Список субобработчиков

Animiyo это мультиарендная SaaS-платформа для управления домашними животными: веб-приложение на Next.js, размещённое на Google Cloud Run, и нативное приложение для iOS используют один и тот же бэкенд Firebase в проекте Google Cloud petdiary-10327. Ни один из этих компонентов не работает на машинах, принадлежащих тому, кто разрабатывает сервис, поэтому каждый фрагмент данных, обрабатываемых платформой, проходит через стороннего поставщика. Публикация списка этих поставщиков это самый прямой способ дать любому человеку возможность проверить, куда попадают его данные.

У Animiyo две разные роли. Она является контролёром для учётных записей владельцев животных, то есть для людей, которые регистрируются и используют приложение для себя. При этом она является обработчиком для данных, которые арендаторы, ветеринарные клиники и магазины, обрабатывают о своих собственных клиентах. Этот список применяется в обоих случаях, с различием в юридической квалификации: в первом случае поставщики являются обработчиками, назначенными Animiyo, во втором они являются субобработчиками, разрешёнными согласно пунктам 2 и 4 статьи 28 Регламента (ЕС) 2016/679.

Эту страницу используют два типа читателей. Субъект данных, то есть человек, чьи данные обрабатываются, использует её, чтобы проверить, что уведомление по адресу /privacy говорит правду, и чтобы реализовать права, описанные по адресу /diritti-privacy. Контролёр-арендатор использует её, чтобы выполнить обязательство по информированию, изложенное в соглашении по адресу /dpa, чтобы обновить свой собственный реестр операций по обработке и чтобы решить, принять поставщика или возразить против него. Таким образом, публикация удовлетворяет как обязательство прозрачности перед субъектами данных, так и обязательство по информированию перед контролёрами-арендаторами.

Таблицы ниже составляют суть этого документа: абзацы существуют лишь для того, чтобы их пояснить. Если строка меняется, дата обновления вверху страницы также меняется, и в журнале изменений в конце появляется соответствующая запись.

Поставщик активируется только после прохождения фиксированного набора проверок, всегда применяемых в одном и том же порядке. Это не дискреционная оценка: это минимальные требования, и поставщик, который их не выполняет, не попадает на платформу, каким бы удобным или дешёвым ни был сервис.

• Достаточные гарантии согласно пункту 1 статьи 28: подписанное соглашение об обработке данных, задокументированные меры безопасности, прозрачность в отношении места хранения данных.
• Абсолютный запрет на положения, позволяющие поставщику обрабатывать данные в собственных целях, включая обучение моделей искусственного интеллекта, без отдельного и отзываемого согласия.
• Уведомление о нарушении в течение двадцати четырёх часов, допустимо до сорока восьми.
• Обязательство удалить данные в течение тридцати дней после окончания отношений, с письменным подтверждением того, что удаление состоялось.
• Публикация поставщиком собственного списка дальнейших субобработчиков.
• Минимизация: для одной и той же функции мы выбираем поставщика, который получает наименьший объём необходимых данных.

Одно-единственное условие не подлежит обсуждению. Ни один поставщик не может обрабатывать данные пользователей в собственных целях, и в частности для обучения моделей искусственного интеллекта, без отдельного, информированного и отзываемого согласия. По любому другому пункту менее благоприятное положение может быть компенсировано техническими или организационными мерами; по этому пункту оно не может, поскольку данные, попавшие в модель, больше не могут быть извлечены или удалены каким-либо проверяемым способом. Если поставщик вводит такое положение в свои условия, сервис заменяется по процедуре, описанной ниже.

Это основная таблица документа. Для каждого поставщика в ней указан сервис, категории получаемых данных, место обработки и юридическая роль. В роли значится обработчик, потому что поставщик обрабатывает данные от имени Animiyo и по её указаниям; по отношению к контролёрам-арендаторам тот же поставщик является уполномоченным субобработчиком.

