Договор об обработке данных по поручению согласно ст. 28 GDPR

Редакция от 2 октября 2026 года

между

соответствующим клиентом сервиса BookinX, имя или наименование компании, адрес и контактные данные которого указываются в рамках регистрации или управления договором,

далее «Заказчик» или «Контролер»,

Robert F. Craciun

Girardigasse 4/28

1060 Wien

Österreich

Телефон: +436641664446

Электронная почта: robert@x-orbit.app

оператором сервиса BookinX, а также Xorbit

далее «Исполнитель» или «Обработчик».

Совместно далее «Стороны».

Настоящий договор об обработке данных по поручению, включая приложения к нему, далее именуется «ДОД».

⸻

1. Предмет и сфера действия

1.1. Исполнитель предоставляет Заказчику сервис записи на встречи BookinX. С помощью BookinX Заказчик может, в частности, создавать страницы записи, управлять встречами и предоставлять своим конечным клиентам и заинтересованным лицам возможность записываться на встречи.

1.2. В той мере, в какой Исполнитель в рамках предоставления BookinX обрабатывает персональные данные по поручению Заказчика, Заказчик действует в качестве контролера согласно п. 7 ст. 4 GDPR, а Исполнитель в качестве обработчика согласно п. 8 ст. 4 GDPR.

1.3. Настоящий ДОД конкретизирует права и обязанности Сторон в сфере защиты данных и является составной частью существующего между Сторонами основного договора об использовании BookinX.

1.4. Настоящий ДОД применяется исключительно к операциям обработки, при которых Исполнитель обрабатывает персональные данные по поручению Заказчика.

1.5. В той мере, в какой Исполнитель обрабатывает персональные данные в собственных целях и под собственную ответственность в сфере защиты данных, в частности для управления договорами, выставления счетов, обеспечения ИТ-безопасности или выполнения собственных установленных законом обязанностей, эти операции обработки не являются предметом настоящего ДОД. Они регулируются политикой конфиденциальности BookinX и применимыми положениями закона.

1.6.На страницах записи Исполнитель под собственную ответственность ведет основанную на согласии статистику использования на собственных серверах в Австрии. Содержание записей в нее не включается.

⸻

2. Электронное заключение договора

2.1. Настоящий ДОД заключается в электронной форме как составная часть договорных отношений об использовании BookinX.

2.2. Заказчик выражает согласие с настоящим ДОД в рамках регистрации посредством явного электронного заявления.

2.3. Действующая на момент заключения договора редакция ДОД снабжается датой редакции или идентификатором версии и предоставляется Заказчику в электронном виде.

2.4. Исполнитель надлежащим образом документирует заключение ДОД. Для этого могут, в частности, сохраняться учетная запись клиента, использованная редакция договора или идентификатор версии и время выражения согласия.

2.5. При противоречиях между настоящим ДОД и иными соглашениями Сторон в отношении обработки персональных данных по поручению преимущественную силу имеют положения настоящего ДОД, если императивными нормами права не установлено иное.

⸻

3. Предмет, характер и цель обработки

3.1. Предметом обработки является предоставление и техническая эксплуатация сервиса записи на встречи BookinX для Заказчика.

3.2. Обработка включает, в той мере, в какой это необходимо для согласованной услуги, в частности:

a. сбор и получение данных о записи,

b. хранение записей и управление ими,

c. отображение и передачу информации о встречах и участниках,

d. отправку технически необходимых электронных писем в связи с записями,

e. управление сотрудниками и их полномочиями,

f. управление доступностью для встреч и ее отображение,

g. при активированной интеграции календаря технически необходимый доступ к информации календаря,

h. при активированной функции видеоконференций техническое предоставление или передачу необходимых для этого данных,

i. резервное копирование и восстановление данных,

j. протоколирование в целях безопасности,

k. экспорт, исправление и удаление персональных данных.

3.3. Подробные сведения о предмете и цели обработки, видах данных и категориях субъектов данных содержатся в Приложении 1.

⸻

4. Срок обработки

4.1. Обработка по поручению осуществляется, как правило, в течение срока действия основного договора об использовании BookinX.

