Соглашение об обработке данных (DPA)

Редакция от 20.10.2026.

1. Область применения, стороны и приоритет

1.1. Настоящее DPA является частью Master Subscription Agreement и Региональной публичной оферты (СНГ) (каждое — «основное соглашение») и применяется к каждому Заказу по ним, связанному с обработкой персональных данных. Оно также является частью Условий использования (Terms of Use) и применяется к обработке персональных данных по поручению Клиента, использующего Платформу по Условиям использования без Заказа, в том числе на бесплатном тарифе; в этом случае основным соглашением являются Условия использования, а для целей настоящего DPA «Заказ» означает Условия использования вместе с выбранным тарифом, настройками аккаунта, регистрационными данными Клиента и регионом обслуживания; датой акцепта Заказа является дата акцепта Клиентом Условий использования.
1.2. «Обработчик» — компания Unitify, являющаяся стороной основного соглашения и, при наличии, Заказа: Unitify Limited (Гонконг, рег. № 76842989) для Заказов по Master Subscription Agreement либо авторизованный дистрибьютор для Заказов по Региональной публичной оферте; в последнем случае Unitify Limited участвует как субобработчик в объёме, указанном в Приложении III. «Клиент» — сторона основного соглашения и, при наличии, Заказа, действующая как контролёр (оператор) либо, если она обрабатывает персональные данные по поручению третьего лица, как обработчик, в зависимости от обстоятельств. Если Клиент является обработчиком, Обработчик является субобработчиком, и Клиент гарантирует, что имеет общую письменную авторизацию контролёра на привлечение Обработчика и его субобработчиков, что его указания соответствуют указаниям контролёра и что он передаёт контролёру уведомления по п. 5.2.
1.3. «Данные Клиента» — любые персональные данные, которые Обработчик обрабатывает от имени Клиента в связи с Заказом, независимо от того, предоставлены ли они Клиентом, субъектом данных, интеграцией или сформированы при использовании Платформы. «Законодательство о данных» — GDPR (Регламент (ЕС) 2016/679), UK GDPR и Data Protection Act 2018 и законодательство о персональных данных страны региона обслуживания (включая Закон РК № 94-V и Закон РУз № ЗРУ-547), в применимой части.
1.4. По вопросам персональных данных приоритет имеют: (1) Стандартные договорные условия и UK Addendum, если они включены по разделу 7; (2) настоящее DPA; (3) более конкретные законные указания в Заказе; (4) основное соглашение. Заказ может дополнять, но не отменять обязательные положения DPA. По иным вопросам действует иерархия основного соглашения.
1.5. DPA не создаёт солидарной ответственности между компаниями Unitify. Ответственность каждой стороны по DPA подчиняется исключениям и совокупному лимиту основного соглашения, кроме случаев, когда такое ограничение не допускается Законодательством о данных или Стандартными договорными условиями для регулируемой ими передачи. Клиент не вправе получить двойное возмещение за одно событие.

2. Предмет, срок, характер и цели

2.1. Предмет — размещение, эксплуатация, поддержка и предоставление функций Платформы по Заказу. Срок — срок Заказа плюс период возврата или удаления по разделу 11. Характер и цели обработки, категории субъектов и данных описаны в Приложении I.
2.2. Обработчик действует от имени Клиента и не определяет цели и средства обработки Данных Клиента, кроме технических средств, присущих эксплуатации Платформы.

3. Указания

3.1. Обработчик обрабатывает Данные Клиента только по документированным указаниям Клиента, в том числе в отношении международных передач. Документированными указаниями являются Заказ, настоящее DPA и настройки, которые уполномоченный администратор Клиента применяет в административном интерфейсе Платформы и которые регистрируются в журнале.
3.2. Если иная обработка требуется правом ЕС или государства-члена либо иным применимым к Обработчику законом, Обработчик до начала обработки сообщает Клиенту о таком требовании, если закон не запрещает это по важным основаниям публичного интереса.
3.3. Обработчик без неоправданной задержки сообщает Клиенту, если, по его мнению, указание нарушает Законодательство о данных. Указание, включая включение функции в интерфейсе, определяет цель обработки, но само по себе не заменяет согласие субъекта или требуемый законом механизм передачи; Клиент отвечает за правовое основание обработки и за информирование субъектов.

