Wumpix — Дополнение об обработке персональных данных (Data Processing Addendum)

Дата вступления в силу: 14 июля 2026 г. Бренд: Wumpix Платформа: Vividor Сайт: https://wumpix.com Канонический URL (RU): https://wumpix.com/legal/ru/dpa Английская версия: https://wumpix.com/legal/dpa

Настоящее Дополнение об обработке персональных данных, включая его Приложения («DPA»), составляет часть Условий использования сервиса Wumpix, размещённых по адресу https://wumpix.com/legal/ru/terms («Соглашение»), между Заказчиком и Wumpix.

Для целей настоящего DPA «Wumpix» означает коммерческий бренд и оператора сервисов Wumpix по адресу https://wumpix.com, включая платформу Vividor. Отдельное зарегистрированное юридическое лицо для этих Сервисов пока не создано. Юридические уведомления действительны при направлении на legal@wumpix.com (запросы по персональным данным — privacy@wumpix.com). После последующей регистрации юрлица (юрисдикция будет определена позднее) документы будут обновлены: полное наименование, реквизиты и адрес стороны соглашения. Настоящие документы не утверждают, что Wumpix сейчас является LLC, limited company, ООО или иным зарегистрированным корпоративным лицом.

Настоящее DPA применяется, когда Wumpix обрабатывает Персональные данные от имени Заказчика в ходе предоставления Сервиса Wumpix / Vividor.

При любом противоречии между настоящим DPA и иными частями Соглашения в отношении предмета защиты Персональных данных приоритет имеет настоящее DPA.

Принимая Соглашение либо используя Сервис, Заказчик заключает настоящее DPA.

1. Определения

1.1. Термины с заглавной буквы, не определённые в настоящем DPA, имеют значения, приведённые в Соглашении.

1.2. В настоящем DPA:

«Контролёр» («Controller») означает физическое или юридическое лицо, которое определяет цели и средства Обработки Персональных данных (и, где применимо по законам штатов США о конфиденциальности, аналогичное понятие «business»).

«Законы о защите данных» означают все законы и нормативные акты, применимые к Обработке Персональных данных по настоящему DPA, включая: (a) Регламент (ЕС) 2016/679 («GDPR»); (b) Общий регламент о защите данных Соединённого Королевства и Закон о защите данных 2018 г. («UK GDPR»); (c) Федеральный закон Швейцарии о защите данных («FADP»); и (d) законы штатов США о конфиденциальности, такие как Закон Калифорнии о конфиденциальности потребителей с изменениями CPRA («CCPA»), в применимой мере.

«Субъект данных» означает идентифицированное или идентифицируемое физическое лицо, к которому относятся Персональные данные.

«Персональные данные» означают любую информацию, относящуюся к идентифицированному или идентифицируемому физическому лицу, которая защищается как персональные данные или персональная информация по Законам о защите данных и которую Wumpix Обрабатывает от имени Заказчика при предоставлении Сервиса.

«Обработка» (и «Обрабатывать») означает любую операцию или совокупность операций, совершаемых с Персональными данными, с использованием средств автоматизации или без таковых, в значении GDPR.

«Обработчик» («Processor») означает физическое или юридическое лицо, которое Обрабатывает Персональные данные от имени Контролёра (и, где применимо по законам штатов США, аналогичные понятия «service provider» или «contractor»).

«SCCs» означают Модуль Два (Контролёр — Обработчик) Стандартных договорных положений, утверждённых Решением Европейской комиссии (ЕС) 2021/914 от 4 июня 2021 г., с возможными изменениями или заменой.

«Инцидент безопасности» означает нарушение безопасности, ведущее к случайному или незаконному уничтожению, утрате, изменению, несанкционированному раскрытию или доступу к Персональным данным, переданным, хранимым или иным образом Обрабатываемым Wumpix или её Субобработчиками в связи с Сервисом.

«Субобработчик» означает любого Обработчика, привлечённого Wumpix для Обработки Персональных данных от имени Заказчика.

«UK Addendum» означает Международное дополнение о передаче данных, изданное Управлением комиссара по информации Соединённого Королевства к SCCs, с изменениями или заменой.

2. Роли сторон

2.1. Заказчик является Контролёром. Wumpix является Обработчиком в отношении Персональных данных, содержащихся в Данных Заказчика.

