Договор об обработке персональных данных

Между детским садом и 4V3D OÜ, для групповой услуги Minute Mission. Версия 1.0, 23 сентября 2026 года.

Это русский текст договора. Договор опубликован также на английском и эстонском языках, и именно эти два текста являются обязательными. Клиенты в Эстонии подписывают эстонский текст. Если этот перевод расходится с английским текстом, решающим является английский текст.

Как заключить этот договор

Двумя способами, с одинаковым результатом.

• При оформлении заказа. Поставьте галочку в поле о том, что вы принимаете этот договор, версия 1.0. Версия и дата записываются к вашей учётной записи, копию точного текста, который вы приняли, мы отправляем вам по электронной почте, и он остаётся доступен в вашей учётной записи.
• На бумаге, если вашей организации нужна подпись. Напишите нам на info@4v3d.ee, и мы пришлём тот же текст в виде документа с таблицей для ваших данных. Подпишите его электронно (квалифицированной подписью по eIDAS, через DocuSign, Adobe Sign или вашу национальную систему) и отправьте обратно. 4V3D OÜ подписывает тот же файл и возвращает его вам. Договор вступает в силу с момента более поздней из двух подписей.

Обработчик: 4V3D OÜ, registration number 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Эстония. Представитель: Oskar Viil, член правления. Контакт: info@4v3d.ee.

1. Что охватывает этот договор

Детский сад (оператор) использует Minute Mission, веб-приложение, которым управляет 4V3D OÜ (обработчик) и в котором воспитатель ведёт доску миссий и наград своей группы. Для этого 4V3D OÜ обрабатывает персональные данные, описанные в Приложении II, от имени детского сада и по его указаниям.

Этот договор содержит всё, что согласно Article 28(3) GDPR, а также UK GDPR, должно быть письменно согласовано между оператором и обработчиком. Он действует независимо от того, учреждён ли детский сад в ЕЭЗ или в Великобритании.

2. Какое право применяется к вам

• Детский сад в ЕЭЗ. Применяется GDPR. Раздел 3 также применяется.
• Детский сад в Великобритании. Применяются UK GDPR и Data Protection Act 2018. Ссылки на GDPR ниже читаются как ссылки на UK GDPR, ссылки на надзорный орган читаются как ссылки на Information Commissioner, а раздел 3 не применяется.
• Детский сад в любой другой стране. К вам применяется ваше собственное законодательство о защите данных, а эти условия обязательны для 4V3D OÜ в силу договора. 4V3D OÜ учреждена в Европейском союзе, поэтому в любом случае связана требованиями GDPR в отношении этой обработки. Ничто здесь не уменьшает прав, которые даёт вам ваше собственное право.

3. Стандартные договорные условия Европейской комиссии

Если детский сад учреждён в ЕЭЗ, стороны применяют стандартные договорные условия между операторами и обработчиками, содержащиеся в приложении к имплементационному решению Комиссии Decision (EU) 2021/915, в их официальной английской редакции. Эти условия являются частью настоящего договора, а приведённые ниже Приложения являются приложениями к ним. Clause 5 (присоединение новых сторон) не применяется. В Clause 7.7 действует Вариант 2: общее письменное разрешение на привлечение субобработчиков с уведомлением о любом изменении за 30 дней. Если условия и настоящий договор расходятся, преимущество имеют условия.

4. Что обязуется делать каждая сторона

4V3D OÜ обязуется:

• Обрабатывать персональные данные только для оказания услуги и только по задокументированным указаниям детского сада, в том числе в части передачи в третью страну. Этими указаниями являются настоящий договор и использование услуги детским садом. Если право ЕС или государства-члена обяжет 4V3D OÜ обрабатывать данные иначе, она сообщит об этом детскому саду заранее, если только такое право этого не запрещает.
• Никогда не использовать данные в своих целях, никогда их не продавать, никогда не использовать их для обучения чего бы то ни было и никогда не показывать их никому, кроме субобработчиков, названных в Приложении IV.
• Обеспечить, чтобы каждый, у кого есть доступ, был связан обязательством конфиденциальности.
• Соблюдать меры безопасности из Приложения III и не ослаблять их.
• Привлекать только субобработчиков из Приложения IV. 4V3D OÜ может добавить или заменить кого-то из них, письменно уведомив контактное лицо детского сада за 30 дней. Детский сад может возразить в течение этих 30 дней; если возражение не удаётся урегулировать, детский сад может прекратить пользование услугой, и ему возвращается плата за неиспользованную часть месяца.
• Помогать детскому саду отвечать на обращение родителя или сотрудника. Воспитатели и заведующая уже сами могут просматривать, исправлять, экспортировать и удалять эти данные в услуге. Если обращение вместо этого поступит в 4V3D OÜ, оно передаётся контактному лицу детского сада в течение пяти рабочих дней и напрямую не отвечается.
• Помогать детскому саду в исполнении его обязанностей по Articles 32 to 36 (безопасность, уведомление о нарушениях, оценка воздействия, предварительные консультации), с учётом того, что 4V3D OÜ реально известно.
• Сообщать контактному лицу детского сада о нарушении безопасности персональных данных в течение 24 часов с момента, когда ей стало о нём известно, с тем, что известно на тот момент, и с остальным по мере установления.
• По окончании услуги удалить данные в течение 30 дней либо сначала вернуть их, если детский сад об этом попросит. Из зашифрованных резервных копий они исчезают в течение 90 дней. 4V3D OÜ письменно подтверждает, когда данных больше нет.
• Предоставлять сведения, необходимые для подтверждения исполнения этих обязанностей, и допускать проверку. На практике это означает письменные ответы и документацию по запросу. Проверку на месте или проверку третьим лицом можно организовать с уведомлением за 30 дней, за счёт детского сада, не чаще одного раза в год, если только не произошло нарушения.
• Немедленно сообщать детскому саду, если указание, по всей видимости, нарушает законодательство о защите данных.

