Соглашение об обработке данных

Редакция от: 17 октября 2026 г.

Дата вступления в силу: дата, указанная в уведомлении о публикации, по истечении применимого срока предварительного уведомления.

Оператор: 360 Agency Middle East FZ LLC, Creative City, Фуджейра, Объединённые Арабские Эмираты

Контакты: admin@stafffinder.io | Веб-сайт: www.stafffinder.io

Настоящее соглашение регулирует только ту обработку персональных данных, которая фактически осуществляется Staff Finder по документированным инструкциям работодателя. Оно дополняет Условия для работодателей. Оно не передаёт работодателям контроль над собственной базой данных кандидатов Staff Finder или процессом верификации.

1. Введение

Настоящее DPA является частью Условий для работодателей и применяется в случаях, когда применимое законодательство о защите данных требует установления отношений между контролёром и обработчиком для конкретной услуги работодателя. Императивные требования Федерального указа-закона ОАЭ № 45 от 2021 года и любого другого применимого законодательства о защите данных имеют приоритет. Услуга не считается деятельностью обработчика лишь потому, что работодатель использует платформу.

2. Роли сторон

В отношении обработки, осуществляемой исключительно по документированным инструкциям работодателя, 360 Agency Middle East FZ LLC выступает как Обработчик, а работодатель — как Контролёр. Роли определяются фактически осуществляемой деятельностью.

Staff Finder выступает как самостоятельный контролёр в отношении своей базы данных кандидатов, регистрации кандидатов, верификации, профессиональных оценок, подбора, представления и видимости профилей, безопасности платформы, платежей и деловой администрации. Работодатели выступают как самостоятельные контролёры в отношении собственных решений о найме, взаимодействия с кандидатами и последующего использования раскрытых данных. Эти виды деятельности в качестве самостоятельного контролёра выходят за рамки обязательств обработчика по настоящему DPA и регулируются применимым законодательством, Политикой конфиденциальности и Условиями для работодателей.

3. Объём обработки

Если обработка осуществляется исключительно по инструкциям работодателя, она может включать хостинг контролируемых работодателем записей по подбору персонала и содействие коммуникациям или рабочим процессам в учётной записи этого работодателя. Предметом обработки является согласованная услуга работодателя; срок обработки — срок действия услуги и период удаления, указанный в Разделе 10. Операции могут включать сбор, хранение, организацию, передачу, управление доступом и удаление в рамках этой услуги. База данных кандидатов Staff Finder, верификация, подбор, обеспечение безопасности и обработка платежей, определяемые Staff Finder самостоятельно, выходят за рамки обработки в качестве обработчика.

4. Категории обрабатываемых данных

В рамках услуги обработчика данные могут включать имена кандидатов и представителей работодателя, контактные данные, переписку по подбору персонала, записи о собеседованиях или заявках и предоставленную работодателем информацию, необходимую для согласованного рабочего процесса. Субъектами данных являются соответствующие кандидаты, при необходимости — рекомендатели, и представители работодателя. Работодатель не должен давать инструкции об обработке излишних чувствительных данных или о применении незаконных критериев отбора. Дополнительные услуги обработчика с высоким риском или существенно отличающиеся по характеру требуют до начала обработки обновления документированного объёма.

5. Обязательства Обработчика

Обработчик обязуется:

(a) обрабатывать персональные данные только по документированным инструкциям Контролёра, в том числе в отношении передачи данных, за исключением случаев, когда этого требует применимое законодательство; в таком случае Обработчик информирует Контролёра до начала обработки, если это не запрещено законом;

(b) не обрабатывать персональные данные для каких-либо целей, кроме указанных в настоящем DPA и Условиях для работодателей, и не продавать, не сдавать в аренду и не использовать иным образом персональные данные в собственных коммерческих целях, выходящих за пределы эксплуатации платформы;

(c) обеспечивать, чтобы весь персонал, уполномоченный обрабатывать персональные данные, был связан обязательными обязательствами по соблюдению конфиденциальности;

(d) оказывать Контролёру содействие, насколько это разумно возможно и с учётом характера обработки, в ответе на запросы субъектов данных об осуществлении их прав (доступ, исправление, удаление, ограничение, переносимость) в соответствии с применимым законодательством;

(e) оказывать Контролёру содействие в обеспечении соблюдения обязательств в области безопасности, требований об уведомлении о нарушениях, оценок воздействия на защиту данных и обязательств по предварительным консультациям в соответствии с применимым законодательством;

(f) вести учёт операций обработки, осуществляемых от имени Контролёра, как это требует статья 8(7) PDPL;

(g) предоставлять Контролёру всю информацию, необходимую для подтверждения соблюдения настоящего DPA, и допускать аудиты и проверки, проводимые Контролёром или от его имени, и содействовать им, при условии разумного предварительного письменного уведомления не менее чем за 10 рабочих дней.

