Договор об обработке данных по поручению (AVV / DPA)

Настоящий Договор об обработке данных по поручению (AVV) конкретизирует обязанности сторон по защите данных согласно ст. 28 GDPR. Он становится частью договора между клиентом (контролёром) и Good Point GmbH (обработчиком), как только клиент использует платформу или API HancVoice для обработки персональных данных третьих лиц. Обработка собственных учётных данных клиента регулируется Политикой конфиденциальности.

1. Стороны и предмет

Обработчик обрабатывает персональные данные исключительно по поручению и документированным указаниям контролёра. Использование платформы согласно договору и документации считается указанием.

2. Предмет, срок, характер и цель обработки

• Предмет: предоставление синтеза речи (TTS), создания голоса, преобразования голоса, транскрипции, хранения проектов и REST-API на hancvoice.com.
• Срок: на время действия основного договора; прекращается с его окончанием плюс установленные законом или договором сроки хранения и удаления.
• Характер: сбор, запись, хранение, изменение, извлечение, передача, удаление — автоматизированными средствами.
• Цель: исключительно договорное оказание указанных услуг; без собственных целей обработчика.

3. Категории персональных данных и группы субъектов

• Категории данных: предоставленные клиентом тексты, аудиозаписи (образцы голоса) и созданные из них аудиоданные; содержащиеся в контенте имена, голосовые и речевые признаки; технические метаданные (метки времени, ID заданий).
• Особые категории (ст. 9): только если контролёр вносит такие данные в контент; за правовое основание отвечает контролёр.
• Группы субъектов: конечные пользователи, клиенты, сотрудники или иные третьи лица контролёра, чьи данные он обрабатывает через платформу.

4. Обязанности обработчика (ст. 28(3) GDPR)

Обработчик обязуется, в частности:

• обрабатывать данные только по документированным указаниям, включая передачи в третьи страны, если иное не требуется по закону;
• обеспечить, чтобы лица, уполномоченные на обработку, соблюдали конфиденциальность (ст. 28(3)(b), 29, 32(4));
• принять надлежащие технические и организационные меры по ст. 32 (см. п. 5);
• привлекать субобработчиков только на условиях п. 6;
• оказывать контролёру содействие в реализации прав субъектов (гл. III) и обязанностей (ст. 32–36);
• по выбору контролёра удалить или вернуть все данные после окончания обработки (п. 9);
• предоставлять всю информацию для подтверждения соблюдения и допускать проверки (п. 10);
• незамедлительно уведомить контролёра, если, по его мнению, указание нарушает право о защите данных.

5. Технические и организационные меры (ст. 32 GDPR)

• Шифрование: TLS для всех каналов передачи; учётные данные в виде scrypt-хэшей, без паролей в открытом виде.
• Контроль доступа: ролевые права, админ-раздел дополнительно под PIN, ограничение частоты запросов и попыток входа, проверка подписи вебхуков.
• Разделение клиентов: данные разделены по аккаунтам; пользователь видит только свои проекты и голоса.
• Журналирование: журналы событий и действий администраторов для прослеживаемости.
• Доступность и восстанавливаемость: хостинг в ЕС (Hetzner, Нюрнберг/Германия), резервные копии, межсетевой экран (ufw).
• Минимизация и удаление: хранение по цели; доступны само-экспорт (ст. 20) и удаление аккаунта (ст. 17).

6. Субобработчики (ст. 28(2) и (4))

Контролёр даёт общее разрешение на привлечение субобработчиков. Обработчик информирует о планируемых изменениях и предоставляет право возражения. В настоящее время привлекаются, в частности:

Актуальный полный список субобработчиков с указанием местонахождения предоставляется по запросу на legal@hancvoice.com. С каждым субобработчиком заключены договоры с эквивалентными обязанностями по защите данных согласно ст. 28(4).

7. Содействие в реализации прав субъектов

Обработчик содействует контролёру надлежащими техническими и организационными мерами в исполнении запросов на доступ, исправление, удаление, ограничение, переносимость и возражение (ст. 15–22). Если субъект данных обращается напрямую к обработчику, тот незамедлительно передаёт обращение контролёру.

8. Уведомление о нарушениях (ст. 33, 34)

Обработчик уведомляет контролёра о любом нарушении защиты персональных данных незамедлительно после того, как о нём стало известно, и содействует контролёру в исполнении его обязанностей по уведомлению надзорного органа и субъектов данных.

9. Удаление и возврат после окончания договора

После окончания обработки обработчик по выбору контролёра удаляет или возвращает все персональные данные и уничтожает имеющиеся копии, если отсутствует установленная законом обязанность хранения.

10. Права на проверку и подтверждения

Обработчик предоставляет контролёру всю информацию, необходимую для подтверждения соблюдения обязанностей по ст. 28, и допускает проверки — включая инспекции — контролёром или уполномоченным им аудитором, в разумном объёме и с разумным предварительным уведомлением.

11. Передача в третьи страны (ст. 44 и далее)

Обработка за пределами ЕС/ЕЭП осуществляется только при соблюдении требований ст. 44 и далее GDPR — в частности, при наличии решения об адекватности или стандартных договорных положений (SCC) с необходимыми дополнительными мерами.

12. Ответственность и применимое право

Применяется ст. 82 GDPR. В остальном настоящий AVV регулируется австрийским правом без учёта коллизионных норм; императивные нормы защиты прав потребителей остаются в силе. При противоречии между настоящим AVV и основным договором преимущество имеют положения о защите данных настоящего AVV.