Дополнительное соглашение об обработке данных

Realytics Corp Limited

Последнее обновление: 5 августа 2026 г. | Дата вступления в силу: 5 августа 2026 г.

Настоящее Дополнительное соглашение об обработке данных и приложения к нему («DPA») отражают договорённость между Realytics и Клиентом (как определено ниже), совместно именуемыми «Стороны», в отношении Обработки Персональных данных Клиента в рамках условий обслуживания, договора подписки, формы заказа или иного письменного либо электронного соглашения между Сторонами, содержащего ссылку на настоящее DPA («Соглашение»).

Настоящее DPA включено в Соглашение и составляет его неотъемлемую часть без необходимости какого-либо дополнительного подписания любой из Сторон. Клиентам, чьи внутренние процедуры этого требуют, экземпляр для подписания предоставляется по запросу на адрес .

В случае любого противоречия между настоящим DPA и Соглашением преимущественную силу имеет настоящее DPA. В случае любого противоречия между настоящим DPA и Стандартными договорными положениями, упомянутыми в Разделе 9, преимущественную силу имеют Стандартные договорные положения.

1. Определения

Термины, написанные с заглавной буквы и не определённые здесь, имеют значение, придаваемое им в Соглашении.

«Аффилированное лицо» ("Affiliate") означает организацию, которая владеет соответствующей организацией или контролирует её, находится в её собственности или под её контролем либо находится под общей собственностью или общим контролем вместе с ней, при этом «контроль» означает право определять управление или дела организации, а «собственность» означает бенефициарное владение пятьюдесятью процентами (50 %) или более голосующих ценных бумаг либо эквивалентных голосующих долей.

«Применимое законодательство о защите данных» ("Applicable Data Protection Law") означает всё законодательство о защите данных и неприкосновенности частной жизни, применимое к Обработке в рамках настоящего DPA, включая Европейское законодательство о защите данных, CCPA, Закон Вирджинии о защите потребительских данных (Virginia Consumer Data Protection Act), Закон Колорадо о конфиденциальности (Colorado Privacy Act), Закон Коннектикута о конфиденциальности данных (Connecticut Data Privacy Act), Закон Юты о конфиденциальности потребителей (Utah Consumer Privacy Act), а также иные применимые законы штатов США о конфиденциальности.

«CCPA» означает Закон Калифорнии о конфиденциальности потребителей (California Consumer Privacy Act) с изменениями, внесёнными Законом Калифорнии о правах на конфиденциальность (California Privacy Rights Act), вместе с подзаконными актами о его применении.

«Контролер» ("Controller") означает организацию, которая определяет цели и средства Обработки Персональных данных, включая «предприятие» ("business") в значении этого термина по Применимому законодательству о защите данных.

«Клиент» ("Customer") означает организацию, которая заключает Соглашение с Realytics для получения доступа к Услугам или их использования.

«Персональные данные Клиента» ("Customer Personal Data") означают Персональные данные, описанные в Приложении I, которые Клиент или его Авторизованные пользователи передают в Услуги, загружают в Услуги или делают доступными через Услуги, либо которые Realytics Обрабатывает от имени Клиента в рамках Соглашения и в отношении которых Клиент выступает либо Контролером, либо Обработчиком, действующим от имени стороннего Контролера.

«Субъект данных» ("Data Subject"), «Обрабатывать» ("Process"), «Обработанные» ("Processed") и «Обработка» ("Processing") — каждый из этих терминов имеет значение, придаваемое ему Применимым законодательством о защите данных.

«Данные на уровне коммерческого объекта» ("Establishment-Level Data") означают данные, которые относятся к бизнесу, бренду, магазину, филиалу, торговой точке, заведению или иному коммерческому объекту либо юридическому лицу и которые не используются Realytics для идентификации, выделения или составления профиля какого-либо физического лица.

«Европейское законодательство о защите данных» ("European Data Protection Laws") означает GDPR, Закон Великобритании о защите данных 2018 года (Data Protection Act 2018) вместе с UK GDPR, а также Федеральный закон Швейцарии о защите данных — каждый в редакции с изменениями или в заменяющей его редакции.