4.2. После прекращения основного договора Исполнитель обрабатывает персональные данные лишь в той мере, в какой это необходимо для возврата, экспорта или удаления данных или в силу императивных обязанностей, установленных законом.

4.3. До окончательного удаления Заказчик может потребовать экспорта контролируемых им данных в общепринятом машиночитаемом формате, в частности CSV или JSON.

4.4. Обрабатываемые по поручению персональные данные удаляются не позднее чем через шесть месяцев после прекращения основного договора или возвращаются по указанию Заказчика, если право Союза или австрийское право не требует дальнейшего хранения.

4.5. В той мере, в какой персональные данные после их удаления из производственных систем имеются исключительно в резервных копиях и выборочное удаление технически невозможно или было бы связано с несоразмерными затратами, они могут храниться до регулярного истечения соответствующего срока хранения резервных копий. В течение этого периода они не могут обрабатываться в иных целях и должны быть защищены от обычного производственного доступа.

⸻

5. Обязательность указаний

5.1. Исполнитель обрабатывает персональные данные исключительно по документированному указанию Заказчика, если он не обязан осуществлять определенную обработку в силу права Союза или австрийского права.

5.2. Документированными указаниями считаются, в частности:

a. настоящий ДОД и основной договор,

b. настройки и конфигурации, произведенные Заказчиком в BookinX,

c. активация необязательных функций и интеграций Заказчиком или его уполномоченными пользователями,

d. указания Заказчика в текстовой форме.

5.3. Если Исполнитель обязан осуществлять обработку в силу права Союза или австрийского права, он до начала обработки информирует Заказчика об этой правовой обязанности, если соответствующее право не запрещает такое информирование по важным основаниям публичного интереса.

5.4. Если Исполнитель считает, что указание Заказчика нарушает GDPR или иные применимые положения о защите данных, он незамедлительно информирует об этом Заказчика.

5.5. Исполнитель вправе приостановить исполнение явно противоправного указания до выяснения обстоятельств.

⸻

6. Обязанности Заказчика

6.1. Заказчик несет ответственность за правомерность обработки персональных данных и за соблюдение прав субъектов данных.

6.2. Заказчик, в частности, обеспечивает наличие достаточного правового основания для операций обработки, осуществляемых через BookinX, и получение субъектами данных требуемой по закону информации о защите данных.

6.3. Заказчик дает исключительно правомерные указания.

6.4. Заказчик, в частности, принимает решения о цели и существенных средствах обработки данных своих конечных клиентов, заинтересованных лиц и сотрудников, а также об активации необязательных интеграций.

6.5. Заказчик незамедлительно информирует Исполнителя, если он обнаруживает ошибки, нарушения порядка или возможные нарушения защиты данных в связи с обработкой по поручению.

⸻

7. Конфиденциальность и тайна данных

7.1. Исполнитель гарантирует, что лица, уполномоченные на обработку персональных данных, приняли на себя обязательство о конфиденциальности или подпадают под надлежащую установленную законом обязанность сохранения тайны.

7.2. Персональные данные могут обрабатываться только в соответствии с документированными указаниями Заказчика и лишь в той мере, в какой это необходимо для выполнения соответствующих задач.

7.3. Обязательство о конфиденциальности продолжает действовать и после прекращения соответствующей деятельности.

7.4. Исполнитель и его сотрудники соблюдают, в той мере, в какой это применимо, тайну данных согласно § 6 австрийского Закона о защите данных (DSG).

⸻

8. Технические и организационные меры

8.1. Исполнитель с учетом современного уровня техники, затрат на внедрение, а также характера, объема, обстоятельств и целей обработки и различной вероятности наступления и тяжести рисков принимает надлежащие технические и организационные меры согласно ст. 32 GDPR.

8.2. Согласованные технические и организационные меры описаны в Приложении 2.

8.3. Исполнитель вправе в течение срока действия договора развивать технические и организационные меры и заменять их равноценными или более эффективными мерами, если согласованный уровень безопасности при этом не снижается.

8.4. Существенные изменения, имеющие значение для безопасности, надлежащим образом документируются.

⸻

9. Разделение клиентов (мандантов) и доступа

9.1. Исполнитель применяет технические и организационные механизмы для разделения данных различных заказчиков.

9.2. Доступ к персональным данным ограничивается в соответствии с принципами Need-to-know и Least-Privilege.

