Приложение об обработке данных

Введение

Настоящее Приложение об обработке данных («DPA») заключается с Даты вступления в силу между компанией 3CX Software FZCO и/или любой другой связанной компанией и/или аффилированным лицом 3CX Group («3CX») и Клиентом (далее по отдельности — «сторона», а совместно — «стороны») в соответствии с Соглашением о предоставлении услуг 3CX Клиенту. Настоящее DPA включается в Соглашение посредством отсылки и определяет условия, применимые при обработке компанией 3CX Персональных данных из Европейской экономической зоны в рамках Соглашения от имени Клиента. Иные термины с заглавной буквы, используемые, но не определенные в настоящем DPA, имеют значения, установленные в Соглашении.

Адрес основного офиса 3CX:

3CX Ltd 4, Markou Drakou, Engomi, 2409 Nicosia, Cyprus

1. Определения

1.1 В целях этого DPA:

(a) “Соглашение” – электронное соглашение или лицензионное соглашение с конечным пользователем (EULA). Заключается между Клиентом и 3CX для предоставления Клиенту любых сервисов 3CX (далее "Сервисы").

(b) "Филиал" – юридическое лицо, которое прямо или косвенно контролирует другое, контролируется им или находится под общим контролем.

(c) “Законы о защите данных” – все законы и нормативные акты о защите данных, применимые к обработке Персональных данных стороной по Соглашению. Включая (но не ограничиваясь): (i) Регламент (ЕС) 2016/679 Европейского парламента и Совета о защите физических лиц в отношении обработки персональных данных и о свободном перемещении таких данных («GDPR»); (ii) Директива 2002/58/EC, касающаяся обработки персональных данных и защиты конфиденциальности в секторе электронных коммуникаций; (iii) применимые национальные реализации (i) и (ii); и (iv) в отношении Соединенного Королевства («Великобритания») любое применимое национальное законодательство, заменяющее или преобразующее во внутреннее право GDPR или любой другой закон, касающийся данных и конфиденциальности, действующий в Великобритании, а для передачи данных из Великобритании — Соглашение о международной передаче данных Великобритании (IDTA) или Дополнение Великобритании к SCC ЕС, в зависимости от того, что применимо.

(d) “ЕЭЗ” (“EEA”) – Европейская экономическая зона.

(e) “Контроллер” – юридическое лицо, которое самостоятельно или совместно с другими определяет цели и средства обработки Персональных данных.

(f) “Обработчик” – юридическое лицо, которое обрабатывает Персональные данные от имени Контроллера.

(g) “Персональные данные” – любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу (согласно ст. 4 GDPR).

(h) “Инцидент безопасности” – случайное или незаконное уничтожение, потеря, изменение и несанкционированное раскрытие и/или доступ к Персональным данным.

(i) “Стандартные договорные положения” означают стандартные договорные положения для передачи персональных данных в третьи страны в соответствии с Регламентом (ЕС) 2016/679 Европейского парламента и Совета, изданным Исполнительным решением Комиссии (ЕС) 2021/914.

2. Сфера применения Соглашения об обработке персональных данных (DPA)

2.1 Применимость DPA: Настоящее DPA применяется только в той мере, в какой Компания 3CX обрабатывает Персональные данные, происходящие из EEA или Великобритании, от имени Клиента и/или Аффилированного лица Клиента, находящегося в EEA или Великобритании. Кроме того, настоящее DPA расширяет охват действий по обработке данных в рамках Соглашения, включая Швейцарию. Стороны признают и соглашаются, что положения настоящего DPA, включая, помимо прочего, положения, касающиеся обработки Персональных данных, Безопасности, Передачи данных, обязательств, специфичных для GDPR, и любые другие соответствующие пункты, применяются с необходимыми изменениями (mutatis mutandis) к обработке Персональных данных, происходящих из Швейцарии, в дополнение к Европейской экономической зоне (EEA) и Соединенному Королевству (Великобритания). Термин «Законы о защите данных», как определено в настоящем DPA, охватывает применимые законы и нормативные акты о защите данных и конфиденциальности Швейцарии, включая Федеральный закон Швейцарии о защите данных (FADP) и любое другое соответствующее законодательство Швейцарии, регулирующее обработку Персональных данных. Передача данных из Швейцарии основывается на SCC ЕС, признанных FDPIC, с необходимыми адаптациями для Швейцарии (например, ссылки на FADP Швейцарии, компетентный орган и регулирующее законодательство).

