Соглашение об обработке персональных данных (DPA)

Обработчик: ELVARON LIMITED, Registration No. 79402144, 14/F, China Building, 29 Queen's Road Central, Central, Hong Kong («Обработчик», «ModelStation»). Контролёр: организация или иное лицо, заключившее с Обработчиком договор об использовании ModelStation («Клиент»). Контакт: support@modelstation.org

Редакция: 2.0

Порядок заключения

Настоящий DPA применяется к обработке персональных данных, осуществляемой Обработчиком по поручению Клиента при предоставлении ModelStation, и составляет неотъемлемую часть Условий использования.

DPA считается заключённым: (а) с момента, когда Клиент начинает использовать Сервис для обработки персональных данных в коммерческих целях; либо (б) с момента подписания сторонами отдельного экземпляра DPA. Подписанный экземпляр, а также приложения о технических мерах и, при необходимости, стандартные договорные условия, предоставляются по запросу на support@modelstation.org.

При противоречии между DPA и Условиями использования в вопросах обработки персональных данных преимущество имеет DPA. При противоречии между DPA и стандартными договорными условиями (SCC) преимущество имеют SCC в объёме, требуемом применимым правом.

1. Определения

«Законодательство о защите данных» — применимые к обработке нормы, включая PDPO (Cap. 486) Гонконга, GDPR (Регламент (ЕС) 2016/679), UK GDPR и Data Protection Act 2018, законодательство Швейцарии о защите данных, CCPA/CPRA, а также иные применимые нормы.

«Данные Клиента» — персональные данные, которые Обработчик обрабатывает от имени Клиента при предоставлении Сервиса.

«Субъект данных» — физическое лицо, к которому относятся Данные Клиента.

«Инцидент безопасности» — подтверждённое нарушение безопасности, приведшее к случайному или неправомерному уничтожению, утрате, изменению, несанкционированному раскрытию или доступу к Данным Клиента.

«Субпроцессор» — третье лицо, привлечённое Обработчиком для обработки Данных Клиента.

«SCC» — стандартные договорные условия, утверждённые Решением Европейской комиссии 2021/914, а для Великобритании — International Data Transfer Addendum к SCC, выпущенное ICO.

Иные термины употребляются в значении, определённом Условиями использования и Законодательством о защите данных.

2. Роли сторон

2.1. В отношении Данных Клиента, обрабатываемых для предоставления Сервиса, Клиент выступает контролёром (data user по терминологии PDPO), а Обработчик — обработчиком (data processor).

2.2. В отношении данных, которые Обработчик обрабатывает для собственных целей — ведение аккаунта, аутентификация, биллинг и бухгалтерский учёт, обеспечение безопасности и предотвращение злоупотреблений, соблюдение санкционных требований, исполнение требований закона, защита правовой позиции, — Обработчик выступает самостоятельным контролёром. Такая обработка регулируется Политикой конфиденциальности, а не настоящим DPA.

2.3. Каждая сторона самостоятельно отвечает за соблюдение Законодательства о защите данных в отношении своей роли.

2.4. Стороны не являются совместными контролёрами, если это прямо не согласовано в письменной форме.

3. Обязанности и заверения Клиента

3.1. Клиент заверяет и гарантирует, что:

1. обладает законным основанием для передачи Данных Клиента в Сервис и для их обработки Обработчиком и Субпроцессорами, включая передачу за пределы страны Клиента;
2. предоставил Субъектам данных требуемую информацию и, где необходимо, получил действительное согласие, в том числе на использование сторонних AI-провайдеров и трансграничную передачу;
3. соблюдает принцип минимизации и не передаёт данные, не требующиеся для его задачи;
4. не передаёт в Сервис особые категории данных (данные о здоровье, биометрические, генетические данные, данные о судимости, данные детей, платёжные реквизиты, государственные идентификаторы), если стороны прямо не согласовали дополнительные меры в письменной форме;
5. его инструкции не нарушают Законодательство о защите данных;
6. не использует Сервис для сценариев, запрещённых §7 Политики допустимого использования.

3.2. Клиент отвечает за настройку функций, влияющих на обработку: сохранение истории и памяти, состав приглашённых пользователей, права администратора, объём загружаемых файлов, выбор AI-провайдера и допустимость его юрисдикции.

