Условия обработки данных (DPA)

1.1. «Клиент» является контролёром (оператором), а договорный поставщик, указанный до оплаты и в сохраняемом подтверждении конкретного заказа, — обработчиком, если поставщик обрабатывает размещённые Клиентом персональные данные только для оказания Услуг. Если Клиент действует как обработчик другого контролёра, договорный поставщик является субобработчиком.

1.2. CLOUD SOLUTIONS GLOBAL LTD выступает обработчиком или субобработчиком только для тех операций, которые она выполняет по документированным поручениям договорного поставщика или Клиента. Это положение не делает компанию продавцом Услуг или получателем платежей.

1.3. Настоящие Условия не применяются к данным учётной записи, платежей, безопасности и обращениям в поддержку, цели и средства обработки которых поставщик или CLOUD SOLUTIONS GLOBAL LTD определяет самостоятельно. Для таких данных соответствующее лицо является самостоятельным контролёром согласно Политике конфиденциальности.

1.4. В случае противоречия по вопросам обработки персональных данных настоящие Условия имеют приоритет над общими Условиями оказания услуг. Обязательные нормы UK GDPR, GDPR ЕС и применимого польского законодательства имеют приоритет над договором.

2.1. Предмет обработки — размещение, хранение, передача, резервное копирование, восстановление и удаление данных в рамках заказанных вычислительных, сетевых и резервных ресурсов. Цель — исключительно оказание, защита и техническая поддержка заказанных Услуг.

2.2. Обработка длится в течение срока соответствующей Услуги и ограниченного периода удаления или возврата данных после её прекращения, указанного в договоре, если закон не требует хранить отдельные сведения дольше.

Категории субъектов и данных

• субъекты данных определяются Клиентом и могут включать его работников, подрядчиков, пользователей, посетителей и контрагентов;
• обычные персональные данные, которые Клиент решит загрузить или передать через Услугу: идентификаторы, контактные, технические, договорные и пользовательские данные;
• специальные категории данных и сведения об уголовных правонарушениях не предназначены для обработки без предварительного письменного согласования необходимых гарантий.

2.3. Клиент определяет содержание данных, категории субъектов, цели и законное основание обработки, отвечает за уведомления субъектов и не поручает обработку, нарушающую применимое право.

3.1. Документированными инструкциями являются договор, настройки Услуги в панели, операции через API и подтверждённые обращения уполномоченных представителей Клиента. Обработчик обрабатывает данные только по этим инструкциям, включая международную передачу, если иное не требуется применимым законом.

3.2. Если закон требует обработку без инструкции Клиента, обработчик сообщает об этом Клиенту до обработки, кроме случаев, когда закон запрещает такое уведомление. Обработчик незамедлительно сообщает, если, по его мнению, инструкция нарушает UK GDPR, GDPR ЕС или иное применимое право о защите данных, и вправе приостановить её исполнение до уточнения.

3.3. Доступ к содержимому виртуальной машины не осуществляется в обычном порядке. Ограниченный доступ возможен по инструкции Клиента либо когда он необходим для поддержки, восстановления, безопасности, реагирования на нарушение или выполнения закона; доступ ограничивается необходимым объёмом и журналируется там, где это технически возможно.

4.1. Доступ к данным получают только лица, которым он необходим для выполнения обязанностей и которые связаны договорной или установленной законом обязанностью конфиденциальности.

4.2. С учётом характера данных, рисков, стоимости и уровня технологий обработчик применяет надлежащие технические и организационные меры, включая разграничение административного доступа, многофакторную аутентификацию персонала, шифрование каналов связи, журналирование действий, резервирование, управление уязвимостями, сетевую защиту и процедуры реагирования на инциденты.

4.3. Клиент отвечает за безопасность в пределах своего управления: обновление гостевой ОС и приложений, учётные данные, права пользователей, шифрование данных при необходимости, настройки firewall и собственные резервные копии, если отдельная Услуга резервного копирования не заказана.

5.1. Клиент предоставляет общее письменное разрешение привлекать субобработчиков, необходимых для инфраструктуры, резервного копирования, связи и поддержки. К ним могут относиться CLOUD SOLUTIONS GLOBAL LTD и инфраструктурные поставщики, указанные в Политике конфиденциальности, в зависимости от заказанной локации.

