Соглашение об обработке данных (DPA)
Effective date:
Настоящее Дополнительное соглашение об обработке данных (DPA) заключается в соответствии со статьёй 28 Регламента (ЕС) 2016/679 (GDPR) как приложение о защите данных к вашему договору с PDFLean: вы как контролёр данных определяете цели и средства обработки; PDFLean как обработчик данных выполняет облачную обработку только по вашим задокументированным инструкциям и никогда не использует данные клиентов для собственного маркетинга, профилирования или обучения моделей. При использовании браузерных WASM-инструментов файлы не покидают ваше устройство, и делегирование обработки по настоящему DPA не возникает.
1. Область применения и приоритет Соглашения
Настоящее DPA применяется к обработке персональных данных, предоставленных клиентом или созданных от его имени с помощью облачных вычислительных сервисов PDFLean. Локальные для браузера инструменты, работающие на стороне клиента в WebAssembly без передачи файлов в инфраструктуру PDFLean, не создают отношений «обработчик — контролёр», и настоящее DPA к ним не применяется. В случае возникновения каких-либо противоречий между настоящим DPA и общими Условиями обслуживания, настоящее DPA имеет преимущественную силу в отношении конфиденциальности и защиты данных.
2. Роли Контролёра и Обработчика
В целях применимого законодательства о защите данных клиент выступает в качестве Контролёра данных, а PDFLean выступает в качестве Обработчика данных. PDFLean обрабатывает документы клиентов исключительно на основании задокументированных инструкций контролёра (инициируемых с помощью интерактивных веб-команд, таких как объединение, разделение, OCR или конвертация) и никогда не обрабатывает персональные данные в собственных целях маркетинга, профилирования или обучения моделей машинного обучения.
3. Законодательные обязательства Обработчика
PDFLean обязуется соблюдать следующие юридические обязательства в соответствии со ст. 28 GDPR:
- Задокументированные инструкции и минимизация данных: обрабатывать данные исключительно по указаниям клиента, хранить временные документы только в течение технического жизненного цикла, необходимого для завершения обработки (автоматически удаляются по завершении или истечении срока), и уведомлять клиента, если инструкция, судя по всему, нарушает применимые нормы защиты данных.
- Конфиденциальность персонала: Обеспечить, чтобы весь персонал, уполномоченный на работу с инфраструктурой или запросами в службу поддержки клиентов, соблюдал строгую договорную конфиденциальность.
- Уведомление об инцидентах: В случае подтвержденного инцидента безопасности персональных данных уведомлять затронутых контролёров в течение 72 часов с предоставлением комплексных технических оценок рисков.
- Содействие и права субъектов данных: Оказывать содействие контролёрам в выполнении их обязательств по ответу субъектам данных, реализующим свои законные права (доступ, удаление, исправление).
4. Авторизованные инфраструктурные субпроцессоры
Сертификации субпроцессоров — это те, которые публично раскрываются каждым поставщиком (например, Cloudflare, Stripe). Сама PDFLean не заявляет о наличии сертификации SOC 2 / ISO 27001:
| Субпроцессор | Функция сервиса | Расположение | Стандарт соответствия |
|---|---|---|---|
| Cloudflare, Inc. | Граничные вычисления, защита от DDoS и зашифрованное хранилище R2 | Граничные узлы в ЕС и США | SOC 2 Type II, ISO 27001 |
| Stripe, Inc. | Платежный шлюз и выставление счетов с VAT в соответствии с требованиями | Глобальные узлы уровня 1 | PCI-DSS Level 1 |
| Resend, Inc. | Доставка системных транзакционных писем | Каналы в США / ЕС | SOC 2 Type II |
| DeepSeek | Опциональное ИИ-реферирование / перевод (только прокси на стороне сервера) | Китай (материковая часть) — трансграничная передача | Веса моделей MIT; вызывается только при запросе функций ИИ; передача в соответствии с SCC / вашими инструкциями |
5. Технические и организационные меры (TOMs)
Мы применяем эшелонированную защиту: шифрование TLS 1.3 при передаче; шифрование AES-256 хранимых данных; отсутствие постоянного хранения документов клиентов (автоматически удаляются по истечении срока); управление доступом по принципу наименьших привилегий.
6. Оформление DPA и юридические контакты
Корпоративные и юридические команды, которым требуется официально подписанный с двух сторон DPA со Стандартными договорными условиями (SCC), могут запросить пакет документов для подписания через наш отдел комплаенса: support@pdflean.com; наша юридическая команда предоставит пакет документов в течение одного рабочего дня.