Стандартные договорные положения
1. Что это за документ и когда он применяется
1.1. Это Приложение 5 к Договору с дистрибьютором — Приложения I и II к Стандартным договорным положениям, утверждённым Имплементационным решением Комиссии (ЕС) 2021/914 от 4 июня 2021 года.
1.2. Оно применяется, если Заказчик имеет местонахождение в Европейском Союзе или Европейском экономическом пространстве либо передаёт Исполнителю персональные данные лиц, находящихся в ЕС (пункт 13.7 Договора с дистрибьютором). В остальных случаях передача регулируется разделом 12 Политики конфиденциальности и статьёй 29 Закона Украины «О защите персональных данных» № 2297-VI.
1.3. Модуль 1 — передача от владельца к владельцу. Каждая из Сторон самостоятельно определяет цель и средства обработки и является самостоятельным владельцем данных; ни одна не действует по поручению другой. Это соответствует распределению ролей по пункту 13.1 Договора с дистрибьютором.
1.4. Сам текст Положений здесь не приводится и не изменяется. Пункт 2 Положений запрещает их изменять, а официальный текст на всех языках ЕС обнародован в Официальном вестнике Европейского Союза (Implementing Decision (EU) 2021/914, OJ L 199, 7.6.2021, p. 31). Стороны применяют его без изменений. Здесь приведены только Приложения — та часть, которую Стороны заполняют сами и без которой Положения не действуют.
1.5. Приложения III нет. В Дополнении к Положениям Приложение III называется «Перечень субпроцессоров» и применяется только к модулям 2 и 3. К модулю 1 оно не применяется: действующими для него являются Приложения I и II.
1.6. Право и суд. Согласно пунктам 17 и 18 Положений Стороны выбирают право Республики Польша и суды Республики Польша. Пункты 21.1 и 21.3 Договора с дистрибьютором к самим Положениям не применяются. В части, охваченной Положениями, они имеют преимущество над Договором с дистрибьютором (пункт 5 Положений).
1.7. Основание применения. В отношении Украины отсутствует решение Европейской Комиссии о надлежащем уровне защиты в смысле статьи 45 Регламента (ЕС) 2016/679, поэтому передача осуществляется на основании надлежащих гарантий по пункту «c» части второй статьи 46 Регламента.
2. Приложение I
A. Перечень сторон
Экспортёр данных — Заказчик. Наименование, адрес, имя и контактные данные ответственного лица, а также роль указываются в Заявке на заключение Договора с дистрибьютором и составляют часть настоящего Приложения с момента заключения Договора.
| Позиция | Сведения |
|---|---|
| Роль | Владелец данных (controller) |
| Действия, охваченные передачей | Заказ операций с доменными именами в интересах собственных клиентов и регистрантов — раздел 3 ниже |
| Подпись и дата | Заключение Договора с дистрибьютором в порядке его раздела 5 |
Импортёр данных — Исполнитель.
| Позиция | Сведения |
|---|---|
| Наименование, адрес и регистрационные данные | Приведены на странице Реквизиты |
| Контактное лицо по вопросам защиты данных | Адрес для обращений по персональным данным — пункт 1.3 Политики конфиденциальности |
| Роль | Владелец данных (controller) |
| Действия, охваченные передачей | Выполнение операций с доменными именами в регистрационных системах операторов реестров — раздел 3 ниже |
| Подпись и дата | Заключение Договора с дистрибьютором в порядке его раздела 5 |
B. Описание передачи
| Позиция | Сведения |
|---|---|
| Категории субъектов данных | Регистранты доменных имён и указанные ими контактные лица (административный, технический и финансовый контакты); работники и уполномоченные лица Заказчика, пользующиеся Личным кабинетом или техническими каналами |
| Категории персональных данных | Имя и фамилия либо наименование; адрес; адрес электронной почты; номер телефона; идентификатор контакта в реестре; сведения о доменных именах и операциях с ними; для представителей Заказчика — имя, служебный адрес электронной почты, идентификатор учётной записи и журналы доступа |
| Чувствительные данные | Не передаются. Договор с дистрибьютором запрещает передавать Исполнителю особые категории данных по статье 9 Регламента (ЕС) 2016/679 и данные о судимости по статье 10 |
| Периодичность передачи | Постоянно, по мере подачи Заявок |
| Характер обработки | Приём, проверка, передача в регистрационную систему оператора реестра, хранение, обнародование в пределах, установленных регламентами зоны, исправление и удаление |
| Цель передачи | Выполнение операций с доменными именами; ведение расчётов; исполнение обязанностей регистратора перед операторами реестров и администраторами публичных доменов; рассмотрение доменных споров |
| Срок хранения | Сроки приведены в разделе 7 Политики конфиденциальности. Сроки хранения в реестре устанавливает оператор реестра, и Исполнитель не может их изменить |
| Дальнейшие передачи | Получатели перечислены в разделе 4 Политики конфиденциальности. Операторы реестров и администраторы публичных доменов зарегистрированы в Украине (пункт 12.1 той же Политики) |
C. Компетентный надзорный орган
Надзорный орган государства — члена ЕС, в котором имеет местонахождение экспортёр данных (Заказчик), либо, если Заказчик местонахождения в ЕС не имеет, — надзорный орган государства-члена, в котором имеет местонахождение его представитель по статье 27 Регламента (ЕС) 2016/679; при отсутствии и того, и другого — надзорный орган государства-члена, в котором находятся субъекты данных, чьи данные передаются (пункт 13 Положений). Конкретный орган указывается в Заявке на заключение Договора с дистрибьютором.
