Соглашение об обработке данных

v1.6-2026-10-08 · вступает в силу 2026-10-08 · Статья 28 GDPR + поставщик услуг CCPA

Настоящее Соглашение об обработке данных (далее — “DPA”) включено в Основное соглашение об оказании услуг (далее — “MSA”) и составляет его часть, между [Юридическое лицо Клиента] (далее — “Контролёр”) и GlobalDeal Inc. (действующей под брендом Ataski) (далее — “Обработчик”). Оно регулирует обработку персональных данных, выполняемую Обработчиком от имени Контролёра.

1. Определения

Термины, используемые в настоящем DPA, имеют значение, данное в GDPR (Регламент (ЕС) 2016/679) и CCPA (Cal. Civ. Code §1798.140), где это применимо. Следующие определения применяются в обоих режимах:

Контролёр. Физическое или юридическое лицо, которое определяет цели и средства обработки персональных данных (статья 4(7) GDPR). Для целей настоящего DPA Клиент является Контролёром.
Обработчик. Физическое или юридическое лицо, которое обрабатывает персональные данные от имени Контролёра (статья 4(8) GDPR). Ataski является Обработчиком. Для целей CCPA Ataski действует как поставщик услуг (Cal. Civ. Code §1798.140(ag)).
Персональные данные. Любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу (статья 4(1) GDPR) или персональная информация (CCPA §1798.140(v)), которую Контролёр передаёт в Сервис или через него, либо которую Сервис собирает от имени Контролёра.
Обработка. Любая операция, выполняемая с персональными данными, включая сбор, хранение, анализ, использование, раскрытие, удаление (статья 4(2) GDPR).
Суб-обработчик. Любая третья сторона, привлечённая Ataski для обработки персональных данных от имени Контролёра. Текущий список опубликован на /legal/subprocessors.
Субъект данных. Идентифицированное или идентифицируемое физическое лицо, к которому относятся персональные данные.

2. Предмет и срок

Предмет. Обработчик предоставляет Контролёру услуги команды ИИ-сотрудников (далее — “Услуги”). В процессе предоставления Услуг Обработчик обрабатывает персональные данные от имени Контролёра, в соответствии с задокументированными инструкциями Контролёра.

Срок. Настоящее DPA вступает в силу 2026-10-08 и остаётся в силе на протяжении срока действия базовой подписки, плюс 30-дневное окно хранения данных, в течение которого Контролёр может экспортировать данные Клиента через самостоятельный эндпоинт /app/settings/export.json, после чего Обработчик удаляет все данные Клиента (статья 28(3)(g) GDPR).

3. Характер и цель обработки

Характер и цель обработки определяются ролями команды ИИ-сотрудников, которые Контролёр активирует в своём рабочем пространстве.

На дату вступления в силу, указанную выше, в Сервисе доступны следующие роли: Помощник холодных продаж, Менеджер поддержки, Менеджер продлений, Монитор клиентских аккаунтов, Менеджер по работе с договорами, Контроль обязательств, Финансовый аналитик, Подготовка пакета для совета директоров, Менеджер по сбору дебиторской задолженности. Этот перечень описывает Сервис по состоянию на указанную дату. Он не создаёт, не расширяет и не ограничивает обязательства Обработчика, установленные в §6. Роли могут добавляться в Сервис или выводиться из него без внесения изменений в настоящее DPA. Вывод роли из Сервиса не уменьшает обязательств Обработчика в отношении персональных данных, которые уже были обработаны.

Матрица возможностей каждой роли опубликована на соответствующей маркетинговой странице, и активация роли Контролёром составляет задокументированную инструкцию по обработке персональных данных в рамках заявленной области этой роли.

4. Типы персональных данных и категории субъектов данных

Типы персональных данных. Деловые контактные данные (имя, рабочий email, рабочий телефон, должность); метаданные коммуникаций (временные метки отправки / получения email, посещаемость встреч); предоставленный Контролёром контент (загруженные CSV, материалы совета директоров, проекты контрактов); данные о потенциальных клиентах, которые Сервис собирает по указанию Контролёра (имя, должность, работодатель, адрес профиля в LinkedIn, местоположение и сведения о компании из публичных данных LinkedIn, полученных через Apify, а также рабочий email, выведенный из формата адресов компании и проверенный на доставляемость); входные данные и выводы модели (промпты и составленные ИИ ответы).

Категории субъектов данных. Сотрудники, подрядчики, клиенты, потенциальные клиенты, поставщики, члены совета директоров и участники встреч Контролёра, чьи данные Контролёр передаёт в Сервис или через него либо которые Сервис собирает по указанию Контролёра (например, потенциальные клиенты, которых для Контролёра находит роль исходящих рассылок).

