Соглашение об обработке персональных данных

Настоящее Соглашение об обработке персональных данных («Соглашение об ОПД») заключено между организацией, указанной в качестве Контролёра в применимом заказе или договоре на оказание услуг («Контролёр»), и компанией PZX (CNPJ: 62.054.402/0001-26), зарегистрированной в штате Сан-Паулу, Бразилия («Оператор»), и является неотъемлемой частью договора, регулирующего использование Konn («Договор»).

1. Определения

«Персональные данные» означают любую информацию, относящуюся к определённому или поддающемуся определению физическому лицу, как это установлено бразильским Общим законом о защите персональных данных (LGPD — Закон № 13.709/2018).

«Обработка» означает любую операцию с Персональными данными, включая сбор, хранение, использование, доступ, передачу и удаление.

«Контролёр» означает физическое или юридическое лицо, обладающее полномочиями принимать решения об Обработке Персональных данных.

«Оператор» означает физическое или юридическое лицо, которое обрабатывает Персональные данные от имени Контролёра, по его указаниям.

«Субъект данных» означает физическое лицо, к которому относятся Персональные данные.

«Субоператор» означает любое третье лицо, привлечённое Оператором для обработки Персональных данных от имени Контролёра.

«Услуги» означают платформу Konn и любые связанные с ней функции, предоставляемые PZX по Договору.

2. Предмет и характер отношений

Настоящее Соглашение об ОПД регулирует обработку Персональных данных компанией PZX в качестве Оператора, от имени Контролёра, в связи с предоставлением Услуг.

Контролёр определяет цели и способы обработки. PZX обрабатывает Персональные данные исключительно для предоставления и работы Услуг, в соответствии с указаниями Контролёра, изложенными в настоящем Соглашении об ОПД и в Договоре.

3. Характер, цель и срок обработки

Характер: хранение, организация, индексация, семантическая обработка, извлечение и отображение контента, предоставленного Контролёром и его уполномоченными пользователями.

Цель: предоставление платформы Konn, включая управление документами, граф знаний, семантический поиск и функции на основе ИИ.

Срок: на протяжении срока действия Договора. По его завершении применяются положения Раздела 12.

4. Категории персональных данных и субъектов данных

Категории Персональных данных, обрабатываемых по настоящему Соглашению об ОПД, зависят от контента, предоставляемого Контролёром. Они могут включать, помимо прочего:

• Идентификационные и контактные данные: имена, адреса электронной почты и профессиональная информация пользователей Контролёра, а также любых лиц, упомянутых в загруженном контенте;

• Организационные данные: структура команд, роли и внутренняя переписка;

• Данные контента: документы, заметки и записи базы знаний, которые могут содержать Персональные данные о сотрудниках, клиентах или третьих лицах Контролёра.

Контролёр признаёт, что PZX не может контролировать или предвидеть категории Персональных данных, содержащихся в контенте, загружаемом в Услуги. Контролёр несёт ответственность за то, чтобы все Персональные данные, передаваемые в Услуги, имели законное основание для обработки в соответствии с применимым правом.

Субъектами данных являются прежде всего сотрудники и уполномоченные пользователи Контролёра, а также потенциально третьи лица, чьи данные содержатся в контенте, загруженном Контролёром.

5. Обязанности Оператора

PZX, выступая в качестве Оператора, обязуется:

5.1 Следовать указаниям: обрабатывать Персональные данные только на основании документированных указаний Контролёра, за исключением случаев, когда иное требуется применимым правом. PZX уведомит Контролёра, если сочтёт, что указание нарушает применимое право, прежде чем приступить к его исполнению.

5.2 Конфиденциальность: обеспечивать, чтобы уполномоченный персонал, обрабатывающий Персональные данные, был связан обязательствами о конфиденциальности.

5.3 Безопасность: внедрять и поддерживать надлежащие технические и организационные меры по защите Персональных данных, как описано в Разделе 8.

5.4 Субоператоры: привлекать Субоператоров только в соответствии с Разделом 7.

5.5 Права субъектов данных: оказывать Контролёру содействие в удовлетворении запросов субъектов данных, как описано в Разделе 9.

5.6 Удаление: удалять или возвращать Персональные данные по окончании действия Договора, как описано в Разделе 12.

5.7 Аудит: предоставлять информацию, необходимую для подтверждения соблюдения настоящего Соглашения об ОПД, как описано в Разделе 11.

5.8 Уведомление об инцидентах: уведомлять Контролёра без неоправданной задержки, но не позднее чем через 72 часа с момента, когда PZX стало известно о любом подтверждённом инциденте безопасности, затрагивающем Персональные данные, обрабатываемые по настоящему Соглашению об ОПД. Уведомление будет содержать характер инцидента, категории и приблизительное число затронутых субъектов данных, вероятные последствия, а также принятые или предлагаемые меры.

6. Обязанности Контролёра

Контролёр обязуется:

6.1 Законное основание: обеспечивать, чтобы все Персональные данные, передаваемые в Услуги, имели законное основание для обработки в соответствии с применимым правом, включая данные о третьих лицах, загружаемые в составе документов или материалов базы знаний.

6.2 Точность: предоставлять точные и актуальные указания и обеспечивать, чтобы передаваемые Персональные данные были достаточными и относящимися к заявленной цели.

6.3 Права субъектов данных: обрабатывать запросы субъектов данных, адресованные Контролёру, и координировать действия с PZX в случаях, когда требуется содействие Оператора.