«GDPR» означает Регламент (ЕС) 2016/679, а также тот же регламент в редакции, инкорпорированной в право Соединённого Королевства.

«Персональные данные» ("Personal Data") означают персональные данные или личную информацию в значении Применимого законодательства о защите данных.

«Нарушение безопасности персональных данных» ("Personal Data Breach") означает нарушение безопасности, приводящее к случайному или незаконному уничтожению, утрате, изменению или несанкционированному раскрытию Персональных данных, которые передаются, хранятся или иным образом Обрабатываются, либо к несанкционированному доступу к ним.

«Обработчик» ("Processor") означает организацию, которая Обрабатывает Персональные данные от имени Контролера, включая «поставщика услуг» ("service provider") в значении этого термина по Применимому законодательству о защите данных.

«Realytics» означает Realytics Corp Limited, компанию, зарегистрированную на Кипре под номером HE424817, с юридическим адресом: 25 Martiou, 27, D. Michael Tower, office 105A, Nicosia, Cyprus, либо, если Соглашение заключено с Reality Analytics, Inc., — эту организацию.

«Регулятор» ("Regulator") означает надзорный или правоприменительный орган, обладающий юрисдикцией в отношении Обработки.

«Услуги» ("Services") означают услуги, предоставляемые Realytics Клиенту в рамках Соглашения.

«Стандартные договорные положения» ("Standard Contractual Clauses"), или «СДП» ("SCCs"), означают стандартные договорные положения, утверждённые Имплементационным решением Комиссии (ЕС) 2021/914 от 4 июня 2021 года.

«Субобработчик» ("Sub-Processor") означает любого Обработчика, привлечённого Realytics, включая Аффилированное лицо Realytics, для Обработки Персональных данных Клиента.

2. Роли и сфера применения

2.1 Роль Обработчика. В отношении Персональных данных Клиента Клиент является Контролером, а Realytics — Обработчиком. Если Клиент действует как Обработчик от имени стороннего Контролера, Realytics действует как Субобработчик Клиента, и Клиент отвечает за то, чтобы его указания, адресованные Realytics, были санкционированы соответствующим Контролером. Realytics будет Обрабатывать Персональные данные Клиента только так, как предусмотрено настоящим DPA, и в соответствии с указаниями Клиента.

2.2 Роль Контролера. Realytics действует как Контролер, а не как Обработчик, в отношении данных регистрации учётной записи, сведений об авторизованных пользователях, платёжной и расчётной информации, переписки со службой поддержки, а также данных об использовании Услуг и телеметрии, которые Realytics Обрабатывает в целях предоставления, защиты, поддержки, обслуживания и совершенствования Услуг, управления отношениями с клиентами, предотвращения мошенничества, обеспечения непрерывности деятельности и выполнения основных бизнес-функций, таких как бухгалтерский учёт, выставление счетов и соблюдение требований законодательства. Обработка этих данных компанией Realytics в качестве Контролера описана в Политике конфиденциальности Realytics и не регулируется настоящим DPA.

2.3 Собственные данные Realytics. Наборы данных, которые Realytics составляет, лицензирует или формирует независимо от Клиента, — включая данные, полученные путём автоматизированного обхода общедоступных веб-страниц, лицензированные сторонние наборы данных и Данные на уровне коммерческого объекта, — не являются Персональными данными Клиента и не регулируются настоящим DPA независимо от того, представляются ли они Клиенту через Услуги.

2.4 Аффилированные лица Клиента. Если Аффилированные лица Клиента приобрели подписки на Услуги напрямую в рамках Соглашения, настоящее DPA применяется к таким подпискам, и каждое такое Аффилированное лицо считается Контролером в отношении собственных Персональных данных Клиента. Клиент отвечает за координацию всех коммуникаций с Realytics в рамках настоящего DPA от своего имени и от имени своих Аффилированных лиц и вправе осуществлять и получать такие коммуникации от их имени.

