Дополнение к соглашению о защите данных в рамках программы Stellar Cyber

Настоящее Дополнение к Соглашению о защите данных, включая все приложения («Дополнение»), является частью соглашения, включающего в себя Пользовательское соглашение и соответствующий Заказ, между компанией Stellar Cyber ​​Inc. («Stellar Cyber») и Клиентом («Соглашение»). Стороны соглашаются, что настоящее Дополнение устанавливает их обязательства в отношении обработки и защиты данных Клиента в связи с использованием Клиентом Результатов работы.

1. ОБЗОР

Настоящее Соглашение об обработке данных применяется только к обработке данных клиента в средах, контролируемых Stellar Cyber ​​(включая субподрядчиков Stellar Cyber), включая данные клиента, отправленные Stellar Cyber ​​в рамках предоставляемых услуг, но не включает данные, которые остаются на территории клиента или в любых выбранных клиентом сторонних операционных средах. Настоящее Соглашение об обработке данных вступает в силу с даты вступления в силу настоящего Соглашения и заменяет любые условия, ранее применявшиеся к обработке и обеспечению безопасности данных клиента. Термины, написанные заглавными буквами, используемые, но не определенные в настоящем Соглашении об обработке данных, имеют значение, присвоенное им в настоящем Соглашении.

2. ОПРЕДЕЛЕНИЯ

2.1. «Применимое законодательство о защите данных» означает , в зависимости от сферы применения к обработке данных клиента (включая любые содержащиеся в них персональные данные), любое национальное, федеральное, европейское, государственное, провинциальное или иное законодательство или нормативные акты, касающиеся конфиденциальности, защиты данных или безопасности данных.

2.2. «Данные клиента» означают , для целей настоящего Соглашения об обработке данных и независимо от любого определения «Данные клиента» в Соглашении, данные, полученные с конечных устройств клиента или иным образом предоставленные клиентом или от его имени компании Stellar Cyber ​​посредством использования клиентом результатов работы, за исключением системных данных.

2.3. «Персональные данные клиента» означают персональные данные, содержащиеся в данных клиента, включая любые особые категории персональных данных или конфиденциальные данные, определенные в соответствии с применимым законодательством о защите данных.

2.4. «Регламент ЕС о защите персональных данных» означает Регламент (ЕС) 2016/679 Европейского парламента и Совета от 27 апреля 2016 года о защите физических лиц в отношении обработки персональных данных и о свободном перемещении таких данных, отменяющий Директиву 95/46/EC.

2.5. «Нарушение безопасности» означает нарушение безопасности Stellar Cyber, приводящее к случайному или незаконному уничтожению, потере, изменению, несанкционированному раскрытию или доступу к данным клиента.

2.6. «Субподрядчик» означает третью сторону, уполномоченную в соответствии с настоящим Соглашением об обработке данных обрабатывать данные клиента для предоставления результатов работы.

2.7 «Системные данные» означают технические, эксплуатационные, диагностические данные, данные об использовании, телеметрии, производительности, конфигурации, данных об угрозах и аналогичные данные, генерируемые в результате или связанные с эксплуатацией, производительностью, безопасностью или использованием Результатов работы, за исключением Персональных данных Клиента.

2.8. Термины «персональные данные», «субъект данных», «контроллер» и «обработчик», используемые в настоящем Соглашении об обработке данных, имеют значения, определенные применимым законодательством о защите данных или, при отсутствии такого значения или закона, Регламентом ЕС о защите персональных данных (GDPR).

3. СОБЛЮДЕНИЕ ЗАКОНОДАТЕЛЬСТВА И УСЛОВИЯ, СВЯЗАННЫЕ С ЮРИСДИКЦИЕЙ

3.1. Роли сторон. Stellar Cyber ​​является обработчиком, а Клиент — контроллером или обработчиком, в зависимости от обстоятельств, данных Клиента.

3.2. Соблюдение законодательства. Каждая Сторона обязуется соблюдать свои обязательства, связанные с обработкой данных Клиента, в соответствии с применимым законодательством о защите данных.

3.3. Условия, специфичные для каждой юрисдикции. В той мере, в которой обработка данных клиента регулируется применимым законодательством о защите данных, описанным в Приложении 3 (Законы о защите данных, специфичные для каждой юрисдикции), применяются также соответствующие условия, приведенные в Приложении 3. В случае противоречия между общими условиями настоящего Соглашения об обработке данных и Приложением 3, преимущественную силу имеет Приложение 3.

4. ОБРАБОТКА ДАННЫХ КЛИЕНТА

4.1. Краткое описание обработки. Предмет и подробности обработки данных клиента описаны в Приложении 1 (Подробности обработки данных клиента).

4.2. Обязательства Stellar Cyber. Компания Stellar Cyber ​​обязуется: (а) не обрабатывать данные Клиента иначе, чем для предоставления результатов в соответствии с Соглашением (включая положения настоящего Соглашения об обработке данных и описание в Приложении 1 к настоящему Соглашению об обработке данных) и применимым законодательством («Разрешенная цель»); и (б) незамедлительно уведомить Клиента, если, по мнению Stellar Cyber, применимое законодательство о защите данных запрещает Stellar Cyber ​​соблюдать Разрешенную цель или Stellar Cyber ​​по иным причинам не может соблюдать Разрешенную цель.

4.3. Инструкции и обязательства клиента. Настоящим клиент: (а) поручает Stellar Cyber ​​обрабатывать данные клиента для разрешенной цели; (б) гарантирует и подтверждает, что он имеет и будет в любое соответствующее время должным образом и эффективно уполномочен давать инструкции, изложенные в настоящем документе, от имени каждого соответствующего контролера данных клиента; и (в) гарантирует и подтверждает, что соответствующий контролер данных клиента предоставил все уведомления и получил все согласия, требуемые применимым законодательством о защите данных, для предоставления данных клиента компании Stellar Cyber ​​в соответствии с настоящим Соглашением.

5. БЕЗОПАСНОСТЬ

5.1. Меры безопасности. Компания Stellar Cyber ​​будет внедрять и поддерживать технические и организационные меры, изложенные в Приложении 2 (Меры безопасности) (далее «Меры безопасности»). Компания Stellar Cyber ​​может периодически обновлять Меры безопасности при условии, что такие обновления не приведут к снижению безопасности Результатов работы или обязательств компании Stellar Cyber ​​по Соглашению.

5.2. Обязанности Клиента по обеспечению безопасности. Без ущерба для обязательств Stellar Cyber, предусмотренных Разделом 5.1 (Меры безопасности) и другими положениями Соглашения, Клиент несет ответственность за использование Результаты работы, включая: (а) использование Результаты работы для обеспечения уровня безопасности, соответствующего риску для Данных Клиента; (б) обеспечение безопасности учетных данных, систем и устройств аутентификации, используемых Клиентом для доступа к Результаты работы; и (в) резервное копирование Данных Клиента по мере необходимости.

5.3. Оценка безопасности со стороны клиента. Клиент соглашается с тем, что результаты работы и меры безопасности, внедренные и поддерживаемые компанией Stellar Cyber, обеспечивают уровень безопасности, соответствующий риску для данных клиента.

5.4. Конфиденциальность. Компания Stellar Cyber ​​гарантирует, что ее персонал, занимающийся обработкой данных клиента, (а) будет обрабатывать такие данные только по указаниям клиента или в соответствии с условиями настоящего Соглашения об обработке данных, и (б) будет обязан сохранять конфиденциальность и безопасность таких данных даже после прекращения их работы. Компания Stellar Cyber ​​будет проводить периодическое и обязательное обучение и повышение осведомленности своих сотрудников по вопросам конфиденциальности и безопасности данных в соответствии с применимым законодательством о защите данных и отраслевыми стандартами.

5.5. Нарушения безопасности.

5.5.1. Уведомление. Компания Stellar Cyber ​​обязуется незамедлительно уведомить Клиента, в любом случае в течение 72 часов, с момента обнаружения нарушения безопасности, и незамедлительно предпринять разумные шаги для минимизации ущерба и защиты данных Клиента.

5.5.2. Подробности уведомления. Уведомление Stellar Cyber ​​о нарушении безопасности будет содержать следующую информацию: (a) характер нарушения безопасности, включая затронутые ресурсы Клиента; (b) меры, которые Stellar Cyber ​​предприняла или планирует предпринять для устранения нарушения безопасности и снижения его потенциального риска; (c) меры, если таковые имеются, которые Stellar Cyber ​​рекомендует Клиенту предпринять для устранения нарушения безопасности; и (d) контактные данные лица, у которого можно получить дополнительную информацию. Если невозможно предоставить всю эту информацию одновременно, первоначальное уведомление Stellar Cyber ​​будет содержать имеющуюся на тот момент информацию, а дополнительная информация будет предоставлена ​​без неоправданной задержки по мере ее поступления.

5.5.3. Отсутствие признания вины или ответственности. Уведомление компанией Stellar Cyber ​​о нарушении безопасности или ответ на него в соответствии с данным разделом не будут рассматриваться как признание компанией Stellar Cyber ​​какой-либо вины или ответственности в отношении нарушения безопасности.

6. Дополнительная обработка

6.1. Конкретное согласие. Клиент прямо уполномочивает Stellar Cyber ​​привлекать в качестве субподрядчиков организации, перечисленные на дату вступления в силу настоящего Соглашения об обработке данных, как указано в Разделе 6.2 (Подробная информация о субподрядчиках). Кроме того, и без ущерба для Раздела 6.3 (Привлечение новых субподрядчиков), Клиент в целом разрешает привлечение в качестве субподрядчиков любых других третьих лиц (каждое из которых именуется «Новый субподрядчик») в соответствии с Разделом 6.3.

6.2. Информация о субподрядчиках. Информация о субподрядчиках, включая их функции и местонахождение, приведена в Приложении 6.3 («Список субподрядчиков»), актуальная версия которого размещена по адресу https://stellarcyber.ai/dpa/subprocessors (с возможностью периодического обновления компанией Stellar Cyber ​​в соответствии с настоящим Соглашением об обработке данных).