2.2. Каждая сторона соблюдает обязательства, применимые к ней по Законам о защите данных.

2.3. Настоящее DPA не применяется к Персональным данным, которые Wumpix Обрабатывает как самостоятельный Контролёр (включая данные регистрации Учётной записи, контакты биллинга, аналитику Сайта, собственные маркетинговые списки Wumpix и данные о предотвращении злоупотреблений в отношении Пользователей), что описано в Политике конфиденциальности по адресу https://wumpix.com/legal/ru/privacy.

2.4. Заказчик самостоятельно несёт ответственность за: (a) точность и законность Персональных данных, которые он предоставляет или собирает через Сервис; (b) предоставление требуемых уведомлений Субъектам данных; (c) получение и документальное оформление требуемых согласий либо установление иного законного основания; и (d) обеспечение соответствия его указаний Wumpix Законам о защите данных.

3. Указания Заказчика

3.1. Wumpix будет Обрабатывать Персональные данные только:

(a) для предоставления, сопровождения, защиты и поддержки Сервиса; (b) в соответствии с Соглашением, настоящим DPA, конфигурацией Сервиса Заказчиком и документированными указаниями Заказчика; и (c) как требуется применимым Законом, которому подчиняется Wumpix. В этом случае Wumpix уведомит Заказчика о таком правовом требовании до Обработки, если Закон не запрещает такое уведомление по важным основаниям общественного интереса.

3.2. Соглашение, настоящее DPA, а также использование и конфигурация Сервиса Заказчиком (включая вызовы API, интеграции и настройки функций) составляют полные и окончательные документированные указания Заказчика Wumpix по Обработке Персональных данных. Дополнительные указания требуют предварительного письменного согласия и могут облагаться дополнительной платой.

3.3. Wumpix незамедлительно уведомит Заказчика, если, по мнению Wumpix, указание нарушает GDPR или UK GDPR. Wumpix не обязана проводить комплексную правовую оценку указаний Заказчика.

4. Конфиденциальность персонала обработки

Wumpix обеспечит, чтобы лица, уполномоченные Обрабатывать Персональные данные, приняли на себя обязательство конфиденциальности либо находились под соответствующим установленным законом обязательством конфиденциальности, и проходили надлежащее обучение по защите данных и информационной безопасности.

5. Безопасность

5.1. С учётом уровня техники, затрат на реализацию, характера, объёма, контекста и целей Обработки, а также риска различной вероятности и серьёзности для прав и свобод физических лиц, Wumpix внедрит и будет поддерживать надлежащие технические и организационные меры, предназначенные для обеспечения уровня безопасности, соответствующего риску, как описано в Приложении A (Меры безопасности).

5.2. Заказчик несёт ответственность за безопасное администрирование своей Учётной записи, Пользователей, учётных данных, ключей API, оконечных устройств и управляемых Заказчиком интеграций, а также за применение доступных настроек безопасности.

6. Субобработчики

6.1. Заказчик предоставляет общее разрешение Wumpix привлекать Субобработчиков для Обработки Персональных данных. Актуальный список Субобработчиков приведён в Приложении B и по адресу https://wumpix.com/legal/ru/subprocessors.

6.2. Wumpix заключит письменный договор с каждым Субобработчиком, возлагающий обязательства по защите данных, которые в отношении Персональных данных не менее защитны, чем обязательства, возложенные на Wumpix по настоящему DPA, в мере, применимой к характеру услуг Субобработчика.

6.3. Wumpix сохраняет полную ответственность перед Заказчиком за исполнение Субобработчиком обязательств по защите данных по настоящему DPA.

6.4. Wumpix уведомит Заказчика о добавлении или замене любого Субобработчика путём обновления https://wumpix.com/legal/ru/subprocessors и, для существенных изменений, затрагивающих активных платных Заказчиков, по электронной почте или уведомлением в продукте не менее чем за пятнадцать (15) дней до начала Обработки Персональных данных новым Субобработчиком (за исключением чрезвычайных ситуаций безопасности или непрерывности, в которых уведомление направляется в кратчайший практически возможный срок).

