Соглашение об обработке данных (DPA)

Настоящее Соглашение об обработке данных («DPA») является частью Условий предоставления услуг между клиентом («Клиент», контролёр) и CyberLab.Team OÜ, регистрационный код 14647320, Sepapaja tn 6, Tallinn 15551, Эстония («CyberLab.team», обработчик). Оно применяется ко всем услугам, при оказании которых мы обрабатываем персональные данные от имени Клиента (ст. 28 GDPR). Оно принимается вместе с Условиями предоставления услуг; подписанный экземпляр доступен по запросу на info@cyberlab.team. Применяются языковые правила Условий предоставления услуг (для бизнес-клиентов английская версия имеет преимущество над переводами).

1. Предмет, характер и цель

1.1. Мы обрабатываем персональные данные только для оказания услуг, заказанных Клиентом (Условия предоставления услуг, Часть II), и только по документированным указаниям Клиента, к которым относятся Условия предоставления услуг, настоящее DPA, заказ, настройки и согласования Клиента в Кабинете клиента и письменные указания по электронной почте, если только право ЕС или государства-члена, которому мы подчиняемся, не требует иного; в этом случае мы сообщаем Клиенту об этом правовом требовании до обработки, если только это право не запрещает этого по важным основаниям общественного интереса. Эти указания также охватывают передачи персональных данных в третьи страны. Если мы считаем указание незаконным, мы немедленно сообщим об этом Клиенту.

1.2. Подробности обработки (категории субъектов данных и данных, срок) приведены в Приложении 1.

1.3. Мы не обрабатываем списки клиентов наших клиентов для аудиторий Google Ads (Customer Match) и лиды из лид-форм Google Ads. Настоящее DPA будет обновлено до того, как будет предложена любая такая услуга.

2. Наши обязанности

2.1. Конфиденциальность. Все, кто обрабатывает данные Клиента от нашего имени, связаны обязательством конфиденциальности.

2.2. Безопасность. Мы применяем технические и организационные меры, указанные в Приложении 2.

2.3. Лица с доступом. Данные Клиента обрабатывает назначенный Клиенту менеджер; для контроля качества, надзора и замены менеджеров доступ также имеют старший менеджер и руководитель CyberLab.team. Доступ к чатам Кабинета клиента журналируется.

2.4. Содействие. С учётом характера обработки мы помогаем Клиенту отвечать на запросы субъектов данных, обеспечивать безопасность, уведомлять о нарушениях и проводить оценки воздействия на защиту данных и предварительные консультации с надзорными органами (статьи 32–36 GDPR). Запросы, которые субъекты данных направляют нам в отношении данных Клиента, передаются Клиенту.

2.5. Нарушения защиты персональных данных. Мы уведомляем Клиента без неоправданной задержки, а по возможности в течение 48 часов после того, как нам стало известно о нарушении защиты персональных данных, затрагивающем данные Клиента, с предоставлением имеющейся у нас информации; мы не ждём завершения расследования и направляем дополнительную информацию по мере её появления.

2.6. Аудиты. Мы предоставляем всю информацию, необходимую для подтверждения соблюдения статьи 28 GDPR и настоящего DPA, а также допускаем аудиты, включая инспекции, проводимые Клиентом или уполномоченным Клиентом аудитором, и содействуем им. Первым шагом может быть письменный опросник. Объём, время и конфиденциальность иных аудитов согласовываются заранее, чтобы была защищена безопасность данных других клиентов; эти договорённости не препятствуют аудиту и не задерживают его необоснованно.

2.7. Окончание обработки. Когда услуга прекращается, мы по выбору Клиента возвращаем его персональные данные (путём экспорта в Кабинете клиента или по запросу на info@cyberlab.team) или удаляем их, а также удаляем существующие копии в сроки, указанные в Политике конфиденциальности (в частности, в течение 30 дней после окончания последнего договора Клиента или закрытия Кабинета клиента, резервные копии — в течение 35 дней; контент, полученный от Google, в резервных копиях не хранится и никогда не хранится дольше 30 дней), если только право ЕС или государства-члена не требует от нас их хранить; данные, хранящиеся по этой причине, используются только для этой цели. До удаления Клиент может экспортировать свои данные в Кабинете клиента или запросить их по адресу info@cyberlab.team.

