Соглашение об обработке персональных данных

Настоящее Соглашение об обработке персональных данных (далее — «DPA») является неотъемлемой частью договора о предоставлении платформы обучения по вопросам соответствия Zentrum24 Academy, заключённого между сторонами (далее — «Основной договор»), и регулируется им. Оно заключено между:

• Zentrum24 LLC — компанией с зарегистрированным адресом 1621 Central Ave, Cheyenne, Wyoming 82001, USA (далее — «Zentrum24 Academy», «Процессор»); и
• заказчиком, указанным в Основном договоре и в Приложении I (далее — «Заказчик», «Контролер»).

Zentrum24 Academy и Заказчик по отдельности именуются «сторона», а совместно — «стороны». Настоящее DPA отражает договорённости сторон об обработке Персональных данных в связи с использованием мультиарендной системы управления обучением по вопросам соответствия Zentrum24 Academy, предоставляемой по модели Software-as-a-Service и предназначенной для управления назначением обучения на основе ролей, курсами SCORM, тестами, электронными подписями по 21 CFR Part 11, журналом аудита с защитой от несанкционированных изменений и сертификатами о прохождении обучения (далее — «Сервис»).

1. Определения и толкование

1.1 «Законодательство о защите данных» означает все законы и нормативные акты, применимые к обработке Персональных данных в рамках настоящего DPA, включая Регламент (ЕС) 2016/679 (далее — «GDPR»), GDPR в редакции, сохранённой в праве Соединённого Королевства (далее — «UK GDPR»), совместно с Законом Соединённого Королевства о защите данных 2018 года (Data Protection Act 2018), а также, где применимо, Федеральный закон Швейцарии о защите данных.

1.2 Термины «Контролер», «Процессор», «Субъект данных», «Персональные данные», «Нарушение безопасности персональных данных», «обработка», «специальные категории персональных данных» и «надзорный орган» имеют значения, определённые в GDPR.

1.3 «Субпроцессор» означает любое третье лицо, привлечённое Zentrum24 Academy (или другим субпроцессором Zentrum24 Academy) для обработки Персональных данных от имени Заказчика в рамках настоящего DPA.

1.4 «SCCs» означает стандартные договорные положения (Standard Contractual Clauses) о передаче персональных данных в третьи страны, установленные Имплементационным решением Комиссии (ЕС) 2021/914 от 4 июня 2021 года, совместно с UK International Data Transfer Addendum и любыми применимыми швейцарскими изменениями, как далее описано в Разделе 12.

1.5 В случае противоречия между настоящим DPA и Основным договором в части обработки Персональных данных преимущественную силу имеет настоящее DPA. В случае противоречия между настоящим DPA и SCCs преимущественную силу имеют SCCs.

2. Предмет, срок, характер и цель обработки

2.1 Роли. Заказчик является Контролером, а Zentrum24 Academy — Процессором в отношении Персональных данных, обрабатываемых для предоставления Сервиса. В той мере, в какой Zentrum24 Academy обрабатывает ограниченный объём Персональных данных в качестве самостоятельного контролера для собственных законных деловых целей (например, администрирование учётных записей, выставление счетов, обеспечение безопасности, предотвращение мошенничества и совершенствование продукта с использованием агрегированных или обезличенных данных), такая обработка осуществляется в соответствии с его уведомлением о конфиденциальности и применимым Законодательством о защите данных, и такая обработка находится вне сферы действия настоящего DPA.

2.2 Предмет. Предметом обработки являются предоставление, эксплуатация, поддержка и обеспечение безопасности Сервиса от имени Заказчика.

2.3 Срок. Zentrum24 Academy будет обрабатывать Персональные данные в течение срока действия Основного договора и в течение дополнительного периода, предусмотренного Разделом 10 (удаление и возврат), если только более длительный срок хранения не требуется применимым законодательством.

2.4 Характер и цель. Характер и цель обработки заключаются в размещении и эксплуатации системы управления обучением по вопросам соответствия, включая: создание и администрирование учётных записей арендаторов и записей пользователей; назначение и отслеживание обучения на основе ролей; предоставление курсов SCORM и тестов; фиксацию статуса прохождения, результатов и электронных подписей по 21 CFR Part 11; формирование сертификатов о прохождении обучения; ведение журнала аудита с защитой от несанкционированных изменений на основе цепочки хешей; а также обеспечение безопасности, мониторинга, резервного копирования и поддержки.

