Соглашение об обработке данных (DPA) и субобработчики

1. Общие сведения о DPA

Используя Платформу, Клиент (выступающий в качестве контролёра данных) назначает CyberLab.Team OÜ (выступающую в качестве обработчика данных) для обработки персональных данных исключительно в целях оказания Сервиса (например, управление маркетинговыми кампаниями, анализ показателей эффективности). Мы обрабатываем персональные данные только на основании документированных инструкций Клиента, в том числе для обеспечения основных функций Платформы. Мы обрабатываем данные в полном соответствии с GDPR. Мы обеспечиваем, чтобы все сотрудники соблюдали строгие обязательства о конфиденциальности.

2. Обязанности обработчика (статья 28 GDPR)

2.1. Меры безопасности. Мы применяем надлежащие технические и организационные меры для обеспечения уровня безопасности, соответствующего риску, включая шифрование токенов OAuth в состоянии покоя и контроль доступа.

2.2. Уведомление об утечке данных. В случае утечки персональных данных, затрагивающей данные Клиента, мы уведомим Клиента без необоснованной задержки после того, как нам станет об этом известно.

2.3. Содействие. Мы будем, насколько это возможно, содействовать Клиенту в исполнении его обязанностей по реагированию на запросы о реализации прав субъектов данных (например, если конечный пользователь запрашивает удаление данных), а также при проведении оценки воздействия на защиту данных (DPIA), если это требуется.

2.4. Право на аудит. В соответствии с требованиями статьи 28(3)(h) GDPR мы предоставим Клиенту информацию, необходимую для подтверждения соответствия требованиям. Это право на аудит преимущественно реализуется путём предоставления CyberLab.Team OÜ письменных ответов на обоснованные опросники по безопасности. Для защиты безопасности и конфиденциальности инфраструктуры нашего защищённого Кабинета клиента физический доступ к нашим серверам или прямое техническое тестирование на проникновение со стороны Клиента строго запрещены.

2.5. Удаление после прекращения. По прекращении оказания Сервиса или удалении аккаунта мы, по выбору Клиента, удалим или вернём все персональные данные, если только законодательство ЕС или Эстонии не требует их дальнейшего хранения (статья 28(3)(g) GDPR).

2.6. Законность инструкций и возмещение ущерба. Клиент прямо гарантирует, что все персональные данные, предоставленные обработчику, были собраны законно и что Клиент обладает законным правом поручать обработчику их обработку. Клиент обязуется полностью возместить ущерб, защищать и ограждать CyberLab.Team OÜ от любых претензий, штрафов, регуляторных мер или убытков, возникающих из-за незаконных инструкций Клиента по обработке данных или неполучения им юридически действительного согласия конечного пользователя.

2.7. Блокировки аккаунтов (нарушение политик Google). CyberLab.Team OÜ выступает исключительно как обработчик данных и интерфейс управления. Мы не несём финансовой или юридической ответственности за какие-либо блокировки, баны или санкции, налагаемые Google (или другими платформами) на рекламные аккаунты или бизнес-профили Клиента, если такие действия являются следствием характера бизнеса Клиента, качества его сайта, ручного вмешательства Клиента либо прямых нарушений Клиентом рекламных политик Google.

2.8. Соответствие сайта Клиента требованиям (например, Consent Mode). Клиент несёт единоличную и полную ответственность за обеспечение соответствия своих сайтов и веб-ресурсов всем применимым законам о защите данных (включая GDPR и Директиву ePrivacy) и специфическим техническим требованиям Google (включая, среди прочего, корректное внедрение Google Consent Mode v2 и действующих баннеров cookie). Обязанности CyberLab.Team OÜ по обработке данных строго ограничены платформой Кабинета клиента (my.cyberlab.team). Мы не несём ответственности за какие-либо блокировки аккаунтов Google Ads, потерю данных или регуляторные штрафы, вызванные тем, что Клиент не обеспечил законный сбор согласия пользователей на своих собственных веб-ресурсах.

