигурацию обработки без трансграничной передачи либо предоставляет дополнительные гарантии. Обработчик по возможности содействует с учетом технической реализуемости.
a) уведомляет Обработчика до начала соответствующей обработки;
b) указывает необходимые ограничения в Инструкциях;
c) при необходимости – выбирает конфигурацию обработки без трансграничной передачи либо предоставляет дополнительные гарантии. Обработчик по возможности содействует с учетом технической реализуемости.
6.6. Логирование и прозрачность.
Обработчик ведет внутренние записи об обработке и, по запросу Оператора, предоставляет обобщенную информацию о категориях передач (тип, цель, получатели/юрисдикции) в пределах разумной достаточности и без раскрытия конфиденциальных деталей безопасности.
6.7. Failover и Disaster Recovery.
При активации процедур отказоустойчивости и восстановления после аварий (DR) ПДн могут временно обрабатываться в альтернативной локации. Обработчик гарантирует, что такие локации и провайдеры включены в Приложение 3 либо им предоставляется эквивалентный уровень защиты и договорные гарантии, сопоставимые с основными окружениями.
6.8. Интеграции и внешние получатели.
При активации интеграций (SSO, календарные, коммуникационные, CRM, аналитика и т. п.) Оператор определяет географию и юридические условия передачи в соответствующие сервисы. Обработчик обеспечивает передачу/доступ в объеме Инструкций Оператора и информирует Оператора о роли таких провайдеров как самостоятельных операторов там, где у них есть собственные цели обработки.
6.9. Запросы государственных органов.
В случае получения обязательного запроса компетентного органа о доступе к ПДн Обработчик, если это не запрещено законом, незамедлительно уведомляет Оператора и ограничивает предоставление данных минимально необходимым объемом, документируя правовое основание раскрытия.
6.10. Запрет несанкционированного роутинга.
Обработчик не осуществляет трансграничную передачу ПДн в юрисдикции, не указанные в Приложениях 1, 3, без предварительного уведомления Оператора, за исключением случаев, когда такая передача прямо требуется законом или необходима для незамедлительного предотвращения/локализации Инцидента безопасности; в таком случае уведомление направляется без неоправданной задержки.
7. Технические и организационные меры (TOMs)
7.1. Общий принцип.
Обработчик применяет комплекс технических и организационных мер защиты (далее – TOMs) для обеспечения конфиденциальности, целостности, доступности и устойчивости персональных данных, обрабатываемых на Платформе, в соответствии с рисками и масштабом обработки.
7.2. Стандарты и управление безопасностью.
a) Система защиты ПДн Обработчика построена с учетом международных и национальных стандартов (в т.ч. ISO/IEC 27001, ISO/IEC 27018, NIST SP 800-53, и рекомендаций уполномоченных органов РК).
b) Обработчик внедряет политику информационной безопасности, включающую разграничение ролей, контроль доступа, управление инцидентами, резервное копирование и восстановление данных.
c) ТОМs распространяются на собственную инфраструктуру, а также на всех Субобработчиков, привлекаемых для выполнения операций обработки.
b) Обработчик внедряет политику информационной безопасности, включающую разграничение ролей, контроль доступа, управление инцидентами, резервное копирование и восстановление данных.
c) ТОМs распространяются на собственную инфраструктуру, а также на всех Субобработчиков, привлекаемых для выполнения операций обработки.
7.3. Контроль доступа.
a) Доступ сотрудников и подрядчиков Обработчика предоставляется строго по принципу "need-to-know".
b) Для всех административных учетных записей используется многофакторная аутентификация (MFA).
c) Все доступы логируются, а действия пользователей фиксируются в журналах событий, хранящихся в защищенной среде.
d) Доступы пересматриваются регулярно, а при увольнении или изменении роли немедленно отзываются.
b) Для всех административных учетных записей используется многофакторная аутентификация (MFA).
c) Все доступы логируются, а действия пользователей фиксируются в журналах событий, хранящихся в защищенной среде.
d) Доступы пересматриваются регулярно, а при увольнении или изменении роли немедленно отзываются.
7.4. Разделение сред и управление изменениями.
a) Производственная среда физически и логически изолирована от тестовой и девелоперской.
b) Все изменения в коде, инфраструктуре и конфигурациях проходят процедуру внутреннего согласования и тестирования, включая анализ безопасности.
c) Используются механизмы версионирования, отката и журналирования изменений.
b) Все изменения в коде, инфраструктуре и конфигурациях проходят процедуру внутреннего согласования и тестирования, включая анализ безопасности.
c) Используются механизмы версионирования, отката и журналирования изменений.
7.5. Мониторинг и обнаружение инцидентов.
a) Инфраструктура gro.now находится под мониторингом на предмет сбоев, попыток несанкционированного доступа и аномальной активности.
b) Система автоматического оповещения направляет уведомления ответственным специалистам при обнаружении критических событий.
c) Все инциденты классифицируются по степени влияния и документируются в соответствии с процедурой реагирования (раздел 9).
b) Система автоматического оповещения направляет уведомления ответственным специалистам при обнаружении критических событий.
c) Все инциденты классифицируются по степени влияния и документируются в соответствии с процедурой реагирования (раздел 9).
7.6. Резервное копирование и восстановление.
a) Периодическое резервное копирование выполняется с установленной периодичностью, обеспечивающей восстановление данных в случае аварий или потери.
b) Резервные копии хранятся в зашифрованном виде на отдельных носителях/в облачных средах с эквивалентным уровнем защиты.
c) Процедуры восстановления проверяются не реже одного раза в год.
b) Резервные копии хранятся в зашифрованном виде на отдельных носителях/в облачных средах с эквивалентным уровнем защиты.
c) Процедуры восстановления проверяются не реже одного раза в год.
7.7. Минимизация и ограничение хранения.
a) Обработчик обеспечивает минимизацию объема обрабатываемых данных и сроков хранения в соответствии с Инструкциями Оператора.
b) По истечении срока хранения данные удаляются или обезличиваются, включая копии в резервных хранилищах (по техвозможности), с документированием факта удаления.
b) По истечении срока хранения данные удаляются или обезличиваются, включая копии в резервных хранилищах (по техвозможности), с документированием факта удаления.
7.8. Физическая безопасность.
a) Дата-центры, используемые Обработчиком и Субобработчиками, сертифицированы и оснащены системами контроля доступа, видеонаблюдения, противопожарной защиты и резервного электропитания.
b) Физический доступ разрешен только уполномоченному персоналу.
b) Физический доступ разрешен только уполномоченному персоналу.
7.9. Управление уязвимостями и тестирование безопасности.
a) Обработчик регулярно выполняет сканирование уязвимостей и проводит внутренние тесты на проникновение.
b) Обнаруженные уязвимости устраняются в разумный срок в зависимости от критичности.
c) Оператор может запросить обобщенную информацию о проведении тестов и реализованных мерах (без раскрытия конфиденциальных деталей архитектуры).
b) Обнаруженные уязвимости устраняются в разумный срок в зависимости от критичности.
c) Оператор может запросить обобщенную информацию о проведении тестов и реализованных мерах (без раскрытия конфиденциальных деталей архитектуры).
7.10. Обучение персонала.
Сотрудники, допущенные к обработке ПДн, проходят обязательное обучение по информационной безопасности и конфиденциальности, включая правила обращения с данными, реагирование на инциденты и соблюдение процедур DPA.
