Proton
Последнее изменение: 1 сентября 2026 года

Соглашение об обработке данных для MSP

Настоящее Соглашение об обработке данных ("Соглашение") является частью Соглашения с поставщиком управляемых услуг ("Основное соглашение") между Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Швейцария, идентификационный номер компании CHE-354.686.492 (именуемой "Обработчик"), и MSP, указанным в Основном соглашении (именуемым "Компания", под которым понимается поставщик управляемых услуг, использующий Услуги для предоставления, выставления счетов и поддержки своих Управляемых клиентов, независимо от его организационно-правовой формы).

Настоящее Соглашение регулирует конкретные требования Законов о защите данных в той мере, в какой использование Услуг Компанией, включая предоставление Компанией Услуг Управляемым клиентам, предполагает Обработку Персональных данных, регулируемую Законами о защите данных.

Срок действия настоящего Соглашения будет следовать сроку действия Основного соглашения. Термины, не определённые в настоящем документе, имеют значения, указанные в Основном соглашении.


УСЛОВИЯ

A) Компания действует в качестве Контроллера данных или, если Управляемый клиент самостоятельно поручает Обработку своих Персональных данных, в качестве Обработчика данных от имени этого Управляемого клиента (в любом случае — "Контроллер").

B) Компания желает передать по договору субподряда определённые Услуги, предполагающие Обработку Персональных данных, компании Proton AG, действующей в качестве Обработчика данных ("Обработчик").

C) Стороны стремятся заключить соглашение об обработке данных, соответствующее требованиям действующей правовой базы в отношении обработки данных, включая Регламент (ЕС) 2016/679 ("GDPR"), Федеральный закон Швейцарии о защите данных ("FADP") и другие применимые Законы о защите данных.

D) Стороны желают определить свои соответствующие права и обязанности.


СОГЛАШЕНО, ЧТО:

1. Определения, роли и область применения

1.1 Определения. Если иное не определено в настоящем документе, термины, написанные с заглавной буквы, имеют значение, указанное в Основном соглашении, или, если они там не определены, следующее значение:

  • "Персональные данные Компании" означают любые Персональные данные, относящиеся к Компании, Управляемым клиентам Компании или их соответствующим клиентам или сотрудникам, Обрабатываемые в связи с Основным соглашением.
  • "Заключённый Обработчик" означает Субобработчика.
  • "Законы о защите данных" означают GDPR, FADP и, в применимой степени, законы о защите данных или конфиденциальности любой другой страны.
  • "Передача данных" означает (i) передачу Персональных данных Компании от Компании Обработчику или Заключённому Обработчику, или (ii) последующую передачу Персональных данных Компании от Обработчика Субобработчику или между двумя подразделениями Субобработчика.
  • "Управляемый клиент" имеет значение, указанное в Основном соглашении: юридическое лицо — конечный пользователь, которому Компания предоставляет и поставляет Услуги в рамках собственного предложения управляемых услуг.
  • “Субобработчик” означает любое лицо, назначенное Обработчиком или от его имени для Обработки Персональных данных в связи с Соглашением.
  • Термины "Комиссия", "Контроллер", "Субъект данных", "Государство-член", "Персональные данные", "Утечка Персональных данных", "Обработка" и "Надзорный орган" имеют то же значение, что и в GDPR или других применимых Законах о защите данных.

1.2 Роли Сторон. Во взаимоотношениях между Proton и Компанией Компания является Контроллером (или, если применимо, Обработчиком, действующим по поручению Управляемого клиента), а Proton — Обработчиком в отношении всех Персональных данных Компании, Обрабатываемых в рамках Основного соглашения, включая Персональные данные Управляемых клиентов и их соответствующих конечных пользователей или относящиеся к ним. Настоящее Соглашение представляет собой полное и исключительное соглашение об обработке данных между Proton и любой стороной в цепочке Управляемых клиентов. Proton не имеет прямых договорных отношений, отношений типа «Контроллер-Обработчик» или «Обработчик-Субобработчик» ни с одним Управляемым клиентом, и ни один Управляемый клиент не является стороной или сторонним бенефициаром настоящего Соглашения. Компания несёт единоличную ответственность за свои соглашения со своими Управляемыми клиентами и обязательства перед ними, включая любые условия защиты данных, которые Компания обязана соблюдать в отношении них в соответствии с применимым законодательством или договором.

