MuchBetter Бизнес
ДОПОЛНЕНИЕ О ЗАЩИТЕ ДАННЫХ

1. Определения

Все термины, написанные с заглавной буквы и не определенные в настоящем Дополнении к Соглашению о защите данных («DPA»), имеют значения, указанные в Соглашении.

1. Партнер означает любое лицо или организацию, прямо или косвенно контролирующее, контролируемое или находящееся под общим контролем со Стороной. Для целей настоящего определения «контроль» (включая, в соответствующих значениях, термины «контролирующий», «контролируемый» и «находящийся под общим контролем») означает полномочия управлять или руководить делами данного лица или организации, будь то посредством владения голосующими ценными бумагами, по договору или иным образом.
2. Соглашение означает Соглашение об обслуживании бизнес-счета MuchBetter между MIR и владельцем счета, которое подразумевает доступ к персональным данным или иную обработку персональных данных;
3. Утвержденная юрисдикция означает государство-член ЕЭЗ или другую юрисдикцию, которая может быть одобрена как имеющая адекватную правовую защиту данных Европейской комиссией или правилами Великобритании о достаточности защиты, изданными в соответствии с Разделом 17A Закона о защите данных 2018 года или Пунктами 4 и 5 Приложения 21 Закона о защите данных 2018 года, в зависимости от обстоятельств;
4. Инцидент нарушения означает нарушение безопасности, приводящее к случайному или незаконному уничтожению, потере, изменению, несанкционированному раскрытию или доступу к персональным данным, переданным, хранящимся или иным образом обрабатываемым;
5. Законы о защите данных означает любые и/или все применимые внутренние и иностранные законы, правила, директивы и положения, касающиеся конфиденциальности данных, безопасности данных и/или защиты персональных данных, включая Директиву о конфиденциальности и электронных коммуникациях 2002/58/EC (и соответствующие местные имплементирующие законы), касающиеся обработки персональных данных и защиты конфиденциальности в секторе электронных коммуникаций (Директива о конфиденциальности и электронных коммуникациях), включая любые поправки или замены к ним, включая Регламент (ЕС) 2016/679 Европейского парламента и Совета от 27 апреля 2016 года («GDPR») и включая Закон о защите данных 2018 года и GDPR, поскольку он является частью законодательства Англии и Уэльса, Шотландии и Северной Ирландии в силу раздела 3 Закона о Европейском союзе (выход) 2018 года («UK GDPR»).
6. ЕЭЗ означает те страны, которые являются членами Европейской экономической зоны.
7. МИР означает MIR Limited UK Ltd, поставщика услуг по обслуживанию бизнес-счетов MuchBetter
8. Персональные данные или «Персональные данные» означают любую информацию, которая относится к идентифицируемому лицу или может быть связана с ним. Они включают в себя любую информацию, которая может быть связана с лицом или использована для прямой или косвенной идентификации физического лица. Персональные данные считаются конфиденциальной информацией независимо от источника.
9. Процесс означает любую операцию или совокупность операций, выполняемых с персональными данными, независимо от того, выполняются ли они автоматически, например, сбор, запись, организация, хранение, адаптация или изменение, доступ, извлечение, консультирование, использование, раскрытие путем передачи, распространения или иного предоставления, сопоставление или комбинирование, блокирование, удаление или уничтожение. «Обработки» или «Обработка» толкуются соответствующим образом.
10. Стандартные договорные положения или «SCCs» — применимый модуль стандартных договорных положений о передаче персональных данных в третьи страны в соответствии с Регламентом (ЕС) 2016/679 Европейского парламента и Совета от 4 июня 2021 года, который может быть изменен, заменен или отменён время от времени.
11. Дополнение Великобритании означает Дополнительное соглашение о международной передаче данных к Стандартным договорным условиям, вступившее в силу 21 марта 2022 года.

2. Применение настоящего Соглашения о защите данных

1. Настоящее Соглашение об обработке данных будет применяться только в том случае, если соблюдены все следующие условия:
   
   1. Каждая из Сторон обрабатывает Персональные данные, предоставленные другой Стороной в связи с Соглашением;
   2. На обработку персональных данных распространяются законы о защите данных.
2. Настоящее Соглашение об обработке данных (DPA) будет применяться только к услугам, которые Стороны согласовали в Соглашении и которые включают DPA посредством ссылки.

