Соглашение об обработке данных

Введение

Это Соглашение об обработке данных ("DPA") является частью Условий использования между diffray, Inc. ("Процессор", "мы", "нас") и клиентом ("Контролёр", "вы") для предоставления AI-сервисов code review ("Сервис").

Это DPA применяется, где и только в той степени, в которой мы обрабатываем Персональные данные от вашего имени в ходе предоставления Сервиса, и такие Персональные данные подпадают под действие Законов о защите данных.

1. Определения

• "Персональные данные" означает любую информацию, относящуюся к идентифицированному или идентифицируемому физическому лицу, обрабатываемую нами от вашего имени.
• "Законы о защите данных" означает все применимые законы, касающиеся защиты данных и конфиденциальности, включая GDPR (EU), UK GDPR, CCPA (Калифорния), LGPD (Бразилия) и другие применимые нормативные акты.
• "Суб-процессор" означает любую третью сторону, привлечённую нами для обработки Персональных данных от вашего имени.
• "Субъект данных" означает физическое лицо, к которому относятся Персональные данные.
• "Инцидент безопасности" означает любое несанкционированное или незаконное нарушение безопасности, которое приводит к случайному или незаконному уничтожению, потере, изменению, несанкционированному раскрытию или доступу к Персональным данным.

2. Объём обработки

2.1 Предмет

Обработка Персональных данных в связи с AI-сервисами code review для GitHub репозиториев.

2.2 Природа и цель

• Предоставление сервисов code review и анализа
• Обработка pull requests и данных репозиториев
• Аутентификация пользователей и управление аккаунтами
• Аналитика и улучшение сервиса

2.3 Категории субъектов данных

• Ваши сотрудники и подрядчики
• Ваши конечные пользователи, взаимодействующие с репозиториями кода
• Контрибьюторы в репозитории, которые вы авторизуете для ревью

2.4 Типы персональных данных

• GitHub имена пользователей и email адреса
• Информация профиля (имена, аватары)
• Метаданные репозитория и информация о коммитах
• IP-адреса и данные использования

2.5 Продолжительность

Обработка продолжается в течение срока действия соглашения о Сервисе плюс любой срок хранения, требуемый законом или указанный в нашей Политике конфиденциальности.

3. Обязательства процессора

Мы обязуемся:

• Обрабатывать Персональные данные только по вашим документально оформленным инструкциям, если иное не требуется законом
• Обеспечить, чтобы лица, уполномоченные обрабатывать Персональные данные, были связаны обязательствами конфиденциальности
• Внедрять соответствующие технические и организационные меры безопасности
• Не привлекать Суб-процессоров без вашего предварительного разрешения (общего или конкретного)
• Помогать вам в реагировании на запросы Субъектов данных
• Помогать вам в обеспечении соблюдения обязательств по безопасности, уведомлению о нарушениях и оценке воздействия
• Удалять или возвращать все Персональные данные по прекращении, если хранение не требуется законом
• Предоставлять информацию, необходимую для демонстрации соответствия и допускать аудиты

4. Обязательства контролёра

Вы обязуетесь:

• Обеспечить наличие законного основания для обработки Персональных данных
• Предоставить чёткие инструкции по обработке Персональных данных
• Обеспечить, чтобы Субъекты данных были проинформированы об обработке
• Нести ответственность за точность Персональных данных, предоставленных нам
• Соблюдать применимые Законы о защите данных

5. Суб-процессоры

Вы разрешаете нам привлекать следующих Суб-процессоров:

Мы уведомим вас о любых предполагаемых изменениях в Суб-процессорах, давая вам возможность возразить. Все Суб-процессоры связаны соглашениями об обработке данных с эквивалентной защитой.

6. Меры безопасности

Мы внедряем и поддерживаем соответствующие технические и организационные меры, включая:

• Шифрование: TLS 1.2+ для данных в пути; AES-256 для данных в покое
• Контроль доступа: Ролевой доступ, многофакторная аутентификация, принцип минимальных привилегий
• Инфраструктура: AWS с сертификацией SOC 2 Type II, изолированные VPC, группы безопасности
• Мониторинг: Логирование 24/7, обнаружение вторжений, автоматические оповещения
• Безопасность кода: Эфемерные среды обработки, уничтожаемые после каждого ревью
• Персонал: Проверки биографии, обучение безопасности, соглашения о конфиденциальности
• Реагирование на инциденты: Документированные процедуры, регулярное тестирование, определённые пути эскалации

7. Права субъектов данных

Мы будем помогать вам в реагировании на запросы Субъектов данных, реализующих свои права согласно Законам о защите данных, включая:

• Право доступа
• Право на исправление
• Право на удаление
• Право на ограничение обработки
• Право на портируемость данных
• Право на возражение

Если мы получаем запрос напрямую от Субъекта данных, мы незамедлительно уведомим вас, если это не запрещено законом.

8. Уведомление об инциденте безопасности

При обнаружении Инцидента безопасности, затрагивающего ваши Персональные данные, мы:

• Уведомим вас без неоправданной задержки (в течение 72 часов, где это осуществимо)
• Предоставим информацию о природе инцидента, категориях затронутых данных, примерном числе Субъектов данных, вероятных последствиях и принятых мерах
• Сотрудничаем в вашем расследовании и усилиях по смягчению последствий
• Документируем инцидент и шаги по устранению

9. Удаление и возврат данных

По прекращении Сервиса или по вашему запросу:

• Мы удалим или вернём все Персональные данные в течение 30 дней
• Мы предоставим письменное подтверждение удаления по запросу
• Хранение сверх этого срока только там, где требуется применимым законом

Примечание: Исходный код никогда не хранится постоянно. Каждое ревью запускается в эфемерной среде, которая полностью уничтожается после завершения.

10. Аудиты

При разумном уведомлении и с соблюдением обязательств конфиденциальности:

• Мы предоставим информацию, необходимую для демонстрации соответствия этому DPA
• Мы допустим и будем содействовать аудитам, проводимым вами или независимым аудитором
• Аудиты проводятся в рабочее время, не чаще одного раза в год
• Вы несёте расходы на аудит, если он не выявит существенного несоответствия

Мы также поддерживаем сторонние сертификации и отчёты аудитов (доступны по запросу под NDA).

11. Международные передачи

Для передач Персональных данных за пределы EEA, UK или Швейцарии:

• Мы полагаемся на Стандартные договорные условия EU (SCC), одобренные Европейской комиссией
• Для передач из UK мы используем UK International Data Transfer Agreement или UK Addendum к SCC
• Мы внедряем дополнительные меры там, где это требуется применимым руководством

SCC включены по ссылке и доступны по запросу.

12. Ответственность

Ответственность по этому DPA регулируется ограничениями, установленными в Условиях использования. Каждая сторона несёт ответственность за ущерб, причинённый обработкой, нарушающей Законы о защите данных или это DPA.

13. Срок и прекращение

Это DPA остаётся в силе в течение срока нашей обработки Персональных данных от вашего имени. По прекращении Сервиса обязательства, касающиеся удаления данных, конфиденциальности и права аудита, сохраняются.

14. Применимое право

Это DPA регулируется законами, указанными в Условиях использования (штат Делавэр, США), за исключением случаев, когда Законы о защите данных требуют иного.

15. Контакты

По вопросам об этом DPA или для запроса подписанной копии: