Соглашение об обработке персональных данных — DPA
Последнее обновление: 29 сентября 2026
1. Стороны и назначение
Поставщик инфраструктуры — AdaptGroup LLC, компания, зарегистрированная в штате Вайоминг, США, регистрационный номер 2026-002012463. Адрес: 30 N Gould St Ste R, Sheridan, WY 82801, USA.
Настоящее соглашение определяет обработку персональных данных, которые клиент размещает на виртуальных машинах и выделенных серверах AdaptGroup. Оно дополняет общие условия инфраструктуры и применяется независимо от оформления услуги через Cloud Bots, Cloud API или партнёра.
Клиент определяет цели использования размещённых данных, а AdaptGroup обрабатывает их от его имени при предоставлении инфраструктуры. В терминологии GDPR это отношения ответственного за обработку (controller) и обработчика (processor). Если клиент сам обрабатывает данные по поручению другого лица, AdaptGroup выступает последующим обработчиком (subprocessor). Клиент обеспечивает необходимые полномочия для такого привлечения.
Заказ через партнёра сам по себе не определяет роли сторон. Они зависят от того, кто принимает решения об обработке и от чьего имени предоставлена услуга. Уведомления и поручения передаются по согласованной договорной цепочке.
Соглашение не заменяет политику конфиденциальности для данных учётной записи, расчётов и обращений в поддержку, которые AdaptGroup использует для собственных целей. Назначение технических журналов также учитывается при определении роли AdaptGroup; не все журналы автоматически относятся к данным, обрабатываемым по поручению клиента.
2. Какие данные и операции охватываются
| Параметр | Содержание поручения |
|---|---|
| Предмет | Персональные данные в системах и приложениях клиента на арендованных ресурсах |
| Цель | Предоставление вычислительных ресурсов, хранения и сетевого обмена для задач клиента |
| Операции | Хранение, передача, техническое перемещение и удаление данных; доступ для согласованной поддержки |
| Люди, к которым относятся данные | Пользователи, клиенты, сотрудники, представители и другие лица, данные которых клиент правомерно размещает в своих системах |
| Возможные категории данных | Контактные и учётные данные, идентификаторы, IP-адреса, сведения о действиях пользователей, содержимое файлов, баз данных и переписки — в зависимости от приложения клиента |
| Продолжительность | Период предоставления услуги и последующее завершение обработки по разделу 9 |
Фактический состав данных и круг лиц определяются задачами клиента. Клиент сообщает сведения, необходимые для описания поручения и выбора мер защиты, без передачи избыточного содержимого своих систем. При необходимости стороны уточняют описание в заказе или отдельном приложении.
Медицинские, биометрические и иные чувствительные персональные данные не запрещены только в силу их категории. Клиент обеспечивает законность обработки и необходимые настройки своей системы; AdaptGroup выполняет собственные обязанности по защите инфраструктуры. Обычная аренда VPS или выделенного сервера не означает автоматического соответствия всем требованиям медицинских, финансовых или иных регулируемых систем. Дополнительные требования согласовываются до размещения таких данных.
3. Поручения клиента и доступ
AdaptGroup использует размещённые данные только для выполнения документированных поручений клиента. Такими поручениями могут быть условия заказа, авторизованные команды в сервисе или API и обращения уполномоченного представителя в поддержку. AdaptGroup не использует содержимое клиентских систем для собственной рекламы или продажи данных.
Сотрудники не просматривают содержимое ОС, файлов и баз данных клиента в обычном порядке обслуживания. Для помощи внутри ОС требуется явное документированное разрешение клиента с указанием задачи. Доступ ограничивается необходимым объёмом и прекращается после выполнения задачи.
Работа с гипервизором, состоянием ресурсов, техническими журналами и сетевыми показателями для эксплуатации и защиты инфраструктуры не даёт безусловного права читать содержимое клиентских файлов или переписки. Расследование угроз начинается с необходимых технических сведений. Доступ к содержимому требует отдельного поручения либо конкретного законного основания.
Если поручение, по оценке AdaptGroup, нарушает применимые правила защиты данных, AdaptGroup сообщает клиенту и приостанавливает спорную операцию до уточнения. Это не означает автоматического отключения всего ресурса.
Требования государственных органов проверяются на предмет полномочий, обязательности и допустимого объёма раскрытия. Клиент уведомляется до раскрытия, если закон не запрещает уведомление. Иностранное требование само по себе не заменяет условия допустимой международной передачи данных.
4. Конфиденциальность и защита
AdaptGroup обеспечивает обязательства конфиденциальности для лиц, допущенных к обработке, и ограничивает доступ их рабочими задачами. Меры защиты выбираются с учётом характера данных и рисков для людей.
Зона ответственности AdaptGroup включает защиту оборудования и виртуализации, разграничение административного доступа, изоляцию ресурсов клиентов, обслуживание инфраструктуры и реагирование на инциденты. Конкретные технические и организационные меры должны быть описаны в приложении к опубликованному соглашению; они не подменяются общей фразой о безопасности.
Клиент отвечает за учётные записи, приложения, обновления и правила доступа внутри своей ОС, законность обработки, а также резервное копирование. Это распределение не освобождает AdaptGroup от ответственности за собственную обработку и инфраструктуру.
Автоматические резервные копии клиентских серверов в стандартную услугу не входят. Клиент самостоятельно организует копирование и проверку восстановления. Наличие отдельных технических копий при обслуживании не означает предоставления услуги резервного копирования.