2.5 Срок. Realytics будет Обрабатывать Персональные данные Клиента в течение срока действия Соглашения, а после его окончания — только в объёме, допускаемом Разделом 8.

3. Обязанности Клиента

3.1 Клиент будет Обрабатывать Персональные данные Клиента и давать указания Realytics в соответствии с Применимым законодательством о защите данных. Клиент несёт единоличную ответственность за точность, качество и законность Персональных данных Клиента, а также за способы, которыми он получил эти данные.

3.2 Клиент гарантирует, что обладает всеми необходимыми правами и надлежащим правовым основанием для предоставления Персональных данных Клиента компании Realytics в целях Обработки, предусмотренной Соглашением. Если этого требует Применимое законодательство о защите данных, Клиент отвечает за получение и ведение учёта любых необходимых согласий Субъектов данных. В случае отзыва согласия Клиент обязан уведомить об этом Realytics, а Realytics отвечает за исполнение любого вытекающего из этого указания в соответствии с настоящим DPA.

3.3 Запрещённые данные. Клиент не будет передавать в Услуги и не будет разрешать своим Авторизованным пользователям передавать:

(a) особые категории Персональных данных в значении статьи 9 GDPR, а именно данные, раскрывающие расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения, членство в профсоюзе, генетические данные, биометрические данные, обрабатываемые в целях идентификации, данные о состоянии здоровья либо данные о половой жизни или сексуальной ориентации физического лица;

(b) Персональные данные, относящиеся к судимостям или правонарушениям;

(c) Персональные данные детей в возрасте до шестнадцати (16) лет; либо

(d) номера платёжных карт, номера финансовых счетов, номера документов, удостоверяющих личность и выданных государственными органами, либо точные геолокационные данные идентифицированного физического лица.

Услуги не предназначены для Обработки данных, описанных в настоящем Разделе 3.3, и Realytics не несёт каких-либо обязательств или ответственности в отношении таких данных, если они были переданы в нарушение настоящего Раздела.

3.4 Возмещение убытков. Клиент будет защищать Realytics и её Аффилированные лица, возмещать им убытки и ограждать их от любых претензий, требований, разбирательств, штрафов, потерь или расходов (включая разумные расходы на юридические услуги), возникающих из или в связи с (a) Персональными данными Клиента, в отношении которых у Клиента не было законного основания или необходимых прав для их предоставления Realytics, (b) нарушением Клиентом Раздела 3.3 либо (c) любым указанием Клиента, которое приводит к нарушению компанией Realytics Применимого законодательства о защите данных, при условии что компания Realytics уведомила Клиента в соответствии с Разделом 4.1(c), когда имела возможность это сделать.

4. Обязанности Realytics как Обработчика

4.1 В той мере, в какой Realytics Обрабатывает Персональные данные Клиента от имени Клиента, Realytics будет:

(a) Обрабатывать Персональные данные Клиента только на основании документированных указаний Клиента, к которым относятся Соглашение, настоящее DPA, произведённые Клиентом настройки и использование им Услуг, а также любое иное разумное письменное указание, соответствующее настоящему DPA, в том числе в отношении передачи данных в третьи страны, за исключением случаев, когда этого требует законодательство, которому подчиняется Realytics;

(b) если законодательство требует Обработки, отличной от указаний Клиента, — информировать Клиента о таком требовании закона до начала Обработки, если только закон не запрещает такое раскрытие;

(c) незамедлительно информировать Клиента, если, по мнению Realytics, указание Клиента нарушает Применимое законодательство о защите данных;

(d) обеспечивать, чтобы персонал, уполномоченный Обрабатывать Персональные данные Клиента, был связан обязательством о конфиденциальности, и ограничивать доступ теми сотрудниками, которым он необходим для предоставления, поддержки или защиты Услуг; и

(e) поддерживать в действии письменную политику информационной безопасности, охватывающую Обработку Персональных данных Клиента.

