Соглашение об обработке данных

Настоящее Соглашение об обработке данных (DPA) заключается между Бизнес-аккаунтом (далее — «Контролёр») и *** (далее — «Процессор») и определяет условия обработки персональных данных клиентов Контролёра на Платформе Tak i Tik.

DPA является неотъемлемой частью Пользовательского соглашения и действует в течение всего срока использования Платформы.

Категории обрабатываемых данных:

• Идентификационные данные клиентов (ФИО, телефон, email).
• Данные бронирований (дата, время, услуга, стоимость).
• История визитов и предпочтения.
• Платёжная информация (без данных банковских карт).

*** как Процессор обязуется:

• Обрабатывать персональные данные исключительно по поручению и в интересах Контролёра.
• Не использовать данные клиентов Контролёра для собственных целей.
• Обеспечивать конфиденциальность персональных данных.
• Содействовать Контролёру в реализации прав субъектов данных.
• Уведомлять Контролёра об инцидентах безопасности в течение 24 часов.
• Удалить или вернуть все персональные данные по завершении обработки.

Для обеспечения безопасности персональных данных применяются следующие технические меры:

• Политика информационной безопасности: регулярно обновляемая внутренняя документация.
• Обучение: регулярное обучение сотрудников по защите данных.
• NDA: все сотрудники подписывают соглашение о неразглашении.
• Проверка сотрудников: background check при приёме на работу.
• Реагирование на инциденты: документированный план реагирования (IRP).
• Управление уязвимостями: регулярное сканирование и пентестинг.

Для предоставления услуг мы привлекаем следующих субпроцессоров:

Субпроцессор	Функция	Локация данных
Yandex Cloud	Хостинг, хранение данных	Россия
ЮKassa	Обработка платежей	Россия
SMS Aero	SMS-уведомления	Россия
Unisender	Email-рассылки	Россия
Firebase (Google)	Push-уведомления	ЕС (Финляндия)

О привлечении новых субпроцессоров Контролёр уведомляется за 30 дней. Контролёр вправе возразить против привлечения нового субпроцессора.

Со всеми субпроцессорами заключены соглашения об обработке данных, обеспечивающие не менее строгий уровень защиты.

Контролёр имеет право на проверку соблюдения Процессором условий DPA:

• Аудит документации: по запросу, не чаще 1 раза в год.
• Инспекция на месте: по предварительному согласованию (уведомление за 30 дней).
• Отчёты о безопасности: предоставляются по запросу.
• Результаты пентестов: summary-отчёты предоставляются по запросу (NDA).

Расходы на аудит несёт Контролёр, за исключением случаев выявления нарушений.

В случае инцидента безопасности, затрагивающего персональные данные:

1. Обнаружение: автоматические системы мониторинга + ручной мониторинг.
2. Уведомление Контролёра: в течение 24 часов после подтверждения инцидента.
3. Содержание уведомления: характер инцидента, затронутые данные, предпринятые меры, рекомендации.
4. Устранение: немедленные меры по локализации и устранению последствий.
5. Post-mortem: детальный отчёт в течение 72 часов.

Содействие в уведомлении Роскомнадзора и субъектов данных — по запросу Контролёра.

По завершении DPA (прекращение подписки, расторжение Соглашения):

• Экспорт: Контролёр может экспортировать все данные в формате JSON/CSV в течение 30 дней.
• Удаление: все персональные данные удаляются в течение 30 дней после завершения DPA.
• Бэкапы: данные из резервных копий удаляются в течение 90 дней.
• Подтверждение: сертификат удаления предоставляется по запросу.

Данные могут быть сохранены дольше, если это требуется действующим законодательством (бухгалтерская отчётность, налоговый учёт).