Настоящее Соглашение об обработке персональных данных ("DPA") является неотъемлемой частью Договора об оказании услуг между ООО «Два ПиЭр» («Обработчик») и Клиентом («Оператор»). Оно регулирует обработку персональных данных, осуществляемую Обработчиком от имени Оператора в рамках сервиса 4Pay.online.
1.1. «Персональные данные» — любая информация, относящаяся к определённому или определяемому физическому лицу.
1.2. «Оператор» — Клиент, который определяет цели и способы обработки персональных данных.
1.3. «Обработчик» — ООО «Два ПиЭр», осуществляющий обработку персональных данных от имени Оператора.
1.4. «Обработка» — любая операция с персональными данными: сбор, хранение, использование, передача, удаление.
1.5. «Привлечённый обработчик» — третье лицо, привлечённое Обработчиком для содействия в обработке персональных данных.
2.1. Обработчик обрабатывает персональные данные только в объёме, необходимом для оказания сервиса 4Pay.online, на основании задокументированных инструкций Оператора.
2.2. Категории субъектов: работники, клиенты и контрагенты Оператора, чьи данные передаются через Сервис.
2.3. Категории данных: контактные и идентификационные сведения, данные платёжных транзакций, технические идентификаторы.
3.1. Обрабатывать персональные данные только по задокументированным инструкциям Оператора, если иное не требуется применимым законодательством.
3.2. Обеспечить, что лица, допущенные к обработке, связаны обязательствами конфиденциальности.
3.3. Применять надлежащие технические и организационные меры защиты в соответствии со ст. 32 GDPR и применимыми законами.
3.4. Оказывать содействие Оператору в выполнении запросов субъектов персональных данных.
3.5. По окончании оказания услуг — удалить или вернуть все персональные данные согласно инструкциям Оператора.
3.6. Предоставлять информацию для подтверждения соответствия настоящему DPA по запросу Оператора.
4.1. Оператор несёт ответственность за обработку запросов субъектов (доступ, исправление, удаление, переносимость, возражение).
4.2. Обработчик незамедлительно уведомляет Оператора, если получил запрос непосредственно от субъекта данных.
4.3. Обработчик оказывает разумное техническое содействие Оператору для обеспечения прав субъектов.
4.4. Срок ответа Обработчика на запрос Оператора о содействии — не позднее 5 рабочих дней.
5.1. Оператор даёт общее согласие на привлечение Обработчиком третьих лиц на условиях, установленных настоящим DPA.
5.2. Обработчик возлагает на привлечённых обработчиков те же обязательства по защите данных, что предусмотрены настоящим DPA.
5.3. Обработчик уведомляет Оператора о планируемых изменениях состава привлечённых обработчиков с разумным заблаговременным предупреждением.
6.1. Обработчик применяет шифрование данных при передаче и хранении, контроль доступа и регулярные проверки безопасности.
6.2. Данные платёжных карт обрабатываются исключительно в рамках PCI DSS-сертифицированной инфраструктуры. CHD/SAD не хранятся по завершении транзакции.
6.3. Доступ к персональным данным предоставляется по принципу минимальных привилегий и контролируется средствами строгой аутентификации.
7.1. Обработчик уведомляет Оператора об инциденте с персональными данными без необоснованной задержки, не позднее 72 часов с момента его обнаружения.
7.2. Уведомление содержит: характер инцидента, категории и примерное число субъектов и записей, вероятные последствия, принятые меры.
7.3. Оператор несёт ответственность за уведомление регулятора и субъектов данных в случаях, предусмотренных законом.
8.1. Передача персональных данных за пределы ЕЭЗ допускается только при наличии надлежащих гарантий (СКК, решение об адекватности и др.).
8.2. По запросу Оператора Обработчик предоставляет информацию о механизмах передачи.
9.1. DPA действует в течение срока Договора об оказании услуг и автоматически прекращается при его истечении или расторжении.
9.2. DPA регулируется правом, применимым к Договору об оказании услуг. Вопросы по DPA: support@4pay.online.