7.11. Сертификаты и аудит.
a) Обработчик вправе подтверждать соблюдение мер безопасности внутренними или внешними аудитами.
b) По запросу Оператора Обработчик предоставляет актуальные сертификаты и/или подтверждения прохождения независимых проверок в разумных пределах.
b) По запросу Оператора Обработчик предоставляет актуальные сертификаты и/или подтверждения прохождения независимых проверок в разумных пределах.
7.12. Описание мер.
Детализированный перечень применяемых ТОМs приводится в Приложении 2 к настоящему Поручению либо отдельном соглашении с Оператором.
8. Субобработчики
8.1. Общее правило.
Обработчик вправе привлекать третьих лиц (Субобработчиков) для выполнения отдельных операций по обработке персональных данных от имени Оператора при условии, что такие лица обеспечивают уровень защиты персональных данных не ниже, чем установлен в настоящем Поручении.
8.2. Условия привлечения.
Перед привлечением Субобработчика Обработчик:
a) проводит оценку его надежности и соответствия требованиям безопасности и конфиденциальности;
b) заключает с ним договор, содержащий положения, эквивалентные обязательствам Обработчика по настоящему DPA;
c) обеспечивает включение таких лиц в актуальный перечень Субобработчиков (Annex III).
a) проводит оценку его надежности и соответствия требованиям безопасности и конфиденциальности;
b) заключает с ним договор, содержащий положения, эквивалентные обязательствам Обработчика по настоящему DPA;
c) обеспечивает включение таких лиц в актуальный перечень Субобработчиков (Annex III).
8.3. Категории Субобработчиков.
Обработчик может привлекать Субобработчиков для следующих категорий услуг:
a) хостинг и облачные инфраструктуры (data centers, CDN, резервное копирование);
b) аналитика, мониторинг и логирование событий;
c) системы авторизации, аутентификации и безопасности (включая SSO и MFA);
d) сервисы уведомлений, рассылок и коммуникаций;
e) техническая поддержка и аварийное восстановление (Disaster Recovery);
f) большие языковые модели;
g) интеграции, используемые по поручению Оператора (например, CRM, аналитика, маркетинг).
a) хостинг и облачные инфраструктуры (data centers, CDN, резервное копирование);
b) аналитика, мониторинг и логирование событий;
c) системы авторизации, аутентификации и безопасности (включая SSO и MFA);
d) сервисы уведомлений, рассылок и коммуникаций;
e) техническая поддержка и аварийное восстановление (Disaster Recovery);
f) большие языковые модели;
g) интеграции, используемые по поручению Оператора (например, CRM, аналитика, маркетинг).
8.4. Динамическое обновление списка.
- 8.4.1. Перечень актуальных Субобработчиков размещается Обработчиком на сайте или в административной панели gro.now и обновляется по мере изменений. Обработчик уведомляет Оператора заблаговременно, не менее чем за 5 календарных дней до привлечения нового Субобработчика, за исключением следующих ситуаций, когда допускается уведомление немедленно (без предварительного) либо в сокращенный срок:
a) для предотвращения или локализации Инцидента безопасности, устранения критической уязвимости;
b) для обеспечения непрерывности сервиса/DR (аварийное восстановление, отказоустойчивость) при внезапной недоступности прежнего провайдера;
c) эквивалентная замена Субобработчика на другого с сопоставимыми функциями без расширения целей, объема и территории обработки;
d) выполнение обязательных требований закона/регулятора;
e) включение Оператором необязательной функции/интеграции в административной панели, если такая функция заведомо требует привлечения конкретного Субобработчика. - 8.4.2. В случаях a-d уведомление направляется как можно скорее, но не позднее 72 часов с момента фактического привлечения. В случае е уведомление считается данным в момент активации функции/интеграции Оператором (в интерфейсе показывается указание на Субобработчика).
8.5. Право на возражение.
- 8.5.1. Оператор вправе направить обоснованное возражение против нового Субобработчика:
(i) в обычном порядке – в течение 5 календарных дней с момента уведомления;
(ii) в случаях, предусмотренных п. 8.4 (ускоренное/немедленное привлечение) – в течение 72 часов дней с момента уведомления. - 8.5.2. Стороны добросовестно стремятся урегулировать возражение, включая:
a) предложение альтернативного Субобработчика;
b) временное отключение затрагиваемой функции/интеграции для Оператора;
c) ограничение/локализацию обработки по территории или категориям данных. - 8.5.3. Если урегулирование невозможно, Оператор вправе расторгнуть Основной договор в части соответствующей обработки либо выбрать план/конфигурацию без спорного Субобработчика (если доступно).
8.6. Ответственность Обработчика.
Обработчик несет полную ответственность перед Оператором за действия и бездействие Субобработчиков, привлекаемых им для обработки ПДн, как за свои собственные, включая соблюдение требований безопасности и конфиденциальности.
8.7. Субобработчики Оператора.
Если Оператор самостоятельно подключает сторонние интеграции или сервисы (например, CRM, SSO, рекламные платформы) через интерфейс gro.now, такие лица не считаются Субобработчиками Обработчика.
В этих случаях Оператор несет ответственность за соблюдение требований законодательства и получение согласий субъектов на передачу данных таким сервисам.
В этих случаях Оператор несет ответственность за соблюдение требований законодательства и получение согласий субъектов на передачу данных таким сервисам.
8.8. Субобработка за пределами юрисдикции.
Если Субобработчик расположен за пределами Республики Казахстан, Обработчик гарантирует, что передача ему ПДн осуществляется при наличии соответствующих правовых оснований и договорных гарантий (раздел 6).
8.9. Уведомления и прозрачность.
По запросу Оператора Обработчик предоставляет обобщенную информацию о Субобработчиках, включая наименование, страну размещения, категорию услуг и ссылку на их политику конфиденциальности.
8.10. Актуальный список.
Актуальный список Субобработчиков, привлеченных Обработчиком, и порядок уведомлений приведен в Приложении 3 к настоящему Поручению.
9. Инциденты безопасности и уведомления
9.1. Определение.
Инцидентом безопасности (далее – «Инцидент») считается любое событие, которое привело или может привести к несанкционированному доступу, уничтожению, утрате, изменению, раскрытию или иным нарушениям безопасности персональных данных, обрабатываемых Обработчиком или его Субобработчиками.
9.2. Обязанность уведомления.
При обнаружении Инцидента Обработчик обязан:
(i) незамедлительно начать расследование и принять меры по ограничению последствий;
(ii) уведомить Оператора без неоправданной задержки, но не позднее 72 часов с момента, когда Обработчику стало известно о факте Инцидента, если Инцидент затрагивает ПДн Оператора;
(iii) направить Оператору предварительное уведомление с кратким описанием характера Инцидента, затронутых категорий данных, предполагаемого числа субъектов, первичных мер реагирования и контактного лица для взаимодействия.
(i) незамедлительно начать расследование и принять меры по ограничению последствий;
(ii) уведомить Оператора без неоправданной задержки, но не позднее 72 часов с момента, когда Обработчику стало известно о факте Инцидента, если Инцидент затрагивает ПДн Оператора;
(iii) направить Оператору предварительное уведомление с кратким описанием характера Инцидента, затронутых категорий данных, предполагаемого числа субъектов, первичных мер реагирования и контактного лица для взаимодействия.
9.3. Дальнейшая информация.
