MuchBetter Бизнес
ДОПОЛНЕНИЕ О ЗАЩИТЕ ДАННЫХ

1. Определения

Все термины, написанные с заглавной буквы и не определенные в настоящем Дополнении о защите данных («DPA»), имеют значения, указанные в Соглашении.

1. Партнер означает любое лицо или организацию, прямо или косвенно контролирующее, контролируемое или находящееся под общим контролем со Стороной. Для целей настоящего определения «контроль» (включая, с соотносительными значениями, термины «контролирующий», «контролируемый» и «находящийся под общим контролем») означает полномочия управлять или направлять дела соответствующего лица или организации, будь то посредством владения голосующими ценными бумагами, по договору или иным образом.
2. Соглашение означает Соглашение об обслуживании бизнес-счетов MuchBetter между MIR и Владельцем счета, которое подразумевает доступ к персональным данным или иную обработку персональных данных;
3. Утвержденная юрисдикция означает государство-член ЕЭЗ или другую юрисдикцию, которая может быть одобрена как имеющая адекватную правовую защиту данных Европейской комиссией или правилами Великобритании о достаточности защиты, изданными в соответствии с разделом 17A Закона о защите данных 2018 года или пунктами 4 и 5 Приложения 21 Закона о защите данных 2018 года, в зависимости от того, что применимо;
4. Инцидент нарушения означает нарушение безопасности, приводящее к случайному или незаконному уничтожению, потере, изменению, несанкционированному раскрытию или доступу к персональным данным, переданным, хранящимся или иным образом обрабатываемым;
5. Законы о защите данных означает любые и/или все применимые внутренние и иностранные законы, правила, директивы и положения, касающиеся конфиденциальности данных, безопасности данных и/или защиты персональных данных, включая Директиву о конфиденциальности и электронных коммуникациях 2002/58/EC (и соответствующие местные законы о ее применении), касающиеся обработки персональных данных и защиты конфиденциальности в секторе электронных коммуникаций (Директива о конфиденциальности и электронных коммуникациях), включая любые поправки или замены к ним, включая Регламент (ЕС) 2016/679 Европейского парламента и Совета от 27 апреля 2016 года («GDPR») и включая Закон о защите данных 2018 года и GDPR, поскольку он является частью законодательства Англии и Уэльса, Шотландии и Северной Ирландии в силу раздела 3 Закона о Европейском союзе (выход) 2018 года («UK GDPR»).
6. ЕЭЗ означает страны, входящие в Европейское экономическое пространство.
7. МИР означает MIR Limited UK Ltd, поставщика услуг по ведению бизнес-счетов MuchBetter
8. Персональные данные или «Персональные данные» означают любую информацию, которая касается или может быть связана с идентифицируемым лицом. Она включает любую информацию, которая может быть связана с лицом или использоваться для прямой или косвенной идентификации лица, физического лица. Персональные данные должны считаться Конфиденциальной информацией независимо от источника.
9. Процесс означает любую операцию или набор операций, которые выполняются с Персональными данными, независимо от того, выполняются ли они автоматическими средствами, такими как сбор, запись, организация, хранение, адаптация или изменение, доступ, извлечение, консультация, использование, раскрытие путем передачи, распространения или иного предоставления, выравнивание или комбинирование, блокирование, стирание или уничтожение. «Процессы» или «Обработка» должны толковаться соответствующим образом.
10. Стандартные договорные положения или «SCCs» — применимый модуль стандартных договорных положений о передаче персональных данных в третьи страны в соответствии с Регламентом (ЕС) 2016/679 Европейского парламента и Совета от 4 июня 2021 года, который может время от времени изменяться, заменяться или отменяться.
11. Дополнение Великобритании означает Дополнение к Стандартным договорным условиям о международной передаче данных, вступившее в силу 21 марта 2022 года.

2. Применение настоящего Соглашения об обработке данных

1. Настоящее Соглашение об обработке данных будет применяться только в том случае, если соблюдены все следующие условия:
   
   1. Каждая из Сторон обрабатывает Персональные данные, предоставленные другой Стороной в связи с Соглашением;
   2. К обработке персональных данных применяются законы о защите данных.
2. Настоящее Соглашение об обработке данных будет применяться только к услугам, которые Стороны согласовали в Соглашении и которые включают в себя Соглашение об обработке данных посредством ссылки.

