Property Rooms — Data Processing Agreement (DPA)

Настоящее Соглашение об обработке персональных данных («DPA») является частью договора, регулирующего использование Property Rooms.

Русская версия предоставляется для удобства. В случае расхождений приоритет имеет польская версия, если обязательные нормы применимого законодательства не предусматривают иное.

1. Стороны

Контролёр

Контролёром является агентство недвижимости, независимый риелтор или иной профессиональный клиент, указанный в Property Rooms как владелец аккаунта («Контролёр»).

Контролёр определяет, каких клиентов приглашать в Property Rooms и для каких целей их персональные данные обрабатываются в комнатах клиентов.

Обработчик

Aliaksandr Karnilovich NIP: 9512513807 Wąwozowa 6/61 02-796 Warszawa Poland

Email: privacy@propertyrooms.pl

оператор сервиса Property Rooms («Обработчик»).

Контролёр и Обработчик совместно именуются «Стороны».

2. Область действия

DPA применяется в тех случаях, когда Property Rooms обрабатывает персональные данные от имени Контролёра в связи с комнатами клиентов и связанными функциями совместной работы («Данные комнат клиентов»).

Данные комнат клиентов включают персональные данные, внесённые в комнаты или созданные в процессе их использования Контролёром, его сотрудниками, приглашёнными клиентами и другими авторизованными участниками.

DPA не применяется к данным, для которых Property Rooms самостоятельно определяет цели и способы обработки, включая администрирование аккаунта Property Rooms, безопасность платформы, расчёты и выставление счетов, заявки на пробный доступ, обращения в поддержку, выполнение юридических обязанностей и анонимную или агрегированную статистику, которая более не относится к идентифицированному или идентифицируемому человеку.

Технические данные об активности, необходимые для работы комнат, статуса прочтения, уведомлений и безопасности, остаются в рамках DPA, если они относятся к идентифицируемым участникам комнаты.

Данные, полученные из Данных комнат клиентов, не используются Property Rooms для собственных независимых целей продуктовой аналитики, если они предварительно не были анонимизированы или агрегированы таким образом, что больше не относятся к идентифицированному или идентифицируемому человеку.

3. Роли Сторон

В отношении Данных комнат клиентов:

владелец аккаунта выступает Контролёром; Property Rooms выступает Обработчиком.

Обработчик обрабатывает Данные комнат клиентов только на основании документированных инструкций Контролёра, в объёме, необходимом для предоставления сервиса, либо когда этого требует законодательство Европейского Союза или государства-члена ЕС.

Если закон требует обработки за пределами инструкций Контролёра, Обработчик уведомляет Контролёра до начала такой обработки, если закон не запрещает такое уведомление.

Если, по мнению Обработчика, инструкция нарушает законодательство о защите персональных данных, Обработчик уведомляет Контролёра без неоправданной задержки.

4. Документированные инструкции

К документированным инструкциям относятся действия авторизованных пользователей в Property Rooms, включая:

создание и управление комнатами клиентов; приглашение и удаление участников; добавление, изменение и удаление объектов и заметок; использование общего чата и обсуждений конкретных объектов; сохранение реакций и информации о ходе работы; отправку сервисных уведомлений; настройку аккаунта и комнат; авторизованные обращения в поддержку; иные письменные инструкции, согласованные Сторонами.

Обработчик не обязан выполнять незаконную или технически невозможную инструкцию либо инструкцию, существенно выходящую за рамки согласованного сервиса, без отдельного соглашения.

5. Обязанности Контролёра

Контролёр отвечает за:

наличие соответствующего законного основания для обработки Данных комнат клиентов; предоставление информации, требуемой статьями 13 или 14 GDPR, в зависимости от ситуации; приглашение только тех лиц, чьи данные Контролёр имеет право обрабатывать; ограничение объёма данных разумно необходимой информацией; наличие права раскрывать информацию, вносимую в Property Rooms; определение целей и правовых оснований обработки; актуальность прав доступа пользователей своего аккаунта.

Property Rooms не предназначен для систематической обработки специальных категорий персональных данных по статье 9 GDPR либо данных о судимостях и правонарушениях по статье 10 GDPR.

Контролёр не должен намеренно вносить такие данные без соответствующего законного основания и, при необходимости, согласования дополнительных мер защиты.

6. Конфиденциальность

Обработчик обеспечивает, чтобы лица, имеющие доступ к Данным комнат клиентов:

были связаны обязательством конфиденциальности; получали доступ только в объёме, необходимом для выполнения обязанностей; обрабатывали данные в соответствии с DPA и документированными инструкциями.

Технические администраторы Property Rooms не имеют обычного прикладного доступа, позволяющего свободно просматривать комнаты клиентов.

Доступ авторизованного персонала к производственным системам или данным допускается только в объёме, разумно необходимом для работы сервиса, безопасности, расследования инцидентов, технического обслуживания или выполнения требований закона.

