Соглашение об обработке данных

Последнее обновление: 15 мая 2026 г.

Настоящее СОД включается путём ссылки в Условия использования для бизнеса и вступает в силу с момента принятия Клиентом Условий использования для бизнеса или первого использования Сервиса после указанной выше даты - в зависимости от того, что наступит раньше. Клиент, которому необходим подписанный обеими сторонами экземпляр настоящего СОД на фирменном бланке компании, может подать соответствующий запрос, обратившись по адресу privacy@easyweek.io. EasyWeek подпишет его без изменений по существу настоящего шаблона.

1. Определения

Термины, написанные с заглавной буквы, но не определённые в настоящем СОД, имеют значение, данное в Условиях использования для бизнеса или в Законе Украины «О защите персональных данных». В частности:

• «Закон о защите персональных данных» - Закон Украины «О защите персональных данных» от 1 июня 2010 года № 2297-VI. Там, где настоящее СОД содержит ссылки на Регламент (ЕС) 2016/679 или иные акты ЕС, такие ссылки применяются исключительно в контексте трансграничной обработки персональных данных субъектов данных из ЕЭЗ и не изменяют сферу применения Закона Украины «О защите персональных данных» в отношении данных граждан Украины. Передача персональных данных в государства - члены ЕС рассматривается как передача в юрисдикцию с надлежащим уровнем защиты персональных данных в соответствии с действующим законодательством Украины.
• «Контролёр», «Обработчик», «Субъект данных», «Персональные данные», «Нарушение защиты персональных данных», «Обработка», «Субобработчик», «Надзорный орган» - в значении, определённом в ст. 2 Закона Украины «О защите персональных данных».
• «Персональные данные Клиента» - Персональные данные, которые Клиент или его уполномоченные пользователи направляют в Сервис или формируют с его помощью и которые обрабатываются EasyWeek от имени Клиента.
• «СДП» - Стандартные договорные положения о передаче персональных данных в третьи страны, принятые Исполнительным решением Комиссии (ЕС) 2021/914 от 4 июня 2021 года, применяемые в отношении передачи персональных данных субъектов данных из ЕЭЗ.

2. Роли

Клиент является Контролёром Персональных данных Клиента. EasyWeek является Обработчиком и обрабатывает Персональные данные Клиента исключительно на основании задокументированных инструкций Клиента и в соответствии с настоящим СОД, Условиями использования для бизнеса и действующим законодательством.

Стороны признают, что EasyWeek является Контролёром в отношении ограниченных категорий персональных данных, которые EasyWeek обрабатывает в собственных целях - например, учётные данные авторизованных пользователей, платёжные данные и телеметрия использования Сервиса. Такая обработка регулируется Политикой конфиденциальности для бизнеса, а не настоящим СОД.

3. Предмет, срок, цель

Предмет, характер, цель, срок, категории Персональных данных и категории Субъектов данных описаны в Приложении I.

Настоящее СОД действует в течение всего времени, пока EasyWeek обрабатывает Персональные данные Клиента от имени Клиента, и сохраняет силу после прекращения действия Условий использования для бизнеса на срок, необходимый для исполнения Раздела 13.

4. Инструкции Клиента

Сам Сервис, конфигурация, применённая Клиентом через пользовательский интерфейс Сервиса и API, Условия использования для бизнеса и настоящее СОД составляют полный и окончательный задокументированный перечень инструкций Клиента для EasyWeek в отношении обработки Персональных данных Клиента. Любые дополнительные или иные инструкции требуют письменного соглашения и могут повлечь дополнительную оплату.

EasyWeek уведомит Клиента без неоправданной задержки, если, по её мнению, инструкция нарушает Закон Украины «О защите персональных данных» или иное применимое законодательство о защите данных, и может приостановить исполнение спорной инструкции до получения письменного подтверждения от Клиента.

5. Конфиденциальность

EasyWeek обеспечивает, чтобы персонал, уполномоченный на обработку Персональных данных Клиента, принял на себя обязательства по конфиденциальности (либо подпадал под соответствующую законодательную обязанность соблюдения конфиденциальности в соответствии с Законом Украины «О защите персональных данных»), а также соблюдал основы контроля доступа и принцип минимальных привилегий. Доступ к Персональным данным Клиента предоставляется только тому персоналу, которому он необходим для обеспечения функционирования или совершенствования Сервиса.

6. Безопасность (ТОМ)

EasyWeek принимает соответствующие технические и организационные меры для обеспечения уровня безопасности, соответствующего риску, как изложено в Приложении II. EasyWeek может обновлять свои ТОМ со временем при условии, что уровень защиты не снижается.

