Приложение 4 — Договор об обработке персональных данных (DPA)

Русская версия для понимания; юридическую силу имеет сербский текст.

Это Приложение — часть Договора; регулирует обработку персональных данных в связи с работой Продавца на Платформе, по Закону о защите персональных данных Сербии («Sl. glasnik RS», бр. 87/2018 — далее ЗЗПЛ) и GDPR.

Статья 1 — Определения

Термины — в значении ЗЗПЛ: rukovalac (контролёр), obrađivač (процессор), субъект данных, обработка, персональные данные, нарушение данных, Poverenik. «Покупатель» и прочее — из основного Договора.

Статья 2 — Роли и статус сторон

2.1. По персональным данным Покупателей каждая сторона выступает самостоятельным контролёром (samostalni rukovalac): Vondi — по ведению Платформы, аккаунтов, платежей и аналитики; Продавец — по исполнению Заказа, доставке, фискализации и постпродажным обязанностям. Стороны не находятся в отношениях контролёр–процессор.

2.2. Передача данных Покупателя от Vondi к Продавцу — по принципу контролёр–контролёр, только в объёме, необходимом для исполнения Заказа и обязанностей Продавца.

2.3. Если в отдельном случае стороны совместно определяют цель и способ обработки, к ней применяются правила о совместных контролёрах (ст. 43 ЗЗПЛ) с пропорциональным распределением ответственности. Стороны подтверждают, что каждая самостоятельно и независимо определяет цели и способ обработки для своих нужд, и что совместного определения целей и средств в смысле ст. 43 ЗЗПЛ нет, кроме прямо оговорённых случаев из ст. 2.3.

Статья 3 — Предмет, цели и виды обработки

3.1. Предмет, цели, виды данных, категории субъектов и сроки хранения — в Приложении А к этому DPA.

3.2. Обработка — только в указанных целях; иная обработка требует отдельного правового основания.

Статья 4 — Правовое основание

4.1. Основания: (a) исполнение договора с Покупателем (ст. 12 ч. 1 п. 2 ЗЗПЛ) — реализация Заказа, оплата, доставка; (b) законная обязанность (ст. 12 ч. 1 п. 3) — фискализация, бухучёт, рекламации, отказ; (c) согласие — для прямого маркетинга и необязательных обработок.

Статья 5 — Обязанности Продавца

5.1. Продавец обрабатывает данные Покупателей исключительно для исполнения Заказа и законных обязанностей (доставка, фискализация, рекламации, отказ).

5.2. Продавцу запрещено использовать данные Покупателей, полученные через Платформу, для своего прямого маркетинга, профилирования или продажи вне Платформы без отдельного законного согласия субъекта. Это дополняет ст. 4.9 основного Договора.

5.3. Продавец применяет надлежащие меры безопасности (ст. 8), обрабатывает только необходимые данные (минимизация), не хранит дольше необходимого.

5.4. Продавец без промедления передаёт Vondi любой запрос субъекта или Poverenik по данным, обрабатываемым через Платформу, для координации ответа.

Статья 6 — Обязанности Vondi

6.1. Vondi обеспечивает, чтобы Покупателям до Заказа давалась обязательная информация об обработке (политика приватности), включая данные о Продавце как получателе.

6.2. Vondi передаёт Продавцу только необходимые для Заказа данные и применяет меры безопасности (ст. 8).

Статья 7 — Права субъектов данных

7.1. Стороны обеспечивают права из ЗЗПЛ: доступ, исправление, удаление, ограничение, переносимость, возражение.

7.2. Каждая сторона отвечает по запросу в своей части обработки без промедления, максимум 30 дней. Если запрос затрагивает обе — стороны сотрудничают.

Статья 8 — Безопасность обработки

8.1. Стороны применяют технические и организационные меры соразмерно риску (ст. 50 ЗЗПЛ): контроль доступа по «need to know», шифрование при передаче и, где уместно, при хранении, псевдонимизация где возможно, резервные копии, журналирование доступа, процедуры реагирования на инциденты.

