Настоящее Соглашение об обработке данных («DPA») является частью соглашения, регулирующего использование Платформы и Сервисов KWIGA, включая Условия использования KWIGA («Соглашение»), между:
TUTERIA VCC, зарегистрированный адрес: 17A Vrabcha Street, Floor 1, Apt 3, 1000 Sofia, Bulgaria («KWIGA», «TUTERIA», «мы», «нас» или «Обработчик»),
и
физическим лицом, компанией, организацией, школой, Экспертом, создателем курса или иным лицом, использующим Сервисы KWIGA и определяющим цели и средства обработки персональных данных посредством Платформы KWIGA («Клиент», «Пользователь платформы» или «Контролёр»).
Настоящее DPA применяется в тех случаях и в той мере, в которых TUTERIA VCC обрабатывает Персональные данные от имени Клиента в связи с предоставлением Сервисов KWIGA.
Настоящее DPA дополняет Соглашение и должно толковаться совместно с Политикой конфиденциальности KWIGA и другими применимыми договорными документами.
Для целей настоящего DPA:
«Применимое законодательство о защите данных» означает все законы о защите данных и конфиденциальности, применимые к обработке Персональных данных в рамках настоящего DPA, включая, где применимо, Регламент (ЕС) 2016/679 («GDPR»).
«Контролёр», «Обработчик», «Субъект данных», «Персональные данные», «Обработка», «Нарушение безопасности персональных данных» и «Надзорный орган» имеют значения, установленные GDPR или иным Применимым законодательством о защите данных.
«Клиент» означает Пользователя платформы, который использует Сервисы KWIGA и определяет цели и средства Обработки Данных сервиса.
«Данные сервиса» означают Персональные данные, загруженные в Платформу KWIGA, собранные через неё, созданные в ней или иным образом обрабатываемые посредством Платформы KWIGA Клиентом или от его имени в связи с использованием Сервисов.
Данные сервиса могут включать Персональные данные, обрабатываемые через CRM KWIGA, LMS, курсы, образовательные программы, функциональность управления студентами и клиентами, средства коммуникации, автоматизации, оценивания и другие функции Платформы, используемые Клиентом.
«Субобработчик» означает третье лицо, привлечённое KWIGA для Обработки Данных сервиса от имени Клиента.
Когда Клиент определяет цели и средства Обработки Данных сервиса, Клиент выступает Контролёром таких Персональных данных.
Клиент несёт ответственность за свою деятельность по Обработке и за соблюдение обязательств, применимых к Контролёрам в соответствии с Применимым законодательством о защите данных.
Когда TUTERIA VCC Обрабатывает Данные сервиса от имени Клиента и в соответствии с инструкциями Клиента, TUTERIA VCC выступает Обработчиком.
TUTERIA VCC обязуется Обрабатывать такие Данные сервиса в соответствии с настоящим DPA, Соглашением, документированными инструкциями Клиента и Применимым законодательством о защите данных.
Определённые операции Обработки могут осуществляться TUTERIA VCC для целей, самостоятельно определяемых TUTERIA VCC.
Такие цели могут включать, где применимо:
администрирование и эксплуатацию Платформы KWIGA;
безопасность и целостность Платформы;
предотвращение мошенничества и злоупотреблений;
выявление и расследование несанкционированного доступа и инцидентов безопасности;
соблюдение юридических или регуляторных обязательств;
управление собственными договорными отношениями TUTERIA VCC;
установление, осуществление или защиту юридических требований; и
иные цели, описанные в Политике конфиденциальности KWIGA.
Когда TUTERIA VCC самостоятельно определяет цели и средства такой Обработки, TUTERIA VCC выступает независимым Контролёром в отношении такой Обработки.
Такая Обработка регулируется Политикой конфиденциальности KWIGA и Применимым законодательством о защите данных и не является Обработкой, осуществляемой TUTERIA VCC как Обработчиком в рамках настоящего DPA.
Сам по себе факт того, что Клиент и TUTERIA VCC могут Обрабатывать определённую информацию, относящуюся к одному и тому же Субъекту данных, не означает, что стороны выступают совместными контролёрами.
Роль каждой стороны определяется исходя из целей и средств соответствующей деятельности по Обработке.
Клиент обязан соблюдать Применимое законодательство о защите данных в связи со сбором, использованием, раскрытием и иной Обработкой Данных сервиса.
Клиент несёт ответственность за обеспечение того, что:
a. у него имеется надлежащее правовое основание для Обработки Данных сервиса;
b. Данные сервиса были собраны законно;
c. Данные сервиса законно раскрываются или иным образом предоставляются KWIGA для Обработки;
d. Субъекты данных получают все уведомления о конфиденциальности и информацию, требуемые Применимым законодательством о защите данных;
e. любое согласие, необходимое для деятельности Клиента по Обработке, было получено надлежащим образом;
f. инструкции Клиента для KWIGA соответствуют Применимому законодательству о защите данных;
g. Клиент обрабатывает только те Персональные данные, которые необходимы для его законных и правомерных целей; и
h. для Данных сервиса, находящихся под контролем Клиента, установлены надлежащие сроки хранения.