6. Меры безопасности

Обработчик применяет надлежащие технические и организационные меры для защиты персональных данных от несанкционированного доступа, утраты, уничтожения, изменения или неправомерного использования. Они включают контроль доступа, шифрование при передаче и хранении, регулярные проверки безопасности и защищённую инфраструктуру, предоставляемую сертифицированными облачными хостинг-сервисами. Меры периодически пересматриваются и обновляются с учётом изменения рисков.

7. Уведомление о нарушении безопасности персональных данных

Узнав о нарушении безопасности персональных данных, затрагивающем данные, обрабатываемые в рамках настоящего DPA, Обработчик уведомляет Контролёра без неоправданной задержки и в любом случае в течение 72 часов с момента, когда ему стало известно о нарушении, либо ранее, если этого требует применимое законодательство. Уведомление включает, в той мере, в какой информация доступна: характер нарушения; категории и приблизительное количество затронутых субъектов данных и записей; вероятные последствия; а также принятые или предлагаемые меры по устранению нарушения.

Обработчик сотрудничает с Контролёром при любых необходимых уведомлениях регулирующих органов или затронутых субъектов данных.

8. Субобработчики

Работодатель даёт общее письменное разрешение на использование субобработчиков для согласованной услуги обработчика с учётом настоящего Раздела и применимого приложения к услуге. Актуальные соответствующие субобработчики, их функции, местонахождение и механизмы передачи данных должны быть определены и доступны до начала соответствующей деятельности обработчика. Обработчик возлагает на субобработчиков надлежащие равнозначные обязательства и остаётся ответственным за исполнение ими обязательств в той мере, в какой этого требует закон, и с учётом Раздела 12. Поставщик, используемый только для операций Staff Finder в качестве самостоятельного контролёра, автоматически не становится субобработчиком работодателя.

Обработчик уведомляет Контролёра о любых планируемых изменениях в списке субобработчиков (добавление или замена) путём обновления Приложения A и направления уведомления через платформу или по электронной почте. Контролёр вправе в течение 14 дней с момента уведомления возразить против любого нового субобработчика по разумным основаниям, связанным с защитой данных, направив письмо по адресу admin@stafffinder.io. Если стороны не могут урегулировать возражение, Контролёр вправе прекратить затронутые услуги без штрафных санкций.

9. Международная передача данных

Обработчик передаёт данные в рамках настоящего DPA только по документированным инструкциям, включая согласованную конфигурацию услуги, или в иных случаях, когда этого требует закон. До трансграничной передачи он устанавливает механизм или исключение, фактически допускаемые каждым применимым законом, а также любые необходимые дополнительные меры защиты. Договор с поставщиком или зарубежная система защиты конфиденциальности не считаются утверждённым механизмом передачи данных по законодательству ОАЭ. Если применяются правила GDPR о передаче данных, должны быть также соблюдены соответствующие требования Главы V GDPR.

Подробную информацию о механизмах передачи данных, применимых к каждому субобработчику, можно получить по запросу, обратившись по адресу admin@stafffinder.io.

10. Хранение данных и действия после прекращения

При прекращении услуги обработчика или при поступлении действительной документированной инструкции Обработчик по выбору Контролёра удаляет или возвращает данные, обрабатываемые исключительно от его имени, в течение 30 дней, если закон не требует их хранения или не применяется более короткий срок. Это не позволяет работодателю требовать удаления или возврата всей самостоятельно контролируемой Staff Finder базы данных кандидатов. Удаление учётной записи кандидата осуществляется в соответствии с Политикой конфиденциальности, включая немедленное исключение из видимости для работодателей и удаление в течение 48 часов с ограниченными законными исключениями. Сохраняемые записи используются только в законных целях.

11. Права субъектов данных

Пользователи могут запросить доступ к своим персональным данным, их исправление, ограничение обработки или удаление в соответствии с PDPL и другим применимым законодательством о защите данных. Такие запросы следует направлять по адресу admin@stafffinder.io. Обработчик будет содействовать Контролёру в ответе на запросы в сроки, установленные применимым законодательством.

12. Ответственность

Каждая сторона отвечает за собственное соблюдение настоящего DPA и применимого законодательства о защите данных. Любая ответственность возникает только при наличии применимых правовых условий для такой ответственности. Настоящее DPA не создаёт автоматического права на компенсацию.