2.5 Категории Субъектов данных и Персональных данных, а также иные сведения об обработке изложены в Приложении I.

3. Обработка исключительно по документированным указаниям

3.1 Zentrum24 Academy будет обрабатывать Персональные данные исключительно по документированным указаниям Заказчика, в том числе в отношении международной передачи данных, за исключением случаев, когда иное требуется правом Европейского союза или государства-члена, которому подчиняется Zentrum24 Academy; в таком случае Zentrum24 Academy уведомит Заказчика о данном требовании закона до начала обработки, если только соответствующий закон не запрещает такое уведомление по важным основаниям общественного интереса.

3.2 Основной договор, настоящее DPA (включая его Приложения), а также разрешённое использование и настройка Сервиса Заказчиком составляют полные и документированные указания Заказчика. Дополнительные или иные указания должны быть согласованы в письменной форме и могут повлечь изменение размера вознаграждения или объёма услуг.

3.3 Zentrum24 Academy незамедлительно уведомит Заказчика, если, по его мнению, указание нарушает Законодательство о защите данных. Zentrum24 Academy не обязан проводить юридическую оценку указаний Заказчика, и настоящий пункт 3.3 не затрагивает соответствующие обязанности сторон по Законодательству о защите данных.

4. Конфиденциальность

4.1 Zentrum24 Academy обеспечит, чтобы лица, уполномоченные обрабатывать Персональные данные, приняли на себя обязательство о соблюдении конфиденциальности или несли соответствующую установленную законом обязанность соблюдать конфиденциальность.

4.2 Zentrum24 Academy ограничит доступ к Персональным данным кругом сотрудников, которым такой доступ необходим для исполнения обязательств Zentrum24 Academy по Основному договору, и обеспечит прохождение такими сотрудниками надлежащего обучения по вопросам защиты данных и безопасности.

5. Безопасность обработки (статья 32)

5.1 С учётом современного уровня технического развития, затрат на реализацию, а также характера, объёма, контекста и целей обработки и риска для прав и свобод физических лиц Zentrum24 Academy внедрит и будет поддерживать надлежащие технические и организационные меры для обеспечения уровня безопасности, соответствующего риску. Меры, действующие на дату вступления в силу, описаны в Приложении II.

5.2 Zentrum24 Academy вправе время от времени обновлять или изменять меры, указанные в Приложении II, при условии, что такие обновления существенно не снижают общий уровень безопасности Сервиса.

5.3 Заказчик несёт ответственность за безопасное использование Сервиса в пределах своего контроля, включая настройку доступа на основе ролей, обеспечение применения многофакторной аутентификации и парольной политики там, где они предлагаются, управление своими администраторами и пользователями, а также своевременную деактивацию учётных данных пользователей, которым доступ более не требуется.

6. Субпроцессоры

6.1 Общее разрешение. Заказчик предоставляет Zentrum24 Academy общее разрешение на привлечение Субпроцессоров к обработке Персональных данных с учётом положений настоящего Раздела 6. Субпроцессоры, разрешённые на дату вступления в силу, перечислены в Приложении III.

6.2 Передача обязательств. При привлечении Субпроцессора Zentrum24 Academy заключает с ним письменный договор, возлагающий обязательства по защите данных, по существу аналогичные предусмотренным настоящим DPA и не менее защищающие, чем они, в частности достаточные гарантии внедрения надлежащих технических и организационных мер. Zentrum24 Academy сохраняет полную ответственность перед Заказчиком за исполнение обязательств каждым Субпроцессором.

6.3 Уведомление об изменениях и возражение. Zentrum24 Academy направит Заказчику предварительное письменное уведомление (которое может быть направлено по электронной почте, через Сервис или размещено на странице субпроцессоров Zentrum24 Academy) о любом планируемом добавлении или замене Субпроцессора, предоставив Заказчику разумную возможность — не менее чем за [30] дней до начала обработки Персональных данных новым Субпроцессором — заявить возражение по обоснованным основаниям, связанным с защитой данных. Если Заказчик заявляет возражение, стороны добросовестно приложат усилия для его урегулирования. Если урегулирование не достигнуто, Заказчик вправе, в качестве своего единственного и исключительного средства правовой защиты, прекратить соответствующую часть Сервиса в соответствии с Основным договором.