1.3 Последующая ответственность Компании. Компания должна заключить письменное соглашение с каждым Управляемым клиентом, возлагающее на Компанию обязательства по защите данных, обеспечивающие защиту Персональных данных этого Управляемого клиента в степени не меньшей, чем обязательства Proton перед Компанией по настоящему Соглашению, в той мере, в какой это применимо к характеру Услуг, предоставляемых Компанией этому Управляемому клиенту. Обязательства Proton по настоящему Соглашению действуют исключительно в отношении Компании; Компания несёт единоличную ответственность перед своими Управляемыми клиентами за Обработку их Персональных данных, включая любые действия или бездействие Proton во взаимоотношениях между Компанией и её Управляемыми клиентами.

2. Обработка Персональных данных Компании

Обработчик должен:

  • соблюдать все применимые Законы о защите данных при Обработке Персональных данных Компании; и
  • не Обрабатывать Персональные данные Компании иначе как на основании документированных инструкций Компании, как указано ниже.

Компания поручает Обработчику Обрабатывать Персональные данные Компании для:

  • предоставления Услуг и соответствующей технической поддержки Компании и через Компанию Управляемым клиентам;
  • выполнения юридических обязательств или разрешения споров;
  • выполнения любых внутренних задач, направленных на оптимизацию безопасности, конфиденциальности, защищённости и функциональности Услуг; и
  • выполнения внутренней отчётности, финансовой отчётности и других аналогичных внутренних задач.

3. Персонал Обработчика

Обработчик должен предпринять разумные меры для обеспечения надёжности любого сотрудника, агента или подрядчика любого Заключённого Обработчика, который может иметь доступ к Персональным данным Компании, обеспечивая в каждом случае, чтобы доступ был строго ограничен теми лицами, которым необходимо знать или иметь доступ к соответствующим Персональным данным Компании, насколько это строго необходимо для целей Основного соглашения и/или соблюдения Законов о защите данных, а также обеспечивая, чтобы все такие лица соблюдали обязательства о неразглашении либо профессиональные или законодательные обязательства по соблюдению конфиденциальности.

4. Безопасность

В соответствии со статьёй 32(1) GDPR Обработчик должен внедрить соответствующие технические и организационные меры для обеспечения уровня безопасности, соответствующего риску, с учётом уровня развития технологий, затрат на внедрение, а также характера, объёма, контекста и целей Обработки. Эти меры предназначены для защиты прав и свобод физических лиц с учётом рисков различной вероятности и степени серьёзности, включая риск Утечки Персональных данных. Компания должна внедрить соответствующие технические и организационные меры для собственной Обработки Персональных данных Компании, включая администрирование аккаунтов Управляемых клиентов с помощью административных лицензий MSP, и должна обеспечить, чтобы доступ к таким аккаунтам был ограничен персоналом Компании, которому он необходим, защищён надлежащими средствами аутентификации и незамедлительно отзывался, когда он больше не требуется.

5. Субобработка

В соответствии с настоящим Соглашением Компания предоставляет Обработчику общее разрешение привлекать Субобработчиков и раскрывать или передавать им Персональные данные Компании. Компания признаёт и утверждает список Субобработчиков, изложенный в Политике конфиденциальности Обработчика, понимая, что этот список может время от времени обновляться Обработчиком, и в этом случае Компания будет проинформирована в соответствии с процедурой уведомления Политики конфиденциальности. Компания также разрешает Обработчику раскрывать и передавать Персональные данные любой компании в составе своей корпоративной группы. Обработчик должен обеспечить, чтобы на Субобработчиков распространялось действие соглашения с Обработчиком, условия которого не менее строгие и защитные, чем условия настоящего Соглашения, в отношении защиты Персональных данных Компании в той мере, в какой это применимо к характеру услуг, предоставляемых этим Субобработчиком. Во избежание сомнений Компания не является Субобработчиком Proton, и настоящий Раздел не применяется к привлечению Компанией каких-либо Управляемых клиентов или третьих лиц.

6. Права субъектов данных

Принимая во внимание характер Обработки, Обработчик должен оказывать разумное содействие Компании в выполнении обязательств Компании по реагированию на запросы относительно реализации прав Субъектов данных в соответствии с Законами о защите данных, включая запросы, которые Компания получает от Управляемого клиента или от его имени, либо от собственных конечных пользователей этого Управляемого клиента.

