Соглашение об обработке данных (DPA)

Arc OS — шаблон, соответствующий ст. 28 GDPR

Версия: 1.0
Дата: 2026-05-28
Задача: #166
Статус: Шаблон — заполните плейсхолдеры перед подписанием

Как использовать: замените все [PLACEHOLDERS] фактическими значениями. Обе стороны подписывают и проставляют дату. Храните подписанный экземпляр. Пересматривайте ежегодно или при обновлении Arc OS списка субобработчиков.

Соглашение

Настоящее Соглашение об обработке данных («DPA») заключается между:

Контролёр (Клиент):
Наименование компании: [CUSTOMER LEGAL NAME]
Регистрационный номер: [REG NUMBER]
Адрес: [REGISTERED ADDRESS]
Контакт (защита данных): [DPO EMAIL OR RESPONSIBLE PERSON]
(«Контролёр»)

Обработчик:
Arc OS, оператор [ARC OS LEGAL ENTITY — pending registration]
Адрес: [REGISTERED ADDRESS — pending e-Residency / Diia.City]
Контакт: [email protected]
(«Обработчик»)

Стороны заключили Основное соглашение об оказании услуг («MSA») / подписку на arc-os.co от [DATE OF MSA] («Основное соглашение»), в рамках которого Обработчик предоставляет услуги управления AI-персоналом («Услуги»).

Настоящее DPA дополняет Основное соглашение и является его неотъемлемой частью. В случае противоречия между настоящим DPA и Основным соглашением настоящее DPA имеет преимущественную силу в вопросах защиты данных.

1. Определения

2. Предмет и срок действия

2.1 Обработчик обрабатывает Персональные данные от имени Контролёра в связи с Услугами, описанными в Основном соглашении.

2.2 Настоящее DPA вступает в силу с даты Основного соглашения и действует до расторжения Основного соглашения или замены DPA пересмотренной версией, подписанной обеими сторонами.

3. Характер, цели и категории обработки

3.1 Характер обработки:
Сбор, хранение, извлечение, передача, удаление Персональных данных в связи с эксплуатацией платформы управления AI-персоналом Arc OS.

3.2 Цель:
Предоставление Контролёру оркестрации AI-агентов, управления проектами и AI-сессий с персистентным контекстом, как описано в Основном соглашении.

3.3 Категории Персональных данных:

3.4 Категории Субъектов данных:
Работники, подрядчики или пользователи Контролёра, которым Контролёр предоставил доступ к Arc OS.

4. Обязательства Обработчика

Обработчик обязуется:

4.1 Обрабатывать Персональные данные только по документированным указаниям Контролёра, в том числе в отношении передачи Персональных данных в третью страну, кроме случаев, когда это требуется правом Союза или государства-члена, которому подчинён Обработчик (в этом случае Обработчик информирует Контролёра о таком правовом требовании до начала обработки, если такое информирование не запрещено законом по соображениям публичного интереса).

4.2 Обеспечить, чтобы лица, уполномоченные обрабатывать Персональные данные, приняли на себя обязательства конфиденциальности или находились под соответствующим законным обязательством конфиденциальности.

4.3 Принимать все меры, предусмотренные ст. 32 GDPR (технические и организационные меры безопасности), включая:

• Шифрование сообщений чатов at rest по AES-256-GCM
• Аутентификацию HMAC-SHA256 JWT с TTL 24 ч
• Zero-knowledge E2EE через WebCrypto PBKDF2 для чувствительных полей
• TLS 1.2+ для всех данных в транзите
• Контроль доступа и шлюзы аутентификации на всех API-эндпоинтах
• Ежедневные автоматизированные резервные копии с проверкой целостности
• Ежегодные обзоры безопасности и тестирование на проникновение

4.4 Соблюдать условия привлечения Субобработчиков (см. раздел 6).

4.5 Содействовать Контролёру в обеспечении соблюдения обязательств по GDPR в отношении безопасности (ст. 32), уведомления о нарушениях (ст. 33–34), оценки воздействия на защиту данных (ст. 35–36) и предварительных консультаций (ст. 36) с учётом характера обработки и информации, доступной Обработчику.

4.6 По выбору Контролёра удалить или вернуть все Персональные данные по прекращении Услуг и удалить существующие копии, если право Союза или государства-члена не требует их хранения.

