Обработка корпоративных данных

Стороны и область поручения

Документ предназначен для включения в договор между компанией-заказчиком и поставщиком Academy CanLup. Само размещение текста или создание аккаунта сотрудником не заключает поручение от имени компании. До начала обработки на этом основании стороны определяют перечисленные ниже параметры и подтверждают договор в форме, позволяющей установить их волю.

Поставщик: Баца Алла Антоновна. Статус: Самозанятый, плательщик налога на профессиональный доход, без ИП. Страна: Российская Федерация. ИНН / регистрационный номер: 890603453994. Почтовый адрес для юридически значимых обращений в этой предварительной редакции не указан; необходимые сведения должны быть определены до заключения платного договора. Электронная почта: batsaaleksey@gmail.com.

Для целей корпоративного рабочего пространства заказчик определяет цели обработки, категории участников и данных и допустимые действия. Поставщик выполняет поручение в согласованных пределах. В российской модели это обработка по поручению оператора; при применимости GDPR — отношения контролёра и обработчика в соответствующей части.

Параметры конкретного поручения

Поручение действует только вместе с заполненными и согласованными параметрами. Его нельзя считать универсальным разрешением обрабатывать любые сведения любых людей. Изменение цели, состава данных, региона или исполнителей оформляется до соответствующего изменения обработки.

• Наименование и реквизиты заказчика и поставщика, рабочее пространство и полномочия представителя заказчика.
• Предмет, характер, цели и срок обработки; категории субъектов и перечень разрешённых персональных данных.
• Разрешённые действия с данными, регион и фактические места обработки, включая условия доступа из других стран.
• Утверждённые исполнители и интеграции, состав передаваемых им данных и основания внешней передачи.
• Контакты для запросов и инцидентов, сроки уведомления, порядок проверки мер защиты и завершения обработки.

Цели, данные и операции

В обычном корпоративном сценарии цель — предоставить инструменты для размещения собственных материалов организации, управления доступом её участников, назначения задач и учёта выполнения. Возможные субъекты — сотрудники и иные законно приглашённые компанией участники. Конкретный состав определяется поручением.

Допустимый перечень может включать имя или обозначение участника, корпоративный контакт, идентификатор аккаунта, компанию, отдел, роль, назначения, ответы, попытки выполнения, прогресс, рабочие материалы и связанные технические события. Платформа не требует включать паспортные данные, сведения о здоровье или иные специальные категории для обычного использования.

В пределах поручения могут выполняться получение, запись, систематизация, хранение, уточнение, извлечение, использование, предоставление разрешённого доступа, ограничение, удаление и уничтожение. Передача внешнему исполнителю разрешается только на согласованных условиях. Использование корпоративных материалов для самостоятельной рекламы поставщика не входит в поручение.

Обязанности заказчика

• Определить законную цель и основание обработки, предоставить участникам необходимую информацию и получить согласия там, где они требуются. Договор между компанией и поставщиком не заменяет автоматически основание обработки данных сотрудника.
• Передавать необходимый объём данных и поддерживать их актуальность; ограничивать полномочия администраторов и своевременно отзывать ненужный доступ.
• Проверять права на размещаемые материалы и сообщать об ограничениях, влияющих на работу с ними.
• Не поручать использование специальных категорий, биометрических данных или данных детей без отдельного правового и технического согласования.

Обязанности поставщика

• Обрабатывать корпоративные данные только по документированным законным указаниям заказчика и в согласованных целях. При выявлении указания, которое нарушает применимые требования, уведомить заказчика и приостановить спорное действие в необходимой части.
• Обеспечивать конфиденциальность и ограничивать доступ уполномоченными лицами, связанными соответствующими обязанностями.
• Применять необходимые организационные и технические меры защиты, соблюдать применимые требования локализации и не расширять круг получателей только вследствие изменения тарифа.
• По запросу предоставлять сведения и документы, подтверждающие выполнение поручения и мер защиты, содействовать рассмотрению обращений и уведомлять о предусмотренных законом инцидентах.
• Не использовать полученные по поручению данные для самостоятельных несовместимых целей. Обработка для иной собственной цели допустима лишь при отдельном законном основании и необходимом информировании; само поручение такого разрешения не содержит.

