Соглашение об обработке данных

1. Стороны и сфера действия#

Настоящее Соглашение об обработке данных («Соглашение») заключается между владельцем магазина, который его принимает («Клиент» или «Контролёр»), и компанией Partnerfy.co («Partnerfy» или «Обработчик»), зарегистрированной по адресу Partnerfy Bilgi Teknolojileri ve Pazarlama Sanayi Ticaret Ltd. Şti., Orta Mah. Kavaklar Cad. No:15 Ofisada Plaza D:104, Adapazarı, Sakarya, Türkiye под регистрационным номером MERSIS 0722116506400001, trade registry no. 43130 (Adapazarı), tax no. 7221165064, оператором платформы Kambloo.

Соглашение является частью Условий использования. Оно применяется ко всем персональным данным покупателей магазина Клиента, его сотрудников и других субъектов данных, которые Partnerfy обрабатывает от имени Клиента при оказании услуги Kambloo («Данные Клиента»). Принятие настоящего Соглашения — обязательный шаг мастера запуска; принятая версия, дата и IP-адрес фиксируются.

Настоящее Соглашение составлено так, чтобы отвечать требованиям статьи 28 Общего регламента ЕС по защите данных («GDPR») и Закона Турции о защите персональных данных № 6698 («KVKK») вместе с решениями Совета по защите персональных данных.

2. Определения#

Термины «персональные данные», «обработка», «контролёр», «обработчик», «субъект данных», «нарушение безопасности персональных данных» и «надзорный орган» имеют значения, установленные GDPR и KVKK. «Субобработчик» — третье лицо, привлечённое Partnerfy для обработки Данных Клиента. «Указания» — документированные указания Клиента, которые состоят из Условий использования, настоящего Соглашения и настроек, выбранных Клиентом в панели управления.

3. Роли#

Клиент является контролёром Данных Клиента и определяет цели и способы их обработки. Partnerfy является обработчиком и обрабатывает Данные Клиента только по Указаниям Клиента, кроме случаев, когда этого требует закон.

В отношении персональных данных, относящихся к собственному аккаунту Клиента в Kambloo, Partnerfy выступает самостоятельным контролёром, и применяется Политика конфиденциальности.

4. Сведения об обработке#

Предмет, срок, характер, цель обработки, виды персональных данных и категории субъектов данных изложены в Приложении 1.

5. Обязанности Обработчика#

Partnerfy обязуется:

1. обрабатывать Данные Клиента только по Указаниям Клиента и сообщать Клиенту, если считает, что Указание нарушает законодательство о защите данных;
2. обеспечивать, чтобы лица, уполномоченные обрабатывать Данные Клиента, были связаны обязательствами о конфиденциальности;
3. применять технические и организационные меры, описанные в Приложении 2, и регулярно их пересматривать;
4. привлекать субобработчиков только в соответствии с разделом 7;
5. содействовать Клиенту, с учётом характера обработки, в ответах на обращения субъектов данных согласно разделу 9;
6. содействовать Клиенту в исполнении его обязанностей в части безопасности, уведомления о нарушениях, оценки воздействия на защиту данных и предварительных консультаций с надзорными органами, с учётом информации, доступной Partnerfy;
7. удалить или вернуть Данные Клиента по окончании оказания услуги в соответствии с разделом 11;
8. предоставлять сведения, необходимые для подтверждения соблюдения настоящего Соглашения, и допускать проверки в соответствии с разделом 12;
9. вести учёт операций обработки, выполняемых от имени Клиента, если этого требует закон.

6. Обязанности Клиента#

Клиент обязуется:

1. обеспечить наличие правового основания для сбора и обработки Данных Клиента и для поручения их обработки Partnerfy;
2. опубликовать уведомление о конфиденциальности для своих субъектов данных и получить все согласия, которых требует закон, включая согласия на коммерческие электронные сообщения по турецкому Закону № 6563 и в системе İYS;
3. настроить магазин, включая флажки согласия, маркетинговые цепочки и параметры хранения данных, в соответствии с применимым правом;
4. не загружать специальные категории персональных данных, если у него нет правового основания и он не уведомил об этом Partnerfy письменно;
5. хранить учётные данные своего аккаунта в безопасности и включить двухфакторную аутентификацию для сотрудников с доступом к Данным Клиента;
6. отвечать на обращения субъектов данных и запросы надзорных органов, направленные ему как контролёру.

7. Субобработчики#

7.1 Разрешение#

Клиент даёт общее разрешение Partnerfy привлекать субобработчиков, перечисленных в Приложении 3. Partnerfy возлагает на каждого субобработчика обязательства по защите данных не менее строгие, чем в настоящем Соглашении, и остаётся ответственным за исполнение обязательств субобработчиком.

