Соглашение об обработке данных

Настоящее соглашение является частью Условий использования sild (sild.cloud/terms). Оно применяется всякий раз, когда sild обрабатывает персональные данные по поручению клиента, как того требует статья 28 GDPR (Регламент (ЕС) 2016/679).

Контролёр: клиент, подключивший магазин к sild («вы»).
Обработчик: Illia Kirieiev, NIP 8513342075, ul. Małe Błonia 31/2, 71-779 Szczecin, Польша («мы»).

Если настоящее соглашение и Условия противоречат друг другу в вопросах защиты данных, преимущественную силу имеет настоящее соглашение.

1. Предмет и срок действия

Мы обрабатываем персональные данные, чтобы предоставлять Сервис, описанный в Условиях. Обработка описана в Приложении 1. Настоящее соглашение действует, пока мы обрабатываем персональные данные по вашему поручению.

2. Ваши указания

Мы обрабатываем персональные данные только по вашим документально оформленным указаниям. Вашими указаниями являются настоящие условия, настройки, которые вы выбираете в Плагине, и запросы, которые вы направляете нам в письменной форме.
Если указание, по нашему мнению, нарушает законодательство о защите данных, мы сообщаем вам об этом и вправе отказаться его выполнять.
Если право ЕС или государства-члена обязывает нас обрабатывать данные иначе, мы заранее сообщаем вам об этом, если только это право не запрещает такое уведомление.

3. Конфиденциальность

Доступ к данным имеют только лица, которым они нужны для работы Сервиса. Они обязаны соблюдать конфиденциальность.

4. Безопасность

Мы принимаем технические и организационные меры, указанные в Приложении 2 (sild.cloud/security). Со временем мы можем их совершенствовать, но не снизим общий уровень защиты.

5. Субпроцессоры

Вы даёте общее разрешение на привлечение субпроцессоров, перечисленных на sild.cloud/subprocessors.
Мы уведомляем вас по электронной почте не менее чем за 30 дней до того, как добавим или заменим субпроцессора. Если вы возражаете по обоснованным причинам, связанным с защитой данных, и мы не можем решить вопрос, вы вправе прекратить договор до вступления изменения в силу и получить обратно предоплату за неиспользованный период.
Каждый субпроцессор связан условиями о защите данных, обеспечивающими защиту не ниже настоящих. Мы остаёмся ответственными перед вами за их работу.

6. Передача за пределы ЕЭЗ

Мы передаём персональные данные за пределы ЕЭЗ только при наличии действительной гарантии согласно главе V GDPR, например решения о достаточности уровня защиты (включая Рамочную программу ЕС–США по защите данных) или стандартных договорных положений.

7. Содействие вам

Запросы физических лиц. Если покупатель обращается напрямую к нам, мы пересылаем запрос вам и сами на него не отвечаем. Мы помогаем вам отвечать на запросы о доступе, исправлении, удалении и об осуществлении других прав по GDPR. Большая часть данных также хранится в вашем магазине WooCommerce и в вашей компании в Merit, где вы можете работать с ними напрямую.
Другие обязанности. Мы предоставляем вам информацию, которая обоснованно необходима вам для оценки воздействия на защиту данных и для консультаций с надзорным органом.

8. Нарушения безопасности персональных данных

Мы уведомляем вас без неоправданной задержки и в любом случае в течение 48 часов после того, как нам стало известно о нарушении, затрагивающем ваши данные. Мы сообщаем то, что нам известно: что произошло, какие данные и лица затронуты, вероятные последствия и какие меры мы приняли. По мере получения новых сведений мы направляем дополнения.

9. Окончание обработки

Когда магазин отключается, он перестаёт передавать данные. Когда отключается последний магазин аккаунта, мы сразу удаляем API-ключ Merit.
В течение 30 дней после прекращения договора мы удаляем оставшиеся персональные данные, если закон не обязывает нас их хранить. Зашифрованные резервные копии перезаписываются в течение следующих 14 дней.
Документы, созданные Сервисом, уже находятся в вашей компании в Merit и остаются там. По вашему запросу, сделанному до прекращения договора, мы экспортируем записи синхронизации вашего аккаунта.

10. Аудиты

По запросу мы предоставляем вам информацию, необходимую для подтверждения того, что мы соблюдаем настоящее соглашение.
Если этого недостаточно, вы или независимый аудитор, связанный обязательством о конфиденциальности, можете провести у нас аудит один раз в год с уведомлением за 30 дней, за ваш счёт и без доступа к данным других клиентов.

11. Ответственность

Ответственность по настоящему соглашению определяется Условиями использования, за исключением случаев, когда GDPR не допускает её ограничения.

Приложение 1. Описание обработки

Субъекты данных

Покупатели вашего магазина (физические лица и контактные лица компаний).
Ваши сотрудники, чьи адреса электронной почты вы указываете для уведомлений.

Персональные данные

Имя покупателя, название компании, адрес электронной почты, номер телефона, платёжный адрес, страна доставки.
Регистрационный код компании, номер НДС и результат его проверки в реестре ЕС VIES.
Содержимое заказа: товары, количество, цены, скидки, налоги, способ оплаты, даты заказа, возвраты, ID клиента в WordPress.
Данные, считываемые из вашей компании в Merit: клиенты, счета продажи, кредитные счета, оплаты, товары и остатки.
Адреса электронной почты для уведомлений.

Обработка специальных категорий данных (ст. 9 GDPR) не предполагается. Не вносите их в поля заказа, которые попадают в sild.

Что мы с ними делаем

Получаем события заказов из вашего магазина и храним их в зашифрованном виде.
Формируем счета продажи, кредитные счета и оплаты и создаём их в вашей компании в Merit (рабочий режим).
Читаем ваши данные в Merit, чтобы сравнивать результаты (режим проверки), избегать дублей, находить оплаты, проверять, что счета всё ещё существуют, и считывать остатки.
Проверяем номера НДС в реестре ЕС VIES, если этого требуют ваши настройки.
Отправляем вам письма о сбоях и ежедневных проверках.

Сроки хранения

Данные заказов и возвратов: удаляются через 60 дней после последнего изменения завершённого заказа.
Записи синхронизации (номер заказа, состояние, номера документов в Merit, суммы, даты): пока существует аккаунт, далее — как указано в разделе 9.
API-ключ Merit: до отключения последнего магазина аккаунта.
Резервные копии: до 14 дней.

Место обработки

Серверы в Польше (ЕС). Субпроцессоры — согласно списку на sild.cloud/subprocessors.

Приложение 2. Меры безопасности

См. sild.cloud/security. Применяется редакция, действовавшая на момент принятия настоящего соглашения, с последующими улучшениями.

Приложение 3. Субпроцессоры

См. sild.cloud/subprocessors.