Клиент не должен использовать Сервисы для сбора или Обработки Особых категорий Персональных данных в значении статьи 9 GDPR, если Клиент не установил действительное правовое основание и, где требуется, применимое условие по статье 9 GDPR для такой Обработки.
Если Клиент использует анкеты, формы, настраиваемые поля, загруженный контент или другие функции Сервисов для сбора или Обработки таких данных, Клиент выступает Контролёром и несёт ответственность за определение законности, целей и объёма такой Обработки, предоставление Субъектам данных требуемой информации, получение явного согласия, если Обработка основывается на согласии, и соблюдение всех иных применимых требований Применимого законодательства о защите данных.
KWIGA Обрабатывает такие Данные сервиса от имени Клиента и в соответствии с документированными инструкциями Клиента и настоящим DPA.
Клиент поручает KWIGA Обрабатывать Данные сервиса в объёме, необходимом для:
предоставления Сервисов, выбранных и настроенных Клиентом;
размещения и поддержания Данных сервиса;
предоставления CRM, LMS и иной функциональности Платформы;
предоставления доступа к курсам и другим продуктам;
администрирования функциональности, выбранной Клиентом;
предоставления технической поддержки;
поддержания и обеспечения безопасности Сервисов; и
иного исполнения Соглашения и документированных инструкций Клиента.
Использование и настройка Клиентом Платформы KWIGA, включая настройки, действия и функциональность, активированные Клиентом, а также создание и публикация Клиентом веб-страниц, форм, уведомлений и иных материалов с использованием Платформы, могут считаться документированными инструкциями для целей настоящего DPA.
Клиент самостоятельно определяет содержание своей Политики конфиденциальности, уведомлений о конфиденциальности, форм и иных материалов, предоставляемых Субъектам данных с использованием Платформы, и несёт ответственность за их соответствие Применимому законодательству о защите данных и фактической обработке персональных данных Клиента. KWIGA не обязана проверять или одобрять содержание таких материалов.
Если KWIGA обоснованно считает, что инструкция Клиента нарушает Применимое законодательство о защите данных, KWIGA без неоправданной задержки уведомляет об этом Клиента.
KWIGA может приостановить соответствующую Обработку в разумно необходимой степени до тех пор, пока инструкция не будет изменена, уточнена или подтверждена как законная.
KWIGA Обрабатывает Данные сервиса только на основании документированных инструкций Клиента, если только Обработка не требуется применимым законодательством Союза или государства-члена.
Если закон требует от KWIGA Обрабатывать Данные сервиса иначе, чем по инструкциям Клиента, KWIGA уведомляет Клиента о таком юридическом требовании до начала Обработки, если закон не запрещает такое уведомление по важным основаниям общественного интереса.
KWIGA обеспечивает, чтобы лица, уполномоченные Обрабатывать Данные сервиса:
Обрабатывали такие данные только в объёме, необходимом для выполнения своих обязанностей;
были связаны надлежащими обязательствами конфиденциальности; и
получали доступ только в разумно необходимом объёме.
KWIGA внедряет надлежащие технические и организационные меры, предназначенные для защиты Данных сервиса, в соответствии с Разделом 7 и Приложением B настоящего DPA.
С учётом характера Обработки и информации, доступной KWIGA, KWIGA оказывает Клиенту разумное содействие в выполнении его обязательств по Применимому законодательству о защите данных, включая обязательства, относящиеся к:
запросам Субъектов данных;
безопасности Обработки;
Нарушениям безопасности персональных данных;
оценке воздействия на защиту данных; и
консультациям с Надзорными органами, где применимо.
KWIGA ведёт записи и хранит информацию, относящуюся к своей деятельности по Обработке, в объёме, требуемом Применимым законодательством о защите данных.
Клиент как Контролёр несёт основную ответственность за ответы на запросы Субъектов данных, относящиеся к Данным сервиса, Обрабатываемым KWIGA от имени Клиента.
KWIGA предоставляет Клиенту функциональность и/или надлежащие механизмы для доступа, управления и экспорта Данных сервиса, находящихся под контролем Клиента, а также, если это поддерживается соответствующей функциональностью, для исправления или удаления таких Данных сервиса с учётом применимых юридических требований.
С учётом характера Обработки KWIGA оказывает Клиенту разумное содействие посредством надлежащих технических и организационных мер, насколько это возможно, для выполнения обязательств Клиента по ответу на запросы Субъектов данных.
Если KWIGA получает запрос Субъекта данных, относящийся преимущественно к Данным сервиса, в отношении которых Клиент является Контролёром, KWIGA может направить Субъекта данных к Клиенту и, где уместно, уведомить Клиента о запросе.
KWIGA не отвечает самостоятельно на такой запрос от имени Клиента, кроме случаев, когда:
это поручено Клиентом;
это разрешено Соглашением; или
это требуется применимым законодательством.
Принимая настоящее DPA, Клиент предоставляет KWIGA постоянное документированное поручение на обработку и, где применимо, удаление или обезличивание Данных сервиса в ответ на запросы Субъектов данных об удалении.
