Договор об обработке данных

Пользователь определяет цель и способ обработки данных, которые вносит в Tezga, и потому является контролёром; Go Simple обрабатывает эти данные только по поручению Пользователя и является обработчиком. Пользователь заверяет, что имеет законное основание, дал субъектам данных предписанное уведомление и собрал данные законно.

Предмет это хранение и обработка данных в рамках услуги Tezga eKasa. Характер охватывает сбор, запись, хранение, доступ, изменение, передачу компетентным системам (Налоговое управление, SEF), экспорт и удаление. Цель это выдача фискальных чеков и электронных счетов, ведение учёта продаж и покупателей, отчёты и исполнение правовых обязанностей Пользователя, и она длится столько же, сколько договор, плюс сроки из раздела 9.

Категории лиц: покупатели и деловые партнёры Пользователя (физические лица и контактные лица юридических лиц) и работники и сотрудники Пользователя. Виды данных: имя, наименование, адрес, рег. номер и PIB, электронная почта, телефон, данные о покупке и оплате, данные выписок и сопоставления. Особый случай: возврат по правилам требует данных из документа покупателя, вносимых только когда есть законная обязанность; Услуга не предназначена для особо чувствительных данных.

Обработчик обрабатывает данные только по документированной инструкции контролёра, которую составляют этот договор, Условия использования и действия, которые Пользователь совершает в Услуге. Если закон обязывает обработать данные вне инструкции, обработчик уведомляет контролёра до обработки, кроме случаев, когда это запрещено, и сообщает, если считает инструкцию противоречащей нормам о защите данных.

Доступ к данным имеют только лица, которым он необходим для оказания Услуги и которые связаны обязательством конфиденциальности, сохраняющимся и после прекращения отношений. Поддержка не видит деловые данные Пользователя без его явной просьбы; в журнале писем адрес покупателя, работника или бухгалтера Пользователя замаскирован, и каждый полный просмотр записывается.

Передача защищена HTTPS, пароли хранятся только в зашифрованном виде. Элемент безопасности Пользователя хранится зашифрованным (AES-256-GCM) и используется только для выдачи фискальных чеков от его имени. Доступ разделён по фирме и роли, ведётся журнал действий, ежедневные резервные копии хранятся 30 дней на собственном сервере обработчика в Сербии с ограниченным доступом, восстановление проверяется еженедельно. Кассовые устройства могут настраиваться и обновляться удалённо; команды не меняют данные Пользователя на сервере, не удаляют чеки и записываются.

Пользователь даёт общее разрешение на субобработчиков: Vercel Inc. (хостинг, Франкфурт), Neon Inc. (база данных, ЕС), Cloudflare, Inc. (DNS, защита трафика, приём банковских выписок по почте), Resend (почта, включая чеки покупателям Пользователя), Leaseweb Netherlands B.V. (сервер обработчика в Нидерландах: изображения товаров, логотипы, вложения), Google Ireland Ltd. и Apple Inc. (доставка уведомлений на устройства Пользователя; уведомление может содержать название фирмы, сумму оборота и краткое описание события). О добавлении или замене субобработчика сообщаем минимум за 30 дней; Пользователь может возразить и при неустранимом возражении расторгнуть договор в затронутой части без оплаты.

Обработчик помогает контролёру отвечать на запросы субъектов данных средствами, которые предоставляет Услуга (доступ, исправление, экспорт, удаление). Если субъект данных обращается к обработчику напрямую, тот не действует самостоятельно, а передаёт запрос контролёру. Он также помогает в обеспечении безопасности обработки, уведомлении о нарушении и оценке воздействия, в мере, соответствующей характеру обработки и доступным ему данным.

Обработчик без ненужного промедления, но не позднее 48 часов с момента, когда узнал, уведомляет контролёра о нарушении персональных данных. Уведомление содержит описание характера нарушения, примерное число затронутых лиц и записей, вероятные последствия и принятые или предлагаемые меры. Уведомление Уполномоченного и субъектов данных это обязанность контролёра, которую обработчик поддерживает.

После прекращения договора данные доступны для выгрузки не менее 30 дней. Затем обработчик удаляет или обезличивает их, кроме данных, которые обязан хранить дольше по закону; удалённые данные исчезают из резервных копий в течение 30 дней. По письменному запросу выдаётся подтверждение удаления.

По обоснованному письменному запросу и не чаще одного раза в год обработчик предоставляет сведения, необходимые для доказательства исполнения обязанностей по этому договору. Проверка проводится так, чтобы не поставить под угрозу безопасность и конфиденциальность данных других пользователей, с предварительным уведомлением и в рабочее время.

Субобработчики Vercel, Neon, Cloudflare, Resend, Google и Apple являются компаниями из США; передача им осуществляется на основании EU-US Data Privacy Framework или стандартных договорных условий. Данные размещаются в европейских регионах везде, где это доступно у субобработчика. Если передача в страну без надлежащего уровня защиты необходима, обработчик обеспечивает соответствующие меры защиты по закону и уведомляет об этом контролёра.

Каждая сторона отвечает за свои обязанности по нормам о защите персональных данных. Ограничение ответственности из Условий использования применяется и к этому договору, но не применяется к ущербу, причинённому умыслом или грубой небрежностью, и там, где императивные нормы ограничения не допускают.