Соглашение об обработке данных

Заказчик является контролёром, а EasyHaus — обработчиком персональных данных, описанных в Приложении 1. EasyHaus обрабатывает их только по документированным указаниям Заказчика, которыми являются условия использования, это DPA и использование сервиса Заказчиком. EasyHaus сообщит Заказчику, если сочтёт указание нарушающим законодательство о защите данных.

EasyHaus обеспечивает обязательство конфиденциальности для лиц, допущенных к обработке данных. Сотрудники получают доступ к организации Заказчика для поддержки только после включения доступа её владельцем; такой доступ ограничен, требует указания причины и фиксируется в журнале аудита Заказчика.

EasyHaus применяет технические и организационные меры из Приложения 2 и может обновлять их при условии, что общий уровень защиты не снижается.

Заказчик предоставляет общее разрешение на привлечение субобработчиков из Приложения 3. EasyHaus сообщает о новых или заменённых субобработчиках владельцу организации по электронной почте не менее чем за 30 дней. Заказчик может возразить по обоснованным причинам защиты данных; если стороны не урегулируют возражение, Заказчик вправе прекратить затронутую услугу. EasyHaus возлагает на каждого субобработчика обязанности по защите данных, равноценные этому DPA, и сохраняет ответственность за них.

• Запросы субъектов данных: сервис позволяет Заказчику экспортировать, исправлять и удалять данные клиента. EasyHaus передаёт полученные напрямую запросы Заказчику и самостоятельно на них не отвечает.
• EasyHaus содействует оценкам воздействия на защиту данных и консультациям с органами власти в пределах доступной ему информации.

EasyHaus уведомляет Заказчика без неоправданной задержки и в любом случае в течение 48 часов после обнаружения нарушения, затрагивающего данные Заказчика. Уведомление описывает характер нарушения, затронутые данные и лиц в известном объёме, вероятные последствия и принятые меры и дополняется по мере получения сведений.

В течение подписки и 90 дней после её окончания Заказчик может экспортировать все данные. По окончании этого срока либо через 30 дней после удаления организации Заказчиком EasyHaus удаляет данные из базы и файлового хранилища. Зашифрованные резервные копии удаляются в рамках обычной ротации в течение 30 дней. Более длительное хранение допускается только по требованию закона.

EasyHaus предоставляет информацию, необходимую для подтверждения соблюдения статьи 28 GDPR, включая краткие результаты последней проверки безопасности. Заказчик может провести проверку самостоятельно или через независимого аудитора, уведомив за 30 дней, не чаще одного раза в год, если нарушение или требование органа власти не обусловливает иное, за свой счёт и с соблюдением конфиденциальности.

База Данных Заказчика размещена в Европейском союзе. Субобработчики из Приложения 3, находящиеся в США или обрабатывающие там данные, сертифицированы в рамках программы защиты данных ЕС–США; также применяются стандартные договорные положения их условий обработки. EasyHaus управляется из Азербайджанской Республики; доступ к Данным Заказчика из Азербайджана обеспечивается стандартными договорными положениями. EasyHaus передаёт персональные данные за пределы Европейской экономической зоны только с такими гарантиями по главе V GDPR.

Ответственность по этому DPA определяется условиями использования. При противоречии между DPA и условиями использования в вопросах обработки персональных данных преимущество имеет DPA. Его действие прекращается, когда EasyHaus больше не обрабатывает персональные данные Заказчика.

• Шифрование при передаче с TLS и HSTS.
• Шифрование при хранении налоговых номеров, номеров удостоверений личности и банковских счетов, идентификаторов бенефициаров, секретов второго фактора и кодов восстановления с AES-256-GCM; ключи хранятся вне базы данных с идентификаторами для ротации.
• Логическая изоляция организаций: каждый запрос ограничен одной организацией, что обеспечивается автоматической проверкой и набором тестов изоляции.
• Ролевой доступ внутри организации: владелец, администратор, управляющий, наблюдатель; конфиденциальные поля полностью видны только владельцам и администраторам.
• Хеширование паролей с argon2id, проверка минимальной длины и известных утечек; необязательная или обязательная двухфакторная аутентификация; блокировка после повторных неверных кодов.
• Случайные токены сеансов, хранящиеся в виде хешей, с ограничениями по бездействию и общему сроку и возможностью отзыва.
• Ограничение частоты запросов входа, сброса пароля, ссылок по почте, загрузок и формы обратной связи.
• Закрытое файловое хранилище с краткосрочными одноразовыми ссылками загрузки; список разрешённых типов и проверка содержимого; повторное кодирование изображений.
• Журнал каждого изменения со скрытыми личными полями, который заказчики не могут удалить; учёт скачиваний документов.
• Доступ поддержки только с согласия владельца, ограниченный по объёму и фиксируемый в журнале.
• Защищённые серверные процессы, сканирование уязвимостей зависимостей и заголовки безопасности, включая Content Security Policy.
• База данных размещена в Европейском союзе; файлы шифруются при хранении.
• Ежедневные ночные резервные копии, зашифрованные с AES-256 на нашем сервере до передачи за его пределы, со сроком хранения 30 дней, еженедельной проверкой целостности и документированной процедурой восстановления.