Если KWIGA получает запрос Субъекта данных, касающийся Данных сервиса, в отношении которых Клиент является Контролёром, KWIGA уведомляет Клиента о таком запросе и предоставляет ему возможность направить дополнительные или противоречащие первоначальному поручению документированные инструкции.
Если Клиент не предоставит противоречащих первоначальному поручению документированных инструкций в течение четырнадцати (14) календарных дней с даты уведомления KWIGA, KWIGA уполномочена и обязана приступить к удалению или обезличиванию соответствующих Данных сервиса в соответствии с настоящим DPA и Применимым законодательством о защите данных. Указанный срок в четырнадцать (14) календарных дней является договорным сроком для предоставления Клиентом инструкций KWIGA и не устанавливает и не изменяет какие-либо предусмотренные законом сроки, применимые к Клиенту или KWIGA в соответствии с Применимым законодательством о защите данных, включая GDPR, Закон Калифорнии о конфиденциальности потребителей (California Consumer Privacy Act, с учётом изменений) и Закон Техаса о конфиденциальности и безопасности данных (Texas Data Privacy and Security Act).
KWIGA вправе приступить к такому удалению или обезличиванию, если Клиент не предоставил иных документированных инструкций в течение установленного четырнадцатидневного срока. Персональные данные не подлежат удалению или обезличиванию в той мере, в какой их дальнейшее хранение или обработка требуются Применимым законодательством о защите данных или настоящим DPA.
Клиент как Контролёр несёт ответственность за определение надлежащих сроков хранения Данных сервиса, Обрабатываемых для целей, определённых Клиентом.
К Данным сервиса могут применяться различные сроки хранения в зависимости от характера и цели соответствующих данных и функциональности, посредством которой они Обрабатываются.
После прекращения или истечения срока подписки Клиента Данные сервиса, относящиеся к конкретному Клиенту, могут храниться до девяноста (90) дней с даты окончания периода подписки Клиента для обеспечения возможности повторной активации, получения данных и упорядоченного прекращения использования Сервисов.
По истечении указанного 90-дневного периода соответствующая учётная запись и/или школа могут быть деактивированы, скрыты или иным образом сделаны недоступными через обычный интерфейс Платформы KWIGA без удаления или изменения содержащихся в них Данных сервиса.
Соответствующие Данные сервиса могут сохраняться в течение дополнительного периода до девяноста (90) дней в целях обеспечения возможности восстановления, разрешения технических или договорных вопросов и упорядоченного завершения предоставления Сервисов.
По истечении общего периода в сто восемьдесят (180) дней с даты прекращения или истечения срока подписки соответствующие Данные сервиса подлежат удалению из активных систем Платформы KWIGA в соответствии с применимыми процедурами хранения и удаления данных.
Указанный порядок применяется с учётом документированных инструкций соответствующего Контролёра, настоящего DPA и Применимого законодательства о защите данных. Он не применяется к Персональным данным, которые TUTERIA VCC самостоятельно и законно Обрабатывает в качестве независимого Контролёра в соответствии с Разделом 5.7.
Данные сервиса, как правило, хранятся в течение периода использования Клиентом соответствующих Сервисов KWIGA и в соответствии с:
документированными инструкциями Клиента;
настоящим DPA;
Соглашением; и
Применимым законодательством о защите данных.
Ничто в настоящем Разделе не освобождает Клиента от его ответственности как Контролёра определять, остаются ли конкретные Данные сервиса необходимыми и должны ли они продолжать храниться.
KWIGA предоставляет Клиенту функциональность и/или надлежащие механизмы для доступа, управления и экспорта Данных сервиса, находящихся под контролем Клиента, а также, если это поддерживается соответствующей функциональностью, для удаления таких Данных сервиса с учётом применимых юридических требований.
Если Клиент вручную удаляет контакт или иные Данные сервиса через Платформу KWIGA, соответствующие данные первоначально подлежат мягкому удалению (soft deletion) и могут быть восстановлены в течение не более тридцати (30) дней с даты удаления. По истечении этого периода соответствующие Персональные данные будут безвозвратно удалены из активных систем Платформы KWIGA с учетом применимых требований законодательства и сохранения данных, которые Обработчик вправе или обязан хранить в соответствии с законодательством.
После прекращения или истечения срока подписки Клиента Данные сервиса могут храниться в соответствии с периодами и условиями, установленными Разделом 5.2.
В течение первых девяноста (90) дней Клиенту может быть предоставлена разумная возможность получить или экспортировать Данные сервиса с учётом функциональности соответствующих Сервисов.
По истечении указанного периода соответствующая учётная запись и/или школа могут быть деактивированы, скрыты или сделаны недоступными через обычный интерфейс Платформы KWIGA. Данные сервиса могут сохраняться в течение дополнительного периода до девяноста (90) дней в соответствии с Разделом 5.2.