4. Обязанности Обработчика

4.1. Конфиденциальность. Лица, допущенные к обработке Данных Клиента, связаны договорным или законным обязательством конфиденциальности и проходят обучение по защите данных, соответствующее их роли.
4.2. Безопасность. Обработчик применяет технические и организационные меры по Приложению II и пересматривает их с учётом уровня техники, стоимости внедрения, характера, объёма, контекста и целей обработки и рисков для субъектов, как требует статья 32 GDPR.
4.3. Содействие. С учётом характера обработки и доступной ему информации Обработчик соответствующими техническими и организационными мерами содействует Клиенту в ответах на запросы субъектов (раздел 9) и в выполнении обязанностей по статьям 32–36 GDPR, включая безопасность, уведомление о нарушениях, оценку воздействия и предварительные консультации с надзорным органом. Содействие сверх стандартных функций Платформы может оплачиваться по действующим ставкам Обработчика.
4.4. Информация и аудит. Обработчик предоставляет информацию, необходимую для подтверждения соблюдения настоящего DPA, прежде всего в форме существующей документации и отчётов, а если их недостаточно — разумного дополнительного опросника, не чаще одного раза в двенадцать месяцев. Если к обработке Клиента применяется GDPR или UK GDPR, Обработчик также позволяет и содействует аудитам, включая инспекции, проводимым Клиентом или назначенным им независимым аудитором, связанным обязательством конфиденциальности. Если аудит не вызван нарушением безопасности персональных данных, требованием надзорного органа или обоснованными признаками несоблюдения, аудиты проводятся не чаще одного раза в двенадцать месяцев, начинаются с изучения документации, отчётов и ответов на опросник, предоставляемых Обработчиком, проводятся с уведомлением не менее чем за 30 дней в рабочее время, за счёт Клиента и без доступа к данным других клиентов и к информации, защищённой законом. Эти ограничения не применяются в той мере, в какой они препятствовали бы аудиту, требуемому Законодательством о данных.
4.5. Учёт. Обработчик ведёт записи об обработке, требуемые статьёй 30(2) GDPR.

5. Субобработчики

5.1. Клиент даёт общую письменную авторизацию на привлечение субобработчиков, указанных в Приложении III. Актуальный перечень публикуется на unitify.com/legal/dpa и предоставляется по запросу на [email protected].
5.2. О планируемом добавлении или замене субобработчика Обработчик уведомляет Клиента по e-mail не менее чем за 10 календарных дней до начала обработки им Данных Клиента. Клиент вправе в течение этого срока заявить мотивированное возражение по основаниям защиты данных. Если возражение не урегулировано, Обработчик вправе не привлекать субобработчика для Клиента, отключить затронутую опциональную функцию либо прекратить затронутую услугу.
5.3. Обработчик письменным договором возлагает на каждого субобработчика обязательства по защите данных, обеспечивающие не меньший уровень защиты, чем настоящее DPA, в том числе достаточные гарантии применения соответствующих технических и организационных мер, и остаётся полностью ответственным перед Клиентом за исполнение обязательств субобработчика.

6. Место обработки

6.1. Регион размещения производственного экземпляра, основной базы данных и резервных копий Клиента указывается в Заказе. Обязательная локализация применяется в объёме, требуемом законом соответствующей страны или прямо согласованном в Заказе.
6.2. Удалённый доступ персонала Обработчика и Unitify Limited допускается в объёме, необходимом для предоставления, защиты, диагностики, поддержки и обновления Платформы, с ролевым контролем, именными учётными записями и журналированием административных действий; массовое копирование баз данных за пределы региона обслуживания не производится. Удалённый доступ из другой страны является передачей для целей раздела 7.
6.3. ИИ-функции (раздел 8), push-уведомления и иная вспомогательная обработка по Приложению III выполняются в указанных там странах.