3. Роли и обязанности

3.1 Роли сторон: Если Законы о защите данных применяются к обработке Персональных данных любой из сторон, стороны признают и соглашаются, что в отношении обработки Персональных данных Клиент является Контролером, а 3CX — Обработчиком, действующим от имени Клиента, как более подробно описано в Соглашении, и обе стороны должны соблюдать свои обязательства в соответствии с Законами о защите данных, основываясь на признанных отраслевых стандартах, таких как ISO/IEC 27001 или эквивалентных структурах.

3.2 Ограничение цели: Компания 3CX обрабатывает Персональные данные для целей, описанных в Приложении A, за исключением случаев, когда иное требуется применимым законодательством.

3.3 Безопасность: Компания 3CX поддерживает соответствующие технические и организационные меры для обеспечения безопасности Персональных данных. 3CX поддерживает программу информационной безопасности и управления рисками, основанную на лучших коммерческих практиках, для сохранения конфиденциальности, целостности и доступности Персональных данных с помощью административных, технических и физических мер, соответствующих общепризнанным отраслевым стандартам и практикам. Компания 3CX внедряет соответствующие технические и организационные меры для защиты Персональных данных от случайного или незаконного уничтожения, потери, изменения, несанкционированного раскрытия или доступа.

3.4. Обновления безопасности: Клиент несет ответственность за ознакомление с информацией, предоставляемой 3CX в отношении безопасности данных, и за самостоятельное определение того, соответствует ли Сервис требованиям Клиента и юридическим обязательствам в соответствии с Законами о защите данных. Клиент признает, что Безопасность зависит от технического прогресса и развития, и что 3CX может время от времени обновлять или изменять меры Безопасности, при условии, что такие обновления и изменения не приведут к снижению общей безопасности Сервиса, предоставляемого Клиенту. Компания 3CX уведомляет Клиента о любых существенных сокращениях мер безопасности.

3.5. Передача Персональных данных за пределы EEA или Великобритании: В той мере, в какой 3CX обрабатывает (или обеспечивает обработку) любые Персональные данные, происходящие из EEA или Великобритании, в стране, которая не была определена Европейской комиссией как обеспечивающая адекватный уровень защиты Персональных данных, такие Персональные данные должны иметь адекватную защиту (в значении Законов о защите данных). В той мере, в какой 3CX обрабатывает (или обеспечивает обработку) любые такие Персональные данные за пределами EEA или Великобритании, компания обязуется применять механизм передачи в соответствии с Законами о защите данных, такой как, но не ограничиваясь этим, Стандартные договорные условия (SCC). Субобработчики, находящиеся за пределами EEA или Великобритании, обязаны иметь собственное заявление GDPR. Компания 3CX проводит оценки воздействия передачи (transfer impact assessments), где это требуется по закону, и предоставляет такие оценки Клиенту по запросу (с учетом редактирования).

3.6. Соблюдение требований: Клиент как Контролер несет ответственность за обеспечение того, что:

(a) он соблюдал и будет продолжать соблюдать все Законы о защите данных, в том числе в любых инструкциях, которые он выдал 3CX в рамках настоящего Соглашения и DPA; и

(b) он имеет и будет продолжать иметь право передавать или предоставлять доступ к Персональным данным компании 3CX для обработки в соответствии с условиями Соглашения и настоящего DPA. Компания 3CX незамедлительно информирует Клиента, если инструкция является незаконной или нарушает Законы о защите данных.

4. Обязательства по GDPR

4.1 Применимость Раздела: Настоящий Раздел 4 применяется к обработке Персональных данных, которая подпадает под действие GDPR / которые происходят из EEA или Великобритании.

4.2 Конфиденциальность обработки: Компания 3CX гарантирует, что любое лицо, имеющее разрешение на обработку Персональных данных, подлежит обязательству о конфиденциальности (будь то договорное или законное обязательство).

4.3 Субобработчики: Клиент соглашается с тем, что 3CX может привлекать аффилированных лиц 3CX и сторонних субобработчиков (совместно именуемых «Субобработчики») для обработки Персональных данных от имени 3CX. Компания 3CX налагает на таких Субобработчиков условия защиты данных, которые защищают Персональные данные по тому же стандарту, который предусмотрен настоящим DPA, и несет ответственность за любое нарушение DPA, вызванное Субобработчиком. Субобработчики, привлекаемые 3CX, указаны в Списке Субобработчиков 3CX и доступны в Приложении B. Компания 3CX уведомляет Клиента не менее чем за 30 дней до добавления Субобработчика.