5. Обязательства Контролёра

Контролёр несёт ответственность за соблюдение применимых законов о защите данных в отношении персональных данных, которые он передаёт в Сервис, включая установление законного основания для обработки (статья 6 GDPR) и предоставление требуемых уведомлений субъектам данных. Контролёр гарантирует, что его задокументированные инструкции Обработчику соответствуют GDPR и другому применимому законодательству о защите данных. Это относится и к персональным данным, которые Сервис собирает по указанию Контролёра, например к потенциальным клиентам, которых находит роль исходящих рассылок: Контролёр решает, с кем и зачем связываться, является отправителем этих писем и должен иметь законное основание для обращения к людям на каждом рынке, на который он нацелен.

6. Обязательства Обработчика (статья 28(3) GDPR)

Задокументированные инструкции. Обработчик обрабатывает персональные данные только по задокументированным инструкциям Контролёра, в том числе в отношении международных передач данных, если только это не требуется законом Союза или государства-члена, которому подчиняется Обработчик; в этом случае Обработчик информирует Контролёра об этом законодательном требовании до обработки, если только закон не запрещает такую информацию по важным основаниям общественного интереса.
Доступ поддержки. Если Контролёр обратился в поддержку или Ataski реагирует на инцидент, затрагивающий Контролёра, сотрудники Ataski могут открыть рабочее пространство Контролёра для просмотра. Такой доступ является документированным указанием в смысле настоящего пункта и ограничен следующим: он требует зафиксированной причины со ссылкой на обращение, инцидент или запрос Контролёра; он технически доступен только на чтение, поэтому во время него нельзя создать, изменить, отправить или удалить данные Клиента; он автоматически прекращается через 60 минут; его начало и окончание записываются в неизменяемый журнал аудита; и Ataski уведомляет владельца рабочего пространства Контролёра по электронной почте в момент начала. Каждый такой доступ фиксируется в реестре, который Ataski предоставляет Контролёру по запросу согласно обязательству об аудите в §6(9).
Конфиденциальность. Обработчик обеспечивает, чтобы лица, уполномоченные обрабатывать персональные данные, взяли на себя обязательство о конфиденциальности или находятся под соответствующим законным обязательством о конфиденциальности.
Безопасность. Обработчик внедряет соответствующие технические и организационные меры (Приложение A) для обеспечения уровня безопасности, соответствующего риску (статья 32 GDPR).
Суб-обработка. Обработчик привлекает суб-обработчиков только на условиях, изложенных в §7 ниже.
Содействие в реализации прав субъектов данных. Обработчик содействует Контролёру, посредством соответствующих технических и организационных мер, в выполнении обязательства Контролёра отвечать на запросы субъектов данных согласно главе III GDPR (статьи 12–23).
Содействие по статьям 32–36. Обработчик содействует Контролёру в обеспечении соблюдения статей 32 (Безопасность), 33 (Уведомление о нарушении), 34 (Сообщение о нарушении), 35 (DPIA) и 36 (Предварительная консультация) GDPR, с учётом характера обработки и информации, доступной Обработчику.
Возврат или удаление. По прекращении Услуг Обработчик возвращает или удаляет все персональные данные по выбору Контролёра и удаляет существующие копии, если только закон Союза или государства-члена не требует хранения. Окно по умолчанию — 30 дней с момента прекращения через самостоятельный эндпоинт /app/settings/export.json и автоматизированную задачу удаления после 30 дней.
Аудит. Обработчик предоставляет Контролёру всю информацию, необходимую для демонстрации соблюдения обязательств, изложенных в статье 28 GDPR, и допускает и способствует аудитам, включая инспекции, проводимым Контролёром или другим аудитором, уполномоченным Контролёром. Аудиты могут проводиться не более одного раза в календарный год, если иное не требуется приказом надзорного органа.

7. Суб-обработчики

Контролёр настоящим предоставляет Обработчику общее письменное разрешение на привлечение суб-обработчиков, перечисленных на /legal/subprocessors (включённых по ссылке). Обработчик информирует Контролёра о любых предполагаемых изменениях в этом списке, предоставляя Контролёру уведомление не менее чем за 30 дней, в течение которых Контролёр может возразить на разумных основаниях. Обработчик остаётся ответственным перед Контролёром за действия и бездействие каждого суб-обработчика, как если бы они были его собственными.

Обработчик обеспечивает, чтобы каждый суб-обработчик был связан письменным соглашением, налагающим обязательства по защите данных не менее защитные, чем в настоящем DPA. Текущий список суб-обработчиков насчитывает 16 поставщиков по состоянию на 2026-10-07 (см. публичную страницу суб-обработчиков для канонического списка).