Группа Google появляется восемь раз, а не один. Это не бессмысленное повторение: каждая строка это отдельный сервис со своей конфигурацией, своим местом и своей категорией данных. Firebase Authentication знает адрес электронной почты, но не содержимое медицинской карты; Cloud Storage for Firebase хранит фотографии, но ничего не знает о записях на приём; Google Analytics 4 видит только публичный сайт и никогда не видит область после входа. Раздельное перечисление сервисов позволяет понять, какие данные были бы затронуты инцидентом, касающимся только одного из них, и заменить один, не трогая другие.

Формулировка глобальная инфраструктура отмечает сервисы, которые не позволяют выбрать регион обработки: поставщик предоставляет их из распределённой сети, и данные могут обрабатываться в нескольких местах. Это относится к push-уведомлениям, к проверкам предотвращения мошенничества и к измерению публичного сайта, то есть к сервисам, обрабатывающим технические идентификаторы, а не содержимое учётной записи. Для этих случаев основание для передачи такое же, как описано в разделе о месте хранения данных.

Stripe Payments Europe Limited присутствует в списке, хотя не получает никаких данных. Интеграция существует в коде, но шлюз отключён конфигурационным флагом, поэтому никакая платёжная информация не покидает платформу. Строка остаётся в таблице ради прозрачности: в тот день, когда флаг будет включён, это не станет скрытой новостью, и активация в любом случае будет следовать сроку уведомления, установленному для изменений субобработчиков.

Некоторые функции платформы читают информацию из публичных баз данных: карточка лекарства, пищевая ценность корма, описание породы, обменный курс, тайл карты. Это вызовы, которые только читают данные, они начинаются из браузера пользователя и не несут ни идентификатора учётной записи, ни какого-либо содержимого дневника. Однако они передают IP-адрес браузера и технические детали запроса, поэтому они должны быть задекларированы.

Эти сервисы не являются обработчиками, потому что они не обрабатывают данные от имени Animiyo и не получают от Animiyo указаний о том, как использовать получаемую информацию. В отношении собираемых ими данных о соединении они являются самостоятельными контролёрами: они сами определяют цели и средства, применяют собственные уведомления и отвечают напрямую за собственные решения. Различие это не формальность. Обработчик обрабатывает данные только так, как ему предписано, и удаляет их по запросу; самостоятельный контролёр отвечает по собственному праву, и запросы, касающиеся этих данных о соединении, должны направляться ему.

Основные ресурсы платформы находятся в регионе us-central1, в США. Это означает, что данные учётных записей, загруженный контент и системные журналы обрабатываются за пределами Европейской экономической зоны, и что передача должна опираться на действительное юридическое основание, а также на адекватные технические меры.

Гарантии, сопровождающие передачу в США, следующие.

• Google Ireland Limited в качестве договорной стороны, согласно Google Cloud Data Processing Terms.
• Стандартные договорные положения, принятые Европейской комиссией имплементирующим решением 2021/914.
• Сертификация Google LLC согласно EU-US Data Privacy Framework.
• Шифрование данных при передаче с помощью TLS и при хранении с помощью AES с ключом 256 бит.
• Оценка воздействия передачи, задокументированная владельцем.
• Политика Google в отношении обработки запросов государственных органов.

Рассматривается перенос ресурсов в европейский регион, в зону europe-west. Это не окончательное решение, поскольку оно означает перестройку части инфраструктуры и принятие периода недоступности сервиса. Если это произойдёт, об этом будет объявлено на этой странице с тем же сроком уведомления, что установлен для добавления или замены субобработчика, чтобы контролёры-арендаторы могли обновить собственную документацию до вступления изменения в силу.

По отношению к контролёрам-арендаторам использование перечисленных поставщиков опирается на общее разрешение согласно пункту 4 статьи 28 Регламента (ЕС) 2016/679. Общее разрешение это не карт-бланш: тот, кто его предоставляет, сохраняет право заранее знать, что меняется, и возражать. Процедура ниже описывает, как это право реализуется на практике.

1. 1

   Публикация уведомления

   Не менее чем за тридцать дней до добавления или замены субобработчика изменение публикуется на этой странице с указанием поставщика, сервиса, задействованных данных и запланированной даты активации.