После первичного уведомления Обработчик направляет дополнительную информацию по мере ее установления, включая:
a) причины и характер Инцидента;
b) категорию и объем затронутых ПДн;
c) описание предпринятых и планируемых мер по устранению последствий;
d) оценку риска для субъектов данных;
e) рекомендации Оператору по действиям (включая информирование субъектов или органов, если требуется законом).
Уведомления направляются через официальный канал связи, установленный между Сторонами (электронная почта, тикет-система, защищенный канал). Обработчик вправе использовать автоматизированное уведомление при массовых или инфраструктурных инцидентах, если оно обеспечивает надежную доставку информации.
a) причины и характер Инцидента;
b) категорию и объем затронутых ПДн;
c) описание предпринятых и планируемых мер по устранению последствий;
d) оценку риска для субъектов данных;
e) рекомендации Оператору по действиям (включая информирование субъектов или органов, если требуется законом).
Уведомления направляются через официальный канал связи, установленный между Сторонами (электронная почта, тикет-система, защищенный канал). Обработчик вправе использовать автоматизированное уведомление при массовых или инфраструктурных инцидентах, если оно обеспечивает надежную доставку информации.
9.5. Классификация и приоритет.
Обработчик классифицирует Инциденты по степени влияния (критический, высокий, средний, низкий) в соответствии с методикой, согласованной в SLA, и обеспечивает приоритетное реагирование на Инциденты, которые:
a) связаны с утечкой или раскрытием ПДн Респондентов;
b) влияют на конфиденциальность данных Активностей;
c) могут повлечь нарушения прав субъектов или обязательств Оператора перед органами надзора.
a) связаны с утечкой или раскрытием ПДн Респондентов;
b) влияют на конфиденциальность данных Активностей;
c) могут повлечь нарушения прав субъектов или обязательств Оператора перед органами надзора.
9.6. Совместное реагирование.
Оператор обязуется сотрудничать с Обработчиком при расследовании Инцидента, включая предоставление информации о специфике данных и настройках Активностей, если это необходимо для анализа и устранения последствий.
9.7. Документирование.
Все Инциденты подлежат внутренней регистрации и расследованию в соответствии с политикой безопасности Обработчика. По запросу Оператора Обработчик предоставляет обобщенный отчет о результатах расследования (Root Cause Analysis, RCA) с указанием предпринятых корректирующих действий.
9.8. Инциденты у Субобработчиков.
Если Инцидент произошел у Субобработчика, Обработчик обязан получить от него полную информацию и передать Оператору уведомление в пределах сроков, установленных в п. 9.2, насколько это практически возможно. При этом Обработчик сохраняет общую ответственность за взаимодействие с Субобработчиком и меры по устранению последствий.
9.9. Нарушения со стороны Оператора.
Если Инцидент вызван действиями или бездействием Оператора (например, неправильные настройки Активностей, утечка учетных данных), Обработчик вправе оказывать содействие в минимизации последствий, при этом все расходы и ответственность несет Оператор.
9.10. Раскрытие третьим лицам.
Обработчик не раскрывает информацию об Инциденте третьим лицам, кроме случаев, когда:
a) раскрытие требуется законом или уполномоченным органом;
b) необходимо для взаимодействия с Субобработчиками, вовлеченными в устранение последствий;
c) раскрытие производится агрегировано, без идентификации Оператора или его данных (например, в отчетах об уязвимостях).
a) раскрытие требуется законом или уполномоченным органом;
b) необходимо для взаимодействия с Субобработчиками, вовлеченными в устранение последствий;
c) раскрытие производится агрегировано, без идентификации Оператора или его данных (например, в отчетах об уязвимостях).
9.11. Инциденты, не затрагивающие ПДн.
Операционные сбои, кратковременные недоступности или проблемы производительности, не влияющие на безопасность или конфиденциальность ПДн, регулируются SLA и Пользовательского соглашения, а не настоящим разделом.
10. Взаимодействие по правам субъектов данных
10.1. Общий принцип.
Обработчик оказывает Оператору содействие в исполнении обязательств по обеспечению прав субъектов данных, включая Респондентов, в пределах технических и организационных возможностей Платформы, предусмотренных Основным договором и настоящим Поручением.
10.2. Права субъектов.
В соответствии с применимым законодательством субъекты данных (включая Респондентов) могут обладать следующими правами:
a) на доступ к своим персональным данным;
b) на исправление, обновление или дополнение данных;
c) на ограничение обработки или отзыв согласия;
d) на удаление (право быть забытым);
e) на переносимость данных;
f) на возражение против обработки или автоматизированного принятия решений;
g) на получение информации о Субобработчиках и трансграничной передаче.
a) на доступ к своим персональным данным;
b) на исправление, обновление или дополнение данных;
c) на ограничение обработки или отзыв согласия;
d) на удаление (право быть забытым);
e) на переносимость данных;
f) на возражение против обработки или автоматизированного принятия решений;
g) на получение информации о Субобработчиках и трансграничной передаче.
10.3. Прием запросов.
a) Все обращения субъектов данных поступают в первую очередь Оператору, который является Контролером.
b) Если Обработчик получает запрос напрямую от субъекта данных, он без неоправданной задержки уведомляет Оператора и не отвечает самостоятельно, кроме случаев, когда обязанность ответа прямо установлена законом.
c) Обработчик вправе подтвердить субъекту получение обращения и сообщить, что оно будет обработано Оператором.
b) Если Обработчик получает запрос напрямую от субъекта данных, он без неоправданной задержки уведомляет Оператора и не отвечает самостоятельно, кроме случаев, когда обязанность ответа прямо установлена законом.
c) Обработчик вправе подтвердить субъекту получение обращения и сообщить, что оно будет обработано Оператором.
10.4. Содействие Оператору.
Обработчик предоставляет Оператору разумное содействие в исполнении запросов субъектов данных, включая:
a) поиск, извлечение, исправление, блокирование или удаление ПДн в пределах технических возможностей;
b) предоставление информации о системах, в которых хранятся данные;
c) обеспечение экспортируемого формата данных (например, CSV, JSON) для целей переносимости.
a) поиск, извлечение, исправление, блокирование или удаление ПДн в пределах технических возможностей;
b) предоставление информации о системах, в которых хранятся данные;
c) обеспечение экспортируемого формата данных (например, CSV, JSON) для целей переносимости.
10.5. Сроки исполнения.
Оператор определяет сроки и формат ответа субъекту данных в соответствии с применимым правом. Обработчик оказывает содействие в разумный срок, как правило, не позднее 10 рабочих дней с момента получения запроса от Оператора, если иной срок не согласован письменно.
10.6. Технические ограничения.
a) Если исполнение запроса невозможно по техническим причинам (например, из-за анонимизации или удаления данных), Обработчик уведомляет об этом Оператора с пояснением причин.
b) В случаях, когда запрос субъекта затрагивает данные, находящиеся в резервных копиях, Обработчик выполняет удаление в рамках процедур обновления резервных хранилищ.
b) В случаях, когда запрос субъекта затрагивает данные, находящиеся в резервных копиях, Обработчик выполняет удаление в рамках процедур обновления резервных хранилищ.
10.7. Запросы государственных органов.