2.8. Данные Google. Данные, полученные от Google, обрабатываются в соответствии с Google API Services User Data Policy, включая Limited Use, и хранятся не дольше 30 дней. Данные из аккаунта Google Ads Клиента не продаются, не передаются по сублицензии и не раскрываются третьим лицам без предварительного письменного согласия Клиента.

3. Субобработчики

3.1. Клиент разрешает привлечение субобработчиков, перечисленных на cyberlab.team/subprocessors (актуальный список также содержится в Приложении 3). Мы возлагаем на каждого субобработчика обязательства по защите данных, равнозначные настоящему DPA, и остаёмся ответственными за них.

3.2. Изменения. Мы уведомляем Клиента по электронной почте с адреса info@cyberlab.team и на странице субобработчиков не менее чем за 30 дней до добавления или замены субобработчика, указывая его наименование, цель, затрагиваемые данные, место обработки данных и гарантии передачи. В течение этого срока Клиент может письменно возразить по обоснованным причинам, связанным с защитой данных; если мы не можем разрешить возражение, Клиент вправе расторгнуть затронутую услугу до того, как новый субобработчик начнёт обрабатывать данные Клиента, без оплаты за последующие периоды, а мы возвращаем предоплаченные суммы за период после расторжения. Если срочный инцидент безопасности или сбой требует от нас немедленной замены субобработчика, мы уведомляем Клиента без неоправданной задержки и не позднее дня замены; право Клиента возразить и расторгнуть услугу применяется таким же образом.

3.3. Независимые контролёры. Google (для Google Business Profile, Google Ads, входа через Google и Google Analytics), Stripe (для платежей), Cloudflare (для сигналов, которые он использует для улучшения собственного обнаружения ботов Turnstile) и банки выступают как независимые контролёры на своих собственных условиях в своих собственных целях, а не как наши субобработчики; если один из них обрабатывает данные от нашего имени для конкретной услуги, к этой услуге применяются его условия обработки данных. Когда мы передаём данные в сервисы Google по указаниям Клиента, Google обрабатывает их на своих условиях с Клиентом.

4. Международные передачи

Персональные данные размещаются в Европейском союзе. Если субобработчик обрабатывает данные за пределами ЕЭП, передача защищается решением об адекватности (включая Рамочную программу конфиденциальности данных ЕС–США, EU-US Data Privacy Framework) или Стандартными договорными условиями Европейской комиссии, как указано в Приложении 3.

5. Ответственность Клиента

5.1. Клиент отвечает за законность данных, которые он нам передаёт, и своих указаний, включая информирование собственных клиентов и получение необходимых согласий.

5.2. Клиент отвечает за баннер cookie и согласие на своих собственных сайтах, включая Google Consent Mode, где это требуется, в том числе когда мы помогаем их настраивать.

6. Ответственность и приоритет

Ответственность по настоящему DPA определяется Условиями предоставления услуг (Раздел 10), за исключением случаев, когда GDPR не допускает ограничения. Если настоящее DPA и Условия предоставления услуг противоречат друг другу в отношении персональных данных, преимущественную силу имеет настоящее DPA.

---

Приложение 1 — Подробности обработки

Приложение 2 — Технические и организационные меры

• Хостинг в ЕС; данные каждого клиента хранятся отдельно, и данные одного клиента никогда не показываются другому клиенту.
• Зашифрованные соединения (TLS); зашифрованные резервные копии, перезаписываемые в течение 35 дней.
• Доступ только для сотрудников, которым он необходим; двухфакторная аутентификация для сотрудников; журналирование доступа к чатам клиентов.
• Мы не храним пароли клиентов от Google и не сохраняем токены входа клиентов через Google; наш доступ к Google осуществляется через наши собственные учётные данные агентства, хранящиеся в хранилище секретов.
• Отчёты об ошибках фильтруются для удаления текстов, полученных от Google, до того, как они покидают приложение.
• Документированные процедуры для запросов субъектов данных, удаления, юридических блокировок хранения и реагирования на инциденты.

Приложение 3 — Субобработчики

Список на cyberlab.team/subprocessors, версия 2026-10-16, составляет настоящее Приложение.