2. 2

   Сообщение арендатору

   Одновременно с публикацией уведомление направляется на адрес электронной почты, который арендатор указал в своём профиле. Поддержание этого адреса в актуальном состоянии и его мониторинг это ответственность арендатора.

3. 3

   Мотивированное возражение

   Арендатор может возразить в течение пятнадцати дней с момента уведомления, изложив основания для возражения. Возражения направляются со страницы /contatti и должны быть мотивированными, то есть должны объяснять, какой риск или какое ограничение делает предложенного поставщика неприемлемым.

4. 4

   Поиск альтернативной меры

   До даты активации мы оцениваем, можно ли разрешить возражение альтернативными мерами: другой конфигурацией, другим регионом, сокращением передаваемых данных или другим поставщиком для этой функции.

5. 5

   Расторжение без штрафа

   Если возражение не может быть разрешено, контролёр-арендатор может без штрафа расторгнуть ту часть сервиса, которую затрагивает изменение, в порядке, установленном в соглашении, опубликованном по адресу /dpa.

Есть единственное исключение из тридцатидневного уведомления. Если поставщик должен быть заменён по соображениям безопасности, например после серьёзной уязвимости или внезапного прекращения работы сервиса, замена может произойти с сокращённым уведомлением. В этом случае сообщение арендаторам является немедленным, и право на возражение остаётся нетронутым, но оно реализуется после изменения, а не до него. Ожидание тридцати дней перед лицом продолжающегося риска нанесло бы вред именно тем людям, которых эта процедура призвана защищать.

Этот список охватывает поставщиков, выбранных Animiyo для работы платформы. Он не охватывает поставщиков, выбранных арендатором. Когда ветеринарная клиника или магазин подключает собственные инструменты, экспортирует данные из платформы или передаёт их собственным поставщикам, эти поставщики здесь не появляются и остаются ответственностью арендатора: арендатор должен назначить их обработчиками и проинформировать собственных субъектов данных.

Это различие важно прежде всего для людей, оставивших свои данные в клинике или магазине. Если запрос касается поставщика, которого арендатор выбрал самостоятельно, он должен быть адресован арендатору, потому что арендатор является контролёром этой обработки, и только арендатор знает, какие инструменты он подключил. Эта страница всё же остаётся отправной точкой для понимания того, какие поставщики являются общими для всех, а какие нет.

Список субобработчиков многое говорит через то, что он опускает. Категории поставщиков, приведённые ниже, отсутствуют на платформе, и их отсутствие это осознанный выбор при проектировании, а не временная ситуация в ожидании бюджета.

• Никакой рекламной сети, никакого брокера данных, никакого поставщика коммерческого профилирования.
• Никакого поставщика моделей искусственного интеллекта, получающего данные пользователей.
• Никакой сторонней службы поддержки клиентов с доступом к данным.
• Никакой системы маркетинговых рассылок, наполняемой базой пользователей.
• Никакой продажи или передачи данных третьим лицам.

Каждый из этих пунктов соответствует поставщику, который не появляется в основной таблице и не появится без уведомления, описанного выше. Если одна из этих категорий когда-либо станет необходимой, добавление будет следовать той же процедуре уведомления и возражения, что установлена для других поставщиков, а для целей, требующих согласия, это согласие будет собираться отдельно и с возможностью отзыва.

Каждое изменение этого списка публикуется на этой же странице, которая является авторитетным источником. Контролёры-арендаторы дополнительно уведомляются на адрес электронной почты, указанный в их профиле, потому что для них уведомление имеет договорные последствия, а не только информативные.

Самый простой способ понять, изменилось ли что-то, это проверить дату обновления вверху страницы и сравнить её с журналом изменений в конце. По вопросам о списке, для запроса контрактной документации, относящейся к поставщику, или для подачи возражения используйте страницу /contatti, которая является единым каналом для всех сообщений об этом документе.

Последующие редакции добавляются в эту таблицу и отслеживаются в истории контроля версий кода, которая сохраняет точный текст каждой версии вместе с датой изменения. Любой, кому нужно восстановить, какой список действовал в определённый момент, может обратиться через страницу /contatti.