7. Содействие в реализации запросов Субъектов данных

7.1 С учётом характера обработки Zentrum24 Academy будет содействовать Заказчику посредством надлежащих технических и организационных мер, насколько это возможно, в исполнении обязанности Заказчика отвечать на запросы об осуществлении прав Субъектов данных согласно Главе III GDPR (включая права на доступ, исправление, удаление, ограничение обработки, переносимость данных и возражение).

7.2 Zentrum24 Academy предоставит в составе Сервиса функциональность самообслуживания, позволяющую Заказчику получать доступ к Персональным данным, исправлять, экспортировать и удалять их. Если запрос Субъекта данных не может быть исполнен с помощью такой функциональности, Zentrum24 Academy окажет разумное дополнительное содействие по запросу Заказчика.

7.3 Если Zentrum24 Academy получает запрос непосредственно от Субъекта данных в отношении Персональных данных, обрабатываемых в рамках настоящего DPA, Zentrum24 Academy, если это не запрещено законом, незамедлительно уведомит об этом Заказчика и не будет самостоятельно отвечать на такой запрос, кроме как по документированным указаниям Заказчика или если этого требует применимое законодательство.

8. Содействие в исполнении статей 32–36

8.1 С учётом характера обработки и информации, доступной Zentrum24 Academy, Zentrum24 Academy будет содействовать Заказчику в обеспечении соблюдения обязанностей Заказчика по статьям 32–36 GDPR, а именно: безопасность обработки, уведомление надзорного органа и Субъектов данных о Нарушениях безопасности персональных данных, оценка воздействия на защиту данных и предварительные консультации с надзорным органом.

8.2 Такое содействие может включать предоставление информации о безопасности, содержащейся в Приложении II, настоящего DPA и иной документации, разумно необходимой Заказчику для проведения оценки воздействия на защиту данных и, при необходимости, предварительной консультации.

9. Уведомление о Нарушении безопасности персональных данных

9.1 Zentrum24 Academy уведомит Заказчика без необоснованной задержки после того, как ему станет известно о Нарушении безопасности персональных данных, затрагивающем Персональные данные, обрабатываемые в рамках настоящего DPA.

9.2 В уведомлении, насколько это известно и насколько это разумно возможно, будут описаны характер нарушения, категории и приблизительное количество затронутых Субъектов данных и записей, вероятные последствия, а также меры, принятые или предлагаемые для устранения нарушения и смягчения его последствий. Если информация не может быть предоставлена одновременно, она может предоставляться поэтапно без дальнейшей необоснованной задержки.

9.3 Уведомление Zentrum24 Academy о Нарушении безопасности персональных данных или его реагирование на такое нарушение не может рассматриваться как признание Zentrum24 Academy какой-либо вины или ответственности. Заказчик сохраняет ответственность за исполнение собственных обязанностей по уведомлению надзорных органов и Субъектов данных.

10. Удаление и возврат данных при прекращении договора

10.1 По выбору Заказчика Zentrum24 Academy удалит или возвратит Заказчику все Персональные данные после прекращения предоставления Сервиса и удалит имеющиеся копии, если только право Европейского союза или государства-члена не требует хранения таких Персональных данных.

10.2 Заказчик вправе экспортировать свои Персональные данные (включая записи об обучении, манифесты электронных подписей, записи журнала аудита и сертификаты) с использованием функции экспорта Сервиса в течение срока действия договора и в течение [30] дней после его расторжения или истечения (далее — «период извлечения данных»). По истечении периода извлечения данных Zentrum24 Academy удалит Персональные данные в течение [90] дней с учётом пункта 10.3.

10.3 Zentrum24 Academy вправе хранить Персональные данные в объёме и в течение срока, требуемых применимым законодательством (включая записи, которые должны сохраняться для подтверждения целостности журнала аудита по 21 CFR Part 11 / EU Annex 11), а Персональные данные, находящиеся в штатных зашифрованных резервных копиях, будут удалены в соответствии с графиком ротации резервных копий Zentrum24 Academy. В течение любого такого продлённого срока хранения обязательства настоящего DPA продолжают применяться, Персональные данные остаются под защитой мер безопасности, предусмотренных Приложением II, и обрабатываются только в объёме, необходимом для цели хранения.

10.4 По письменному запросу Заказчика Zentrum24 Academy письменно подтвердит соблюдение им настоящего Раздела 10.