6.3. Привлечение новых субподрядчиков. При привлечении любого нового субподрядчика в период действия настоящего Соглашения об обработке данных, Stellar Cyber ​​обязана уведомить Клиента в письменной форме не менее чем за тридцать (30) дней до начала работы, включая подробную информацию об обработке данных, которая будет осуществляться новым субподрядчиком. Stellar Cyber ​​может предоставить такое уведомление путем обновления списка субподрядчиков и предоставления уведомлений через механизм, позволяющий Клиенту подписаться на получение уведомлений о таких обновлениях, в этом случае тридцатидневный (30) период будет отсчитываться с даты публикации обновления и предоставления уведомления. Если в течение тридцати (30) дней с момента получения такого уведомления Клиент уведомит Stellar Cyber ​​в письменной форме о каких-либо возражениях против предлагаемого назначения и предоставит коммерчески обоснованные аргументы в пользу таких возражений, основанные на неспособности нового субподрядчика надлежащим образом защитить данные Клиента, то: (а) Stellar Cyber ​​будет добросовестно сотрудничать с Клиентом для устранения возражений Клиента в отношении нового субподрядчика; и (б) если претензии Клиента не могут быть решены в течение тридцати (30) дней с момента получения компанией Stellar Cyber ​​уведомления Клиента, несмотря на положения Соглашения, Клиент может, направив компании Stellar Cyber ​​письменное уведомление с немедленным вступлением в силу, расторгнуть Заказ(ы) только в отношении тех аспектов, которые не могут быть обеспечены компанией Stellar Cyber ​​без использования нового субподрядчика.

6.4. Требования к проверке субподрядчиков. В отношении каждого субподрядчика Stellar Cyber ​​обязуется: (а) до начала обработки данных клиента субподрядчиком провести надлежащую проверку, чтобы убедиться в способности субподрядчика выполнять обязательства, возложенные на него в соответствии с Соглашением (включая настоящее Соглашение об обработке данных); (б) периодически переоценивать субподрядчика, чтобы убедиться в его способности выполнять обязательства, возложенные на него в соответствии с Соглашением (включая настоящее Соглашение об обработке данных); (в) обеспечить, чтобы обработка данных клиента субподрядчиком регулировалась письменным договором, включающим условия, обеспечивающие не меньшую защиту данных клиента, чем те, которые изложены в настоящем Соглашении об обработке данных, включая возложение на субподрядчика соответствующих обязательств по защите данных, содержащихся в настоящем Соглашении об обработке данных; и (г) нести полную ответственность за все обязательства, возложенные на субподрядчика, а также за все действия и бездействие субподрядчика.

7. СОТРУДНИЧЕСТВО

7.1. Права физических лиц. Учитывая характер обработки данных, Stellar Cyber ​​обязуется оказывать Клиенту содействие путем внедрения соответствующих технических и организационных мер, насколько это возможно, для выполнения Клиентом своих обязательств, как это разумно понимает Клиент, по реагированию на запросы об осуществлении прав физических лиц в соответствии с применимым законодательством о защите данных.

7.2. Запросы от физических лиц. Компания Stellar Cyber ​​обязуется: (а) незамедлительно уведомлять Клиента, если Stellar Cyber ​​получает запрос от физического лица в соответствии с применимым законодательством о защите данных в отношении данных Клиента, в той мере, в какой Stellar Cyber ​​признает запрос относящимся к Клиенту; и (б) обеспечивать, чтобы Stellar Cyber ​​не отвечала на этот запрос иначе, чем в соответствии с документально оформленными инструкциями Клиента или в соответствии с требованиями применимого законодательства, в этом случае Stellar Cyber, в той мере, в какой это разрешено применимым законодательством, должна уведомить Клиента об этом юридическом требовании до того, как Stellar Cyber ​​ответит на запрос.

7.3. Оценка воздействия и консультации. В той мере, в какой это требуется в соответствии с применимым законодательством о защите данных, Stellar Cyber ​​(с учетом характера обработки и имеющейся у Stellar Cyber ​​информации) оказывает разумную помощь Клиенту в проведении любых оценок воздействия или консультаций с регулирующими органами по защите данных, предоставляя информацию в соответствии с разделом 7.4 (Аудиты и записи).

7.4. Аудиты и отчеты. Компания Stellar Cyber ​​по запросу предоставляет Клиенту информацию, необходимую для подтверждения соответствия применимому законодательству о защите данных и настоящему Соглашению об обработке данных, в соответствии со следующими процедурами: (а) Stellar Cyber ​​предоставляет Клиенту самые последние сертификаты и/или сводные отчеты об аудите, которые Stellar Cyber ​​получила для регулярного тестирования, оценки и анализа эффективности мер безопасности; (б) Stellar Cyber ​​будет разумно сотрудничать с Клиентом, предоставляя доступную дополнительную информацию о мерах безопасности, чтобы помочь Клиенту лучше понять эти меры; и (в) если Клиенту потребуется дополнительная информация для выполнения своих собственных или иных аудиторских обязательств контролера или по запросу компетентного надзорного органа, Клиент уведомит Stellar Cyber, и Стороны добросовестно обсудят содержание и предоставление необходимой информации.

8. МЕСТА ОБРАБОТКИ ДАННЫХ

8.1. Место размещения данных. Компания Stellar Cyber ​​будет размещать данные клиента в состоянии покоя только в регионах, предлагаемых Stellar Cyber ​​и выбранных клиентом в заказе, или в соответствии с иными настройками, заданными клиентом в рамках предоставляемых услуг («Место размещения»).

8.2. Место обработки данных. С учетом мер защиты, изложенных в настоящем Соглашении об обработке данных, данные клиента могут обрабатываться в Соединенных Штатах или любой другой стране, в которой работает компания Stellar Cyber ​​или ее субподрядчики.

9. УДАЛЕНИЕ ДАННЫХ

9.1. Удаление при прекращении действия договора. Компания Stellar Cyber ​​незамедлительно, но в любом случае в течение девяноста (90) дней с даты прекращения предоставления любых результатов, связанных с обработкой данных клиента («Дата прекращения»), удалит все копии данных клиента, если только применимое законодательство не требует их хранения.

9.2. Подтверждение удаления. Компания Stellar Cyber ​​обязуется предоставить Клиенту письменное подтверждение выполнения требований настоящего Раздела в течение десяти (10) дней с момента получения от Клиента письменного запроса на получение такого подтверждения.

10. ОБЩИЕ УСЛОВИЯ

10.1. Толкование. В отношении предмета настоящего Соглашения об урегулировании споров, в случае несоответствия между положениями настоящего Соглашения об урегулировании споров и любыми другими соглашениями между Сторонами, включая настоящее Соглашение, а также (за исключением случаев, когда иное прямо оговорено в письменной форме, подписанной от имени Сторон) соглашениями, заключенными или предположительно заключенными после даты настоящего Соглашения об урегулировании споров, преимущественную силу имеют положения настоящего Соглашения об урегулировании споров.

10.2. Ответственность. Любая ответственность, связанная с несоблюдением настоящего Соглашения об обработке данных, будет регулироваться положениями об ограничении ответственности, указанными в Соглашении.

10.3. Недействительные или не имеющие юридической силы положения. Если какое-либо положение настоящего Соглашения об избежании двойного налогообложения является недействительным или не имеющим юридической силы, то остальная часть настоящего Соглашения об избежании двойного налогообложения остается действительной и в силе. Недействительное или не имеющее юридической силы положение должно быть либо (а) изменено по мере необходимости для обеспечения его действительности и юридической силы, при этом максимально сохраняя намерения Сторон, либо, если это невозможно, (б) истолковано таким образом, как если бы недействительная или не имеющая юридической силы часть никогда не содержалась в нем.

В подтверждение вышеизложенного Стороны настоящего Соглашения обеспечили подписание настоящего Дополнения к Соглашению о защите данных Stellar Cyber ​​своими должным образом уполномоченными должностными лицами или представителями с даты вступления Соглашения в силу.

ПРИЛОЖЕНИЕ 1:

ПОДРОБНОСТИ ОБРАБОТКИ ДАННЫХ КЛИЕНТА

Предмет исследования и продолжительность обработки

Компания Stellar Cyber ​​будет обрабатывать данные клиента, включая любые содержащиеся в них персональные данные, исключительно для предоставления результатов работы в соответствии с Соглашением, включая любые сроки хранения, приобретенные клиентом для конкретных результатов работы. Обработка будет продолжаться до истечения срока действия или расторжения Соглашения, после чего Stellar Cyber ​​удалит данные клиента в соответствии с Разделом 9 (Удаление данных).

Характер и цель обработки

Компания Stellar Cyber ​​будет обрабатывать данные клиентов только в разрешенных целях.

Категории данных

Специфика клиентских данных, обрабатываемых компанией Stellar Cyber, зависит от приобретаемых клиентом услуг, но в целом относится к следующим категориям данных:

• Любые данные журналов и неструктурированные данные из приложений, полученные через API, предоставленные Stellar Cyber ​​Заказчиком в рамках выполнения поставленных задач.
• Данные конечной точки и журналы конечных точек (например, имя устройства, информация об ОС, имя пользователя, IP-адрес, имя процесса, имя приложения, журналы и события).
• Данные о сети и использовании сети (например, кортеж из 5 элементов в IP-пакетах, включающий IP-адреса, URL-адреса, информацию о сертификатах, имя пользователя, адрес электронной почты, размер пакета).
• Данные файла (например, имя файла, хеш файла, тип файла, размер файла)
• Данные пользователя (например, имя пользователя, адрес электронной почты)

Специальные категории данных

Данная работа не предназначена для обработки особых категорий персональных данных, и для предоставления данной работы Клиенту особые категории персональных данных не требуются. Несмотря на вышеизложенное, если Клиент контролирует данные, передаваемые в Stellar Cyber, или в рамках конкретных сервисных проектов (например, криминалистические расследования, требующие анализа исходных данных), Stellar Cyber ​​может обрабатывать особые категории персональных данных от имени Клиента. Характер и объем любых передаваемых особых категорий конфиденциальных персональных данных могут стать известны только после завершения обработки, но могут включать персональные данные, раскрывающие расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения, членство в профсоюзе, генетические данные, биометрические данные, данные о здоровье или данные о половой жизни или сексуальной ориентации физического лица.

Субъекты данных

К субъектам данных относятся лица, о которых клиент (или по его указанию) предоставляет компании Stellar Cyber ​​данные в рамках предоставляемых услуг, и могут включать сотрудников, агентов, консультантов, подрядчиков и экспертов клиента; контактных лиц, клиентов, потенциальных клиентов и деловых партнеров партнеров и поставщиков клиента; а также любых других авторизованных пользователей конечных устройств клиента, на которых установлены предоставляемые услуги, или самих предоставляемых услуг.