4.2 Ограничения для поставщика услуг и обработчика. Realytics не будет:

(a) сохранять, использовать или раскрывать Персональные данные Клиента иначе как в объёме, необходимом для предоставления Услуг и исполнения Соглашения, либо в иных случаях, допускаемых Применимым законодательством о защите данных;

(b) сохранять, использовать или раскрывать Персональные данные Клиента вне рамок прямых деловых отношений между Realytics и Клиентом;

(c) «продавать» ("sell") или «передавать в совместное пользование» ("share") Персональные данные Клиента в значении этих терминов по Применимому законодательству о защите данных; либо

(d) объединять Персональные данные Клиента с Персональными данными, полученными от какого-либо иного лица или от его имени либо собранными в ходе собственного взаимодействия Realytics с физическими лицами, за исключением случаев, допускаемых Разделом 5, или когда это необходимо для предоставления Услуг.

Стороны признают, что раскрытие Клиентом Персональных данных Клиента компании Realytics не является частью какого-либо денежного или иного ценного встречного предоставления, которым обмениваются Стороны. Realytics будет обеспечивать Персональным данным Клиента тот же уровень защиты неприкосновенности частной жизни, который требуется от Клиента по Применимому законодательству о защите данных, и уведомит Клиента, если установит, что более не может выполнять свои обязательства по Применимому законодательству о защите данных.

5. Анализ на уровне коммерческих объектов и совершенствование Услуг

5.1 Цель. Услуги работают за счёт сведения коммерческой активности к уровню бизнеса, бренда или физического местоположения. Realytics не стремится идентифицировать, выделять или профилировать отдельных физических лиц либо принимать в отношении них решения и не предпринимает попыток повторной идентификации физических лиц в каком-либо из своих наборов данных.

5.2 Разрешённое использование. Realytics вправе использовать Данные на уровне коммерческого объекта, а также агрегированные или статистические данные, полученные в результате функционирования Услуг, включая данные, производные от Персональных данных Клиента, для предоставления, защиты, обслуживания, анализа и совершенствования Услуг, в том числе для разработки, обучения, тестирования и оценки аналитических моделей и моделей машинного обучения, входящих в состав Услуг.

5.3 Ограничения. Realytics будет использовать данные в соответствии с Разделом 5.2 только в том случае, если они были агрегированы или сведены к Данным на уровне коммерческого объекта таким образом, что они более не идентифицируют и не могут быть разумно использованы для идентификации какого-либо физического лица, а также более не идентифицируют Клиента. Realytics не будет раскрывать сами Персональные данные Клиента или какие-либо результаты, идентифицирующие Клиента, какому-либо другому клиенту.

5.4 Данные индивидуального уровня. Realytics не хранит и не стремится получить записи индивидуального уровня о физических лицах в наборах данных, лежащих в основе Услуг.

5.5 Возражение. Если Субъект данных реализует право на возражение согласно статье 21 GDPR в отношении Обработки, осуществляемой в рамках настоящего Раздела, Realytics обеспечит исполнение такого возражения в соответствии с Применимым законодательством о защите данных.

6. Безопасность

6.1 С учётом современного уровня развития технологий, издержек на внедрение, а также характера, объёма, контекста и целей Обработки и рисков для Субъектов данных Realytics будет внедрять и поддерживать надлежащие технические и организационные меры для защиты Персональных данных Клиента от Нарушения безопасности персональных данных. Эти меры описаны в Приложении II.

6.2 Realytics вправе время от времени обновлять меры, указанные в Приложении II, при условии что такие обновления не приводят к существенному снижению общего уровня безопасности Услуг.

6.3 По письменному запросу Клиента и с учётом положений Соглашения о конфиденциальности Realytics предоставит информацию, разумно необходимую для подтверждения соблюдения настоящего Раздела 6, которая может включать заполненные анкеты по безопасности и, при наличии, краткое изложение отчётов независимых аудиторов или сертификатов; такие материалы могут быть отредактированы по соображениям безопасности или конфиденциальности.

