Соглашение об обработке данных

1. Стороны

Настоящее Соглашение об обработке данных ("DPA") заключается между Клиентом ("Контролёр данных") и YARDtwin Ltd, зарегистрированной в Ирландии ("Процессор данных"), совместно именуемыми «Стороны». Настоящий DPA является частью и регулируется условиями YARDtwin Условия использования.

2. Область применения и цель

Процессор обрабатывает персональные данные от имени Контролёра исключительно в целях предоставления платформы управления двором YARDtwin: планирование докстанций, операции на воротах, визуализация цифрового двойника двора, управление перевозчиками и водителями, аудиторский след в соответствии с GMP, аналитика и интеграции. Обработка осуществляется в течение срока действия подписки Контролёра и любого срока хранения, предусмотренного Разделом 11.

3. Категории субъектов данных

• Сотрудники и администраторы Контролёра (именованные пользователи платформы)
• Водители и логистический персонал, прошедшие регистрацию на воротах Контролёра
• Представители перевозчиков и контакты отдела диспетчеризации
• Персонал охраны ворот и операторы склада

4. Виды персональных данных

• Идентификационные данные: имена, адреса электронной почты, номера телефонов, должность, название и адрес компании
• Данные аутентификации: пароли, хешированные bcrypt (12 раундов), токены доступа и обновления JWT, временны́е метки сессий, IP-адреса, идентификаторы SSO (Google, Microsoft)
• Операционные данные: записи о назначениях, распределение доков, перемещения прицепов, акты осмотра, документы, задания, регистрационные данные транспортных средств
• Данные водителей: номера водительских удостоверений, изображения удостоверений, опциональные изображения лица для биометрической верификации на воротах (данные специальной категории, ст. 9 GDPR — обрабатываются только при условии, что Контролёр включил биометрическую верификацию на воротах и получил явное согласие в момент сбора данных)
• Данные аудита: действия пользователей, временны́е метки, IP-адреса, строки user-agent, различия старых/новых значений, записи с пометкой GMP

5. Обязательства Процессора

• Обрабатывать персональные данные только по задокументированным инструкциям Контролёра (интерфейс платформы и API являются задокументированными инструкциями)
• Обеспечивать, чтобы лица, уполномоченные на обработку данных, были связаны соглашениями о конфиденциальности
• Применять надлежащие технические и организационные меры безопасности (ст. 32) — см. Раздел 7 ниже
• Не привлекать субпроцессоров без предварительного письменного согласования; уведомлять о любом новом субпроцессоре за 30 дней (право на возражение)
• Содействовать Контролёру в обработке запросов субъектов данных (ст. 15–22) через конечные точки DSAR, описанные в Разделе 9
• Уведомлять Контролёра об утечках персональных данных без неоправданной задержки и в течение 72 часов (Раздел 8)
• Удалять или возвращать все персональные данные по истечении срока действия услуг (Раздел 11)
• Предоставлять всю информацию, необходимую для подтверждения соответствия требованиям, и обеспечивать поддержку аудитов (Раздел 12)

6. Субпроцессоры

В настоящее время Обработчик привлекает следующих субпроцессоров, каждый из которых действует на основании Соглашения об обработке данных и (при необходимости) Стандартных договорных положений 2021:

Клиенты уведомляются не менее чем за 30 дней до добавления любого нового субпроцессора с правом на возражение и расторжение договора без штрафных санкций.

7. Меры безопасности (ст. 32)

• Шифрование при передаче: TLS 1.2+ на каждой конечной точке; сертификаты управляются Microsoft Azure (DigiCert)
• Шифрование при хранении: Прозрачное шифрование данных Azure Postgres Flexible Server; шифрование Azure Blob Storage
• Шифрование на уровне полей: AES-256-GCM для биометрических данных (изображения водительских удостоверений, изображения подписей), ключи хранятся в Azure Key Vault
• Хэширование паролей: bcrypt, 12 раундов
• Аутентификация: JWT-токены доступа (срок действия 1 час) + токены обновления (срок действия 7 дней, ротация при использовании); SSO через Google и Microsoft с эквивалентом MFA
• Изоляция арендаторов: применяется на каждом маршруте API, регрессионное тестирование по 25 векторам межарендного аудита при каждом релизе
• Ролевое управление доступом: шесть ролей (admin, ops_manager, gate_guard, warehouse_operator, carrier, super_admin), промежуточное ПО с принципом минимальных привилегий
• Брандмауэр веб-приложений: Azure Front Door + управляемый WAF (набор правил OWASP Core Rule Set, защита от ботов, L7 DDoS)
• Ограничение частоты запросов: лимиты на каждый маршрут, более строгие для конечных точек аутентификации; отслеживание попыток в памяти и с сохранением
• Журнал аудита: только добавление на уровне приложения, хранение в течение 6 лет, записи, относящиеся к GMP, помечены отдельно, псевдонимизация (без удаления) при запросе на стирание по ст. 17 в соответствии со ст. 17(3)(b)
• Непрерывный мониторинг: Azure Application Insights, оповещение об изменении схемы (окно 15 минут), сквозной зонд /health/db-write, воркер мониторинга инцидентов (всплески неудачных входов, атаки с нескольких IP, входы из нетипичных стран, частота 5xx)
• Цепочка поставок ПО: npm audit, Trivy, Semgrep, gitleaks, OWASP ZAP при каждом PR. Секреты: Azure Key Vault с доступом через управляемое удостоверение App Service; никаких секретов в коде, файлах окружения или образах контейнеров