Компания Stellar Cyber ​​поддерживает программу информационной безопасности, разработанную для защиты конфиденциальности, целостности и доступности данных клиентов («Программа информационной безопасности Stellar Cyber»). Программа информационной безопасности Stellar Cyber ​​внедряется в масштабах всей организации и призвана обеспечить соответствие Stellar Cyber ​​применимому законодательству о защите данных. Начиная с даты вступления в силу настоящего документа, Stellar Cyber ​​будет внедрять и поддерживать меры безопасности, описанные в настоящем Приложении 2, которые включают, помимо прочего, следующие меры для обеспечения постоянной конфиденциальности, целостности и доступности данных, а также для предотвращения несанкционированного доступа, использования, изменения или раскрытия данных:

Условия, изложенные в каждом модуле настоящего Приложения 3, применяются только в тех случаях, когда обработка данных клиента регулируется соответствующим законодательством.

МОДУЛЬ 1: ЕВРОПЕЙСКОЕ ЗАКОНОДАТЕЛЬСТВО О ЗАЩИТЕ ДАННЫХ

1. ДОПОЛНИТЕЛЬНЫЕ ОПРЕДЕЛЕНИЯ

1.1. «Страна, обеспечивающая адекватный уровень защиты» означает : (a) для данных, обрабатываемых в соответствии с Регламентом ЕС о защите данных (GDPR): любую страну в пределах ЕЭЗ или страну или территорию, в отношении которой Европейская комиссия приняла решение об адекватности защиты данных в соответствии со статьей 45(1) Регламента ЕС о защите данных (GDPR); (b) для данных, обрабатываемых в соответствии с Регламентом Великобритании о защите данных (GDPR): Великобританию или страну или территорию, в отношении которой действуют положения об адекватности защиты данных в соответствии со статьей 45(1) Регламента Великобритании о защите данных (GDPR) и разделом 17A Закона о защите данных 2018 года; и/или (c) для данных, обрабатываемых в соответствии со Швейцарским законом о защите данных о защите данных (FDPA): Швейцарию или страну или территорию, которая (i) включена в список государств, законодательство которых обеспечивает адекватный уровень защиты данных, опубликованный Федеральным уполномоченным Швейцарии по защите данных и информации, или (ii) в отношении которой Федеральный совет Швейцарии принял решение об адекватности защиты данных в соответствии со Швейцарским законом о защите данных о защите данных (FDPA).

1.2. «Альтернативный механизм передачи» означает механизм, отличный от стандартных договорных положений (SCC), который обеспечивает законную передачу персональных данных в третью страну в соответствии с европейским законодательством о защите данных (например, Рамочное соглашение ЕС-США о защите данных, включая расширенное соглашение Великобритании к Рамочному соглашению ЕС-США о защите данных и Рамочное соглашение Швейцарии-США о защите данных, или любое другое рамочное соглашение, признанное обеспечивающим надлежащий уровень защиты со стороны участвующих организаций).

1.3. «Европейское законодательство о защите данных» означает , в зависимости от применимости: (a) Регламент ЕС о защите персональных данных (GDPR); (b) Регламент Великобритании о защите персональных данных (GDPR); или (c) Швейцарский регламент о защите персональных данных (FDPA).

1.4. «Европейское право» означает , в зависимости от обстоятельств: (а) право ЕС или государства-члена ЕС (если к обработке данных клиента применяется GDPR ЕС); (б) право Великобритании или ее части (если к обработке данных клиента применяется GDPR Великобритании); или (в) право Швейцарии (если к обработке данных клиента применяется Швейцарский закон о защите персональных данных).

1.5. «Ограниченная передача» означает передачу или обработку персональных данных клиента в страну, которая не является страной, отвечающей требованиям надлежащей защиты данных.

1.6. «SCC» означает SCC (Controller-to-Processor) или SCC (Processor-to-Processor), в зависимости от контекста.

1.7. «Стандартные договорные положения (от контроллера к обработчику)» означают стандартные договорные положения ЕС, действующие в рамках Модуля два (от контроллера к обработчику), как указано в Приложении 4 к настоящему Соглашению об обработке данных.

1.8. «СДП (между процессорами)» означают стандартные договорные положения ЕС, действующие в рамках Модуля три (между процессорами), как указано в Приложении 4 к настоящему Соглашению об обработке данных.

1.9. «Швейцарский FDPA» означает пересмотренный Федеральный закон о защите данных от 25 сентября 2020 года (Швейцария) с внесенными в него поправками или изменениями.

1.10. «Общий регламент по защите данных Великобритании» означает Общий регламент по защите данных ЕС с поправками и включением его в законодательство Великобритании в соответствии с Законом Великобритании о выходе из Европейского союза 2018 года, а также применимым подзаконным актом, принятым на его основе.

1.11. «UK IDTA» означает Дополнение к Стандартным договорным положениям Европейской комиссии о международной передаче данных, выпущенное Уполномоченным по вопросам информации Великобритании, как указано в Приложении 5 к настоящему Соглашению об обработке данных.

2. УВЕДОМЛЕНИЕ О СОБЛЮДЕНИИ ТРЕБОВАНИЙ

Без ущерба для обязательств Stellar Cyber ​​в соответствии с разделом 4.3 (Инструкции и обязательства клиента) Соглашения об обработке данных или любых других прав или обязательств любой из Сторон по Соглашению, Stellar Cyber ​​незамедлительно уведомит Клиента, если, и в той мере, в какой такое уведомление не запрещено европейским законодательством, по мнению Stellar Cyber: (а) европейское законодательство запрещает Stellar Cyber ​​выполнять инструкцию; (б) инструкция не соответствует европейскому законодательству о защите данных; или (в) Stellar Cyber ​​иным образом не может выполнить инструкцию. Если Клиент является обработчиком данных, Клиент незамедлительно перешлет соответствующему контроллеру любое уведомление, предоставленное Stellar Cyber ​​в соответствии с настоящим разделом.

3. ПЕРЕДАЧА ДАННЫХ

3.1. Ограниченные передачи; основной механизм. В случаях, когда обработка персональных данных Клиента представляет собой ограниченную передачу, Stellar Cyber ​​в первую очередь будет использовать альтернативный механизм передачи для обеспечения законного основания для такой ограниченной передачи, при условии, что такой механизм был принят Stellar Cyber ​​и является доступным и действительным для данной ограниченной передачи. По запросу Stellar Cyber ​​предоставит Клиенту информацию об альтернативном механизме передачи, на который она опирается.

3.2. Стандартные договорные положения (SCC) в качестве резервного варианта. Если и в той мере, в какой для ограниченной передачи данных отсутствует, не принят или недействителен альтернативный механизм передачи данных — в том числе, если альтернативный механизм передачи данных, на который полагалась компания Stellar Cyber, признан недействительным, приостановлен или иным образом перестал обеспечивать законное основание для ограниченной передачи данных, — в отношении такой ограниченной передачи данных между компанией Stellar Cyber ​​и клиентом будут применяться стандартные договорные положения (в зависимости от того, является ли клиент контроллером и/или обработчиком данных). В случаях, когда к ограниченной передаче данных применяется Регламент Великобритании о защите персональных данных (GDPR), стандартные договорные положения дополняются и изменяются в соответствии с Регламентом Великобритании о защите персональных данных (IDTA), изложенным в Приложении 5. В случаях, когда к ограниченной передаче данных применяется Швейцарский закон о защите персональных данных (FDPA), стандартные договорные положения дополняются швейцарскими поправками, изложенными в конце Приложения 4.

3.3. Информация о запрещенных переводах. Компания Stellar Cyber ​​предоставит Клиенту информацию, относящуюся к запрещенному переводу, как описано в разделе 7.4 (Аудиты и записи) Соглашения об обработке данных.

3.4. Аудит стандартных договорных положений (СДП). Если применяются СДП, как описано в разделе 3.2 настоящего Модуля 1, Stellar Cyber ​​разрешит Клиенту или независимому аудитору, назначенному Клиентом, проводить аудиты в соответствии с описанием в этих СДП и в ходе аудита предоставлять всю информацию, требуемую этими СДП, в соответствии с разделом 7.4 (Аудиты и записи) Соглашения об обработке данных.

3.5. Отсутствие изменений стандартных договорных положений. Ничто в настоящем Соглашении (включая настоящее Приложение 3) не предназначено для изменения или противоречия каким-либо стандартным договорным положениям или для ущемления основных прав и свобод субъектов данных в соответствии с европейским законодательством о защите данных.

3.6. Приоритет стандартных договорных положений (СДП). В той мере, в которой применяются СДП, и в случае любого конфликта или несоответствия между любыми СДП и остальной частью Соглашения, включая настоящее Приложение, преимущественную силу имеют СДП.

МОДУЛЬ 2: ЗАКОНЫ ШТАТОВ США О ЗАЩИТЕ ДАННЫХ

1. ДОПОЛНИТЕЛЬНЫЕ ОПРЕДЕЛЕНИЯ

1.1. «CCPA» означает Закон Калифорнии о защите конфиденциальности потребителей от 2018 года с поправками, в том числе с поправками, внесенными Законом Калифорнии о правах на конфиденциальность от 2020 года, а также все имплементирующие положения.

1.2. «Закон о защите конфиденциальности штата Колорадо» означает Закон штата Колорадо о защите конфиденциальности, Colo. Rev. Stat. §§ 6-1-1301 и далее, а также все соответствующие нормативные акты.

1.3. «CTDPA» означает Закон штата Коннектикут о защите персональных данных и все соответствующие нормативные акты.

1.4. «UCPA» означает Закон штата Юта о защите конфиденциальности потребителей, раздел 13-61-101 и далее Свода законов штата Юта, а также все соответствующие нормативные акты.

1.5. «VCDPA» означает Закон штата Вирджиния о защите данных потребителей, Va. Code Ann. §§ 59.1-575 и далее, а также все соответствующие нормативные акты.

1.6. «Закон США о защите данных» означает , в зависимости от обстоятельств, CCPA, CPA, CTDPA, UCPA, VCDPA, а также все другие законы и нормативные акты, касающиеся защиты данных, обработки персональных данных, конфиденциальности и/или электронных коммуникаций, действующие в Соединенных Штатах.