11. Аудиты и предоставление информации

11.1 Zentrum24 Academy предоставит Заказчику всю информацию, разумно необходимую для подтверждения соблюдения обязанностей, установленных статьёй 28 GDPR и настоящим DPA, а также допустит проведение аудитов, включая проверки, осуществляемых Заказчиком или уполномоченным им аудитором, и будет содействовать их проведению.

11.2 Для выполнения требований пункта 11.1 Zentrum24 Academy вправе предоставить свою действующую на соответствующий момент документацию по безопасности, отчёты независимых аудиторов, сертификаты и ответы на разумные письменные опросники по безопасности.

11.3 Если информации, предоставленной согласно пункту 11.2, недостаточно, Заказчик вправе при разумном предварительном письменном уведомлении не менее чем за [30] дней и не чаще одного раза в двенадцать месяцев (за исключением случаев, когда это требуется вследствие Нарушения безопасности персональных данных или по требованию надзорного органа) провести аудит в обычные рабочие часы. Аудиты должны проводиться способом, минимизирующим нарушение нормальной работы, с соблюдением конфиденциальности и безопасности других клиентов Zentrum24 Academy и его мультиарендной среды, не должны включать доступ к данным других клиентов или тестирование на проникновение в отношении рабочих систем без предварительного письменного согласия Zentrum24 Academy, а аудитор обязан принять на себя обязательство о конфиденциальности, приемлемое для Zentrum24 Academy. Каждая сторона несёт собственные расходы, за исключением случая, когда аудит не выявляет существенного несоблюдения, — в этом случае Заказчик несёт разумные расходы Zentrum24 Academy.

12. Международная передача данных

12.1 Сервис размещается на Vercel (хостинг приложения) и Supabase (управляемая база данных PostgreSQL и объектное хранилище), при этом основная обработка осуществляется в Соединённых Штатах Америки (AWS us-east-1 (Northern Virginia, United States)); Zentrum24 Academy учреждён в Соединённых Штатах Америки. Соответственно, предоставление Сервиса может быть связано с передачей Персональных данных в Соединённые Штаты Америки и иные страны, в которых действуют Zentrum24 Academy или его Субпроцессоры, и с обработкой данных в таких странах.

12.2 Если обработка Персональных данных, подпадающих под действие GDPR или UK GDPR, связана с передачей в страну, в отношении которой не принято решение об адекватности уровня защиты, стороны соглашаются, что такая передача регулируется SCCs, которые настоящим включаются в состав DPA посредством ссылки и заполняются следующим образом:

• Модуль. Модуль Два (Контролер — Процессору) применяется, если Заказчик выступает контролером, а Zentrum24 Academy — процессором. Модуль Три (Процессор — Процессору) применяется в отношении последующих передач Субпроцессорам.
• Оговорка о присоединении (Пункт 7). Факультативная оговорка о присоединении применяется.
• Общее разрешение (Пункт 9(a), Вариант 2). Применяется общее разрешение на привлечение Субпроцессоров, предусмотренное Разделом 6, со сроком, указанным в пункте 6.3.
• Средства правовой защиты и применимое право/подсудность (Пункты 11, 17, 18). Факультативная оговорка о средствах правовой защиты не применяется; применимым правом и местом рассмотрения споров являются право и суды государства — члена ЕС, допускающего права третьих лиц — выгодоприобретателей, а именно Ирландии.
• Приложения. Приложение I к настоящему DPA заполняет Приложения I.A и I.B к SCCs; компетентный надзорный орган (Приложение I.C) указан в Приложении I; Приложение II к настоящему DPA заполняет Приложение II к SCCs; Приложение III к настоящему DPA заполняет перечень Субпроцессоров.

12.3 Соединённое Королевство. В отношении передач, подпадающих под действие UK GDPR, SCCs применяются с изменениями и дополнениями, предусмотренными UK International Data Transfer Addendum, изданным Информационным комиссаром на основании статьи 119A Закона о защите данных 2018 года (Data Protection Act 2018), который включается посредством ссылки и заполняется с использованием соответствующих сведений, содержащихся в настоящем DPA и его Приложениях.

12.4 Швейцария. В отношении передач, подпадающих под действие Федерального закона Швейцарии о защите данных, SCCs применяются с изменениями, необходимыми для придания им действия по швейцарскому праву (включая ссылки на Федерального уполномоченного Швейцарии по защите данных и информации и на швейцарское право), в редакции, опубликованной компетентным швейцарским органом.