7. Безопасность

Обработчик внедряет и поддерживает технические и организационные меры, соответствующие риску обработки, в соответствии со статьёй 32 GDPR.

Основные категории мер приведены в Приложении II.

Обработчик может изменять отдельные меры по мере развития технологий и рисков при условии, что общий уровень защиты существенно не снижается.

8. Субобработчики

Контролёр предоставляет Обработчику общее разрешение на использование субобработчиков, необходимых для предоставления Property Rooms.

Текущие поставщики указаны в Приложении III и могут также публиковаться на актуальной странице субобработчиков Property Rooms.

Обработчик:

поддерживает актуальный перечень существенных субобработчиков; возлагает на них соответствующие обязательства по защите данных; несёт ответственность за исполнение ими обязанностей в объёме, предусмотренном применимым законодательством.

Контролёр получает разумное предварительное уведомление о существенном новом субобработчике, который будет обрабатывать Данные комнат клиентов, как правило примерно за 14 дней, если это практически возможно.

Контролёр может в течение этого периода заявить обоснованное возражение по причинам, связанным с защитой персональных данных.

Стороны предпримут разумные усилия для урегулирования возражения.

Если разумное решение невозможно, Контролёр вправе прекратить использование затронутой части сервиса или соответствующую обработку до начала работы нового субобработчика.

9. Международная передача данных

Передача Данных комнат клиентов за пределы Европейской экономической зоны осуществляется в соответствии с главой V GDPR.

В зависимости от обстоятельств могут использоваться:

решение об адекватности; Стандартные договорные положения Европейской комиссии; иной разрешённый законом механизм передачи.

Контролёр уполномочивает Обработчика заключать необходимые соглашения о передаче данных с утверждёнными субобработчиками в объёме, необходимом для предоставления сервиса.

10. Права субъектов данных

С учётом характера обработки Обработчик оказывает Контролёру разумную помощь в рассмотрении запросов, касающихся:

доступа; исправления; удаления; ограничения обработки; переносимости; возражения; иных применимых прав субъектов данных.

Если Обработчик получает непосредственно от субъекта данных запрос, относящийся преимущественно к Данным комнат клиентов, он может направить заявителя к Контролёру либо уведомить Контролёра и помочь с подготовкой ответа.

Обработчик не определяет самостоятельно правовое основание или содержательный ответ на запрос, относящийся к обязанностям Контролёра, если это не требуется законом.

11. Нарушение безопасности персональных данных

Обработчик уведомляет Контролёра без неоправданной задержки после того, как ему стало известно о нарушении безопасности Данных комнат клиентов.

В пределах имеющейся информации уведомление содержит сведения, разумно необходимые Контролёру для оценки его обязанностей, включая:

характер инцидента; категории затронутых данных; категории или приблизительное количество затронутых лиц, если это известно; вероятные последствия; меры, принятые или запланированные для ограничения последствий; контакт для получения дополнительной информации.

Если вся информация недоступна сразу, она может предоставляться поэтапно.

Обработчик оказывает Контролёру разумное содействие в расследовании и реагировании на инцидент.

12. Помощь в обеспечении соответствия

С учётом характера обработки и доступной информации Обработчик оказывает Контролёру разумную помощь в выполнении требований, связанных с:

безопасностью обработки; нарушениями персональных данных; оценками воздействия на защиту данных; предварительными консультациями с надзорными органами; правами субъектов данных; информацией, необходимой для подтверждения соблюдения статьи 28 GDPR.

Обычная помощь, являющаяся частью нормальной работы сервиса, включена в Property Rooms.

Необычно большой объём помощи, вызванный исключительно специальными compliance-требованиями Контролёра, может предоставляться за разумную отдельно согласованную плату, если это допускается законом.

Это ограничение не применяется, если помощь необходима вследствие нарушения DPA по вине Обработчика.

13. Возврат и удаление данных

До удаления Контролёр может запросить через поддержку возврат Данных комнат клиентов в разумно доступном структурированном формате.

Property Rooms не обязан предоставлять отдельный self-service инструмент экспорта.

После прекращения сервиса Контролёр может выбрать:

возврат Данных комнат клиентов; либо удаление Данных комнат клиентов.

Если Контролёр не дал иной инструкции, по умолчанию данные удаляются в соответствии с применимой политикой хранения.

Данные активной производственной среды удаляются в соответствии с опубликованным сроком хранения, в настоящее время, как правило, не позднее 30 дней после прекращения сервиса.

Остаточные копии могут находиться в ротационных резервных копиях до окончания срока хранения соответствующего backup. Резервные копии предназначены для обеспечения устойчивости и аварийного восстановления и не используются для обычной активной обработки.

