Соглашение об обработке данных

1.Цель и порядок применения настоящего соглашения

1.1  Клиент пользуется онлайн-услугами Quiz Maker по созданию викторин, анкет, аттестаций и курсов («Услуги») в соответствии с Условиями использования Quiz Maker («Условия использования»). Когда люди открывают викторины Клиента или отвечают на них, Quiz Maker осуществляет обработку их персональных данных от имени Клиента.

1.2  Настоящее Соглашение об обработке данных («Соглашение об обработке данных») устанавливает условия такой обработки в соответствии с требованиями статьи 28 GDPR (Общего регламента по защите данных) и обеспечивает правовое основание для передачи этих персональных данных за пределы Европейской экономической зоны.

1.3  Настоящее Соглашение об обработке данных заключено между My Plaza Pty Ltd (ABN 58 110 054 245), осуществляющей деятельность под наименованием Quiz Maker («Quiz Maker»), и клиентом, у которого есть Аккаунт Quiz Maker («Клиент»). Оно является частью Условий использования и применяется автоматически, без подписания, всякий раз, когда Quiz Maker осуществляет обработку Персональных данных Клиента, на которые распространяется Законодательство о защите данных. Клиент принимает его, принимая Условия использования.

1.4  Клиент, которому нужна подписанная копия, может запросить её через форму обратной связи Quiz Maker. Подписанная копия содержит те же условия, что и настоящее Соглашение об обработке данных.

1.5  В случае любого противоречия применяется следующий порядок: сначала Стандартные договорные положения (если они применяются), затем настоящее Соглашение об обработке данных, затем Условия использования. Во всём остальном Условия использования продолжают применяться.

2.Определения

Термины, используемые в настоящем Соглашении об обработке данных, но не определённые в нём (например, контролёр, обработчик, субъект данных, персональные данные, обработка и надзорный орган), имеют значение, установленное в GDPR. Кроме того:

3.Роли и сфера применения

3.1  Клиент является контролёром Персональных данных Клиента, а Quiz Maker — его обработчиком.

3.2  Quiz Maker является контролёром собственных сведений Клиента об Аккаунте, входе и выставлении счетов, с которыми он обращается в соответствии со своей Политикой конфиденциальности. Эти сведения не являются Персональными данными Клиента, и настоящее Соглашение об обработке данных на них не распространяется.

3.3  Клиент несёт ответственность за наличие правового основания для сбора Персональных данных Клиента через свои викторины, за уведомления, которые он направляет субъектам данных, и согласия, которые он от них получает (включая любое согласие, требуемое для файлов cookie или аналогичных технологий в его викторинах и на сайтах, в которые он их встраивает), а также за то, чтобы не собирать особые категории персональных данных или иные данные, запрещённые Условиями использования, если Quiz Maker не дал на это письменного согласия.

4.Обработка по указаниям Клиента

4.1  Quiz Maker осуществляет обработку Персональных данных Клиента только по документально оформленным указаниям Клиента, в том числе в отношении передачи в третью страну. Указаниями Клиента являются настоящее Соглашение об обработке данных, Условия использования, а также использование и настройка Услуг Клиентом (например, публикация викторины, выбор задаваемых в ней вопросов, включение писем с результатами или Функций ИИ, экспорт или удаление прохождений).

4.2  Quiz Maker может осуществлять иную обработку Персональных данных Клиента только в случаях, когда этого требует право Союза или государства-члена, которому он подчиняется. В этом случае он сообщит Клиенту о таком требовании закона до начала обработки, если только закон не запрещает это по важным соображениям общественного интереса.

4.3  Quiz Maker незамедлительно сообщит Клиенту, если, по его мнению, какое-либо указание нарушает Законодательство о защите данных.

4.4  Quiz Maker не будет продавать Персональные данные Клиента, использовать их для рекламы, для обучения моделей искусственного интеллекта или иным образом в собственных целях, за исключением создания агрегированной статистики, не позволяющей идентифицировать Клиента или какого-либо субъекта данных, как описано в Условиях использования.

