Договор об обработке данных (статья 28 GDPR)

1. Стороны и предмет

1.1 Контролёром является Пользователь (далее — «Заказчик»), обработчиком — iBeekeeper UG (haftungsbeschränkt), Lessingstraße 4, 15345 Altlandsberg, Германия (далее — «iBeekeeper»).

1.2 iBeekeeper обрабатывает персональные данные по поручению Заказчика в той мере, в какой Заказчик сохраняет их в Сервисе в рамках договора об использовании (Общих условий). Срок: срок действия договора об использовании плюс сроки согласно пункту 9.

2. Характер, цель и объём

3. Указания

iBeekeeper обрабатывает данные только по документально оформленным указаниям Заказчика. Указания исчерпывающим образом определены в договоре об использовании и в настройках и функциях Сервиса, которыми пользуется Заказчик. Дальнейшие указания он даёт в текстовой форме на service@ibeekeeper.de. Если iBeekeeper считает указание противоправным, iBeekeeper незамедлительно сообщает об этом Заказчику (ст. 28(3), предложение 3, GDPR).

4. Конфиденциальность

iBeekeeper привлекает только лиц, которые обязались соблюдать конфиденциальность или подпадают под установленную законом обязанность хранить тайну.

5. Технические и организационные меры

iBeekeeper принимает меры согласно ст. 32 GDPR, описанные в приложении 1, и адаптирует их к уровню развития техники, не снижая уровня защиты.

6. Субобработчики

6.1 Заказчик одобряет субобработчиков, указанных в приложении 2.

6.2 iBeekeeper информирует Заказчика в текстовой форме не позднее чем за 30 дней о каждом предполагаемом привлечении или замене. Заказчик может в течение этого срока возразить по уважительной причине, связанной с защитой данных. Если стороны не могут договориться, Заказчик может расторгнуть договор об использовании на момент изменения.

6.3 iBeekeeper возлагает на каждого субобработчика по договору те же обязанности по защите данных.

7. Содействие Заказчику

iBeekeeper содействует Заказчику надлежащими мерами в ответах на запросы субъектов данных (ст. 12–22 GDPR), в частности с помощью функций экспорта, изменения и удаления Сервиса, а также в выполнении обязанностей согласно ст. 32–36 GDPR. Если субъект данных обращается непосредственно к iBeekeeper, iBeekeeper пересылает запрос Заказчику.

8. Нарушения защиты персональных данных

iBeekeeper сообщает Заказчику о нарушении защиты данных, обрабатываемых по поручению, незамедлительно, по возможности в течение 48 часов с момента, когда о нём стало известно, со сведениями согласно ст. 33(3) GDPR, насколько они известны.

9. Удаление и возврат

Заказчик может в любое время сам экспортировать и удалять данные. После прекращения договора об использовании или после удаления учётной записи iBeekeeper удаляет данные, обрабатываемые по поручению, в сроки, установленные Общими условиями (пункт 9.7), если не существует установленной законом обязанности их хранения. Ежедневные резервные копии удаляются через 30 дней, одна копия за каждый календарный месяц — через 12 месяцев. Резервные копии зашифрованы и используются только для восстановления; после восстановления данные, удалённые в промежутке, удаляются повторно.

10. Подтверждения и проверки

iBeekeeper по запросу предоставляет Заказчику информацию, необходимую для подтверждения соблюдения этих обязанностей, и допускает проверки со стороны Заказчика или уполномоченного им проверяющего, обязанного соблюдать конфиденциальность, после предварительного уведомления с разумным сроком в рабочее время. Подтверждение осуществляется в первую очередь посредством документов и сведений.

11. Ответственность и заключительные положения

В отношении ответственности действует ст. 82 GDPR; в остальном действуют Общие условия. При противоречиях настоящий договор имеет приоритет перед Общими условиями в той мере, в какой речь идёт о защите персональных данных.

Приложение 1: Технические и организационные меры

• Контроль физического доступа и физическая безопасность: серверы исключительно в центрах обработки данных OVHcloud, договорный партнёр OVH GmbH, Köln; контроль физического доступа осуществляет OVHcloud согласно своему договору об обработке данных по поручению (версия от 17.10.2025).
• Доступ к системам: вход с паролем, пароли хранятся только в виде хеша; административный доступ к серверам только по SSH-ключу.
• Доступ к данным: права в Сервисе по каждой учётной записи, предоставление доступа только Пользователем; административные обращения регистрируются (Admin-App, журнал действий с клиентами).
• Передача: транспортное шифрование TLS для всех соединений; фото без метаданных.
• Контроль ввода: журнал изменений для кассовой книги и исходящих счетов, неизменяемое хранение с контрольной суммой.
• Доступность: ежедневное резервное копирование базы данных и медиафайлов в отдельное хранилище (объектное хранилище OVHcloud в Германии); ежедневные резервные копии удаляются через 30 дней, одна копия за каждый календарный месяц — через 12 месяцев; резервные копии зашифрованы и используются только для восстановления; восстановление проверяется не реже одного раза в год, а результат документируется.
• Разделение: многоклиентское хранение данных, запросы в разрезе каждой учётной записи.
• Проверка: обновления безопасности серверов и зависимостей, ежегодная проверка мер.

Приложение 2: Субобработчики

OVH GmbH, в свою очередь, привлекает компании группы OVHcloud, для сопровождения и технического обслуживания — также OVH Hébergement Inc. (Канада) и OVH Limited (Соединённое Королевство); актуальный список размещён по адресу https://contract.eu.ovhapis.com/1.0/pdf/OVH_Sub_processors-de.pdf.

Не являются субобработчиками: Mollie, Apple и Google (оплата или доставка в рамках собственных отношений с Пользователем, без данных, обрабатываемых по поручению).