3. Утверждённые субобработчики

Для предоставления надёжного и безопасного Сервиса CyberLab.Team OÜ использует следующих сторонних субобработчиков. Соглашаясь с нашими Условиями предоставления услуг, вы разрешаете использование этих субобработчиков:

1. Google Cloud / Google Ireland Ltd.: облачная инфраструктура, хостинг баз данных и интеграции с API Google.
2. Cloudflare, Inc.: CDN, DNS, Web Application Firewall (WAF) и периферийная маршрутизация безопасности.
3. Stripe, Inc.: безопасная обработка платежей и управление подписками.
4. Resend, Inc.: доставка транзакционных и сервисных писем (например, сброс пароля, уведомления).
5. Провайдеры CRM и поддержки (например, HubSpot, Pipedrive): используются исключительно для управления взаимоотношениями с клиентами, тикетами поддержки и обращениями по продажам с Сайта.
6. Провайдеры ИИ-сервисов (например, Google Cloud Gemini, OpenAI): модели ИИ используются исключительно для генерации разового контента (например, идей рекламных текстов). Ни при каких обстоятельствах токены Google API, пользовательские данные Google, сведения о местах ведения бизнеса или рекламные показатели не передаются в OpenAI или Google Gemini. Генерация с помощью ИИ работает полностью независимо от конвейера данных Google API. Мы строго гарантируем, что пользовательские данные Google API никогда не передаются этим сервисам для целей обучения общих базовых моделей ИИ/МО (в полном соответствии с политикой Limited Use API Google).
7. Провайдеры технического логирования и мониторинга (например, Sentry): используются исключительно для отслеживания ошибок приложения и обеспечения стабильности. Мы применяем строгую очистку данных, чтобы гарантировать, что персонально идентифицируемая информация (PII) или пользовательские данные Google API никогда не передаются этим сервисам логирования.

Примечание: банковские учреждения и провайдеры финансовых услуг (например, Revolut, Wise), используемые для получения переводов SEPA/SWIFT, действуют как строго регулируемые независимые контролёры данных согласно финансовому законодательству, а не как наши субобработчики.

3.1. Google как независимый контролёр. Когда наша Платформа передаёт данные (например, структуры мест ведения бизнеса, бюджеты или настройки рекламных кампаний) в сети Google Ads или Google Business Profile через API, Google Ireland Ltd. / Google LLC обрабатывает эти данные в рамках своей рекламной экосистемы как независимый контролёр данных согласно собственным Условиям предоставления услуг. CyberLab.Team OÜ выступает исключительно как обработчик (транспортный уровень и интерфейс управления) и снимает с себя ответственность за то, как Google использует эти данные в своих собственных проприетарных системах.

3.2. Ограничение ответственности субобработчиков. Хотя мы заключаем строгие соглашения с нашими субобработчиками, CyberLab.Team OÜ не несёт финансовой или юридической ответственности за нарушения безопасности, простои сервисов или потерю данных, происходящие исключительно в изолированной инфраструктуре субобработчика уровня Tier-1 (например, Google Cloud, Cloudflare, Stripe), при условии что мы не допустили грубой небрежности при их выборе или настройке.

4. Добавление новых субобработчиков

Если мы планируем добавить или заменить каких-либо субобработчиков, мы уведомим вас не менее чем за 14 дней через Платформу или по электронной почте. Клиент имеет право возразить против нового субобработчика. Если возражение заявлено и разумное решение не может быть найдено, Клиент имеет право расторгнуть соглашение и прекратить использование Сервиса без каких-либо санкций.

5. Международная передача данных

Если персональные данные передаются за пределы Европейской экономической зоны (ЕЭЗ) нашим субобработчикам (например, в инфраструктуру, расположенную в США), мы обеспечиваем, чтобы такие передачи подпадали под надлежащие правовые гарантии, предусмотренные Главой V GDPR. Это включает использование решения об адекватности в рамках Рамочного соглашения о конфиденциальности данных ЕС и США (DPF) либо применение стандартных договорных положений (SCC), утверждённых Европейской комиссией.

6. Ограничение ответственности по настоящему DPA

Любые претензии, убытки или споры, возникающие из настоящего DPA или в связи с ним, строго подчиняются положениям об ограничении ответственности и возмещении ущерба, установленным в основных Условиях предоставления услуг. Совокупная кумулятивная ответственность CyberLab.Team OÜ за любые и все нарушения настоящего DPA не превышает финансовый предел, установленный в Условиях предоставления услуг.