Соглашение об обработке данных (DPA)
Последнее обновление: 14 октября 2026
Шаблон условий обработки персональных данных по ст. 28 GDPR для корпоративных клиентов, использующих AACFlow.
Соглашение заключается между клиентом («Контролёр») и Chibilyaev Alexandr, [[TO BE FILLED: street and number]], [[TO BE FILLED: postal code]] [[TO BE FILLED: city]], Germany («Обработчик», AACFlow) и становится частью Условий использования с момента принятия или подписания клиентом. Для подписания: legal@aacflow.io. Юридически приоритетны английская и немецкая версии.
1. Предмет, срок, характер и цель
Обработчик обрабатывает персональные данные только для предоставления платформы AACFlow (автоматизация рабочих процессов и агентов, базы знаний, таблицы, журналы) по документированным инструкциям Контролёра на срок действия основного договора. Категории субъектов и данных — в Приложении I.
2. Инструкции
Обработчик обрабатывает данные только по документированным инструкциям Контролёра, включая трансграничную передачу, если иное не требует право ЕС/государства-члена (тогда он заранее уведомляет Контролёра). Использование функций платформы считается инструкцией. Если инструкция, по мнению Обработчика, нарушает закон, он немедленно уведомляет Контролёра.
3. Конфиденциальность
Лица, допущенные к обработке, связаны обязательством конфиденциальности.
4. Безопасность
Обработчик применяет меры из Приложения II и обзора безопасности и развивает их, не снижая согласованный уровень защиты.
5. Субобработчики
Контролёр даёт общее разрешение на привлечение субобработчиков из списка на /subprocessors. Обработчик возлагает на них обязанности не ниже настоящих и отвечает за них.
6. Изменения
О новых или заменяемых субобработчиках сообщается не менее чем за 30 дней на странице списка и по запросу по e-mail. Контролёр вправе по обоснованным причинам возразить; если согласие не достигнуто, он может расторгнуть затронутую услугу с пропорциональным возвратом неиспользованной предоплаты.
7. Содействие
Обработчик помогает Контролёру в исполнении запросов субъектов данных (ст. 12–22 GDPR), обеспечении безопасности, уведомлении о нарушениях, оценке воздействия и консультациях (ст. 32–36), и незамедлительно пересылает полученные запросы субъектов.
8. Нарушения безопасности
Обработчик уведомляет Контролёра о нарушении без неоправданной задержки после выявления; целевой срок: [[TO BE FILLED: Owner - breach-notification target, e.g. 48 hours]]; с информацией по ст. 33(3) GDPR.
9. Удаление и возврат
После окончания договора Обработчик удаляет или возвращает все персональные данные по выбору Контролёра, если законом не требуется хранение. Резервные копии перезаписываются в штатном цикле. [[TO BE FILLED: Owner — срок удаления после прекращения, напр. 30 дней]]
10. Аудит
Обработчик предоставляет информацию, необходимую для подтверждения соответствия, и допускает аудит (не чаще раза в год, с уведомлением не менее чем за 30 дней, в рабочее время, без несоразмерного ущерба работе сервиса). Расходы несёт Контролёр, если нарушения не выявлены.
11. Трансграничная передача
При передаче данных в страны без решения об адекватности (в т. ч. в США и РФ) применяются Стандартные договорные положения ЕС (Решение (ЕС) 2021/914), Модуль 2 и 3, и, для Великобритании, UK Addendum; при применимости — EU-US Data Privacy Framework. Для данных граждан РФ дополнительно действует Политика конфиденциальности (RU) и Федеральный закон № 152-ФЗ.
12. Ответственность и право
Ответственность определяется основным договором; ст. 82 GDPR сохраняется. В вопросах защиты данных настоящее DPA приоритетнее Условий. Применимое право: [[TO BE FILLED: governing law]]; подсудность для коммерсантов: [[TO BE FILLED: place of jurisdiction]], если допустимо.
Приложение I — описание обработки
| Пункт | Описание |
|---|---|
| Контролёр | Клиент |
| Обработчик | Chibilyaev Alexandr, [[TO BE FILLED: street and number]], [[TO BE FILLED: postal code]] [[TO BE FILLED: city]], Germany |
| Контакт по защите данных | [[TO BE FILLED: Data protection officer / privacy contact (if legally required)]] |
| Субъекты | Сотрудники и пользователи клиента, его клиенты/лиды и иные лица, чьи данные клиент загружает в процессы, базы знаний или таблицы |
| Категории данных | Идентификационные (имя, e-mail), содержимое коммуникаций, вход/выход процессов, промпты и ответы ИИ, данные использования и журналов; специальные категории — только по отдельному соглашению |
| Операции | Хранение, получение, передача выбранным клиентом моделям/интеграциям, удаление |
| Срок | Срок основного договора плюс возврат/удаление |
Приложение II — технические и организационные меры
- Контроль доступа: аутентификация, управление сессиями, опционально SSO/SCIM.
- Разграничение прав: ролевая модель, журнал аудита.
- Передача: TLS, защита исходящих запросов (SSRF).
- Шифрование хранимых учётных данных (AES-256-GCM).
- Разделение: рабочие пространства и организации.
- Доступность и восстановление: [[TO BE FILLED: Owner — политика резервного копирования]]
- Подробнее: обзор безопасности.