6.4 Аудит. Если этого требует Применимое законодательство о защите данных и если информации, предоставленной согласно Разделу 6.3, недостаточно, Клиент вправе запросить аудит Обработки Персональных данных Клиента компанией Realytics. Такой аудит может проводиться не чаще одного раза в любой период в двенадцать (12) месяцев, требует письменного уведомления не менее чем за тридцать (30) дней и проводится при условии предварительного согласования Сторонами его объёма, сроков и продолжительности. Клиент несёт собственные расходы и возмещает разумные расходы Realytics на время, затраченное на сопровождение аудита. Результаты аудита являются Конфиденциальной информацией Realytics. Клиент незамедлительно уведомит Realytics о любом выявленном несоответствии, а Realytics приложит коммерчески разумные усилия для устранения любого подтверждённого несоответствия. Ничто в настоящем Разделе не ограничивает аудит или проверку, требуемые Регулятором.

7. Субобработчики

7.1 Разрешение. Клиент предоставляет Realytics общее письменное разрешение на привлечение Аффилированных лиц Realytics и сторонних Субобработчиков к Обработке Персональных данных Клиента в связи с Услугами. Это является предварительным письменным разрешением Клиента для целей Пункта 9 Стандартных договорных положений. Актуальный перечень Субобработчиков доступен по адресу realytics.com/legal/subprocessors и воспроизведён в Приложении III.

7.2 Уведомление и возражение. Realytics будет уведомлять о каждом новом Субобработчике путём обновления перечня не менее чем за пятнадцать (15) дней до предоставления такому Субобработчику доступа к Персональным данным Клиента и обеспечит механизм, посредством которого Клиент может подписаться на уведомления об обновлениях. Клиент вправе заявить возражение по обоснованным причинам, связанным с защитой данных, в течение четырнадцати (14) дней с момента уведомления. Если Клиент не ответит в течение этого срока, Субобработчик считается принятым.

7.3 Урегулирование. Если Клиент заявляет возражение, Стороны добросовестно обсудят его. Если решение не будет достигнуто в течение тридцати (30) дней, Клиент вправе прекратить соответствующую часть Услуг, направив письменное уведомление, а Realytics возвратит предоплаченные суммы, приходящиеся на период после прекращения, пропорционально.

7.4 Перенос обязательств и ответственность. Realytics возложит на каждого Субобработчика обязательства по защите данных, обеспечивающие уровень защиты Персональных данных Клиента не ниже предусмотренного настоящим DPA. Если Субобработчик не исполняет такие обязательства, Realytics несёт перед Клиентом ответственность за исполнение обязательств этого Субобработчика.

8. Удаление и возврат

8.1 По истечении срока действия или при прекращении Соглашения, по письменному запросу Клиента либо когда цель Обработки достигнута, Realytics удалит Персональные данные Клиента в течение тридцати (30) дней, за исключением случаев, когда их хранение требуется по закону.

8.2 Персональные данные Клиента, содержащиеся в регулярных резервных копиях, будут удалены в соответствии с обычным циклом резервного копирования Realytics и в любом случае в течение девяноста (90) дней с момента прекращения.

8.3 Клиент вправе экспортировать Персональные данные Клиента с помощью функции экспорта, встроенной в Услуги, в любое время в течение срока действия без дополнительной платы. Если Клиент запрашивает индивидуальную выгрузку, требующую инженерных трудозатрат, Realytics вправе взимать плату в размере своих разумных расходов.

8.4 Realytics будет соблюдать конфиденциальность любых Персональных данных Клиента, сохраняемых согласно Разделу 8.1, и будет Обрабатывать их только в объёме, необходимом для соблюдения законодательства, которому подчиняется Realytics.

8.5 Агрегированные данные и Данные на уровне коммерческого объекта, правомерно созданные согласно Разделу 5 до прекращения и не идентифицирующие Клиента или какое-либо физическое лицо, не подлежат удалению в соответствии с настоящим Разделом.