Детский сад обязуется:

• Обеспечить наличие правового основания для этой обработки и информирование родителей. 4V3D OÜ не видит родителей и не может сделать это за вас.
• Ограничивать данные в услуге тем, что описано в Приложении II. В частности, не вписывайте в поля свободного текста фамилию ребёнка, сведения о здоровье, оценку ребёнка и что-либо об обстоятельствах семьи.
• Поддерживать данные своей учётной записи в актуальном состоянии и сообщать 4V3D OÜ о смене контактного лица.
• Самостоятельно управлять учётными записями своих сотрудников: закрывать доступ воспитателю, который увольняется.

5. Две вещи, которые не являются обработкой от вашего имени

Говорим об этом прямо здесь, чтобы потом никому не пришлось догадываться.

• Учётные записи сотрудников. Имя, адрес электронной почты и пароль воспитателя или заведующей нужны для того, чтобы услуга вообще работала, и то, как её вести, решает 4V3D OÜ. Для этой узкой цели 4V3D OÜ является оператором, а не обработчиком, и применяется её собственная политика конфиденциальности. Всё, что касается детей, является обработкой от имени детского сада и охватывается настоящим договором.
• Оплата услуги. Если детский сад платит картой, платёж проводит Stripe Payments Europe Ltd. Stripe получает платёжное наименование, адрес, номер плательщика НДС, адрес электронной почты и данные карты детского сада и никаких данных о детях. Оператором этих платёжных данных является 4V3D OÜ. Поэтому Stripe не является субобработчиком по настоящему договору и не указан в Приложении IV.

6. Срок, применимое право и ответственность

Настоящий договор действует столько, сколько 4V3D OÜ обрабатывает данные детского сада, и сохраняет силу после окончания услуги до удаления данных.

Применяется эстонское право, и компетентны суды уезда Харью, если только детский сад не является публичным учреждением, собственные правила которого требуют применения его национального права и судов; в таком случае стороны договариваются об этом до подписания.

Ответственность определяется Условиями использования Minute Mission, которые настоящий договор дополняет, а не заменяет.

Приложение I. Стороны

Оператор: детский сад, определяемый по данным, которые он указывает при оформлении заказа или вписывает в подписываемый экземпляр. Роль: оператор данных детей, которые ведутся на групповой доске.

Обработчик: 4V3D OÜ, registration number 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Эстония. Контакт: Oskar Viil, член правления, info@4v3d.ee. Специалист по защите данных не назначен, поскольку GDPR этого здесь не требует.

Каждая сторона может изменить своё контактное лицо, письменно сообщив об этом другой стороне.

Приложение II. Описание обработки

Приложение III. Меры безопасности

• Данные находятся в Европейском союзе. Приложение и его резервные копии работают в дата-центре Hetzner Online GmbH в Хельсинки, Финляндия (сертификация ISO/IEC 27001). Служебная почта отправляется через Scaleway SAS во Франции. Передачи в третью страну нет.
• Всё, что передаётся, шифруется (HTTPS, с действующей Content Security Policy). Пароли никогда не хранятся, только их хеш, и токены сессий тоже хранятся в виде хеша, так что копия базы данных не является набором рабочих ключей.
• Каждая группа является отдельной учётной записью. Воспитатель видит только детей своей группы. У заведующей один вход для её собственных групп и нет доступа к чужим.
• Фотографии нельзя загрузить в групповую учётную запись, push-уведомления отключены, а картинки детей ограничены набором рисунков.
• Ежедневные зашифрованные резервные копии, которые хранятся 14 дней на сервере и 90 дней вне его. Они шифруются открытым ключом, которого у самого сервера нет, поэтому сервер не может прочитать собственные копии. Восстановление из копии протестировано.
• Доступ к серверу есть только у члена правления 4V3D OÜ. Ни у сотрудника, ни у подрядчика, ни у специалиста поддержки доступа нет.
• Никакой аналитики, никаких рекламных инструментов и никакого отслеживания. Единственная регулярная отчётность это ежедневный подсчёт регистраций, активных учётных записей и ошибок, в котором нет имён.
• Ограничение частоты попыток при входе и регистрации, а также ограничение в 30 дней на то, насколько задним числом можно отметить миссию, чтобы ошибка или злоупотребление не могли переписать месяцы истории.
• Письменная проверка безопасности всего исходного кода проводилась дважды внешней моделью, последний раз 20 сентября 2026 года, и её замечания закрыты.

Приложение IV. Субобработчики

Обе находятся в Европейском союзе. Субобработчиков за пределами ЕС нет, и оценивать международную передачу не требуется.