Соглашение об обработке данных (DPA)

Последнее обновление: август 2026

Обработчик данных (Импортер данных):

Общество с ограниченной ответственностью “Alexhost”, имеющее место нахождения по адресу ул. К. Бранкузи 3, г. Кишинев, Республика Молдова, представленное Генеральным директором Александру Скутару, далее именуемое (“ALEXHOST” или “Обработчик“), и

Контролер данных (Экспортер данных):

[CLIENT COMPANY NAME], имеющее зарегистрированный адрес по адресу [CLIENT REGISTERED ADDRESS], представленное [REPRESENTATIVE POSITION AND NAME], далее именуемое (“Клиент” или “Контролер“)

Каждая из них в отдельности именуется “Сторона” и совместно именуются “Стороны”.

ПРЕАМБУЛА

ПРИНИМАЯ ВО ВНИМАНИЕ, что Клиент заключил Соглашение об услугах хостинга (далее “Соглашение“) с ALEXHOST, в соответствии с которым ALEXHOST предоставляет веб-хостинг, инфраструктуру серверов, управление доменами и связанные услуги (далее “Услуги“);

ПРИНИМАЯ ВО ВНИМАНИЕ, что при предоставлении Услуг ALEXHOST может обрабатывать персональные данные от имени Клиента в качестве обработчика данных;

ПРИНИМАЯ ВО ВНИМАНИЕ, что Стороны желают определить свои соответствующие обязательства в отношении такой обработки в соответствии со статьей 28 Регламента (ЕС) 2016/679 Европейского парламента и Совета (“GDPR”) и применимым законодательством о защите данных;

ТЕПЕРЬ, СЛЕДОВАТЕЛЬНО, Стороны согласны со следующим:

1. ОПРЕДЕЛЕНИЯ

Все написанные с заглавной буквы термины, не определенные в настоящем документе, имеют значение, указанное в Соглашении. Условия настоящего DPA имеют приоритет над любыми противоречащими условиями в Соглашении.

“Законодательство о защите данных” означает Общее положение о защите данных (EU) 2016/679 (“GDPR”), любое применимое национальное законодательство об имплементации и, где применимо, законодательство о защите данных Республики Молдова (Закон № 195/2024) и любое другое применимое законодательство о защите данных.

“Контролер” имеет значение, указанное в Законодательстве о защите данных, и в контексте настоящего DPA относится к Клиенту.

“Обработчик” имеет значение, указанное в Законодательстве о защите данных, и в контексте настоящего DPA относится к ALEXHOST.

“Персональные данные” означают любую информацию, относящуюся к определенному или определяемому физическому лицу, которую Клиент предоставляет ALEXHOST или которую ALEXHOST обрабатывает при предоставлении Услуг.

“Обработка” (и “Обрабатывать”) имеет значение, указанное в Законодательстве о защите данных.

“Нарушение защиты персональных данных” имеет значение, указанное в Законодательстве о защите данных.

“Субъект данных” означает любое определенное или определяемое физическое лицо, персональные данные которого обрабатываются в соответствии с настоящим DPA.

“Подпроцессор” означает любого обработчика, привлекаемого ALEXHOST для выполнения конкретных операций обработки от имени Клиента в связи с предоставлением Услуг. Текущий список Подпроцессоров указан в Приложении 3 к настоящему DPA, опубликованном на alexhost.com/dpa/.

“Услуги” означают веб-хостинг, инфраструктуру серверов, управление доменами, хостинг электронной почты и связанные услуги, предоставляемые ALEXHOST Клиенту в соответствии с Соглашением.

2. ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1 Роли. При всей обработке персональных данных Клиента, осуществляемой ALEXHOST в связи с Услугами, Клиент является Контролером, а ALEXHOST является Процессором. ALEXHOST не будет выступать в качестве контролера в отношении персональных данных Клиента.

2.2 Инструкции. ALEXHOST будет обрабатывать персональные данные только по документированным инструкциям Клиента. Соглашение и настоящее DPA представляют собой полные документированные инструкции Клиента. Любые дополнительные инструкции должны быть согласованы в письменной форме. Если ALEXHOST считает, что инструкция нарушает Закон о защите данных, оно немедленно уведомит Клиента.