9. Международная передача данных

9.1 Стандартные договорные положения. Если Персональные данные Клиента, происходящие из Европейской экономической зоны, Соединённого Королевства или Швейцарии, передаются в страну, в отношении которой не принято решение об адекватности, Стороны соглашаются быть связанными Модулем два (от Контролера к Обработчику) Стандартных договорных положений, которые включены в настоящее DPA посредством ссылки. Если Клиент действует как Обработчик от имени стороннего Контролера, вместо него применяется Модуль три (от Обработчика к Обработчику). Клиент исполняет обязанности экспортёра данных, а Realytics — обязанности импортёра данных.

9.2 Выбранные опции. Для целей Стандартных договорных положений:

(a) факультативная оговорка о присоединении (docking clause) в Пункте 7 применяется в случае, когда любая из Сторон письменно уведомляет другую о необходимости её применения;

(b) в Пункте 9 применяется Вариант 2 (общее письменное разрешение) со сроком уведомления, установленным в Разделе 7.2;

(c) в Пункте 11 факультативные положения о независимом разрешении споров не применяются;

(d) в Пункте 17 применяется Вариант 1, и Положения регулируются правом Республики Кипр;

(e) в Пункте 18(b) споры подлежат разрешению в судах Республики Кипр;

(f) Приложение I к Стандартным договорным положениям заполняется сведениями, приведёнными в Приложении I к настоящему DPA, а Приложение II — сведениями, приведёнными в Приложении II к настоящему DPA; и

(g) заключение настоящего DPA означает подписание каждой Стороной Стандартных договорных положений и приложений к ним.

9.3 Соединённое Королевство. В отношении передач, подпадающих под UK GDPR, Стороны соглашаются с Британским дополнением о международной передаче данных (UK International Data Transfer Addendum, версия B1.0), изданным Комиссаром по информации, которое включено посредством ссылки. Таблица 1 заполняется сведениями о Сторонах, приведёнными в Приложении I; Таблица 2 определяет экспортёра как Контролера, а импортёра — как Обработчика; Таблицы 3 и 4 заполняются сведениями, приведёнными соответственно в Приложениях I и II.

9.4 Швейцария. В отношении передач, подпадающих под Федеральный закон Швейцарии о защите данных, компетентным надзорным органом является Федеральный уполномоченный по защите данных и информации, ссылки на GDPR читаются как ссылки на швейцарский закон, а Субъекты данных в Швейцарии вправе защищать свои права в Швейцарии.

9.5 Дальнейшая передача. Realytics вправе передавать Персональные данные Клиента компании Reality Analytics, Inc. и Субобработчикам, перечисленным в Приложении III, в каждом случае при условии применения надлежащих гарантий согласно Применимому законодательству о защите данных.

9.6 Изменение механизма. Если Стандартные договорные положения или Британское дополнение будут изменены, заменены либо признаны недействительными или недостаточными судом или Регулятором соответствующей юрисдикции, Стороны соглашаются, что применимые заменяющие или обновлённые положения либо любой иной механизм передачи, действительный согласно Применимому законодательству о защите данных, будут применяться автоматически с даты, когда они станут применимыми, и что Realytics вправе внедрять дополнительные гарантии по мере необходимости без внесения изменений в настоящее DPA.

10. Права субъектов данных и содействие

10.1 Если Realytics получает запрос Субъекта данных о реализации прав на доступ, исправление, удаление, ограничение, переносимость или возражение в отношении Персональных данных Клиента, Realytics в допустимой законом мере незамедлительно сообщит Субъекту данных, что запрос следует направить Клиенту, и уведомит Клиента о таком запросе.

10.2 С учётом характера Обработки Realytics будет содействовать Клиенту посредством надлежащих технических и организационных мер, насколько это разумно возможно, в исполнении обязанности Клиента отвечать на такие запросы. Если Клиент не может обработать запрос средствами функциональности Услуг, Realytics приложит коммерчески разумные усилия для оказания содействия.

10.3 По запросу Клиента и с учётом характера Обработки и информации, доступной Realytics, Realytics окажет Клиенту разумное содействие в проведении оценки воздействия на защиту данных, связанной с использованием Клиентом Услуг, а также в любых предварительных консультациях с Регулятором согласно статье 36 GDPR, в каждом случае в той мере, в какой Клиент не имеет иного доступа к соответствующей информации.