12.5 Если и в той мере, в какой Zentrum24 Academy участвует в утверждённом механизме передачи данных, признанном обеспечивающим адекватный уровень защиты (например, EU-U.S. Data Privacy Framework и его расширения для Соединённого Королевства и Швейцарии), стороны вправе использовать такой механизм в качестве альтернативного основания для передачи данных в Соединённые Штаты Америки.

12.6 Если используемый механизм передачи признан недействительным, заменён или перестаёт являться действительным основанием для передачи, стороны добросовестно совместно примут меры для внедрения альтернативного законного механизма передачи без необоснованной задержки.

13. Ответственность

13.1 Ответственность каждой стороны, возникающая из настоящего DPA и SCCs или в связи с ними, будь то договорная, деликтная (включая небрежность) или иная, подчиняется совокупным ограничениям и исключениям ответственности, согласованным в Основном договоре, при этом любая ссылка в таких ограничениях на ответственность стороны означает совокупную ответственность этой стороны по Основному договору и настоящему DPA вместе взятым.

13.2 Ничто в настоящем DPA не ограничивает и не исключает ответственность любой из сторон в тех случаях, когда она не может быть ограничена или исключена согласно применимому законодательству, включая ответственность, связанную с правом Субъекта данных на компенсацию согласно статье 82 GDPR, а также права Субъектов данных, предусмотренные SCCs.

13.3 В отношениях между сторонами и без ущерба для прав Субъектов данных или надзорных органов ответственность за административные штрафы, требования или убытки, возникающие вследствие нарушения стороной её собственных обязанностей по Законодательству о защите данных, распределяется в соответствии со степенью ответственности каждой стороны за причинённый вред с учётом ролей Контролера и Процессора.

14. Общие положения

14.1 Срок действия. Настоящее DPA вступает в силу с даты вступления в силу Основного договора (или, если это произошло позднее, с даты его последнего подписания) и действует до тех пор, пока Zentrum24 Academy обрабатывает Персональные данные от имени Заказчика.

14.2 Применимое право и подсудность. За исключением случаев, когда иное требуется Законодательством о защите данных или SCCs, настоящее DPA регулируется и толкуется в соответствии с законодательством штата Wyoming, США, и суды, указанные в Основном договоре, обладают исключительной юрисдикцией.

14.3 Недействительность отдельных положений и сохранение силы. Если какое-либо положение настоящего DPA будет признано недействительным или не имеющим исковой силы, остальные положения сохраняют силу. Положения, которые по своей природе должны действовать после прекращения договора, сохраняют силу.

14.4 Контактное лицо по вопросам защиты данных. Вопросы защиты данных, касающиеся настоящего DPA, могут направляться в Zentrum24 Academy по адресу contact@zentrum24.com.

Приложение I — Описание обработки

A. Перечень сторон

Экспортёр данных (Контролер): Заказчик, указанный в Основном договоре.

• Наименование и адрес: (заполняется Заказчиком) / (заполняется Заказчиком).
• Контактное лицо, должность и контактные данные: (заполняется Заказчиком).
• Деятельность, имеющая отношение к передаваемым данным: использование Сервиса Zentrum24 Academy для администрирования и учёта обучения по вопросам соответствия для своего персонала.
• Роль: Контролер.

Импортёр данных (Процессор): Zentrum24 LLC

• Наименование и адрес: Zentrum24 LLC, 1621 Central Ave, Cheyenne, Wyoming 82001, USA.
• Контактное лицо, должность и контактные данные: contact@zentrum24.com.
• Деятельность, имеющая отношение к передаваемым данным: предоставление, эксплуатация, поддержка и обеспечение безопасности платформы обучения по вопросам соответствия Zentrum24 Academy.
• Роль: Процессор.

B. Описание обработки

Категории Субъектов данных. Персонал Заказчика и иные физические лица, обучение которых Заказчик администрирует посредством Сервиса, включая:

• работников, стажёров и иных занятых лиц Заказчика, которым назначено обучение по вопросам соответствия;
• администраторов, авторов, руководителей и обучающихся Заказчика, имеющих учётные записи в Сервисе;
• подрядчиков, временный персонал и иных уполномоченных пользователей, которых Заказчик решит зарегистрировать.