Если Обработчик получает запрос от надзорного органа, суда или правоохранительных органов, касающийся ПДн, относящихся к Оператору или его Респондентам, Обработчик, если не запрещено законом:
a) незамедлительно уведомляет Оператора;
b) консультируется с ним относительно объема раскрываемой информации;
c) ограничивает раскрытие минимально необходимым объемом данных и документирует основания предоставления.
a) незамедлительно уведомляет Оператора;
b) консультируется с ним относительно объема раскрываемой информации;
c) ограничивает раскрытие минимально необходимым объемом данных и документирует основания предоставления.
10.8. Учет обращений.
Обработчик ведет журнал учета запросов субъектов данных и органов, касающихся ПДн, обрабатываемых от имени Оператора. По запросу Оператора Обработчик предоставляет обобщенную статистику обращений без раскрытия конфиденциальной информации.
10.9. Уведомления Респондентов.
При проведении Активностей уведомления и сообщения, касающиеся прав Респондентов, формируются и размещаются Оператором. Обработчик предоставляет технические возможности для их отображения и учета согласий, но не несет ответственности за их содержание.
10.10. Ограничения и ответственность.
Обработчик не несет ответственности за содержание ответов, полноту сведений, а также за несвоевременное или некорректное исполнение запросов субъектов данных, если это вызвано действиями или бездействием Оператора, его сотрудников или Субобработчиков, привлеченных им самостоятельно.
11. Аудиты и проверки
11.1. Формат "сперва-информирование".
Оператор соглашается, что первичным и достаточным способом подтверждения соблюдения Обработчиком требований являются:
a) актуальные сертификаты/подтверждения (напр., ISO/IEC 27001/27018),
b) отчеты независимых оценок и тестов (обобщенные выводы без раскрытия конфиденциальных деталей),
c) опросники due diligence и ответы на них.
Предоставление пунктов а—с удовлетворяет праву Оператора на аудит без дополнительного вмешательства.
a) актуальные сертификаты/подтверждения (напр., ISO/IEC 27001/27018),
b) отчеты независимых оценок и тестов (обобщенные выводы без раскрытия конфиденциальных деталей),
c) опросники due diligence и ответы на них.
Предоставление пунктов а—с удовлетворяет праву Оператора на аудит без дополнительного вмешательства.
11.2. Удаленный аудит по документам.
Если после п. 11.1 у Оператора остаются обоснованные вопросы, он вправе не чаще 1 раза в 12 месяцев направить письменный запрос о дополнительной информации. Обработчик предоставляет разумный пакет сведений (политики верхнего уровня, матрица ролей, описание ТОМs в разрезе Приложения 2) без раскрытия архитектурных секретов, исходных кодов и данных иных клиентов.
11.3. Онсайт-аудит – только при исключительных основаниях.
Очная проверка на площадке Обработчика допускается только если одновременно выполнены условия:
a) имеется подтвержденный Инцидент, затрагивающий ПДн Оператора, либо документированные признаки существенного нарушения DPA;
b) меры по п. 11.1-11.2 объективно недостаточны для ответа на конкретные вопросы;
c) Оператор направил уведомление за 30 календарных дней с обоснованием целей, объема и перечня запрашиваемых артефактов.
Обработчик вправе предложить альтернативы (доп. документы, управляемый ремоут-доступ к логам, интервью ответственных лиц). Онсайт проводится только при необходимости, в объеме, минимально достаточном для подтверждения выводов.
a) имеется подтвержденный Инцидент, затрагивающий ПДн Оператора, либо документированные признаки существенного нарушения DPA;
b) меры по п. 11.1-11.2 объективно недостаточны для ответа на конкретные вопросы;
c) Оператор направил уведомление за 30 календарных дней с обоснованием целей, объема и перечня запрашиваемых артефактов.
Обработчик вправе предложить альтернативы (доп. документы, управляемый ремоут-доступ к логам, интервью ответственных лиц). Онсайт проводится только при необходимости, в объеме, минимально достаточном для подтверждения выводов.
11.4. Ограничение объема и доступа.
Во время любого аудита:
a) запрещен доступ к данным и системам иных клиентов и к данным Респондентов в открытом виде; допускаются только маскированные/демо-данные или выборочные фрагменты журналов, очищенные от секретов;
b) запрещены сканирование уязвимостей, стресс-тесты, экспорт/копирование артефактов, съем образов, фото/видео, подключение внешних носителей и ПО;
c) аудиторы не могут быть конкурентами Обработчика;
d) аудит проводится в рабочее время, не более 1 рабочего дня, в специально подготовленной зоне или виртуальной сессии;
e) любые обнаруженные сведения считаются Конфиденциальной информацией Обработчика.
a) запрещен доступ к данным и системам иных клиентов и к данным Респондентов в открытом виде; допускаются только маскированные/демо-данные или выборочные фрагменты журналов, очищенные от секретов;
b) запрещены сканирование уязвимостей, стресс-тесты, экспорт/копирование артефактов, съем образов, фото/видео, подключение внешних носителей и ПО;
c) аудиторы не могут быть конкурентами Обработчика;
d) аудит проводится в рабочее время, не более 1 рабочего дня, в специально подготовленной зоне или виртуальной сессии;
e) любые обнаруженные сведения считаются Конфиденциальной информацией Обработчика.
11.5. Согласование лиц и НДА.
Оператор использует только предварительно согласованных аудиторов. Все аудиторы подписывают НДА Обработчика в редакции Обработчика. Обработчик вправе отклонить аудитора при наличии конфликта интересов/рисков безопасности.
11.6. Оплата и издержки.
Все расходы Оператора и аудиторов несет Оператор. Если аудит требует существенных ресурсов Обработчика (суммарно более 8 человеко-часов), Оператор возмещает Обработчику разумные расходы по ставке, указанной в прайсинге/Terms.
11.7. Результаты и исправления.
По итогу аудита аудиторы передают Оператору и Обработчику краткий отчет без раскрытия секретов. Обнаруженные несоответствия классифицируются по критичности. Обработчик разрабатывает корректирующие меры в разумный срок с учетом критичности и технической реализуемости.
11.8. Частота и совмещение.
Повторные аудиты по одним и тем же основаниям не допускаются ранее чем через 12 месяцев, за исключением проверки устранения критических несоответствий (ограниченный по объему ремоут-ревью).
11.9. Отказ при риске ущерба.
Обработчик вправе отказать или приостановить аудит, если он создает угрозу безопасности платформы, нарушает права третьих лиц или противоречит закону/обязанностям по безопасности; в таком случае Обработчик предлагает эквивалентные компенсирующие процедуры (доп. документы, целевые интервью, управляемый просмотр журналов).
11.10. Отсутствие доступа к продуктивным данным.
Ни при каких условиях аудит не предоставляет Оператору или аудиторам прямой доступ к продуктивным ПДн Респондентов или средствам их расшифрования. Проверка подтверждается через контрольные процедуры и артефакты, не раскрывающие ПДн.
12. Конфиденциальность и персонал Обработчика
12.1. Обязанность конфиденциальности.
Обработчик обязуется сохранять в тайне всю Конфиденциальную информацию, полученную от Оператора в связи с исполнением настоящего Поручения, включая персональные данные, технические спецификации и сведения о Активностях. Конфиденциальность сохраняется бессрочно, в том числе после прекращения действия DPA и Основного договора.