7. Субпроцессоры

Клиент настоящим предоставляет EasyWeek общее письменное разрешение на привлечение Субпроцессоров. Перечень утверждённых Субпроцессоров по состоянию на дату заключения настоящего СОД приведён в Приложении III и поддерживается по адресу /business/subprocessors.

EasyWeek уведомляет Клиента не менее чем за тридцать (30) дней до любого запланированного добавления или замены Субпроцессоров через центр уведомлений в приложении, а также, если Клиент оформил соответствующую подписку, по электронной почте. Клиент может возразить против такого привлечения по обоснованным, задокументированным основаниям в сфере защиты персональных данных в течение тридцати (30) дней с даты уведомления. Если стороны не могут прийти к согласию в отношении разрешения спора, Клиент вправе расторгнуть Условия использования для бизнеса в отношении той части Сервиса, которая требует оспариваемого Субпроцессора, с пропорциональным возмещением предварительно уплаченных средств за неиспользованный срок.

EasyWeek возлагает на каждого Субпроцессора обязательства по защите персональных данных путём заключения письменного договора, который обеспечивает не менее строгий уровень защиты, чем тот, что предусмотрен настоящим СОД. EasyWeek остаётся полностью ответственным перед Клиентом за исполнение обязательств своими Субпроцессорами.

8. Международные передачи данных

Персональные данные Клиента обрабатываются преимущественно в пределах Европейского экономического пространства. В случае передачи Персональных данных Клиента в страну за пределами ЕЭЗ, в отношении которой Европейская комиссия не приняла решение о соответствии, применяются СДП со следующими параметрами:

• Модуль Два (Контролёр к Обработчику) включается путём ссылки для передачи от Клиента (или его контролёра в пределах ЕЭЗ) к EasyWeek, где EasyWeek обрабатывает Персональные данные Клиента в третьей стране.
• Модуль Три (Обработчик к Обработчику) включается путём ссылки для последующих передач от EasyWeek Субобработчикам в третьей стране.
• Положение 7 (Присоединительная оговорка) включено.
• Положение 9(a) - применяется Вариант 2 (общее письменное разрешение, уведомление за 30 дней).
• Положение 11(a) - независимый орган по разрешению споров не выбран.
• Положение 17 - применимым правом является право Германии.
• Положение 18 - компетентными судами являются суды города Дюссельдорф, Германия.
• Приложение I к СДП заполняется путём ссылки на Приложение I настоящего СОД.
• Приложение II к СДП заполняется путём ссылки на Приложение II настоящего СОД.
• Приложение III к СДП заполняется путём ссылки на Приложение III настоящего СОД.

Оценка воздействия передачи данных, содержащая результаты оценки EasyWeek законодательства страны назначения и любых дополнительных технических, договорных или организационных мер, предоставляется по запросу по адресу privacy@easyweek.io.

Для Клиентов, действующих в соответствии с Законом Украины «О защите персональных данных»: обработка Персональных данных компанией EasyWeek GmbH (Германия) осуществляется в пределах Европейского союза - юрисдикции с надлежащим уровнем защиты персональных данных. Любая последующая передача Персональных данных украинских субъектов в третьи страны, не обеспечивающие такого уровня защиты, осуществляется с применением соответствующих гарантий, в частности Стандартных договорных положений, описанных в настоящем разделе.

Для передачи в Великобританию применяется Дополнение о международной передаче данных Великобритании к СДП (выпущенное ICO и действующее с 21 марта 2022 года). Для передачи в Швейцарию СДП читаются с заменами, требуемыми FDPIC.

9. Запросы субъектов данных

Сервис предоставляет функции самообслуживания, которые позволяют Клиенту исполнять Запросы субъектов данных на доступ, исправление, удаление, ограничение, перенос и возражение. Если субъект данных обращается в EasyWeek напрямую, EasyWeek без неоправданной задержки передаёт запрос Клиенту и не отвечает субъекту данных иначе, чем для подтверждения получения запроса и его направления Клиенту.

EasyWeek оказывает Клиенту содействие, с учётом характера обработки, путём соответствующих технических и организационных мер в исполнении обязательства Клиента по реагированию на Запросы субъектов данных в соответствии со статьями 12-22 Закона Украины «О защите персональных данных».

10. Нарушение безопасности персональных данных

EasyWeek уведомит Клиента без неоправданных задержек и в любом случае в течение семидесяти двух (72) часов с момента обнаружения Нарушения безопасности персональных данных, которое затрагивает Персональные данные Клиента. Уведомление будет содержать как минимум информацию, которая требуется в соответствии с Законом Украины «О защите персональных данных», в той мере, в какой она известна: характер Нарушения, категории и приблизительное количество пострадавших Субъектов данных и записей, вероятные последствия, а также принятые или запланированные меры.