5.Конфиденциальность

5.1  Quiz Maker обеспечит, чтобы каждое лицо, которому он разрешает осуществлять обработку Персональных данных Клиента, было связано надлежащим обязательством о конфиденциальности и чтобы доступ был ограничен сотрудниками, которым он необходим для предоставления, защиты и поддержки Услуг.

6.Безопасность

6.1  Quiz Maker внедрит и будет поддерживать технические и организационные меры, описанные в Приложении II, для защиты Персональных данных Клиента, как того требует статья 32 GDPR.

6.2  Quiz Maker вправе обновлять эти меры по мере изменения технологий и угроз при условии, что общий уровень защиты существенно не снижается.

7.Субобработчики

7.1  Клиент даёт Quiz Maker общее письменное разрешение на привлечение Субобработчиков. Субобработчики, указанные в Приложении III, считаются утверждёнными.

7.2  Quiz Maker публикует актуальный перечень Субобработчиков в качестве Приложения III к настоящему Соглашению об обработке данных по адресу quiz-maker.com/Data-Processing-Agreement и будет обновлять его не менее чем за 30 дней до добавления или замены Субобработчика. Quiz Maker также будет направлять такое уведомление по Email каждому Клиенту, который запросил это через форму обратной связи.

7.3  Клиент вправе в течение этих 30 дней возразить против нового Субобработчика по обоснованным соображениям защиты данных, и стороны добросовестно обсудят возражение. Если его не удаётся урегулировать, Клиент вправе прекратить пользование затронутыми Услугами, и Quiz Maker вернёт любую предоплаченную плату за неиспользованный период.

7.4  Quiz Maker привлекает каждого Субобработчика на основании письменного договора, налагающего обязательства по защите данных, не менее строгие, чем предусмотренные настоящим Соглашением об обработке данных, и несёт полную ответственность перед Клиентом за исполнение этих обязательств каждым Субобработчиком.

8.Запросы субъектов данных

8.1  Если Quiz Maker получает от субъекта данных запрос, касающийся Персональных данных Клиента, он без неоправданной задержки передаёт запрос Клиенту и не отвечает на него, кроме как для того, чтобы направить субъекта данных к Клиенту, если Клиент не разрешит иное.

8.2  Услуги позволяют Клиенту самостоятельно просматривать, экспортировать, исправлять и удалять Персональные данные Клиента. Если Клиент не может сделать это с помощью Услуг, Quiz Maker окажет разумное содействие с учётом характера обработки, чтобы Клиент мог отвечать на запросы об осуществлении прав субъектов данных.

9.Нарушения безопасности персональных данных

9.1  Quiz Maker уведомит Клиента без неоправданной задержки после того, как ему станет известно о Нарушении безопасности персональных данных, и, если это осуществимо, в течение 48 часов.

9.2  Уведомление будет содержать, в той мере, в какой это известно на тот момент, описание характера нарушения, категорий и приблизительного числа затронутых субъектов данных и записей, его вероятных последствий, а также принятых или предлагаемых мер. Если не все эти сведения известны сразу, Quiz Maker будет предоставлять их поэтапно по мере их появления.

9.3  Quiz Maker примет разумные меры для локализации и устранения нарушения и предоставит Клиенту сведения, разумно необходимые ему для выполнения его собственных обязательств по уведомлению надзорных органов и субъектов данных. Уведомление о нарушении не является признанием вины или ответственности.

10.Содействие в соблюдении требований

10.1  С учётом характера обработки и доступной ему информации Quiz Maker окажет Клиенту разумное содействие в выполнении его обязательств по статьям 32–36 GDPR, включая оценку воздействия на защиту данных и предварительную консультацию с надзорным органом.

