Обработка данных
1. Предмет и срок
Обработчик (Simon Kappelmeir – Dienstleistung, Weiherbachweg 6, 82216 Maisach, Германия, support@horticum.com) предоставляет контролёру программное обеспечение «Horticum» как SaaS-приложение и обрабатывает персональные данные исключительно от имени контролёра в соответствии со ст. 28 GDPR. Настоящее Соглашение об обработке данных (DPA) вступает в силу с заключением основного договора (договора о пользовании приложением) и автоматически прекращается с его расторжением. Обработка осуществляется исключительно в ЕС/ЕЭП либо в третьих странах, охватываемых решением о достаточности или стандартными договорными положениями (SCC).
2. Характер и цель обработки
Цель обработки — предоставление функций приложения, в частности: • Планирование грядок, культур, управление задачами и дневным планом • Учёт рабочего времени и отсутствий сотрудников • Документация по защите растений и удобрению • Журнал первой помощи (согласно DGUV) • Управление контактами (клиенты, поставщики, контактные лица) • Печать этикеток и списков (подписка Pro+) • Синхронизация между устройствами • Управление учётной записью и подпиской
3. Виды персональных данных
• Базовые и контактные данные (имя, адрес, телефон, e-mail) • Данные входа/учётной записи (e-mail, хэш пароля, токен сессии, IP-адреса) • Базовые данные компании (налоговый номер, НДС, IBAN/BIC) • Оперативные данные планирования и управления • Данные учёта времени и отсутствий • Особые категории по ст. 9 GDPR: данные о здоровье сотрудников в цифровом журнале первой помощи (нормативный срок хранения 5 лет по DGUV правилу 1) • Данные применения средств защиты растений (квалификация, имена операторов — согласно § 11 PflSchG, 3 года) • Данные об удобрении (согласно DüV)
4. Категории субъектов данных
• Владелец или руководство контролёра • Сотрудники и стажёры контролёра • Клиенты, поставщики и контактные лица контролёра • Конечные клиенты контролёра (если сохранены в управлении контактами)
5. Обязанности обработчика
Обработчик обязуется обрабатывать персональные данные исключительно в рамках настоящего соглашения и согласно задокументированным указаниям контролёра (ст. 28(3)(a) GDPR). Все лица, участвующие в обработке, обязаны соблюдать конфиденциальность (ст. 28(3)(b), ст. 29, ст. 32(4) GDPR). Обработчик помогает контролёру в обеспечении прав субъектов данных (ст. 12–22 GDPR) и в выполнении обязанностей по ст. 32–36 GDPR (оценка воздействия, предварительная консультация, уведомление о нарушениях). Запросы, явно адресованные контролёру, передаются без задержки. Контактное лицо по защите данных: Simon Kappelmeir, support@horticum.com. Назначение уполномоченного по защите данных в настоящее время законодательно не требуется.
6. Технические и организационные меры (ТОМ)
Обработчик принимает все необходимые технические и организационные меры согласно ст. 32 GDPR, в частности: • Контроль физического доступа: размещение в сертифицированном ЦОД в Германии (ISO 27001), физический контроль и круглосуточное наблюдение • Контроль доступа к системе: аутентификация e-mail/пароль, хэши Argon2id/Bcrypt, SSH-ключ для администратора, ограничение попыток, истечение сессии • Контроль доступа к данным: разделение арендаторов по предприятию через команды Appwrite, ролевая модель • Контроль передачи: исключительно TLS 1.2+ (HTTPS), HSTS включён • Контроль ввода: журнал аудита (createdAt, updatedAt) на всех релевантных записях • Контроль заказа: DPA со всеми субпроцессорами • Контроль доступности: ежедневные резервные копии (хранение 14 дней), мониторинг, RTO/RPO < 24 ч, межсетевой экран, регулярные обновления безопасности • Контроль разделения: отдельные среды тест/разработка/продакшн, разделение на уровне базы данных • Псевдонимизация: внутренние ID учётных записей вместо реальных имён в логах сервера
7. Субпроцессоры
С заключением настоящего соглашения контролёр предоставляет общее разрешение на использование следующих субпроцессоров (ст. 28(2) GDPR): • dogado GmbH (Дортмунд, DE) — веб-/почтовый хостинг, серверный прокси для проверки VIES • dogado GmbH или сопоставимый хостинг (DE) — эксплуатация сервера Appwrite в Германии • Stripe Payments Europe Ltd. (Дублин, IE) — обработка платежей по подпискам Pro/Pro+ (при передаче в США: SCC + DPF) • Apple Distribution International Ltd. (Корк, IE) — обработка платежей iOS/macOS через In-App Purchase • fintectura GmbH / openiban.com (Берлин, DE) — проверка IBAN • Европейская комиссия, DG TAXUD (Брюссель, BE) — проверка НДС VIES • komoot GmbH (Карлсруэ, DE) — геокодирование Photon • zippopotam.us — поиск почтового индекса → города Обработчик уведомляет контролёра в текстовой форме не менее чем за 30 дней до запланированного изменения. Контролёр может возразить в течение 14 дней по важной причине защиты данных. Обработчик несёт ответственность за соблюдение обязанностей по защите данных субпроцессорами (ст. 28(4) GDPR).
8. Оценка воздействия и предварительная консультация
Обработчик в пределах своих возможностей помогает контролёру в проведении оценки воздействия на защиту данных (ст. 35 GDPR) и предварительной консультации с надзорным органом (ст. 36 GDPR), в частности путём предоставления необходимой информации об операциях обработки, ТОМ и субпроцессорах.
9. Уведомление о нарушениях
Нарушения безопасности персональных данных сообщаются контролёру без задержки, не позднее 48 часов после обнаружения, по электронной почте на указанный контактный адрес — чтобы контролёр мог соблюсти свой 72-часовой срок по ст. 33 GDPR. Уведомление содержит характер и объём нарушения, категории данных и приблизительное число затронутых лиц, вероятные последствия и принятые или планируемые меры.
10. Прекращение обработки
После прекращения основного договора обработчик удаляет все персональные данные контролёра в течение 30 дней, если не существует нормативного обязательства по хранению. По требованию контролёра данные предварительно предоставляются в машиночитаемом формате (экспорт JSON). Данные, подлежащие нормативному хранению (записи первой помощи: 5 лет по DGUV; данные защиты растений: 3 года по PflSchG), хранятся заблокированными до истечения срока и затем удаляются. Удаление по требованию подтверждается письменно.
11. Доказательства и аудит
Контролёр может проверять соблюдение настоящего соглашения обработчиком (ст. 28(3)(h) GDPR). Проверка осуществляется в первую очередь путём запроса актуальных доказательств (концепция защиты данных, ТОМ, список субпроцессоров, аудиторские отчёты). Проверки на месте возможны раз в год в обычные рабочие часы после предварительного согласования с минимум 4-недельным уведомлением. Расходы на сопровождение возмещаются по предварительно согласованной почасовой ставке.
12. Заключительные положения
Изменения и дополнения настоящего соглашения требуют текстовой формы; это распространяется и на отмену данной оговорки. Если отдельные положения недействительны, действительность остальных положений не затрагивается. Недействительное положение заменяется действительным, наиболее близким к экономической цели. Применяется немецкое право. Подсудность — насколько это юридически допустимо — Maisach (местонахождение обработчика). Ответственность регулируется ст. 82 GDPR, а в остальном — основным договором.