2. ЗАПРЕТЫ

Без ущерба для обязательств Stellar Cyber ​​в соответствии с Разделом 4.3 (Инструкции и обязательства клиента) Соглашения об обработке данных, в отношении обработки данных клиента в соответствии с CCPA, Stellar Cyber ​​не будет, если иное не разрешено законодательством США о защите данных: (а) продавать или передавать данные клиента; (б) хранить, использовать или раскрывать данные клиента для каких-либо целей, кроме тех, которые указаны в Соглашении и Соглашении об обработке данных; (в) хранить, использовать или раскрывать данные клиента для каких-либо коммерческих целей, кроме деловых целей, указанных в Соглашении и Соглашении об обработке данных, в том числе при обслуживании другого бизнеса; (г) хранить, использовать или раскрывать данные клиента вне прямых деловых отношений между Stellar Cyber ​​и клиентом; или (д) объединять или обновлять данные клиента с любой другой личной информацией, которую Stellar Cyber ​​получает от третьей стороны или от ее имени, или собирает в ходе собственного взаимодействия с потребителем. Stellar Cyber ​​подтверждает, что понимает ограничения, изложенные в Разделе 2, и будет их соблюдать.

3. УВЕДОМЛЕНИЕ О СОБЛЮДЕНИИ ТРЕБОВАНИЙ

Без ущерба для обязательств Stellar Cyber ​​в соответствии с разделом 4.3 (Инструкции и обязательства клиента) Соглашения об обработке данных, а также любых других прав или обязательств любой из Сторон по настоящему Соглашению, Stellar Cyber ​​уведомит клиента, если, по мнению Stellar Cyber, компания не в состоянии выполнить свои обязательства в соответствии с законодательством США о защите данных, если только такое уведомление не запрещено применимым законодательством.

4. Обезличенные данные

Если клиентские данные содержат обезличенные данные, Stellar Cyber ​​обязуется: (а) принять разумные меры для обеспечения невозможности соотнесения информации с конкретным потребителем; (б) публично заявить о намерении обрабатывать обезличенные данные исключительно в обезличенной форме и не пытаться повторно идентифицировать информацию; и (в) в договорном порядке обязать всех получателей обезличенных данных соблюдать вышеуказанные требования и законодательство США о защите данных.

5. ВОЗМЕЩЕНИЕ УЩЕРБА КЛИЕНТУ

Компания Stellar Cyber ​​предоставляет Клиенту право, после заблаговременного уведомления, предпринять разумные и надлежащие шаги для прекращения и устранения любого несанкционированного использования данных Клиента.

Стороны соглашаются, что стандартные договорные положения, прилагаемые к Имплементационному решению Комиссии (ЕС) 2021/914 от 4 июня 2021 г. («Утвержденные стандартные договорные положения ЕС»), настоящим полностью включены в настоящее Соглашение об обработке данных посредством данной ссылки, при этом: Модуль 2 (контроллер-обработчик) применяется, если Клиент является контроллером персональных данных Клиента, и Модуль 3 (обработчик-обработчик) применяется, если Клиент является обработчиком персональных данных Клиента; включена необязательная оговорка о присоединении в пункте 7; в пункте 9(а) выбран Вариант 2 (общее письменное разрешение) с минимальным сроком уведомления в тридцать (30) дней; не включен необязательный текст в пункте 11(а); в пункте 17 выбрано право Нидерландов; в пункте 18(б) выбраны суды Нидерландов; и Приложения считаются дополненными информацией, изложенной в Приложениях к настоящему Приложению 4. Приведенный ниже текст предназначен только для удобства Сторон; В случае любого конфликта или несоответствия между текстом, изложенным ниже, и утвержденными стандартными договорными положениями ЕС, составленными в соответствии с настоящим пунктом, преимущественную силу имеют утвержденные стандартные договорные положения ЕС.

РАЗДЕЛ I

Статья 1

Цель и сфера применения

Целью этих стандартных договорных положений является обеспечение соблюдения требований Регламента (ЕС) 2016/679 Европейского парламента и Совета от 27 апреля 2016 года о защите физических лиц в отношении обработки персональных данных и о свободное перемещение таких данных (Общее положение о защите данных) для передачи персональных данных в третью страну.

Стороны: (i) физическое или юридическое лицо (лица), государственный орган (органы), агентство (агентства) или другой орган (организации) («субъекты»), передающие персональные данные, как указано в Приложении IA (каждый из них «экспортер данных»), и (ii) субъект (субъекты) в третьей стране, получающие персональные данные от экспортера данных, прямо или косвенно через другой субъект, также являющийся Стороной настоящих Положений, как указано в Приложении IA (каждый из них «импортер данных»), согласились с настоящими стандартными договорными положениями («Положениями»).

Настоящие пункты применяются в отношении передачи персональных данных, как указано в Приложении IB.

Приложение к настоящим Пунктам, содержащее упомянутые в нем Приложения, составляет неотъемлемую часть настоящих Пунктов.

Статья 2

Действие и неизменность статей

Настоящие положения устанавливают надлежащие гарантии, включая подлежащие исполнению права субъектов данных и эффективные средства правовой защиты в соответствии со статьей 46(1) и статьей 46(2)(c) Регламента (ЕС) 2016/679, а также, в отношении передачи данных от контроллеров к обработчикам и/или от обработчиков к обработчикам, стандартные договорные положения в соответствии со статьей 28(7) Регламента (ЕС) 2016/679, при условии, что они не изменяются, за исключением выбора соответствующего модуля(ов) или добавления или обновления информации в Приложении. Это не препятствует Сторонам включать стандартные договорные положения, изложенные в настоящих положениях, в более широкий договор и/или добавлять другие положения или дополнительные гарантии, при условии, что они не противоречат, прямо или косвенно, настоящим положениям и не наносят ущерба основным правам или свободам субъектов данных.

Эти пункты не наносят ущерба обязательствам, которым подлежит экспортер данных в соответствии с Регламентом (ЕС) 2016/679.

Статья 3

Сторонние бенефициары

Субъекты данных могут ссылаться на настоящие положения и обеспечивать их исполнение в качестве третьих лиц-бенефициаров в отношении экспортера и/или импортера данных, за исключением следующих случаев: (i) пункт 1, пункт 2, пункт 3, пункт 6, пункт 7; (ii) пункт 8 — Модуль первый: пункт 8.5(e) и пункт 8.9(b); Модуль второй: пункт 8.1(b), 8.9(a), (c), (d) и (e); Модуль третий: пункт 8.1(a), (c) и (d) и пункт 8.9(a), (c), (d), (e), (f) и (g); Модуль четвертый: пункт 8.1(b) и пункт 8.3(b); (iii) пункт 9 — Модуль второй: пункт 9(a), (c), (d) и (e); Модуль третий: пункт 9(a), (c), (d) и (e); (iv) Пункт 12 — Модуль первый: Пункт 12(a) и (d); Модули второй и третий: Пункт 12(a), (d) и (f); (v) Пункт 13; (vi) Пункт 15.1(c), (d) и (e); (vii) Пункт 16(e); (viii) Пункт 18 — Модули первый, второй и третий: Пункт 18(a) и (b); Модуль четвертый: Пункт 18.

Пункт (а) не ущемляет прав субъектов данных в соответствии с Регламентом (ЕС) 2016/679.

Статья 4

Интерпретация

Если в настоящих Пунктах используются термины, определенные в Регламенте (ЕС) 2016/679, эти термины имеют то же значение, что и в этом Регламенте.

Эти пункты следует читать и интерпретировать в свете положений Регламента (ЕС) 2016/679.

Эти пункты не должны толковаться как противоречащие правам и обязанностям, предусмотренным Регламентом (ЕС) 2016/679.

Статья 5

иерархия

В случае противоречия между настоящими Пунктами и положениями соответствующих соглашений между Сторонами, существовавших на момент согласования или заключения этих Пунктов после этого, настоящие Пункты имеют преимущественную силу.

Статья 6

Описание трансфера(ов)

Подробная информация о передаче(ях) и, в частности, категории передаваемых персональных данных и цели(и), для которых они передаются, указаны в Приложении IB.

Пункт 7 — Необязательный

Пункт стыковки

Организация, не являющаяся Стороной настоящих Пунктов, может по соглашению Сторон присоединиться к этим Пунктам в любое время либо в качестве экспортера данных, либо в качестве импортера данных, заполнив Приложение и подписав Приложение IA.

После заполнения Приложения и подписания Приложения IA присоединившаяся организация становится Стороной настоящих Пунктов и имеет права и обязанности экспортера или импортера данных в соответствии со своим обозначением в Приложении IA.

Присоединяющееся лицо не имеет прав или обязательств, вытекающих из настоящих Пунктов, начиная с периода, предшествующего тому, чтобы стать Стороной.

РАЗДЕЛ II — ОБЯЗАТЕЛЬСТВА СТОРОН

Статья 8

Гарантии защиты данных

Экспортер данных гарантирует, что он предпринял разумные усилия для определения того, что импортер данных в состоянии посредством реализации соответствующих технических и организационных мер выполнить свои обязательства в соответствии с настоящими Пунктами.

МОДУЛЬ ПЕРВЫЙ: Передача контроллера на контроллер

8.1 Ограничение по назначению

Импортер данных должен обрабатывать персональные данные только для конкретной(ых) цели(ей) передачи, как указано в Приложении IB. Он может обрабатывать персональные данные только для другой цели: (i) при наличии предварительного согласия субъекта данных; (ii) в случаях, когда это необходимо для установления, осуществления или защиты правовых претензий в контексте конкретных административных, регуляторных или судебных разбирательств; или (iii) в случаях, когда это необходимо для защиты жизненно важных интересов субъекта данных или другого физического лица.

8.2 Прозрачность

Для того чтобы субъекты данных могли эффективно осуществлять свои права в соответствии с пунктом 10, импортер данных обязан информировать их, напрямую или через экспортера данных, о своей личности и контактных данных; о категориях обрабатываемых персональных данных; о праве получить копию настоящих пунктов; и, если он намерен передать персональные данные дальше, о получателе или категориях получателей, о цели такой передачи и основании для нее в соответствии с пунктом 8.7. Это обязательство не применяется, если субъект данных уже располагает информацией или если предоставление информации оказывается невозможным или потребует несоразмерных усилий, в этом случае импортер данных обязан, насколько это возможно, сделать информацию общедоступной. По запросу Стороны предоставляют субъекту данных копию настоящих пунктов бесплатно, с соответствующими правками для защиты коммерческой тайны или другой конфиденциальной информации. Эти пункты не затрагивают обязательства экспортера данных в соответствии со статьями 13 и 14 Регламента (ЕС) 2016/679.