2.3 Область применения. Описание деятельности по обработке, охватываемой настоящим DPA, изложено в Приложении 1.

3. ОБЯЗАТЕЛЬСТВА ALEXHOST КАК ОБРАБОТЧИКА

ALEXHOST должна, в своем качестве Обработчика:

3.1 Обрабатывать Персональные данные только в соответствии с документированными инструкциями Клиента, за исключением случаев, когда это требуется законодательством Союза или государства-члена либо законодательством Республики Молдова; в таком случае ALEXHOST должна информировать Клиента об этом требовании до обработки, если только она не запрещена делать это по соображениям общественного интереса;

3.2 Обеспечивать, чтобы лица, уполномоченные обрабатывать Персональные данные, были связаны надлежащими обязательствами конфиденциальности (будь то договорные или установленные законом);

3.3 Внедрять и поддерживать надлежащие технические и организационные меры для обеспечения уровня безопасности, соответствующего риску, как указано в Приложении 2 и Разделе 8 настоящего DPA;

3.4 Соблюдать условия привлечения Подпроцессоров, установленные в Разделе 7;

3.5 Принимать все меры, требуемые в соответствии со Статьей 32 GDPR в отношении безопасности обработки;

3.6 Оказывать помощь Клиенту посредством надлежащих технических и организационных мер и в той мере, в какой это разумно возможно, в выполнении обязательства Клиента по ответу на запросы Субъектов данных, осуществляющих свои права в соответствии с Главой III GDPR;

3.7 Оказывать помощь Клиенту в обеспечении соответствия обязательствам Клиента в соответствии со Статьями 32–36 GDPR (безопасность, уведомление об утечке, DPIA, предварительная консультация), принимая во внимание характер обработки и информацию, имеющуюся в распоряжении ALEXHOST;

3.8 По выбору Клиента удалять или возвращать все Персональные данные Клиенту после окончания предоставления Услуг и удалять существующие копии, если только применимое законодательство не требует иного (см. Раздел 10);

3.9 Предоставлять Клиенту всю информацию, необходимую для демонстрации соответствия обязательствам, установленным в настоящем DPA, и разрешать проведение и содействовать проведению аудитов в соответствии с Разделом 9.

4. МЕЖДУНАРОДНЫЕ ПЕРЕДАЧИ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1 В случае, когда Услуги предполагают обработку Персональных данных на серверах, расположенных в Соединенных Штатах Америки или других странах, в отношении которых не действует решение об адекватности ЕС, такая передача регулируется Стандартными договорными оговорками.

4.2 Местоположение серверов. Если ваши серверы расположены в Румынии, Болгарии, Швеции, Франции или Нидерландах (в пределах ЕЭЗ), дополнительный механизм передачи не требуется. Передачи в Швейцарию охватываются решением об адекватности ЕС.

Если персональные данные передаются за пределы ЕЭЗ, должен быть установлен надлежащий механизм передачи в соответствии с GDPR. Например, передачи в Великобританию охватываются решением об адекватности ЕС, в то время как передачи в США могут требовать Стандартные договорные оговорки (SCC).

4.3 Клиент может выбрать местоположение серверов, которые исключают страны без адекватности. ALEXHOST будет стремиться удовлетворить такие запросы в рамках доступных вариантов услуг.

5. ПРАВА СУБЪЕКТОВ ДАННЫХ

5.1 ALEXHOST незамедлительно уведомит Клиента о получении запроса от Субъекта данных на осуществление своих прав в соответствии с Главой III GDPR (включая права на доступ, исправление, удаление, ограничение, портативность или возражение), в той степени, в которой такой запрос может быть обоснованно идентифицирован как относящийся к Услугам, предоставляемым Клиенту.

5.2 ALEXHOST не будет отвечать на такие запросы от имени Клиента, если только Клиент не дал на это явное письменное разрешение.

5.3 ALEXHOST будет оказывать Клиенту разумную помощь надлежащими техническими и организационными средствами и в той степени, в которой это возможно, для выполнения обязательства Клиента по ответу на запросы Субъектов данных.