3.3. Клиент признаёт, что Обработчик не имеет практической возможности заранее выявлять внутри содержимого запросов недопустимые категории данных, и принимает на себя связанный риск.

4. Обработка по инструкциям

4.1. Обработчик обрабатывает Данные Клиента только по документированным инструкциям Клиента. Документированными инструкциями считаются: Условия использования, настоящий DPA, настройки аккаунта, действия пользователей Клиента в интерфейсе и запросы, направленные через поддержку.

4.2. Обработчик не использует Данные Клиента для собственных целей, кроме случаев, указанных в §2.2, и не использует их для обучения моделей.

4.3. Если Обработчик обязан обрабатывать данные в силу требования применимого права, он информирует Клиента, если такое информирование не запрещено законом.

4.4. Если Обработчик считает, что инструкция Клиента нарушает Законодательство о защите данных, он уведомляет Клиента и вправе приостановить исполнение соответствующей инструкции до её уточнения.

4.5. Обработчик не отвечает за правомерность целей обработки, определённых Клиентом, за наличие правового основания и за содержание данных, направляемых в Сервис.

5. Конфиденциальность персонала

Доступ к Данным Клиента предоставляется только тем работникам и подрядчикам Обработчика, которым он необходим для исполнения обязанностей; такие лица связаны обязательствами конфиденциальности, сохраняющими силу после прекращения сотрудничества, и проинформированы о требованиях к обработке.

6. Безопасность

6.1. Обработчик применяет технические и организационные меры, соответствующие риску, с учётом уровня техники и характера обработки. Перечень мер приведён в Приложении 2.

6.2. Меры могут обновляться при условии, что уровень защиты не понижается.

6.3. Клиент самостоятельно оценивает достаточность мер для своих целей и отвечает за защиту собственной среды, устройств и учётных данных своих пользователей.

7. Субпроцессоры

7.1. Клиент предоставляет общее разрешение на привлечение Субпроцессоров, раскрытых в документе «Субпроцессоры» и в Приложении 3.

7.2. Обработчик: заключает с каждым Субпроцессором договор, содержащий обязательства по защите данных, не менее строгие, чем в настоящем DPA, в объёме, применимом к его услуге; отвечает за исполнение Субпроцессором таких обязательств в пределах §12.

7.3. Об изменении состава Субпроцессоров Обработчик информирует через страницу «Субпроцессоры», по возможности до начала новой обработки. Клиент, подписавшийся на уведомления, вправе в течение 30 дней заявить обоснованное возражение. Стороны добросовестно ищут альтернативу; при её отсутствии Клиент вправе прекратить использование затронутой функции или расторгнуть договор в её отношении. Иные средства правовой защиты не применяются.

7.4. Замена Субпроцессора в целях устранения угрозы безопасности, обеспечения непрерывности или исполнения требования закона допускается без предварительного уведомления, с последующим раскрытием.

8. Международная передача данных

8.1. Клиент подтверждает, что обработка предполагает передачу данных за пределы Гонконга и страны Клиента, в том числе в США, ЕЭЗ, Сингапур и материковый Китай — в зависимости от выбранных Моделей и инфраструктуры.

8.2. Для передач, подпадающих под GDPR, применяются SCC, Модуль 2 (контролёр — обработчик), включаемые в DPA по ссылке, с уточнениями: место — Гонконг; применимое право SCC — право государства-члена ЕС, определяемое SCC; приложения SCC считаются заполненными сведениями из Приложений 1–3 настоящего DPA; периодичность передачи — непрерывно, по мере направления запросов.

8.3. Для передач, подпадающих под UK GDPR, применяется UK International Data Transfer Addendum к SCC.

8.4. Обработчик проводит разумную оценку обстоятельств передачи и применяет дополнительные меры: минимизация передаваемых данных, шифрование канала, ограничение доступа, договорные обязательства уведомлять о законных запросах органов в объёме, разрешённом законом.

8.5. Раздел 33 PDPO на дату редакции не введён в действие; независимо от этого Обработчик применяет договорные меры, рекомендованные PCPD.

8.6. Обработчик не может гарантировать невозможность доступа уполномоченных органов иностранных государств к данным, находящимся в их юрисдикции. Клиент принимает этот риск и обязан учитывать его при выборе Моделей.

9. Запросы Субъектов данных

9.1. Клиент отвечает за рассмотрение запросов Субъектов данных.