9.3. Роли и полномочия контролируются на стороне сервера.

9.4. Обращения к базе данных учитывают привязку к мандантам и ресурсам, чтобы предотвратить несанкционированный доступ между мандантами.

⸻

10. Содействие в обеспечении прав субъектов данных

10.1. Исполнитель с учетом характера обработки посредством надлежащих технических и организационных мер оказывает Заказчику содействие в выполнении его обязанностей перед субъектами данных.

10.2. Это касается, в частности, прав на:

a. доступ,

b. исправление,

c. удаление,

d. ограничение обработки,

e. переносимость данных,

f. возражение, в той мере, в какой это применимо.

10.3. Если субъект данных направляет запрос непосредственно Исполнителю и этот запрос касается персональных данных, которые обрабатываются по поручению Заказчика, Исполнитель незамедлительно пересылает запрос соответствующему Заказчику, если возможно установить принадлежность.

10.4. Исполнитель не дает самостоятельного ответа по существу на такой запрос, если он не получил на это указания от Заказчика или не обязан к этому по закону.

⸻

11. Иные обязанности по содействию

11.1. Исполнитель с учетом характера обработки и имеющейся у него информации оказывает Заказчику содействие в соблюдении обязанностей согласно ст. 32–36 GDPR.

11.2. Содействие включает, в частности:

a. безопасность обработки,

b. расследование и оценку нарушений защиты персональных данных,

c. выполнение установленных законом обязанностей по уведомлению и сообщению,

d. оценку воздействия на защиту данных согласно ст. 35 GDPR,

e. предварительные консультации с компетентным надзорным органом согласно ст. 36 GDPR.

11.3. Исполнитель предоставляет Заказчику для этих целей в надлежащем объеме имеющуюся у него информацию, необходимую для соответствующей проверки.

⸻

12. Нарушения защиты персональных данных

12.1. Если Исполнителю становится известно о нарушении защиты персональных данных, затрагивающем данные, обрабатываемые по поручению Заказчика, он информирует Заказчика незамедлительно и в любом случае не позднее чем в течение 48 часов с момента, когда ему стало об этом известно.

12.2. Уведомление содержит, в той мере, в какой соответствующая информация доступна:

a. описание характера нарушения,

b. затронутые категории персональных данных и субъектов данных,

c. по возможности приблизительное количество затронутых лиц и записей данных,

d. известные или вероятные последствия нарушения,

e. уже принятые или предлагаемые меры по устранению,

f. контактные данные для получения дополнительной информации.

12.3. Если не вся информация доступна одновременно, она дополняется поэтапно без неоправданной дальнейшей задержки.

12.4. Решение о том, требуется ли уведомление надзорного органа согласно ст. 33 GDPR или сообщение субъектам данных согласно ст. 34 GDPR, принимает Заказчик как контролер.

12.5. Исполнитель надлежащим образом документирует касающиеся его нарушения защиты данных и оказывает Заказчику содействие в необходимом выяснении обстоятельств.

⸻

13. Субобработчики

13.1. Заказчик дает Исполнителю общее разрешение на привлечение субобработчиков, перечисленных в Приложении 3.

13.2. Исполнитель информирует Заказчика не менее чем за 30 дней до предполагаемого привлечения нового или замены существующего субобработчика.

13.3. Информирование может осуществляться, в частности, по электронной почте или через учетную запись клиента BookinX.

13.4. Заказчик может в течение 30-дневного срока заявить возражение против изменения по объективно обоснованным причинам, связанным с защитой данных.

13.5. Если Стороны не могут урегулировать обоснованное возражение и соответствующий субобработчик необходим для оказания услуги, затронутый сервис или основной договор может быть прекращен в соответствии с согласованными положениями о расторжении.

13.6. Исполнитель договорным образом обязывает субобработчиков соблюдать обязанности по защите данных, которые в отношении принятых ими операций обработки соответствуют требованиям п. 4 ст. 28 GDPR.

13.7. Исполнитель остается ответственным перед Заказчиком за выполнение обязанностей по защите данных своими субобработчиками в предусмотренном законом объеме.