7.2 Изменения#

Partnerfy публикует изменения Приложения 3 по адресу kambloo.com/legal/dpa и уведомляет Клиента по электронной почте не менее чем за 30 дней до того, как новый субобработчик начнёт обрабатывать Данные Клиента. Клиент может в течение этого срока письменно возразить по обоснованным причинам, связанным с защитой данных. Если стороны не могут урегулировать возражение, Клиент может прекратить получение затронутой услуги в соответствии с Условиями использования.

8. Нарушение безопасности персональных данных#

Partnerfy уведомляет Клиента без неоправданной задержки и в любом случае в течение 72 часов после того, как ему стало известно о нарушении безопасности персональных данных, затрагивающем Данные Клиента. В уведомлении описываются, в известном объёме, характер нарушения, категории и приблизительное число затронутых субъектов данных и записей, вероятные последствия, принятые или предлагаемые меры и контактное лицо. Partnerfy может предоставлять сведения по частям, по мере их поступления.

Процесс реагирования Partnerfy на инциденты состоит из обнаружения, сортировки для выявления затронутых магазинов, локализации (включая приостановку затронутого магазина, если это необходимо), устранения, уведомления и разбора после инцидента. Partnerfy сотрудничает с Клиентом в исполнении его собственных обязанностей по уведомлению надзорных органов и субъектов данных, включая 72-часовой срок уведомления Совета по защите персональных данных по KVKK.

9. Обращения субъектов данных#

Панель управления Kambloo содержит инструменты, позволяющие Клиенту отвечать на обращения субъектов данных напрямую, включая экспорт данных покупателя и обезличивание его персональных полей по требованию. Записи о заказах сохраняются в обезличенном виде там, где этого требуют торговое и налоговое право.

Если Partnerfy получает обращение напрямую от субъекта данных Клиента, Partnerfy не отвечает по существу, но передаёт обращение Клиенту без неоправданной задержки и оказывает разумное содействие.

10. Международная передача данных#

Данные Клиента размещаются преимущественно в Турции и Европейском союзе. Если субобработчик из Приложения 3 обрабатывает Данные Клиента за пределами Турции или Европейской экономической зоны, передача осуществляется на основании механизма, допускаемого применимым правом: для GDPR — решения об адекватности или стандартных договорных положений Европейской комиссии; для KVKK — одного из механизмов статьи 9, включая стандартный договор, о котором уведомлён Совет по защите персональных данных. По запросу Partnerfy предоставляет Клиенту сведения об использованном механизме.

11. Удаление и возврат Данных Клиента#

11.1 В период оказания услуги#

Клиент может в любой момент экспортировать данные магазина из панели управления. Экспорт содержит базу данных магазина и список медиафайлов в форматах JSON и CSV и предоставляется по подписанной ссылке, действующей 72 часа.

11.2 При прекращении#

Когда Клиент удаляет магазин или оказание услуги прекращается иным образом, начинается 30-дневный период ожидания. В течение него магазин приостановлен, Клиент может экспортировать Данные Клиента, а удаление можно отменить. По окончании периода ожидания Partnerfy:

1. удаляет выделенную базу данных магазина;
2. стирает медиафайлы магазина из объектного хранилища;
3. удаляет поисковый индекс магазина;
4. снимает собственные домены магазина и сертификаты;
5. обезличивает запись магазина в центральной базе данных платформы, сохраняя только отметку времени удаления и хеш как подтверждение удаления.

Копии в резервных копиях после удаления не восстанавливаются и исчезают в ходе ротации резервных копий: ежедневные — в течение 14 дней, еженедельные — в течение 3 месяцев. Partnerfy сохраняет документы, требуемые законом, например счета, в соответствии с Политикой конфиденциальности.

12. Проверка#

По письменному запросу и не чаще одного раза в год, если иного не требует надзорный орган, Partnerfy предоставляет Клиенту документацию, разумно необходимую для подтверждения соблюдения настоящего Соглашения, включая краткие отчёты о последнем внешнем тестировании на проникновение и свои политики безопасности. Если этой документации недостаточно, Клиент может провести проверку самостоятельно или через независимого аудитора, связанного обязательством конфиденциальности, в разумное время, с уведомлением не менее чем за 30 дней, не нарушая работу услуги и за счёт Клиента. Partnerfy может потребовать, чтобы результаты проверки считались конфиденциальными.

13. Ответственность#

Ответственность каждой стороны по настоящему Соглашению подчиняется ограничениям и исключениям, установленным Условиями использования, за исключением случаев, когда применимое законодательство о защите данных не допускает такого ограничения.