9.2. Обработчик оказывает разумное содействие с учётом характера обработки и доступного функционала: предоставление сведений о категориях обработки, экспорт доступных данных, удаление или исправление данных по указанию Клиента.

9.3. Если запрос Субъекта данных поступает напрямую Обработчику, он не отвечает по существу (кроме подтверждения получения) и, при возможности идентификации Клиента, перенаправляет запрос ему.

9.4. Содействие, требующее существенных трудозатрат и выходящее за рамки стандартного функционала, может быть оказано на возмездной основе по предварительному согласованию.

10. Инциденты безопасности

10.1. Обработчик уведомляет Клиента о подтверждённом Инциденте безопасности, затрагивающем Данные Клиента, без неоправданной задержки после того, как инцидент стал ему известен, и, как правило, не позднее 72 часов.

10.2. Уведомление содержит доступные на момент направления сведения: характер инцидента, категории и приблизительный объём затронутых данных, вероятные последствия, принятые и планируемые меры, контактное лицо. Сведения могут дополняться по мере расследования.

10.3. Обязанность уведомлять надзорные органы и Субъектов данных лежит на Клиенте как контролёре; Обработчик оказывает разумное содействие.

10.4. Уведомление не является признанием вины или ответственности Обработчика.

10.5. Обработчик не обязан уведомлять об инцидентах, не затрагивающих Данные Клиента, а также о неудачных попытках атак, заблокированных штатными средствами защиты.

11. Аудит и подтверждение соответствия

11.1. По обоснованному письменному запросу, не чаще одного раза в 12 месяцев, Обработчик предоставляет: описание технических и организационных мер; ответы на разумную анкету по безопасности; доступные отчёты и подтверждения.

11.2. Очная проверка возможна при обоснованной необходимости, при условии: предварительного согласования объёма, даты и порядка не менее чем за 30 дней; подписания соглашения о конфиденциальности; проведения проверки в рабочее время, без нарушения работы Сервиса и без доступа к данным других клиентов; привлечения независимого аудитора, не являющегося конкурентом Обработчика; отнесения расходов на Клиента.

11.3. Обработчик вправе отказать в предоставлении сведений, раскрытие которых нарушает обязательства перед третьими лицами, законодательство или создаёт риск для безопасности инфраструктуры.

12. Ответственность

12.1. Ответственность сторон по настоящему DPA подчиняется ограничениям, установленным §17 Условий использования, за исключением случаев, когда такое ограничение не допускается Законодательством о защите данных.

12.2. Ограничения ответственности не влияют на права Субъектов данных, предусмотренные Законодательством о защите данных, включая права, предусмотренные SCC.

12.3. Клиент возмещает Обработчику убытки, возникшие вследствие: отсутствия правового основания для обработки; неправомерных инструкций; передачи в Сервис недопустимых категорий данных; нарушения заверений §3.

13. Удаление и возврат данных

13.1. По прекращении оказания услуг Обработчик по выбору Клиента удаляет или возвращает Данные Клиента в разумный срок, но не позднее 90 календарных дней, если применимое право не требует сохранения.

13.2. Удаление из резервных копий выполняется по мере их естественной ротации.

13.3. Обработчик вправе сохранить данные в объёме и на срок, требуемые применимым правом, а также обезличенные и агрегированные сведения о потреблении, не позволяющие идентифицировать Субъектов данных.

13.4. По запросу Обработчик подтверждает удаление в письменной форме.

14. Срок и прочие условия

14.1. DPA действует в течение срока обработки Данных Клиента и прекращается вместе с прекращением договора и завершением удаления данных.

14.2. Положения, необходимые для защиты Данных Клиента и разрешения споров, сохраняют силу после прекращения.

14.3. К DPA применяются положения Условий использования о применимом праве, порядке разрешения споров, уведомлениях, автономности положений и языке, если Законодательство о защите данных или SCC не требуют иного.

Приложение 1. Сведения об обработке

Предмет обработки: предоставление доступа к моделям искусственного интеллекта сторонних провайдеров через единый интерфейс, включая выполнение запросов, работу агентов, сохранение истории и памяти, сравнение моделей, учёт потребления и поддержку.

Характер и цель обработки: сбор, запись, хранение, передача выбранному AI-провайдеру, отображение, изменение по указанию пользователя, удаление; цель — предоставление функциональности Сервиса Клиенту.