6.4 Соблюдение законодательства: соблюдать всё применимое законодательство о защите персональных данных в качестве Контролёра, включая получение необходимых согласий субъектов данных.

7. Субоператоры

7.1 Действующие субоператоры

Контролёр уполномочивает PZX привлекать следующих Субоператоров в связи с предоставлением Услуг:

7.2 Будущие субоператоры

PZX может привлекать дополнительных поставщиков ИИ-моделей (включая, без ограничений, поставщиков услуг реранжирования, эмбеддинга или обработки аудио) по мере развития Услуг. PZX уведомит Контролёра о планируемом добавлении или замене Субоператоров не менее чем за 30 дней.

Контролёр вправе возразить против нового Субоператора на обоснованных основаниях, связанных с защитой данных, уведомив PZX в письменной форме в течение 15 дней с момента получения уведомления. Если стороны не могут урегулировать возражение, Контролёр вправе расторгнуть Договор без штрафных санкций, направив письменное уведомление за 30 дней.

7.3 Обязанности субоператоров

PZX возлагает на всех Субоператоров обязательства по защите данных, эквивалентные изложенным в настоящем Соглашении об ОПД. PZX остаётся ответственной перед Контролёром за выполнение обязательств Субоператорами.

8. Меры безопасности

PZX применяет следующие технические и организационные меры по защите Персональных данных:

• Шифрование данных при передаче (TLS) и в состоянии покоя;

• Изоляция клиентов — данные каждого Контролёра логически отделены от данных других клиентов;

• Ролевое разграничение доступа, ограничивающее доступ уполномоченным сотрудникам;

• Мониторинг безопасности и ведение журналов;

• Регулярная проверка прав доступа.

PZX вправе обновлять эти меры с течением времени при условии, что такие обновления существенно не снижают общий уровень защиты.

9. Права субъектов данных

PZX окажет Контролёру содействие в исполнении его обязательств по удовлетворению запросов субъектов данных в соответствии с применимым правом, включая запросы на доступ, исправление, удаление, переносимость данных и возражение против обработки.

Контролёр несёт ответственность за приём и первичную оценку запросов субъектов данных. В случаях, когда исполнение запроса требует действий со стороны PZX, Контролёр направляет запрос в PZX через канал связи, указанный в Разделе 15. PZX ответит в течение 15 рабочих дней.

10. Международная передача данных

Персональные данные, обрабатываемые по настоящему Соглашению об ОПД, могут передаваться в страны за пределами Бразилии, в том числе в США и Великобританию, где работают Субоператоры PZX, и обрабатываться там. Такая передача осуществляется на основании надлежащих договорных гарантий в соответствии со статьёй 33 LGPD.

Для Контролёров, подпадающих под действие GDPR, передача данных Субоператорам за пределами Европейской экономической зоны регулируется применимыми механизмами передачи, включая Стандартные договорные положения, если это требуется.

11. Право на аудит

По письменному запросу Контролёра PZX предоставит информацию, разумно необходимую для подтверждения соблюдения настоящего Соглашения об ОПД. PZX вправе исполнить данное обязательство, предоставив актуальные сертификаты, документацию по безопасности или сводные отчёты по аудиту.

Контролёр вправе запросить проведение выездного аудита не чаще одного раза в календарный год, направив письменное уведомление не менее чем за 30 дней, за свой счёт. Любой аудит должен проводиться таким образом, чтобы не нарушать работу PZX и не ставить под угрозу безопасность или конфиденциальность данных других клиентов.

12. Срок действия, расторжение и удаление данных

Настоящее Соглашение об ОПД действует в течение всего срока действия Договора.

По завершении или расторжении Договора:

• У Контролёра будет 30 дней на экспорт своих данных из Услуг;

• По истечении этого срока PZX удалит все Персональные данные, обрабатываемые по настоящему Соглашению об ОПД, в течение 30 дней, включая копии, хранящиеся у Субоператоров, если это технически возможно;

• PZX предоставит письменное подтверждение удаления по запросу Контролёра;

• PZX вправе сохранять Персональные данные по истечении указанного срока исключительно в той мере, в какой это требуется применимым правом; в этом случае такие данные остаются под действием обязательств о конфиденциальности, предусмотренных настоящим Соглашением об ОПД.

13. Ответственность

Ответственность каждой стороны по настоящему Соглашению об ОПД подчиняется ограничениям, установленным в Договоре. Ничто в настоящем Соглашении об ОПД не ограничивает ответственность какой-либо стороны по обязательствам, которые не могут быть исключены или ограничены в соответствии с применимым законодательством о защите данных.

14. Применимое право

Настоящее Соглашение об ОПД регулируется законодательством Федеративной Республики Бразилия, в частности LGPD (Закон № 13.709/2018). Любые споры, возникающие из настоящего Соглашения об ОПД, которые не могут быть урегулированы мирным путём, подлежат рассмотрению в судах округа Сан-Паулу, штат Сан-Паулу.

15. Контакты

По вопросам, связанным с настоящим Соглашением об ОПД, запросами субъектов данных или инцидентами безопасности:

• Эл. почта: privacy@pzx.app

• Сайт: pzx.app

Специалист по защите данных:

• Имя: Filipe Albuquerque Brauns Cazelgrandi

• Эл. почта: filipe@pzx.app

Приложение А — Детали обработки

Настоящее приложение дополняет Раздел 3 и может обновляться по взаимному письменному соглашению сторон в связи с изменениями в Услугах.