3. Защита данных и конфиденциальность

1. В той мере, в которой Сторона имеет доступ к персональным данным, предоставленным другой Стороне, или иным образом обрабатывает персональные данные, предоставленные другой Стороне, эта Сторона должна:
   
   1. Быть независимым Контролером Персональных данных и определять цели и средства обработки в соответствии с Соглашением и Законами о защите данных.
   2. Обрабатывать Персональные данные только в соответствии с требованиями Законов о защите данных и, как того требуют Законы о защите данных, вести точные письменные записи всех действий по Обработке любых Персональных данных, осуществляемых в соответствии с Соглашением.
   3. Не отступая от вышеизложенного, нести ответственность за предоставление субъекту данных любой информации, требуемой в соответствии с Законами о защите данных, и позволять субъектам данных осуществлять свои права в соответствии с Законами о защите данных, а также оказывать другой Стороне разумное сотрудничество и помощь для выполнения вышеизложенного и любых юридических или нормативных обязательств;
   4. Внедрять и поддерживать коммерчески обоснованные и соответствующие физические, технические и организационные меры безопасности для защиты Персональных данных от случайного или незаконного уничтожения; случайной потери, изменения, несанкционированного раскрытия или доступа к персональным данным, которые передаются, хранятся или иным образом обрабатываются, а также от всех других незаконных форм Обработки;
   5. Выполнять все обязательства по уведомлению надзорного органа об утечке персональных данных и обязательства по информированию субъектов данных, как того требуют законы о защите данных;
   6. Уведомить другую Сторону без неоправданной задержки и не позднее, чем через двадцать четыре (24) часа после того, как ей стало известно об инциденте нарушения.
2. Сторона, которая первоначально получает Персональные данные от субъекта данных, несет ответственность за получение любых согласий, которые могут потребоваться от субъекта данных (в каждом случае в объеме, необходимом для соблюдения Законов о защите данных), и за предоставление информации субъекту данных до сбора Персональных данных (например, «Уведомление о конфиденциальности» или «Политика конфиденциальности»), необходимой для соблюдения Законов о защите данных. Вышеизложенное не умаляет обязанностей другой Стороны в соответствии с Законами о защите данных (например, требование предоставлять информацию субъекту данных при обработке Персональных данных).
3. Каждая Сторона может назначать субподрядчиков, включая Аффилированных лиц, для обработки Персональных данных от ее имени («Субподрядчики») в целях выполнения своих обязательств и услуг по Соглашению, при условии, что: (i) назначение будет осуществляться на основании письменного соглашения с назначенным Субподрядчиком, содержащего, где это применимо, условия, обеспечивающие эквивалентную защиту Персональных данных, предусмотренную в настоящем Дополнении о защите данных; и (ii) каждая Сторона будет нести ответственность за действия или бездействие своих собственных Субподрядчиков в той же степени, в которой она несет ответственность за свои собственные действия или бездействие в соответствии с настоящим Дополнением о защите данных, Соглашением и Законами о защите данных.

4. Передача персональных данных

Стороны не должны обрабатывать или передавать Персональные данные за пределы Утвержденной юрисдикции;

1. Если Сторона желает Обрабатывать Персональные данные или передавать Персональные данные в юрисдикцию, отличную от Утвержденной юрисдикции, то она будет считаться вступившей в Стандартные условия договора, где это применимо, вместе с Дополнением для Великобритании, и в этом случае: (i) Дополнительное соглашение для Великобритании и Стандартные условия договора включены в настоящий документ посредством ссылки; и (ii) Сторона, раскрывающая Персональные данные, будет считаться Экспортером, а Сторона, получающая Персональные данные, будет считаться Импортером (в соответствии с определениями этих терминов в настоящем документе).

5. Общие положения

1. Если какие-либо Законы о защите данных будут заменены новыми или измененными Законами о защите данных (включая любые решения или толкования соответствующего суда или государственного органа, относящиеся к ним), новые или измененные Законы о защите данных будут считаться включенными в настоящее Приложение о защите данных, и обе Стороны незамедлительно начнут соблюдать такие Законы о защите данных.
2. В случае возникновения противоречий или несоответствий между условиями настоящего Соглашения об обработке данных и Стандартными договорными положениями или Дополнением для Великобритании (в зависимости от применимости) преимущественную силу будут иметь положения Стандартных договорных положений или Дополнения для Великобритании (в зависимости от применимости).