7. Международные передачи

7.1. Обработчик передаёт Данные Клиента за пределы региона обслуживания, ЕЭЗ или Великобритании только получателям и в целях, указанных в Приложении III или в документированных указаниях Клиента, и только при наличии механизма передачи, требуемого Законодательством о данных.
7.2. Стандартные договорные условия ЕС. Если к обработке Клиента применяется GDPR и Данные Клиента передаются Клиентом Обработчику в страну без решения об адекватности, Стандартные договорные условия, утверждённые Исполнительным решением Комиссии (ЕС) 2021/914 («SCC»), включаются в настоящее DPA по ссылке и заключаются между Клиентом как экспортёром данных и Обработчиком как импортёром данных при акцепте Заказа со следующими опциями: Модуль 2 (контролёр — обработчик), если Клиент является контролёром, и Модуль 3 (обработчик — обработчик), если Клиент является обработчиком; пункт 7 (присоединение) применяется; пункт 9(a) — Опция 2 (общая письменная авторизация) со сроком уведомления по п. 5.2, согласованный перечень — Приложение III; факультативная формулировка пункта 11(a) не применяется; пункт 13 и Приложение I.C — если Клиент учреждён в ЕЭЗ, надзорный орган, компетентный в отношении Клиента; если Клиент не учреждён в ЕЭЗ, но подпадает под статью 3(2) GDPR, — надзорный орган государства-члена, в котором учреждён его представитель по статье 27 GDPR, а при отсутствии обязанности назначать представителя — государства-члена, в котором находятся затронутые субъекты данных; пункт 17 — право Ирландии; пункт 18 — суды Ирландии. Приложение I SCC заполняется Приложением I настоящего DPA, Приложение II SCC — Приложением II. Датой SCC является дата акцепта Заказа; электронный акцепт Заказа является подписанием SCC обеими сторонами. Последующие передачи Обработчиком субобработчикам регулируются п. 7.3.
7.3. Последующие передачи. Привлекая субобработчика за пределами ЕЭЗ, Обработчик обеспечивает, чтобы последующая передача была покрыта применимым механизмом: решением об адекватности, покрывающим получателя и услугу (например, EU–US Data Privacy Framework для сертифицированных получателей в США), либо SCC, Модуль 3, в соответствующем звене договорной цепочки.
7.4. Великобритания. Для передач, подпадающих под UK GDPR, стороны при акцепте Заказа заключают International Data Transfer Addendum к Стандартным договорным условиям Еврокомиссии, выпущенный Information Commissioner, версия B1.0, который включается по ссылке и заполняется следующим образом. Таблица 1: стороны — Клиент (экспортёр) и Обработчик (импортёр) с контактными лицами и реквизитами по Заказу и Приложению I.A; дата начала — дата акцепта Заказа. Таблица 2: утверждённые SCC ЕС — SCC по п. 7.2 с выбранными там модулями и опциями. Таблица 3: Annex 1A и 1B — Приложение I настоящего DPA, Annex II — Приложение II, перечень субобработчиков — Приложение III. Таблица 4: прекратить Addendum по его разделу 19 вправе Импортёр. Обязательные положения включаются формулой: «Part 2: Mandatory Clauses of the Approved Addendum, being the template Addendum B.1.0 issued by the ICO and laid before Parliament in accordance with s119A of the Data Protection Act 2018 on 2 February 2022, as it is revised under Section 18 of those Mandatory Clauses».
7.5. Оценка передачи и дополнительные меры. Обработчик документирует оценку воздействия передачи для каждой передачи по SCC и применяет дополнительные меры по Приложению II. Если компетентный орган или изменение закона лишает механизм силы, Обработчик информирует Клиента, предлагает альтернативный механизм и приостанавливает затронутую передачу до его введения; Клиент вправе отключить затронутую функцию.
7.6. Регионы обслуживания вне ЕЭЗ. Для Клиентов, на которых распространяется законодательство Казахстана, Узбекистана или иной страны региона обслуживания, трансграничные передачи получателям по Приложению III выполняются на основаниях, предусмотренных этим законодательством, которые обеспечивает Клиент как оператор (включая, где требуется, согласие субъектов или уведомление уполномоченного органа); Обработчик предоставляет необходимые для этого сведения.

