Договор обработки данных
Стандартные условия, на которых SIA “DICOM” как обработчик обрабатывает персональные данные жителей в портале «Mājas Punkts» по поручению клиента (ст. 28 GDPR). Экземпляр для подписи с реквизитами обеих сторон готовим для каждого клиента — пишите на info@majaspunkts.lv.
Содержание
1. Стороны
- Владелец данных (контролёр)
- Клиент — управляющий домом, общество собственников квартир или иное лицо, заключившее договор о сервисе «Mājas Punkts» (далее — Договор об услуге).
- Обработчик
- SIA “DICOM”, рег. № 50203640081, юридический адрес Meža prospekts 4-81, Dobele, LV-3701.
Этот договор — приложение к Договору об услуге. При противоречиях по вопросам персональных данных действует этот договор.
2. Предмет, срок и цели
Обработчик обрабатывает персональные данные только для обеспечения работы портала «Mājas Punkts» для дома Владельца данных и только по его документированным указаниям. Такими указаниями являются этот договор и настройки портала, которые делает Владелец данных.
Цели обработки:
- приём, проверка и выгрузка показаний счётчиков Владельцу данных или указанному им поставщику услуг;
- отображение счетов и учёт статуса оплаты, если Владелец данных включил эту функцию;
- сообщения жителям, приглашения и восстановление доступа по e-mail;
- отображение накоплений дома, плановых работ, голосований и общего потребления;
- безопасность портала: контроль доступа, журнал действий, резервные копии.
Договор действует, пока действует Договор об услуге, а после — до передачи и удаления данных по разделу 8. Обработчик не использует данные в своих целях, не продаёт их и не использует для рекламы или профилирования.
3. Субъекты и категории данных
Субъекты данных: собственники и арендаторы квартир, которым Владелец данных открывает доступ, а также сотрудники Владельца данных (администратор, оператор, бухгалтер). Данные особых категорий (ст. 9 GDPR) не обрабатываются.
| Категория | Данные | Источник |
|---|---|---|
| Идентификация | имя, фамилия, номер клиента, адрес квартиры | Владелец данных (импорт, администрирование) |
| Контакты | e-mail, телефон | Владелец данных, житель |
| Счётчики | номера счётчиков, показания и даты, фото счётчика (если приложено) | житель, оператор |
| Счета | суммы счетов, статус и дата оплаты; данные карт и доступа к банку не хранятся — их обрабатывает платёжный сервис | Владелец данных, платёжный сервис |
| Дом | выбор при голосованиях по квартирам | житель |
| Сообщения | сообщения, факт прочтения, очередь отправленных писем | Владелец данных, портал |
| Доступ | e-mail для входа, контрольная сумма пароля (не пароль), сессии, IP-адрес, журнал действий | портал |
4. Обязанности Обработчика
Обработчик:
- обрабатывает данные только по указаниям Владельца данных; если указание, по его мнению, нарушает GDPR, немедленно сообщает об этом;
- обеспечивает, чтобы доступ к данным имели только сотрудники, которым он нужен для обслуживания портала и которые обязались соблюдать конфиденциальность;
- применяет меры безопасности, указанные в разделе 5;
- привлекает субобработчиков только по разделу 6;
- помогает Владельцу данных отвечать на запросы субъектов данных и выполнять обязанности по ст. 32–36 GDPR (безопасность, нарушения, оценка воздействия);
- после окончания договора передаёт и удаляет данные по разделу 8;
- предоставляет Владельцу данных информацию, необходимую для проверки исполнения договора (раздел 7).
Владелец данных отвечает за наличие законного основания для данных, вносимых в портал, за информирование субъектов данных (ст. 13–14 GDPR) и за своих сотрудников, которым он открывает доступ к администрированию.
