Соглашение об обработке персональных данных CMS.Kids

1. Предмет, срок, характер и цель

1.1. EMODAS обрабатывает от имени Клиента персональные данные, которые Клиент и его пользователи вносят в CMS.Kids.

1.2. Цель — предоставление сервиса CMS.Kids: учёт детей и родителей, группы, расписание, посещаемость, отчёты, начисления и счета, связь с родителями.

1.3. Характер обработки: хранение, систематизация, показ пользователям, изменение, отправка писем и push-уведомлений, формирование PDF-документов, удаление.

1.4. Срок — пока Клиент пользуется сервисом, и далее до удаления данных по разделу 8.

2. Субъекты и категории данных

Сведения о здоровье (болезнь, питание, аллергии) относятся к особым категориям данных и обрабатываются, только если Клиент сам их вносит.

3. Обработка только по поручению Клиента

3.1. EMODAS обрабатывает данные только по документированным указаниям Клиента, в том числе в части передачи данных в третьи страны. Указания — это настоящее Соглашение, Условия использования, действия пользователей Клиента в системе и письма Клиента на info@cms.kids.

3.2. Если право ЕС или государства-члена обязывает EMODAS обработать данные иначе, EMODAS сообщает об этом Клиенту до начала обработки, если закон не запрещает такое сообщение.

3.3. EMODAS немедленно сообщает Клиенту, если считает, что его указание нарушает GDPR или иные нормы о защите данных.

4. Конфиденциальность

Доступ к данным Клиента получают только те лица EMODAS, кому он нужен для работы сервиса и поддержки. Все они обязаны соблюдать конфиденциальность — по договору или по закону.

5. Меры безопасности

EMODAS применяет меры по статье 32 GDPR:

• сервер и данные находятся в дата-центре в Германии;
• все соединения с сервисом зашифрованы (HTTPS, TLS 1.2/1.3, HSTS);
• база данных и внутренний API недоступны из интернета;
• пароли хранятся только в виде хэшей bcrypt; одноразовые ссылки из писем хранятся в виде хэшей и действуют не более 7 дней;
• сессии хранятся в cookie с флагами HttpOnly и Secure;
• доступ разграничен по ролям (менеджер, педагог, родитель); контакты родителей видят только сотрудники с отдельным правом;
• данные разных клиентов разделены на уровне каждого запроса к базе данных;
• фото и файлы выдаются только авторизованным пользователям Клиента;
• число попыток входа с одного IP-адреса ограничено;
• сторонние скрипты запрещены (Content Security Policy), аналитики и рекламных cookie нет;
• журналы веб-сервера ограничены по объёму, старые записи удаляются автоматически;
• обновления безопасности операционной системы устанавливаются автоматически;
• резервные копии создаются ежедневно, хранятся у Hetzner в Германии и автоматически удаляются не позднее чем через 7 дней; временные копии, создаваемые перед обновлениями системы, хранятся не дольше 30 дней.

6. Субобработчики

6.1. Клиент даёт общее разрешение на привлечение субобработчиков из списка ниже.

6.2. О новом субобработчике или замене существующего EMODAS уведомляет Клиента по email не позднее чем за 30 дней. В этот срок Клиент может возразить; если договориться не удалось, Клиент вправе прекратить пользование сервисом.

6.3. EMODAS договором возлагает на каждого субобработчика обязанности по защите данных не ниже настоящих и отвечает перед Клиентом за их исполнение.

6.4. Передача данных за пределы ЕЭЗ идёт только при гарантиях главы V GDPR: решение Еврокомиссии об адекватности (в том числе EU–US Data Privacy Framework) или стандартные договорные условия ЕС.

7. Помощь Клиенту

7.1. EMODAS помогает Клиенту отвечать на запросы субъектов данных: о доступе, исправлении, удалении, ограничении обработки, переносимости и возражении. Запрос, полученный EMODAS напрямую, передаётся Клиенту без задержки.

7.2. Об утечке персональных данных EMODAS уведомляет Клиента без неоправданной задержки после того, как узнал о ней. В уведомлении — что произошло, какие данные и субъекты затронуты, возможные последствия и принятые меры. Чего ещё не известно, EMODAS сообщает по мере выяснения.

7.3. С учётом характера обработки и доступной ему информации EMODAS помогает Клиенту выполнять обязанности по статьям 32–36 GDPR: безопасность, уведомление надзорного органа и субъектов, оценка воздействия на защиту данных, предварительная консультация.

8. Удаление или возврат данных

После окончания пользования сервисом EMODAS по выбору Клиента возвращает ему персональные данные или удаляет их, а также удаляет все копии, если хранение не требуется правом ЕС или государства-члена. Копия данных в машиночитаемом формате предоставляется по запросу на info@cms.kids, направленному до закрытия рабочего пространства. Данные, включая резервные копии, удаляются не позднее 30 дней после закрытия.

9. Проверка соблюдения

EMODAS предоставляет Клиенту всю информацию, нужную для подтверждения соблюдения настоящего Соглашения и статьи 28 GDPR, и допускает проверки, в том числе инспекции, Клиентом или назначенным им аудитором. Проверка согласуется не менее чем за 30 дней, проводится не чаще раза в год (кроме случаев утечки или требования надзорного органа), за счёт Клиента и без доступа к данным других клиентов.

10. Ограничение ответственности

Совокупная ответственность EMODAS перед Клиентом по настоящему Соглашению ограничена суммой, уплаченной Клиентом за сервис за 12 месяцев до инцидента, но не менее 500 €. Ограничение не применяется к ответственности, которую нельзя ограничить по применимому праву.

11. Заключительные положения

Соглашение действует вместе с Условиями использования; в вопросах защиты данных оно имеет приоритет. О новой версии EMODAS уведомляет Клиента по email, и она принимается в системе заново. Соглашение составлено на русском, английском и греческом языках; при расхождении приоритет имеет английская версия.