8. ИИ-функции

8.1. ИИ-функции Платформы (классификация заявок, ИИ-консьерж, разбор документов, ИИ-отчёты) выполняются с привлечением внешних провайдеров языковых моделей по Приложению III в указанных там странах. ИИ-функции по умолчанию выключены и включаются уполномоченным администратором Клиента в настройках аккаунта; включение является документированным указанием по разделу 3 с учётом п. 3.3.
8.2. Для ИИ-операции могут передаваться текст, вложения и выбранный Платформой контекст конкретной операции, сгенерированный ответ, идентификаторы запроса и необходимые технические метаданные. Получателями могут быть агрегатор и провайдер выбранной модели. Платформа не передаёт производственную базу данных в составе ИИ-операции; состав данных каждой операции определяется включённой функцией и документированным указанием.
8.3. Провайдеры моделей подключаются через API на условиях, исключающих использование переданных данных для обучения моделей. Режим без хранения запросов и ответов провайдером (zero data retention) применяется для маршрутов (агрегатор, провайдер, модель), прямо указанных в Заказе; для них Обработчик применяет список разрешённых маршрутов и ограничение маршрутизации, при котором запрос отклоняется, а не направляется провайдеру без такого режима. Гарантии отсутствия хранения и обучения действуют только для указанного маршрута и не распространяются на технические метаданные, журналы Платформы, инструменты и кэширование, если соответствующая запись не предусматривает иное. Сведения по маршрутам предоставляются по запросу на [email protected].

9. Права субъектов данных

9.1. Запросы субъектов данных, полученные Обработчиком, передаются Клиенту без неоправданной задержки и без ответа по существу, если Клиент не указал иное. Обработчик содействует Клиенту функциями Платформы (доступ, исправление, выгрузка и удаление данных жителей), а при их недостаточности — разумным дополнительным содействием по п. 4.3.

10. Нарушения безопасности персональных данных

10.1. Обработчик уведомляет Клиента без неоправданной задержки после того, как ему стало известно о нарушении безопасности персональных данных, затрагивающем Данные Клиента, то есть после появления разумной степени уверенности, что такое нарушение произошло. Первоначальное уведомление содержит доступные на тот момент сведения (характер нарушения, категории и примерное число субъектов и записей, вероятные последствия, принятые или предлагаемые меры, контактное лицо); дополнительные сведения предоставляются поэтапно. Проверка необоснованного сигнала не считается осведомлённостью; внутренняя классификация или незавершённое расследование не откладывают уведомление после наступления разумной уверенности.
10.2. Уведомление надзорных органов и субъектов выполняет Клиент; Обработчик предоставляет необходимые сведения и содействие и не уведомляет органы или субъектов от имени Клиента, если это не поручено или не требуется законом.

11. Возврат и удаление

11.1. Период доступа и экспорта после прекращения определяется Заказом, а при его молчании — основным соглашением. До окончания этого периода Клиент сообщает, подлежат ли Данные Клиента возврату (выгрузке) или удалению; при отсутствии своевременного выбора Обработчик удаляет Данные Клиента. При выборе возврата Обработчик предоставляет выгрузку в машиночитаемом формате, после чего удаляет Данные Клиента из активных систем и существующие копии, если право ЕС, государства-члена или иное применимое право не требует хранения — тогда данные изолируются и защищаются до прекращения такого требования. Резервные копии не восстанавливаются для обычной обработки и удаляются в рамках документированного цикла ротации, не позднее 6 месяцев после удаления из активных систем.
11.2. После удаления по п. 11.1 Обработчик подтверждает его Клиенту по своей стандартной форме; для передач по SCC подтверждение направляется в соответствии с пунктом 8.5 SCC.

12. Использование данных; обезличенная статистика

12.1. Обработчик не использует Данные Клиента для рекламы, профилирования или передачи третьим лицам, кроме субобработчиков и получателей по Приложению III и указаний Клиента. Платёжные провайдеры, расчётные центры и иные сервисы, которые Клиент выбирает и подключает в своём аккаунте, являются самостоятельными операторами (контролёрами) получаемых ими данных; Платформа передаёт им платёжные и учётные данные по указанию Клиента, и они не являются субобработчиками Обработчика. Для устранения сомнений: лицензия на данные по основному соглашению разрешает обработку персональных данных для предоставления, защиты, диагностики и оптимизации услуг Клиенту в соответствии с его указаниями; для общего развития продукта могут использоваться агрегированные или обезличенные данные, которые разумными средствами не позволяют идентифицировать физическое лицо, и Обработчик не предпринимает попыток обратной идентификации.