5. Меры безопасности
Обработчик обеспечивает как минимум следующие технические и организационные меры (ст. 32 GDPR):
| Область | Мера |
|---|---|
| Разделение | для каждого дома — отдельный экземпляр портала со своей базой данных и своим ключом шифрования; данные других клиентов в него не попадают |
| Соединение | только HTTPS (TLS); письма отправляются по шифрованному соединению |
| Доступ | вход только по приглашению Владельца данных; роли (администратор, оператор, бухгалтер только для просмотра); автоматический выход при неактивности; ограничение попыток входа |
| Пароли и ключи | пароли хранятся только в виде контрольной суммы; ключи почтового и платёжного сервисов — в зашифрованном виде |
| Файлы | фото счётчиков и документы дома доступны только вошедшим пользователям, а не по публичной ссылке |
| Прослеживаемость | журнал изменений данных в администрировании |
| Резервные копии | копия базы данных каждую ночь (хранится 14 дней) и перед каждым обновлением портала |
| Инфраструктура | серверы в Латвии, межсетевой экран, регулярные обновления ПО |
Обработчик может заменить меры равноценными или более строгими, не снижая уровень защиты.
6. Субобработчики и место хранения данных
Данные хранятся и обрабатываются на серверах Обработчика в Латвии и не передаются в страны за пределами Европейской экономической зоны.
В настоящее время Обработчик не использует субобработчиков: портал, база данных, почтовый сервер и резервные копии находятся в собственной инфраструктуре Обработчика.
Нового субобработчика Обработчик может привлечь, письменно уведомив Владельца данных не менее чем за 30 дней. Владелец данных в этот срок может возразить и, если согласие не достигнуто, расторгнуть Договор об услуге. На субобработчика возлагаются те же обязанности по защите данных, что и в этом договоре.
Платёжный сервис (например, Klix by Citadele) и поставщик воды или тепла, которому Владелец данных передаёт выгрузку показаний, не являются субобработчиками: договор с ними Владелец данных заключает сам.
7. Нарушения, права субъектов данных и аудит
Нарушение защиты персональных данных. Обработчик уведомляет Владельца данных без неоправданной задержки, не позднее 24 часов после обнаружения нарушения. В уведомлении указывается, что произошло, какие данные и сколько субъектов затронуто, возможные последствия и принятые меры. Уведомление Datu valsts inspekcija (в течение 72 часов) и субъектов данных — обязанность Владельца данных; Обработчик предоставляет ему нужную информацию.
Права субъектов данных. Если субъект данных обращается к Обработчику, тот в течение 5 рабочих дней пересылает запрос Владельцу данных и сам на него не отвечает. По просьбе Владельца данных Обработчик в течение 10 рабочих дней готовит выписку данных конкретного субъекта, исправляет или удаляет данные, если Владелец данных не может сделать это сам в администрировании портала.
Аудит. По запросу Владельца данных, не чаще раза в год, Обработчик письменно описывает принятые меры безопасности и отвечает на вопросы. Проверку на месте согласовывают не менее чем за 14 дней; её расходы несёт Владелец данных, если при проверке не выявлено существенного нарушения договора.
8. Хранение, окончание договора и удаление данных
Данные хранятся, пока действует Договор об услуге. Отдельные записи (например, выехавшего жителя) во время договора удаляет Владелец данных в администрировании портала или по его просьбе Обработчик.
После окончания Договора об услуге:
- Обработчик в течение 30 дней передаёт Владельцу данных все данные — показания и список клиентов в формате CSV, а по запросу также полную копию базы данных и загруженные файлы;
- после передачи, но не позднее 60 дней после окончания договора, Обработчик удаляет экземпляр портала, его базу данных и файлы;
- данные в резервных копиях исчезают автоматически по мере их устаревания — не позднее 90 дней после удаления экземпляра; до этого копии не используются;
- Обработчик письменно подтверждает удаление.
Дольше Обработчик может хранить данные, только если этого требует законодательство, и только столько, сколько оно требует.
9. Заключительные положения
Стороны отвечают за убытки, причинённые другой стороне или субъектам данных нарушением этого договора или GDPR, в соответствии со ст. 82 GDPR и Договором об услуге. К договору применяется законодательство Латвийской Республики; споры решаются путём переговоров, а при недостижении согласия — в суде Латвийской Республики.
Изменения подписанного экземпляра действительны только в письменной форме и при подписи обеих сторон. Договор подписывается безопасной электронной подписью и составляется на латышском языке.