Соглашение об обработке данных

Tootela управляется компанией Tootela SAS, французской компанией. Настоящее DPA предоставляется на русском языке для удобства; в случае спора применяется французское право, как указано в Условия использования.

1. Стороны

Настоящее соглашение об обработке данных («DPA») заключается между Tootela SAS («Обработчик» или «Tootela») и клиентом, принявшим Условия использования Tootela («Контролёр» или «Клиент»). Оно является частью Условий использования и применяется всякий раз, когда Tootela обрабатывает Персональные данные от имени Клиента.

2. Определения

Термины, написанные с заглавной буквы, имеют значения, установленные в Общем регламенте ЕС по защите данных 2016/679 («GDPR»), если не указано иное. «Персональные данные», «Субъект данных», «Обработка», «Контролёр», «Обработчик», «Субобработчик» соответствуют определениям GDPR. «Контент Клиента» имеет значение, указанное в Условиях использования.

3. Предмет и срок

Предмет, характер, цель, типы Персональных данных и категории Субъектов данных описаны в Приложении A. Настоящее DPA действует в течение срока подписки Клиента, а также в течение периода после прекращения, необходимого для возврата или удаления данных, как описано в разделе 12.

4. Обработка только по документированным инструкциям

Tootela обрабатывает Персональные данные исключительно по документированным инструкциям Клиента, которые включают Условия использования, настройки конфигурации, сделанные в рабочем пространстве Клиента, и любые дополнительные инструкции, согласованные в письменной форме. Tootela уведомит Клиента, если сочтёт, что инструкция нарушает GDPR или иное применимое законодательство о защите данных.

Tootela не передаёт Персональные данные за пределами сферы действия настоящего DPA, не продаёт Персональные данные и не использует Контент Клиента для обучения моделей ИИ (и договорно запрещает своему Субобработчику ИИ делать это).

5. Конфиденциальность

Tootela обеспечивает, чтобы персонал, уполномоченный обрабатывать Персональные данные, был связан надлежащими обязательствами о конфиденциальности и прошёл обучение по защите данных.

6. Меры безопасности

Tootela применяет надлежащие технические и организационные меры (ТОМ) для обеспечения уровня безопасности, соответствующего риску. Действующие ТОМ описаны в Приложении B. Tootela может время от времени обновлять ТОМ при условии, что уровень защиты не снижается.

7. Субобработчики

Клиент уполномочивает Tootela привлекать Субобработчиков, перечисленных в Приложении C, а также любого другого Субобработчика, о котором Клиент был уведомлён не менее чем за 30 дней до начала обработки Персональных данных. Клиент может возразить против нового Субобработчика по обоснованным причинам (защита данных); если стороны не достигнут согласия в течение 15 дней, Клиент может расторгнуть затронутую услугу по своему усмотрению. Tootela налагает на каждого Субобработчика договорные обязательства, не менее защитные, чем обязательства настоящего DPA.

8. Содействие в реализации прав субъектов данных

Клиент может выполнить многие запросы Субъектов данных непосредственно через обычные функции продукта (просмотр, исправление и удаление записей в своём собственном рабочем пространстве). В отношении запросов, требующих поддержки Tootela : включая запросы на доступ, переносимость или удаление, выходящие за рамки того, что позволяют инструменты рабочего пространства : Клиент обращается по адресу contact@tootela.net, и Tootela окажет содействие надлежащими техническими и организационными мерами с учётом характера обработки.

Если Субъект данных обращается непосредственно в Tootela с запросом, касающимся обработки Клиента, Tootela перенаправит запрос Клиенту.

9. Уведомление о нарушении защиты персональных данных

Tootela уведомляет Клиента без неоправданной задержки (и в любом случае в течение 48 часов) после того, как ей стало известно о Нарушении защиты персональных данных, затрагивающем данные Клиента. Уведомление включает характер нарушения, категории и приблизительное число затронутых Субъектов данных и записей, вероятные последствия, а также меры, принятые или предложенные для устранения нарушения.