Приложение I. Описание обработки (Приложение I к SCC)

A. Стороны. Экспортёр данных: Клиент в роли по п. 1.2; наименование, адрес, регистрационные данные, контактное лицо и деятельность — по Заказу и основному соглашению. Импортёр данных: Обработчик по п. 1.2; адрес — по основному соглашению; контактное лицо — контакт по защите данных, [email protected]; деятельность — предоставление Платформы в роли обработчика (или субобработчика, где это предусмотрено п. 1.2). Дата и подпись: дата акцепта Заказа; электронный акцепт Заказа является подписанием обеими сторонами.
B. Описание. Субъекты: жители и собственники помещений, члены их семей и представители; сотрудники и подрядчики Клиента; контрагенты; посетители при использовании функций контроля доступа. Категории данных: идентификационные и контактные данные (ФИО, телефон, e-mail), адрес и помещение, лицевой счёт, начисления и платежи, показания приборов учёта, содержание заявок, сообщений и документов, материалы собраний и опросов, аудио- и видеоматериалы при подключённом оборудовании, device tokens, сетевые и технические идентификаторы, журналы доступа и аудита. Специальные категории: не предполагаются; содержимое, вносимое жителями, может случайно включать сведения о здоровье и подобные, которые обрабатываются только в составе соответствующей заявки или сообщения, не используются для иных целей, доступны только уполномоченным пользователям Клиента и, в строго необходимом для поддержки или работы соответствующей функции объёме, уполномоченному персоналу Обработчика и его субобработчиков, и удаляются вместе с заявкой или сообщением; Клиент инструктирует своих пользователей не вносить такие данные без необходимости. Платформа по умолчанию не выполняет биометрическую идентификацию; внешняя биометрическая функция указывается отдельно в Заказе. Периодичность: непрерывно в течение срока Заказа. Характер и цели: размещение и хранение; предоставление CRM, приложений жителя и сотрудника, уведомлений, начислений и приёма платежей, заявок, собраний и опросов, интеграций; поддержка; резервное копирование; ИИ-функции при их включении. Срок хранения: срок Заказа и период возврата или удаления по разделу 11. Передачи субобработчикам: по Приложению III.
C. Компетентный надзорный орган. Указывается в Заказе; при отсутствии указания определяется по правилу п. 7.2.

Приложение II. Технические и организационные меры (Приложение II к SCC)