14. Срок действия и приоритет#

Настоящее Соглашение действует, пока Partnerfy обрабатывает Данные Клиента, и сохраняет силу после прекращения Условий использования до завершения удаления по разделу 11. При противоречии между настоящим Соглашением и Условиями использования в части обработки Данных Клиента преимущественную силу имеет настоящее Соглашение. При противоречии между настоящим Соглашением и императивными нормами законодательства о защите данных преимущественную силу имеет закон.

15. Контакты#

Partnerfy.co (Kambloo) Partnerfy Bilgi Teknolojileri ve Pazarlama Sanayi Ticaret Ltd. Şti., Orta Mah. Kavaklar Cad. No:15 Ofisada Plaza D:104, Adapazarı, Sakarya, Türkiye Регистрационный номер: MERSIS 0722116506400001, trade registry no. 43130 (Adapazarı), tax no. 7221165064 Контакт по защите данных: [email protected] Инциденты безопасности: [email protected]

Приложение 1. Сведения об обработке#

Приложение 2. Технические и организационные меры безопасности#

Изоляция. Данные каждого магазина хранятся в выделенной базе данных с учётными данными, ограниченными этой базой. Кеш, файловое хранилище, поисковые индексы и фоновые задачи разделены по магазинам, а выполнение задачи проверяет контекст магазина перед запуском.

Управление доступом. Разрешения в панели управления основаны на ролях. Двухфакторная аутентификация доступна всем пользователям и обязательна для владельцев действующих магазинов. Сеансы хранятся на сервере, используют защищённые (secure) и недоступные скриптам (HTTP-only) файлы cookie и истекают через 12 часов для панелей управления. Чувствительные действия требуют повторного подтверждения паролем. Доступ сотрудников Partnerfy к магазину журналируется, требует зафиксированного основания, по умолчанию доступен только для чтения и, пока он активен, показывается заметным баннером в панели управления магазина.

Шифрование. TLS 1.2 или выше для всего трафика; сертификаты выпускаются и продлеваются автоматически. Пароли хешируются современным алгоритмом; секреты двухфакторной аутентификации и API-токены шифруются при хранении. Резервные копии хранятся в отдельном бакете с учётными данными, которые со стороны приложения позволяют только запись.

Безопасность платежей. Данные карты вводятся только в размещённую у платёжного провайдера форму и никогда не попадают в системы Partnerfy. Платформа работает в области действия PCI DSS SAQ-A. Вебхуки проверяются по подписи и защищены от повторного воспроизведения.

Безопасность приложения. Разработка следует мерам OWASP Top 10 со статическим анализом, проверкой зависимостей на уязвимости при каждой сборке и контрольным списком безопасности при код-ревью. Сторонние модули App Market проходят автоматическую и ручную проверку безопасности до публикации. Загружаемые файлы проверяются и хранятся вне корневого веб-каталога.

Ограничение частоты запросов и защита от злоупотреблений. Многоуровневые ограничения частоты запросов при аутентификации, создании магазинов и обращении к API. Автоматическая проверка новых магазинов на фишинг и выдачу себя за другие бренды. Периодические проверки доменов магазинов на безопасность просмотра.

Журналирование и мониторинг. Журналы аудита административных действий на уровне платформы и магазина с маскированием чувствительных значений. Журналы уровня магазина хранятся 400 дней, журналы уровня платформы — 2 года, затем архивируются без возможности изменения.

Резервное копирование и восстановление. Ночные резервные копии базы данных каждого магазина, хранятся 14 дней (ежедневные) и 3 месяца (еженедельные). Резервные копии центральной платформы дважды в сутки, хранятся 30 дней (ежедневные) и 12 месяцев (ежемесячные). Ежемесячные тесты восстановления на случайно выбранных магазинах. Документированные целевые показатели восстановления и план аварийного восстановления.

Управление обновлениями. Уязвимости безопасности устраняются в зависимости от их серьёзности: критические — в течение 24 часов, высокого уровня — в течение 72 часов, среднего — в течение 14 дней, низкого — в течение 30 дней. Обновления безопасности применяются ко всем магазинам автоматически.

Тестирование. Ежегодное внешнее тестирование на проникновение и внутренняя проверка безопасности каждого крупного выпуска. Программа ответственного раскрытия по адресу [email protected].

Реагирование на инциденты. Документированный регламент, охватывающий обнаружение, сортировку, локализацию, устранение, уведомление в течение 72 часов и разбор после инцидента.

Приложение 3. Субобработчики#

Платёжные субобработчики обрабатывают Данные Клиента только для магазинов, подключивших соответствующего провайдера. Дополнительные интеграции, которые Клиент подключает из App Market (например, службы доставки, сервисы выставления счетов или маркетплейсы), привлекаются Клиентом напрямую и не являются субобработчиками Partnerfy.