DSGVO и Auftragsverarbeitung

Ваша роль и наша

Когда вы пользуетесь Zvitly, встречаются две роли. В отношении данных ваших собственных клиентов, поставщиков и сотрудников вы являетесь Verantwortlicher (распорядитель) в смысле Art. 4 Z 7 DSGVO: вы решаете, какие данные собирать и зачем. Zvitly в отношении этих данных — Auftragsverarbeiter (обработчик) по Art. 4 Z 8 DSGVO: мы храним и обрабатываем их исключительно по вашим указаниям и никогда в собственных целях.

Это разграничение — не формальность. Оно определяет, кто должен ответить на запрос о доступе, кто уведомляет надзорный орган об утечке и кто за это отвечает. Коротко: в отношении данных внутри вашего кабинета Zvitly за рулём вы, мы — двигатель.

Строки 2 и 3 описывает не эта страница, а Datenschutzerklärung (политика конфиденциальности). Datenschutzerklärung

Договор об обработке (AVV)

Art. 28 Abs 3 DSGVO требует, чтобы любая обработка по поручению основывалась на договоре. Без него уже само пользование является нарушением — причём вашим, а не нашим, поскольку эта обязанность возложена на распорядителя. Поэтому Auftragsverarbeitungsvertrag (AVV, в международной практике DPA) — не дополнительная услуга, а условие пользования.

Как заключить его с нами

1. Напишите на указанный ниже адрес с темой «AVV» и укажите название компании, адрес и e-mail вашего аккаунта Zvitly.
2. Вы получите действующую редакцию AVV в PDF для ознакомления. По содержанию она совпадает с этой страницей, но страница договор не заменяет.
3. Договор заключается в текстовой форме. Art. 28 Abs 9 DSGVO прямо допускает электронный формат; подпись на бумаге не требуется.

Заключение бесплатно на всех тарифах, включая бесплатное пользование. Заключить договор прямо в кабинете пока нельзя — путь через электронную почту.

Содержание AVV по Art. 28 Abs 3 DSGVO

Art. 28 Abs 3 DSGVO устанавливает, что должно быть в AVV. Две таблицы ниже воспроизводят этот перечень полностью: сначала основные параметры обработки, затем обязанности по lit a — h.

Субпроцессоры

Zvitly привлекает перечисленных ниже субпроцессоров. Перечень полный и содержит только тех поставщиков, с которыми действительно заключён договор по Art. 28 DSGVO.

Технические и организационные меры (Art. 32)

Art. 32 DSGVO требует мер, соразмерных риску, — и требует, чтобы они были внедрены, а не только запланированы. Поэтому перечень ниже описывает только то, что действительно работает в продукте.

Нарушение защиты персональных данных

Если нам станет известно о нарушении защиты персональных данных, затрагивающем ваши данные, мы безотлагательно уведомим вас, как этого требует Art. 33 Abs 2 DSGVO. «Безотлагательно» на практике означает в течение 24 часов с момента, когда мы узнали, — чтобы от ваших собственных 72 часов осталось достаточно.

Что делаем мы

1. Локализуем инцидент и устанавливаем его объём.
2. Уведомляем вас как распорядителя — с указанием характера инцидента, категорий затронутых данных, приблизительного числа субъектов, вероятных последствий и принятых мер (Art. 33 Abs 3 DSGVO).
3. Дописываем сведения, которых на момент первого уведомления ещё не было: поэтапное уведомление допускается, а для крупных инцидентов является обычной практикой.
4. Документируем инцидент у себя и устраняем причину.

Путь подачи в Австрии: онлайн-форма или PDF-форма Datenschutzbehörde, как альтернатива — письмо на dsb@dsb.gv.at либо почтой на адрес Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien.

Права субъектов данных на практике

Запросы субъектов данных адресованы вам, потому что распорядитель — вы. Наша задача — сделать их исполнение возможным. В таблице для каждого права указано, что вы можете сделать сами в кабинете, а для чего нужны мы.

Концепция удаления

Сколько живут данные, решает не вкус, а цель и закон. Для бухгалтерских данных закон строже желания удалить — и закон имеет приоритет.

Сроки для данных, которые Zvitly обрабатывает как распорядитель — аккаунт, контакт, сайт, — приведены в Datenschutzerklärung. Datenschutzerklärung

Передача в третьи страны

Ваши бухгалтерские данные не покидают Европейский Союз. База данных и файлы находятся во Франкфурте-на-Майне, приложение работает на серверах в ЕС, автоматическое распознавание чеков идёт через профиль инференса Amazon Web Services, ограничивающий обработку дата-центрами в ЕС, а системные письма отправляются из европейского региона Ирландия (eu-west-1), где верифицирован домен zvitly.io. Связь с третьей страной возникает исключительно в отношении служебных данных поставщиков, которые являются американскими компаниями или входят в американский концерн: у Supabase и Amazon Web Services — административный доступ соответствующего поставщика к собственной платформе, у Resend — данные аккаунта, метаданные доставки и журналы, то есть запись о том, ЧТО письмо доставлено, а не чеки, счета или данные ваших клиентов.

