Соглашение об обработке данных (DPA)

1. Определения

«Персональные данные», «субъект данных», «обработка», «контролёр», «исполнитель», «субпроцессор», «нарушение защиты данных» и «надзорный орган» понимаются так, как в Регламенте (ЕС) 2016/679 (GDPR). «Сервис» — рабочее пространство Symphos: чат, файлы, документы, общие пространства, базы знаний и подключённые сервисы. «Данные Контролёра» — персональные данные, которые Исполнитель обрабатывает по поручению Контролёра.

2. Предмет, срок и цель обработки

Исполнитель обрабатывает Данные Контролёра только для предоставления Сервиса и по документированным инструкциям Контролёра: хранение и обработка содержимого рабочего пространства, ответы ИИ-моделей, поиск, уведомления, резервное копирование и обеспечение безопасности. Срок — срок действия договора; после его окончания — раздел 7. Категории субъектов и данных, характер и цели обработки — в Приложении A. Технические и организационные меры — в Приложении B.

3. Инструкции Контролёра

Исполнитель обрабатывает данные только по инструкциям Контролёра, включая передачу в третьи страны, если это допускает настоящее Соглашение. Если инструкция, по мнению Исполнителя, нарушает GDPR, Исполнитель сообщает об этом Контролёру и вправе приостановить её выполнение до подтверждения. Исполнитель не использует Данные Контролёра для собственных целей, не продаёт их и не передаёт для рекламы. Работники Исполнителя, имеющие доступ к данным, связаны обязанностью конфиденциальности.

4. Обязанности Исполнителя

• Обеспечивать защиту данных мерами из Приложения B и помогать Контролёру в соблюдении статей 32–36 GDPR (безопасность, уведомление о нарушении, оценка воздействия, предварительные консультации).
• Уведомить Контролёра о нарушении защиты данных без необоснованной задержки и, где возможно, не позднее 48 часов после того, как оно стало известно, с описанием характера, последствий и принятых мер.
• Помогать в выполнении запросов субъектов данных: доступ, выгрузка, исправление, удаление, ограничение и возражение (раздел «Ваши права» в Политике конфиденциальности). Запросы, поступившие напрямую, Исполнитель передаёт Контролёру, если закон не требует иного.
• Предоставлять сведения, необходимые для подтверждения соблюдения Соглашения, и допускать аудит — не чаще одного раза в год, по разумному предварительному уведомлению и без доступа к данным других контролёров.
• Не создавать иных копий данных, кроме резервных копий по утверждённому расписанию, и не переносить данные за пределы, указанные в разделе 6.

5. Субпроцессоры

Контролёр даёт общее разрешение на привлечение субпроцессоров из перечня на странице «Субпроцессоры» (Приложение C). Исполнитель налагает на каждого субпроцессора те же обязанности по защите данных, что и настоящее Соглашение, и остаётся ответственным перед Контролёром за их исполнение. О добавлении или замене субпроцессора Исполнитель сообщает заранее, чтобы Контролёр мог возразить; при возражении стороны согласуют замену или прекращение соответствующей обработки.

6. Международные передачи

Основная обработка происходит в Европейском союзе. Если субпроцессор обрабатывает данные за пределами ЕЭЗ (см. Приложение C), передача оформляется стандартными договорными условиями Европейской комиссии (SCC) и дополнительными мерами: шифрование при передаче, минимизация передаваемых данных и оценка правовой среды страны получателя. Исполнитель сообщает Контролёру о существенных изменениях, влияющих на эти меры.

7. Возврат и удаление данных

По окончании договора Исполнитель по выбору Контролёра возвращает Данные Контролёра в структурированном формате (выгрузка JSON из «Аккаунта») и удаляет их, кроме копий, которые закон требует хранить, и кроме остаточных записей в ротации резервных копий — они перезаписываются в течение срока, указанного в Политике конфиденциальности (не более четырёх недель). Удаление подтверждается письменно по запросу.

8. Ответственность и прочее

Ответственность сторон ограничена условиями основного договора; ограничение не применяется к нарушениям конфиденциальности и защиты данных, вызванным умыслом или грубой неосторожностью. Соглашение регулируется правом [юрисдикция]; споры передаются в [суд]. Изменения — письменно, по согласию сторон. Уведомления — на адрес privacy@symphos.org и на адрес Контролёра, указанный выше. Если положение Соглашения противоречит обязательному закону, оно применяется в минимально необходимой части, а остальное сохраняет силу.

Приложение A. Категории субъектов и данных

• Субъекты: работники и приглашённые участники Контролёра, а также лица, чьи данные они загружают или пересылают в рабочее пространство.
• Данные: идентификаторы аккаунта и каналов (имя, имя пользователя, идентификатор Telegram, адрес почты), сессии; содержимое рабочего пространства — сообщения, файлы, документы, заметки, задачи, события; память ассистента; токены подключённых сервисов (в зашифрованном виде); технические журналы без текста запросов.
• Особые категории: не предполагаются. Если Контролёр загружает такие данные, он отвечает за законное основание и минимизацию.

Приложение B. Технические и организационные меры

• Изоляция рабочих пространств: данные одной организации недоступны другой; проверка членства — на каждом запросе.
• Шифрование при передаче (TLS) и токены подключённых сервисов только в зашифрованном виде (AES-256-GCM с ключом сервера).
• Резервные копии шифруются, ключ хранится отдельно от копий; ротация — 7 ежедневных и 4 еженедельных.
• Доступ работников — по принципу минимальных прав; продуктовые события не содержат текста сообщений; журналы не содержат ключей.
• Удаление аккаунта удаляет личные данные, личное пространство, память и токены; удалённые файлы окончательно стираются из корзины через 30 дней.
• Режим конфиденциальности: запросы с личными данными обрабатываются локальными моделями, без облачных провайдеров.