8.3 Точность и минимизация данных

Каждая Сторона обязана обеспечить точность персональных данных и, при необходимости, их актуальность, а также предпринять все разумные шаги для незамедлительного удаления или исправления неточных данных. Если Сторона узнает, что переданные или полученные ею персональные данные являются неточными или устаревшими, она обязана незамедлительно уведомить об этом другую Сторону. Импортер данных обязан обеспечить адекватность, релевантность и ограничение персональных данных тем, что необходимо для достижения целей обработки.

8.4 Ограничения по хранению

Импортер данных обязан хранить персональные данные не дольше, чем это необходимо для целей, для которых они обрабатываются, и должен принять соответствующие технические или организационные меры для обеспечения соблюдения этого обязательства, включая удаление или анонимизацию данных и всех резервных копий по истечении срока хранения.

8.5 Безопасность обработки

Импортер данных, а также экспортер данных во время передачи, обязаны внедрить соответствующие технические и организационные меры для обеспечения безопасности персональных данных, включая защиту от утечки персональных данных, с учетом уровня развития технологий, затрат на внедрение, а также характера, объема, контекста и целей обработки и связанных с этим рисков. Стороны согласовали меры, изложенные в Приложении II, и импортер данных обязан проводить регулярные проверки для обеспечения того, чтобы они продолжали обеспечивать надлежащий уровень безопасности. Импортер данных обязан обеспечить соблюдение конфиденциальности лицами, уполномоченными обрабатывать персональные данные. В случае утечки персональных данных импортер данных обязан принять соответствующие меры для ее устранения и, если это может представлять риск для прав и свобод физических лиц, незамедлительно уведомить экспортера данных и компетентный надзорный орган в соответствии с пунктом 13, предоставив информацию, требуемую настоящими пунктами; в случае высокого риска он также обязан уведомить затронутых субъектов данных, если не были применены меры по смягчению последствий. Импортер данных обязан задокументировать все соответствующие факты, касающиеся нарушения.

8.6 Конфиденциальные данные

В случаях, когда передача данных затрагивает конфиденциальную информацию, импортер данных должен применять особые ограничения и/или дополнительные меры защиты, адаптированные к специфике данных и связанным с ними рискам.

8.7 Дальнейшие переводы

Импортер данных не должен разглашать персональные данные третьей стороне, находящейся за пределами Европейского союза, если эта третья сторона не связана или не согласна с настоящими положениями в соответствии с соответствующим модулем, или если не применяется одно из условий, изложенных в пункте 8.7(i)–(vi) утвержденных стандартных договорных положений ЕС (включая передачу в соответствующую страну, надлежащие гарантии в соответствии со статьями 46 или 47, обязательный документ, обеспечивающий эквивалентную защиту, необходимость для предъявления юридических претензий, защиту жизненно важных интересов или явное согласие субъекта данных). Любая дальнейшая передача осуществляется при условии соблюдения импортером данных всех других гарантий, предусмотренных настоящими положениями, в частности, ограничения цели.

8.8 Обработка данных осуществляется с разрешения импортера данных.

Импортер данных должен обеспечить, чтобы любое лицо, действующее под его руководством, включая обработчика, обрабатывало данные только по его указаниям.

8.9 Документация и соответствие требованиям

Каждая Сторона должна иметь возможность продемонстрировать соблюдение своих обязательств по настоящим Положениям. В частности, импортер данных должен вести надлежащую документацию о деятельности по обработке данных, осуществляемой под его ответственностью, и предоставлять такую ​​документацию компетентному надзорному органу по запросу.

МОДУЛЬ ВТОРОЙ: Передача контроллера процессору

Инструкции 8.1

Импортер данных обязан обрабатывать персональные данные только на основании документально оформленных инструкций экспортера данных. Экспортер данных может давать такие инструкции в течение всего срока действия договора. Импортер данных обязан незамедлительно уведомить экспортера данных, если он не может выполнить эти инструкции.

8.2 Ограничение по назначению

Импортер данных должен обрабатывать персональные данные только для конкретной цели (целей) передачи, как указано в Приложении IB, за исключением случаев получения дополнительных инструкций от экспортера данных.

8.3 Прозрачность

По запросу экспортер данных обязан бесплатно предоставить субъекту данных копию настоящих положений, включая Приложение, заполненное Сторонами, с внесением соответствующих правок. Настоящее положение не затрагивает обязательства экспортера данных в соответствии со статьями 13 и 14 Регламента (ЕС) 2016/679.

8.4 Точность

Если импортер данных обнаружит, что полученные им персональные данные неточны или устарели, он обязан незамедлительно уведомить об этом экспортера данных. В этом случае импортер данных должен сотрудничать с экспортером данных для удаления или исправления данных.

8.5. Срок обработки, удаления или возврата данных.

Обработка данных импортером данных осуществляется только в течение срока, указанного в Приложении IB. После прекращения предоставления услуг по обработке данных импортер данных по выбору экспортера данных обязан удалить все персональные данные, обработанные от имени экспортера данных, и подтвердить, что он это сделал, или вернуть все такие персональные данные и удалить существующие копии. До удаления или возврата данных импортер данных обязан продолжать обеспечивать соблюдение настоящих положений. В случаях, когда местное законодательство запрещает возврат или удаление данных, импортер данных гарантирует, что он будет продолжать обеспечивать соблюдение этого законодательства и будет обрабатывать данные только в той мере и в течение того времени, в каком это требуется в соответствии с местным законодательством.

8.6 Безопасность обработки

Импортер данных, а также экспортер данных во время передачи, обязаны внедрять соответствующие технические и организационные меры для обеспечения безопасности данных, принимая во внимание уровень развития технологий, затраты, а также характер, объем, контекст и цели обработки, а также связанные с этим риски. Импортер данных должен как минимум внедрить меры, указанные в Приложении II, и проводить регулярные проверки. Он должен предоставлять доступ к персональным данным только членам своего персонала в той мере, в какой это строго необходимо, и обеспечивать их конфиденциальность. В случае утечки персональных данных импортер данных должен принять соответствующие меры для ее устранения и незамедлительно уведомить экспортера данных после того, как ему станет известно об этом, предоставив информацию, требуемую настоящими положениями; если не вся информация доступна сразу, она может быть предоставлена ​​поэтапно без неоправданной дальнейшей задержки. Импортер данных должен сотрудничать с экспортером данных и оказывать ему помощь в выполнении его обязательств в соответствии с Регламентом (ЕС) 2016/679, в частности, уведомлять компетентный надзорный орган и затронутых субъектов данных.

8.7 Конфиденциальные данные

В случаях, когда передача затрагивает конфиденциальные данные, импортер данных должен применять конкретные ограничения и/или дополнительные меры защиты, описанные в Приложении IB.

8.8 Дальнейшие переводы

Импортер данных обязан раскрывать персональные данные третьей стороне только на основании документально оформленных инструкций от экспортера данных. Кроме того, данные могут быть раскрыты третьей стороне, находящейся за пределами Европейского союза, только в том случае, если эта третья сторона связана или соглашается быть связанной настоящими положениями в соответствии с соответствующим модулем, или если выполняется одно из условий, указанных в пункте 8.8(i)–(iv) (адекватность, надлежащие гарантии в соответствии со статьями 46 или 47, необходимость для предъявления юридических претензий или защита жизненно важных интересов). Любая дальнейшая передача данных осуществляется при условии соблюдения импортером данных всех других гарантий, предусмотренных настоящими положениями, в частности, ограничения цели передачи.

8.9 Документация и соответствие требованиям

Импортер данных обязан оперативно и надлежащим образом реагировать на запросы экспортера данных, касающиеся обработки данных в соответствии с настоящими положениями. Стороны должны иметь возможность продемонстрировать соблюдение настоящих положений, а импортер данных обязан вести надлежащую документацию. Импортер данных обязан предоставлять экспортеру данных всю информацию, необходимую для демонстрации соблюдения, и обязан разрешать и содействовать проведению аудитов с разумной периодичностью или при наличии признаков несоблюдения; экспортер данных может проводить аудит самостоятельно или поручить это независимому аудитору, а также может учитывать соответствующие сертификаты, имеющиеся у импортера данных. Стороны обязаны предоставлять результаты аудита компетентному надзорному органу по запросу.

МОДУЛЬ ТРЕТИЙ: Передача процессора процессору

Инструкции 8.1

Экспортер данных уведомил импортера данных о том, что он действует в качестве обработчика данных в соответствии с инструкциями его контроллера (контроллеров), которые экспортер данных должен предоставить импортеру данных до начала обработки. Импортер данных должен обрабатывать персональные данные только на основании документированных инструкций контроллера, предоставленных экспортером данных, а также любых дополнительных документированных инструкций экспортера данных, которые не противоречат инструкциям контроллера. Импортер данных должен немедленно уведомить экспортера данных, если он не может следовать этим инструкциям. Экспортер данных гарантирует, что он возложил на импортера данных те же обязательства по защите данных, которые указаны в договоре или ином правовом акте между контроллером и экспортером данных.

8.2 Ограничение по назначению

Импортер данных обязан обрабатывать персональные данные только для конкретной(ых) цели(ей) передачи, как указано в Приложении IB, за исключением случаев получения дополнительных указаний от контролера (сообщенных экспортером данных) или от экспортера данных.

8.3 – 8.4 Прозрачность и точность

По запросу экспортер данных обязан бесплатно предоставить субъекту данных копию настоящих положений с внесением соответствующих правок. Если импортер данных обнаружит, что персональные данные являются неточными или устаревшими, он обязан незамедлительно уведомить об этом экспортера данных и оказать содействие в исправлении или удалении данных.

8.5. Срок обработки, удаления или возврата данных.