4.4 Изменения в Субобработчиках: Компания 3CX может добавлять или вносить изменения в состав Субобработчиков. Если Клиент возражает против назначения дополнительного Субобработчика, то Клиент имеет право приостановить или прекратить действие затронутого сервиса 3CX в соответствии с положениями о прекращении действия Соглашения.

4.5 Инциденты безопасности: Узнав об Инциденте безопасности, 3CX уведомляет Клиента без неоправданной задержки и в любом случае в течение 48 часов после обнаружения Инцидента безопасности по контактной информации, предоставленной Клиентом на Портале клиента, и предоставляет такую своевременную информацию, которую Клиент может разумно потребовать, в том числе для того, чтобы Клиент мог выполнить любые обязательства по отчетности о нарушении данных в соответствии с Законами о защите данных.

4.6 Сотрудничество и права субъектов данных: Компания 3CX, принимая во внимание характер обработки, предоставляет разумную помощь и инструменты, где они доступны, Клиенту, насколько это возможно, чтобы позволить Клиенту отвечать на запросы субъекта данных, стремящегося реализовать свои права в соответствии с Законами о защите данных. В случае, если такой запрос поступает непосредственно в 3CX, 3CX незамедлительно информирует субъекта данных о необходимости связаться с Клиентом по этому вопросу. Исключительной ответственностью Клиента является обеспечение того, чтобы любой администратор, определенный для учетной записи 3CX Клиента для управления и выполнения запросов субъектов данных, имел соответствующие полномочия для выполнения запросов субъектов данных.

4.7 Оценка воздействия на защиту данных: Компания 3CX, в той мере, в какой это требуется Законами о защите данных, по запросу Клиента и за счет Клиента, предоставляет Клиенту разумную помощь в проведении оценок воздействия на защиту данных или предварительных консультаций с органами по защите данных, которые Клиент обязан проводить в соответствии с Законами о защите данных.

4.8 Удаление или возврат данных: При прекращении или истечении срока действия Соглашения 3CX (по выбору Клиента) удаляет или возвращает Клиенту все Персональные данные (включая копии), находящиеся в ее владении или под ее контролем, за исключением случаев, когда это требование не применяется в той мере, в какой 3CX обязана сохранять некоторые или все Персональные данные в соответствии с применимым законодательством, или к Персональным данным, которые она архивировала в системах резервного копирования, которые 3CX надежно изолирует, защищает от любой дальнейшей обработки и в конечном итоге удаляет в соответствии с политиками удаления 3CX, за исключением случаев, предусмотренных применимым законодательством.

4.9 Аудиты / инспекции: Компания 3CX предоставляет Клиенту всю информацию, необходимую для демонстрации соблюдения настоящего DPA, и разрешает проведение аудитов, включая инспекции, проводимые Клиентом или другим аудитором, уполномоченным Клиентом, и способствует им. Это обязательство ограничивается одним аудитом на Клиента в год при условии предоставления Клиентом разумного уведомления за 30 дней.

5. Прочие положения

5.1 За исключением изменений, внесенных настоящим DPA, Соглашение остается в полной силе и действии.

5.2 В случае противоречия между Соглашением и настоящим DPA, условия настоящего DPA имеют преимущественную силу.

5.3 Любые претензии, предъявляемые в рамках настоящего DPA, регулируются условиями и положениями, включая, помимо прочего, исключения и ограничения, изложенные в Соглашении. Ничто в настоящем DPA не ограничивает ответственность в соответствии со Стандартными договорными условиями.

5.4 Любые разъяснения по настоящему DPA или другие запросы, касающиеся защиты данных, следует направлять по адресу головного офиса, указанному выше, или по электронной почте [email protected]

ПРИЛОЖЕНИЕ A

Детали обработки

Характер и цели обработки

3CX — это коммуникационное решение на открытых стандартах, предлагающее полные Унифицированные коммуникации (Unified Communications).

Компания 3CX предоставляет программное обеспечение, хостинг инстансов и облачные сервисы.

