Соглашение об обработке данных

1. Стороны

Настоящее Соглашение об обработке данных («DPA») заключается между Клиентом («Контролёр данных») и YARDtwin Ltd, зарегистрированной в Ирландии («Обработчик данных»), совместно именуемыми «Стороны». Настоящий DPA является частью и регулируется условиями YARDtwin Условия использования.

2. Область применения и цель

Обработчик обрабатывает персональные данные от имени Контролёра исключительно в целях предоставления платформы управления двором YARDtwin: планирование доков, управление воротами, визуализация двора в виде цифрового двойника, управление перевозчиками и водителями, журнал аудита для GMP-среды, аналитика и интеграции. Обработка осуществляется в течение срока действия подписки Контролёра и любого периода хранения, предусмотренного Разделом 11.

3. Категории субъектов данных

• Сотрудники и администраторы Контролёра (именованные пользователи платформы)
• Водители и логистический персонал, прошедшие регистрацию на воротах Контролёра
• Представители перевозчиков и контакты отдела диспетчеризации
• Персонал охраны ворот и операторы склада

4. Виды персональных данных

• Идентификационные данные: имена, адреса электронной почты, номера телефонов, должность, название и адрес компании
• Данные аутентификации: пароли, хешированные bcrypt (12 раундов), токены доступа и обновления JWT, временны́е метки сессий, IP-адреса, идентификаторы SSO (Google, Microsoft)
• Операционные данные: записи о назначениях, распределение доков, перемещения прицепов, акты осмотра, документы, задания, регистрационные данные транспортных средств
• Данные водителей: номера удостоверений и изображения удостоверений. Сотрудники ворот могут сделать фотографию лица водителя в качестве доказательства на воротах. Если на площадке включено сравнение лиц с помощью ИИ, наш провайдер ИИ (Anthropic) сравнивает эту фотографию один к одному с фото на удостоверении или сохранённым фото водителя, чтобы помочь сотрудникам подтвердить личность водителя. Результат носит рекомендательный характер: решение принимают сотрудники ворот, которые могут пропустить водителя, чья личность не была подтверждена сравнением, указав причину. Каждое сравнение записывается на наших серверах вместе с его результатом. Если сравнение лиц отключено (по умолчанию), фотография лица не отправляется провайдеру ИИ, а сотрудники сами сравнивают водителя с фото на удостоверении; изображения удостоверений по-прежнему считываются ИИ, если включено считывание ИИ. YARDtwin не хранит биометрические шаблоны лиц и не выполняет идентификацию «один ко многим».
• Данные аудита: действия пользователей, временны́е метки, IP-адреса, строки user-agent, различия старых/новых значений, записи с пометкой GMP

5. Обязательства Обработчика

• Обрабатывать персональные данные только по задокументированным инструкциям Контролёра (интерфейс платформы и API являются задокументированными инструкциями)
• Обеспечивать, чтобы лица, уполномоченные на обработку данных, были связаны соглашениями о конфиденциальности
• Применять надлежащие технические и организационные меры безопасности (ст. 32) — см. Раздел 7 ниже
• Привлекать только субпроцессоров, перечисленных в Разделе 6, на которых Контролёр даёт общее письменное разрешение; уведомлять не менее чем за 30 дней о любом новом субпроцессоре, против которого Контролёр вправе возразить (Раздел 6)
• Содействовать Контролёру в обработке запросов субъектов данных (ст. 15–22) через конечные точки DSAR, описанные в Разделе 9
• Уведомлять Контролёра без неоправданной задержки, и в любом случае в течение 48 часов с момента обнаружения нарушения безопасности персональных данных; предоставлять первичное уведомление в течение 24 часов о любом подтверждённом инциденте безопасности, затрагивающем данные Контролёра (Раздел 8)
• Удалять или возвращать все персональные данные по прекращении оказания услуг (Раздел 11)
• Предоставлять всю информацию, необходимую для подтверждения соответствия требованиям, и обеспечивать поддержку аудитов (Раздел 12)

6. Субпроцессоры

В настоящее время Обработчик привлекает следующих субпроцессоров, каждый из которых действует на основании Соглашения об обработке данных и (при необходимости) Стандартных договорных положений 2021:

Контролёр даёт общее письменное разрешение на привлечение субпроцессоров, перечисленных выше. Обработчик уведомляет не менее чем за 30 дней о любом новом субпроцессоре; Контролёр вправе возразить по обоснованным причинам и, если разногласие не удаётся урегулировать, расторгнуть договор на затронутую услугу без штрафных санкций.

Сервисы только для веб-сайта (без операционных данных клиентов)

Используются исключительно на публичном веб-сайте. Они не получают операционных данных клиентов и не являются их субпроцессорами; те из них, которые устанавливают файлы cookie, загружаются только с согласия пользователя.