3. Защита данных и конфиденциальность

1. В той мере, в которой Сторона имеет доступ к персональным данным, предоставленным другой Стороне, или иным образом обрабатывает их, эта Сторона должна:
   
   1. Быть независимым Контролером Персональных данных и определять цели и средства обработки в соответствии с Соглашением и Законами о защите данных.
   2. Обрабатывать персональные данные только в соответствии с требованиями Законов о защите данных и, как того требует Закон о защите данных, вести точные письменные записи обо всех действиях по обработке любых персональных данных, осуществляемых в рамках Соглашения.
   3. Не отступая от вышеизложенного, нести ответственность за предоставление субъекту данных любой информации, требуемой в соответствии с Законами о защите данных, и позволять субъектам данных осуществлять свои права в соответствии с Законами о защите данных, а также оказывать другой Стороне разумное сотрудничество и помощь для выполнения вышеизложенного и любых юридических или нормативных обязательств;
   4. Внедрять и поддерживать коммерчески обоснованные и надлежащие физические, технические и организационные меры безопасности для защиты Персональных данных от случайного или незаконного уничтожения; случайной потери, изменения, несанкционированного раскрытия или доступа к персональным данным, которые передаются, хранятся или иным образом обрабатываются, а также всех других незаконных форм Обработки;
   5. Выполнять все обязательства по уведомлению надзорного органа об утечке персональных данных и обязательства по информированию субъектов данных, как того требуют законы о защите данных;
   6. Уведомить другую Сторону без неоправданной задержки и не позднее, чем через двадцать четыре (24) часа после того, как стало известно об инциденте нарушения.
2. Сторона, изначально получающая персональные данные от субъекта данных, несет ответственность за получение любых согласий, которые могут потребоваться от субъекта данных (в каждом случае в объеме, необходимом для соблюдения законодательства о защите данных), а также за предоставление субъекту данных информации до сбора персональных данных (например, «Уведомления о конфиденциальности» или «Политики конфиденциальности»), необходимой для соблюдения законодательства о защите данных. Вышеизложенное не умаляет обязанностей другой Стороны в соответствии с законодательством о защите данных (например, требования предоставлять информацию субъекту данных при обработке персональных данных).
3. Каждая Сторона может назначать субподрядчиков, включая Аффилированных лиц, для обработки Персональных данных от своего имени («Субподрядчики») в целях выполнения своих обязательств и услуг по Соглашению, при условии, что: (i) назначение будет осуществляться на основе письменного соглашения с назначенным Субподрядчиком, содержащим, где это применимо, условия, обеспечивающие эквивалентную защиту Персональных данных, как предусмотрено в настоящем Дополнении о защите данных; и (ii) каждая Сторона будет нести ответственность за действия или бездействие своих собственных Субподрядчиков в той же степени, в которой она несет ответственность за свои собственные действия или бездействие в соответствии с настоящим Дополнением о защите данных, Соглашением и Законами о защите данных.

4. Передача персональных данных

Стороны не должны обрабатывать или передавать персональные данные за пределы утвержденной юрисдикции;

1. Если Сторона желает обрабатывать персональные данные или передавать персональные данные в юрисдикцию, отличную от утвержденной юрисдикции, то она считается вступившей в Стандартные условия договора, где это применимо, вместе с Дополнением Великобритании, и в этом случае: (i) Дополнительное соглашение Великобритании и Стандартные условия договора включены в настоящий документ посредством ссылки; и (ii) Сторона, раскрывающая персональные данные, считается Экспортером, а Сторона, получающая персональные данные, считается Импортером (как эти термины определены в настоящем документе).

5. Общие положения

1. Если какие-либо Законы о защите данных будут заменены новыми или измененными Законами о защите данных (включая любые решения или толкования соответствующего суда или государственного органа, относящиеся к ним), новые или измененные Законы о защите данных будут считаться включенными в настоящее Дополнительное соглашение о защите данных, и обе Стороны незамедлительно начнут соблюдать такие Законы о защите данных.
2. В случае возникновения противоречий или несоответствий между условиями настоящего Соглашения об обработке данных и Стандартными договорными положениями или Дополнительным соглашением для Великобритании (в зависимости от применимости) преимущественную силу будут иметь положения Стандартных договорных положений или Дополнения для Великобритании (в зависимости от применимости).