Обработка данных осуществляется только в течение срока, указанного в Приложении IB. После прекращения предоставления услуг по обработке данных импортер данных по выбору экспортера данных обязан удалить или вернуть все персональные данные, обработанные от имени контролера, а также удалить существующие копии и продолжать обеспечивать соблюдение настоящих положений до момента удаления или возврата данных. В случаях, когда местное законодательство запрещает возврат или удаление данных, импортер данных гарантирует, что будет продолжать обеспечивать соблюдение этих законов и обрабатывать данные только в той мере и в течение того времени, в каком это требуется в соответствии с местным законодательством.

8.6 Безопасность обработки

Стороны обязуются принять соответствующие технические и организационные меры для обеспечения безопасности данных, принимая во внимание уровень развития технологий, затраты, а также характер, объем, контекст и цели обработки, а также связанные с этим риски. Импортер данных должен, как минимум, внедрить меры, указанные в Приложении II, предоставлять персоналу доступ только в случае крайней необходимости, обеспечивать конфиденциальность и в случае утечки персональных данных принимать соответствующие меры и незамедлительно уведомлять экспортера данных (и, где это уместно и возможно, контролера) с предоставлением информации, требуемой настоящими положениями. Импортер данных должен сотрудничать с экспортером данных и оказывать ему помощь, чтобы контролер мог уведомить компетентный надзорный орган и затронутых субъектов данных.

8.7 – 8.8 Конфиденциальные данные и дальнейшая передача

В случаях, когда передача данных затрагивает конфиденциальную информацию, импортер данных должен применять конкретные ограничения и/или дополнительные гарантии, изложенные в Приложении IB. Импортер данных должен раскрывать персональные данные третьей стороне только на основании документально оформленных инструкций от контролера, переданных экспортером данных, и только третьей стороне за пределами Европейского союза, если эта третья сторона связана или соглашается быть связанной настоящими положениями, в соответствии с соответствующим модулем, или если применимы адекватность, надлежащие гарантии в соответствии со статьями 46 или 47, необходимость для предъявления юридических претензий или защита жизненно важных интересов. Любая дальнейшая передача данных осуществляется при условии соблюдения всех других гарантий, предусмотренных настоящими положениями, в частности, ограничения цели передачи.

8.9 Документация и соответствие требованиям

Импортер данных обязан оперативно и надлежащим образом реагировать на запросы экспортера данных или контролера, вести надлежащую документацию, предоставлять экспортеру данных всю необходимую информацию для подтверждения соответствия (который, в свою очередь, предоставляет ее контролеру), а также разрешать и содействовать проведению экспортером данных проверок (в том числе по указанию контролера) с разумной периодичностью или при наличии признаков несоответствия. Экспортер данных может проводить проверку самостоятельно или поручить это независимому аудитору. Стороны обязаны предоставлять результаты проверки компетентному надзорному органу по запросу.

МОДУЛЬ ЧЕТЫРЕ: Передача процессора на контроллер

Инструкции 8.1

Экспортер данных обязан обрабатывать персональные данные только в соответствии с документально оформленными инструкциями импортера данных, выступающего в качестве контролера, и незамедлительно информировать импортера данных, если он не может следовать этим инструкциям, в том числе, если они нарушают Регламент (ЕС) 2016/679 или другие законы Союза или государств-членов о защите данных. Импортер данных обязан воздерживаться от любых действий, которые могли бы помешать экспортеру данных выполнять свои обязательства в соответствии с Регламентом (ЕС) 2016/679. После прекращения предоставления услуг по обработке данных экспортер данных по выбору импортера данных обязан удалить или вернуть все персональные данные, обработанные от его имени, и удалить существующие копии.

8.2 – 8.3 Безопасность обработки и конфиденциальность

Стороны обязуются принять соответствующие технические и организационные меры для обеспечения безопасности данных, в том числе во время передачи. Экспортер данных обязуется оказывать помощь импортеру данных в обеспечении надлежащей безопасности и, в случае утечки персональных данных, касающихся обрабатываемых им данных, незамедлительно уведомить импортера данных и оказать содействие в ее устранении. Экспортер данных обязуется обеспечить соблюдение конфиденциальности лицами, уполномоченными обрабатывать персональные данные.

Статья 9

Использование подпроцессоров

МОДУЛЬ ВТОРОЙ И МОДУЛЬ ТРЕТЬИЙ

ВАРИАНТ 2: ОБЩЕЕ ПИСЬМЕННОЕ РАЗРЕШЕНИЕ. Импортер данных имеет общее разрешение экспортера данных (Модуль 2) или контролера (Модуль 3) на привлечение субподрядчиков из согласованного списка. Импортер данных должен в письменной форме уведомить экспортера данных (или, для Модуля 3, контролера, и уведомить экспортера данных) о любых планируемых изменениях в этом списке путем добавления или замены субподрядчиков не менее чем за тридцать (30) дней, предоставив тем самым достаточно времени для возражения до привлечения субподрядчиков, и предоставить информацию, необходимую для осуществления права на возражение. Список уполномоченных субподрядчиков приведен в Приложении III, которое Стороны обязаны поддерживать в актуальном состоянии.

В тех случаях, когда импортер данных привлекает субподрядчика, он должен сделать это посредством письменного договора, предусматривающего, по существу, те же обязательства по защите данных, что и обязательства импортера данных в соответствии с настоящими пунктами, включая права третьих лиц-бенефициаров для субъектов данных. Соблюдая настоящий пункт, импортер данных выполняет свои обязательства в соответствии с пунктом 8.8. Импортер данных должен обеспечить соблюдение субподрядчиком обязательств, которым подчиняется импортер данных.

Импортер данных обязан по запросу экспортера данных (или, для Модуля три, экспортера данных или контролера) предоставить копию соглашения с субподрядчиком и любые последующие поправки, с учетом соответствующих правок.

Импортер данных несет полную ответственность перед экспортером данных за выполнение обязательств субподрядчика и обязан уведомить экспортера данных о любом невыполнении субподрядчиком своих обязательств.

Импортер данных должен согласовать с субподрядчиком пункт о бенефициарах третьей стороны, согласно которому, в случае фактического исчезновения импортера данных, прекращения его юридического существования или банкротства, экспортер данных имеет право расторгнуть договор с субподрядчиком и поручить субподрядчику удалить или вернуть персональные данные. Это требование может быть удовлетворено путем принятия субподрядчиком настоящих положений в рамках соответствующего модуля в соответствии с пунктом 7.

Статья 10

Права субъекта данных

МОДУЛЬ ВТОРОЙ: Передача контроллера процессору

Импортер данных обязан незамедлительно уведомить экспортера данных о любом запросе, полученном от субъекта данных, и не обязан отвечать на этот запрос самостоятельно, если только экспортер данных не даст на это разрешение.

Импортер данных обязан оказывать экспортеру данных содействие в выполнении его обязательств по реагированию на запросы субъектов данных в соответствии с Регламентом (ЕС) 2016/679. Стороны должны изложить в Приложении II соответствующие технические и организационные меры, посредством которых будет оказываться помощь, а также объем и масштабы необходимой помощи.

При выполнении своих обязательств импортер данных обязан соблюдать указания экспортера данных.

МОДУЛЬ ТРЕТИЙ: Передача процессора процессору

Импортер данных обязан незамедлительно уведомить экспортера данных и, при необходимости, контролера о любом запросе, полученном от субъекта данных, не отвечая на него, если это не разрешено контролером.

Импортер данных обязан оказывать помощь, в соответствующих случаях в сотрудничестве с экспортером данных, контроллеру в выполнении его обязательств по реагированию на запросы субъектов данных. Стороны должны изложить в Приложении II соответствующие меры, а также объем и степень необходимой помощи.

При выполнении своих обязательств импортер данных обязан соблюдать инструкции контролера, сообщенные экспортером данных.

Статья 11

возмещение

Импортер данных обязан уведомить субъектов данных в прозрачном и легкодоступном формате посредством индивидуального уведомления или на своем веб-сайте о контактном пункте, уполномоченном рассматривать жалобы, и незамедлительно рассматривать любые жалобы. В случае спора между субъектом данных и Стороной относительно соблюдения настоящих положений, эта Сторона должна приложить все усилия для мирного урегулирования вопроса в кратчайшие сроки, а Стороны должны информировать друг друга и сотрудничать. Если субъект данных ссылается на право третьего лица-бенефициара, импортер данных должен принять решение субъекта данных подать жалобу в компетентный надзорный орган или передать спор в компетентные суды в соответствии со статьей 18. Субъект данных может быть представлен некоммерческой организацией, объединением или ассоциацией в соответствии со статьей 80(1) Регламента (ЕС) 2016/679.

Статья 12

Ответственность

МОДУЛЬ ВТОРОЙ И МОДУЛЬ ТРЕТЬИЙ

Каждая Сторона несет ответственность перед другой Стороной за любой ущерб, который она причиняет другой Стороне в результате любого нарушения настоящих Пунктов.

Импортер данных несет ответственность перед субъектом данных, а субъект данных имеет право на получение компенсации за любой материальный или нематериальный ущерб, который импортер данных или его субобработчик причиняет субъекту данных, нарушая права третьих лиц-бенефициаров. по этим пунктам.

Несмотря на вышеизложенное, экспортер данных несет ответственность перед субъектом данных за любой материальный или нематериальный ущерб, причиненный экспортером данных или импортером данных (или его субподрядчиком) в результате нарушения прав третьих лиц-бенефициаров, без ущерба для ответственности экспортера данных (и, если он является обработчиком, действующим от имени контроллера, контроллера) в соответствии с Регламентом (ЕС) 2016/679.

Если экспортер данных признан ответственным за ущерб, причиненный импортером данных (или его субподрядчиком), он имеет право потребовать от импортера данных возмещения соответствующей части компенсации. Если ответственность несет более одной стороны, все ответственные стороны несут солидарную ответственность, с правом взаимного возмещения убытков. Импортер данных не может ссылаться на действия субподрядчика, чтобы избежать собственной ответственности.

Статья 13

Надзор

Компетентный надзорный орган указан в Приложении IC. Импортер данных соглашается подчиняться юрисдикции компетентного надзорного органа и сотрудничать с ним в любых процедурах, направленных на обеспечение соблюдения настоящих положений, включая ответы на запросы, прохождение аудитов и выполнение мер, принятых органом, и обязуется предоставить письменное подтверждение того, что необходимые действия были предприняты.