6.5. Заказчик вправе возразить против нового Субобработчика по разумным основаниям защиты данных письменным уведомлением на privacy@wumpix.com в течение пятнадцати (15) дней с уведомления. Стороны будут добросовестно сотрудничать для разрешения возражения. Если они не смогут его разрешить до запланированного изменения, Заказчик вправе прекратить затронутый Сервис письменным уведомлением в качестве исключительного средства защиты, и Wumpix возвратит предоплаченные неиспользованные суммы за прекращённую часть Срока подписки.

7. Содействие в реализации прав Субъектов данных

7.1. С учётом характера Обработки Wumpix будет оказывать Заказчику содействие надлежащими техническими и организационными мерами, насколько это возможно, для исполнения обязанности Заказчика отвечать на запросы Субъектов данных об осуществлении их прав по Законам о защите данных.

7.2. Если Wumpix получает запрос от Субъекта данных, относящийся к Персональным данным, Обрабатываемым по настоящему DPA, Wumpix незамедлительно перенаправит запрос Заказчику и не будет давать по существу ответа, за исключением случаев по указанию Заказчика или по требованию Закона.

7.3. Заказчик несёт ответственность за проверку личности Субъектов данных и за содержание ответов на запросы Субъектов данных в отношении Данных Заказчика.

8. Содействие в обеспечении соответствия

С учётом характера Обработки и информации, доступной Wumpix, Wumpix будет оказывать Заказчику содействие в отношении:

(a) безопасности Обработки по статье 32 GDPR; (b) уведомления надзорного органа об Инциденте безопасности и сообщения Субъектам данных, где Заказчик юридически обязан уведомлять; (c) оценок воздействия на защиту данных по статье 35 GDPR; и (d) предварительных консультаций с надзорным органом по статье 36 GDPR,

в каждом случае в разумном объёме, а за содействие сверх стандартной поддержки и документации Wumpix — при условии разумной платы, если объём работы является чрезвычайным.

9. Инциденты безопасности

9.1. Wumpix уведомит Заказчика без неоправданной задержки после того, как ей станет известно об Инциденте безопасности, и, где практически возможно, в течение семидесяти двух (72) часов.

9.2. Уведомление будет описывать, насколько это известно на тот момент: (a) характер Инцидента безопасности, включая, где возможно, категории и приблизительное число затронутых Субъектов данных и записей Персональных данных; (b) имя и контактные данные контактного лица Wumpix; (c) вероятные последствия Инцидента безопасности; и (d) меры, принятые или предлагаемые для устранения Инцидента безопасности, включая меры по смягчению его возможных неблагоприятных последствий.

9.3. Wumpix примет коммерчески обоснованные меры для сдерживания, расследования и устранения Инцидента безопасности и будет разумно сотрудничать с расследованием Заказчика и любыми требуемыми уведомлениями. Уведомление по настоящему разделу не является признанием вины или ответственности.

9.4. Заказчик несёт ответственность за уведомления регуляторов и Субъектов данных об Инцидентах безопасности, которые юридически являются обязанностью Заказчика как Контролёра.

10. Возврат и удаление Персональных данных

10.1. В течение Срока подписки Заказчик может экспортировать Данные Заказчика с использованием функций экспорта / API, описанных в Документации.

10.2. При прекращении или истечении Сервиса либо по письменному запросу Заказчика Wumpix по выбору Заказчика: (a) возвратит копию Персональных данных, сохраняемых на тот момент в производственных системах, в общепринятом машиночитаемом формате; либо (b) удалит Персональные данные из производственных систем и удалит существующие копии, за исключением случаев, когда хранение требуется применимым Законом либо для установления, осуществления или защиты правовых требований.

10.3. Остаточные копии в зашифрованных резервных копиях будут изолированы от производственной Обработки и перезаписаны в соответствии с циклом ротации резервных копий Wumpix, не превышая девяноста (90) дней после производственного удаления, если Закон не требует более длительного хранения.

10.4. По запросу Wumpix предоставит письменное подтверждение удаления.

11. Аудиты и информация

11.1. Wumpix предоставит Заказчику всю информацию, разумно необходимую для подтверждения соблюдения статьи 28 GDPR и настоящего DPA, включая ответы на анкеты по безопасности и доступные резюме независимых аудитов или сертификаций, когда Wumpix их поддерживает.

11.2. Заказчик может осуществлять права на аудит не чаще одного раза в любые двенадцать (12) месяцев, если не произошёл Инцидент безопасности либо надзорный орган не требует дополнительного аудита.

11.3. Аудиты должны: (a) проводиться при письменном уведомлении не менее чем за тридцать (30) дней (за исключением срочного последующего аудита после Инцидента безопасности); (b) проводиться в рабочие часы; (c) необоснованно не мешать деятельности Wumpix; (d) подчиняться обязательствам конфиденциальности; и (e) ограничиваться системами и записями, относящимися к Персональным данным, Обрабатываемым для Заказчика.

11.4. Перед любым аудитом на объекте Заказчик сначала изучит доступную документацию и отчёты аудита Wumpix. Аудиты на объекте допускаются только если Заказчик разумно покажет недостаточность документации. Заказчик несёт собственные расходы. Wumpix может взимать разумную плату за время персонала сверх стандартной поддержки по анкетам.

11.5. Wumpix может потребовать проведения аудита независимым сторонним аудитором, связанным обязательством конфиденциальности, взаимно согласованным (согласие не должно необоснованно удерживаться).

12. Международные передачи

12.1. Заказчик уполномочивает Wumpix передавать Персональные данные на международном уровне в мере, необходимой для предоставления Сервиса, включая передачу Аффилированным лицам Wumpix и Субобработчикам, с учётом настоящего раздела 12 и Законов о защите данных.

12.2. Передачи из ЕЭЗ. Если Wumpix Обрабатывает Персональные данные, подпадающие под GDPR, и передаёт такие Персональные данные в страну, не признанную Европейской комиссией как обеспечивающую адекватный уровень защиты, SCCs (Модуль Два) включаются в настоящее DPA путём отсылки и применяются между Заказчиком (как «экспортёром данных») и Wumpix (как «импортёром данных») со следующим заполнением:

(a) Пункт 7 (условие о присоединении): включён; (b) Пункт 9 (использование субобработчиков): Вариант 2 (Общее письменное разрешение), со сроком уведомления, указанным в пункте 6.4 настоящего DPA; (c) Пункт 11 (средства правовой защиты): факультативный текст не включён; (d) Пункт 17 (применимое право): право Ирландии; (e) Пункт 18 (выбор форума и юрисдикции): суды Ирландии; (f) Приложение I к SCCs: заполнено Приложением C настоящего DPA; (g) Приложение II к SCCs: заполнено Приложением A настоящего DPA; (h) Приложение III к SCCs: заполнено Приложением B настоящего DPA.

12.3. Передачи из Великобритании. Если к ограниченной передаче применяется UK GDPR, SCCs, заполненные как выше, используются с UK Addendum, который включается путём отсылки. Для Таблиц UK Addendum: Таблица 1 — стороны Заказчик и Wumpix; Таблица 2 — выбранные SCCs по пункту 12.2; Таблица 3 — информация Приложений A–C настоящего DPA; Таблица 4 — импортёр может прекратить Addendum в порядке, изложенном в нём.

12.4. Передачи из Швейцарии. Если применяется FADP, ссылки в SCCs на GDPR толкуются как включающие ссылки на FADP, ссылки на государство — член ЕС толкуются как включающие Швейцарию, а Швейцарский федеральный комиссар по защите данных и информации является компетентным надзорным органом, где это требуется.

12.5. Если какой-либо механизм передачи изменён, заменён или признан недействительным, стороны незамедлительно примут действительный альтернативный механизм, обеспечивающий законное продолжение Сервиса, и настоящее DPA будет считаться соответственно изменённым.

