Дополнение к соглашению об обработке данных и конфиденциальности SVOYAGER (DPA)

1. Цель

SVOYAGER предоставляет услуги по обработке фотографий с использованием искусственного интеллекта, форматированию фотографий для документов, отслеживанию партнеров, хостингу потоков фотографий, встроенным виджетам и доступу к B2B-API для партнеров в сфере туризма, виз, переезда, иммиграции и смежных областях. В ходе предоставления этих услуг SVOYAGER может обрабатывать персональные данные от имени Партнера и, в соответствующих случаях, конечных пользователей Партнера. Настоящее Соглашение об обработке данных (DPA) устанавливает обязательства в отношении конфиденциальности, безопасности, обработки данных, хранения, секретности, субподрядчиков и удаления данных, применимые к таким услугам.

2. Роли сторон

2.1 Партнер в качестве контролера. В случаях использования B2B-партнерами Партнер, как правило, выступает в качестве контролера персональных данных, относящихся к его собственным клиентам, пользователям, потенциальным клиентам или посетителям веб-сайта, и определяет, с какой целью своим пользователям предлагается услуга по созданию фотографий, как она представлена, применимое правовое основание, модель интеграции, а также то, как Партнер информирует своих пользователей о конфиденциальности, согласии, оплате и условиях предоставления услуг.

2.2 SVOYAGER в качестве Обработчика. SVOYAGER выступает в качестве Обработчика, когда обрабатывает персональные данные от имени Партнера для предоставления B2B-виджета для фотографий, размещенной партнерской ссылки, API, доступ по модели «белой метки», отчетность и сопутствующие услуги, исключительно в соответствии с задокументированными инструкциями Партнера, в той мере, в какой это необходимо для предоставления услуг, в соответствии с требованиями применимого законодательства, а также в рамках, допускаемых основным соглашением, настоящим DPA и применимыми законами о конфиденциальности.

2.3 SVOYAGER в качестве независимого контролера в ограниченных случаях. SVOYAGER может выступать в качестве независимого контролера в ограниченных целях, включая управление учетными записями партнеров, выставление счетов, бухгалтерский учет и соблюдение налогового законодательства, предотвращение мошенничества, выявление злоупотреблений и мониторинг безопасности, рассмотрение юридических претензий, обеспечение соблюдения нормативных требований и урегулирование споров, а также непосредственное общение с партнерами по вопросам, касающимся услуги.

2.4 Субподрядчики. SVOYAGER может привлекать субподрядчиков для оказания услуг, в том числе компанию SNAPFLOW LLC в качестве поставщика базовых услуг по обработке фотографий с использованием искусственного интеллекта. Указанные поставщики обрабатывают данные исключительно в той мере, в какой это необходимо для оказания услуг по обработке фотографий, хостингу, хранению, обеспечению безопасности, проведению платежей или предоставлению инфраструктурных услуг.

3. Объем обработки данных

Настоящее Соглашение об обработке персональных данных (DPA) применяется к персональным данным, обрабатываемым через партнерские ссылки, размещенные на платформе SVOYAGER (Партнер перенаправляет пользователей по отслеживаемой ссылке, размещенной на платформе SVOYAGER, например https://svoyager.com/{locale}/passport-photo?ref={code}), встроенный виджет SVOYAGER (встроенный на собственном ресурсе Партнера, при этом обработка осуществляется через бэкэнд SVOYAGER), а также API SVOYAGER для B2B / доступ по модели «white-label» (Партнер подключается к API SVOYAGER, используя учетные данные, выданные SVOYAGER).

4. Категории персональных данных

Обрабатываемые персональные данные могут включать загруженные фотографии пользователей, сгенерированные предварительные просмотры и окончательные фотографии без водяных знаков, листы фотографий для печати (если поддерживается), выбранный тип документа/страну/код спецификации, технические метаданные (тип файла, размер файла, ID запроса, статус обработки, временные метки, коды ошибок/проблем), адрес электронной почты пользователя, если это необходимо для доставки/оплаты/поддержки, идентификаторы партнера/кампании/арендатора/аффилиата/отслеживания или идентификатор ключа API, IP-адрес, метаданные браузера/устройства, журналы и события безопасности, метаданные о статусе оплаты/заказе/транзакции/выставлении счетов, а также переписка со службой поддержки. По возможности Партнёр должен свести к минимуму объём персональных данных, передаваемых компании SVOYAGER.