Эти передачи правомерны на основании DSGVO — а не просто терпимы. Resend сертифицирован по EU-US Data Privacy Framework, в отношении которого Европейская Комиссия 10 июля 2023 года приняла решение об адекватности по Art. 45 DSGVO; передача на этом основании не требует дополнительного разрешения надзорного органа. Независимо от этого договоры об обработке всех трёх поставщиков содержат стандартные договорные положения Комиссии по Art. 46 Abs 2 lit c DSGVO, дополненные техническими мерами: принудительным транспортным шифрованием, шифрованием в состоянии покоя, а также хранением и обработкой в ЕС. К договору с Resend применяется ирландское право и ирландская подсудность.

Оценка воздействия на защиту данных (Art. 35)

Datenschutz-Folgenabschätzung (DSFA — оценка воздействия на защиту данных) по Art. 35 DSGVO нужна не всегда. Она обязательна, если обработка вероятно повлечёт высокий риск для прав и свобод физических лиц — в частности при систематической и всесторонней оценке личных аспектов, при масштабной обработке особых категорий по Art. 9 или при систематическом наблюдении за общедоступными местами в большом объёме.

Для типичного использования Zvitly — бухгалтерии индивидуального предпринимателя или малого предприятия — DSFA, по нашей оценке, не требуется:

• Нет автоматизированных решений с правовыми последствиями и нет профилирования в смысле Art. 22 DSGVO.
• Особые категории по Art. 9 не предусмотрены и не запрашиваются.
• Обработка ограничена хозяйственными операциями одного предприятия и потому не является «масштабной» в смысле пункта 91 преамбулы.

Реестр операций обработки (Art. 30 Abs 2)

Как обработчик мы ведём собственный реестр всех операций обработки, выполняемых по поручению распорядителей (Art. 30 Abs 2 DSGVO). Он содержит:

Исключение Art. 30 Abs 5 DSGVO для предприятий менее чем с 250 работниками здесь не действует: обработка не является эпизодической. По запросу мы предоставляем реестр надзорному органу и вам.

Подтверждение и проверка

Art. 28 Abs 3 lit h DSGVO даёт вам право проверять соблюдение этого договора. Мы обеспечиваем его в такой последовательности — от самой лёгкой формы к наиболее вмешивающейся:

1. Самоотчёт: эта страница и AVV описывают обработку и меры. Для большинства проверок этого достаточно.
2. Письменный ответ: на конкретные вопросы отвечаем в текстовой форме в течение 30 дней, включая подтверждения по отдельным мерам.
3. Проверка на месте: после предупреждения в разумный срок, в обычные рабочие часы, не чаще одного раза в год и без нарушения работы — вами или назначенным вами аудитором, обязанным к неразглашению и не являющимся нашим конкурентом. Проверки, вызванные инцидентом, этим ограничением не охватываются.

Сертификатов третьих сторон — вроде ISO 27001 или отчёта SOC 2 — для самой Zvitly нет. Для привлечённых поставщиков они доступны через их порталы доверия.

Ваши собственные обязанности как предпринимателя

AVV с нами — один кирпич вашего комплаенса, а не весь он. Шесть вопросов ниже — это те, которые нам действительно задают, с ответами, относящимися к австрийскому малому бизнесу и индивидуальным предпринимателям.

Короткий чек-лист

• AVV с Zvitly заключён.
• AVV со всеми остальными поставщиками заключены.
• Собственный реестр операций обработки по Art. 30 Abs 1 создан.
• Собственная политика конфиденциальности по Art. 13 опубликована.
• Проверено, нужны ли уполномоченный по защите данных или DSFA, — и результат зафиксирован.
• Определено, кто что делает при инциденте, и записан срок в 72 часа.

Этот обзор является ориентиром и не заменяет юридической консультации. Zvitly не является ни налоговым консультантом, ни адвокатом.

Контакт и редакция

Вопросы об обработке по поручению, запрос AVV, сообщение об инциденте или помощь с запросом субъекта данных — на указанный ниже адрес, со словом «Datenschutz» в теме письма. Уполномоченного по защите данных Zvitly не назначала: условий Art. 37 Abs 1 DSGVO нет. На запросы отвечает руководство.

Эта редакция действует с указанной выше даты и заменяет все предыдущие. Юридически действующей является немецкая редакция.