5.2. На субобработчика возлагаются обязательства по защите данных не менее строгие, чем в настоящих Условиях. Первичный обработчик остаётся ответственным перед Клиентом за исполнение субобработчиком его обязательств в объёме, установленном законом.

5.3. О планируемом добавлении или замене существенного субобработчика Клиент уведомляется не менее чем за 15 дней через панель, email или Telegram. Клиент может направить обоснованное возражение по защите данных; стороны добросовестно ищут приемлемое решение. Если решение невозможно, Клиент вправе прекратить затронутую Услугу и получить возврат неиспользованной предоплаты за неё.

5.4. Передача данных за пределы Великобритании или ЕЭЗ производится только при наличии применимого решения об адекватности либо надлежащих гарантий, включая EU Standard Contractual Clauses и UK International Data Transfer Agreement или Addendum, с дополнительными мерами при необходимости.

6.1. С учётом характера обработки и доступной информации обработчик разумно помогает Клиенту отвечать на запросы субъектов, проводить оценку воздействия и предварительные консультации, обеспечивать безопасность и исполнять обязанности по уведомлению о нарушениях. Если помощь требует значительных работ вне обычной Услуги, стороны заранее согласуют разумную плату, кроме случаев, вызванных нарушением обработчика.

6.2. Обработчик сообщает Клиенту о подтверждённом нарушении безопасности персональных данных без неоправданной задержки после его обнаружения и предоставляет известные на тот момент сведения: характер нарушения, затронутые категории данных и субъектов, вероятные последствия, принятые или предлагаемые меры и контакт для взаимодействия. Недостающие сведения предоставляются поэтапно.

6.3. Обработчик не уведомляет субъектов или надзорный орган от имени Клиента без его инструкции, если это прямо не требуется законом.

7.1. До прекращения Услуги Клиент может выгрузить данные штатными средствами. После прекращения обработчик по выбору Клиента и согласно договору удаляет или возвращает персональные данные, а затем удаляет существующие копии после применимого технического срока, если закон не требует хранения. Документированный спор, запрос на перенос или обязательное требование о сохранении приостанавливает удаление в необходимом объёме.

7.2. Основной диск и резервные копии имеют отдельные жизненные циклы. По окончании применимого срока копии или после подтверждённого поручения об удалении обычный доступ к восстановлению прекращается без неоправданной задержки. Физическое удаление выполняется контролируемой процедурой, подтверждающей состояние соответствующей точки в основном и реплицированном хранилищах. До подтверждения удаления из всех копий точка остаётся вне обычного использования и не восстанавливается в рабочую Услугу, если иное не требуется законом.

7.3. После отдельного подтверждения и финальной проверки владельца, активных операций и запретов удаление основного диска сервера по инициативе Клиента может быть немедленным и необратимым. Резервные копии обрабатываются отдельно по пункту 7.2, Пользовательскому соглашению и Политике конфиденциальности. Клиент обязан выгрузить необходимые данные до подтверждения удаления.

8.1. По разумному письменному запросу обработчик предоставляет сведения, необходимые для подтверждения соблюдения статьи 28 UK GDPR и GDPR ЕС, включая применимые описания мер безопасности и независимые отчёты, если они имеются.

8.2. Не чаще одного раза в год, кроме подтверждённого инцидента или требования надзорного органа, Клиент может провести проверку через независимого аудитора, связанного конфиденциальностью. Проверка проводится в рабочее время, с разумным предварительным уведомлением, без доступа к данным других клиентов и без нарушения безопасности или работы инфраструктуры. Стороны сначала используют документы и удалённую проверку; выезд согласуется отдельно.

8.3. Каждая сторона несёт свои обычные расходы. Дополнительные разумные расходы обработчика оплачивает Клиент, кроме случаев, когда проверка выявила существенное нарушение обработчика.

9.1. Вопросы и инструкции по настоящим Условиям направляются на legal@cloudsolutionsglobal.co.uk с темой «DPA» или через тикет в панели. Запрос должен позволять установить Клиента и соответствующую Услугу.

9.2. Существенные изменения настоящих Условий сообщаются не менее чем за 30 дней. Они не уменьшают уровень защиты данных в уже оплаченном периоде без законного основания. Клиент, который обоснованно не согласен с существенным ухудшением, вправе прекратить затронутую Услугу до вступления изменений в силу и получить возврат её неиспользованной предоплаты.