Обработчик вправе хранить данные, если этого требует законодательство ЕС или государства-члена.

14. Аудиты и информация о соответствии

Обработчик предоставляет информацию, разумно необходимую для подтверждения выполнения DPA и статьи 28 GDPR.

В первую очередь Стороны могут использовать:

документацию по безопасности; письменные ответы на вопросы; существующие compliance-материалы; удалённую проверку.

Контролёр вправе провести аудит самостоятельно или с участием уполномоченного аудитора, если это разумно необходимо для подтверждения соответствия.

За исключением срочных ситуаций, таких как серьёзный инцидент безопасности или требование надзорного органа, аудит должен проводиться с разумным предварительным уведомлением, в обычные рабочие часы и без неоправданного нарушения работы сервиса или конфиденциальности других клиентов.

Каждая Сторона несёт собственные расходы на аудит, если только аудит не выявит существенное нарушение DPA по вине Обработчика либо применимое законодательство не требует иного.

15. Срок действия

DPA действует всё время, пока Обработчик обрабатывает Данные комнат клиентов от имени Контролёра.

Положения о конфиденциальности, возврате и удалении данных, аудите и ответственности продолжают действовать после прекращения сервиса в той мере, в какой сохраняются соответствующие данные или обязательства.

16. Соотношение с Terms of Service

DPA дополняет Terms of Service Property Rooms.

При противоречии в вопросах обработки Данных комнат клиентов применяется следующий приоритет:

обязательные нормы законодательства о защите данных; настоящее DPA; Terms of Service в остальной части.

Положения Terms of Service о применимом праве и юрисдикции распространяются также на DPA, если обязательное законодательство о защите данных не предусматривает иное.

17. Электронное принятие

DPA может быть принято в электронной форме.

Property Rooms хранит запись о принятии, содержащую как минимум:

аккаунт Контролёра; лицо, осуществившее принятие; версию DPA; дату и время принятия.

Лицо, принимающее DPA от имени организации, подтверждает наличие полномочий связать эту организацию условиями DPA.

18. Контакт

Вопросы по DPA или Данным комнат клиентов можно направлять по адресу:

privacy@propertyrooms.pl

Приложение I — Описание обработки

A. Предмет

Предоставление Property Rooms как закрытого пространства для совместной работы, в котором специалисты по недвижимости и их клиенты могут обсуждать, оценивать и сравнивать объекты, а также управлять связанным клиентским процессом.

B. Продолжительность

В течение срока использования Property Rooms Контролёром и соответствующих сроков удаления данных и хранения резервных копий после прекращения сервиса.

C. Характер и цели обработки

Обработка может включать:

сбор информации от авторизованных пользователей; хранение информации комнат клиентов; управление участниками и правами доступа; хранение сообщений, комментариев и заметок; хранение реакций и предпочтений по объектам; хранение вручную внесённой информации об объектах; ведение статусов и следующих шагов; сравнение объектов; статус прочтения; сервисные уведомления; аутентификацию и контроль доступа; резервное копирование и аварийное восстановление; устранение технических проблем; безопасность и предотвращение злоупотреблений; техническую поддержку по инструкции Контролёра.

D. Категории субъектов данных

В зависимости от использования сервиса:

потенциальные покупатели; потенциальные арендаторы; клиенты Контролёра; собственники или продавцы, если их данные внесены; приглашённые члены семьи или другие участники; риелторы и иной авторизованный персонал, чья активность является частью клиентского процесса.

E. Категории персональных данных

В зависимости от использования сервиса:

имя; адрес электронной почты; членство в комнате; предпочтения по объектам; бюджет и предпочтительные районы, если указаны; сообщения; комментарии; реакции; информация о ходе работы; заметки; информация, добровольно внесённая пользователями; идентификаторы и временные метки, необходимые для работы функций, статуса прочтения и уведомлений.

F. Специальные категории данных

Систематическая обработка данных по статьям 9 и 10 GDPR не является предусмотренной функцией Property Rooms.

Приложение II — Технические и организационные меры

Property Rooms применяет меры, соответствующие характеру сервиса и связанным рискам, включая:

разграничение доступа по аккаунтам, ролям и комнатам; проверку прав доступа на серверной стороне; защищённые механизмы аутентификации; соответствующую защиту паролей, токенов и иных данных аутентификации; многофакторную аутентификацию для привилегированного административного доступа; передачу данных через HTTPS/TLS; ограничение доступа к production-среде в соответствии с рабочей необходимостью; регулярное резервное копирование и процедуры восстановления; отделение демонстрационной среды от производственных данных; журналирование соответствующих административных событий и событий безопасности; процедуры реагирования на инциденты; процедуры отзыва доступа; механизмы удаления и хранения данных; минимизацию данных в соответствии с назначением сервиса.

Конкретная реализация мер может изменяться по мере развития технологий и рисков.