Целями обработки являются:

• Регистрация и управление учетными записями через Портал клиента 3CX.
• Идентификация клиента для заказа, лицензирования и общения по электронной почте.
• Идентификация администратора Коммуникационной системы для общения по электронной почте.
• Идентификация машины Коммуникационной системы для лицензирования.
• Идентификация пользователей Коммуникационной системы для персонализированного опыта в Видеоконференциях.
• Выдача сертификатов академии 3CX.
• Обработка лидов конечных пользователей с бесплатными лицензиями для потенциальных продаж.
• Обзор данных об использовании для общего контроля качества, отчетности и устранения неполадок сервисов 3CX.
• Отправка уведомлений по электронной почте пользователям Коммуникационной системы при использовании 3CX SMTP.
• Устранение неполадок и помощь со стороны персонала 3CX.

Категории субъектов данных

Клиент и Конечные пользователи, использующие Сервисы, и любой субъект данных, использующий Сервисы 3CX по запросу и в связи с бизнесом Клиента.

Тип(ы) обрабатываемых Персональных данных:

Передача персональных данных касается следующих категорий данных для субъектов данных:

• Идентификационная информация для Клиента, контактная информация (адрес, номер телефона, адрес электронной почты, номер факса), название компании.
• Идентификационная информация для каждого Добавочного номера Коммуникационной системы 3CX в рамках функции Видеоконференций, включая добавочный номер, имя и фамилию, адрес электронной почты, отображаемые имена для встреч в URL Click2Meet.
• Идентификационная информация для каждого Участника Видеоконференции, включая имя, адрес электронной почты и IP-адрес. Номер телефона Участника также будет обрабатываться для тех, кто присоединяется через аудио-мост Видеоконференции (Dial-In).
• Любые другие персональные данные, которые Клиент или пользователи решат включить в содержание сообщений, отправляемых и получаемых с использованием Сервисов 3CX, включая, помимо прочего, пакеты поддержки, логи, отчеты о сбоях, через электронные письма, тикеты, звонки или любые другие средства.

Персональные данные, передаваемые 3CX для обработки, определяются и контролируются Клиентом по его собственному усмотрению. Как таковая, 3CX не имеет контроля над объемом и чувствительностью персональных данных, обрабатываемых через ее Сервисы Клиентом или пользователями. 3CX не отслеживает и не получает доступ к контенту Клиента, если это не требуется для поддержки, и такая обработка осуществляется по требованию, ограничена и протоколируется.

Особые категории данных

3CX не собирает и не обрабатывает преднамеренно никакие особые категории данных при предоставлении Сервисов.

Длительность обработки

Персональные данные будут обрабатываться в течение срока действия Соглашения либо в соответствии с требованиями законодательства или договоренностью сторон.

Раскрытие информации правоохранительным органам

Обработчик не должен раскрывать Персональные данные каким-либо правоохранительным или государственным органам, если это не требуется в соответствии с применимым законодательством, обязательным для Обработчика.

Если запрос поступает непосредственно Обработчику, Обработчик должен:

(a) проверить, является ли запрос юридически действительным и правильно ли адресован соответствующему юридическому лицу 3CX;

(b) уведомить Контроллера (если это не запрещено законом); и

(c) раскрыть только минимальный объем Персональных данных, требуемый по закону.

Обработчик не обязан реагировать на неформальные уведомления или необоснованные утверждения третьих лиц и может попросить такие стороны перенаправить свои вопросы в соответствующие правоохранительные каналы.

ПРИЛОЖЕНИЕ B – СПИСОК СУБОБРАБОТЧИКОВ И УСЛОВИЯ СУБОБРАБОТКИ

1. Общие требования к субобработчикам

1.1. Письменный договор

Компания 3CX привлекает Субобработчиков только на основании письменного соглашения, налагающего обязательства по защите данных, не менее защитные, чем те, которые изложены в настоящем DPA, как того требует Статья 28 GDPR.

1.2. Аналогичный уровень защиты

Компания 3CX несет полную ответственность за действия и бездействие своих Субобработчиков и гарантирует, что каждый Субобработчик внедряет соответствующие технические и организационные меры в соответствии со Статьями 28 и 32 GDPR.

1.3. Международная передача

Если Субобработчик находится за пределами EEA, Великобритании или Швейцарии, 3CX обеспечивает внедрение законного механизма передачи, включая:

1.3.1. Стандартные договорные условия ЕС (EU SCCs)

1.3.2. Дополнение Великобритании или IDTA

1.3.3. Адаптированные для Швейцарии SCC

или любой последующий или альтернативный механизм, признанный компетентным органом.