13. Условия конфиденциальности штатов США (service provider / contractor)

В мере, в какой к Персональным данным, Обрабатываемым по настоящему DPA, применяются CCPA или аналогичные законы штатов США о конфиденциальности:

(a) Wumpix будет Обрабатывать Персональные данные только для ограниченных и определённых деловых целей предоставления Сервиса по Соглашению и настоящему DPA, а также для целей, разрешённых для service provider / contractor по таким законам; (b) Wumpix не будет «продавать» или «обменивать» (share) Персональные данные в значении таких законов; (c) Wumpix не будет сохранять, использовать или раскрывать Персональные данные для любой цели, иной чем деловые цели, указанные в Соглашении, либо вне прямых деловых отношений с Заказчиком, за исключением случаев, разрешённых такими законами; (d) Wumpix не будет комбинировать Персональные данные с персональной информацией, полученной от другого лица или от его имени, либо собранной из собственных взаимодействий Wumpix, за исключением случаев, разрешённых для целей service provider по таким законам; (e) Wumpix будет соблюдать применимые обязательства по таким законам и обеспечивать тот же уровень защиты конфиденциальности, который требуется от businesses такими законами в отношении Персональных данных; (f) Заказчик может принимать разумные и надлежащие меры для содействия обеспечению использования Wumpix Персональных данных способом, согласующимся с обязательствами Заказчика по таким законам, включая через права на аудит по разделу 11; (g) Wumpix уведомит Заказчика, если определит, что больше не может исполнять обязательства по настоящему разделу 13; и (h) по уведомлению Заказчик может принимать разумные и надлежащие меры для прекращения и устранения несанкционированного использования Персональных данных.

14. Ответственность

Ответственность каждой стороны по настоящему DPA или в связи с ним подчиняется исключениям и ограничениям ответственности в Соглашении, за исключением случаев, когда Законы о защите данных запрещают такое ограничение (в этом случае ограничение применяется лишь в максимальной допускаемой мере).

15. Срок действия и сохранение силы

Настоящее DPA вступает в силу с даты вступления в силу, указанной выше (либо с даты, когда Заказчик впервые принимает Соглашение, если она позже), и действует, пока Wumpix прекратит Обработку Персональных данных от имени Заказчика. Разделы, которые по своему характеру должны сохранять силу (включая конфиденциальность, сотрудничество по закрытым инцидентам безопасности, ответственность и подтверждение удаления), сохраняют силу после прекращения.

16. Контактные лица

Приложение A — Меры безопасности

(также заполняет Приложение II к SCCs)

Wumpix поддерживает программу безопасности, включающую следующие меры, применимые к Сервису:

A.1. Организация информационной безопасности

• Назначенная ответственность за безопасность и конфиденциальность
• Обязательства конфиденциальности для персонала с доступом к Персональным данным
• Требования по осведомлённости персонала в области безопасности
• Проверка безопасности поставщиков для Субобработчиков, Обрабатывающих Персональные данные

A.2. Контроль физического доступа

• Производственная инфраструктура размещена в профессионально управляемых центрах обработки данных или облачных регионах с контролем физического доступа, мерами защиты среды и мониторингом объектов (реализуется инфраструктурными Субобработчиками по договору)

A.3. Контроль доступа к системам

• Уникальные идентификаторы пользователей для административного доступа
• Управление доступом на основе ролей и принцип наименьших привилегий
• Многофакторная аутентификация для привилегированного доступа, где поддерживается
• Безопасное хранение учётных данных (пароли в хешированном виде; секреты управляются через ограниченную конфигурацию)
• Управление сессиями и контроль блокировки / злоупотреблений для клиентской аутентификации

A.4. Контроль доступа к данным

• Логическое разделение Данных Заказчика по идентификаторам Учётной записи / арендатора
• Проверки авторизации в прикладных уровнях для действий Пользователей
• Ограничение доступа к производственным данным персоналом, имеющим необходимость знать

A.5. Контроль передачи

• Шифрование данных при передаче с использованием TLS для публичных HTTPS-конечных точек и защищённых каналов межсервисного взаимодействия
• Практики безопасного удалённого администрирования

A.6. Контроль ввода / целостность

• Журналирование событий администрирования и аутентификации, значимых для безопасности
• Мониторинг приложений и инфраструктуры на аномальную активность
• Практики управления изменениями для производственных развёртываний

A.7. Доступность и устойчивость

• Регулярное резервное копирование критических данных Сервиса
• Процедуры аварийного восстановления и восстановления из резервных копий
• Избыточность и процедуры перезапуска, соответствующие архитектуре развёртывания
• Планирование непрерывности при существенных сбоях

A.8. Разделение

• Разделение производственных и непроизводственных сред
• Контроли, предназначенные для предотвращения несанкционированного использования производственных Данных Заказчика в непроизводственных средах (использование обезличенных или синтетических данных, где практически возможно)