6. ПЕРСОНАЛ

6.1 ALEXHOST обеспечит, чтобы все сотрудники, занимающиеся обработкой Персональных данных в соответствии с настоящим DPA, были связаны надлежащими договорными обязательствами конфиденциальности и получали надлежащее обучение по защите данных.

6.2 ALEXHOST ограничит доступ к Персональным данным только теми сотрудниками, которым такой доступ необходим для предоставления Услуг.

7. СУБПОДРЯДЧИКИ

7.1 Общее разрешение. Клиент предоставляет ALEXHOST общее письменное разрешение на привлечение Субподрядчиков для выполнения конкретных операций обработки в связи с Услугами. Текущий список авторизованных Субподрядчиков указан в Приложении 3 к настоящему DPA, опубликованном на alexhost.com/dpa/.

7.2 Уведомление об изменениях. ALEXHOST уведомляет Клиента о любом предполагаемом добавлении или замене Субподрядчиков не менее чем за 14 дней до этого по электронной почте или путем публикации обновленного Приложения 3 на alexhost.com/dpa/. Клиент может возразить против нового Субподрядчика письменным уведомлением ALEXHOST в течение 14 дней с момента уведомления, указав основания защиты данных для возражения. ALEXHOST будет добросовестно работать над разрешением обоснованных возражений. Если возражение не может быть разрешено и Клиент понесет материальный ущерб в результате, Клиент может расторгнуть соответствующие Услуги письменным уведомлением.

7.3 Обязательства по передаче. ALEXHOST налагает на каждого Субподрядчика обязательства по защите данных, эквивалентные по существу обязательствам, налагаемым на ALEXHOST в соответствии с настоящим DPA, в частности в отношении безопасности обработки, конфиденциальности и ограничений на дальнейшую передачу.

7.4 Ответственность. ALEXHOST остается полностью ответственной перед Клиентом за исполнение обязательств каждого Субподрядчика.

8. БЕЗОПАСНОСТЬ

8.1 ALEXHOST должна внедрять и поддерживать технические и организационные меры безопасности, указанные в Приложении 2, принимая во внимание современное состояние технологий, затраты на внедрение, а также характер, объем, контекст и цели обработки, а также риски для прав и свобод Субъектов данных.

8.2 Уведомление об утечке данных. ALEXHOST должна уведомить Клиента без неоправданной задержки, и в любом случае в течение 72 часов с момента обнаружения, об утечке персональных данных, затрагивающей персональные данные, обрабатываемые в соответствии с настоящим DPA. Такое уведомление должно включать:

(a) описание характера утечки, включая категории и приблизительное количество затронутых Субъектов данных и записей персональных данных;

(b) имя и контактные данные Уполномоченного по защите данных или другого контактного лица, у которого можно получить дополнительную информацию;

(c) описание вероятных последствий утечки;

(d) описание принятых или предлагаемых мер по устранению утечки, включая меры по смягчению ее неблагоприятных последствий.

Если вся информация недоступна одновременно, ALEXHOST может предоставить ее поэтапно без неоправданной задержки.

8.3 ALEXHOST должна документировать все утечки персональных данных и предоставлять такую документацию Клиенту по его запросу.

9. АУДИТЫ И СЕРТИФИКАЦИИ

9.1 ALEXHOST разрешает и способствует проведению аудитов, осуществляемых Клиентом или аудитором, назначенным Клиентом, при соблюдении следующих условий:

(a) Клиент должен уведомить ALEXHOST письменно не менее чем за 30 дней до предполагаемого аудита, если только чрезвычайный инцидент безопасности не требует более короткого периода уведомления;

(b) аудиты должны проводиться в рабочее время и таким образом, чтобы минимизировать нарушение деятельности ALEXHOST;

(c) любой аудитор третьей стороны, назначенный Клиентом, должен (i) не быть прямым конкурентом ALEXHOST; (ii) быть связанным надлежащими профессиональными обязательствами конфиденциальности; и (iii) подписать соглашение о неразглашении на условиях, разумно требуемых ALEXHOST;

(d) Клиент несет все расходы на проведение аудита, включая разумные расходы ALEXHOST на поддержку аудита.

9.2 В качестве альтернативы или дополнения к прямому аудиту ALEXHOST может предоставить Клиенту соответствующие сертификации, отчеты об аудитах третьей стороны или оценки безопасности, которые демонстрируют соответствие данному DPA.