11.Удаление и возврат данных

11.1  Пока Клиент пользуется Услугами, он может в любой момент экспортировать или удалить Персональные данные Клиента.

11.2  После прекращения оказания Услуг у Клиента есть не менее 30 дней, чтобы экспортировать свои данные. По истечении этого срока Quiz Maker удалит Персональные данные Клиента, если только право Союза или государства-члена не требует их хранения.

11.3  Данные в зашифрованных резервных копиях перезаписываются в рамках обычного цикла резервного копирования и до этого момента остаются под защитой настоящего Соглашения об обработке данных. По запросу Quiz Maker письменно подтвердит, что удаление выполнено.

12.Информация и аудиты

12.1  Quiz Maker предоставит Клиенту информацию, необходимую для подтверждения соблюдения статьи 28 GDPR, включая письменные сведения о своих мерах безопасности и ответы на разумные опросники по безопасности.

12.2  Аудиты проводятся в форме предоставления Quiz Maker этой информации Клиенту и ответов Quiz Maker на разумные письменные уточняющие вопросы Клиента по ней.

12.3  Инспекция помещений или систем Quiz Maker может проводиться только в случае, если этого требует компетентный надзорный орган, или после Нарушения безопасности персональных данных, затрагивающего Персональные данные Клиента. Она должна проводиться независимым аудитором, связанным обязательством о конфиденциальности и не являющимся конкурентом Quiz Maker, с письменным уведомлением не менее чем за 30 дней (или в более короткий срок, если этого требует орган), в обычное рабочее время, за счёт Клиента и ограничиваться обработкой Персональных данных Клиента. Она не включает доступ к данным других клиентов или к информации, раскрытие которой поставило бы под угрозу безопасность Услуг.

12.4  Настоящий пункт определяет порядок осуществления прав Клиента по пункту 8.9 Стандартных договорных положений и не ограничивает полномочия какого-либо надзорного органа.

13.Трансграничная передача

13.1  Клиент признаёт, что Quiz Maker учреждён в Австралии, что Персональные данные Клиента размещаются на серверах в США, проходят через глобальную сеть Cloudflare и что Субобработчики, указанные в Приложении III, осуществляют их обработку в перечисленных там местах.

13.2  В той мере, в какой передача Клиентом Персональных данных Клиента Quiz Maker является передачей в третью страну в соответствии с главой V GDPR, Стандартные договорные положения включаются в настоящее Соглашение об обработке данных посредством ссылки, при этом Клиент выступает экспортёром данных, а Quiz Maker — импортёром данных, со следующими вариантами:

1. Применяется пункт 7 (положение о присоединении).
2. Пункт 9(a): применяется вариант 2 (общее письменное разрешение), срок составляет 30 дней, а уведомление направляется в порядке, описанном в пункте 7.2 настоящего Соглашения об обработке данных.
3. Пункт 11(a): необязательная формулировка не применяется.
4. Пункт 13: компетентным надзорным органом является орган, указанный в разделе C Приложения I.
5. Пункт 17: применяется вариант 1, применимым правом является право Ирландии.
6. Пункт 18(b): споры разрешаются судами Ирландии.
7. Приложения I, II и III к Стандартным договорным положениям заполняются Приложениями I, II и III к настоящему Соглашению об обработке данных.

13.3  Если Quiz Maker передаёт Персональные данные Клиента Субобработчику в третьей стране, он обеспечит, чтобы такая передача была защищена надлежащей гарантией в соответствии с главой V GDPR, например стандартными договорными положениями или решением о достаточности защиты (включая EU-U.S. Data Privacy Framework (Рамочное соглашение ЕС — США о конфиденциальности данных), если Субобработчик сертифицирован в соответствии с ним).

13.4  Quiz Maker предоставит разумную информацию, чтобы помочь Клиенту оценить передачу в соответствии с пунктом 14 Стандартных договорных положений, и будет обрабатывать любые запросы государственных органов о Персональных данных Клиента в порядке, предусмотренном пунктом 15 Стандартных договорных положений.