• Контроль доступа: ролевой доступ пользователей Клиента с изоляцией по организациям; именные учётные записи инженеров Unitify с обязательной многофакторной аутентификацией для доступа к репозиториям исходного кода и консолям хостинг-провайдера; доступ к производственным системам и консолям хостинга только у сотрудников, которым он нужен по роли, через управление доступом хостинг-провайдера; административный доступ к производственным системам и действия третьей линии поддержки журналируются, журналы хранятся не менее 90 дней; права пересматриваются не реже одного раза в 6 месяцев и при смене роли и отзываются при увольнении.
• Передача и хранение: шифрование каналов передачи (TLS) для всего пользовательского и API-трафика; загруженные файлы и резервные копии хранятся в объектном хранилище с шифрованием на стороне провайдера хранилища; архивы резервных копий дополнительно шифруются до загрузки; диски баз данных не шифруются, базы защищены сетевой изоляцией и перечисленным выше контролем доступа; размещение в регионе обслуживания в дата-центрах с физическим контролем доступа хостинг-провайдеров по Приложению III.
• Разделение сред: среды разработки, тестирования и эксплуатации разделены; производственные персональные данные не используются в средах разработки и тестирования, кроме случаев, когда это необходимо для устранения конкретного инцидента, документировано, ограничено по доступу и допускается применимым законом.
• Доступность и устойчивость: резервные копии баз данных и загруженных файлов хранятся в регионе обслуживания по операционному графику Обработчика; процедуры восстановления проверяются не реже одного раза в квартал; конкретные RPO, RTO и сроки хранения — только если указаны в Заказе.
• Управление обновлениями и уязвимостями: обновления безопасности Платформы и среды выполнения применяются по документированной внутренней процедуре с приоритетной обработкой уязвимостей критического уровня; зависимости отслеживаются на известные уязвимости.
• Управление инцидентами: внутренняя процедура выявления, оценки, локализации и документирования инцидентов безопасности и уведомления Клиента по разделу 10.
• Управление поставщиками: субобработчики привлекаются на письменных условиях о защите данных (п. 5.3); последующие передачи — по разделу 7.
• Минимизация и удаление: в ИИ-операции передаётся только содержимое конкретной операции (п. 8.2); возврат и удаление — по разделу 11.
• Применимость к передачам: перечисленные меры применяются к экземпляру Клиента и, в объёме, соответствующем роли получателя, к передачам по Приложению III; субобработчики применяют собственные эквивалентные меры. Для маршрута поддержки Unitify Limited доступ осуществляется журналируемыми удалёнными сессиями с именных учётных записей без массового копирования баз данных за пределы региона обслуживания. Для ИИ-маршрутов передаётся только содержимое конкретной операции (п. 8.2) на условиях API провайдеров об отсутствии обучения и, если указано в Заказе, в режиме без хранения. Для push-уведомлений передаются только device token и текст уведомления. Субобработчики связаны эквивалентными мерами по п. 5.3.
• Дополнительные меры для передач: шифрование при передаче, шифрование архивов резервных копий, журналируемый доступ с именных учётных записей, отсутствие массового копирования баз данных за пределы региона обслуживания, договорные условия провайдеров моделей об отсутствии обучения, документированная процедура реагирования на запросы государственных органов (уведомить Клиента, где это законно; оспаривать неправомерные запросы; раскрывать минимально необходимое).

Приложение III. Субобработчики

Категория	Субобработчик	Страна	Назначение	Данные	Механизм передачи
Группа Unitify	Unitify Limited, Гонконг, рег. № 76842989 (при Заказе дистрибьютора)	Гонконг	поддержка, диагностика и обновление Платформы по п. 6.2	журналируемый доступ к экземпляру без массового копирования баз данных	SCC Модуль 3 между дистрибьютором и Unitify Limited либо механизм по п. 7.6
Хостинг, Казахстан	ТОО «Modern Server Solutions» (Servercore), БИН 221140046930	Казахстан	размещение экземпляра, баз данных и резервных копий	все Данные Клиента	в регионе обслуживания
Хостинг, Узбекистан	ИП ООО «Servercore»	Узбекистан	то же	все Данные Клиента	в регионе обслуживания
Хостинг, ЕС	оператор дата-центра в Германии, указывается в Заказе для ЕС	Германия	то же	все Данные Клиента	в ЕЭЗ
Языковые модели	OpenRouter, Inc. (агрегатор) и привлекаемые им провайдеры выбранной модели: Google LLC, Anthropic PBC, OpenAI OpCo, LLC	США	ИИ-функции по разделу 8 (выключены по умолчанию)	содержимое ИИ-операции	по указанию Клиента; SCC Модуль 3 с UK Addendum, где применимо, либо EU–US DPF и его UK Extension для сертифицированных получателей; без обучения на данных по условиям API провайдеров; zero data retention — по Заказу (п. 8.3)
Push-уведомления	Apple Inc.; Google LLC (Firebase Cloud Messaging)	США	доставка уведомлений в приложения	device token, текст уведомления	EU–US DPF и его UK Extension, если получатель сертифицирован; иначе SCC Модуль 3 с UK Addendum
SMS и e-mail	региональные провайдеры, указываемые в Заказе для региона обслуживания	регион обслуживания / ЕС	коды входа, уведомления, счета	телефон, e-mail, текст сообщения	по указанию Клиента; механизм — в Заказе

Настоящее Приложение является согласованным перечнем субобработчиков для целей пункта 9(a), Опция 2 SCC. Обработчик обновляет его в порядке п. 5.2. Субобработчики с пометкой «указывается в Заказе» определяются для региона обслуживания Клиента в Заказе или по запросу на [email protected]. Платёжные провайдеры и расчётные центры, подключённые Клиентом, являются самостоятельными операторами (п. 12.1) и здесь не перечисляются.