Соглашение об обработке по поручению

Версия v1.0.0 | Последнее изменение: 2026-07-25

Это соглашение в соответствии с Art. 28 DSGVO (Общий регламент ЕС по защите данных) заключается между организацией, указанной при оформлении подписки для организации, как ответственной стороной (Verantwortlicher) и Cryon UG (haftungsbeschränkt), Landsberger Str. 35, 04157 Leipzig, как исполнителем обработки (Auftragsverarbeiter). Оно распространяется на персональные данные, которые организация обрабатывает в Werkzeu.ge для собственных целей. Для управления аккаунтами, расчётов, безопасности и собственной коммуникации ответственной стороной остаётся сам Cryon.

1. Предмет и приоритет

Cryon предоставляет организации заказанные функции Werkzeu.ge и при этом обрабатывает данные организации исключительно по документированным указаниям, если право Союза или немецкое право не требует иной обработки. Эта AVV дополняет общие условия (AGB). При противоречиях в вопросах обработки по поручению эта AVV имеет приоритет.

Электронное принятие при оформлении подписки для организации фиксирует договор, редакцию, принимающее лицо, организацию и время. Принимающее лицо подтверждает, что имеет право представлять организацию.

2. Срок действия

Обработка начинается с активации функций для организации и продолжается, пока Cryon обрабатывает данные организации по поручению. Обязанности хранить данные, которые закон возлагает на Cryon как на собственную ответственную сторону, это не затрагивает.

3. Указания

• Использование функций продукта и настроек считается документированным указанием.
• Дополнительные указания владельцы организации, имеющие право её представлять, могут отправлять на info@werkzeu.ge.
• Cryon незамедлительно сообщает, если по собственной оценке указание нарушает законодательство о защите данных, и приостанавливает его исполнение до выяснения.
• Дополнительные затраты на индивидуальные указания могут быть выставлены по предварительной договорённости.

4. Обязанности Cryon

• Обработка только для согласованных целей и по указаниям.
• Обязательство всех лиц, имеющих доступ, соблюдать конфиденциальность.
• Внедрение и регулярная проверка надлежащих технических и организационных мер.
• Помощь в вопросах прав субъектов данных, оценки последствий для защиты данных, консультаций и подтверждений, если это касается обработки.
• Незамедлительное уведомление об известных нарушениях защиты данных организации с имеющимися сведениями согласно Art. 33 Abs. 3 DSGVO (абзац 3).
• Содержимое организации не используется для рекламных профилей, торговли данными или обучения генеративных моделей ИИ.

5. Обязанности организации

• Организация определяет допустимые цели, правовые основания, вводимые данные, сроки удаления и роли доступа.
• Она выполняет обязанности по информированию и обрабатывает запросы субъектов данных как ответственная сторона.
• Она вносит особые категории персональных данных только при наличии прочного правового основания и с надлежащими средствами защиты.
• Она обеспечивает безопасность аккаунтов, ролей, устройств и учётных данных и незамедлительно сообщает о несанкционированном доступе.
• Поля свободного текста не должны содержать данные, которые не нужны для соответствующей цели.

6. Помощь в вопросах прав субъектов данных

Cryon предоставляет, если они технически доступны, функции поиска, экспорта, исправления и удаления. Если Cryon получает запрос, который явно касается данных организации, Cryon пересылает его организации и не отвечает самостоятельно, если нет законной обязанности. Содержание ответа и срок его подготовки остаются на ответственности организации.

7. Субисполнители (Unterauftragsverarbeiter)

Организация даёт общее разрешение на привлечение указанных ниже субисполнителей. Cryon сообщает на контактный адрес по договору, прежде чем привлечь нового субисполнителя. Организация может возразить по обоснованным причинам, связанным с защитой данных. Если стороны не могут найти приемлемого выхода, организация может досрочно прекратить использование затронутой функции по уважительной причине.

Поставщики платёжных услуг, вход через Google и hCaptcha обрабатывают данные для собственных или совместно определённых целей и не являются субисполнителями в отношении содержимого, которое организация вносит в функции для персонала, CRM, файлов или коммуникации.

8. Обработка в третьих странах

Основное приложение, база данных и хранилище файлов работают в Германии. Если субисполнитель обрабатывает данные за пределами ЕЭП (Европейской экономической зоны), Cryon до начала обработки обеспечивает допустимый инструмент передачи данных, в частности действующее решение об адекватности защиты или стандартные договорные условия ЕС, и проверяет необходимые дополнительные меры.

9. Безопасность

Меры включают, в частности:

• Внешняя передача с шифрованием TLS и зашифрованные внутренние административные соединения.
• Зашифрованные серверные накопители, раздельные учётные данные и ограниченные административные доступы.
• Проверки авторизации, привязанные к клиенту и организации, роли и журналирование изменений, важных для безопасности.
• Экономное журналирование, управление секретами, процедуры восстановления и резервного копирования.
• Мониторинг доступности, обновления безопасности и процедура действий при инцидентах безопасности.
• Шифрование на стороне клиента там, где функция прямо на это указывает.

Подробности могут быть конфиденциально предоставлены организации, если это не ставит под угрозу меры безопасности или права других лиц.

10. Удаление и возврат

В течение срока действия договора организация может управлять данными через предусмотренные функции экспорта и удаления. После завершения обработки Cryon удаляет данные организации или возвращает их по выбору организации. Без иного указания первичные данные удаляются после завершения технической очереди удаления; оставшиеся резервные копии ротируются в течение документированного цикла резервного копирования продолжительностью не более 30 дней. Данные о расчётах и подтверждения, которые по закону необходимо хранить, блокируются и используются только для цели хранения.

11. Проверки и подтверждения

Cryon по запросу предоставляет соответствующие сведения, подтверждающие выполнение обязанностей. Проверки проводятся с заблаговременным уведомлением, как правило, не чаще одного раза в год и так, чтобы не вредить безопасности, конфиденциальности и работе других клиентов. Проверки по поводу существенного инцидента остаются возможными.

Приложение 1: Обработка