Соглашение об обработке данных (DPA)

Настоящее Соглашение об обработке данных («DPA») является частью Условий использования Signeto и регулирует обработку персональных данных в рамках сервиса Signeto в соответствии с Регламентом (ЕС) 2016/679 (GDPR).

1. Стороны

• Оператор данных (Controller): клиент Signeto (компания или физическое лицо, использующее сервис).
• Обработчик данных (Processor): Relond Grupp OÜ, регистрационный код 12197858, Kooli 10, Jõhvi, 41532, Эстония.

2. Предмет и цель обработки

Relond Grupp OÜ обрабатывает персональные данные исключительно в целях оказания услуг Signeto в соответствии с Условиями использования. Обработка включает создание, подписание, хранение и доставку цифровых актов выполненных работ.

3. Характер и цель обработки

• Сбор и хранение данных в системе.
• Обработка документов и генерация PDF-файлов.
• Применение и проверка электронных подписей.
• Передача данных оператору и уполномоченным им лицам.

4. Категории обрабатываемых персональных данных

• Контактные данные: имя, адрес электронной почты, номер телефона, должность.
• Данные подписей: идентификационные данные подписантов, метки времени, IP-адреса.
• Содержимое документов: информация, введённая в акты (описание работ, объём, стоимость).
• Техническая метаинформация: сведения об устройстве, время входа в систему, журналы использования.

5. Категории субъектов данных

Сотрудники, подрядчики и клиенты клиентов Signeto, данные которых обрабатываются в актах.

6. Срок обработки

DPA действует в течение всего срока использования клиентом сервиса Signeto. После прекращения договора персональные данные удаляются в соответствии с разделом 11 настоящего DPA.

7. Обязательства обработчика данных (ст. 28 GDPR)

Relond Grupp OÜ обязуется:

• обрабатывать персональные данные только на основании задокументированных инструкций оператора;
• обеспечивать принятие лицами, имеющими доступ к данным, обязательств по соблюдению конфиденциальности;
• применять надлежащие технические и организационные меры безопасности в соответствии со ст. 32 GDPR;
• не привлекать новых субобработчиков без предварительного письменного согласия оператора;
• оказывать содействие оператору в реализации прав субъектов данных;
• оказывать содействие оператору в выполнении обязательств по ст. 32–36 GDPR;
• удалять или возвращать все персональные данные после окончания оказания услуг;
• предоставлять оператору всю необходимую информацию для подтверждения соответствия.

8. Субобработчики

Действующие утверждённые субобработчики:

• Hetzner GmbH (Германия, зарегистрирована в Гунценхаузене) — облачный хостинг, серверы расположены в Хельсинки, Финляндия (ЕС). Назначение: хранение данных и хостинг сервиса.

О привлечении новых субобработчиков уведомляем оператора не менее чем за 14 дней. Оператор вправе направить обоснованное возражение в течение 14 дней.

9. Меры безопасности

Применяемые меры:

• Шифрование при передаче: TLS 1.3 для всех соединений.
• Шифрование при хранении: AES-256 на уровне базы данных и файлового хранилища.
• Контроль доступа: ролевой доступ, многофакторная аутентификация (MFA) для администраторов.
• Резервное копирование: ежедневное автоматическое резервирование, срок хранения 30 дней.
• Тестирование безопасности: регулярные оценки уязвимостей и тесты на проникновение.
• Журналы доступа: все обращения к данным фиксируются и хранятся 12 месяцев.

10. Уведомление об утечке данных

При обнаружении утечки персональных данных мы уведомляем оператора в письменной форме в течение 72 часов (ст. 33 GDPR). Уведомление содержит: описание инцидента, категории и примерное количество затронутых субъектов и записей, вероятные последствия, а также принятые и планируемые меры.

11. Возврат и удаление данных

После прекращения договорных отношений:

• у оператора есть 30 дней для экспорта данных в машиночитаемом формате;
• по истечении 30-дневного срока все персональные данные удаляются безвозвратно (если законодательство не требует более длительного хранения);
• по запросу оператора предоставляем письменное подтверждение факта удаления.

12. Право на аудит

Оператор вправе проводить проверки и инспекции для подтверждения соблюдения настоящего DPA. Запрос на аудит направляется в письменной форме не менее чем за 30 дней. Проверки проводятся по взаимному согласованию и не должны нарушать работу сервиса или конфиденциальность данных других клиентов. Relond Grupp OÜ может предоставить отчёт сертифицированного аудитора вместо прямой проверки.

13. Международная передача данных

Данные обрабатываются исключительно на территории ЕС/ЕЭП. Дата-центры Hetzner GmbH в Хельсинки расположены в Финляндии (ЕС), поэтому дополнительные меры защиты при передаче в третьи страны не требуются.

14. Контакт

По вопросам, связанным с DPA: info@signeto.eu
Relond Grupp OÜ, Kooli 10, Jõhvi, 41532, Эстония.