A.9. Контроль заданий / Субобработчики

• Письменные договоры с Субобработчиками
• Передача вниз по цепочке обязательств конфиденциальности и защиты данных
• Ведение списка Субобработчиков в Приложении B

A.10. Управление уязвимостями и вредоносным ПО

• Своевременное применение обновлений безопасности для систем под контролем Wumpix
• Приём сообщений об уязвимостях по адресу security@wumpix.com
• Защита от вредоносного ПО на соответствующих административных системах

A.11. Реагирование на инциденты

• Документированный процесс реагирования на инциденты
• Оценка Инцидента безопасности, сдерживание, устранение и рабочий процесс уведомления Заказчика в соответствии с разделом 9 настоящего DPA

Приложение B — Субобработчики

(также заполняет Приложение III к SCCs и публичный список по адресу https://wumpix.com/legal/ru/subprocessors)

Wumpix привлекает следующие категории и провайдеров для Обработки Персональных данных в связи с Сервисом. Точные региональные конечные точки могут различаться в зависимости от конфигурации Учётной записи и модуля продукта.

Аффилированные лица Wumpix, если имеются, которые содействуют в Поддержке, разработке или эксплуатации, могут Обрабатывать Персональные данные по тем же стандартам конфиденциальности и безопасности, что и Wumpix, в местах работы такого персонала.

Сторонние продукты, подключаемые Заказчиком к Сервису по указанию Заказчика (мессенджеры, CRM, рекламные платформы и аналогичные), не являются Субобработчиками Wumpix; они Обрабатывают данные в рамках отдельного отношения Заказчика с такими провайдерами.

Обновления настоящего Приложения B публикуются по адресу https://wumpix.com/legal/ru/subprocessors.

Приложение C — Описание Обработки

(заполняет Приложение I к SCCs)

C.1. Список сторон

Экспортёр данных (Контролёр): Заказчик, как указано в применимом Заказе или записи Учётной записи. Контакт: адрес электронной почты администратора Учётной записи; контакт по конфиденциальности, назначенный Заказчиком. Деятельность: использование Сервиса Wumpix / Vividor для корпоративной генерации лидов, outreach, диалогов, кампаний и связанных процессов. Роль: Контролёр.

Импортёр данных (Обработчик): Wumpix — коммерческий бренд и оператор https://wumpix.com (включая платформу Vividor). Отдельное зарегистрированное юридическое лицо пока не создано; уведомления: privacy@wumpix.com; security@wumpix.com; legal@wumpix.com. Контакт: privacy@wumpix.com; security@wumpix.com; legal@wumpix.com. Деятельность: предоставление облачного Сервиса и Поддержки. Роль: Обработчик.

C.2. Описание передачи / обработки

C.3. Компетентный надзорный орган

Если применяется GDPR, компетентный надзорный орган определяется в соответствии с пунктом 13 SCCs (для многих экспортёров — орган государства — члена ЕС, в котором учреждён экспортёр, либо как иначе предусмотрено пунктом 13). Если применяется UK GDPR, компетентным органом для ограниченных передач из Великобритании является Управление комиссара по информации Соединённого Королевства. Если применяется FADP, компетентным органом является швейцарский FDPIC, где применимо.

Приложение D — Операционные детали

D.1. Предмет и срок

Предметом Обработки являются Персональные данные, загруженные в Сервис или сформированные в нём в рамках Учётной записи Заказчика. Срок равен Сроку подписки плюс период удаления / остаточного хранения резервных копий по разделу 10.

D.2. Элементы управления конфигурацией Заказчика

Заказчик может применять доступные административные элементы управления, включая роли Пользователей, ключи API, области действия интеграций, настройки хранения (где предлагаются), инструменты экспорта и переключатели Функций ИИ. Эти элементы управления составляют часть указаний Заказчика.

D.3. Связанные документы

• Условия использования сервиса: https://wumpix.com/legal/ru/terms
• Политика конфиденциальности: https://wumpix.com/legal/ru/privacy
• Политика допустимого использования: https://wumpix.com/legal/ru/aup
• Субобработчики (публичное зеркало Приложения B): https://wumpix.com/legal/ru/subprocessors

Конец Дополнения об обработке персональных данных