РАЗДЕЛ III — МЕСТНЫЕ ЗАКОНЫ И ОБЯЗАТЕЛЬСТВА В СЛУЧАЕ ДОСТУПА ГОСУДАРСТВЕННЫХ ВЛАСТЕЙ

Статья 14

Местные законы и практика, влияющие на соблюдение положений

Стороны гарантируют, что у них нет оснований полагать, что законы и практика третьей страны назначения, применимые к обработке персональных данных импортером данных, включая любые требования к раскрытию персональных данных или меры, разрешающие доступ государственных органов, препятствуют импортеру данных выполнять свои обязательства по настоящим Пунктам. При предоставлении этой гарантии Стороны должным образом учли, в частности: конкретные обстоятельства передачи; законы и практику третьей страны назначения, имеющие отношение к этим обстоятельствам, а также применимые ограничения и гарантии; и любые соответствующие договорные, технические или организационные гарантии, принятые для дополнения гарантий, предусмотренных настоящими Пунктами. Импортер данных гарантирует, что он приложил все усилия для предоставления экспортеру данных соответствующей информации и будет продолжать сотрудничать. Стороны соглашаются задокументировать оценку и предоставить ее компетентному надзорному органу по запросу. Импортер данных соглашается незамедлительно уведомить экспортера данных, если у него есть основания полагать, что он подпадает или стал подпадать под действие законов или практики, не соответствующих настоящим требованиям; После получения такого уведомления, или если экспортер данных иным образом имеет основания полагать, что импортер данных больше не может выполнять свои обязательства, экспортер данных должен незамедлительно определить соответствующие меры и, если надлежащие гарантии не могут быть обеспечены (или по указанию компетентного надзорного органа), приостановить передачу и может расторгнуть договор в той части, которая касается обработки персональных данных в соответствии с настоящими положениями.

Статья 15

Обязанности импортера данных в случае доступа государственных органов

15.1 Уведомление

Импортер данных обязуется незамедлительно уведомлять экспортера данных и, по возможности, субъекта данных в случае получения юридически обязательного запроса от государственного органа о раскрытии персональных данных, переданных в соответствии с настоящими положениями, или в случае обнаружения прямого доступа государственных органов к информации, включая информацию, указанную в настоящих положениях. В случае запрета на уведомление, импортер данных обязуется приложить все усилия для получения разрешения на отмену запрета и документирования этих усилий. В допустимых случаях импортер данных обязан регулярно предоставлять экспортеру данных соответствующую информацию о полученных запросах, хранить такую ​​информацию в течение всего срока действия договора и предоставлять ее компетентному надзорному органу по запросу.

15.2 Обзор законности и минимизации данных

Импортер данных соглашается проверить законность любого запроса на раскрытие информации, оспорить запрос, если он на разумных основаниях признается незаконным, и использовать возможности обжалования, добиваясь принятия обеспечительных мер и не раскрывая запрашиваемые персональные данные до тех пор, пока это не потребуется в соответствии с применимыми процессуальными нормами. Импортер данных соглашается задокументировать свою юридическую оценку и любое оспаривание и, в пределах допустимого, предоставить эту информацию экспортеру данных и компетентному надзорному органу. Импортер данных соглашается предоставить минимально допустимый объем информации при ответе на запрос, исходя из его разумной интерпретации.

РАЗДЕЛ IV — ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

Статья 16

Несоблюдение пунктов и прекращение

Импортер данных обязан незамедлительно уведомить экспортера данных о невозможности соблюдения настоящих положений. В случае нарушения импортером данных или невозможности соблюдения положений экспортер данных обязан приостановить передачу данных до восстановления соблюдения положений или расторжения договора. Экспортер данных может расторгнуть договор в части обработки персональных данных в соответствии с настоящими положениями, если: (i) передача данных приостановлена, и соблюдение положений не восстановлено в разумные сроки и в любом случае в течение одного месяца с момента приостановления; (ii) импортер данных существенно или систематически нарушает положения договора; или (iii) импортер данных не выполняет обязательное решение компетентного суда или надзорного органа. Персональные данные, переданные до расторжения договора, по выбору экспортера данных, должны быть возвращены или удалены полностью, включая копии, и импортер данных обязан подтвердить удаление. Любая из Сторон может отозвать свое согласие на принятие обязательств в случае, если Европейская комиссия примет решение о достаточности защиты данных, охватывающее передачу данных, или если Регламент (ЕС) 2016/679 станет частью правовой базы страны, в которую передаются данные.

Статья 17

Управляющий закон

Настоящие положения регулируются законодательством государства-члена ЕС, при условии, что такое законодательство предусматривает права третьих лиц. Стороны соглашаются, что настоящим будет применяться законодательство Нидерландов.

Статья 18

Выбор форума и юрисдикции

Любые споры, возникающие из настоящих положений, разрешаются судами государства-члена ЕС, и Стороны соглашаются, что такими судами будут суды Нидерландов. Субъект данных также может подать иск против экспортера и/или импортера данных в суды государства-члена, в котором он/она имеет свое обычное место жительства. Стороны соглашаются подчиниться юрисдикции таких судов.

ПРИЛОЖЕНИЕ К СТАНДАРТНЫМ ДОГОВОРНЫМ ПОЛОЖЕНИЯМ

ПРИЛОЖЕНИЕ IA — СПИСОК СТОРОН

Экспортер данных: Клиент, как указано в Соглашении. Импортер данных: Stellar Cyber ​​Inc., как указано в Соглашении.

ПРИЛОЖЕНИЕ IB — ОПИСАНИЕ ПЕРЕВОДА

Категории субъектов данных: все сотрудники, агенты, консультанты, субподрядчики или контактные лица партнеров по каналам сбыта, клиентов, потенциальных клиентов, деловых партнеров и поставщиков Заказчика, а также любые другие пользователи конечных устройств Заказчика, на которых установлены результаты работы, или другие авторизованные пользователи результатов работы.

Категории передаваемых персональных данных:

Сведения о компании-клиенте; должности, адреса электронной почты, номера телефонов и имена представителей клиента; платежная информация; информация о бизнесе; и другие данные или информация, которые клиент решит предоставить Stellar Cyber ​​посредством результатов работы или любым другим способом.

Данные пользователя и конечной точки: идентификатор агента, имя конечной точки, идентификатор пользователя Active Directory, имя пользователя, установленные приложения (время установки, размер, издатель и версия), имя пользователя SMTP и данные конфигурации, связанные с интеграцией с Active Directory.

Полный путь к файлу (будет содержать персональные данные только в том случае, если имя файла, указанное Клиентом, включает персональные данные).

Сетевые данные (внутренний сетевой IP-адрес, общедоступный IP-адрес, MAC-адрес).

Восстановленные файлы: файлы, восстановленные по сети.

Системные настройки, полученные из консоли управления (имена пользователей, адреса электронной почты и номера телефонов).

Информация об угрозе (путь к файлу, сигнатура системы обнаружения вторжений, которая может включать имена пользователей, IP-адреса и имена файлов).

Мониторинг сети в реальном времени (URL-адреса, заголовки URL-адресов, временные метки).

В тех случаях, когда Клиент запускает функциональность результатов работы, которая позволяет Клиенту или администраторам Клиента инициировать получение, сбор или передачу файлов в Stellar Cyber ​​для анализа.

Передаваемые конфиденциальные данные: см. Приложение 1 (Подробности обработки данных клиента), «Особые категории данных». Частота передачи: непрерывно в течение срока действия Соглашения. Цель(и) передачи данных и дальнейшей обработки: Компания Stellar Cyber ​​привлекается для предоставления Клиенту результатов работы, что включает обработку персональных данных, необходимую для предоставления результатов работы и соблюдения Соглашения и настоящего Соглашения об обработке данных. Срок хранения: обработка данных будет продолжаться до истечения срока действия или расторжения Соглашения, после чего данные Клиента удаляются в соответствии с Разделом 9 (Удаление данных). Для передачи данных субподрядчикам: Компания Stellar Cyber ​​использует субподрядчиков для поддержки своей инфраструктурной среды, телекоммуникаций и сетей, а также хранения данных и доставки контента; персональные данные обрабатываются субподрядчиками для целей и в течение срока действия соответствующего соглашения об оказании услуг Stellar Cyber ​​или документа заказа. См. список субподрядчиков в Приложении III.

Частота переводов: непрерывно в течение всего срока действия Соглашения.

ПРИЛОЖЕНИЕ IC — КОМПЕТЕНТНЫЙ НАДЗОРНЫЙ ОРГАН

По вопросам, связанным с передачей данных в соответствии с Регламентом (ЕС) 2016/679: Управление по защите персональных данных Нидерландов (Autoriteit Persoonsgegevens.nl/en).

ПРИЛОЖЕНИЕ II — ТЕХНИЧЕСКИЕ И ОРГАНИЗАЦИОННЫЕ МЕРЫ

Технические и организационные меры, применяемые импортером данных, изложены в Приложении 2 (Меры безопасности) к настоящему Соглашению об обработке данных. При передаче данных субподрядчикам Stellar Cyber ​​требует от своих субподрядчиков соблюдения существенно эквивалентных технических и организационных мер, аналогичных тем, которые приняты Stellar Cyber.

ПРИЛОЖЕНИЕ III — СПИСОК СУБПРОЦЕССОРОВ

Контролер авторизовал использование субподрядчиков, информация о которых содержится и обновляется в разделе 6.3, текущая версия которого размещена по адресу https://stellarcyber.ai/dpa/subprocessors (с возможностью обновления компанией Stellar Cyber ​​в соответствии с настоящим Соглашением об обработке данных).

ШВЕЙЦАРСКОЕ ДОПОЛНЕНИЕ

Следующие положения дополняют Стандартные договорные положения только в том случае и в той мере, в какой Стандартные договорные положения применяются в отношении передачи данных, подпадающей под действие Федерального закона о защите данных от 25 сентября 2020 г. (Швейцария): термин «Государство-член» будет толковаться таким образом, чтобы позволить субъекту данных в Швейцарии осуществлять свои права в соответствии с настоящими положениями по месту своего обычного проживания (Швейцария) в соответствии с пунктом 18(c) настоящих положений.

