Соглашение об обработке данных

Предмет и применимое право

Настоящее Соглашение об обработке данных («DPA») применяется во всех случаях, когда DealCraft обрабатывает персональные данные по поручению Клиента при предоставлении Сервиса. Оно составлено в соответствии со статьёй 28 Общего регламента ЕС по защите данных («GDPR»), UK GDPR, где он применим, и Законом Грузии о защите персональных данных.

Такие термины, как контролёр, обработчик, обработка, субъект данных и нарушение безопасности персональных данных, имеют значения, установленные этими законами. Термины с заглавной буквы, не определённые здесь, имеют значения, установленные Генеральным соглашением об оказании услуг.

Роли

В отношении данных игроков, собранных через Игры Клиента, Клиент является контролёром, а DealCraft обработчиком.

В отношении данных собственного аккаунта и оплаты Клиента DealCraft является самостоятельным контролёром, как описано в Уведомлении о конфиденциальности. Dodo Payments обрабатывает платёжные данные как самостоятельный контролёр в качестве продавца (merchant of record).

Обработка только по указаниям

DealCraft обрабатывает персональные данные только по документально оформленным указаниям Клиента. Такими указаниями являются настройки, которые Клиент выбирает в Сервисе, настоящее DPA и Генеральное соглашение об оказании услуг. DealCraft уведомит Клиента, если сочтёт, что указание нарушает закон, и не будет обрабатывать персональные данные ни для каких иных целей, если этого не требует закон.

Сведения об обработке

Субъекты данных: игроки в Играх Клиента и, если применимо, кассовый персонал Клиента.

Категории данных: адреса электронной почты, которые запрашивает Игра, промокоды и их статус, записи о Розыгрышах (результат, время, язык, IP-адрес, с которого велась игра, определённая по нему страна, тип устройства, браузер и операционная система с их версиями, производитель и модель устройства, если браузер их сообщает, размер экрана, способ перехода к Игре, сайт, на котором она была показана, а для всплывающего окна путь страницы, на которой оно открылось, без строки запроса), идентификатор cookie устройства, хеш цифрового отпечатка браузера и хеш с ключом от сокращённого сетевого адреса. DealCraft не обрабатывает специальные категории данных.

Цель: проведение Игр Клиента, соблюдение их ограничений, предотвращение злоупотреблений, выдача и проверка Наград, а также предоставление Клиенту отчётов о результатах.

Срок: в течение всего времени использования Клиентом Сервиса и после этого в порядке, указанном в разделе «Удаление».

Конфиденциальность персонала

DealCraft обеспечивает, чтобы любое лицо, уполномоченное обрабатывать персональные данные, было связано обязательством конфиденциальности и обрабатывало их только в объёме, необходимом для Сервиса.

Меры безопасности

DealCraft применяет надлежащие технические и организационные меры, в том числе: шифрование данных при передаче с помощью TLS; хеширование паролей с помощью scrypt и секретов API с помощью SHA-256; шифрование хранимых секретов подписи с помощью AES-256-GCM; привязку любых ограничений по адресу к хешу сети с ключом, а не к самому адресу; изоляцию данных каждого клиента на уровне базы данных; лимиты запросов против злоупотреблений; ежедневное резервное копирование; доступ к рабочей среде только у оператора. Подробнее эти меры описаны на странице «Безопасность».

Субобработчики

Клиент разрешает DealCraft привлекать перечисленных ниже субобработчиков. DealCraft возлагает на каждого из них обязательства по защите данных не менее строгие, чем настоящее DPA, и остаётся ответственным за их исполнение.

DealCraft сообщит о новом субобработчике по электронной почте не менее чем за 14 дней до начала обработки им персональных данных Клиента. Если Клиент возражает по обоснованным причинам, связанным с защитой данных, и стороны не могут договориться о решении, Клиент может без штрафных санкций расторгнуть соглашение в отношении затронутой части Сервиса.

Международная передача

Персональные данные Клиента размещаются в Oracle Cloud в Объединённых Арабских Эмиратах. Трафик к сервису проходит через глобальную сеть Cloudflare, которая отсеивает атаки. Электронная почта доставляется через Resend в Соединённых Штатах, а Google участвует только тогда, когда игрок решает войти через Google.

Если передача требует гарантий в соответствии с GDPR, UK GDPR или Законом Грузии о защите персональных данных, DealCraft опирается на стандартные договорные положения Европейской комиссии или иной механизм, признанный этими законами. Клиент может запросить копию соответствующих гарантий.

Содействие Клиенту

DealCraft в течение пяти рабочих дней перенаправит Клиенту любой полученный от субъекта данных запрос, касающийся данных Клиента, и поможет Клиенту ответить на запросы о доступе, исправлении, удалении, ограничении обработки или переносе данных.

DealCraft предоставит разумную информацию и помощь для проводимых Клиентом оценок воздействия на защиту данных и консультаций с надзорными органами.

Нарушения безопасности персональных данных

DealCraft уведомит Клиента без неоправданной задержки и в любом случае в течение 48 часов с момента, когда ему стало известно о нарушении безопасности, затрагивающем персональные данные Клиента. В уведомлении будут описаны, насколько это известно, характер нарушения, затронутые данные и лица, вероятные последствия и принятые или предлагаемые меры.

DealCraft примет разумные меры для локализации нарушения и окажет Клиенту содействие в выполнении его собственных обязанностей по уведомлению надзорных органов и субъектов данных.

Удаление и возврат

После прекращения Сервиса Клиент может в течение 30 дней запросить экспорт своих данных. Затем DealCraft удаляет персональные данные Клиента в течение следующих 30 дней, если закон не требует их хранить. Копии в резервных копиях перезаписываются в течение 30 дней после удаления из рабочей базы данных.

Информация и аудит

DealCraft предоставит информацию, необходимую для подтверждения соблюдения настоящего DPA, и будет отвечать на разумные опросники по безопасности. Если этого недостаточно, Клиент может провести аудит за свой счёт один раз в год, направив письменное уведомление не менее чем за 30 дней, в рабочее время и без доступа к данным других клиентов.

Ответственность

Ответственность каждой стороны по настоящему DPA подлежит ограничениям, установленным Генеральным соглашением об оказании услуг, за исключением случаев, когда закон не допускает такого ограничения.

Порядок приоритета

Если настоящее DPA противоречит Генеральному соглашению об оказании услуг или Условиям использования в части обработки персональных данных, преимущественную силу имеет настоящее DPA. Если применяются стандартные договорные положения, они имеют преимущественную силу над настоящим DPA.