5. Категории субъектов данных

Субъектами данных могут быть клиенты Партнера и посетители веб-сайта, клиенты, пользующиеся услугами по оформлению виз, иммиграции, переезду, путешествиям и документам, конечные пользователи, создающие фотографии для паспортов, виз, удостоверений личности и документов, сотрудники Партнера или авторизованные пользователи, управляющие учетной записью, пользователи SVOYAGER B2C, а также физические лица, обращающиеся в службу поддержки по вопросам, связанным с услугой по изготовлению фотографий.

6. Инструкции по обработке

Партнер поручает компании SVOYAGER обрабатывать персональные данные исключительно в целях, описанных в настоящем Соглашении об обработке данных (DPA) и в применимом договоре. SVOYAGER не будет обрабатывать персональные данные для каких-либо посторонних целей, за исключением случаев, когда это требуется по закону, необходимо для обеспечения безопасности, предотвращения мошенничества или злоупотреблений, явно разрешено Партнером или необходимо для предоставления, поддержания или улучшения договорной услуги в порядке, разрешенном настоящим Соглашением о обработке данных. Если компания SVOYAGER сочтёт, что какое-либо указание нарушает применимое законодательство о защите данных, она вправе уведомить об этом Партнёра и приостановить соответствующую обработку до выяснения обстоятельств.

7. Принципы защиты данных и безопасности

SVOYAGER будет применять надлежащие технические и организационные меры безопасности, предназначенные для защиты персональных данных от несанкционированного доступа, раскрытия, изменения, потери, неправомерного использования или уничтожения, и будет обрабатывать персональные данные в соответствии с принципами законности, справедливости и прозрачности, ограничения цели, минимизации данных, точности, ограничения срока хранения, целостности и конфиденциальности, а также подотчетности. Все данные, передаваемые в и из сервисов SVOYAGER, должны защищаться с использованием стандартного для отрасли шифрованного канала передачи (TLS/HTTPS).

8. Варианты хранения данных

Вариант A — Временное хранение в облаке. Изображения клиентов, предварительные версии, окончательные версии и связанные с ними данные обработки могут временно храниться в защищённой облачной инфраструктуре для операционных целей (доступ к предварительному просмотру, окончательная доставка, восстановление по электронной почте, выполнение заказов, поддержка возврата средств/переделки, предотвращение злоупотреблений, отладка, проверка счетов, отчётность для партнёров). Рекомендуемые настройки SVOYAGER по умолчанию: изображения предварительного просмотра — 24 часа; окончательные файлы без водяных знаков — 24 часа; метаданные заказов — до 7 лет, если это необходимо для целей налогообложения, бухгалтерского учета или юридических целей; технические журналы — от 30 до 180 дней. Если базовый провайдер поддерживает настраиваемый срок хранения, SVOYAGER может выбрать период от 2 часов до 14 дней, если более короткий или более длительный срок не требуется по закону, в целях безопасности, для обеспечения поддержки или в соответствии с настройками Партнера.

Вариант B — Обработка без сохранения данных. Если это технически возможно, загруженные изображения отправляются на обработку, а обработанные результаты возвращаются напрямую (например, в формате Base64), при этом постоянное хранение данных сводится к минимуму или отключается. Этот вариант рекомендуется для партнеров с повышенными требованиями в области конфиденциальности, соблюдения нормативных требований, финансов, государственного регулирования, здравоохранения, иммиграции или корпоративной деятельности.

9. Право собственности на данные

Партнер или, в соответствующих случаях, конечный пользователь Партнера, сохраняет за собой все права, право собственности и интересы в отношении загруженных изображений, сгенерированных предварительных просмотров, окончательных фотофайлов и связанного с ними пользовательского контента. SVOYAGER не претендует на право собственности на загруженные пользователем фотографии или итоговые сгенерированные файлы с фотографиями и получает лишь те права, которые необходимы для обработки фотографии, генерации итоговых файлов, предоставления услуги, оказания поддержки, эксплуатации/обеспечения безопасности/улучшения услуги, соблюдения юридических обязательств и обеспечения исполнения применимого соглашения.

10. Запрет на продажу, рекламу и обучение ИИ без разрешения

SVOYAGER не будет продавать персональные данные Партнера или конечного пользователя, не будет использовать загруженные изображения, сгенерированные результаты или персональные данные конечного пользователя для рекламы третьих лиц, а также не будет использовать изображения Партнера или конечного пользователя для обучения моделей искусственного интеллекта, за исключением случаев, когда на это получено явное письменное разрешение (если применимо), если это не разрешено применимым законодательством и четко указано в соответствующем уведомлении о конфиденциальности. SVOYAGER будет требовать от своих субподрядчиков соблюдения тех же ограничений, если только не получено явного разрешения.