1.4. Оценка воздействия передачи

Для передачи данных за пределы EEA/Великобритании 3CX проводит оценки воздействия передачи (где это требуется по закону) и предоставляет краткую информацию Клиенту по запросу.

2. Категории Субобработчиков

Для прозрачности 3CX различает следующие категории Субобработчиков:

2.1. Сервисные субобработчики (Service Sub-processors)

Субобработчики, которые обрабатывают Персональные данные Клиента строго для предоставления Сервисов 3CX (например, хостинг, push-уведомления, доставка электронной почты).

2.2. Корпоративные/Маркетинговые обработчики (Corporate/Marketing Processors) (без обработки Персональных данных Клиента)

Обработчики, используемые для аналитики и маркетинга на сайтах 3CX (например, Google Analytics, Facebook Pixel), не обрабатывают никаких Персональных данных Клиента в рамках настоящего DPA.

Они перечислены только для прозрачности и не являются частью цепочки поставок Клиента для предоставления Сервисов. Персональные данные Клиента, как определено в настоящем DPA, никогда не передаются Корпоративным/Маркетинговым обработчикам.

3. Уведомление Клиента и Право на возражение

3.1. Предварительное уведомление.

Компания 3CX уведомляет Клиента не менее чем за 30 дней до добавления или замены Сервисного субобработчика. Уведомление осуществляется через Портал клиента или по электронной почте.

3.2. Право на возражение.

Клиент может возразить против нового Сервисного субобработчика на разумных основаниях защиты данных в течение 30 дней после уведомления.

Компания 3CX будет добросовестно работать с Клиентом для рассмотрения таких возражений. Если стороны не смогут прийти к взаимоприемлемому решению, Клиент может приостановить или прекратить действие затронутого Сервиса и получить пропорциональный возврат предоплаченных неиспользованных средств.

3.3. Экстренная замена.

В неотложных обстоятельствах (например, сбой сервиса) 3CX может временно назначить заменяющего Субобработчика. 3CX уведомит Клиента, как только это станет практически возможным.

3.4. Текущий список Сервисных субобработчиков

Следующие организации являются авторизованными Сервисными субобработчиками, привлеченными 3CX для поддержки предоставления Сервисов.

Каждый перечисленный Субобработчик обрабатывает Персональные данные Клиента только для описанных целей и в соответствии с указанными механизмами передачи.

3CX Ltd

3CX Development Ltd

3CX GmbH

3CX USA Corp

Лицензирование 3CX и управление пользователями

Коммуникационная система 3CX – Сервисные субобработчики

3CX Видеоконференции – Сервисные субобработчики

3.5. Корпоративные/Маркетинговые обработчики (Обработка в рамках DPA не производится)

Следующие провайдеры используются исключительно для аналитики веб-сайта 3CX, оптимизации рекламы или корпоративных маркетинговых целей.

Они не обрабатывают Персональные данные Клиента, предоставляемые в рамках настоящего DPA. Их включение в список носит исключительно информационный характер (для прозрачности).

3.6. Доступ поставщиков поддержки

В случаях, когда Субобработчик по поддержке (например, TeamViewer, Freshdesk) имеет потенциальный доступ к Персональным данным:

3.6.1. Доступ является эпизодическим, ограниченным и протоколируется.

3.6.2. Доступ осуществляется только по запросу Клиента о поддержке.

3.6.3. Субобработчик связан обязательствами конфиденциальности и защиты данных уровня обработчика.

3.6.4. Субобработчик может получать доступ только к тем данным, которые строго необходимы для выполнения функции поддержки.

Стандартные договорные условия

https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32021D0914

Дополнительная информация

• https://www.3cx.ru/company/eula/
• https://www.3cx.ru/company/ai-transcription-services/
• https://www.3cx.ru/company/gdpr-statement/
• https://www.3cx.ru/company/privacy/
• https://www.3cx.ru/company/privacy-policy/
• https://www.3cx.ru/company/terms-and-conditions/
• https://www.3cx.ru/company/refund-cancellation-policy/

Последнее обновление

Дата последнего обновления документа: 13 мая 2026 г.

https://www.3cx.ru/company/data-processing/