3. Приложение II. Технические и организационные меры
Меры, которые Исполнитель применяет как импортёр данных. Перечень является исчерпывающим по состоянию на редакцию, указанную в заголовке.
| Мера | Как реализовано |
|---|---|
| Псевдонимизация и шифрование | Соединения с регистрационными системами — по протоколу EPP over TLS со взаимной аутентификацией по сертификатам. Веб-сайт и Личный кабинет — исключительно по протоколу HTTPS. Резервные копии шифруются перед записью |
| Обеспечение конфиденциальности систем | Доступ к Личному кабинету — по учётной записи и паролю; сессия ограничена по времени бездействия, попытки входа ограничены по частоте. Доступ к серверам — исключительно по криптографическим ключам; аутентификация по паролю отключена. Доступ к регистрационным системам — по учётным данным регистратора, которые хранятся вне кода приложения |
| Обеспечение целостности систем | Каждая операция записывается в журнал с неизменяемым идентификатором; изменения сведений о доменном имени и контакте хранятся в истории объекта. Изменения настроек фиксируются в снимках с цепочкой хешей |
| Обеспечение доступности и восстановления | Резервное копирование ежедневно в зашифрованном виде; непрерывное архивирование журналов транзакций базы данных; восстановление на произвольный момент времени проверяется учебным восстановлением из фактической резервной копии |
| Регулярная проверка эффективности мер | Автоматические проверки конфигурации и секретов перед каждым развёртыванием; регулярный просмотр журналов и показателей; проверка восстановления из резервной копии |
| Идентификация и предоставление доступа | Отдельная учётная запись для каждого пользователя; учётные записи не общие; права предоставляются по роли и пересматриваются при её изменении |
| Защита данных при передаче | См. строку о шифровании. Для домена, с которого отправляется исходящая корреспонденция, опубликованы политики аутентификации отправителя SPF (с запретом отправки из любых других источников) и DMARC (карантин для сообщений, не прошедших проверку) |
| Защита данных при хранении | Данные хранятся в базе данных на сервере, размещённом в Украине; резервные копии хранятся в зашифрованном виде |
| Физическая безопасность | Оборудование размещается в центре обработки данных поставщика услуг размещения; физический доступ обеспечивает поставщик |
| Журналирование событий | Каждая операция, каждая команда к регистрационной системе и каждый вход в Личный кабинет записываются с меткой времени и идентификатором источника |
| Конфигурация систем по умолчанию | Извне открыты только те службы, которые должны быть доступны; остальное закрыто по умолчанию |
| Управление и безопасность информационных систем | Изменения вносятся через систему контроля версий с проверками перед развёртыванием; развёртывание можно откатить к предыдущей версии |
| Сертификация и обеспечение качества | Исполнитель не имеет сертификации по ISO/IEC 27001 и подобным стандартам и на неё не ссылается |
| Минимизация данных | Исполнитель собирает только те сведения, которых требуют регламенты зоны и законодательство; перечень приведён в разделе 2 Политики конфиденциальности |
| Качество данных | Сведения о регистранте передаются в реестр в том виде, в котором их подал Заказчик; порядок исправления приведён в разделе 8 той же Политики |
| Ограниченное хранение | Сроки хранения приведены в разделе 7 той же Политики |
| Подотчётность | Исполнитель ведёт учёт обработки и уведомляет Заказчика об инцидентах безопасности в течение 24 часов с момента выявления (пункт 13.6 Договора с дистрибьютором) |
| Перенос данных и удаление | Порядок передачи доменных имён другому регистратору приведён в Договоре с дистрибьютором; удаление данных — в разделе 8 Политики конфиденциальности |
4. Изменения
4.1. Эти Приложения изменяются в порядке, установленном разделом 18 Договора с дистрибьютором.
4.2. Все предыдущие редакции сохраняются и доступны в архиве редакций.