7. Меры безопасности (ст. 32)

• Шифрование при передаче: TLS 1.2+ на каждой конечной точке; сертификаты управляются Microsoft Azure (DigiCert)
• Шифрование при хранении: Прозрачное шифрование данных Azure Postgres Flexible Server; шифрование Azure Blob Storage
• Изображения водительских удостоверений и подписи: Изображения водительских удостоверений и подписи шифруются в состоянии покоя с помощью AES-256 средствами Azure Storage и Azure Database for PostgreSQL (ключи, управляемые Microsoft), а доступ к ним ограничен в зависимости от роли и организации
• Хэширование паролей: bcrypt, 12 раундов
• Аутентификация: JWT-токены доступа (срок действия 1 час) и токены обновления (срок действия 7 дней, ротация при использовании, не действительны более 30 дней с момента входа). Единый вход (SAML 2.0, Google, Microsoft); многофакторная аутентификация на основе одноразовых паролей (TOTP) — обязательна для администраторов платформы и доступна всем пользователям
• Изоляция арендаторов: принудительно применяется на стороне сервера посредством разграничения по арендаторам и автоматически проверяется перед каждым выпуском: при выпуске выполняется перекрёстная проверка между арендаторами — API вызывается от имени одной организации с идентификаторами записей другой организации, и выпуск блокируется, если данные этой организации доступны для чтения или изменения
• Ролевое управление доступом: разграничение доступа на основе ролей для аутентифицированных маршрутов с принудительным применением разграничения по арендаторам на стороне сервера
• Брандмауэр веб-приложений: Azure Front Door WAF в режиме предотвращения (Prevention mode) с настраиваемыми правилами ограничения частоты запросов на конечных точках аутентификации, регистрации, сброса пароля и запросов субъектов данных, а также защита от DDoS-атак уровня L7 на уровне платформы. Управляемый набор правил OWASP не подключён — для этого требуется уровень Front Door Premium.
• Ограничение частоты запросов: лимиты на каждый маршрут, более строгие для конечных точек аутентификации; отслеживание попыток в памяти и с сохранением
• Журнал аудита: с обнаружением несанкционированных изменений и только дозапись (реализовано на уровне базы данных), записи, относящиеся к GMP, помечаются отдельно и хранятся не менее 7 лет в течение срока действия соглашения об оказании услуг (по окончании контракта экспортируются Контролёру, если только Контролёр не отказывается от экспорта в письменной форме или не может быть достигнут после разумных попыток, после чего удаляются — Раздел 11), прочие записи — 365 дней, псевдонимизированные (не удалённые) при требовании стирания по ст. 17 в рамках ст. 17(3)(b)
• Непрерывный мониторинг: Azure Application Insights; проверка доступности сайта каждые 10 минут; оповещение о смещении схемы (окно 15 минут); оповещение при возникновении более 10 серверных ошибок (HTTP 5xx) за 5 минут; а также служба мониторинга нарушений, которая каждые 5 минут проверяет журнал аудита на предмет всплесков неудачных попыток входа (10 и более для одного аккаунта за час), попыток входа в один аккаунт с 5 и более IP-адресов за 24 часа и успешных входов с IP-адреса, не наблюдавшегося для данного пользователя в последние 30 дней
• Цепочка поставок ПО: Каждый pull request должен пройти проверку npm audit (уязвимости зависимостей), Semgrep (статический анализ) и gitleaks (сканирование секретов) перед слиянием, а также сканирование образа контейнера Trivy в качестве рекомендательной проверки; эти проверки также выполняются при каждом push в master и ежесуточно, вместе с рекомендательным базовым сканированием OWASP ZAP (динамическое тестирование) производственного сайта. Секреты: Azure Key Vault с доступом через управляемое удостоверение App Service; никаких секретов в коде, файлах окружения или образах контейнеров

8. Уведомление о нарушении безопасности персональных данных

Обработчик уведомляет Контролёра без неоправданной задержки, и в любом случае в течение 48 часов с момента обнаружения нарушения безопасности персональных данных, затрагивающего данные Контролёра, а также предоставляет первичное уведомление в течение 24 часов о любом подтверждённом инциденте безопасности, затрагивающем данные Контролёра. Уведомление включает характер нарушения, категории и приблизительное количество затронутых субъектов данных, вероятные последствия, принятые или планируемые меры, а также ссылку на реестр нарушений. Обнаруженные аномалии направляются в группу действий Azure Monitor yardtwin-breach-actions; подтверждённые инциденты фиксируются в таблице реестра инцидентов с 72-часовым обратным отсчётом для DPC.