4.7 Предоставлять Контролёру всю информацию, необходимую для демонстрации соблюдения ст. 28 GDPR, а также допускать и содействовать аудитам и инспекциям, проводимым Контролёром или сторонним аудитором по поручению Контролёра (с разумным уведомлением, не чаще одного раза в год, за счёт Контролёра).

4.8 Уведомлять Контролёра без неоправданной задержки после того, как ему станет известно о нарушении безопасности Персональных данных — в течение 72 часов в той мере, в какой это осуществимо — по адресу: [CONTROLLER DPO EMAIL].

5. Обязательства Контролёра

Контролёр обязуется:

5.1 Обеспечить наличие правового основания (ст. 6 GDPR) для обработки Персональных данных, передаваемых Обработчику.

5.2 Предоставлять Обработчику ясные и полные указания относительно обработки Персональных данных.

5.3 Обеспечить, чтобы Субъекты данных были проинформированы об обработке их Персональных данных (или чтобы применялось иное правовое основание) до передачи их данных в Arc OS.

5.4 Не поручать Обработчику обработку особых категорий данных (ст. 9 GDPR) — данные о здоровье, биометрические данные, расовое происхождение и т. д. — без явного предварительного согласования и надлежащих гарантий.

6. Субобработчики

6.1 Контролёр предоставляет Обработчику общее письменное разрешение на привлечение субобработчиков, перечисленных в Приложении B.

6.2 Обработчик уведомляет Контролёра о любых планируемых изменениях субобработчиков (добавлениях или заменах) по email на [CONTROLLER DPO EMAIL] с заблаговременным уведомлением за 14 дней, давая Контролёру возможность возразить.

6.3 Обработчик налагает на всех субобработчиков по договору эквивалентные обязательства по защите данных, как установлено в настоящем DPA.

6.4 Обработчик несёт полную ответственность перед Контролёром за исполнение обязательств субобработчиками.

7. Международные передачи

7.1 Персональные данные обрабатываются на серверах, расположенных в Европейском союзе (Contabo GmbH, Мюнхен, Германия; Hetzner Online GmbH, Гунценхаузен, Германия).

7.2 Когда субобработчики обрабатывают данные за пределами ЕЭЗ, Обработчик обеспечивает наличие надлежащих гарантий, включая Стандартные договорные положения (SCCs) согласно Решению Комиссии 2021/914/EU или решения об адекватности по ст. 45 GDPR.

7.3 Контролёр санкционирует международные передачи данных, описанные в Приложении B, при условии соблюдения перечисленных там гарантий.

8. Права субъектов данных

8.1 Обработчик содействует Контролёру в ответах на запросы Субъектов данных (ст. 15–22 GDPR) — доступ, исправление, удаление, ограничение, переносимость, возражение — посредством:

• GET /api/auth/export — переносимость данных по ст. 20 GDPR (лимит 3/24ч)
• DELETE /api/auth/account — право на удаление по ст. 17 GDPR (каскад по 15+ таблицам)

8.2 Обработчик не отвечает напрямую на запросы Субъектов данных от имени Контролёра без предварительного разрешения, за исключением подтверждения получения и перенаправления к Контролёру.

9. Ответственность и возмещение

9.1 Каждая сторона несёт ответственность за ущерб, причинённый обработкой, нарушающей GDPR, в соответствии со ст. 82 GDPR.

9.2 Обработчик освобождается от ответственности, если докажет, что никоим образом не несёт ответственности за событие, повлёкшее ущерб.

9.3 Совокупная ответственность Обработчика по настоящему DPA ограничена суммами, уплаченными Контролёром по Основному соглашению за 12 месяцев, предшествующих событию, давшему основание для требования.

10. Применимое право и юрисдикция

Настоящее DPA регулируется правом [GOVERNING LAW — e.g. EU / EE / DE]. Споры разрешаются в [JURISDICTION].

Подписи

Приложение A — сводка деталей обработки

Приложение B — авторизованные субобработчики

Примечание: клиент использует собственный API-ключ Anthropic (Claude Pro). В этом случае Anthropic является субобработчиком Клиента, а не Arc OS.

Приложение C — технические и организационные меры (TOMs)