По истечении общего периода в сто восемьдесят (180) дней с даты прекращения или истечения срока подписки соответствующие Данные сервиса подлежат удалению из активных систем Платформы KWIGA в соответствии с применимыми процедурами удаления, настоящим DPA, документированными инструкциями Контролёра и Применимым законодательством о защите данных.
Если после удаления из активных систем Данные сервиса временно сохраняются в системах резервного копирования, аварийного восстановления или аналогичных системах, такие данные остаются защищёнными надлежащими мерами безопасности и не должны восстанавливаться или использоваться для обычной Обработки, кроме случаев, когда это необходимо для аварийного восстановления, безопасности, соблюдения законодательства или иных законных технических целей.
Такие копии удаляются или перезаписываются в соответствии с применимыми процедурами хранения резервных копий KWIGA.
Если Данные сервиса были вручную удалены Клиентом и впоследствии безвозвратно удалены из активных систем, копии таких данных могут сохраняться в системах резервного копирования, созданных до момента безвозвратного удаления, в течение дополнительного периода продолжительностью до семи (7) дней. По истечении этого периода такие копии будут удалены или перезаписаны в соответствии с применимыми процедурами хранения резервных копий.
Настоящий Раздел применяется к Данным сервиса, Обрабатываемым TUTERIA VCC как Обработчиком.
Он не требует от TUTERIA VCC удаления Персональных данных, которые TUTERIA VCC самостоятельно и законно Обрабатывает в качестве Контролёра.
Такие данные могут храниться, если это необходимо для целей, описанных в Политике конфиденциальности KWIGA, и в соответствии с Применимым законодательством о защите данных.
Клиент предоставляет KWIGA общее разрешение привлекать Субобработчиков, когда это разумно необходимо для предоставления, поддержания, сопровождения, эксплуатации или обеспечения безопасности Сервисов KWIGA.
До предоставления Субобработчику возможности Обрабатывать Данные сервиса KWIGA обеспечивает, чтобы Субобработчик был связан договорными обязательствами по защите данных, обеспечивающими надлежащий уровень защиты Данных сервиса и соответствующими требованиям Применимого законодательства о защите данных, применимым к субобработчикам.
KWIGA остаётся ответственным за выполнение своими Субобработчиками обязательств по защите данных в объёме, требуемом Применимым законодательством о защите данных.
KWIGA предоставляет Клиентам информацию о соответствующих Субобработчиках посредством надлежащего механизма.
Если это требуется Применимым законодательством о защите данных, KWIGA предоставляет разумное предварительное уведомление о предполагаемых существенных изменениях, касающихся добавления или замены Субобработчиков.
Клиент может заявить обоснованные возражения, относящиеся непосредственно к вопросам защиты данных, возникающим в связи с предлагаемым Субобработчиком.
Стороны добросовестно сотрудничают для урегулирования такого обоснованного возражения.
Если Клиент самостоятельно активирует или подключает стороннюю интеграцию, используя собственную учётную запись, учётные данные или API-ключи, TUTERIA обрабатывает и передаёт Данные сервиса такому третьему лицу на основании документированных инструкций Клиента.
Такое третье лицо выбирается Клиентом и не считается назначенным TUTERIA Субобработчиком TUTERIA исключительно на основании факта использования такой интеграции.
Клиент несёт ответственность за определение соответствия использования такого стороннего сервиса Применимому законодательству о защите данных, включая заключение любых необходимых договорных соглашений и обеспечение гарантий международной передачи данных с таким третьим лицом.
С учётом современного уровня техники, затрат на внедрение, характера, объёма, контекста и целей Обработки, а также рисков различной вероятности и тяжести для прав и свобод физических лиц KWIGA внедряет и поддерживает надлежащие технические и организационные меры, предназначенные для обеспечения уровня безопасности, соответствующего риску.
В зависимости от характера и рисков соответствующей Обработки такие меры могут включать:
a. механизмы контроля доступа и авторизации;
b. меры, предназначенные для обеспечения надлежащего разграничения и авторизации между средами и данными Клиентов;
c. меры аутентификации и управления доступом;
d. журналирование и мониторинг;
e. меры, предназначенные для выявления подозрительной активности, злоупотреблений и несанкционированного доступа;
f. контроль трафика и запросов, включая ограничение частоты запросов, где это уместно;
g. управление уязвимостями;
h. тестирование безопасности;
i. процедуры обнаружения инцидентов и реагирования на них;
j. меры резервного копирования и восстановления;
k. меры контроля доступа подрядчиков, поставщиков услуг и иных уполномоченных лиц;
l. процедуры проверки событий и инцидентов безопасности; и
m. периодический анализ и тестирование соответствующих технических и организационных мер безопасности.
Дополнительная информация о категориях технических и организационных мер, внедрённых KWIGA, приведена в Приложении B.
KWIGA может время от времени обновлять свои технические и организационные меры с учётом:
технологического развития;
выявленных рисков;
изменений Сервисов;
результатов проверок безопасности;
инцидентов безопасности; и
изменений применимого законодательства.
Такие изменения не должны существенно снижать общий уровень защиты Данных сервиса.