EasyWeek будет принимать разумные меры для локализации и устранения Нарушения, а также для предоставления Клиенту информации, необходимой для исполнения Клиентом собственных обязательств по уведомлению Уполномоченного Верховной Рады Украины по правам человека (https://www.ombudsman.gov.ua/) и пострадавших Субъектов данных.

11. Оценка воздействия на защиту данных и предварительная консультация

EasyWeek окажет Клиенту разумное содействие в проведении любой Оценки воздействия на защиту данных или предварительной консультации, которую Клиент обязан осуществить в соответствии с Законом Украины «О защите персональных данных», в той мере, в какой такое содействие является обоснованно необходимым, а соответствующая информация хранится у EasyWeek.

12. Аудит

EasyWeek предоставит Клиенту всю информацию, необходимую для подтверждения соответствия настоящему СОД, в частности:

• Актуальные копии наиболее релевантных сертификатов и аудиторских отчётов (например, ISO 27001 при наличии, отчёты SOC 2 типа II соответствующих Субпроцессоров).
• Письменные ответы на обоснованный опросник по безопасности - один раз в двенадцатимесячный период, безвозмездно.

Если указанная выше информация является недостаточной и Клиент обязан своим Надзорным органом провести аудит на месте, Клиент может самостоятельно провести или поручить независимому аудитору провести аудит за счёт Клиента, при условии подачи письменного уведомления не менее чем за шестьдесят (60) дней, в рабочие часы, не более одного раза в двенадцатимесячный период (если только не произошёл Инцидент с Персональными данными), под разумными обязательствами по конфиденциальности и без нарушения деловых операций EasyWeek или безопасности других клиентов. Объём аудита ограничивается проверкой соответствия EasyWeek настоящему СОД.

13. Возврат и удаление

В течение тридцати (30) дней с момента прекращения действия Условий использования для бизнеса Клиент может экспортировать Персональные данные Клиента с помощью инструментов самостоятельного экспорта, предоставляемых Сервисом. После окончания этого тридцатидневного льготного периода EasyWeek удалит или обезличит Персональные данные Клиента в разумные сроки, но в любом случае в течение девяноста (90) дней, за исключением случаев, когда EasyWeek обязан законодательством Украины или иным применимым законодательством хранить часть либо все такие данные (в таком случае хранимые данные остаются предметом обязательств по конфиденциальности и безопасности, предусмотренных настоящим СОД).

Резервные копии, содержащие Персональные данные Клиента, перезаписываются циклически в пределах стандартного срока хранения резервных копий и остаются предметом настоящего СОД до его окончания.

14. Ответственность и прочие положения

Ответственность каждой стороны по настоящему Соглашению об обработке данных или в связи с ним регулируется ограничениями и исключениями ответственности, изложенными в Условиях использования для бизнеса.

Настоящее Соглашение об обработке данных является частью Условий использования для бизнеса. В случае любого противоречия между настоящим Соглашением об обработке данных и Условиями использования для бизнеса в отношении обработки Персональных данных Клиента преимущественную силу имеет настоящее Соглашение об обработке данных. В случае любого противоречия между настоящим Соглашением об обработке данных и Стандартными договорными положениями преимущественную силу имеют Стандартные договорные положения.

Настоящее Соглашение об обработке данных регулируется законодательством Федеративной Республики Германия. Суды Дюссельдорфа, Германия, обладают исключительной юрисдикцией без ущерба для императивных средств защиты субъектов данных по месту их обычного проживания.

Приложение I - Описание обработки

Предмет Обработка, необходимая для предоставления Бизнес-сервиса EasyWeek Клиенту.

Продолжительность В течение срока действия Условий использования для бизнеса и любого предусмотренного после их прекращения срока хранения, необходимого для исполнения Раздела 13.

Характер и цель обработки Хостинг, хранение, поиск, организация, изменение, передача, удаление, анонимизация, статистический анализ и иные операции по обработке, необходимые для предоставления онлайн-бронирования, управления отношениями с клиентами, финансов и выставления счетов, автоматизации маркетинга, создания веб-сайтов, напоминаний и уведомлений, размещения на маркетплейсе, функций на основе искусственного интеллекта и вспомогательных функций.