Категории Персональных данных.

• Данные учётной записи: наименование организации и тарифный план подписки.
• Идентификационные и профильные данные пользователя: полное имя, рабочий адрес электронной почты, факультативный идентификатор работника, назначенная роль (администратор арендатора / автор / руководитель / обучающийся) и аутентификационные данные (хешированный пароль, секрет многофакторной аутентификации TOTP и резервные коды, а также идентификаторы SSO при использовании SAML/SCIM).
• Записи об обучении: назначения курсов и тестов, статус прохождения, результаты, записи электронных подписей по 21 CFR Part 11 (личность подписанта, значение подписи и отметка времени) и сертификаты о прохождении обучения.
• Журналы аудита и безопасности: IP-адрес, user-agent, отметки времени и метаданные событий, фиксируемые в журнале аудита с защитой от несанкционированных изменений на основе цепочки хешей.

Специальные категории Персональных данных. Сервис не спроектирован и не предназначен для обработки специальных категорий персональных данных (статья 9) или данных об уголовных судимостях (статья 10). Заказчик не должен загружать такие данные, за исключением содержимого свободного текста, которое он решит внести; в случае внесения таких данных Заказчик несёт ответственность за обеспечение правового основания и любых дополнительных гарантий.

Периодичность обработки. Непрерывно, в течение срока действия Основного договора.

Характер и цель обработки. Как описано в Разделе 2 настоящего DPA — размещение и эксплуатация системы управления обучением по вопросам соответствия, включая назначение и отслеживание обучения, предоставление курсов SCORM и тестов, фиксацию результатов и электронных подписей, формирование сертификатов, ведение журнала аудита, а также обеспечение безопасности, резервного копирования, мониторинга и поддержки.

Срок хранения. В течение срока действия Основного договора и периодов, описанных в Разделе 10, а после этого — только в объёме, требуемом применимым законодательством (например, для сохранения регулируемых записей об обучении и записей журнала аудита).

Передача данных Субпроцессорам. Предмет, характер и срок обработки Субпроцессорами указаны в Приложении III.

C. Компетентный надзорный орган

Компетентным надзорным органом является орган государства — члена ЕС, в котором учреждён Заказчик или его представитель в ЕС, либо иной орган, определяемый согласно Пункту 13 SCCs: Ирландская комиссия по защите данных (Irish Data Protection Commission). Для передач в Соединённое Королевство компетентным органом является Управление Информационного комиссара Соединённого Королевства (Information Commissioner's Office); для передач в Швейцарию — Федеральный уполномоченный Швейцарии по защите данных и информации.

Приложение II — Технические и организационные меры безопасности

Указанные ниже меры внедрены и поддерживаются Zentrum24 Academy по состоянию на дату вступления в силу. Они могут обновляться в соответствии с пунктом 5.2. Настоящее Приложение также заполняет Приложение II к SCCs.

1. Изоляция арендаторов и контроль доступа

• Строгая мультиарендная изоляция, обеспечиваемая на уровне базы данных с помощью механизма построчной безопасности PostgreSQL (row-level security, RLS), при этом приложение подключается через выделенную роль без прав суперпользователя, которая не может обходить политики RLS.
• Управление доступом на основе ролей (RBAC) в рамках четырёх ролей приложения — администратор арендатора, автор, руководитель и обучающийся, — ограничивающее функциональность и доступ к данным по принципу наименьших привилегий.
• Управление сессиями без сохранения состояния с использованием подписанных JWT, хранящихся в cookie-файлах с атрибутом httpOnly и истечением срока действия по тайм-ауту бездействия.

2. Аутентификация и управление секретами

• Многофакторная аутентификация (MFA) с использованием одноразовых паролей на основе времени (TOTP) и резервных кодов восстановления.
• Защита паролей с использованием хеширования bcrypt с настраиваемыми требованиями к сложности, историей паролей и блокировкой учётной записи при повторных неудачных попытках входа.
• Федерация корпоративных удостоверений посредством единого входа SAML и подготовки учётных записей пользователей по SCIM (доступно на тарифе Pro).
• Защита секретов с использованием конвертного шифрования в стиле KMS для хранимых секретов MFA и SSO.