⸻

14. Передача данных в третьи страны

14.1. Обработка персональных данных осуществляется, как правило, в пределах Европейского союза или Европейской экономической зоны, если в Приложении 3 не указано иное.

14.2. Передача персональных данных в третью страну или международной организации осуществляется только при выполнении условий ст. 44 и последующих статей GDPR.

14.3. В случае необходимости передача в третью страну основывается, в частности, на решении Европейской комиссии о достаточном уровне защиты или на надлежащих гарантиях согласно ст. 46 GDPR.

14.4. В той мере, в какой для передачи в третью страну требуются стандартные договорные положения или дополнительные меры защиты, они вводятся до начала соответствующей передачи.

⸻

15. Подтверждения и права контроля

15.1. Исполнитель по запросу предоставляет Заказчику всю информацию, необходимую для подтверждения соблюдения обязанностей согласно ст. 28 GDPR.

15.2. Подтверждение может осуществляться, в частности, посредством:

a. описаний технических и организационных мер,

b. отчетов о безопасности или аудите,

c. документированных внутренних проверок,

d. иных надлежащих подтверждений.

15.3. Заказчик вправе проводить проверки самостоятельно или через независимого аудитора, связанного обязательством о сохранении тайны, в той мере, в какой это необходимо для проверки соблюдения настоящего ДОД.

15.4. Проверки на месте проводятся, как правило, после надлежащего предварительного уведомления в обычные рабочие часы.

15.5. Предварительное уведомление не требуется, если серьезный инцидент безопасности или обоснованное подозрение в существенном нарушении защиты данных объективно требуют проведения срочной проверки.

15.6. Проверки должны проводиться таким образом, чтобы коммерческая тайна, интересы безопасности и персональные данные других заказчиков оставались надлежащим образом защищенными.

15.7. Исполнитель сотрудничает с компетентным надзорным органом по защите данных в требуемом законом объеме.

⸻

16. Возврат и удаление

16.1. После завершения обработки по поручению Исполнитель по выбору Заказчика удаляет обработанные по поручению персональные данные или возвращает их Заказчику, если не существует установленной законом обязанности по их дальнейшему хранению.

16.2. До окончательного удаления Заказчик может потребовать экспорта хранящихся для него данных в формате CSV и/или JSON.

16.3. Если Заказчик не дает иного указания, Исполнитель вправе удалить данные в соответствии с пунктом 4.

16.4. Данные, которые должны храниться и далее в силу установленных законом обязанностей по хранению, блокируются для иных целей или их обработка ограничивается требуемым по закону объемом.

⸻

17. Ответственность

17.1. К ответственности Сторон за нарушения GDPR применяются положения закона, в частности ст. 82 GDPR.

17.2. Императивные положения закона об ответственности остаются незатронутыми.

17.3. Ограничения ответственности по основному договору не применяются, если такое ограничение недопустимо согласно GDPR или иным императивным нормам права.

⸻

18. Изменения настоящего ДОД

18.1. Об изменениях настоящего ДОД Заказчику сообщается в текстовой форме или по иному долговременному электронному каналу связи.

18.2. О существенных изменениях прав и обязанностей Сторон объявляется заблаговременно с надлежащим сроком.

18.3. Изменения, касающиеся привлечения или замены субобработчиков, независимо от этого регулируются пунктом 13.

18.4. Действующие для Заказчика редакции настоящего ДОД снабжаются датой редакции или идентификатором версии и документируются с возможностью прослеживания.

⸻

19. Применимое право и подсудность

19.1. Настоящий ДОД регулируется австрийским правом, если императивными нормами права Союза или иными императивными нормами права не установлено иное.

19.2. В той мере, в какой соглашение о подсудности допускается законом, для споров, вытекающих из настоящего ДОД или связанных с ним, согласовывается компетенция судов, обладающих предметной подсудностью, в Вене, Австрия.

19.3. Императивная подсудность, установленная законом, и права субъектов данных согласно GDPR этим не ограничиваются.

⸻

20. Заключительные положения

20.1. Приложения 1–3 являются неотъемлемой частью настоящего ДОД.

20.2. Настоящий ДОД, как правило, прекращается вместе с основным договором. Положения о конфиденциальности, защите данных, возврате, удалении, подтверждениях и ответственности в той мере, в какой это необходимо, продолжают действовать после окончания договора.

20.3. Если отдельные положения настоящего ДОД являются или станут недействительными или неисполнимыми, остальные положения остаются в силе. Вместо недействительного или неисполнимого положения применяются соответствующие нормы закона.

⸻

Приложение 1 – Предмет обработки, виды данных и субъекты данных

1. Предмет

Предоставление и эксплуатация сервиса записи на встречи BookinX.

Заказчик может создавать страницы записи и предоставлять своим конечным клиентам и заинтересованным лицам возможность записываться на встречи. Сотрудники Заказчика могут управлять записями и, если это активировано, использовать функции календаря и видеоконференций.

2. Цель обработки

Обработка осуществляется, в частности, для:

получения записей на встречи и управления ими,
координации и отображения доступности,
коммуникации в связи со встречами,
управления сотрудниками, участвующими в процессе записи,
синхронизации с подключенными календарями,
подготовки к встречам (повестка, цели беседы, материалы),
бронирования помещений сотрудниками Заказчика,
технического обеспечения видеоконференций, если это активировано,
записи, расшифровки и составления резюме видеоконференций, если они запущены организатором,
отображения публичных профилей сотрудников, если это разрешено,
импорта списков пользователей Заказчиком,
ведения журнала изменений для администраторов Заказчика,
обеспечения безопасности, доступности и восстанавливаемости сервиса.

3. Категории субъектов данных

3.1. Конечные клиенты и заинтересованные лица Заказчика

Лица, которые записываются на встречу через страницу записи BookinX или взаимодействуют с Заказчиком в связи с записью на встречу.

3.2. Сотрудники Заказчика

Сотрудники, внештатные сотрудники или иные уполномоченные Заказчиком пользователи, которые через BookinX предлагают встречи, управляют ими или участвуют в них.

4. Категории персональных данных

4.1. Конечные клиенты и заинтересованные лица

В зависимости от настроек:

форма обращения,
титул,
имя,
фамилия,
адрес электронной почты,
компания,
сообщение или введенная конечным клиентом информация о записи,
время встречи,
часовой пояс,
язык,
время выражения согласия, если согласие документируется через BookinX,
технические данные о доставке в связи с электронными письмами,
сведения о подготовке к встрече, в частности дополнения к повестке и собственная цель беседы,
обращения к странице подготовки к встрече,
при запущенной записи видеоконференции: изображение и звук (кратковременно), звуковая запись (до расшифровки), расшифровка, резюме, а также отображаемое имя и моменты выступления.

4.2. Сотрудники Заказчика

В зависимости от использования и настроек:

имя,
адрес электронной почты,
номер телефона,
роль и полномочия,
фотография профиля, по желанию,
краткое представление, по желанию,
видео-представление, по желанию,
функция или должность и отдел,
форма обращения и язык, в том числе из импортированного Заказчиком списка пользователей,
сведения публичного профиля, по желанию: приветствие, текст «Über mich» [«Обо мне»], девиз, описание компании, видео компании, баннер профиля,
QR-код и цифровая визитная карточка (имя, компания, номер телефона, адрес электронной почты), по желанию,
периоды занятости календаря при подключенном календаре (Microsoft 365, Google Календарь или Apple Календарь),
записанные или внесенные встречи и периоды отсутствия при подключенном календаре,
бронирования помещений (помещение, название, начало, окончание, бронирующее лицо),
записи в журнале изменений (кто, когда и что изменил, без измененного содержания),
при запущенной записи видеоконференции: изображение и звук (кратковременно), звуковая запись (до расшифровки), расшифровка, резюме, а также отображаемое имя и моменты выступления,
хранящиеся в зашифрованном виде токены доступа для подключенных сервисов.

5. Специальные категории персональных данных

BookinX в рамках своих обычных функций не предназначен для сбора специальных категорий персональных данных согласно ст. 9 GDPR. При записи видеоконференций голоса не анализируются в целях идентификации лиц; соотнесение говорящих осуществляется исключительно по отображаемому имени в конференции.

В той мере, в какой Заказчик допускает передачу таких данных, в частности через поля для свободного текста или иные возможности ввода, Заказчик несет ответственность за наличие соответствующего правового основания, а также за выполнение дополнительных требований в сфере защиты данных.

Исполнитель обрабатывает такие данные исключительно в соответствии с документированными указаниями Заказчика и в рамках согласованных функций BookinX.

6. Операции обработки

В зависимости от использования, в частности:

сбор,
регистрация,
упорядочивание,
хранение,
извлечение,
отображение,
передача,
синхронизация,
обновление,
резервное копирование,
экспорт,
ограничение,
удаление.

7. Основное место обработки

Основная обработка осуществляется на собственных серверах Исполнителя в Австрии.

Иные места обработки указаны в Приложении 3.

⸻

Приложение 2 – Технические и организационные меры

1. Шифрование при передаче

Шифрование внешних соединений с помощью TLS.
Предотвращение или перенаправление незашифрованных обращений, насколько это технически возможно.
Зашифрованная коммуникация с подключенными внешними сервисами.

2. Безопасность паролей

Пароли не хранятся в открытом виде.
Хеширование паролей с помощью Argon2id.
Выбор и регулярная проверка надлежащих параметров Argon2id.

3. Защита внешних токенов доступа

Зашифрованное хранение токенов доступа для подключенных сервисов.
Шифрование с помощью AES-256-GCM.
Отделение ключей шифрования от зашифрованных полезных данных.
Ротация ключей.
Ограничение доступа к ключам технически необходимыми компонентами и уполномоченными лицами.

4. Контроль доступа и полномочия

Ролевой контроль доступа.
Проверка полномочий на стороне сервера.
Разделение мандантов на уровне базы данных.
Разделение ресурсов и проверка привязки ресурсов к манданту.
Применение принципов Need-to-know и Least-Privilege.

5. Управление сеансами

Сеансы на стороне сервера.
Определенные сроки истечения.
Возможность аннулирования сеансов на стороне сервера.
Обработка существующих сеансов с учетом требований безопасности при значимых изменениях.

6. Защита от автоматизированных атак и злоупотреблений

Ограничения частоты запросов (rate limits) для конечных точек, имеющих значение для безопасности.
Ограничение автоматизированных запросов, в частности для функций аутентификации и общедоступных функций записи.
Проверка значимых вводимых данных на стороне сервера.

7. Протоколирование

Протоколирование операций, имеющих значение для безопасности и администрирования, в журнале аудита.
Журнал изменений для администраторов Заказчика: время, лицо, действие и затронутый объект, но никогда не измененное содержание; виден только администраторам собственного манданта.
Срок хранения журнала аудита: как правило, 12 месяцев.
Ограничение доступа к информации аудита.
Журналы аудита не используются для рекламы или формирования рекламных профилей.

8. Резервное копирование данных

Ежедневные зашифрованные резервные копии.
Дополнительная резервная копия за пределами основного сервера.
Хранение ежедневных резервных копий в течение 14 дней.
Хранение еженедельных резервных копий в течение 8 недель.
Ограничение доступа к резервным копиям.
Регулярные тесты восстановления.

9. Доступность и восстанавливаемость

Меры по восстановлению персональных данных после технических или физических инцидентов.
Проверка восстанавливаемости резервных копий.
Проведение и документирование тестов восстановления.

10. Проверки безопасности

Проверки безопасности перед выпуском релизов.
Проверка изменений, имеющих значение для безопасности, перед вводом в производственную эксплуатацию.
Приоритизация на основе рисков и устранение выявленных недостатков безопасности.
Регулярная проверка эффективности мер безопасности.

11. Минимизация данных

Ограничение обработки данными, необходимыми для соответствующей функции или предоставленными Заказчиком в рамках предусмотренных функций.
Необязательные данные профиля обрабатываются только при использовании соответствующих функций.
Интеграции календаря активируются только после явного подключения уполномоченным пользователем.

12. Отслеживание и реклама

Отсутствие рекламных трекеров в рамках обработки по поручению.
Обрабатываемые по поручению данные о записи или данные сотрудников не используются для персонализированной рекламы.

13. Проверка и дальнейшее развитие

Технические и организационные меры проверяются регулярно, а также после существенных изменений или инцидентов безопасности и развиваются в соответствии с риском и современным уровнем техники.