9. Права субъектов данных

Обработчик предоставляет Контролёру следующие конечные точки для реализации прав субъектов данных в течение 30-дневного срока по ст. 12(3):

• POST /api/v1/dsar/export/by-email — машиночитаемый экспорт, охватывающий ст. 15 (доступ) и ст. 20 (переносимость)
• POST /api/v1/dsar/erase/by-email — удаление по проверенному запросу: собственные учётные записи пользователя этого лица в выбранных клиентских аккаунтах анонимизируются, а его сеансы, токены, уведомления, ожидающие приглашения, записи о рассылке и регистрации и собственный аватар удаляются; операционные записи, хранящиеся у Контролёра (бронирования, записи ворот и визитов, список водителей, контакты), перечисляются, чтобы Контролёр мог принять по ним меры; журнал аудита сохраняет анонимизированную ссылку на исполнителя для обеспечения целостности GMP (ст. 17(3)(b))
• Портал самообслуживания для запросов по адресу /data-request

10. Международные передачи данных

Операционные данные хранятся в пределах Европейской экономической зоны (Microsoft Azure, Швеция (центральный регион) и Норвегия (восточный регион)). Стандартные договорные положения (2021) применяются к каждой передаче данных субпроцессору за пределами ЕЭЗ; если получатель сертифицирован в рамках Рамочного соглашения о конфиденциальности данных между ЕС и США, это также учитывается. Оценки воздействия передачи данных завершаются (целевой срок — ноябрь 2026 г.).

11. Срок действия, расторжение и возврат данных

Настоящий DPA действует в течение срока действия соглашения об оказании услуг. При расторжении:

• Контролёр может экспортировать все свои данные в течение 30 дней через встроенные функции экспорта или по запросу
• По истечении 30 дней Обработчик удалит все операционные персональные данные Контролёра
• В течение срока действия соглашения об оказании услуг журналы аудита хранятся в псевдонимизированном состоянии: записи, относящиеся к GMP, — не менее 7 лет после события в соответствии с требованиями GMP к хранению записей (21 CFR Part 11 / EU GMP Annex 11; приоритет законного обязательства по ст. 17(3)(b)), прочие записи аудита — 365 дней. По окончании контракта, до удаления данных Контролёра, Контролёру предоставляется полный экспорт журнала аудита с квитанцией для верификации, который он хранит в течение собственного периода хранения записей, если только Контролёр не отказывается от экспорта в письменной форме или не может быть достигнут после разумных попыток; после этого Обработчик удаляет журнал аудита вместе с остальными данными Контролёра. За исключением описанных ниже резервных копий, истекающих по собственному расписанию, и собственной записи Обработчика о передаче данных (квитанции, хэшей и счётчиков экспорта, а также сведений о том, кто осуществил и принял передачу), журнал аудита хранится дольше только при наличии письменного указания Контролёра Обработчику в рамках отдельного соглашения.
• Операционные данные удаляются в течение 30 дней после окончания договора. Резервные копии базы данных на определённый момент времени истекают в течение 7 дней. Зашифрованные ежемесячные архивные резервные копии хранятся до 7 лет исключительно для целей аварийного восстановления; они не восстанавливаются, кроме как для восстановления сервиса, данные в них недоступны для использования и истекают вместе с резервной копией.
• Полная резервная копия базы данных создаётся каждую ночь и хранится 35 дней в отдельном зашифрованном хранилище в ЕЭЗ (Sweden Central, с георепликацией в Sweden South); данные, удалённые из основного сервиса, остаются в этих резервных копиях недоступными для использования вплоть до истечения срока их хранения.

12. Права на проведение аудита

Обработчик предоставляет Контролёру всю информацию, необходимую для подтверждения соответствия требованиям ст. 28 GDPR. Клиенты могут запросить: актуальный реестр субпроцессоров, последний отчёт о регрессионном тестировании изоляции клиентов, сводку внешнего тестирования на проникновение после его проведения (см. политику GDPR 11.1), а также ответы на анкету по безопасности поставщика. Обоснованные очные или дистанционные аудиты могут быть организованы с уведомлением не менее чем за 30 дней и проводятся Контролёром или независимой третьей стороной, связанной обязательством о конфиденциальности. В настоящее время Обработчик не имеет сертификации ISO 27001 или SOC 2; после получения сертификации ISO 27001 (целевой срок — I квартал 2027 г.) Обработчик будет предлагать сертификат в качестве замещающего доказательства.

13. Ответственность и применимое право

Ответственность по настоящему DPA регулируется ограничениями, установленными в YARDtwin Условия использования. Настоящий DPA регулируется законодательством Ирландии и Общим регламентом ЕС о защите данных (GDPR). Любые споры подлежат исключительной юрисдикции судов Ирландии.

14. Контактная информация

По вопросам, связанным с настоящим DPA, для запроса ознакомительной копии (подписанное обеими сторонами издание выдаётся после завершения регистрации компании) или для реализации любого из вышеуказанных прав обращайтесь admin@yardtwin.com или с контактным лицом по вопросам защиты данных по адресу dpo@yardtwin.com. Это ролевой почтовый ящик, который ведёт лицо, ответственное за защиту данных в YARDtwin Ltd. YARDtwin не назначил статутного Сотрудника по защите данных в соответствии со статьёй 37 GDPR, что не является обязательным для его деятельности по обработке данных (Политика GDPR 11.2); вместо имени конкретного сотрудника публикуется контактный адрес.