11. Обязанности партнеров в области конфиденциальности

Партнер несет ответственность за предоставление соответствующих уведомлений о конфиденциальности и получение любого необходимого согласия или правового основания от своих конечных пользователей перед отправкой персональных данных в SVOYAGER, а также за четкое информирование пользователей о том, что их фотография будет обработана для создания документальной фотографии, что услуга может включать автоматизированную обработку, что SVOYAGER и субподрядчики могут обрабатывать изображение и метаданные, что за окончательный файл может потребоваться оплата, и что сгенерированная фотография не гарантирует одобрения со стороны какого-либо органа. Партнер не должен описывать услугу вводящим в заблуждение образом.

12. Конфиденциальность и доступ

Сотрудники, подрядчики и уполномоченные субподрядчики компании SVOYAGER, имеющие доступ к персональным данным, обязаны соблюдать обязательства по конфиденциальности, соответствующие характеру информации. Доступ ограничен уполномоченным персоналом, у которого имеется законная деловая, техническая, связанная с безопасностью, поддержкой или операционная необходимость.

13. Мониторинг безопасности и аудиты

SVOYAGER проводит периодические проверки и мониторинг с целью выявления, предотвращения и снижения рисков безопасности, включая мониторинг инфраструктуры, контроль доступа, доступ на основе ролей, оценку уязвимостей, обновление зависимостей, мониторинг злоупотреблений API, ведение журналов/оповещения, ротацию учетных данных и реагирование на инциденты. По обоснованному письменному запросу и с учетом ограничений, связанных с конфиденциальностью и безопасностью, SVOYAGER может предоставить информацию, разумно необходимую для подтверждения соблюдения настоящего Соглашения о обработке данных (DPA).

14. Субподрядчики по обработке данных и поставщики инфраструктуры

SVOYAGER может прибегать к услугам авторитетных сторонних субподрядчиков по обработке данных и поставщиков инфраструктуры при условии соблюдения ими соответствующих договорных обязательств в отношении конфиденциальности, безопасности и защиты данных. В настоящее время к субподрядчикам относятся SNAPFLOW LLC (обработка фотографий с помощью ИИ), Supabase (база данных/аутентификация/бэкэнд приложения), Stripe (платежи), Vercel, включая Vercel Blob (хостинг и временное хранение/доставка файлов), Resend (транзакционная электронная почта), Upstash (ограничение скорости и идемпотентность) и Sentry (мониторинг ошибок/отслеживаемость). AWS является базовой облачной инфраструктурой Supabase и Vercel и не участвует напрямую в качестве отдельного субпроцессора. Текущий список опубликован по адресу /legal/subprocessors.

15. Изменения в отношении субподрядчиков

SVOYAGER может время от времени добавлять, заменять или удалять субподрядчиков по обработке данных. Для корпоративных партнеров SVOYAGER может направлять предварительное уведомление о существенных изменениях в списке субподрядчиков, если это предусмотрено применимым соглашением. Если у партнера имеются обоснованные возражения в отношении нового субподрядчика, связанные с защитой данных, он может уведомить об этом SVOYAGER в письменной форме, и стороны будут добросовестно стремиться к их урегулированию.

16. Международная передача данных

Персональные данные могут обрабатываться в странах, где осуществляют свою деятельность компания SVOYAGER, её поставщики инфраструктуры, субподрядчики по обработке данных или поставщики услуг. В случаях, предусмотренных действующим законодательством, компания SVOYAGER будет использовать надлежащие механизмы передачи данных, которые могут включать стандартные договорные положения, Дополнение о международной передаче данных Великобритании, решения об адекватности защиты, договорные гарантии, настройки локализации данных (если доступны) или режим обработки без указания страны (если поддерживается).

17. Ключи API и средства контроля доступа

SVOYAGER может выдавать API-ключи, идентификаторы клиентов, идентификаторы партнеров, идентификаторы арендаторов, токены встраивания или другие учетные данные. Партнер несет ответственность за сохранение конфиденциальности учетных данных, недопущение раскрытия секретных ключей в коде интерфейса, ограничение доступа только уполномоченными сотрудниками и системами, оперативную смену ключей при подозрении на их компрометацию, уведомление SVOYAGER о несанкционированном использовании, а также обеспечение соответствия использования API действующему соглашению и документации.

18. Данные об использовании, журналы и отчетность партнеров

SVOYAGER может обрабатывать технические данные и данные об использовании для отслеживания использования API, определения партнеров, выставления счетов и выставления счетов-фактур, расчета доли дохода или комиссионных, предотвращения мошенничества, устранения ошибок, аналитики сервиса, мониторинга SLA, улучшения продукта и мониторинга безопасности. SVOYAGER должен избегать раскрытия ненужных персональных данных конечных пользователей в панелях управления партнеров, за исключением случаев, когда это необходимо для технической поддержки, выставления счетов или в рамках конкретной модели интеграции.