⸻

Приложение 3 – Субобработчики

Заказчик дает свое общее разрешение на привлечение перечисленных ниже субобработчиков.

1. netcup GmbH

Поставщик: netcup GmbH

Местонахождение: Германия

Услуга: Техническая отправка электронной почты

Обрабатываемые данные: Адреса электронной почты, информация об отправителе и получателе, а также технически необходимые данные электронной почты и доставки

Обработка: Европейский союз или Европейская экономическая зона

Применение: Составная часть отправки электронной почты BookinX

⸻

2. Microsoft Ireland Operations Limited

Поставщик: Microsoft Ireland Operations Limited

Местонахождение: Ирландия

Услуга: Microsoft Graph, Microsoft 365 и Microsoft Teams

Обрабатываемые данные: В зависимости от активированной функции данные сотрудников, периоды занятости календаря, встречи, а также технически необходимые данные идентификации, аутентификации и подключения

Применение: Только в той мере, в какой уполномоченный пользователь подключает к BookinX или активирует соответствующую интеграцию Microsoft.

В той мере, в какой в рамках оказания услуг осуществляется передача персональных данных за пределы ЕЭЗ, она осуществляется исключительно при соблюдении условий ст. 44 и последующих статей GDPR.

⸻

3. Google Ireland Limited

Поставщик: Google Ireland Limited

Местонахождение: Ирландия

Услуга: Google Calendar API

Обрабатываемые данные: В зависимости от активированной функции периоды занятости календаря, встречи, адрес электронной почты учетной записи Google, а также технически необходимые данные аутентификации и подключения

Применение: Только в той мере, в какой уполномоченный пользователь подключает свой Google Календарь к BookinX.

⸻

4. Apple Distribution International Ltd.

Поставщик: Apple Distribution International Ltd.

Местонахождение: Ирландия

Услуга: Календарь iCloud (CalDAV)

Обрабатываемые данные: В зависимости от активированной функции периоды занятости календаря, встречи, Apple ID, а также технически необходимые данные подключения

Применение: Только в той мере, в какой уполномоченный пользователь подключает свой Apple Календарь к BookinX.

⸻

5. Инфраструктура резервного копирования

Собственная инфраструктура Исполнителя

Услуга: Зашифрованная внешняя резервная копия

Обрабатываемые данные: Зашифрованная резервная копия данных, хранящихся в BookinX

Применение: Резервное копирование и восстановление данных

Если вторая копия эксплуатируется исключительно на собственной инфраструктуре Исполнителя и никакой иной обработчик не участвует, данная запись исключается.

⸻

Собственная инфраструктура Исполнителя (не субобработчики)

Видеоконференции (Xorbit Meeting): собственный экземпляр Jitsi Meet по адресу meet.x-orbit.app на серверах Исполнителя в Австрии.
Запись и расшифровка (по желанию): запись через собственный экземпляр Jitsi (Jibri), распознавание речи с помощью Whisper и составление резюме с помощью языковой модели Qwen 2.5 через Ollama, все на серверах Исполнителя; без передачи третьим лицам и без обучения моделей на данных клиентов. Видеофайл удаляется сразу после записи, звуковая запись после расшифровки; расшифровка и резюме зашифрованы, удаление через 30 дней после окончания записи или встречи.
Управление встречами и конференциями (MeetinX): внутренний модуль BookinX на тех же серверах в Австрии; создает конференц-комнаты и записи в календаре. Адрес электронной почты участника и ссылки на конференции хранятся в зашифрованном виде, адрес электронной почты участника удаляется через 30 дней после окончания встречи.
Резервное копирование данных: ежедневное зашифрованное резервное копирование (GPG, AES-256) на сервер у netcup, а также зашифрованная вторая копия на устройстве Исполнителя в Австрии; хранение ежедневных копий 14 дней, еженедельных 8 недель.

⸻

Электронное согласие

В рамках регистрации может использоваться следующее заявление:

Я принимаю Условия использования и Договор об обработке данных по поручению (ДОД) и подтверждаю, что я уполномочен на заключение договора от имени указанного клиента.

Условия использования и настоящий ДОД предоставляются в электронном виде до подачи заявления.

BookinX документирует действующую на момент заключения договора редакцию ДОД или идентификатор версии и время выражения согласия.