DigiSoov
ETENRU

Соглашение об обработке данных

Соглашение об обработке персональных данных (GDPR, ст. 28) между Клиентом как ответственным за обработку и DigiSoov OÜ как уполномоченным обработчиком. Это неотъемлемая часть договора об ИТ-услугах, отдельной подписи не требуется.

Последнее изменение: 13.11.2026

1. Стороны и применение

Настоящее соглашение дополняет договор об услугах («Договор») между Клиентом и DigiSoov OÜ (регистрационный код 11025977, K. Kärberi tn 50-159, 13919 Tallinn, info@digisoov.ee) и действует всякий раз, когда DigiSoov OÜ («Обработчик») при оказании ИТ-услуг обрабатывает персональные данные от имени Клиента («Ответственный за обработку»).

Соглашение вступает в силу вместе с договором об услугах, то есть когда Клиент принимает Предложение или оплачивает первый счёт, и действует, пока обрабатываются персональные данные.

2. Предмет, характер и цель обработки

Обработчик обрабатывает персональные данные только для оказания Клиенту ИТ-услуг: администрирование серверов, рабочих станций, сети, почты и резервного копирования, мониторинг и поддержка пользователей.

Виды данных: данные, находящиеся в системах Клиента или доступные через них, например учётные записи пользователей, содержимое и метаданные писем, файлы, журналы, данные об устройствах и сети (идентификационные и контактные данные). Субъекты данных: сотрудники, клиенты, партнёры Клиента и другие лица, данные которых находятся в системах Клиента.

Обработчик не обрабатывает намеренно специальные категории персональных данных. Если такие данные есть в системах Клиента, Клиент заранее сообщает об этом Обработчику.

3. Инструкции

Обработчик обрабатывает персональные данные только по документированным инструкциям Ответственного за обработку. Инструкции — это Договор и письменные (в том числе по электронной почте) запросы Клиента. Если Обработчик считает, что инструкция нарушает правила защиты данных, он сообщает об этом Клиенту.

4. Конфиденциальность

Доступ к персональным данным имеют только сотрудники Обработчика, которым он необходим для оказания услуги и которые обязаны хранить данные в тайне.

5. Меры безопасности

Обработчик применяет технические и организационные меры, соответствующие рискам (GDPR, ст. 32). Меры перечислены в приложении.

6. Субобработчики

Обработчик не привлекает субобработчиков без предварительного письменного разрешения Ответственного за обработку (общего или конкретного). На привлечённого субобработчика распространяются те же обязанности по защите данных, и Обработчик отвечает за его действия. Перечень субобработчиков предоставляется по запросу.

7. Помощь в выполнении прав и обязанностей по защите данных

Обработчик в разумных пределах помогает Ответственному за обработку отвечать на запросы субъектов данных, проводить оценку воздействия и консультироваться с надзорным органом. Помощь сверх пакета оплачивается по почасовой ставке, указанной в Договоре.

8. Нарушение защиты персональных данных

Обработчик сообщает Ответственному за обработку о нарушении защиты персональных данных без неоправданной задержки и в любом случае в течение 48 часов с момента, когда ему стало об этом известно, предоставляя имеющуюся на тот момент информацию.

9. Удаление и возврат данных

По окончании Договора Обработчик по выбору Ответственного за обработку удаляет персональные данные или возвращает их, если закон не требует хранения. Резервные копии удаляются в ходе обычного цикла хранения.

10. Аудит

Обработчик предоставляет Ответственному за обработку информацию, необходимую для подтверждения соблюдения требований, и допускает аудит. Об аудите сообщается заранее в разумный срок, он проводится в рабочее время, не чаще раза в год и за счёт Ответственного за обработку.

11. Передача в третьи страны

Обработчик обрабатывает персональные данные в Европейском союзе / Европейской экономической зоне и не передаёт их в третьи страны без предварительного разрешения Ответственного за обработку и гарантий, требуемых GDPR.

12. Ответственность и применимое право

Ответственность определяется Договором в той мере, в какой это допускает закон. Применимо право Эстонии; при разночтениях приоритетна эстонская версия.

Приложение. Технические и организационные меры

Меры, соответствующие риску, в том числе:

  • персональные учётные записи и принцип наименьших привилегий; доступ только по необходимости
  • многофакторная аутентификация для административного доступа там, где система это поддерживает
  • шифрованные соединения (TLS, VPN, SSH)
  • регулярные обновления и исправления безопасности управляемых систем
  • мониторинг и резервное копирование по пакету или договорённости
  • безопасное хранение доступов и паролей; отзыв доступа при уходе сотрудника
  • обязанность сотрудников хранить конфиденциальность