11. Нарушение безопасности персональных данных

11.1 Realytics уведомит Клиента о Нарушении безопасности персональных данных, затрагивающем Персональные данные Клиента, без неоправданной задержки и в любом случае в течение семидесяти двух (72) часов с момента, когда компании Realytics стало об этом известно, используя контактные данные, предоставленные Клиентом для этой цели. Клиент отвечает за поддержание этих данных в актуальном состоянии.

11.2 Уведомление будет включать, в известном на тот момент объёме, характер нарушения, категории и приблизительный объём затронутых Персональных данных Клиента, вероятные последствия, а также принятые или предлагаемые меры. Если информация недоступна на момент уведомления, Realytics будет предоставлять её поэтапно по мере её появления.

11.3 Realytics предпримет коммерчески разумные шаги для локализации и устранения нарушения в той мере, в какой устранение находится под контролем Realytics, и окажет Клиенту разумное содействие, позволяющее Клиенту уведомить Регуляторов и затронутых Субъектов данных, если Клиент обязан это сделать.

11.4 Клиент несёт единоличную ответственность за соблюдение применимых к нему обязанностей по уведомлению о нарушениях и за любые обязанности по уведомлению третьих лиц.

11.5 Настоящий Раздел не применяется к Нарушению безопасности персональных данных, вызванному Клиентом, его Авторизованными пользователями либо продуктами или услугами, предоставленными не компанией Realytics.

11.6 Уведомление Realytics о Нарушении безопасности персональных данных не является признанием вины или ответственности.

12. Общие положения

12.1 Ответственность. Ответственность каждой Стороны и её Аффилированных лиц, возникающая из настоящего DPA или в связи с ним, будь то по договору, вследствие деликта или на любом ином основании ответственности, подчиняется ограничениям и исключениям ответственности, установленным Соглашением. Любое упоминание в Соглашении ответственности Стороны означает совокупную ответственность этой Стороны и всех её Аффилированных лиц по Соглашению и по всем дополнительным соглашениям об обработке данных вместе взятым. Ничто в настоящем DPA не ограничивает ответственность, которая не может быть ограничена согласно Применимому законодательству о защите данных, включая права Субъекта данных по статьям 79 и 82 GDPR.

12.2 Применимое право. Настоящее DPA регулируется правом, применимым к Соглашению. Если Соглашение не определяет применимое право, настоящее DPA регулируется правом Республики Кипр, и суды Кипра обладают исключительной юрисдикцией с учётом Разделов 9.2(e) и 9.3.

12.3 Порядок приоритета. Настоящее DPA имеет преимущественную силу над любым противоречащим ему условием Соглашения в отношении Обработки Персональных данных Клиента. За исключением изменений, внесённых настоящим DPA, Соглашение сохраняет полную силу.

12.4 Изменения настоящего DPA. Realytics вправе обновлять настоящее DPA с учётом изменений Применимого законодательства о защите данных, Услуг или своих Субобработчиков при условии, что ни одно обновление существенно не снижает уровень защиты Персональных данных Клиента. Realytics уведомит о существенных изменениях не менее чем за тридцать (30) дней путём публикации обновлённого DPA и, если Клиент подписался на уведомления, по электронной почте.

12.5 Автономность положений. Если какое-либо положение настоящего DPA будет признано недействительным или неисполнимым, остальные его положения сохраняют силу.

12.6 Отсутствие партнёрства. Ничто в настоящем DPA не создаёт между Сторонами товарищества, совместного предприятия или агентских отношений.

12.7 Срок действия. Настоящее DPA вступает в силу в дату вступления в силу Соглашения и прекращается автоматически по истечении срока действия или при прекращении Соглашения, за исключением положений, которые сохраняют силу в силу своего характера, включая Разделы 8, 9 и 12.1.

12.8 Контакты. Вопросы по настоящему DPA можно направлять на адрес . Вопросы безопасности можно направлять на адрес .