Продолжительность: срок использования Сервиса Клиентом и период удаления по §13.

Категории Субъектов данных: пользователи аккаунта Клиента (работники, подрядчики), а также любые лица, чьи данные Клиент по своему решению включает в содержимое запросов, включая клиентов и контрагентов Клиента.

Категории Данных Клиента:

• идентификационные и контактные данные пользователей аккаунта (адрес электронной почты, имя, никнейм, аватар);
• технические данные (IP-адрес, код страны, User-Agent, идентификаторы и время сессий);
• содержимое запросов и ответов, включая текст, изображения, файлы, транскрипции аудио;
• элементы памяти и извлечённые из диалогов факты;
• настройки агентов и предпочтения;
• данные о потреблении и биллинге;
• содержание обращений в поддержку.

Особые категории данных: не предполагаются и не должны передаваться (§3.1(4)).

Частота передачи: непрерывно, по мере направления запросов пользователями Клиента.

Получатели: Субпроцессоры, указанные в Приложении 3.

Приложение 2. Технические и организационные меры

Контроль доступа и аутентификация: уникальные учётные записи; пароли в виде bcrypt-хэша (cost 12); ограничение частоты попыток входа и регистрации; ограниченное время жизни сессий (12 часов; 30 дней при явном продлении); хранение токенов сессий в виде хэшей; отдельный административный контур с дополнительными проверками, ограничением по сетевым адресам и ограниченным сроком приглашений.

Защита передачи: TLS для всего пользовательского и служебного трафика; перенаправление незащищённых соединений; cookie сессии с признаками httpOnly, Secure, SameSite=Lax.

Сегментация и минимизация доступа: разделение публичного веб-слоя, приложения, базы данных и административного контура; отсутствие публичного доступа к базе данных; доступ к производственной среде по ключам и по принципу минимально необходимых прав.

Защита от злоупотреблений: валидация входных данных; ограничение размера и количества вложений; лимиты частоты и параллельности запросов на уровне прокси и приложения; фильтрация вредоносного трафика; блокировка подозрительных операций.

Журналирование и мониторинг: фиксация событий входа, отказов, срабатывания лимитов и административных действий; минимизация состава журналов, исключающая, по возможности, полный текст диалогов; мониторинг аномалий.

Управление изменениями: контроль версий; автоматизированная сборка и доставка; описание инфраструктуры в виде кода; обновление зависимостей и базовых образов с приоритизацией критических исправлений.

Управление секретами: хранение ключей и учётных данных в переменных окружения производственной среды; исключение секретов из репозитория; ротация при подозрении на компрометацию и кадровых изменениях.

Непрерывность: регулярное резервное копирование с ограниченным доступом; процедуры восстановления.

Персонал: обязательства конфиденциальности; предоставление доступа по необходимости; прекращение доступа при завершении задачи или сотрудничества.

Реагирование на инциденты: локализация, устранение причины, восстановление, разбор, уведомление в порядке §10.

Известные ограничения на дату редакции: шифрование данных в состоянии покоя внедряется поэтапно; двухфакторная аутентификация пользовательских аккаунтов в разработке; независимая сертификация по внешним стандартам не получена; отдельные функции предоставляются в Preview-режиме.

Приложение 3. Субпроцессоры

Актуальный перечень публикуется на странице «Субпроцессоры» и включает, в частности:

Содержимое запросов передаётся только AI-провайдеру выбранной Модели.

Наименования и юрисдикции конкретных поставщиков инфраструктурного слоя не публикуются на сайте по соображениям безопасности и предоставляются Клиенту, заключившему настоящий DPA, по запросу на support@modelstation.org — в объёме, необходимом для оценки соответствия и проведения оценки воздействия обработки. Изменение состава таких поставщиков доводится до Клиента в порядке §7.3.

Приложение 4. Порядок подписания

Для получения подписанного экземпляра DPA направьте на support@modelstation.org запрос с указанием: полного наименования и адреса Клиента; номера регистрации; имени и должности подписанта; описания предполагаемого использования Сервиса; сведений о категориях данных и Субъектах данных; необходимости включения SCC и применимых модулей.

ELVARON LIMITED Registration No. 79402144 14/F, China Building, 29 Queen's Road Central, Central, Hong Kong support@modelstation.org