3. Шифрование

• Шифрование при передаче с использованием TLS для соединений с Сервисом и внутри него.
• Шифрование при хранении для управляемой базы данных PostgreSQL и объектного хранилища (закрытые бакеты с шифрованием на стороне сервера), обеспечиваемое Supabase.

4. Целостность, аудит и электронные записи

• Журнал аудита с защитой от несанкционированных изменений на основе цепочки хешей, обеспечивающий проверяемую запись событий, значимых для безопасности и соответствия, доступную только для добавления.
• Электронные подписи, соответствующие 21 CFR Part 11, фиксирующие личность подписанта, значение подписи и доверенную отметку времени, согласующиеся с требованиями EU Annex 11.

5. Доступность, отказоустойчивость и безопасность инфраструктуры

• Размещение на Vercel (управляемый бессерверный хостинг приложений за глобальной граничной сетью) с управляемой базой данных PostgreSQL и закрытым зашифрованным объектным хранилищем, предоставляемыми Supabase; состояние ограничения частоты запросов хранится в базе данных PostgreSQL. Основной регион размещения: AWS us-east-1 (Northern Virginia, United States).
• Управляемое резервное копирование базы данных с шифрованием при хранении и установленным графиком ротации.
• Ограничение частоты запросов на уровне арендатора и пользователя для защиты доступности и противодействия злоупотреблениям.
• Транзакционная электронная почта, доставляемая через Resend (Resend, Inc.), с прямым транспортом SMTP в качестве резервного канала.

6. Организационные меры

• Обязательства о конфиденциальности, возлагаемые на сотрудников, уполномоченных обрабатывать Персональные данные, совместно с обучением по вопросам защиты данных и безопасности.
• Административный доступ к рабочим системам по принципу наименьших привилегий, ограниченный сотрудниками, которым он необходим для эксплуатации и поддержки Сервиса.
• Управление субпроцессорами посредством письменных договоров, возлагающих обязательства по защите данных не менее защищающие, чем предусмотренные настоящим DPA (Раздел 6).
• Мониторинг ошибок, настроенный так, чтобы ограничивать фиксацию Персональных данных (структурированные журналы приложения хранятся хостинг-платформой; сторонний сервис мониторинга ошибок не установлен).

7. Стандарты, на которые сделаны ссылки

Сервис и его контрольные механизмы разработаны с учётом 21 CFR Part 11, EU Annex 11, ICH Q9, GAMP 5, SCORM 1.2/2004, а также GDPR/UK-GDPR. Ссылки на стандарты описывают замысел разработки и сами по себе не являются гарантией сертификации или соблюдения нормативных требований каким-либо конкретным клиентом.

Приложение III — Перечень разрешённых Субпроцессоров

По состоянию на дату вступления в силу Zentrum24 Academy привлекает следующих Субпроцессоров. Настоящий перечень может изменяться в соответствии с пунктом 6.3.

• Vercel Inc. — хостинг приложения и доставка контента. Место обработки: Соединённые Штаты Америки. Характер: обслуживание приложения и обработка трафика запросов.
• Supabase — управляемая база данных PostgreSQL и закрытое зашифрованное объектное хранилище. Место обработки: Соединённые Штаты Америки. Характер: хранение данных Сервиса, включая данные учётных записей, пользователей, записей об обучении и аудита.
• Stripe, Inc. — обработка платежей и выставление счетов по подписке. Место обработки: Соединённые Штаты Америки. Характер: обработка данных учётной записи Заказчика и контактных данных для выставления счетов; Stripe не обрабатывает записи об обучении обучающихся.
• Поставщик услуг электронной почты / SMTP (пока не выбран) — доставка транзакционной электронной почты. Место обработки: Соединённые Штаты Америки. Характер: доставка уведомлений Сервиса, содержащих имя пользователя и адрес электронной почты. Данный субпроцессор будет указан здесь до запуска.

Подписи

Подписывая Основной договор или отдельно подписывая настоящее DPA, каждая сторона соглашается быть связанной положениями настоящего DPA. Каждая сторона заверяет, что лицо, подписывающее документ от её имени, надлежащим образом уполномочено на это.

За Zentrum24 LLC (Процессор): Имя: Anselme Metoudou; Должность: Главный исполнительный директор / Управляющий участник; Дата: на дату подписания; Подпись: ____________________.

За Заказчика (Контролер): Имя: ____________________; Должность: ____________________; Дата: ____________________; Подпись: ____________________.