Приложение C. Субпроцессоры

Актуальный перечень с назначением, данными и регионом — на странице «Субпроцессоры». Перечень является частью настоящего Соглашения и обновляется в порядке раздела 5.

Подписи

Контролёр: [наименование] · [должность] · [ФИО] · [подпись] · [дата]
Исполнитель: [наименование] · [должность] · [ФИО] · [подпись] · [дата]

Data Processing Agreement (English)

Шаблон — на проверку владельцу. Template — for review by the owner. Fields in square brackets are filled in on signature. The owner's lawyer reviews the final text; until then this page is a sample, not an offer.

This Data Processing Agreement (the «Agreement») is entered into between [Controller name], [address], [registration details] (the «Controller») and [Processor name], [address] (the «Processor»), in connection with the use of the Symphos service. It forms part of the agreement between the parties and remains in force while the Processor processes the Controller's personal data. Contact: privacy@symphos.org.

1. Definitions

«Personal data», «data subject», «processing», «controller», «processor», «sub-processor», «personal data breach» and «supervisory authority» have the meanings given in Regulation (EU) 2016/679 (GDPR). The «Service» is the Symphos workspace: chat, files, documents, shared spaces, knowledge bases and connected services. «Controller Data» is the personal data the Processor processes on the Controller's behalf.

2. Subject matter, duration and purpose

The Processor processes Controller Data only to provide the Service and on the Controller's documented instructions: storing and processing workspace content, AI-model answers, search, notifications, backups and security. The duration is the term of the agreement; afterwards section 7 applies. Categories of data subjects and data, the nature and purposes of processing are in Annex A; technical and organisational measures are in Annex B.

3. Controller instructions

The Processor processes data only on the Controller's instructions, including transfers to third countries permitted by this Agreement. If an instruction infringes the GDPR, the Processor informs the Controller and may suspend it until confirmed. The Processor does not use Controller Data for its own purposes, does not sell it and does not share it for advertising. Personnel with access are bound by confidentiality.

4. Processor obligations

• Protect the data with the measures in Annex B and assist the Controller with Articles 32–36 GDPR (security, breach notification, impact assessment, prior consultation).
• Notify the Controller of a personal data breach without undue delay and, where possible, within 48 hours of becoming aware, describing its nature, consequences and the measures taken.
• Assist with data-subject requests — access, export, rectification, erasure, restriction and objection (see «Your rights» in the Privacy Policy). Requests received directly are passed on unless the law requires otherwise.
• Provide the information needed to demonstrate compliance and allow an audit — at most once a year, on reasonable prior notice and without access to other controllers' data.
• Keep no copies other than backups on the approved schedule and transfer data only within the locations set out in section 6.

5. Sub-processors

The Controller gives general authorisation for the sub-processors listed on the Subprocessors page (Annex C). The Processor imposes the same data-protection obligations on each sub-processor and remains liable to the Controller for their performance. The Processor announces any addition or replacement in advance so the Controller can object; on objection the parties agree on a replacement or on stopping the affected processing.

6. International transfers

Primary processing takes place in the European Union. Where a sub-processor processes data outside the EEA (see Annex C), the transfer is covered by the European Commission's Standard Contractual Clauses (SCC) and supplementary measures: encryption in transit, minimisation of transferred data and an assessment of the recipient country's legal environment. The Processor informs the Controller of material changes affecting those measures.

7. Return and deletion of data

At the end of the agreement the Processor, at the Controller's choice, returns Controller Data in a structured format (the JSON export in Account) and deletes it, except copies required by law and residual records in the backup rotation — those are overwritten within the period stated in the Privacy Policy (no more than four weeks). Deletion is confirmed in writing on request.

8. Liability and general

Liability is limited by the main agreement; the limitation does not apply to breaches of confidentiality or data protection caused intentionally or by gross negligence. The Agreement is governed by the law of [jurisdiction]; disputes go to [court]. Amendments are made in writing by mutual consent. Notices go to privacy@symphos.org and to the Controller's address above. If a provision conflicts with mandatory law, it applies to the minimum extent necessary and the rest remains in force.

Annex A — Categories of data subjects and data

• Data subjects: the Controller's employees and invited members, and the people whose data they upload or forward into the workspace.
• Data: account and channel identifiers (name, username, Telegram ID, email address), sessions; workspace content — messages, files, documents, notes, tasks, events; assistant memory; connected-service tokens (encrypted); technical logs without request text.
• Special categories: not intended. If the Controller uploads such data, it is responsible for the lawful basis and minimisation.

Annex B — Technical and organisational measures

• Workspace isolation: one organisation's data is not accessible to another; membership is checked on every request.
• Encryption in transit (TLS); connected-service tokens only encrypted (AES-256-GCM with a server key).
• Backups are encrypted, the key is kept separately; rotation is 7 daily and 4 weekly copies.
• Staff access follows least privilege; product events never contain message text; logs contain no keys.
• Account deletion removes personal data, the personal space, memory and tokens; deleted files are purged from the trash after 30 days.
• Privacy mode: requests with personal data are processed by local models, without cloud providers.

Annex C — Sub-processors

The current list — purpose, data and region — is on the Subprocessors page. It is part of this Agreement and is updated under section 5.

Signatures

Controller: [name] · [role] · [full name] · [signature] · [date]
Processor: [name] · [role] · [full name] · [signature] · [date]