10. ВОЗВРАТ И УДАЛЕНИЕ ДАННЫХ

10.1 При прекращении или истечении срока действия Соглашения, а также по письменному запросу Клиента ALEXHOST должна по выбору Клиента:

(a) вернуть все Персональные данные Клиенту в структурированном, широко используемом и машиночитаемом формате; или

(b) безопасно удалить или уничтожить все Персональные данные и все их копии.

10.2 ALEXHOST должна завершить возврат или удаление в течение 30 дней с даты прекращения или запроса Клиента.

10.3 ALEXHOST должна предоставить Клиенту письменное подтверждение удаления по завершении.

10.4 Несмотря на вышеизложенное, ALEXHOST может сохранять Персональные данные в случаях, когда это требуется применимым законодательством, на протяжении всего периода, требуемого этим законодательством, при условии, что ALEXHOST продолжает обеспечивать конфиденциальность и безопасность таких данных и обрабатывает их только в той степени, которая требуется законом.

11. ОБЯЗАТЕЛЬСТВА КЛИЕНТА

11.1 Клиент гарантирует, что он имеет законное основание в соответствии с Законодательством о защите данных для обработки Персональных данных и что он соблюдает все применимые требования защиты данных в отношении Персональных данных, предоставленных ALEXHOST в соответствии с настоящим DPA.

11.2 Клиент должен обеспечить, чтобы Персональные данные, предоставленные ALEXHOST, были собраны справедливо, прозрачно и в соответствии с применимым законодательством, включая предоставление надлежащих уведомлений о конфиденциальности субъектам данных.

11.3 Клиент должен уведомить ALEXHOST, если он предоставляет специальные категории Персональных данных (Статья 9 GDPR) для обработки в рамках Услуг и должен обеспечить, чтобы к такой обработке применялось действительное условие в соответствии со Статьей 9(2) GDPR.

11.4 Клиент должен незамедлительно информировать ALEXHOST об любых изменениях в его инструкциях по обработке, которые могут повлиять на обязательства ALEXHOST в соответствии с настоящим DPA.

12. ОТВЕТСТВЕННОСТЬ

12.1 Ответственность каждой Стороны, вытекающая из этого Приложения об обработке данных или связанная с ним, подлежит ограничениям ответственности, установленным в Соглашении.

12.2 Ничто в этом Приложении об обработке данных не ограничивает ответственность любой из Сторон перед Субъектами данных или перед органами надзора в соответствии с Законодательством о защите данных.

13. ПРИМЕНИМОЕ ПРАВО И СПОРЫ

13.1 Настоящее Соглашение об обработке данных регулируется законодательством Республики Молдова, без ущерба для обязательных положений Закона о защите данных, применимых в юрисдикции Клиента.

13.2 Любой спор, вытекающий из настоящего Соглашения об обработке данных или связанный с ним, подлежит исключительной юрисдикции судов Республики Молдова, без ущерба для права Клиента на подачу исков в суды его места нахождения.

ПОДПИСИ

Контролер (Клиент)

[CLIENT COMPANY NAME] [AUTHORISED REPRESENTATIVE NAME AND POSITION]

Подпись: _________________

Обработчик (ALEXHOST SRL)

Alexandru Scutaru, Генеральный директор

Подпись: _________________

ПРИЛОЖЕНИЕ 1 — ОПИСАНИЕ ДЕЯТЕЛЬНОСТИ ПО ОБРАБОТКЕ ДАННЫХ

В соответствии со статьей 28(3) GDPR

A. Предмет и характер обработки

ALEXHOST SRL предоставляет веб-хостинг, инфраструктуру серверов, виртуальные частные серверы (VPS), выделенные серверы, управление доменами, хостинг электронной почты, управление SSL-сертификатами, хостинг баз данных и связанные технические услуги. При предоставлении этих Услуг ALEXHOST хранит, передает, создает резервные копии и предоставляет доступ к данным Клиента (включая персональные данные конечных пользователей Клиента) на своей серверной инфраструктуре.