KWIGA уведомляет Клиента без неоправданной задержки после того, как становится известно о Нарушении безопасности персональных данных, затрагивающем Данные сервиса, Обрабатываемые KWIGA от имени Клиента.
В той мере, в какой соответствующая информация разумно доступна KWIGA, уведомление включает:
a. описание характера Нарушения безопасности персональных данных;
b. категории затронутых Персональных данных;
c. категории затронутых Субъектов данных;
d. приблизительное количество затронутых Субъектов данных, если известно;
e. приблизительное количество затронутых записей Персональных данных, если известно;
f. вероятные последствия Нарушения безопасности персональных данных, если их возможно разумно определить;
g. меры, принятые или предлагаемые для локализации, расследования и устранения Нарушения безопасности персональных данных; и
h. контактные данные или иной подходящий канал связи, через который может быть получена дополнительная информация.
Если на момент первоначального уведомления доступна не вся соответствующая информация, KWIGA может сначала предоставить имеющуюся информацию и дополнять её поэтапно по мере расследования.
KWIGA принимает надлежащие меры для:
расследования инцидента;
определения его характера и масштаба;
локализации инцидента;
смягчения разумно предвидимых неблагоприятных последствий;
сохранения соответствующих доказательств;
устранения выявленных уязвимостей, где это уместно; и
принятия разумных мер, направленных на снижение риска повторения.
С учётом характера Обработки и информации, доступной KWIGA, KWIGA оказывает Клиенту разумное содействие в выполнении применимых обязательств, относящихся к:
уведомлению Надзорного органа;
информированию затронутых Субъектов данных;
оценке рисков для прав и свобод физических лиц; и
документированию Нарушения безопасности персональных данных.
Клиент остаётся ответственным как Контролёр за определение того, требует ли Нарушение безопасности персональных данных, затрагивающее Данные сервиса:
уведомления Надзорного органа;
информирования затронутых Субъектов данных; или
иных действий, требуемых Применимым законодательством о защите данных.
Это не затрагивает самостоятельные юридические обязательства TUTERIA VCC в отношении Персональных данных, для которых TUTERIA VCC выступает Контролёром.
Уведомление о Нарушении безопасности персональных данных или сотрудничество в связи с ним само по себе не является признанием вины или ответственности какой-либо из сторон.
Если Данные сервиса Обрабатываются в пределах Европейской экономической зоны («ЕЭЗ»), такая Обработка не является передачей в третью страну для целей Главы V GDPR.
Если KWIGA или уполномоченный Субобработчик передаёт Данные сервиса за пределы ЕЭЗ в юрисдикцию, которая не признана обеспечивающей надлежащий уровень защиты в соответствии с применимым законодательством, KWIGA обеспечивает применение надлежащего механизма передачи, где это требуется.
Такие механизмы могут включать:
решение Европейской комиссии об адекватности;
Стандартные договорные положения, утверждённые Европейской комиссией;
Обязательные корпоративные правила, где применимо; или
иной законный механизм передачи, признанный Применимым законодательством о защите данных.
Если это требуется Применимым законодательством о защите данных, KWIGA внедряет дополнительные меры, соответствующие конкретной передаче и связанным с ней рискам.
KWIGA по запросу Клиента предоставляет разумную информацию о применимых гарантиях международной передачи данных, если это требуется Применимым законодательством о защите данных.
KWIGA предоставляет Клиенту информацию, разумно необходимую для подтверждения соблюдения KWIGA своих обязательств как Обработчика по Применимому законодательству о защите данных.
По обоснованному письменному запросу KWIGA предоставляет соответствующую информацию о:
Обработке Данных сервиса;
применимых технических и организационных мерах;
соответствующих Субобработчиках; и
иных вопросах, разумно необходимых Клиенту для оценки соблюдения KWIGA настоящего DPA.
Если информации, предоставленной KWIGA, разумно недостаточно для подтверждения соблюдения требований и аудит требуется Применимым законодательством о защите данных, KWIGA разрешает проведение разумных аудитов или проверок, относящихся к Обработке Данных сервиса, и содействует им.
Если иное не требуется Надзорным органом или Применимым законодательством о защите данных, Клиент обязан:
заблаговременно направить разумное письменное уведомление об аудите;
ограничить аудит вопросами, относящимися к Обработке по настоящему DPA;
по возможности проводить аудит в обычные рабочие часы;
избегать неоправданного нарушения деятельности KWIGA; и
обеспечить, чтобы аудиторы были связаны надлежащими обязательствами конфиденциальности.
Аудит не предоставляет Клиенту или его аудитору права доступа к:
Персональным данным другого Клиента;
конфиденциальной информации другого Клиента;
информации, раскрытие которой поставило бы под угрозу безопасность систем KWIGA;
исходному коду или иной охраняемой интеллектуальной собственности, кроме случаев, когда это прямо требуется применимым законодательством; или
информации, не относящейся к деятельности Клиента по Обработке.
Стороны добросовестно сотрудничают в отношении обоснованных запросов на аудит со стороны компетентных Надзорных органов.