12.2. Доступ к персональным данным.
a) Доступ к ПДн предоставляется только уполномоченным сотрудникам Обработчика, которым он необходим для исполнения служебных обязанностей (принцип need-to-know).
b) Обработчик ведет учет всех лиц, имеющих доступ к ПДн, и обеспечивает контроль за соблюдением ими процедур безопасности.
c) Доступ к производственной среде осуществляется через персонализированные учетные записи с обязательным использованием многофакторной аутентификации (MFA) и журналированием действий.
b) Обработчик ведет учет всех лиц, имеющих доступ к ПДн, и обеспечивает контроль за соблюдением ими процедур безопасности.
c) Доступ к производственной среде осуществляется через персонализированные учетные записи с обязательным использованием многофакторной аутентификации (MFA) и журналированием действий.
12.3. Обязательства персонала.
a) Все сотрудники и подрядчики Обработчика, допущенные к обработке ПДн, проходят обучение по защите данных и конфиденциальности до начала выполнения своих обязанностей.
b) Каждый сотрудник подписывает обязательство о неразглашении и личной ответственности за нарушение конфиденциальности.
c) При прекращении трудовых отношений или изменении роли доступ сотрудника к системам, содержащим ПДн, немедленно блокируется.
b) Каждый сотрудник подписывает обязательство о неразглашении и личной ответственности за нарушение конфиденциальности.
c) При прекращении трудовых отношений или изменении роли доступ сотрудника к системам, содержащим ПДн, немедленно блокируется.
12.4. Передача информации внутри группы лиц Обработчика.
Обработчик вправе передавать ПДн и иную Конфиденциальную информацию своим аффилированным лицам (внутри корпоративной группы) при условии, что:
a) такие лица находятся под аналогичными обязательствами конфиденциальности;
b) обработка осуществляется в целях исполнения настоящего DPA;
c) передача не расширяет территорию или цели обработки, установленные в Приложении 1
d) Обработчик сохраняет полную ответственность за действия аффилированных лиц.
a) такие лица находятся под аналогичными обязательствами конфиденциальности;
b) обработка осуществляется в целях исполнения настоящего DPA;
c) передача не расширяет территорию или цели обработки, установленные в Приложении 1
d) Обработчик сохраняет полную ответственность за действия аффилированных лиц.
12.5. Ограничение раскрытия.
Обработчик не раскрывает Конфиденциальную информацию третьим лицам, кроме случаев, когда:
a) раскрытие прямо разрешено настоящим DPA или Инструкциями Оператора;
b) раскрытие требуется законом, судебным актом или запросом уполномоченного органа, при этом Обработчик, если это не запрещено законом, предварительно уведомляет Оператора;
c) раскрытие необходимо Субобработчику для исполнения порученных операций и сопровождается эквивалентными обязательствами конфиденциальности;
d) информация раскрывается в обезличенном, агрегированном или статистическом виде, исключающем идентификацию Оператора или субъектов данных.
a) раскрытие прямо разрешено настоящим DPA или Инструкциями Оператора;
b) раскрытие требуется законом, судебным актом или запросом уполномоченного органа, при этом Обработчик, если это не запрещено законом, предварительно уведомляет Оператора;
c) раскрытие необходимо Субобработчику для исполнения порученных операций и сопровождается эквивалентными обязательствами конфиденциальности;
d) информация раскрывается в обезличенном, агрегированном или статистическом виде, исключающем идентификацию Оператора или субъектов данных.
12.6. Конфиденциальность в Активностях.
При обработке данных Респондентов в рамках Активностей Обработчик обеспечивает, чтобы доступ к ответам и иным материалам имели только лица, указанные в Инструкциях Оператора.
Любое использование или просмотр данных Активностей сотрудниками Обработчика допускается исключительно в служебных целях, связанных с техническим обеспечением, отладкой или безопасностью.
Любое использование или просмотр данных Активностей сотрудниками Обработчика допускается исключительно в служебных целях, связанных с техническим обеспечением, отладкой или безопасностью.
12.7. Обязанности Оператора.
Оператор также обязан сохранять конфиденциальность технических решений, архитектуры, логов, документации, API и прочей информации, полученной от Обработчика, и не раскрывать их третьим лицам без письменного согласия Обработчика.
12.8. Разграничение конфиденциальности и публичных данных.
Информация не считается Конфиденциальной, если:
a) она общедоступна на законных основаниях;
b) стала известна Стороне из других источников до ее раскрытия;
c) была раскрыта с письменного согласия другой Стороны;
d) требуется для исполнения обязательств по закону при условии уведомления другой Стороны.
a) она общедоступна на законных основаниях;
b) стала известна Стороне из других источников до ее раскрытия;
c) была раскрыта с письменного согласия другой Стороны;
d) требуется для исполнения обязательств по закону при условии уведомления другой Стороны.
12.9. Последствия нарушения.
В случае нарушения конфиденциальности виновная Сторона возмещает доказанные убытки в пределах лимитов ответственности, установленных Основным договором, за исключением случаев умысла или грубой неосторожности, когда ограничение ответственности не применяется.
13. Данные из открытых источников и ограничения источников
13.1. Общая позиция.
Обработчик вправе использовать при исполнении настоящего Поручения данные, полученные из открытых источников (в том числе публично доступные веб-сайты, базы данных, каталоги, социальные сети и иные ресурсы), если такие данные обрабатываются исключительно в агрегированном, обезличенном или аналитическом виде и при этом не нарушаются права субъектов данных и третьих лиц.
13.2. Ограничения доступности.
Оператор признает и соглашается, что доступность данных из внешних открытых источников не гарантируется и может изменяться по причинам, не зависящим от Обработчика, включая:
a) изменение политик конфиденциальности или настроек доступа владельцами источников;
b) технические ограничения, блокировки или прекращение работы источника;
c) введение ограничений на автоматизированное извлечение данных или API;
d) изменение правового режима или регуляторных требований.
a) изменение политик конфиденциальности или настроек доступа владельцами источников;
b) технические ограничения, блокировки или прекращение работы источника;
c) введение ограничений на автоматизированное извлечение данных или API;
d) изменение правового режима или регуляторных требований.
13.3.
В этих случаях Обработчик не несет ответственности за невозможность или прекращение доступа к таким данным, а также вправе заменить источник на аналогичный либо приостановить соответствующий функционал без нарушения условий настоящего DPA или SLA.
13.4. Замена или прекращение источника.
Если парсинг или интеграция данных из открытых источников становятся недоступными, Обработчик может:
a) заменить источник на другой, обеспечивающий сопоставимый результат;
b) временно отключить сбор данных до восстановления доступа;
c) уведомить Оператора о прекращении поддержки конкретного источника, если его восстановление невозможно или экономически нецелесообразно.
Такие изменения не считаются ухудшением качества услуг и не влекут штрафных санкций со стороны Оператора.
a) заменить источник на другой, обеспечивающий сопоставимый результат;
b) временно отключить сбор данных до восстановления доступа;
c) уведомить Оператора о прекращении поддержки конкретного источника, если его восстановление невозможно или экономически нецелесообразно.
Такие изменения не считаются ухудшением качества услуг и не влекут штрафных санкций со стороны Оператора.
13.5. Ограничения на использование данных Оператором.