ПРИЛОЖЕНИЕ 5:

ДОПОЛНЕНИЕ К МЕЖДУНАРОДНОЙ ПЕРЕДАЧЕ ДАННЫХ ВЕЛИКОБРИТАНИИ

Настоящее Приложение было выпущено Уполномоченным по информации для Сторон, осуществляющих Ограниченные переводы. Уполномоченный по информации считает, что он обеспечивает надлежащие гарантии для ограниченных передач, когда он заключается в качестве юридически обязывающего контракта.

Часть 1: Таблицы

Таблица 1 (Стороны): Экспортер (отправляющий Ограниченную передачу) и Импортер (получатель Ограниченной передачи), а также их данные указаны в Соглашении. Дата начала действия: Дата вступления Соглашения в силу.

Таблица 2 (Избранные стандартные договорные положения, модули и отдельные пункты): Версия утвержденных стандартных договорных положений ЕС, к которой прилагается данное дополнение, включая информацию из приложения, — это версия, изложенная в Приложении 4 к настоящему Соглашению об обработке данных.

Таблица 3 (Информация в Приложении): «Информация в Приложении» означает информацию, которая должна быть предоставлена ​​для выбранных модулей, как указано в Приложении к утвержденным стандартным договорным положениям ЕС (за исключением Сторон), и которая для настоящего Дополнения изложена в Приложениях к стандартным договорным положениям в Приложении 4 к настоящему Соглашению об обработке данных.

Таблица 4 (Прекращение действия настоящего Дополнения при изменении Утвержденного Дополнения): Как Импортер, так и Экспортер могут прекратить действие настоящего Дополнения в соответствии с разделом 19 Обязательных положений.

Часть 2: Обязательные пункты

Каждая из Сторон соглашается соблюдать условия, изложенные в настоящем Дополнении, в обмен на согласие другой Стороны также соблюдать условия настоящего Дополнения. Хотя Приложение 1.A. и Пункт 7 Утвержденных стандартных договорных положений ЕС требуют подписи Сторон, для целей осуществления Ограниченной передачи данных Стороны могут заключать настоящее Дополнение любым способом, который делает его юридически обязательным для Сторон и позволяет субъектам данных отстаивать свои права, изложенные в настоящем Дополнении. Заключение настоящего Дополнения будет иметь тот же эффект, что и подписание Утвержденных стандартных договорных положений ЕС и любой их части.

Толкование настоящего Дополнения

Когда в настоящем Дополнении используются термины, определенные в утвержденных стандартных договорных положениях ЕС, эти термины имеют то же значение, что и в утвержденных стандартных договорных положениях ЕС. Кроме того: «Дополнение» означает настоящее Дополнение к Соглашению о международной передаче данных, включающее в себя Дополнение к стандартным договорным положениям ЕС; «Дополнение к стандартным договорным положениям ЕС» означает версию (версии) утвержденных стандартных договорных положений ЕС, к которым прилагается настоящее Дополнение, включая Приложение с информацией; «Соответствующие гарантии» означают стандарт защиты персональных данных и прав субъектов данных, требуемый законодательством Великобритании о защите данных при осуществлении ограниченной передачи данных с использованием стандартных положений о защите данных в соответствии со статьей 46(2)(d) GDPR Великобритании; «Утвержденное Дополнение» означает типовое Дополнение, выпущенное ICO и представленное Парламенту в соответствии с разделом 119A Закона о защите данных 2018 года 2 февраля 2022 года с изменениями, внесенными в соответствии с разделом 18; «Утвержденные стандартные договорные положения ЕС» означают стандартные договорные положения, изложенные в Приложении к Имплементационному решению Комиссии (ЕС) 2021/914 от 4 июня 2021 г.; «ICO» означает Уполномоченного по вопросам информации; «Ограниченная передача» означает передачу, которая регулируется главой V Общего регламента по защите данных Великобритании (GDPR); «Великобритания» означает Соединенное Королевство Великобритании и Северной Ирландии; «Законы Великобритании о защите данных» означают все законы, касающиеся защиты данных, обработки персональных данных, конфиденциальности и/или электронных коммуникаций, действующие в Великобритании, включая Общий регламент по защите данных Великобритании (GDPR) и Закон о защите данных 2018 года; и «Общий регламент по защите данных Великобритании» имеет значение, указанное в разделе 3 Закона о защите данных 2018 года.

Настоящее Дополнение всегда должно толковаться в соответствии с законодательством Великобритании о защите данных и таким образом, чтобы оно выполняло обязательства Сторон по обеспечению надлежащих гарантий. Если какое-либо положение Дополнения, содержащего стандартные договорные положения ЕС (EU SCC), вносит изменения в утвержденные стандартные договорные положения ЕС способом, не разрешенным в соответствии с утвержденными стандартными договорными положениями ЕС или утвержденным Дополнением, такое изменение не будет включено, и его место займет эквивалентное положение утвержденных стандартных договорных положений ЕС. В случае любого несоответствия или конфликта между законодательством Великобритании о защите данных и настоящим Дополнением, применяются законы Великобритании о защите данных; а в случаях, когда смысл неясен, применяется смысл, наиболее точно соответствующий законодательству Великобритании о защите данных. Ссылки на законодательство означают законодательство в том виде, в котором оно может изменяться с течением времени.

Хотя пункт 5 утвержденных стандартных договорных положений ЕС устанавливает, что утвержденные стандартные договорные положения ЕС имеют приоритет над всеми связанными соглашениями, Стороны соглашаются, что в отношении ограниченных передач будет действовать иерархия, изложенная в разделе 10 Обязательных положений. В случае любого несоответствия или конфликта между утвержденным дополнением и дополнением к стандартным договорным положениям ЕС, утвержденное дополнение имеет приоритет над дополнением к стандартным договорным положениям ЕС, за исключением случаев, когда противоречащие положения дополнения к стандартным договорным положениям ЕС обеспечивают большую защиту субъектов данных, в этом случае эти положения имеют приоритет над утвержденным дополнением.

Включение и изменение SCC ЕС

Настоящее Дополнение включает в себя Дополнительные соглашения ЕС о стандартных договорных положениях, которые вносятся в той мере, в какой это необходимо, таким образом, чтобы: (а) они совместно действовали в отношении передачи данных, осуществляемой экспортером данных импортеру данных, в той мере, в какой к обработке данных экспортером данных применяются законы Великобритании о защите данных, и обеспечивали надлежащие гарантии для таких передач; (б) разделы 9–11 Обязательных положений имеют приоритет над пунктом 5 (Иерархия) Дополнения ЕС о стандартных договорных положениях; и (в) настоящее Дополнение регулируется законодательством Англии и Уэльса, и любые споры, возникающие из него, разрешаются судами Англии и Уэльса, если только стороны прямо не выбрали законодательство и/или суды Шотландии или Северной Ирландии.

Вносятся следующие изменения в Дополнение к Стандартным договорным положениям ЕС: ссылки на «Положения» означают настоящее Дополнение, включающее Дополнение к Стандартным договорным положениям ЕС; в пункте 2 слова «и, в отношении передачи данных от контроллеров к обработчикам и/или от обработчиков к обработчикам, стандартные договорные положения в соответствии со статьей 28(7) Регламента (ЕС) 2016/679» удалены; пункт 6 заменен следующим: «Подробная информация о передаче(ях), и в частности о категориях передаваемых персональных данных и целях, для которых они передаются, указана в Приложении IB, если к обработке данных экспортером при осуществлении такой передачи применяются законы Великобритании о защите данных»; пункт 8.7(i) Модуля 1 и пункт 8.8(i) Модулей 2 и 3 заменены ссылкой на страну, пользующуюся преимуществами правил адекватности в соответствии с разделом 17A Общего регламента по защите данных Великобритании; Ссылки на «Регламент (ЕС) 2016/679» и «этот Регламент» заменяются на «Законы Великобритании о защите данных», а ссылки на конкретные статьи — на эквивалентную статью или раздел Законов Великобритании о защите данных; ссылки на Регламент (ЕС) 2018/1725 удалены; ссылки на «Европейский Союз», «Союз», «ЕС», «Государство-член ЕС», «Государство-член» и «ЕС или государство-член» заменяются на «Великобритания»; ссылка на «Пункт 12(c)(i)» в пункте 10(b)(i) Модуля 1 заменяется на «Пункт 11(c)(i)»; пункт 13(a) и часть C Приложения I не используются; «компетентный надзорный орган» и «надзорный орган» заменяются на «Уполномоченный по информации». В пункте 16(e) подпункт (i) заменяется словами: «Министр внутренних дел издает положения в соответствии с разделом 17A Закона о защите данных 2018 года, которые регулируют передачу персональных данных, к которым применяются настоящие положения»; пункт 17 заменяется словами: «Настоящие положения регулируются законодательством Англии и Уэльса»; и пункт 18 заменяется словами: «Любой спор, возникающий из настоящих положений, разрешается судами Англии и Уэльса. Субъект данных также может подать иск против экспортера данных и/или импортера данных в суды любой страны Великобритании. Стороны соглашаются подчиниться юрисдикции таких судов». Сноски к утвержденным стандартным договорным положениям ЕС не являются частью Дополнения, за исключением сносок 8, 9, 10 и 11.

Поправки к настоящему Дополнению

Стороны могут договориться об изменении пунктов 17 и/или 18 Дополнения к Стандартным договорным положениям ЕС, чтобы они ссылались на законы и/или суды Шотландии или Северной Ирландии, а также могут изменить формат информации в Части 1: Таблицы по письменному соглашению, при условии, что изменение не снижает надлежащие гарантии. Время от времени ICO может выпускать пересмотренное Утвержденное Дополнение, вносящее разумные и соразмерные изменения и/или отражающее изменения в законодательстве Великобритании о защите данных; данное Дополнение автоматически изменяется в соответствии с пересмотренным Утвержденным Дополнением с указанной даты вступления в силу. Если пересмотренное Утвержденное Дополнение в результате приведет к тому, что Сторона, выбранная в Таблице 4, понесет существенное, несоразмерное и очевидное увеличение своих прямых затрат и/или рисков в соответствии с Дополнением (предприняв предварительно разумные шаги по их снижению), эта Сторона может расторгнуть настоящее Дополнение по истечении разумного срока уведомления путем письменного уведомления, направленного до даты вступления в силу пересмотренного Утвержденного Дополнения. Сторонам не требуется согласие каких-либо третьих лиц для внесения изменений в настоящее Дополнение, однако любые изменения должны быть внесены в соответствии с его условиями.

ПРИЛОЖЕНИЕ 6.3