13.5  Если применяется UK GDPR, применяется International Data Transfer Addendum to the EU Commission Standard Contractual Clauses (дополнение о международной передаче данных к стандартным договорным положениям Европейской комиссии), изданное UK Information Commissioner (Уполномоченным по информации Великобритании) (версия B1.0), при этом его таблицы 1–3 заполняются сведениями из настоящего Соглашения об обработке данных и приложений к нему, и любая из сторон может прекратить его действие в порядке, допускаемом его таблицей 4. Если применяется Swiss Federal Act on Data Protection, Стандартные договорные положения применяются с Swiss Federal Data Protection and Information Commissioner (Федеральным уполномоченным Швейцарии по защите данных и информации) в качестве компетентного надзорного органа, а ссылки на GDPR понимаются как ссылки на этот закон.

14.Ответственность

14.1  Совокупная ответственность каждой из сторон перед другой стороной, возникающая из настоящего Соглашения об обработке данных и Стандартных договорных положений или в связи с ними, в совокупности со всеми претензиями по Условиям использования, подпадает под ограничения и исключения ответственности, предусмотренные Условиями использования, включая исключение косвенных и последующих убытков и общий предел ответственности, в той мере, в какой это допускает закон.

14.2  Ничто в настоящем Соглашении об обработке данных не ограничивает ответственность любой из сторон перед субъектами данных по Стандартным договорным положениям или любую ответственность, которая не может быть ограничена или исключена законом.

15.Срок действия, изменения и общие положения

15.1  Настоящее Соглашение об обработке данных вступает в силу 25 августа 2026 года или в момент принятия Клиентом Условий использования, если это произойдёт позднее, и действует до тех пор, пока Quiz Maker осуществляет обработку Персональных данных Клиента. Положения, которые по своей природе должны сохранять силу после прекращения, сохраняют её.

15.2  Применимым правом для настоящего Соглашения об обработке данных является право, применимое к Условиям использования, за исключением того, что применимым правом для Стандартных договорных положений является право, выбранное в пункте 13.2. Ничто в настоящем Соглашении об обработке данных не ограничивает права субъектов данных по Стандартным договорным положениям.

15.3  Quiz Maker вправе обновлять настоящее Соглашение об обработке данных в том же порядке, в каком Условия использования позволяют ему обновлять Условия использования. Обновление не приведёт к существенному снижению защиты, которую настоящее Соглашение об обработке данных обеспечивает Персональным данным Клиента, если только этого не требуют изменения Законодательства о защите данных или новые стандартные договорные положения, принятые Европейской комиссией.

15.4  Если какое-либо положение настоящего Соглашения об обработке данных является недействительным или не подлежащим исполнению, остальная его часть сохраняет силу.

15.5  Если стороны подписывают копию настоящего Соглашения об обработке данных, она может быть подписана в электронной форме и в нескольких экземплярах, каждый из которых является оригиналом.

Приложение I. Описание обработки

A. Перечень сторон

B. Описание передачи

C. Компетентный надзорный орган

Если Клиент учреждён в Европейском союзе — надзорный орган государства-члена, в котором он учреждён (или его ведущий надзорный орган, если у него более одного места учреждения). Если Клиент не учреждён в Европейском союзе, но на него распространяется GDPR, — надзорный орган государства-члена, в котором учреждён его представитель в соответствии со статьёй 27 GDPR, или, если он не обязан назначать представителя, государства-члена, в котором находятся соответствующие Участники.

Приложение II. Технические и организационные меры

Приложение III. Утверждённые Субобработчики

Stripe, Inc. осуществляет обработку собственных платёжных сведений Клиента, контролёром которых является Quiz Maker. Он не получает Персональные данные Клиента и не является Субобработчиком по настоящему Соглашению об обработке данных.