Соглашение об обработке персональных данных

Защищённые запросы проходят аутентификацию и проверку прав. Важные операции регистрируются в журнале аудита.

Haviqo обрабатывает персональные данные от имени Контролера в течение срока действия договора подписки и в течение любого предусмотренного законом последующего срока хранения. Предметом является предоставление услуг платформы Haviqo, как описано в Условиях обслуживания.

Haviqo обрабатывает следующие категории персональных данных для следующих целей:

• Обрабатывать персональные данные только на основании документально зафиксированных инструкций Контролёра (как указано в Условиях обслуживания и настоящем DPA).
• Обеспечить, чтобы лица, уполномоченные обрабатывать персональные данные, были связаны обязательствами по конфиденциальности.
• Внедрять соответствующие технические и организационные меры безопасности (см. Раздел 7).
• Не привлекать субобработчиков без предварительного письменного разрешения Контролёра (см. Раздел 5).
• Оказывать помощь Контролёру в обработке запросов субъектов персональных данных в сроки, требуемые UAE PDPL и GDPR.
• Уведомить Контролёра без необоснованной задержки (и в течение 72 часов) после обнаружения нарушения безопасности персональных данных, как предусмотрено статьёй 17 UAE PDPL.
• Удалить или вернуть все персональные данные Контролёру по прекращении соглашения (см. Раздел 10).
• Предоставить всю информацию, необходимую для подтверждения соблюдения положений настоящего DPA, и обеспечить возможность проведения аудитов (см. Раздел 11).

В настоящее время Haviqo использует следующих одобренных субобработчиков:

Haviqo уведомит Контроллера не менее чем за 30 дней до добавления или замены субпроцессора. Контроллер может возразить в течение 14 дней.

Получив запрос субъекта данных, относящийся к данным, обрабатываемым Haviqo от имени Контроллера, Haviqo незамедлительно уведомит Контроллера и предоставит разумную помощь, чтобы позволить Контроллеру ответить в установленный срок (15 дней в соответствии с PDPL ОАЭ; 30 дней в соответствии с GDPR).

Haviqo реализует следующие технические и организационные меры, соответствующие требованиям статьи 11 UAE PDPL и статьи 32 GDPR:

• Защита HTTPS при передаче и управляемая провайдерами защита при хранении согласно активной конфигурации.
• Многоарендная изоляция на уровне строк, обеспечиваемая на уровне приложения и базы данных.
• Управление доступом на основе ролей (RBAC) с принципом наименьших привилегий.
• Неизменяемые журналы аудита для всех событий доступа и изменения данных.
• Регулярное проведение тестов на проникновение и оценки уязвимостей.
• План реагирования на инциденты с определёнными процедурами эскалации.

В случае нарушения безопасности персональных данных Haviqo уведомит Контролера без неоправданной задержки и в течение 72 часов с момента обнаружения нарушения (UAE PDPL Article 17). Уведомление будет включать: (a) характер нарушения; (b) категории и приблизительное количество затронутых субъектов данных; (c) категории и приблизительное количество затронутых записей; (d) вероятные последствия; (e) меры, принятые или предлагаемые для устранения нарушения.

Контроллер продолжает нести ответственность за уведомление Офиса по защите данных ОАЭ в течение 72 часов и за уведомление затронутых субъектов данных, как того требует статья 14 PDPL ОАЭ.

Основные персональные данные размещаются в Европейском союзе (Франкфурт, Германия) у Supabase (база данных, аутентификация, хранилище) и Render (серверный API). Некоторые субобработчики находятся в США: Vercel Inc. (хостинг фронтенда), Resend через Amazon SES (транзакционная электронная почта), Upstash (ограничение скорости) и Groq Inc. (обработка ИИ). Передачи субобработчикам, базирующимся в США, регулируются договорными условиями и соглашениями об обработке данных каждого поставщика, формализованными в соответствии с UAE Federal Decree-Law No. 45 of 2021 (PDPL). Обработчик обеспечивает, что каждый субобработчик связан обязательствами по защите данных как минимум эквивалентными обязательствам по настоящему Соглашению. Текущий перечень субобработчиков приведен в Разделе 5.

После прекращения подписки Haviqo предоставляет отдельное 30-дневное окно экспорта. Затем данные тенанта следуют 90-дневному жизненному циклу удаления. Содержимое Шаблонов документов подпадает под действие любой активной юридической блокировки на уровне тенанта; V6.1B не активирует автоматический планировщик очистки, и выполнение остается под управлением сервиса.

Контролер может, направив письменное уведомление за 30 дней и за свой счет, провести аудит деятельности Haviqo по обработке, охватываемой настоящим Соглашением об обработке данных, либо поручить это квалифицированному стороннему аудитору. Haviqo будет полностью сотрудничать при таких аудитах и предоставит доступ к соответствующей документации.

Настоящее Соглашение об обработке данных регулируется законодательством ОАЭ. Споры подлежат разрешению в соответствии с положением о разрешении споров в Условиях обслуживания.