Data Processing Addendum

Это Data Processing Addendum (DPA) дополняет договор между UniMate AG (Процессор) и Институциональным клиентом (Контроллер) и регулирует обработку персональных данных. DPA соответствует Art. 28 GDPR, швейцарскому FADP и закону РК "О персональных данных" No. 94-V.

1. Категории субъектов и данных

Категории субъектов данных:

• Студенты Контроллера, имеющие активные аккаунты UniMate.
• Преподаватели и сотрудники, использующие административные функции.
• Администраторы группы / факультета.

Категории персональных данных:

• Идентификационные данные: имя, фамилия, email, никнейм, университет, факультет, курс.
• Аутентификационные данные: хэш пароля (Argon2id), TOTP-секрет.
• Учебный контент: заметки, флешкарты, расписание, дедлайны, диалоги с AI, презентации.
• Активность: учебные сессии, серии, XP, повторения колод, временные метки входов.
• Технические: IP-адрес сессии, user agent.

2. Цели обработки и хранение

Цели: предоставление сервиса студентам Контроллера, безопасность и предотвращение злоупотреблений, выполнение договорных и юридических обязательств. Никакой другой обработки. Никакого обучения AI-моделей на данных. Никакой передачи данных третьим лицам в маркетинговых целях.

Сроки хранения: данные активных аккаунтов - в течение действия договора. После прекращения договора или индивидуального аккаунта - удаление в течение 30 дней. Резервные копии истекают в течение следующих 30 дней. Платёжные записи - 10 лет в псевдонимизированном виде (требование швейцарского налогового права).

3. Меры безопасности

• Шифрование при передаче: TLS 1.3, HSTS, современные cipher suites.
• Шифрование при хранении: LUKS на уровне диска для БД, шифрованные резервные копии.
• Аутентификация: Argon2id для паролей, опциональный TOTP 2FA, JWT с механизмом отзыва refresh-токенов.
• RBAC: ролевая модель доступа на уровне приложения, разделение прав студент / преподаватель / администратор / суперадмин.
• Аудит-лог: все административные действия (изменения, удаления, экспорты) логируются с user_id и timestamp, хранятся 2 года.
• Сетевой периметр: rate limits, защита от перебора, hCaptcha на регистрации, мониторинг аномалий.
• Изоляция данных институтов: логическое разделение по tenant_id, проверка scope на каждом запросе.
• Регулярные обновления: патчинг ОС и зависимостей по графику, сканирование на уязвимости.

4. Уведомление об инцидентах

При обнаружении инцидента, затрагивающего персональные данные Контроллера, мы уведомляем Контроллера в течение 72 часов с момента обнаружения, через email DPO Контроллера, указанный в договоре. Уведомление содержит характер инцидента, категории и приблизительное количество затронутых субъектов, последствия и принятые меры по минимизации ущерба.

5. Право на аудит

Контроллер имеет право проводить аудит соответствия Процессора условиям DPA ежегодно, с предварительным уведомлением не менее чем за 30 дней. Аудит может проводиться силами Контроллера или назначенным независимым аудитором, в рабочее время, без нарушения операционной деятельности Процессора. Альтернативно - принимаются отчёты SOC 2 / ISO 27001, если у Процессора есть соответствующая сертификация.

6. Субпроцессоры

Список субпроцессоров (хостинг, AI-провайдеры, email-провайдеры, платёжный процессор) предоставляется по запросу под NDA. О добавлении нового субпроцессора Процессор уведомляет Контроллера не менее чем за 14 дней с правом возражения; в случае невозможности согласовать альтернативу Контроллер вправе расторгнуть договор без штрафа.

Все субпроцессоры связаны контрактом, обеспечивающим уровень защиты данных, эквивалентный настоящему DPA. Передача данных за пределы ЕЭП осуществляется на основании Standard Contractual Clauses Еврокомиссии с дополнительными техническими мерами.

7. Контакт

Вопросы по DPA, запросы списка субпроцессоров, согласование аудита, уведомления об инцидентах со стороны Контроллера: legal@getunimate.com. Договорные вопросы: legal@getunimate.com. Связанные документы: Политика конфиденциальности, Security, Trust Center.