10. Международные передачи

Персональные данные обрабатываются преимущественно в Европейском союзе (регион по умолчанию: eu-west-3 (Paris, France)). При передаче Персональных данных за пределы ЕЭЗ Tootela опирается на:

• Решение об адекватности в соответствии со статьёй 45 GDPR, или
• Стандартные договорные положения ЕС (Модуль 3, «Обработчик-Обработчику» для Субобработчиков), утверждённые Исполнительным решением Комиссии (ЕС) 2021/914, дополненные надлежащими техническими и организационными мерами (шифрование, псевдонимизация, контроль доступа).

SCC включены посредством ссылки. Клиент принимает их как экспортёр данных; Tootela принимает их как импортёр данных для передач своим Субобработчикам за пределами ЕЭЗ.

11. Права на аудит

Tootela предоставляет Клиенту всю информацию, необходимую для демонстрации соблюдения статьи 28 GDPR. Аудиты обычно удовлетворяются посредством:

• страницу безопасности, поддерживаемой в актуальном состоянии
• Письменных ответов на разумные вопросники Клиента по безопасности

Если этих ресурсов недостаточно, Клиент может запросить аудит на месте, проводимый за счёт Клиента, при письменном уведомлении не менее чем за 30 дней, не чаще одного раза в год, в рабочее время и при условии взаимно согласованного объёма и конфиденциальности.

12. Возврат и удаление данных

По прекращении подписки Клиент имеет 30 дней для экспорта своего Контента : через продукт, где соответствующее приложение предоставляет экспорт, или запросив экспорт по адресу contact@tootela.net. По истечении этого срока Tootela удаляет все Персональные данные Клиента из своих производственных систем, за исключением случаев, требуемых для установленного законом хранения (напр. записи о выставлении счетов). Резервные копии перезаписываются по графику ротации поставщика резервного копирования.

13. Ответственность

Положения об ответственности Условий использования в равной степени применяются к настоящему DPA. Ничто в настоящем DPA не ограничивает и не исключает ответственность, которая не может быть исключена согласно применимому праву.

Приложение A : Описание обработки

Предмет

Предоставление бизнес-операционной системы Tootela (чат, почта, календарь, документы, диск, проекты, CRM, служба поддержки, отдел кадров, ИИ-ассистент и связанные функции).

Характер и цель

Хостинг, хранение, передача, отображение, индексирование, поиск, обработка и защита Контента Клиента в соответствии с настройками, заданными Клиентом в его рабочем пространстве.

Срок

В течение срока подписки Клиента, плюс 30 дней на экспорт, плюс период ротации резервных копий.

Категории Субъектов данных

• Сотрудники и подрядчики Клиента
• Клиенты, потенциальные клиенты и контакты Клиента
• Соискатели работы (если Клиент использует приложение для рекрутинга)
• Любые другие Субъекты данных, чьи Персональные данные Клиент решает обрабатывать через Tootela

Категории Персональных данных

• Идентификационные данные (имя, эл. почта, телефон, должность)
• Профессиональные данные (работодатель, должность, отдел)
• Содержание коммуникаций (сообщения, письма, документы, комментарии, файлы)
• Данные об активности (события календаря, задачи, сделки, тикеты)
• Данные аутентификации (хешированные пароли, коды подтверждения, токены сессий)
• Технические данные (IP, браузер, устройство, журналы)
• Особые категории данных : только если Клиент решает их загрузить; Tootela не требует данных особых категорий

Приложение B : Технические и организационные меры

Действующие ТОМ задокументированы на страницу безопасности и включены сюда посредством ссылки. Основные средства контроля:

• Шифрование TLS при передаче; шифрование при хранении, управляемое нашими поставщиками инфраструктуры
• Аутентификация, управляемая Supabase Auth : пароли хешируются, никогда не хранятся в открытом виде; доступна двухфакторная аутентификация по коду из письма
• Безопасность на уровне строк (row-level security) в базе данных для изоляции арендаторов
• Управление доступом на основе ролей в каждом рабочем пространстве
• Доступ к рабочей среде ограничен небольшим числом уполномоченных лиц
• Ежедневное резервное копирование, выполняемое нашим поставщиком базы данных
• База данных, размещённая в ЕС (eu-west-3 (Paris, France))
• Уведомление Клиента о нарушении в течение 48 часов после того, как о нём стало известно
• Проверка поставщиков и письменное DPA для каждого Субобработчика

Приложение C : Перечень Субобработчиков

Обновляется всякий раз при изменении этого перечня; текущие Субобработчики: