XServer – мы строим интернет
Язык
Валюта
Войти
Соглашение об обработке персональных данных (DPA) — XServer

Соглашение об обработке персональных данных (DPA)

Приложение № 1 к Публичной оферте

Является неотъемлемой частью Публичной оферты
(в соответствии со ст. 28 Общего регламента по защите данных ЕС 2016/679 / GDPR)
Версия 1.1. Дата вступления в силу 20.10.2026
Настоящее Соглашение регулируется законодательством Эстонской Республики и Европейского Союза. Текст является переводом английской версии Соглашения; в случае расхождений преимущественную силу имеет английская версия.

  1. Предмет соглашения и роли Сторон

    1. Настоящее Соглашение об обработке данных («DPA») является неотъемлемой частью Публичной оферты на оказание услуг аренды физических и виртуальных серверов (далее — «Договор»).
    2. В рамках настоящего Соглашения:
      • Клиент выступает в роли Контроллера (Data Controller) персональных данных, которые размещаются или обрабатываются с использованием инфраструктуры Исполнителя.
      • Исполнитель (Компания XServer OÜ, Harju maakond, Tallinn, Kesklinna linnaosa, Kaupmehe tn 7-120, 10114) выступает в роли Обработчика (Data Processor) персональных данных.
    3. Настоящее Соглашение автоматически вступает в силу с момента акцепта Клиентом Публичной оферты и заказа Услуг.

  2. Предмет, характер и цели обработки

    1. Предмет и цель обработки: Предоставление Клиенту вычислительных ресурсов, услуг аренды виртуальных (VDS) и физических серверов, каналов связи, дискового пространства и сопутствующей технической поддержки.
    2. Типы данных: Все виды персональных данных, которые Клиент или конечные пользователи Клиента размещают, передают или хранят на серверном оборудовании Исполнителя.
    3. Категории субъектов данных: Конечные пользователи Клиента, сотрудники, контрагенты или иные лица, чьи данные обрабатываются Клиентом с использованием услуг Исполнителя.
    4. Срок обработки: Весь срок действия Договора оказания услуг до момента полного удаления данных в соответствии с Разделом 8 настоящего Соглашения.

  3. Обязанности Обработчика (Исполнителя)

    Исполнитель обязуется:
    1. Инструкции Контроллера: Обрабатывать персональные данные исключительно по документированным указаниям Клиента (включая конфигурации и настройки, производимые Клиентом в панели управления), за исключением случаев, когда иное прямо предусмотрено законодательством Европейского Союза или Эстонской Республики.
    2. Конфиденциальность: Обеспечить, чтобы весь персонал Исполнителя, имеющий доступ к инфраструктуре и данным Клиента, связывался строгими обязательствами по соблюдению конфиденциальности.
    3. Меры безопасности (TOMs): Применять надлежащие технические и организационные меры безопасности в соответствии со ст. 32 GDPR для защиты инфраструктуры (см. Раздел 4).
    4. Запросы государственных органов: Не раскрывать персональные данные Клиента третьим лицам или государственным органам, за исключением случаев, когда такое раскрытие является обязательным по законодательству Эстонской Республики или права ЕС, либо на основании законного решения суда/компетентных органов ЕС.
    5. Локация данных и международная передача: Персональные данные размещаются и хранятся исключительно в дата-центрах выбранной Клиентом геолокации (локации). Заказ Услуг в конкретном ЦОД (включая локации в ЕС/ЕЭЗ, а также за их пределами — в Великобритании, США, Украине и др.) считается прямым документированным указанием и согласием Клиента на размещение и обработку данных в соответствующей юрисдикции. Исполнитель не осуществляет передачу или миграцию данных в другие страны без дополнительного указания или подтверждения со стороны Клиента.

  4. Технические и организационные меры безопасности (TOMs)

    1. Исполнитель обеспечивает защиту инфраструктуры непосредственно и/или с привлечением сертифицированных партнерских дата-центров (Субобработчиков):
      • Физическая безопасность ЦОД: Охрана 24/7, системы контроля и управления доступом (СКУД), видеонаблюдение, ограниченный доступ в гермозоны дата-центров.
      • Контроль доступа: Разграничение административного доступа по принципу наименьших привилегий (Least Privilege) и использование двухфакторной аутентификации (2FA).
      • Отказоустойчивость: Резервирование электропитания (ИБП, дизель-генераторы) и климатических систем.
      • Изоляция клиентов на уровне гипервизора (для виртуальных серверов).
      • Логирование и мониторинг.
      • Установка патчей безопасности гипервизоров.
    2. Клиент самостоятельно несет ответственность за настройку шифрования, резервное копирование и управление правами доступа внутри собственной операционной системы и приложений на арендованном сервере.

  5. Привлечение Субобработчиков (Sub-processors)

    1. Клиент предоставляет Исполнителю общее разрешение на привлечение третьих лиц (дата-центров, операторов связи, платежных операторов) в качестве Субобработчиков.
    2. Исполнитель гарантирует, что на каждого Субобработчика возлагаются обязательства по защите данных, не менее строгие, чем предусмотренные настоящим Соглашением.
    3. Актуальный список ключевых инфраструктурных партнеров и дата-центров (Субобработчиков) предоставляется Клиенту по его письменному запросу (через тикет-систему или электронную почту).
    4. В случае планирования изменений в составе Субобработчиков Исполнитель уведомляет Клиента по электронной почте не позднее чем за 14 (четырнадцать) дней до привлечения нового Субобработчика. Клиент имеет право направить мотивированное возражение против такого изменения в течение этого срока. Если Стороны не могут прийти к соглашению относительно использования нового Субобработчика, Клиент имеет право досрочно расторгнуть Договор и получить возврат неиспользованного остатка предоплаты за Услуги. Отсутствие возражений в течение 14 дней считается одобрением изменения.

  6. Извещение об инцидентах и запросах

    1. Уведомление об утечке (Data Breach): В случае подтвержденного инцидента безопасности на уровне инфраструктуры Исполнителя, приведшего к утечке или утрате данных Клиента, Исполнитель обязуется уведомить Клиента в течение 48 часов с момента обнаружения.
    2. Права субъектов данных: В связи с тем, что Исполнитель предоставляет инфраструктурные (неуправляемые) серверы и не имеет прямого доступа к базам данных Клиента, все запросы от физических лиц (субъектов персональных данных) на реализацию их прав (доступ, удаление, исправление) направляются Клиенту. Исполнитель обязуется оказывать Клиенту разумное техническое содействие в выполнении таких запросов, если это технически осуществимо.

  7. Права на аудит и проверку соответствия

    1. Исполнитель по письменному запросу Клиента предоставляет информацию и документацию, необходимую для подтверждения соблюдения обязанностей, предусмотренных ст. 28 GDPR и настоящим DPA.
    2. Проверка соответствия осуществляется в первую очередь путем предоставления Клиенту имеющихся сертификатов безопасности, отчетов об аудите ЦОД или внутренних отчетов Исполнителя.
    3. Если предоставленной документации объективно недостаточно, Клиент (или назначенный им независимый аудитор) имеет право провести аудит непосредственно. Порядок, даты (письменное уведомление не менее чем за 30 дней), границы и условия конфиденциальности такого аудита согласовываются Сторонами отдельно. Все расходы на проведение аудита возлагаются на Клиента.

  8. Удаление и возврат данных

    1. По окончании срока действия Договора (или его расторжении) Клиенту предоставляется возможность экспортировать свои данные в течение периода в 23 дня с виртуальных серверов и 7 дней с физических серверов (Период экспорта данных, Data Export Period).
    2. По истечении периода хранения Исполнитель производит полное и безвозвратное удаление всех данных и виртуальных машин с физических носителей, за исключением случаев, когда хранение информации требуется законодательством ЕС/Эстонии.

Этот веб-сайт использует файлы cookie для улучшения пользовательского опыта и анализа трафика. Нажимая «Принять», вы соглашаетесь на использование файлов cookie.