Оператор обязуется:
a) использовать данные, полученные из открытых источников через платформу gro.now, исключительно в рамках законных целей своих Активностей;
b) не распространять и не публиковать такие данные с нарушением условий, установленных владельцами источников;
c) соблюдать все действующие условия использования, лицензии и запреты, применимые к каждому конкретному источнику;
d) не извлекать, не комбинировать и не экспортировать данные из gro.now с целью создания внешних баз данных, если это не предусмотрено Основным договором или отдельным соглашением.
a) использовать данные, полученные из открытых источников через платформу gro.now, исключительно в рамках законных целей своих Активностей;
b) не распространять и не публиковать такие данные с нарушением условий, установленных владельцами источников;
c) соблюдать все действующие условия использования, лицензии и запреты, применимые к каждому конкретному источнику;
d) не извлекать, не комбинировать и не экспортировать данные из gro.now с целью создания внешних баз данных, если это не предусмотрено Основным договором или отдельным соглашением.
13.6. Отказ от гарантий.
Обработчик не гарантирует:
a) точность, полноту, актуальность или достоверность данных, полученных из открытых источников;
b) постоянную доступность или неизменность функционала, связанного с такими источниками;
c) отсутствие ошибок, вызванных изменениями внешних API, политик или форматов данных.
a) точность, полноту, актуальность или достоверность данных, полученных из открытых источников;
b) постоянную доступность или неизменность функционала, связанного с такими источниками;
c) отсутствие ошибок, вызванных изменениями внешних API, политик или форматов данных.
13.7.
Все такие данные предоставляются «как есть» (as is) и не образуют отдельного обязательства Обработчика по SLA.
13.8. Соблюдение прав третьих лиц.
При обработке данных из открытых источников Обработчик соблюдает требования законодательства о защите персональных данных, интеллектуальных прав и конфиденциальности. В случаях, когда источник прямо запрещает автоматизированное извлечение или использование данных, Обработчик прекращает такую обработку.
13.9. Ответственность.
Оператор несет ответственность за любые последствия неправомерного использования данных из открытых источников, если он действовал с нарушением настоящего DPA, условий источников либо выходил за рамки предусмотренных Активностей.
13.10. Согласование изменений.
Обработчик вправе изменять перечень используемых открытых источников и порядок их обработки без предварительного согласия Оператора, при условии, что уровень защиты данных остается эквивалентным. В случае, если изменения затрагивают правовой статус данных (например, появление ограничений на обработку), Обработчик уведомляет Оператора в разумный срок.
14. Сроки хранения, удаление и возврат данных
14.1. Общий принцип.
Обработчик хранит персональные данные, переданные или собранные по поручению Оператора, только в течение срока, необходимого для исполнения Инструкций Оператора и целей, предусмотренных Основным договором. По истечении срока хранения данные подлежат удалению или возврату в порядке, установленном настоящим разделом.
14.2. Период хранения.
Сроки хранения персональных данных определяются:
a) Инструкциями Оператора или настройками Активности (включая срок проведения Активности и период хранения ее результатов);
b) требованиями законодательства, если оно предусматривает более длительный срок хранения;
c) политикой безопасности и резервного копирования Обработчика – исключительно для целей аварийного восстановления (DR).
a) Инструкциями Оператора или настройками Активности (включая срок проведения Активности и период хранения ее результатов);
b) требованиями законодательства, если оно предусматривает более длительный срок хранения;
c) политикой безопасности и резервного копирования Обработчика – исключительно для целей аварийного восстановления (DR).
14.3.
Если конкретный срок не определен, данные хранятся не более 180 календарных дней после окончания Активности или прекращения действия договора с Оператором.
14.4. Удаление данных.
По истечении срока хранения Обработчик:
a) удаляет или надежно обезличивает персональные данные в активных системах;
b) обеспечивает их удаление из резервных копий в рамках регулярных циклов обновления и перезаписи (не позднее 90 календарных дней после удаления из активных систем);
c) документирует факт удаления (внутренний журнал удаления данных).
a) удаляет или надежно обезличивает персональные данные в активных системах;
b) обеспечивает их удаление из резервных копий в рамках регулярных циклов обновления и перезаписи (не позднее 90 календарных дней после удаления из активных систем);
c) документирует факт удаления (внутренний журнал удаления данных).
14.5.
Обработчик вправе использовать методы необратимого удаления (например, криптографическое затирание, уничтожение ключей шифрования), подтверждающие невозможность восстановления данных.
14.6. Возврат данных.
По письменному запросу Оператора, поданному не позднее 30 календарных дней с момента прекращения Основного договора, Обработчик предоставляет выгрузку данных в машиночитаемом формате (CSV, JSON или иным доступным форматом). После выполнения возврата данные подлежат удалению, если Оператор не указал иное.
14.7.
В случае отсутствия запроса в указанный срок данные считаются ненужными для Оператора и удаляются без дополнительного уведомления.
14.8. Ограничения на восстановление.
После удаления данных Обработчик не может восстановить их по запросу Оператора. Ответственность за создание и хранение собственных копий данных (в рамках предоставленных интерфейсов экспорта) несет Оператор.
14.9. Удаление данных Респондентов.
Если Оператор получает от Респондента запрос на удаление его персональных данных, Оператор направляет соответствующую Инструкцию Обработчику. Удаление выполняется в срок, согласованный с Оператором, но не позднее 10 рабочих дней после получения подтвержденной Инструкции, за исключением случаев, когда хранение требуется по закону.
14.10. Сертификат об удалении.
По запросу Оператора Обработчик может предоставить подтверждение удаления (certificate of deletion) в форме электронного отчета, содержащего дату и описание выполненных действий. Предоставление сертификата является платной услугой, если не предусмотрено иное в Основном договоре.
14.11. Анонимизация и статистика.
После удаления или возврата персональных данных Обработчик вправе сохранить обезличенные и агрегированные данные, используемые для статистических, аналитических и технических целей (например, улучшения производительности, оптимизации функционала), при условии, что эти данные не позволяют идентифицировать субъектов.
14.12. Прекращение договора.
При прекращении Пользовательского соглашения Обработчик выполняет следующие действия:
a) прекращает обработку персональных данных Оператора;
b) по выбору Оператора — возвращает или удаляет данные;
c) отзывает доступы, связанные с аккаунтом Оператора;
d) сохраняет в архивах только те данные, которые необходимы для соблюдения требований закона (например, бухгалтерские или налоговые записи).
a) прекращает обработку персональных данных Оператора;
b) по выбору Оператора — возвращает или удаляет данные;
c) отзывает доступы, связанные с аккаунтом Оператора;
d) сохраняет в архивах только те данные, которые необходимы для соблюдения требований закона (например, бухгалтерские или налоговые записи).
14.13. Приоритет по закону.
Если применимое законодательство обязывает Обработчика сохранять определенные категории данных (например, для расследований, финансового учета или разрешения споров), Обработчик хранит такие данные только в объеме и срок, строго необходимом для выполнения этих требований.
15. Ответственность и лимиты
Все вопросы, связанные с распределением ответственности, лимитами убытков, возмещением, освобождением от ответственности и иными последствиями нарушения обязательств, регулируются Пользовательским соглашением применяются к настоящему Поручению по аналогии.
16. Срок действия и прекращение
16.1. Действие DPA.
Настоящее Поручение вступает в силу с момента заключения Пользовательского соглашения и действует в течение всего срока его действия, а также до полного выполнения Сторонами обязательств по удалению или возврату данных.
16.2. Прекращение.
Настоящее Поручение прекращает действие:
a) одновременно с прекращением Пользовательского соглашения;
b) по письменному соглашению Сторон;
c) при отзыве Оператором поручения на обработку данных.
a) одновременно с прекращением Пользовательского соглашения;
b) по письменному соглашению Сторон;
c) при отзыве Оператором поручения на обработку данных.