5. Другие обработчики
Привлечение другой организации к обработке клиентских данных требует предварительного письменного разрешения клиента — конкретного либо общего. При общем разрешении AdaptGroup заранее сообщает о добавлении или замене обработчика и предоставляет возможность обоснованно возразить до начала его обработки.
С привлечённым обработчиком закрепляются соответствующие обязанности по защите данных. AdaptGroup остаётся ответственной перед клиентом за исполнение переданных ему обязанностей.
Перечень должен содержать юридическое лицо, функцию и страны обработки. Само упоминание дата-центра или поставщика оборудования не определяет его роль: она зависит от фактических операций и доступа к данным.
Для этой редакции перечень и процедура изменения ещё не утверждены; общего разрешения на любых неизвестных подрядчиков настоящая редакция не устанавливает.
6. Место обработки и международные передачи
Локация сервера определяется заказом. Она не означает, что все административные операции, обращения в поддержку и обработка служебных сведений происходят исключительно в той же стране. Страны хранения и возможного доступа должны быть раскрыты для соответствующей услуги.
Передачи, подпадающие под ограничения применимого законодательства, осуществляются только при наличии необходимых оснований и гарантий. Если применим GDPR, выбор сервера в Европе сам по себе не разрешает последующий доступ из третьих стран или передачу другой организации за пределами ЕЭЗ.
Настоящий DPA не заменяет стандартные договорные положения о международной передаче данных (SCC) и необходимую оценку передачи. Механизм, состав участников и дополнительные меры определяются отдельно до соответствующей передачи. Соглашение не заявляет участие AdaptGroup в какой-либо программе сертификации.
7. Нарушение безопасности персональных данных
AdaptGroup уведомляет клиента или соответствующего партнёра без промедления, не позднее 24 часов после того, как ей стало известно о нарушении безопасности персональных данных, затрагивающем данные по этому соглашению. Нарушение включает не только утечку, но и неправомерное уничтожение, потерю, изменение или доступ к данным.
Первичное уведомление содержит известные обстоятельства, затронутые ресурсы, предполагаемые последствия, принятые меры и контакт для дальнейшего взаимодействия. Категории и примерный объём затронутых данных и лиц сообщаются, если установлены. Недостаток сведений не является причиной ждать завершения расследования: информация дополняется по мере получения.
AdaptGroup принимает меры по локализации инцидента, сохраняет необходимые сведения для расследования и помогает клиенту оценить последствия. Партнёр передаёт уведомление соответствующему заказчику без промедления.
Уведомление надзорных органов и людей выполняет сторона, на которую возложена соответствующая обязанность законом. AdaptGroup предоставляет имеющиеся сведения и содействие; установленный здесь срок не продлевает обязательные сроки клиента.
8. Запросы, содействие и проверки
Обращения по персональным данным принимаются на [email protected]. Дополнительный канал поддержки — @adapt_support. В обращении достаточно указать услугу, содержание запроса и контакт уполномоченного лица; пароли и выгрузки клиентских баз присылать без необходимости не следует.
Если человек обращается непосредственно в AdaptGroup по поводу данных в системе клиента, AdaptGroup передаёт запрос клиенту или соответствующему партнёру. Содержимое клиентской системы не раскрывается заявителю без проверки полномочий и поручения, кроме случаев обязательного требования закона.
С учётом характера обработки и доступной информации AdaptGroup помогает выполнять запросы людей, оценку воздействия на защиту данных и необходимые консультации с надзорным органом.
AdaptGroup предоставляет информацию, необходимую для подтверждения исполнения соглашения, и содействует проверкам, включая инспекции клиентом или уполномоченным им аудитором. Порядок проверки согласовывается с учётом безопасности работающих услуг и конфиденциальности других клиентов; эти ограничения не должны лишать клиента возможности проверить выполнение обязательств.
9. Завершение обработки
По завершении услуги клиент выбирает возврат данных с последующим удалением оставшихся копий либо удаление. Клиент может самостоятельно выгрузить данные в период доступа к ресурсу; если требуется содействие AdaptGroup, его необходимо запросить до предусмотренного условиями удаления. Возврат уже удалённых данных не обещается.
Согласованные сроки услуги сохраняются: неоплаченная ВМ подлежит удалению по истечении 24 часов просрочки. Для выделенного сервера по истечении этого срока прекращается аренда, затем администратор выполняет сброс и подготовку. Это не обещание физического стирания всех носителей ровно через 24 часа. Дополнительный период хранения этим соглашением не предоставляется.
AdaptGroup обеспечивает удаление данных, оставшихся у неё и привлечённых обработчиков, и не передаёт ресурс новому клиенту с доступными данными предыдущего. Метод и сроки очистки носителей, технических копий и журналов фиксируются отдельно. Удаление записи о ВМ само по себе не является подтверждением необратимого стирания носителя.
Если применимое право требует сохранить определённые данные, хранение ограничивается необходимым составом, целью и сроком. До удаления сохраняются конфиденциальность и ограничения доступа. Хранение расчётных документов для собственных законных целей не означает право бессрочно хранить содержимое сервера клиента.
10. Соотношение с другими условиями
В вопросах обработки персональных данных по поручению клиента применяется настоящее соглашение; сроки аренды и управление ресурсом определяются общими условиями инфраструктуры. Обязательные требования закона и действующие для сторон положения о международных передачах имеют приоритет. AUP и правила прекращения обслуживания не отменяют обязательства по защите и завершению обработки данных.