Приложение I к СКК

1. Приложение 1 является частью Соглашения об обмене данными и содержит согласованное толкование Сторонами своих обязательств в соответствии с Дополнением Великобритании и/или Стандартными договорными положениями.
2. Стороны соглашаются, что для целей передачи персональных данных между MIR и Владельцем счета применяются следующие положения:
   
   1. Пункт 7 СКК не будет применяться
   2. Надзорным органом является Управление комиссара по информации Великобритании, если зарегистрировано дополнение Великобритании, или комиссар по защите данных Ирландии, если зарегистрировано только дополнение SCC.
   3. Законы Англии и Уэльса являются регулирующими в случаях, когда применяется Дополнение Великобритании, и законы Ирландии в случаях, когда оно не применяется.
   4. Стороны выбирают английские суды в качестве места рассмотрения споров и юрисдикции, когда применяется Дополнительное соглашение Великобритании, и ирландские суды, когда оно не применяется.
   5. В Таблице 4 Дополнения к Соглашению Великобритании любая из сторон может расторгнуть соглашение в соответствии с разделом 19 Дополнения к Соглашению Великобритании.

Идентификация сторон

«Экспортер данных»: передатчик персональных данных;

«Импортер данных»: получатель персональных данных

Описание перевода

Субъекты данных

Обрабатываемые Персональные данные касаются следующих категорий Субъектов данных (укажите, пожалуйста):

• ☐ Сотрудники МИР
• ☐ Клиенты MIR
• ☐ Конечные пользователи владельца счета
• ☐ Сотрудники владельца счета
• ☐ Клиенты владельца счета
• ☐ Другое: ________

Категории персональных данных

Передаваемые Персональные данные касаются следующих категорий данных (укажите, пожалуйста):

• ☐ Контактная информация (имя, возраст, пол, адрес, номер телефона, адрес электронной почты и т. д.)
• ☐ Финансовые и платежные данные (например, номер кредитной карты, банковский счет, транзакции)
• ☐ Государственные удостоверения личности (паспорт, водительские права)
• ☐ Идентификаторы устройств и активность в Интернете или электронных сетях (IP-адреса, GAID/IDFA, история просмотров, временные метки)
• ☐ Информация о местоположении
• ☐ Биометрические данные
• ☐ Другое: ________

Специальные категории данных (при необходимости)

Передаваемые Персональные данные касаются следующих специальных категорий данных (укажите, пожалуйста):

• ☐ Нет
• ☐ Генетические или биометрические данные
• ☐ Данные о состоянии здоровья
• ☐ Расовое или этническое происхождение
• ☐ Политические взгляды, религиозные или философские убеждения
• ☐ Другое: ________

Частота передачи:

• ☐ Единоразовый
• ☐ Непрерывно
• ☐ Другое: ________

Характер обработки

• ☐ Коллекция
• ☐ Запись
• ☐ Организация или структурирование
• ☐ Хранение
• ☐ Адаптация или изменение
• ☐ Извлечение
• ☐ Консультация
• ☐ Раскрытие, распространение или иное предоставление доступа
• ☐ Анализ
• ☐ Стирание или уничтожение
• ☐ Другое: ________
•  

Цель передачи и дальнейшей обработки

• ☐ Предоставлять, управлять и эксплуатировать услуги MBB Account
• ☐ Другое: ________

Срок хранения

Персональные данные будут храниться в течение срока действия Соглашения или в соответствии с применимым законодательством.

Приложение II к SCCs – Технические и организационные меры, включая технические и организационные меры по обеспечению безопасности данных

Настоящее Приложение является частью Соглашения об обработке данных и описывает технические и организационные меры безопасности, реализуемые импортером данных.

Принимая во внимание современное состояние дел, затраты на реализацию, характер, объем, контекст и цели обработки, а также риск различной вероятности и серьезности для прав и свобод физических лиц, Импортер данных должен реализовать соответствующие технические и организационные меры для обеспечения уровня безопасности, соответствующего риску, включая, в частности, по мере необходимости:

• псевдонимизация и шифрование персональных данных;
• способность обеспечивать постоянную конфиденциальность, целостность, доступность и устойчивость систем и сервисов обработки;
• возможность своевременного восстановления доступности и доступа к персональным данным в случае физического или технического инцидента;
• процесс регулярного тестирования, оценки и анализа эффективности технических и организационных мер по обеспечению безопасности обработки; и
• поддержание политики информационной безопасности и конфиденциальности данных