16.3. Действия при прекращении.
После прекращения DPA Обработчик:
a) прекращает обработку персональных данных Оператора, кроме случаев, предусмотренных законом;
b) по выбору Оператора — возвращает либо удаляет данные в порядке, установленном разделом 14;
c) отзывает все доступы, выданные для обработки данных.
a) прекращает обработку персональных данных Оператора, кроме случаев, предусмотренных законом;
b) по выбору Оператора — возвращает либо удаляет данные в порядке, установленном разделом 14;
c) отзывает все доступы, выданные для обработки данных.
16.4. Сохранение обязательств.
Обязательства Сторон по конфиденциальности, безопасности, ответственности, защите данных и взаимодействию с надзорными органами сохраняют силу после прекращения DPA.
16.5. Приоритет условий.
В случае расхождения положений настоящего DPA и Основного договора в части защиты персональных данных — применяется настоящее Поручение; во всех иных вопросах приоритет имеет Основной договор и Пользовательское соглашение.
Предыдущие редакции:
Версия 1.0
Версия 1.0
Реестр субобработчиков платформы gro.now
Версия 1.0 · Дата публикации: 27.05.2026
Настоящий Реестр является Приложением 3 к Соглашению об обработке персональных данных (DPA) платформы gro.now и публикуется как раздел страницы DPA. Реестр содержит перечень субобработчиков, привлекаемых ТОО «Pwron» к обработке персональных данных Клиентов и Респондентов платформы gro.now в качестве Обработчика.
1. Общие положения
1.1. Настоящий Реестр представляет собой перечень субобработчиков, привлекаемых ТОО «Pwron» (далее — «Компания») к обработке персональных данных Клиентов и Респондентов платформы gro.now в качестве Обработчика, и является Приложением 3 к Соглашению об обработке персональных данных (DPA), заключаемому Компанией с Клиентами платформы.
1.2. Реестр применяется в качестве актуального перечня субобработчиков на дату его публикации. Изменения состава субобработчиков (привлечение нового, исключение, замена) осуществляются в порядке, установленном разделом DPA «Субобработчики», и отражаются в Реестре путём публикации новой версии.
1.3. В случае расхождения между настоящим Реестром и положениями DPA или поручений Клиентов (Контроллеров) приоритет имеют DPA и поручения в соответствующей части.
2. Принципы ведения Реестра
2.1. Компания включает в Реестр сторонние сервисы, которые:
-
хранят, передают, обрабатывают или имеют доступ к персональным данным Клиентов или Респондентов платформы gro.now;
-
привлекаются Компанией к обработке от имени Клиентов в качестве Обработчика по DPA.
2.2. Компания не включает в Реестр (см. также раздел 4 «Сервисы вне сферы действия Реестра»):
-
сервисы, используемые Компанией в качестве самостоятельного Контроллера для собственной операционной деятельности (бухгалтерия, кадры, корпоративный маркетинг Компании, найм) — они регулируются Общей политикой обработки персональных данных gro.now и отдельным внутренним реестром получателей персональных данных;
-
сервисы, которые Клиент самостоятельно подключает через интерфейс платформы (раздел DPA «Субобработчики»);
-
инструменты разработки и операционной деятельности без доступа к продакшну и к данным Клиентов / Респондентов;
-
разовых подрядчиков без постоянного доступа к данным Клиентов / Респондентов.
2.3. Категории субобработчиков соответствуют категориям, установленным разделом DPA «Субобработчики»:
-
хостинг и облачные инфраструктуры;
-
аналитика, мониторинг и логирование событий;
-
системы аутентификации и безопасности;
-
сервисы уведомлений, рассылок и коммуникаций;
-
техническая поддержка и аварийное восстановление;
-
большие языковые модели (LLM);
-
интеграции, используемые по поручению Клиента (Оператора).
К указанным категориям дополнительно включён платёжный провайдер (payment processor) — применяется в части биллинговых данных Клиентов, обрабатываемых Компанией при оплате тарифов.
3. Реестр субобработчиков
3.1. Google Cloud Platform (GCP)
| Поле | Значение |
|---|---|
| Юридическое лицо | Google LLC (US) / Google Ireland Limited |
| Категория | Хостинг и облачная инфраструктура |
| Назначение | Compute (хостинг backend-части приложения и базы данных), persistent disks, IAM, networking, cloud storage |
| Регион данных | Frankfurt, Germany (europe-west3) |
| Категории обрабатываемых данных | Все категории данных платформы (идентификационные, контактные, ответы и контент Активностей, технические, метаданные, данные представителей Клиента) |
| Договорное основание | Google Cloud Terms of Service + Google Cloud Data Processing and Security Terms |
| DPA / Privacy / Сертификации | DPA: cloud.google.com/terms/data-processing-addendum · Privacy: cloud.google.com/terms/cloud-privacy-notice · Сертификации: ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 1/2/3, PCI DSS, HIPAA-aligned |
3.2. Vercel
| Поле | Значение |
|---|---|
| Юридическое лицо | Vercel Inc. (US) |
| Категория | Хостинг и облачная инфраструктура (хостинг приложения, file storage, CDN, deployment) |
| Назначение | Хостинг приложения gro.now (frontend / backend functions), edge network, deployment |
| Регион данных | Frankfurt, Germany + Washington DC, USA (multi-region edge). Постоянная база данных Клиентов в Vercel не хранится |
| Категории обрабатываемых данных | Технические данные, метаданные, временные данные приложения; контент проходит через edge functions / serverless |
| Договорное основание | Vercel Terms of Service + Vercel Data Processing Addendum |
| DPA / Privacy / Сертификации | DPA: vercel.com/legal/dpa · Privacy: vercel.com/legal/privacy-policy · Сертификации: SOC 2 Type II, ISO/IEC 27001 |
3.3. Firebase Authentication
| Поле | Значение |
|---|---|
| Юридическое лицо | Google LLC (US) — в составе Google Cloud / Firebase |
| Категория | Системы аутентификации и безопасности |
| Назначение | Аутентификация пользователей платформы (включая хеширование паролей провайдером); JWT-токены; поддержка входа через Google OAuth |
| Регион данных | Google Cloud global infrastructure (Firebase Auth не имеет региональной привязки в стандартной конфигурации) |
| Категории обрабатываемых данных | Идентификационные данные (email, телефон, hashed password, account ID), технические данные сессий |
| Договорное основание | Google Cloud Platform Terms + Firebase Terms of Service + Google Cloud DPA |
| DPA / Privacy / Сертификации | Те же, что у Google Cloud Platform |
3.4. Google Gemini API
| Поле | Значение |
|---|---|
| Юридическое лицо | Google LLC (US) |
| Категория | Большие языковые модели (LLM) |
| Назначение | AI-обработка для функций платформы: генерация, переводы, sentiment analysis, агрегация инсайтов |
| Канал использования | Paid Gemini API через Google Cloud project с активным billing account (не Unpaid Services / не бесплатный квот Google AI Studio) |
| Регион данных | Google Gemini Developer API не гарантирует региональной локализации обработки. В соответствии с условиями Gemini API (Paid Services), Google вправе хранить и кэшировать данные транзитно или временно в любой стране, где Google или его агенты имеют инфраструктуру. Региональные гарантии data residency доступны для отдельной линейки Google Cloud Vertex AI / Gemini Enterprise, которую Компания на дату утверждения настоящего Реестра не использует |