Операции обработки, выполняемые ALEXHOST в качестве Обработчика:

• Хранение данных Клиента на физической и виртуальной серверной инфраструктуре
• Передача данных по сетевым соединениям
• Резервное копирование и восстановление данных Клиента (где включено в Услугу)
• Мониторинг безопасности инфраструктуры (на уровне сети/инфраструктуры — без проверки содержимого)
• Доступ технической поддержки к серверам Клиента (по явному указанию Клиента через аутентифицированный билет поддержки, с логированием)
• Удаление данных Клиента при прекращении контракта

B. Цель обработки

Обработка осуществляется исключительно в целях предоставления Услуг, указанных в Соглашении. ALEXHOST не обрабатывает персональные данные Клиента в каких-либо независимых целях.

C. Продолжительность обработки

ALEXHOST будет хранить и обрабатывать персональные данные в течение действия Соглашения. При прекращении персональные данные будут удалены или возвращены в соответствии с разделом 10 DPA.

D. Категории субъектов данных

Передаваемые персональные данные могут касаться следующих категорий субъектов данных, определяемых Клиентом:

• Конечные пользователи веб-сайтов, приложений или платформ Клиента, размещенных на инфраструктуре ALEXHOST
• Собственные клиенты или зарегистрированные пользователи Клиента
• Получатели электронной почты, где хостинг электронной почты включен в Услуги
• Любые другие физические лица, данные которых Клиент хранит на инфраструктуре ALEXHOST

ALEXHOST не определяет категории субъектов данных. Клиент, как Контролер, несет ответственность за определение всех соответствующих субъектов данных.

E. Категории персональных данных

Обрабатываемые категории персональных данных могут включать следующее, определяемое Клиентом:

1. Идентификационные данные — имена, имена пользователей, идентификаторы пользователей 2. Контактные данные — адреса электронной почты, номера телефонов, почтовые адреса 3. Данные аутентификации — хешированные пароли, маркеры сеанса, журналы входа 4. Данные транзакций — заказы, платежи, история покупок 5. Технические данные — IP-адреса, идентификаторы устройств, данные браузера, журналы доступа 6. Контент, созданный пользователем — сообщения, файлы, загрузки, хранящиеся на серверах Клиента 7. Любая другая категория — определяемая приложением/услугой Клиента

F. Специальные категории данных (статья 9 GDPR)

Клиент должен письменно уведомить ALEXHOST, если какие-либо специальные категории данных (статья 9(1) GDPR) будут храниться на инфраструктуре ALEXHOST. Если задействованы специальные категории данных, Клиент должен:

(a) подтвердить применимое условие статьи 9(2);

(b) указать любые дополнительные требования безопасности, которые должны применяться к таким данным.

ALEXHOST не собирает и не получает доступ к специальным категориям данных независимо и не осведомлена об их наличии, если только они не раскрыты Клиентом.

G. Частота обработки

Обработка происходит непрерывно в течение всего периода предоставления Услуг (24/7 доступность инфраструктуры).

H. Получатели / Передача данных третьим лицам

Персональные данные, обрабатываемые ALEXHOST, могут быть доступны или переданы Подпроцессорам, указанным в Приложении 3. Все Подпроцессоры связаны эквивалентными обязательствами по защите данных.

ПРИЛОЖЕНИЕ 2 — ТЕХНИЧЕСКИЕ И ОРГАНИЗАЦИОННЫЕ МЕРЫ БЕЗОПАСНОСТИ

В соответствии со статьей 32 GDPR

Эти меры представляют минимальные обязательства ALEXHOST по безопасности. ALEXHOST может внедрять дополнительные меры по своему усмотрению.

A. Контроль доступа

1. Управление доступом на основе ролей (RBAC) для всех систем инфраструктуры — доступ предоставляется на основе принципа наименьших привилегий 2. Многофакторная аутентификация (MFA) требуется для всех административных доступов к панелям управления хостингом и системам управления инфраструктурой 3. Доступ к содержимому серверов Клиента разрешен только по явному указанию Клиента через аутентифицированный тикет поддержки; все доступы регистрируются 4. Удаление доступа для уволенного персонала в течение 1 рабочего дня 5. Уникальные именованные учетные записи для всех системных администраторов — общие/стандартные учетные данные запрещены 6. Регулярный пересмотр прав доступа (минимум: ежеквартально)