С учётом характера Обработки и информации, доступной KWIGA, KWIGA оказывает Клиенту разумное содействие при проведении оценки воздействия на защиту данных, если Клиент обязан проводить такую оценку в соответствии с Применимым законодательством о защите данных.
Если это требуется Применимым законодательством о защите данных, KWIGA оказывает разумное содействие в связи с предварительной консультацией с компетентным Надзорным органом относительно Обработки, осуществляемой посредством Сервисов.
Каждая сторона защищает Персональные данные и конфиденциальную информацию, полученные в связи с настоящим DPA, от несанкционированного раскрытия.
KWIGA обеспечивает, чтобы подрядчики, поставщики услуг и другие лица, уполномоченные Обрабатывать Данные сервиса, были связаны надлежащими обязательствами конфиденциальности или применимой установленной законом обязанностью сохранять конфиденциальность.
Клиент обеспечивает, чтобы учётные данные, права доступа и административная функциональность, предоставляемые через Платформу KWIGA, использовались только надлежащим образом уполномоченными лицами.
Каждая сторона ведёт записи, относящиеся к её деятельности по Обработке, в объёме, требуемом Применимым законодательством о защите данных.
Стороны разумно сотрудничают друг с другом, когда это необходимо для ответа на законные запросы Надзорных органов, относящиеся к Обработке, регулируемой настоящим DPA.
Ничто в настоящем DPA не требует от какой-либо стороны раскрывать информацию, если такое раскрытие запрещено применимым законодательством.
Каждая сторона несёт ответственность за собственное соблюдение Применимого законодательства о защите данных и за обязательства, возложенные на неё настоящим DPA.
Ответственность между сторонами, возникающая из настоящего DPA или в связи с ним, регулируется ограничениями и исключениями ответственности, установленными Соглашением, в той мере, в какой это допускается Применимым законодательством о защите данных.
Ничто в настоящем DPA не исключает и не ограничивает ответственность в случаях, когда такое исключение или ограничение запрещено применимым законодательством.
Настоящее DPA вступает в силу, когда Клиент становится связанным Соглашением и KWIGA начинает Обрабатывать Данные сервиса от имени Клиента.
Настоящее DPA остаётся в силе до тех пор, пока KWIGA Обрабатывает Данные сервиса от имени Клиента.
Прекращение или истечение срока действия Соглашения не затрагивает положения настоящего DPA, которые по своей природе предназначены для сохранения действия после прекращения, включая положения о конфиденциальности, удалении или возврате Данных сервиса, ответственности и применимом праве.
Настоящее DPA является частью Соглашения между Клиентом и TUTERIA VCC, регулирующего использование Сервисов KWIGA.
В случае противоречия между настоящим DPA и иным положением Соглашения, касающимся Обработки Данных сервиса TUTERIA VCC в качестве Обработчика, настоящее DPA имеет преимущественную силу в отношении соответствующего вопроса защиты данных.
Политика конфиденциальности KWIGA регулирует деятельность по Обработке, в отношении которой TUTERIA VCC выступает Контролёром.
Настоящее DPA регулирует Обработку Данных сервиса, осуществляемую TUTERIA VCC от имени Клиента в качестве Обработчика.
Настоящее DPA регулируется правом, применимым к Соглашению между Клиентом и TUTERIA VCC, без ущерба для императивных положений Применимого законодательства о защите данных.
Ничто в настоящем DPA не ограничивает применение GDPR или полномочия и юрисдикцию компетентного Надзорного органа в случаях, когда такое законодательство или юрисдикция применимы.
KWIGA может обновлять настоящее DPA, когда это разумно необходимо для:
соблюдения изменений Применимого законодательства о защите данных;
отражения изменений Сервисов KWIGA;
обновления технических или организационных мер;
обновления порядка Обработки; или
уточнения прав и обязательств сторон.
Если изменение существенно влияет на Обработку Данных сервиса или права и обязанности Клиента в сфере защиты данных, KWIGA предоставляет разумное уведомление, если это требуется применимым законодательством или Соглашением.
Вопросы относительно настоящего DPA или Обработки KWIGA Данных сервиса от имени Клиента могут быть направлены по адресу:
TUTERIA VCC
17A Vrabcha Street, Floor 1, Apt 3
1000 Sofia, Bulgaria
Email: support@kwiga.com
Настоящее Приложение является частью Соглашения об обработке данных.
Обработка KWIGA Данных сервиса в объёме, необходимом для предоставления, поддержания, сопровождения и обеспечения безопасности Сервисов KWIGA, выбранных и настроенных Клиентом.
В течение периода использования Клиентом соответствующих Сервисов KWIGA.
После прекращения или истечения срока подписки Клиента Данные сервиса, относящиеся к конкретному Клиенту, могут храниться до девяноста (90) дней с даты окончания периода подписки Клиента для обеспечения возможности повторной активации, получения данных и упорядоченного прекращения использования Сервисов.
По истечении этого 90-дневного периода Персональные данные, содержащиеся в относящихся к конкретному Клиенту Данных сервиса, подлежат анонимизации в соответствии с Разделом 5 DPA и применимыми процедурами хранения KWIGA.