| Категории обрабатываемых данных | Контент Активностей (брифы, вопросы, ответы); ограниченный контекст для аналитики; идентификационные данные передаются только в случае, если они присутствуют в самом содержании ответов |
| Договорное основание | Gemini API Additional Terms of Service (Paid Services) + Google Cloud Data Processing Addendum (business.safety.google/processorterms) |
| Использование данных для обучения моделей | Не используются. В соответствии с условиями Gemini API применительно к Paid Services Google не использует промпты Компании и ответы для улучшения своих продуктов и для обучения моделей; обработка осуществляется по Google Cloud DPA |
| DPA / Privacy / Сертификации | DPA: business.safety.google/processorterms · Privacy: cloud.google.com/terms/cloud-privacy-notice · Сертификации: те же, что у Google Cloud Platform (ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 1/2/3) |
3.5. Brevo
| Поле | Значение |
|---|---|
| Юридическое лицо | Sendinblue SAS (France) |
| Категория | Сервисы уведомлений, рассылок и коммуникаций |
| Назначение | Отправка транзакционных электронных писем Клиентам и Респондентам |
| Регион данных | St. Ghislain, Belgium |
| Категории обрабатываемых данных | Идентификационные и контактные данные получателей (email, имя), содержание транзакционных уведомлений |
| Договорное основание | Brevo Terms of Use |
| DPA / Privacy / Сертификации | DPA: brevo.com/legal/termsofuse · Privacy: brevo.com/legal/privacypolicy · Сертификации: ISO/IEC 27001:2022 |
3.6. Rollbar
| Поле | Значение |
|---|---|
| Юридическое лицо | Rollbar, Inc. (USA) |
| Категория | Аналитика, мониторинг и логирование событий |
| Назначение | Сбор и мониторинг ошибок backend и frontend приложения gro.now |
| Регион данных | США (основная инфраструктура — AWS) |
| Категории обрабатываемых данных | Технические данные (логи, stack traces), ограниченные персональные данные (в случае, если они попадают в логи как часть отлаживаемого события) |
| Договорное основание | Rollbar Terms of Service |
| DPA / Privacy / Сертификации | DPA: docs.rollbar.com/docs/data-processing-agreement · Privacy: docs.rollbar.com/docs/privacy-policy |
3.7. Stripe
| Поле | Значение |
|---|---|
| Юридическое лицо | Stripe, Inc. (USA) / Stripe Payments Europe, Ltd. (Ireland) |
| Категория | Платёжный провайдер (payment processor) |
| Назначение | Обработка онлайн-платежей Клиентов, биллинг, подписки |
| Регион данных | США |
| Категории обрабатываемых данных | Идентификационные и контактные данные плательщиков (имя, email); платёжные данные (включая данные карт) — обрабатываются Stripe; Pwron не хранит, не передаёт и не обрабатывает данные карт напрямую; транзакционные ссылки и референсы |
| Договорное основание | Stripe Services Agreement |
| DPA / Privacy / Сертификации | DPA: stripe.com/legal/dpa · Privacy: stripe.com/privacy · Сертификации: PCI DSS Level 1, SOC 1 Type II, SOC 2 Type II, ISO/IEC 27001 |
| Примечание (PCI DSS) | Обработка данных платёжных карт полностью передана Stripe (PCI DSS Level 1). PCI DSS scope для Pwron ограничен контролями интеграции (передача неконфиденциальных данных через защищённый канал, хранение референсов транзакций без card data). |
3.8. Google Workspace
| Поле | Значение |
|---|---|
| Юридическое лицо | Google LLC (US) / Google Ireland Limited |
| Категория | Корпоративные коммуникации Компании; в части обработки персональных данных Клиентов и Респондентов — используется для приёма обращений по функциональным адресам legal@gro.now, privacy@gro.now, security@gro.now, abuse@gro.now |
| Назначение | Корпоративная почта, видеосвязь, календарь, документы для внутренней работы; приём обращений внешних лиц по функциональным каналам Компании |
| Регион данных | Google Cloud global infrastructure |
| Категории обрабатываемых данных | Обращения внешних лиц через функциональные адреса (могут содержать персональные данные отправителя и третьих лиц); внутренняя корпоративная переписка |
| Договорное основание | Google Workspace Agreement + Google Cloud DPA |
| DPA / Privacy / Сертификации | Те же, что у Google Cloud Platform |
4. Сервисы вне сферы действия Реестра
В настоящий Реестр не включаются следующие категории сервисов и контрагентов. Это не означает их отсутствия в инфраструктуре Компании, а отражает их правовую модель.
4.1. Инструменты разработки без доступа к данным Клиентов / Респондентов
GitHub (GitHub, Inc., часть Microsoft Corporation) — используется Компанией для хранения исходного кода платформы gro.now, dependency scanning и security advisories. Содержит исходный код, не данные Клиентов и не персональные данные Респондентов. По модели DPA не классифицируется как субобработчик персональных данных Клиентов; указывается в настоящем разделе в целях прозрачности.
4.2. Сервисы, используемые Компанией как самостоятельным Контроллером
Сервисы, которые Компания привлекает для собственной операционной деятельности (а не по поручению Клиента) — в том числе бухгалтерские и кадровые сервисы, корпоративный маркетинг Компании, сервисы для работы с кандидатами при найме — не являются субобработчиками в смысле DPA. Они обрабатывают персональные данные сотрудников, подрядчиков и контрагентов Компании, регулируются Общей политикой обработки персональных данных gro.now и являются предметом отдельного внутреннего реестра получателей персональных данных, который Компания ведёт отдельно от настоящего Реестра.
4.3. Сервисы, подключаемые Клиентом самостоятельно
Сервисы, которые Клиент подключает самостоятельно через интерфейс платформы (раздел DPA «Субобработчики»), не входят в число субобработчиков Компании; обязанности по их соответствию применимым требованиям несёт Клиент как Контроллер.
4.4. Разовые подрядчики без постоянного доступа
Разовые подрядчики и консультанты, привлекаемые Компанией без постоянного доступа к данным Клиентов / Респондентов, в Реестр не включаются. Их взаимодействие с данными (если необходимо в рамках разового поручения) оформляется отдельным NDA / договором подряда с применимыми требованиями к обработке.
5. Изменение состава субобработчиков
5.1. Привлечение нового субобработчика, исключение действующего или замена осуществляются в порядке, установленном разделом DPA «Субобработчики». Уведомление Клиентов о таких изменениях направляется Компанией в порядке и сроки, предусмотренные DPA.
5.2. Настоящий Реестр актуализируется при изменении состава субобработчиков. Версия и дата актуализации указываются в шапке документа; предыдущие редакции сохраняются в архиве Компании.
5.3. Ответственным за поддержание Реестра в актуальном состоянии является директор Компании. Фактическая инвентаризация субобработчиков проводится при содействии команды разработки Компании.
6. Действие и пересмотр
6.1. Реестр вступает в силу с даты публикации, указанной в шапке настоящего документа.
6.2. Реестр пересматривается:
-
при изменении состава субобработчиков;
-
при существенных изменениях в DPA Компании, требующих обновления Приложения 3;
-
по итогам внутренней проверки актуальности данных.
6.3. Версия и дата публикации актуальной редакции Реестра указаны в шапке настоящего документа. Предыдущие редакции сохраняются в архиве Компании и при необходимости предоставляются Клиентам по запросу.