Доступ и меры защиты

Рабочие пространства, отделы и роли ограничивают доступ к корпоративным материалам. Личные Inbox, Vault и диалоги пользователя не становятся корпоративными только из-за его членства в организации. Перенос материала между областями требует разрешения, совместимого с исходными правами.

Согласованные меры должны охватывать управление доступом, защиту соединений и учётных данных, регистрацию значимых событий, устранение уязвимостей, действия при инцидентах и контроль завершения обработки. Защита соединения не должна объявляться шифрованием всего содержимого базы.

Проверка выполнения поручения проводится с разумным предварительным согласованием и без раскрытия чужих данных, секретов или создания угрозы работе сервиса. Это условие не ограничивает обязательные полномочия надзорных органов и предоставление доказательств по законному требованию.

Регион и внешние исполнители

Регион устанавливается для конкретного рабочего пространства после проверки возможности его обеспечить и применимых требований к данным участников. Страна регистрации компании сама по себе не определяет все обязанности по локализации. До отдельного подтверждения нельзя считать, что сервис автоматически разворачивает инфраструктуру в стране каждого заказчика.

Место основной базы и отсутствие международной передачи — разные характеристики. При оценке учитываются внешние подключения, служебные сообщения, диагностические сведения и доступ исполнителей. Обработка за пределами согласованной территории допускается только при наличии применимого основания и соблюдении необходимых процедур.

Привлечение другого исполнителя требует предусмотренного поручением разрешения заказчика. Ему сообщаются сведения, необходимые для оценки получателя, функций, данных и географии обработки. Если применяется общее разрешение, порядок предварительного уведомления об изменениях и рассмотрения возражений согласуется заранее. На исполнителя возлагаются совместимые обязанности; его привлечение не снимает собственных обязанностей поставщика.

Для режима с территориальными ограничениями несовместимое подключение не должно включаться до согласования допустимого решения. Публикация этих правил не является подтверждением, что такой режим уже реализован для конкретного заказчика.

Запросы участников

Запрос по корпоративным данным передаётся стороне, уполномоченной определить соответствующее действие, с необходимым содействием другой стороны. Поставщик не должен раскрывать корпоративные данные по неподтверждённому запросу, а заказчик не вправе запрашивать через это поручение чужую личную область.

Стороны помогают найти данные, установить основание и выполнить законное исправление, ограничение, выгрузку или удаление. Перенаправление обращения не используется для уклонения от обязательного ответа. Запрос по самостоятельным целям поставщика рассматривается им в собственной роли.

Инциденты и взаимодействие

При выявлении нарушения безопасности, затрагивающего данные поручения, поставщик без неоправданной задержки сообщает заказчику по согласованному каналу. Предельный срок и ответственные контакты определяются так, чтобы заказчик мог исполнить свои обязательные сроки уведомления. Отсутствие всех результатов расследования не является основанием отложить первоначальное сообщение.

В доступном на соответствующем этапе объёме сообщение содержит характер события, затронутые категории и ориентировочный объём данных, возможные последствия, предпринятые меры и контакт для взаимодействия. Новая существенная информация передаётся дополнительно. Стороны сохраняют необходимые доказательства и распределяют действия по обязательным уведомлениям в соответствии со своими ролями.

Окончание поручения

По окончании согласованного срока или законному указанию заказчика поставщик прекращает соответствующую обработку и обеспечивает возврат или удаление данных в согласованном порядке и применимые обязательные сроки. Формат выгрузки, период для её получения и подтверждение удаления определяются до начала обработки.

Если закон требует продолжить хранение определённых записей, поставщик указывает основание и необходимый объём, ограничивает доступ и не использует их для несовместимых целей. Удаление корпоративного пространства не означает автоматического удаления самостоятельного личного аккаунта и данных, законно обрабатываемых для другой цели.

Собственные цели и приоритет норм

Обслуживание отношений с заказчиком, учёт оплаты, защита сервиса и самостоятельные функции личного аккаунта могут требовать обработки, в которой поставщик определяет собственные цели. Они раскрываются в политике и не прикрываются корпоративным поручением.

При применимости GDPR дополнительно обеспечиваются обязательные условия статьи 28, содействие по статьям 32–36 и законные механизмы главы V для международной передачи. Для обработки, подпадающей под российское право, применяются обязательные требования закона № 152-ФЗ. Одного выбора языка или подписания этого документа недостаточно для подтверждения выполнения всех процедур.