B. Шифрование

7. TLS 1.2 или выше обязательны для всех клиентских соединений и интерфейсов панели управления 8. Шифрование в состоянии покоя для данных Клиента, хранящихся на серверах в США (минимум AES-256); опция управления ключами Клиентом доступна, где это технически возможно 9. Зашифрованная передача для всех передач данных о зарплате и финансовых данных третьим сторонам (SFTP или эквивалент) 10. Резервные копии хранятся в зашифрованном виде

C. Безопасность сети и периметра

11. Защита брандмауэра на всех серверах с политикой отказа по умолчанию для несущественных портов 12. Система обнаружения и предотвращения вторжений (IDS/IPS) на всей инфраструктуре 13. Меры по смягчению DDoS для размещенных сервисов 14. Веб-приложение Firewall (WAF) доступно как дополнительный уровень обслуживания 15. Удаленный доступ к системам управления инфраструктурой ограничен VPN-соединениями с MFA 16. Сегментация сети между клиентскими окружениями

D. Доступность и непрерывность бизнеса

17. Ежедневное автоматическое резервное копирование инфраструктуры и (где включено в Сервис) данных Клиента с проверенной возможностью восстановления 18. Целевое время восстановления (RTO): < 4 часов для критических систем 19. Целевая точка восстановления (RPO): < 24 часов 20. Тесты восстановления резервных копий проводятся минимум ежеквартально 21. Защита источников бесперебойного питания (UPS) для серверной инфраструктуры 22. Избыточное сетевое подключение

E. Управление патчами и уязвимостями

23. Патчи безопасности применяются к операционным системам и критическому программному обеспечению минимум ежемесячно; критические патчи применяются в течение 72 часов после выпуска 24. Периодическое сканирование уязвимостей инфраструктуры (минимум: ежеквартально) 25. Ежегодное внешнее тестирование на проникновение; результаты рассматриваются и планируется исправление в течение 30 дней 26. Защита от вирусов/вредоносного ПО на применимых системах

F. Физическая безопасность

27. Центры обработки данных с ограниченным физическим доступом — только авторизованный персонал; доступ регистрируется 28. Круглосуточное видеонаблюдение (CCTV) объектов центра обработки данных 29. Предварительная авторизация посетителей и сопровождение требуются во всех зонах центра обработки данных 30. Физическая и экологическая защита: пожаротушение, контроль температуры, защита от наводнений

G. Персонал и организационные меры

31. Весь персонал с доступом к данным Клиента подлежит обязывающим соглашениям о конфиденциальности 32. Ежегодное обучение защите данных для всего технического и административного персонала 33. Проверка биографических данных перед наймом в соответствии с применимым местным законодательством 34. Документированный и протестированный план реагирования на инциденты; уведомление Клиента о нарушении в течение 72 часов (в соответствии с разделом 8.2) 35. Политики информационной безопасности опубликованы внутри и доведены до сведения всего соответствующего персонала и Субпроцессоров 36. Назначенный контактный пункт по вопросам защиты данных: gdpr@alexhost.com

H. Логирование и мониторинг

37. Журналы доступа ведутся для всех административных доступов к инфраструктуре: хранятся минимум 12 месяцев 38. Весь доступ персонала к серверам Клиента через тикет поддержки регистрируется в системе тикетов и доступен для проверки Клиентом по запросу 39. Мониторинг событий безопасности и оповещение на месте для аномальных моделей доступа

I. Безопасность Субпроцессоров

40. Все Субпроцессоры оцениваются на соответствие требованиям безопасности перед привлечением 41. Субпроцессоры связаны обязательствами по защите данных, эквивалентными этому Приложению 42. Соглашения с Субпроцессорами включают право ALEXHOST на аудит мер безопасности Субпроцессора

ПРИЛОЖЕНИЕ 3 — СПИСОК СУБПОДРЯДЧИКОВ

Это приложение опубликовано и актуализируется на сайте alexhost.com/dpa/.

ALEXHOST уведомит клиента как минимум за 14 дней до любых изменений в этом списке.

Примечание: субподрядчики управляют инфраструктурой ALEXHOST. Они не имеют независимого доступа к данным приложений клиентов и не обрабатывают их.