19. Данные об оплате

В тех случаях, когда SVOYAGER обрабатывает платежи напрямую, данные платежных карт обрабатываются платежным процессором, соответствующим стандарту PCI, таким как Stripe. SVOYAGER не хранит полные номера карт, коды CVC или конфиденциальные данные аутентификации платежей на своих собственных серверах, но может хранить ограниченные метаданные о платежах, такие как статус платежа, ID заказа, ID транзакции, сумма, валюта, URL-адрес квитанции, статус возврата, атрибуция партнера, метаданные счета-фактуры и налоговые/бухгалтерские записи.

20. Запросы субъектов данных

В той мере, в какой это требуется применимым законодательством, SVOYAGER окажет Партнеру разумную помощь в удовлетворении запросов субъектов данных (доступ, исправление, удаление, ограничение, возражение, переносимость, отзыв согласия). Партнер несет ответственность за проверку личности заявителя и определение того, следует ли удовлетворить запрос. Если SVOYAGER получает запрос непосредственно от конечного пользователя Партнера, компания может перенаправить пользователя к Партнеру, ответить напрямую, если это требуется по закону, запросить подтверждение личности или сотрудничать с Партнером.

21. Удаление данных

По запросу Партнера, при прекращении оказания услуг или по истечении применимого срока хранения SVOYAGER удалит или обезличит персональные данные в соответствии с применимыми настройками хранения, за исключением случаев, когда хранение требуется по закону или необходимо для ведения налоговой и бухгалтерской отчетности, разрешения споров, предотвращения мошенничества, проведения расследований по вопросам безопасности, удовлетворения судебных исков или выполнения обязательств по соблюдению нормативных требований.

22. Инциденты, связанные с безопасностью

SVOYAGER применяет разумные процедуры для выявления, расследования и реагирования на инциденты безопасности, затрагивающие персональные данные. Если SVOYAGER станет известно о подтвержденном нарушении безопасности персональных данных, затрагивающем персональные данные Партнера, компания уведомит Партнера без неоправданной задержки после получения информации, предоставив доступные подробности об инциденте, затронутых данных, вероятных последствиях, принятых мерах и контактной информации. SVOYAGER может отложить уведомление, если этого требуют правоохранительные органы, регулирующие органы или в рамках расследований по вопросам безопасности.

23. Точность и официальные требования

SVOYAGER может обеспечивать автоматическое форматирование, кадрирование, корректировку фона, проверку и контроль соответствия выбранным требованиям к фотографиям. Однако официальные требования могут изменяться и варьироваться в зависимости от юрисдикции, органа власти, посольства, консульства, визового центра или типа заявления. Если прямо не оговорено иное, SVOYAGER не гарантирует принятие фотографии каким-либо государственным органом, выдачу визы, оформление паспорта, одобрение иммиграционных органов, одобрение консульства или принятие фотографии сторонним центром подачи заявлений.

24. Применимое право и порядок приоритета

Настоящее Соглашение о обработке данных (DPA) регулируется законодательством Объединенных Арабских Эмиратов, применимым в эмирате Дубай (в соответствии с Условиями партнерства SVOYAGER Photo Partner и API/Widget), если иное применимое законодательство явно не указано в основном соглашении. В случае противоречия между настоящим DPA и основным соглашением применяется следующий порядок, если не указано иное: обязательное применимое законодательство о защите данных; настоящее DPA в отношении вопросов защиты данных; основное коммерческое соглашение; форма заказа или прейскурант; а также документация по API/продукту.

25. Язык, определяющий правовые отношения

Настоящее Соглашение об обработке данных (DPA) может быть опубликовано на нескольких языках для удобства. Приоритет имеет англоязычная версия. В случае каких-либо расхождений, противоречий или неоднозначностей между англоязычной версией и переводом применяется англоязычная версия, если иное прямо не требуется обязательными нормами применимого законодательства.

26. Срок действия и контактная информация

Настоящее Соглашение об обработке данных (DPA) остается в силе до тех пор, пока компания SVOYAGER обрабатывает персональные данные от имени Партнера; положения о конфиденциальности, безопасности, удалении данных, аудиторских записях, соблюдении законодательства и ответственности остаются в силе после прекращения действия Соглашения в той мере, в какой это требуется законом или основным соглашением. По вопросам конфиденциальности, безопасности или обработки данных обращайтесь по адресу privacy@svoyager.com или hello@svoyager.com.