8. Международные передачи

Если персональные данные передаются из Европейской экономической зоны, Соединённого Королевства или Швейцарии в третью страну, которая не пользуется решением об адекватности, Обработчик и Контролёр соглашаются, что применяются Стандартные договорные положения ЕС (Имплементационное решение Комиссии (ЕС) 2021/914), Модуль второй (Контролёр к Обработчику), где Контролёр учреждён в ЕЭЗ, причём Ataski действует как импортёр данных. Дополнение о международной передаче данных Великобритании и руководство Швейцарского федерального уполномоченного по защите данных и информации применяются mutatis mutandis для передач из Великобритании и Швейцарии соответственно. Сама Ataski не сертифицирована в Рамках конфиденциальности данных ЕС–США; если принимающий суб-обработчик имеет собственную сертификацию DPF, эта сертификация служит дополнительной гарантией для передачи этому суб-обработчику, а механизмом передачи между сторонами остаются SCC.

9. Нарушение безопасности персональных данных

Обработчик уведомляет Контролёра без неоправданной задержки и в любом случае в течение 72 часов после того, как ему стало известно о нарушении безопасности персональных данных (статьи 4(12), 33 GDPR). В уведомлении описывается характер нарушения, включая, где возможно, категории и приблизительное число затронутых субъектов данных, вероятные последствия и меры, принятые или предложенные для устранения нарушения.

10. Срок и прекращение

Настоящее DPA остаётся в силе до тех пор, пока Обработчик обрабатывает персональные данные от имени Контролёра в рамках MSA. Любая из сторон может прекратить настоящее DPA только путём прекращения MSA в соответствии с его условиями; при прекращении Обработчик завершает процедуру возврата / удаления согласно §6(8) выше.

11. Применимое право

Настоящее DPA регулируется правом, указанным в MSA. Ничто в настоящем DPA не умаляет прав, предоставленных субъектам данных правом Союза, государства-члена или иным применимым законодательством о защите данных.

Приложение A — Технические и организационные меры (статья 32 GDPR)

Обработчик внедряет следующие технические и организационные меры (“TOM”) для обеспечения уровня безопасности, соответствующего риску, в соответствии со статьёй 32 GDPR:

Multi-tenancy. Per-tenant data isolation via Postgres Row Level Security; every customer-data table enforces the tenant_id session variable at the database layer (defence-in-depth on top of application-level scoping).
Encryption at rest. All credential material stored encrypted via Fernet (AES-128 in CBC mode with HMAC-SHA-256 authentication). Storage-layer encryption (AES-256) of the database, provided by Neon, and of file storage, provided by Cloudflare R2.
Encryption in transit. TLS 1.2 minimum, TLS 1.3 preferred, on every HTTPS endpoint and database connection.
Access control. WorkOS-backed authentication (email/passwordless, MFA) for tenant workspaces; role-gated approval workflows for high-stakes actions (board pack approval, monthly investor update send, outbound email send).
Audit logging. Append-only audit_log table — the application database role holds INSERT/SELECT privileges only, no UPDATE/DELETE granted; every LLM call, external API call, and data modification logged with tenant_id, user_id, correlation_id, cost, and latency. Administrative access is governed by the DPA support-access register (§6(2)).
PII handling. Service Provider posture per CCPA §1798.140(ag); contact records stay in per-tenant RLS scope and are never aggregated across tenants. A Controller's request to delete a Data Subject's outreach and support records from its workspace, submitted through the Controller's authenticated deletion endpoint (/api/ccpa-delete), is fulfilled within 30 days (GDPR) / 45 days (CCPA); verifying the requester's identity is the Controller's responsibility. A Data Subject's opt-out through the public /privacy/optout form adds the address to a global do-not-contact register; it does not by itself delete Personal Data from a Controller's workspace.
Cost guardrails. Four-tier cost ceiling (provider limit, per-task budget, per-customer daily cap, global kill switch) limits runaway exfiltration via a compromised credential.
Incident response. Bugsink error tracking; for any incident involving Customer Data the affected Controller is notified without undue delay, and in any event within 72 hours of Ataski becoming aware (aligned with §9 of this DPA); external uptime monitoring via Better Stack.
Personnel. Personnel with access to Customer Data are bound by confidentiality obligations. Today that is one person, the founder; any future employee or contractor signs confidentiality terms before being given access. Principle of least privilege enforced via role-gated routes. Access to production and to each workspace is reviewed on a quarterly schedule (1 January, April, July and October); the first review falls in Q4 2026 and had not been signed off as of this version's effective date.

Приложение B — Суб-обработчики

Текущий список суб-обработчиков опубликован на /legal/subprocessors и включён в настоящее DPA по ссылке. По состоянию на 2026-10-07 список насчитывает 16 поставщиков.