Статья 9 — Иные получатели и процессоры

9.1. Для исполнения Заказа привлекаются получатели/процессоры: служба доставки (Пошта Србије), провайдер фискализации (Cornerstone CXS — только при включённой опции автофискализации, ст. 10a основного Договора), платёжные провайдеры (PaySpot, AllSecure), хостинг. Каждая сторона обеспечивает соответствие своих процессоров ЗЗПЛ по письменному договору согласно ст. 45 ЗЗПЛ.

Статья 10 — Нарушение персональных данных

10.1. При нарушении данных сторона, у которой оно произошло, уведомляет Poverenik без промедления, максимум за 72 часа с момента, когда стало известно, кроме случаев, когда риск для прав субъектов маловероятен (ст. 53 ЗЗПЛ).

10.2. Сторона без промедления уведомляет другую сторону для координации. При высоком риске уведомляется и субъект данных (ст. 54 ЗЗПЛ).

Статья 11 — Трансграничная передача

11.1. Передача данных за пределы Сербии — только при наличии основания из ЗЗПЛ (адекватная защита, стандартные договорные положения или иная мера).

Статья 12 — Срок хранения и удаление

12.1. Данные хранятся столько, сколько нужно для цели; данные фискального и бухгалтерского учёта — в законный срок (10 лет по правилам бухучёта и фискализации). По истечении — удаление или анонимизация.

Статья 13 — Ответственность

13.1. Каждая сторона отвечает за свою обработку и возмещает другой стороне ущерб и штрафы от своего нарушения ЗЗПЛ/GDPR или этого DPA.

Статья 14 — Срок, право и подсудность

14.1. DPA действует в течение основного Договора; обязанности, продолжающиеся по своей природе (конфиденциальность, хранение, права субъектов), сохраняются после прекращения. Применяются ЗЗПЛ и GDPR; надзорный орган — Poverenik; споры — Privredni sud u Beogradu.

Статья 15 — Электронная подпись и доказательственная сила

15.1. Стороны согласованно принимают, что настоящий DPA и главный Договор, составной частью которого он является, вместе с приложениями, аннексами и уведомлениями заключаются и подписываются в электронном виде через платформу электронного подписания Documenso (sign.vondi.rs). Такую электронную подпись стороны признают действительной и обязывающей, имеющей то же правовое действие, что и собственноручная подпись, согласно принципу свободы формы (ст. 67 Закона об обязательственных отношениях) и Закону об электронном документе, электронной идентификации и услугах доверия в электронном ведении дел («Служебный вестник РС», № 94/2017 и 52/2021).

15.2. Ни одна из сторон не будет оспаривать действительность, факт заключения или исполнимость настоящего Договора исключительно по причине того, что он составлен, подписан или доставлен в электронном виде, либо потому, что не содержит собственноручной подписи или печати (ст. 50 указанного Закона).

15.3. Стороны принимают, что журнал подписания (audit trail) платформы Documenso — фиксирующий личность подписанта, адрес электронной почты и IP-адрес, с которых выполнено подписание, а также дату и время каждого действия — представляет собой достоверное и достаточное доказательство факта, содержания и времени подписания, а также личности подписавшего лица. Этот журнал имеет доказательственную силу в возможном споре, пока не доказано обратное.

15.4. Лицо, подписывающее настоящий Договор от имени Стороны, своей подписью лично гарантирует, что надлежащим образом уполномочено представлять эту Сторону и принимать обязательства по настоящему Договору, а также что адрес электронной почты, с которого оно осуществляет подписание, находится в его исключительном пользовании и под его контролем. За ущерб, возникший вследствие недостоверности этого заявления, отвечает подписавшее Договор лицо.

15.5. Положения настоящей статьи не применяются к документам, для которых закон прямо требует заверения подписи, нотариальной формы или иной особой формы; такие документы Стороны составляют и подписывают в предусмотренной законом форме.

ПРИЛОЖЕНИЕ А — Описание обработки

Подписи