Договор об обработке данных

Пользователь определяет цель и способ обработки данных, которые вносит в Tezga, и потому является контролёром; Go Simple обрабатывает эти данные только по поручению Пользователя и является обработчиком. Пользователь заверяет, что имеет законное основание, дал субъектам данных предписанное уведомление и собрал данные законно.

Предмет это хранение и обработка данных в рамках услуги Tezga eKasa. Характер охватывает сбор, запись, хранение, доступ, изменение, передачу компетентным системам (Налоговое управление, SEF), экспорт и удаление. Цель это выдача фискальных чеков и электронных счетов, ведение учёта продаж и покупателей, отчёты и исполнение правовых обязанностей Пользователя, и она длится столько же, сколько договор, плюс сроки из раздела 9.

Категории лиц: покупатели и деловые партнёры Пользователя (физические лица и контактные лица юридических лиц) и работники и сотрудники Пользователя. Виды данных: имя, наименование, адрес, рег. номер и PIB, электронная почта, телефон, данные о покупке и оплате, данные выписок и сопоставления. Особый случай: возврат по правилам требует данных из документа покупателя, вносимых только когда есть законная обязанность; Услуга не предназначена для особо чувствительных данных.

Обработчик обрабатывает данные только по документированной инструкции контролёра, которую составляют этот договор, Условия использования и действия, которые Пользователь совершает в Услуге. Если закон обязывает обработать данные вне инструкции, обработчик уведомляет контролёра до обработки, кроме случаев, когда это запрещено, и сообщает, если считает инструкцию противоречащей нормам о защите данных.

К данным имеют доступ только лица, которым он необходим для оказания Услуги и которые связаны обязанностью конфиденциальности. Эта обязанность действует и после прекращения их трудовых или договорных отношений.

Передача данных защищена протоколом HTTPS, а пароли хранятся только в зашифрованном виде. Элемент безопасности Пользователя (сертификат, пароль, PAK и PIN) хранится зашифрованным (AES-256-GCM), не показывается обратно и используется исключительно для выдачи фискальных чеков от имени Пользователя по полномочию из раздела 10 Условий. Доступ разделён по фирме и роли, ведётся журнал активности, делаются регулярные восстановимые резервные копии, а меры пересматриваются с учётом уровня техники и оценённого риска.

Пользователь даёт общее одобрение на привлечение перечисленных субобработчиков: Vercel Inc. (размещение, европейский регион Франкфурт), Neon Inc. (база данных), Cloudflare, Inc. (DNS и защита трафика) и Resend (отправка почты). Go Simple уведомляет не менее чем за 30 дней о добавлении или замене субобработчика; Пользователь вправе заявить обоснованное возражение и, если его нельзя устранить, расторгнуть договор для затронутой части без оплаты. Go Simple налагает защиту не слабее этой и отвечает за субобработчиков.

Обработчик помогает контролёру отвечать на запросы субъектов данных средствами, которые предоставляет Услуга (доступ, исправление, экспорт, удаление). Если субъект данных обращается к обработчику напрямую, тот не действует самостоятельно, а передаёт запрос контролёру. Он также помогает в обеспечении безопасности обработки, уведомлении о нарушении и оценке воздействия, в мере, соответствующей характеру обработки и доступным ему данным.

Обработчик без ненужного промедления, но не позднее 48 часов с момента, когда узнал, уведомляет контролёра о нарушении персональных данных. Уведомление содержит описание характера нарушения, примерное число затронутых лиц и записей, вероятные последствия и принятые или предлагаемые меры. Уведомление Уполномоченного и субъектов данных это обязанность контролёра, которую обработчик поддерживает.

После прекращения договора данные остаются доступными для экспорта не менее 30 дней. По истечении этого срока обработчик удаляет или обезличивает данные, кроме тех, которые обязан хранить дольше по закону. По письменному запросу контролёра обработчик выдаёт подтверждение о проведённом удалении.

По обоснованному письменному запросу и не чаще одного раза в год обработчик предоставляет сведения, необходимые для доказательства исполнения обязанностей по этому договору. Проверка проводится так, чтобы не поставить под угрозу безопасность и конфиденциальность данных других пользователей, с предварительным уведомлением и в рабочее время.

Данные размещаются в европейских регионах везде, где это доступно у субобработчика. Если передача в страну без надлежащего уровня защиты необходима, обработчик обеспечивает соответствующие меры защиты по закону и уведомляет об этом контролёра.

Каждая сторона отвечает за свои обязанности по нормам о защите персональных данных. Ограничение ответственности из Условий использования применяется и к этому договору, но не применяется к ущербу, причинённому умыслом или грубой небрежностью, и там, где императивные нормы ограничения не допускают.