8. Уведомление об утечке персональных данных

Обработчик уведомляет Контролёра без неоправданной задержки и не позднее чем через 72 часа после обнаружения утечки персональных данных, затрагивающей данные Контролёра (ст. 33). Уведомление включает характер утечки, категории и приблизительное число затронутых субъектов данных, вероятные последствия, принятые или предлагаемые меры, а также ссылку на реестр инцидентов. Выявленные аномалии направляются в Azure Monitor Action Group yardtwin-breach-actions; подтверждённые инциденты фиксируются в таблице реестра инцидентов с 72-часовым обратным отсчётом для DPC.

9. Права субъектов данных

Обработчик предоставляет Контролёру следующие конечные точки для реализации прав субъектов данных в течение 30-дневного срока по ст. 12(3):

• POST /api/v1/dsar/export/by-email — машиночитаемый экспорт, охватывающий ст. 15 (доступ) и ст. 20 (переносимость)
• POST /api/v1/dsar/erase/by-email — псевдонимизация во всех таблицах, содержащих персональные данные, с сохранением журналов аудита в соответствии со ст. 17(3)(b)
• Портал самообслуживания для запросов по адресу /data-request

10. Международные передачи данных

Операционные данные хранятся в пределах Европейской экономической зоны (Microsoft Azure, Швеция Центральная + Норвегия Восточная). Передача данных субпроцессорам за пределами ЕЭЗ (Resend, Anthropic) регулируется Стандартными договорными положениями 2021 года с задокументированными оценками воздействия на передачу. Stripe заключает договоры через Stripe Ireland (основная площадка в ЕЭЗ).

11. Срок действия, расторжение и возврат данных

Настоящий DPA действует в течение срока действия соглашения об оказании услуг. При расторжении:

• Контролёр может экспортировать все свои данные в течение 30 дней через встроенные функции экспорта или по запросу
• По истечении 30 дней Обработчик удалит все операционные персональные данные Контролёра
• Журналы аудита хранятся в псевдонимизированном виде в течение 6 лет после события, как того требуют 21 CFR Part 11 / EU GMP Annex 11 (приоритет правового основания по ст. 17(3)(b))
• Резервные копии удаляются в течение 7 дней после оперативного удаления данных, в соответствии с окном восстановления на момент времени

12. Права на проведение аудита

Обработчик предоставляет Контролёру всю информацию, необходимую для подтверждения соответствия ст. 28 GDPR. Клиенты вправе запросить: копии соответствующих сертификатов безопасности и отчётов об аудите (при их наличии), актуальный реестр субпроцессоров, последний отчёт о регрессионном тестировании изоляции арендаторов, последнее резюме внешнего пентеста (при наличии, см. Политику GDPR 11.1), а также ответы на вопросник по безопасности поставщика. Обоснованные проверки на месте или дистанционно могут быть согласованы с предварительным уведомлением не менее чем за 30 дней и проводятся Контролёром или независимой третьей стороной, связанной обязательством о конфиденциальности. После получения соответствующих сертификатов Обработчик будет отдавать приоритет отчётам ISO 27001 / SOC 2 Type II в качестве замещающих доказательств.

13. Ответственность и применимое право

Ответственность по настоящему DPA регулируется ограничениями, установленными в YARDtwin Условия использования. Настоящий DPA регулируется законодательством Ирландии и Общим регламентом ЕС о защите данных (GDPR). Любые споры подлежат исключительной юрисдикции судов Ирландии.

14. Контактная информация

По вопросам, связанным с настоящим DPA, для запроса контрподписанной копии или для реализации любого из указанных выше прав обращайтесь по адресу admin@yardtwin.com или к Сотруднику по защите данных по адресу dpo@yardtwin.com. В настоящее время ведётся привлечение внешнего частичного DPO (Политика GDPR 11.2); до его назначения письма, направленные на dpo@yardtwin.com, переадресовываются на admin@yardtwin.com.