Категории субъектов данных

• Конечные клиенты и потенциальные клиенты Клиента
• Работники, фрилансеры, подрядчики и иные авторизованные пользователи Клиента
• Посетители страниц онлайн-бронирования Клиента и встроенных виджетов
• Отправители и получатели сообщений, направляемых через Сервис

Категории персональных данных

• Идентификационные данные (имя, фото, пол)
• Контактные данные (электронная почта, телефон, адрес)
• Учётные данные авторизованных пользователей Клиента
• История бронирований и записей
• Заметки, файлы, фото, документы, загруженные Клиентом
• Данные программы лояльности, балансы подарочных карт, сегменты клиентов
• Содержимое сообщений (SMS, WhatsApp, текст электронного письма, текст push-уведомления, чат в приложении)
• Финансовые данные (записи счетов-фактур, статус платежа, последние 4 цифры платёжных карт - полные данные карт обрабатываются непосредственно Stripe и не хранятся EasyWeek)
• Технические данные (IP-адрес, идентификатор устройства, браузер, язык, метки времени)
• Если Клиент решает их фиксировать: заметки, связанные со здоровьем (в контексте индустрии красоты, велнеса, медицины или стоматологии). Клиент несёт ответственность за обеспечение наличия правового основания в соответствии с Законом Украины «О защите персональных данных» перед фиксацией таких данных.

Частота передачи Непрерывная.

Хранение Персональные данные Клиента хранятся в течение срока, определённого Клиентом, а также в соответствии с дополнительным описанием в Разделе 13.

Приложение II - Технические и организационные меры

EasyWeek внедряет как минимум следующие меры, которые может обновлять время от времени при условии, что уровень защиты не снижается:

• Псевдонимизация и шифрование - TLS 1.3 для данных в транзите в публичных сетях; AES-256 для данных в состоянии покоя (хранение в базах данных, объектное хранилище, резервные копии); ключи шифрования для каждого арендатора для чувствительных полей, где применимо.
• Конфиденциальность - ролевой контроль доступа с принципом минимальных привилегий, многофакторная аутентификация, обязательная для всех административных доступов, автоматическое завершение сеанса, контроль доступа на основе IP-адреса для производственных систем, письменные обязательства по конфиденциальности для всего персонала.
• Целостность - управление изменениями, проверка кода, автоматизированное сканирование зависимостей, подписанные артефакты развёртывания, проверка целостности резервных копий.
• Доступность и устойчивость - производственный хостинг в центрах обработки данных Hetzner в Германии с резервным электропитанием и резервным сетевым подключением, оркестрация Kubernetes с автоматическим восстановлением, ежедневные резервные копии с межзональной репликацией, задокументированный план аварийного восстановления с ежегодными кабинетными учениями, страница статуса на status.easyweek.io.
• Восстановление - хранение резервных копий, достаточное для восстановления сервиса после физического или технического инцидента; ежеквартальные тесты восстановления.
• Тестирование и оценка - ежегодное тестирование на проникновение производственной среды третьей стороной, непрерывное статическое и динамическое тестирование безопасности приложений в CI/CD, процесс управления уязвимостями с определёнными SLA для их устранения.
• Сегрегация сети - производственная, тестовая и разработческая среды логически и физически разделены; административный доступ - исключительно через бастионные хосты.
• Журналирование и мониторинг - централизованные журналы аудита для событий аутентификации, авторизации, изменений конфигурации и экспорта данных, хранящиеся не менее одного года; мониторинг событий и информации безопасности с оповещением об аномалиях.
• Безопасная разработка - SDLC с моделированием угроз, проверкой кода коллегами, сканированием секретов, соблюдением лицензионных требований и стандартами кодирования в соответствии с OWASP.
• Управление поставщиками - письменные договоры со всеми Субподрядчиками по обработке данных, устанавливающие эквивалентные обязательства; периодический пересмотр.
• Безопасность персонала - проверка биографических данных там, где это законно; обучение по вопросам информационной безопасности и защиты данных при приёме на работу и ежегодно после этого.
• Управление инцидентами - круглосуточная дежурная ротация; задокументированный план реагирования на инциденты; уведомление о нарушении безопасности данных в течение 72 часов в соответствии с Разделом 10.
• Физическая безопасность - физический доступ к объектам обработки контролируется Субподрядчиком по обработке данных, управляющим соответствующим объектом (Hetzner, Google Cloud), в соответствии со средствами контроля, сертифицированными по ISO 27001 / SOC 2.

Приложение III - Утверждённые субподрядчики по обработке данных

Актуальный перечень субподрядчиков по обработке данных EasyWeek опубликован и поддерживается по адресу /business/subprocessors. Перечень по указанному URL-адресу настоящим включается путём ссылки в настоящее СОД и Приложение III.