По истечении дополнительных девяноста (90) дней после анонимизации соответствующие данные подлежат окончательному удалению из активных систем Платформы KWIGA в соответствии с применимыми процедурами хранения и удаления данных.
Когда TUTERIA VCC Обрабатывает Персональные данные от имени Клиента в качестве Обработчика, данный порядок применяется с учётом документированных инструкций соответствующего Контролёра, применимого соглашения об обработке данных и Применимого законодательства о защите данных.
Персональные данные, Обрабатываемые TUTERIA VCC в качестве независимого Контролёра, подчиняются срокам хранения, применимым к такой Обработке.
В зависимости от Сервисов, выбранных и настроенных Клиентом, Обработка может включать:
сбор;
запись;
организацию;
структурирование;
хранение;
хостинг;
адаптацию;
извлечение;
ознакомление;
использование;
передачу;
предоставление доступа;
администрирование;
анализ по инструкции Клиента;
ограничение;
экспорт;
удаление;
анонимизацию;
обработка запросов (промптов) и предоставленного контента с использованием ИИ-сервисов;
генерация ответов и контента с использованием ИИ;
передача запросов (промптов) и связанных с ними данных уполномоченным поставщикам ИИ-услуг;
хранение и извлечение запросов (промптов), ответов и связанных с ними технических записей, где применимо; и
иную Обработку, необходимую для предоставления выбранных Сервисов.
Обработка Данных сервиса для целей, определённых Клиентом, включая, в зависимости от использования KWIGA Клиентом:
управление студентами и клиентами;
функциональность CRM;
функциональность LMS;
предоставление и администрирование курсов и образовательных программ;
администрирование доступа к цифровым продуктам;
тесты, викторины и задания;
отслеживание прогресса прохождения курсов;
сертификаты;
коммуникацию со студентами и клиентами;
функциональность электронной почты и уведомлений;
автоматизации;
администрирование заказов;
функциональность интеграций;
поддержку клиентов;
отчётность и аналитику, выбранные Клиентом;
предоставление ИИ-ассистента KWIGA для помощи Клиенту и уполномоченным членам команды в создании или разработке образовательного и иного контента с использованием ответов, сгенерированных ИИ, на основе запросов (промптов) и инструкций, предоставленных уполномоченными пользователями;
модерация контента с использованием ИИ, где это применимо к Сервисам, выбранным или активированным Клиентом, включая анализ образовательного контента и связанных с ним материалов для выявления потенциально запрещённого контента или контента, не соответствующего установленным требованиям, в соответствии с применимыми настройками Сервиса и документированными инструкциями; и
иную функциональность, активированную или настроенную Клиентом.
В зависимости от использования Клиентом Сервисов Субъекты данных могут включать:
студентов;
учащихся;
клиентов;
потенциальных клиентов;
подписчиков;
участников курсов;
работников и подрядчиков Клиента;
преподавателей;
администраторов;
ассистентов;
представителей Клиента; и
иных физических лиц, Персональные данные которых передаются в Платформу KWIGA или обрабатываются через неё Клиентом либо от его имени.
В зависимости от Сервисов, используемых Клиентом, Данные сервиса могут включать:
Идентификационные и профильные данные
имя;
отчество;
фамилию;
изображение профиля;
идентификаторы учётной записи или профиля.
Контактная информация
адрес электронной почты;
номер телефона;
иные контактные данные, предоставленные Клиентом или Субъектом данных.
Информация об обучении и образовательной деятельности
курсы и программы;
регистрацию/зачисление;
информацию о доступе;
прогресс прохождения курса;
завершение уроков;
ответы на викторины и тесты;
результаты тестов;
баллы;
задания;
комментарии;
сертификаты;
достижения;
очки и статусы.
Данные ИИ-модерации, если они обрабатываются от имени Клиента
тексты и изображения, включённые в образовательный контент;
отдельные кадры видео, извлечённые для модерации контента;
идентификаторы контента и связанная с ними техническая информация;
отметки модерации, классификации и результаты модерации, если они связаны с идентифицируемым физическим лицом.
Данные взаимодействия с ИИ-ассистентом
запросы (промпты) и инструкции, предоставленные Клиентом или уполномоченными членами команды;
тексты, файлы или иной контент, предоставленный для обработки ИИ-ассистентом;
ответы и контент, сгенерированные ИИ;
персональные данные учеников, клиентов или других физических лиц, включённые Клиентом или уполномоченными членами команды в запросы (промпты) или предоставленный контент;
связанные с ними технические записи, где применимо.
Информация CRM и управления клиентами
теги;
группы;
статус клиента;
заметки;
историю клиента;
историю коммуникаций;
настраиваемые поля, созданные Клиентом.
Информация, связанная с заказами и транзакциями
идентификаторы заказов;
продукты;
суммы;
валюты;
скидки;
купоны;
статус оплаты;
даты транзакций;
информацию о возвратах;
параметры рассрочки или подписки;
иную информацию о заказах, Обрабатываемую от имени Клиента.
