Соглашение об обработке данных (DPA)
Обновлено: 8 июля 2026
Настоящее Соглашение об обработке данных («DPA») является частью договора между автосервисом, использующим CarsEXP («Контролёр»), и GBO Eesti OÜ, Эстония («Обработчик», «CarsEXP»), и регулирует обработку персональных данных от имени Контролёра согласно ст. 28 GDPR. Оно применяется автоматически, когда вы обрабатываете в CarsEXP персональные данные своих клиентов.
1. Роли
Для данных, которые сервис вносит в CarsEXP (клиенты, авто, наряды, счета, медиа осмотров), сервис — Контролёр, а CarsEXP — Обработчик. Для аккаунт- и платформенных данных Контролёр — CarsEXP (см. Политику конфиденциальности).
2. Предмет, характер и цель
CarsEXP обрабатывает персональные данные исключительно для оказания услуги управления автосервисом: клиенты и авто, наряды и осмотры, счета, клиентский портал, записи и коммуникации. Срок — период подписки и указанные ниже сроки хранения.
3. Категории данных и субъектов
Субъекты: клиенты сервиса и их представители. Категории: идентификация и контакты (имя, e-mail, телефон), данные авто (номер, VIN), история обслуживания, счета и статус оплаты, фото/заметки осмотров. Особые категории данных услугой не требуются.
4. Обработка по документированным инструкциям
CarsEXP обрабатывает данные только по документированным инструкциям Контролёра (включая настройку и использование платформы), кроме случаев, когда этого требует право ЕС/государства-члена (тогда CarsEXP уведомляет Контролёра, если это не запрещено).
5. Конфиденциальность
Персонал, допущенный к обработке, связан обязательством конфиденциальности и получает доступ строго по принципу необходимости.
6. Меры безопасности (ст. 32)
CarsEXP применяет надлежащие технические и организационные меры: строгую изоляцию тенантов (RLS в БД + фильтр приложения), шифрование в передаче и на диске, сильную аутентификацию, RBAC, неизменяемый аудит-лог, резервные копии и мониторинг. Подробнее — на странице «Безопасность».
7. Субобработчики
Контролёр уполномочивает CarsEXP привлекать субобработчиков, перечисленных на /legal/subprocessors (хостинг, платежи, сообщения). CarsEXP налагает на каждого обязательства не ниже настоящего DPA и заранее уведомляет о новых субобработчиках, чтобы Контролёр мог возразить по обоснованным причинам защиты данных.
8. Содействие Контролёру
С учётом характера обработки CarsEXP содействует Контролёру в запросах субъектов (доступ, исправление, удаление, переносимость), а также в безопасности, уведомлении об инцидентах и оценке воздействия. Платформа даёт self-service выгрузку и удаление данных.
9. Нарушение безопасности данных
CarsEXP уведомляет Контролёра без неоправданной задержки после того, как стало известно о нарушении, затрагивающем данные Контролёра, с информацией, необходимой для выполнения его собственных обязанностей по уведомлению.
10. Удаление или возврат
По прекращении CarsEXP удаляет или возвращает персональные данные Контролёра по его выбору, кроме случаев, когда хранение требуется по закону (напр. бухгалтерские/налоговые записи по счетам). До удаления Контролёр может выгрузить данные в любой момент.
11. Аудит
CarsEXP предоставляет информацию, необходимую для подтверждения соответствия ст. 28, и допускает аудиты (включая проверки) Контролёром или уполномоченным аудитором при разумном уведомлении и конфиденциальности.
12. Международные передачи
CarsEXP размещает данные в ЕС. Если субобработчик обрабатывает данные вне ЕЭП, передачи опираются на решение об адекватности или Стандартные договорные положения ЕС (SCC) с дополнительными мерами. Текущие локации — на странице «Субобработчики».
13. Как оформить DPA
Настоящее DPA применяется автоматически к использованию CarsEXP. Если вашей организации нужна подписанная копия — напишите на privacy@carsexp.com.