В максимальной степени, допустимой применимым законодательством, Обработчик не возмещает Контролёру убытки, не защищает его и не освобождает от ответственности в отношении штрафов, санкций, требований третьих лиц, судебных расходов, мировых соглашений или иных потерь. Контролёр не вправе обязывать Обработчика к мировому соглашению, признанию или обязательству по платежу без предварительного письменного согласия Обработчика. Это не препятствует суду или компетентному органу возложить ответственность там, где этого требует применимое законодательство.

В максимальной степени, допустимой применимым законодательством, Обработчик не несёт ответственности за убытки, вызванные незаконными инструкциями Контролёра, неправомерным использованием или несанкционированным раскрытием персональных данных, решениями о найме или неисполнением Контролёром собственных юридических обязательств. Заявления кандидатов, статус профиля, оценки и результаты найма остаются предметом исключений, предусмотренных Разделом 9 Условий для работодателей. Эти исключения не освобождают Обработчика от ответственности за собственное нарушение императивного обязательства в области защиты данных.

В максимальной степени, допустимой применимым законодательством, Обработчик исключает ответственность перед Контролёром за косвенные или последующие убытки, упущенную выгоду, потерю дохода, деловой возможности или ожидаемой экономии, возникающие из настоящего DPA. Это положение не исключает компенсации, которую применимое законодательство требует признавать подлежащей возмещению.

Ничто в настоящем DPA не исключает и не ограничивает ответственность или обязательство, которые не могут быть законно исключены или ограничены, включая ответственность за мошенничество, мошенническое введение в заблуждение, грубую вину или грубую небрежность, если их исключение запрещено, а также за смерть или причинение вреда здоровью вследствие небрежности. Ничто не ограничивает императивные права субъектов данных или полномочия компетентного регулятора. Ответственность за субобработчиков согласно Разделу 8 остаётся предметом настоящего Раздела 12 и императивных норм применимого законодательства.

Настоящее DPA не устанавливает денежного предела ответственности и не ссылается на денежный предел в Условиях для работодателей. Отсутствие денежного предела не является обещанием возместить убытки Контролёру и не расширяет ответственность за пределы той, которая возникает по настоящему DPA и применимому законодательству.

13. Срок действия

Настоящее DPA остаётся в силе в течение всего срока использования работодателем платформы и связанных Условий для работодателей. Положения о конфиденциальности, обращении с данными после прекращения, ответственности и применимом праве сохраняют силу после прекращения действия настоящего DPA.

14. Применимое право

Настоящее соглашение регулируется законодательством Объединённых Арабских Эмиратов, а споры подлежат рассмотрению судами Фуджейры.

Приложение A — Субобработчики

В настоящем приложении указаны категории поставщиков, имеющие отношение к платформе. Фактический перечень для любой услуги обработчика работодателя должен содержать юридическое лицо, функцию, местонахождение и механизм передачи данных до начала соответствующей деятельности. Приведённые ниже названные примеры не означают, что каждый поставщик обрабатывает данные каждого работодателя.

Услуги хостинга и баз данных: AWS и Supabase, если они используются для соответствующей услуги обработчика. Фактические юридические лица, места обработки и механизмы передачи данных указываются в перечне, специфичном для конкретной услуги.

Услуги ИИ: OpenAI, Anthropic или другой названный поставщик — только если они включены для услуги обработчика при наличии надлежащих инструкций, уведомления, разрешения и мер защиты. До включения необходимо определить фактического поставщика.

Платёжные услуги: Stripe или другой названный платёжный провайдер. Обработка для собственных расчётов Staff Finder или для самостоятельных законных целей провайдера является деятельностью контролёра, а не деятельностью обработчика в интересах работодателя.

Аналитика и реклама для собственных целей сервиса Staff Finder выходят за рамки настоящего приложения об обработчике в интересах работодателя и рассматриваются в Политике конфиденциальности и Политике использования файлов cookie с получением любого необходимого согласия.

Обмен сообщениями и коммуникации: до начала такого использования необходимо указать в соответствующем перечне услуги фактических поставщиков электронной почты, уведомлений и звонков, обрабатывающих записи по инструкциям работодателя.

Поддерживать актуальный перечень субобработчиков, специфичный для конкретной услуги, предоставлять его через платформу или по запросу по адресу admin@stafffinder.io и следовать порядку уведомления об изменениях и возражений, предусмотренному Разделом 8. Не начинать деятельность обработчика в интересах работодателя, требующую формального приложения, пока это приложение и необходимые меры защиты не будут установлены.