Приложение I к СКК

1. Приложение 1 является частью Соглашения об обмене данными и содержит согласованное толкование Сторонами своих обязательств по Дополнительному соглашению Великобритании и/или Стандартным договорным положениям.
2. Стороны соглашаются, что для целей передачи персональных данных между «МИР» и Владельцем счета применяются следующие положения:
   
   1. Пункт 7 СКК не будет применяться
   2. Надзорным органом является Управление комиссара по информации Великобритании, если включено Дополнение Великобритании, или Ирландский комиссар по защите данных, если включены только Дополнительные положения.
   3. Законы Англии и Уэльса имеют преимущественную силу в случаях, когда применяется Дополнение Великобритании, и законы Ирландии в случаях, когда оно не применяется.
   4. Стороны выбирают английские суды в качестве места рассмотрения споров и юрисдикции в случаях, когда применяется Дополнительное соглашение Великобритании, и ирландские суды в случаях, когда оно не применяется.
   5. В Таблице 4 Дополнения Великобритании указано, что любая из сторон может расторгнуть соглашение в соответствии с разделом 19 Дополнения Великобритании.

Идентификация сторон

«Экспортер данных»: передатчик персональных данных;

«Импортер данных»: получатель персональных данных

Описание перевода

Субъекты данных

Обрабатываемые персональные данные касаются следующих категорий субъектов данных (пожалуйста, укажите):

• ☐ Сотрудники МИР
• ☐ Клиенты MIR
• ☐ Конечные пользователи владельца счета
• ☐ Сотрудники владельца счета
• ☐ Клиенты владельца счета
• ☐ Другое: ________

Категории персональных данных

Передаваемые персональные данные касаются следующих категорий данных (пожалуйста, укажите):

• ☐ Контактная информация (имя, возраст, пол, адрес, номер телефона, адрес электронной почты и т. д.)
• ☐ Финансовые и платежные данные (например, номер кредитной карты, банковский счет, транзакции)
• ☐ Государственные удостоверения личности (паспорт, водительское удостоверение)
• ☐ Идентификаторы устройств и активность в Интернете или электронных сетях (IP-адреса, GAID/IDFA, история просмотров, временные метки)
• ☐ Информация о геолокации
• ☐ Биометрические данные
• ☐ Другое: ________

Специальные категории данных (при необходимости)

Передаваемые персональные данные касаются следующих специальных категорий данных (пожалуйста, укажите):

• ☐ Нет
• ☐ Генетические или биометрические данные
• ☐ Данные о здоровье
• ☐ Расовое или этническое происхождение
• ☐ Политические взгляды, религиозные или философские убеждения
• ☐ Другое: ________

Частота передачи:

• ☐ Разовый
• ☐ Непрерывный
• ☐ Другое: ________

Характер обработки

• ☐ Коллекция
• ☐ Запись
• ☐ Организация или структурирование
• ☐ Хранение
• ☐ Адаптация или изменение
• ☐ Извлечение
• ☐ Консультация
• ☐ Раскрытие, распространение или иное предоставление информации
• ☐ Анализ
• ☐ Стирание или уничтожение
• ☐ Другое: ________
•  

Цель передачи и дальнейшей обработки

• ☐ Предоставлять, управлять и эксплуатировать услуги по обслуживанию счетов MBB
• ☐ Другое: ________

Срок хранения

Персональные данные будут храниться в течение срока действия Соглашения или в соответствии с применимым законодательством.

Приложение II к Стандартным условиям – Технические и организационные меры, включая технические и организационные меры по обеспечению безопасности данных

Настоящее Приложение является частью DPA и описывает технические и организационные меры безопасности, реализуемые импортером данных.

Принимая во внимание уровень развития техники, затраты на реализацию, характер, объем, контекст и цели обработки, а также риск различной вероятности и серьезности для прав и свобод физических лиц, импортер данных должен реализовать соответствующие технические и организационные меры для обеспечения уровня безопасности, соответствующего риску, включая, среди прочего, по мере необходимости:

• псевдонимизация и шифрование персональных данных;
• способность обеспечивать постоянную конфиденциальность, целостность, доступность и устойчивость систем и сервисов обработки;
• возможность своевременного восстановления доступности и доступа к персональным данным в случае физического или технического инцидента;
• процесс регулярного тестирования, оценки и анализа эффективности технических и организационных мер по обеспечению безопасности обработки; и
• ведение политик информационной безопасности и конфиденциальности данных