KWIGA не требует от Клиентов вводить данные безопасности платёжных карт, такие как полные номера карт или CVC-коды, в обычные поля Данных сервиса CRM или LMS.
Коммуникации
сообщения;
электронные письма;
комментарии;
информацию, связанную с поддержкой;
иные коммуникации, Обрабатываемые посредством функциональности, выбранной Клиентом.
Техническая информация
В той мере, в какой она Обрабатывается от имени Клиента:
IP-адрес;
информацию о входах/активности;
информацию об устройстве или браузере;
технические идентификаторы;
временные метки.
Сервисы KWIGA не требуют от Клиента Обрабатывать Особые категории Персональных данных. Однако Данные сервиса могут включать Особые категории Персональных данных, если Клиент решает собирать или иным образом Обрабатывать такие данные посредством анкет, форм, настраиваемых полей, загруженного контента, коммуникаций или других настраиваемых функций Сервисов.
Клиент определяет содержание и цели такой Обработки и несёт ответственность за установление применимого правового основания и, где требуется, применимого условия по статье 9 GDPR.
Обработка может осуществляться непрерывно или периодически в течение периода использования Клиентом соответствующих Сервисов в зависимости от выбранной функциональности и инструкций Клиента.
TUTERIA VCC внедряет технические и организационные меры, предназначенные для обеспечения уровня безопасности, соответствующего рискам, связанным с Обработкой Данных сервиса.
Описанные ниже меры представляют собой категории мер безопасности и могут время от времени адаптироваться или дополняться с учётом характера Обработки, технологического развития, выявленных рисков и изменений Сервисов KWIGA.
KWIGA внедряет меры, предназначенные для ограничения доступа к Персональным данным и функциональности Платформы только авторизованными пользователями, уполномоченными лицами и системами.
Такие меры могут включать:
аутентификацию пользователей;
управление ролями и разрешениями;
контроль авторизации;
ограничения доступа с учётом соответствующего контекста пользователя или Клиента;
управление и проверку внутренних прав доступа; и
меры, предназначенные для предотвращения несанкционированного доступа между средами Клиентов.
KWIGA внедряет технические меры контроля, предназначенные для обеспечения надлежащего ограничения доступа к данным Клиента в соответствии с контекстом Клиента, учётной записи, школы, проекта или иным применимым контекстом авторизации.
Механизмы авторизации проверяются и тестируются в объёме, соответствующем применимой функциональности.
KWIGA использует механизмы журналирования и мониторинга, соответствующие эксплуатации и безопасности Сервисов.
Такие меры могут включать:
журналирование приложений и систем;
мониторинг событий безопасности;
выявление подозрительной активности;
мониторинг ошибок;
мониторинг трафика;
анализ необычной или потенциально неправомерной активности; и
ведение соответствующих записей об инцидентах безопасности.
KWIGA внедряет меры, предназначенные для выявления, ограничения и пресечения злоупотреблений, несанкционированного доступа и автоматизированного неправомерного использования функциональности Платформы.
В зависимости от соответствующего сервиса или конечной точки такие меры могут включать:
контроль запросов;
ограничение частоты запросов;
ограничения доступа;
автоматические или ручные механизмы блокировки;
выявление подозрительной активности; и
дополнительные механизмы проверки или авторизации.
KWIGA поддерживает процессы выявления, оценки и устранения уязвимостей безопасности.
Такие меры могут включать:
проверки безопасности;
тестирование механизмов авторизации;
автоматизированное тестирование, где это уместно;
устранение уязвимостей;
анализ результатов проверок безопасности;
регрессионное тестирование; и
проверку корректирующих мер.
KWIGA поддерживает процессы, предназначенные для обнаружения, эскалации, расследования, локализации и устранения инцидентов безопасности и Нарушений безопасности персональных данных.
Такие процессы могут включать:
эскалацию инцидентов;
техническое расследование;
сохранение и анализ соответствующих журналов;
меры локализации;
устранение последствий;
оценку рисков;
оценку необходимости уведомления регуляторов и Клиентов;
анализ после инцидента; и
внедрение корректирующих мер.
Лица, уполномоченные на доступ к Данным сервиса, связаны надлежащими обязательствами конфиденциальности.
Доступ к Персональным данным предоставляется исходя из операционной необходимости и ограничивается в той мере, в какой это разумно осуществимо.
KWIGA поддерживает процессы резервного копирования и восстановления, соответствующие применимым Сервисам и инфраструктуре.
Резервные данные защищаются надлежащими мерами контроля доступа и безопасности.
Удалённые Персональные данные могут временно сохраняться в системах резервного копирования до их удаления или перезаписи в соответствии с применимыми процедурами хранения резервных копий.
KWIGA внедряет меры, предназначенные для поддержания доступности и устойчивости Сервисов в соответствии с характером и риском соответствующей Обработки.
Технические и организационные меры могут пересматриваться и обновляться с учётом:
изменений Платформы;
выявленных рисков безопасности;
выявленных уязвимостей;
инцидентов;
изменений применимых юридических требований; и
технологического развития.
Обновления не должны существенно снижать общий уровень защиты Данных сервиса.