Главная / Соглашение об обработке данных (DPA)

Соглашение об обработке данных (DPA)

Настоящий DPA реализует статью 28 GDPR в отношениях между GDE Systems OÜ (обработчик) и клиентом, выступающим контролёром (оператором). Он публичен, чтобы пилот не ждал юридической проверки, и версионирован, чтобы аудитор видел, какой текст применялся.

18 октября 2026v1.0GDE Systems OÜ

1. Стороны и роли

• Обработчик: GDE Systems OÜ, Таллинн, Эстония, support@gde.ee («Обработчик»).
• Контролёр (оператор): клиент, указанный в аккаунте рабочего пространства («Контролёр»).
• В отношении собственных данных аккаунта (e-mail, имя, оплата) GDE Systems OÜ выступает независимым контролёром (оператором) согласно Политике конфиденциальности; настоящий DPA применяется к хозяйственным записям, которые Контролёр вводит в сервис.

2. Предмет, характер и цель

• Обработчик предоставляет веб-приложение для выставления счетов, управления клиентами и сделками, учёта рабочего времени и хранения документов («Сервис»).
• Обработка включает хранение, синхронизацию, шифрование при хранении в соответствии с решением Контролёра, извлечение, экспорт и удаление данных Контролёра.
• Обработчик не обрабатывает данные Контролёра в собственных целях, не создаёт рекламные профили и не продаёт данные.

3. Категории субъектов данных и персональных данных

• Субъекты данных: работники и подрядчики Контролёра; контактные лица клиентов и поставщиков Контролёра.
• Персональные данные: идентификационные и контактные данные (имя, e-mail, телефон, адрес), данные деловых отношений, а также персональные данные, содержащиеся в счетах и документах.
• Особые категории персональных данных (ст. 9) Сервису не требуются, и их не следует вводить.

4. Срок

• Обработка длится в течение срока действия договора плюс срок хранения, требуемый эстонским законодательством (счета: не менее 7 лет).
• После расторжения данные Контролёра удаляются в течение 30 дней, если иное не требуется законной обязанностью хранения; до удаления Контролёр может выгрузить всё в машиночитаемом виде.

5. Документированные поручения

• Обработчик обрабатывает персональные данные только на основании документированных поручений Контролёра, включая передачу в третьи страны, если этого не требует право Союза или государства-члена; в таком случае Обработчик уведомляет Контролёра до начала обработки, если это не запрещено законом.
• Конфигурация Сервиса, выбранная Контролёром (хранилище включено или выключено, необязательный AI-поиск, необязательное внешнее хранилище), является документированным поручением для соответствующей обработки.

6. Конфиденциальность и персонал

• Лица, допущенные к обработке персональных данных, связаны обязательствами конфиденциальности, которые сохраняются после прекращения договора.
• Доступ предоставляется по принципу минимальных прав; доступ к продакшену ограничен конкретными лицами и пересматривается при изменении состава команды.

7. Меры безопасности (ст. 32)

• Шифрование на стороне клиента AES-256-GCM с выводом ключа через PBKDF2 (600 000 итераций); Обработчик никогда не получает ключ шифрования или фразу восстановления.
• Шифрование при передаче (TLS 1.2+), изоляция рабочих пространств, ролевое управление доступом, управление сессиями и устройствами.
• Журнал аудита (аудит-лог) событий, значимых для безопасности: 30 дней на Pro, 90 дней на Business, выгружается Контролёром.
• Защита на этапе сборки от попадания секретов в браузер; публичная инвентаризация сторонних скриптов на странице.
• Действующие меры подробно описаны на странице безопасности, которая является частью настоящего DPA по ссылке.

8. Субпроцессоры

• Контролёр даёт общее разрешение на привлечение субпроцессоров из публичного версионированного списка субпроцессоров.
• Обработчик уведомляет не менее чем за 30 дней до добавления или замены субпроцессора и предоставляет Контролёру возможность возразить; если возражение не удаётся урегулировать, Контролёр может расторгнуть договор без штрафов.
• Каждый субпроцессор связан обязательствами по защите данных не менее строгими, чем настоящий DPA, в частности в отношении безопасности и уведомления об утечках.

9. Содействие Контролёру

• Обработчик содействует в обработке запросов субъектов данных (доступ, исправление, удаление, переносимость, возражение) в течение 5 рабочих дней с момента запроса, отправленного на privacy@gde.ee.
• Обработчик содействует в проведении оценок воздействия на защиту данных и предварительных консультаций с надзорными органами с учётом характера обработки.
• Инструменты самообслуживания в Сервисе (экспорт, удаление рабочего пространства, отзыв сессий) закрывают большинство запросов без участия Обработчика, что Обработчик рекомендует ради скорости.

10. Уведомление об утечке персональных данных

• Обработчик уведомляет Контролёра без неоправданной задержки и ставит целью 24 часа после подтверждения утечки, чтобы Контролёр мог выполнить собственное 72-часовое обязательство по статье 33.
• Уведомление содержит: характер утечки, категории и примерное число субъектов данных и записей, вероятные последствия, принятые или предложенные меры и контактное лицо.
• Если данные были зашифрованы на стороне клиента, Обработчик прямо указывает, был ли затронутый пакет читаемым, и не строит предположений сверх имеющихся доказательств.

11. Аудит

• Обработчик предоставляет всю информацию, необходимую для подтверждения соответствия, включая настоящий DPA, страницу безопасности, список субпроцессоров и журнал аудита.
• Раз в год Контролёр может провести аудит в форме письменного опросника или на месте, уведомив за 30 дней и соблюдая конфиденциальность; во время беты он ограничен двумя рабочими днями.
• Обработчик незамедлительно информирует Контролёра, если поручение нарушает GDPR или иные положения о защите данных Союза или государства-члена.

12. Возврат и удаление

• Контролёр может в любой момент выгрузить все данные в машиночитаемом виде (CSV) вместе со сформированными документами (PDF).
• После расторжения Обработчик удаляет персональные данные в течение 30 дней и по запросу подтверждает удаление письменно, за исключением данных, которые должны храниться по закону.
• Резервные копии выводятся из обращения в течение 35 дней после удаления.

13. Международная передача данных

• Рабочие данные хранятся в ЕЭЗ (Франкфурт).
• Единственные передачи за пределы ЕЭЗ касаются Cloudflare (периферия), Resend (почта) и Google Gemini (необязательный AI-поиск); каждая покрывается Стандартными договорными условиями и, где применимо, EU-US Data Privacy Framework.
• Конфигурация только с ЕС (без AI-поиска, локализация данных в ЕС на периферии) доступна по запросу для регулируемых клиентов.

14. Ответственность и приоритет

• Ответственность по настоящему DPA ограничена условиями Условий использования, включая положение о бете (без SLA и без гарантии доступности).
• В случае противоречия между настоящим DPA и Условиями использования по вопросам защиты данных преимущественную силу имеет настоящий DPA.
• К настоящему DPA применяется право Эстонской Республики; установленные законом права контролёра по GDPR не затрагиваются.

Приложение 1 — Субпроцессоры

Субпроцессоры, авторизованные на дату версии, с назначением, регионом и основанием передачи:

Эта страница — документ о продукте и комплаенсе, а не юридическая консультация. Договоры, механизмы передачи данных и сроки хранения проверяются эстонскими юристами, прежде чем стать обязательными.

gde.ee · Соглашение об обработке данных — gde.ee · https://gde.ee/ru/dpa/