Приложение I — Описание обработки

A. Перечень сторон

Экспортёр данных (Контролер): Клиент, указанный в Соглашении. Действия, относящиеся к передаче: получение Услуг в рамках Соглашения. Подпись и дата: заключение настоящего DPA означает подписание Клиентом настоящего Приложения.

Импортёр данных (Обработчик): организация Realytics, указанная в Соглашении, а именно либо Realytics Corp Limited, регистрационный номер HE424817, 25 Martiou, 27, D. Michael Tower, office 105A, Nicosia, Cyprus, либо Reality Analytics, Inc., 1000 N. West Street, Suite 1200, Wilmington, Delaware 19801, United States. Контакт: . Действия, относящиеся к передаче: предоставление Услуг Клиенту в рамках Соглашения. Подпись и дата: заключение настоящего DPA означает подписание настоящего Приложения компанией Realytics.

B. Описание передачи

C. Компетентный надзорный орган

Управление Уполномоченного по защите персональных данных Республики Кипр.

Приложение II — Технические и организационные меры

Realytics поддерживает технические и организационные меры, призванные защитить Персональные данные Клиента от Нарушения безопасности персональных данных, с учётом характера, объёма, контекста и целей Обработки и риска для Субъектов данных. Realytics не публикует детальные сведения об архитектуре систем или о реализации мер безопасности там, где это создало бы риск для безопасности.

A. Контроль доступа

Realytics ограничивает доступ к Персональным данным Клиента кругом сотрудников, которым доступ необходим для предоставления, поддержки, обслуживания или защиты Услуг. Доступ предоставляется на основе ролей, требует аутентификации и отзывается, когда он более не нужен. Сотрудники, имеющие доступ к Персональным данным Клиента, связаны обязательствами о конфиденциальности.

B. Безопасность передачи

Realytics защищает Персональные данные Клиента, передаваемые по публичным сетям, с помощью шифрования при передаче там, где это технически целесообразно.

C. Разделение и минимизация

Realytics использует логические средства контроля, предназначенные для разделения клиентских сред и данных в рамках Услуг. Realytics ограничивает Обработку Персональных данных Клиента тем, что необходимо для целей, описанных в Соглашении и настоящем DPA, и использует агрегирование, обезличивание или Данные на уровне коммерческого объекта там, где это допускает цель.

D. Резервное копирование и отказоустойчивость

Realytics поддерживает меры резервного копирования и восстановления, призванные обеспечить доступность и восстановление Услуг и Персональных данных Клиента после инцидента, с учётом уровня тарифа Услуг и Соглашения.

E. Управление инцидентами

Realytics поддерживает процедуры выявления, расследования, локализации и устранения инцидентов безопасности, затрагивающих Услуги.

F. Управление субобработчиками

Realytics заключает договоры с Субобработчиками на условиях, устанавливающих обязательства по защите данных, которые обеспечивают уровень защиты не ниже предусмотренного настоящим DPA, и ведёт публикуемый перечень Субобработчиков, описанный в Разделе 7.

Приложение III — Субобработчики

Примечания. Hetzner Online GmbH предоставляет выделенные физические серверы и инфраструктуру дата-центров. Realytics не предоставляет Hetzner доступ к Персональным данным Клиента, и Hetzner не Обрабатывает Персональные данные Клиента от имени Realytics; компания указана в целях прозрачности как поставщик хостинговой инфраструктуры.

Meta Platforms, TikTok, LinkedIn и Google Ads используются Realytics для собственной маркетинговой и рекламной деятельности, в которой Realytics выступает Контролером. Они не Обрабатывают Персональные данные Клиента и, следовательно, не являются Субобработчиками в рамках настоящего DPA. Их роль описана в Политике конфиденциальности Realytics.

Realytics не разрешает перечисленным выше Субобработчикам, обеспечивающим обработку запросов ИИ-моделями, использовать Персональные данные Клиента для обучения их собственных моделей и заключает с ними договоры на условиях, исключающих такое использование.