Обработчик должен:

  • незамедлительно уведомить Компанию, если она получает запрос от Субъекта данных в соответствии с любым Законом о защите данных в отношении Персональных данных Компании; и
  • обеспечивать, чтобы ответ на такой запрос давался только на основании документированных инструкций Компании или в соответствии с требованиями применимого законодательства; в последнем случае Обработчик должен, насколько это разрешено законом, уведомить Компанию об этом юридическом требовании до предоставления ответа.

Компания несёт единоличную ответственность за реагирование на любые запросы Субъектов данных, касающиеся Персональных данных этого Управляемого клиента, и за координацию с любым Управляемым клиентом по этим вопросам; Обработчик не обязан идентифицировать какого-либо Управляемого клиента или связываться с ним напрямую.

7. Утечка Персональных данных

Обработчик должен реагировать на любые Утечки Персональных данных в соответствии с применимыми Законами о защите данных и своими внутренними процедурами реагирования на Утечки Персональных данных. В случае Утечки Персональных данных, затрагивающей Персональные данные Компании, Обработчик должен незамедлительно уведомить Компанию, предоставив достаточную информацию, позволяющую Компании выполнить свои обязательства в соответствии с Законами о защите данных, включая, где применимо, информирование затронутых Управляемых клиентов и Субъектов данных. Обработчик должен сотрудничать с Компанией и предпринимать разумные коммерческие шаги по указанию Компании для оказания содействия в расследовании, смягчении последствий и устранении нарушений в отношении каждой такой Утечки Персональных данных. Каждая Сторона несёт расходы на расследование, устранение нарушений, смягчение последствий и другие связанные расходы в той мере, в какой Утечка Персональных данных вызвана этой Стороной. Каждая Сторона несёт расходы по любым штрафам, пеням, возмещению убытков или другим связанным суммам, наложенным компетентным регулирующим органом, в той мере, в какой они вызваны нарушением этой Стороной своих обязательств по настоящему Соглашению. Компания несёт единоличную ответственность за уведомления об утечках своим Управляемым клиентам и их Субъектам данных, а также за сроки и содержание этих уведомлений.

8. Оценка риска в области защиты данных и предварительные консультации

Обработчик оказывает разумное содействие Компании в проведении оценки воздействия на защиту данных и предварительных консультациях с надзорными органами, которые Компания обоснованно считает необходимыми в соответствии со статьёй 35 или 36 GDPR или эквивалентными положениями любого другого Закона о защите данных, в каждом случае исключительно в отношении Обработки Персональных данных Компании Заключёнными Обработчиками и с учётом характера Обработки и информации, доступной им.

9. Удаление или возврат Персональных данных Компании

После прекращения предоставления любой Услуги, связанной с Обработкой Персональных данных Компании, Обработчик должен удалить все Персональные данные Компании в степени, разрешённой применимым законодательством, и в соответствии с Условиями и Политикой конфиденциальности Обработчика. Если Компании требуется копия Персональных данных Компании, она должна запросить её до удаления; запросы, сделанные после удаления, больше не могут быть рассмотрены. При расторжении Основного соглашения Компания несет единоличную ответственность за организацию удаления, возврата или передачи Персональных данных любого Управляемого клиента во взаимоотношениях между Компанией и этим Управляемым клиентом в соответствии с Разделом 5.4 Основного соглашения (Помощь при переходе).

10. Права на проведение аудита

С учётом положений настоящего Раздела 10 Обработчик должен по запросу предоставлять Компании всю информацию, необходимую для подтверждения соблюдения настоящего Соглашения, а также разрешать проведение аудитов, включая проверки, со стороны Компании или аудитора, уполномоченного Компанией, и содействовать им в отношении Обработки Персональных данных Компании Заключёнными Обработчиками. Компания не может осуществлять свои права на проведение аудита в соответствии с настоящим Разделом чаще одного раза в календарный год, за исключением случаев после Утечки Персональных данных или по указанию регулирующего органа. Компания должна направить Обработчику предварительное письменное уведомление о своём намерении провести аудит не менее чем за шестьдесят (60) дней. Аудит должен проводиться в рабочие часы Обработчика, не должен нарушать нормальную деятельность Обработчика и должен обеспечивать защиту Персональных данных Компании, Обработчика и других Субъектов данных. Стороны должны заранее согласовать дату, объём, продолжительность, а также меры безопасности и конфиденциальности, применимые к аудиту; Обработчик может потребовать подписания соглашения о неразглашении перед проведением аудита. Права на получение информации и проведение аудита в соответствии с настоящим Разделом возникают только в той мере, в какой настоящее Соглашение не предоставляет Компании иным образом права на получение информации и проведение аудита, отвечающие соответствующим требованиям Закона о защите данных. Если Управляемый клиент запрашивает информацию об Обработке со стороны Proton в рамках собственных обязательств Компании по комплексной проверке перед этим Управляемым клиентом, Компания может руководствоваться настоящим Разделом для получения необходимой информации от Обработчика и её передачи, однако сам Управляемый клиент не имеет самостоятельного права на проведение аудита в отношении Обработчика.

11. Передача данных

Насколько это возможно, Обработчик должен передавать или разрешать передачу Персональных данных Компании только в страны на территории Швейцарии, ЕС и/или страны, в отношении которых принято решение об адекватности уровня защиты, как предусмотрено статьёй 45 GDPR и статьёй 16 швейцарского закона FADP. Если Персональные данные Компании, Обрабатываемые в соответствии с настоящим Соглашением, передаются из Швейцарии, ЕС или страны, в отношении которой принято решение об адекватности уровня защиты, в страну, не подпадающую под эти категории, Стороны должны обеспечить надлежащую защиту Персональных данных, опираясь, если не согласовано иное, на утверждённые Швейцарией, ЕС и/или Великобританией и действующие на тот момент стандартные договорные положения или другие механизмы передачи, предусмотренные Законами о защите данных. Обработчик уполномочен осуществлять такие передачи Субобработчикам при условии применения надлежащих гарантий с учётом характера передачи.

12. Общие условия

12.1 Соблюдение применимого законодательства. Обработчик будет Обрабатывать Персональные данные Компании в соответствии с настоящим Соглашением и Законами о защите данных, применимыми к его роли по настоящему Соглашению. Обработчик не несёт ответственности за соблюдение Законов о защите данных, применимых исключительно к Компании или к какому-либо Управляемому клиенту в силу специфики их коммерческой деятельности или отрасли.

12.2 Конфиденциальность. Каждая Сторона обязуется сохранять конфиденциальность любой информации, полученной ею о другой Стороне в связи с настоящим Соглашением, и не должна использовать или раскрывать её без предварительного письменного согласия другой Стороны, за исключением случаев, когда (a) раскрытие требуется по закону или (b) информация уже стала общедоступной не по вине Сторон.

12.3 Уведомления. Уведомления по настоящему Соглашению направляются в соответствии с положениями об уведомлениях Основного соглашения. Копии уведомлений Обработчику по вопросам защиты данных должны дополнительно направляться по адресу legal@proton.ch

12.4 Ответственность. Ответственность каждой Стороны, возникающая из настоящего Соглашения или в связи с ним, регулируется положениями об ограничении ответственности Основного соглашения и ограничивается ими, включая любые конкретные пределы, установленные в нём за нарушения обязательств по конфиденциальности и защите данных. Ничто в настоящем Соглашении не ограничивает ответственность любой из Сторон по штрафам или пеням, наложенным непосредственно на неё компетентным надзорным органом в результате нарушения этой Стороной применимых Законов о защите данных. Компания признаёт, что, являясь единственной стороной, выступающей в качестве Контроллера перед своими Управляемыми клиентами, Компания несёт единоличную ответственность по любым обязательствам Компании перед Управляемым клиентом, которые превышают сумму, которую Компания может взыскать с Обработчика в рамках ограничения ответственности Основного соглашения.

12.5 Применимое право и юрисдикция. Настоящее Соглашение регулируется законодательством Швейцарии без учёта коллизионных норм любой другой юрисдикции, а споры, возникающие из настоящего Соглашения или в связи с ним, подлежат исключительной юрисдикции судов Женевы, Швейцария.

12.6 Приоритет положений. В случае расхождений между настоящим Соглашением и Основным соглашением в отношении Обработки Персональных данных настоящее Соглашение имеет преимущественную силу в соответствии с Разделом 10.1 Основного соглашения. В случае расхождений между английской версией настоящего Соглашения и любой переведённой версией преимущественную силу имеет английская версия.