Соглашение об обработке данных (DPA)

Дата вступления в силу: 19 мая 2026 г. | Версия: 1.0 Правовая основа: ст. 28 GDPR

---

Между

Оператором данных (Controller): Пользователем платформы coachHelp (коуч / консультант)

и

Обработчиком данных (Processor): coachHelp Электронная почта: privacy@couchhelp.eu

---

Преамбула

Оператор данных использует платформу coachHelp для поддержки своей коучинговой деятельности. В процессе использования обрабатываются персональные данные клиентов Оператора. Настоящее соглашение регулирует договорные отношения в понимании ст. 28 GDPR.

1. Определения

Для целей настоящего соглашения применяются следующие определения:

• Персональные данные: любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу, в частности имя, контактные данные, содержание коммуникации и данные, связанные с AVGS, клиентов Оператора.
• Обработка: любая операция или совокупность операций, производимых с персональными данными автоматизированными или неавтоматизированными средствами.
• Оператор данных: пользователь Платформы, который определяет цели и средства обработки персональных данных.
• Обработчик данных: coachHelp, который обрабатывает персональные данные по поручению Оператора.

2. Предмет и срок обработки

2.1 Предмет

Предметом настоящего соглашения является предоставление ИИ-коучинговой платформы coachHelp, включая:

• Хранение и управление данными клиентов
• ИИ-классификацию текста и генерацию черновиков
• Коммуникацию через WhatsApp Business API
• Управление обязательствами и протоколами сессий
• Предоставление функций аналитики и отчётности

2.2 Категории обрабатываемых данных

• Идентификационные данные (имя, номер телефона)
• Коммуникационные данные (содержание сообщений, история чатов)
• Данные об обязательствах («Promises», протоколы сессий)
• Данные, связанные с AVGS (статус, отчёты)
• Данные об использовании (временные метки, логи активности)

2.3 Срок

Настоящее соглашение вступает в силу с момента регистрации Оператора на Платформе и действует до удаления аккаунта плюс срок хранения 30 дней. При продолжении использования соглашение продлевается автоматически.

3. Обязательства Обработчика данных

coachHelp обязуется:

3.1 Обработка только по инструкции

Персональные данные обрабатываются исключительно по документированной инструкции Оператора, включая настоящее соглашение и действующее законодательство о защите данных. Если coachHelp считает, что инструкция нарушает нормы защиты данных, он немедленно информирует об этом Оператора.

3.2 Конфиденциальность

Персонал, участвующий в обработке, обязан соблюдать конфиденциальность. Это обязательство сохраняется и после прекращения деятельности. coachHelp обеспечивает, чтобы персонал имел доступ к персональным данным только в необходимом объёме.

3.3 Меры безопасности

coachHelp внедряет соответствующие технические и организационные меры (ТОМ) для защиты персональных данных:

• Шифрование данных при передаче (TLS 1.3) и при хранении (AES-256)
• Ролевое разграничение доступа (Row-Level Security в Supabase)
• Безопасная аутентификация через Clerk
• Регулярные обновления безопасности и мониторинг

3.4 Поддержка Оператора

coachHelp поддерживает Оператора в выполнении его обязательств по GDPR, в частности:

• Ответы на запросы субъектов данных (ст. 15–22 GDPR)
• Проведение оценок воздействия на защиту данных
• Уведомления об утечках данных

3.5 Удаление и возврат

После прекращения деятельности по обработке coachHelp удаляет все персональные данные Оператора, если только законодательные обязательства по хранению не требуют иного. По запросу Оператора данные возвращаются в структурированном формате.

3.6 Утечки данных

coachHelp немедленно уведомляет Оператора о нарушениях защиты персональных данных и помогает ему в выполнении обязанностей по уведомлению надзорных органов и субъектов данных.

4. Субпроцессоры

4.1 Утверждённые субпроцессоры

coachHelp использует следующих субпроцессоров для выполнения настоящего соглашения:

4.2 Обязательства перед субпроцессорами

coachHelp гарантирует, что субпроцессоры договорно приняли те же обязательства по защите данных, что и coachHelp. Это включает в себя:

• Обработку только по инструкции
• Соблюдение надлежащих мер безопасности
• Обязательства по конфиденциальности
• Обязательства по удалению после окончания договора

4.3 Право Оператора на возражение

Оператор имеет право письменно возразить против нового субпроцессора в течение 14 дней с момента уведомления. Если Оператор выдвигает обоснованные возражения, стороны стремятся к взаимоприемлемому решению. Если соглашение не может быть достигнуто, Оператор имеет право прекратить использование затронутых услуг.

5. Международная передача данных

5.1 Передача данных в третьи страны

Некоторые субпроцессоры (Anthropic PBC, Vercel Inc., Clerk Inc.) находятся в США. При передаче персональных данных в США применяются следующие гарантии:

• Стандартные договорные положения (SCCs): передача основана на стандартных договорных положениях, утверждённых Еврокомиссией (2021/914).
• EU-US Data Privacy Framework: применимо, если субпроцессор сертифицирован.

5.2 Дополнительные меры

В свете решения Schrems II СЕС от 16 июля 2020 г. coachHelp внедрил дополнительные защитные меры:

• Шифрование конфиденциальных данных перед передачей
• Минимизация объёмов передаваемых данных
• Проверка правовых рамок в США

Оператор признаёт, что передача данных в США несёт остаточный риск несмотря на эти меры, и принимает этот риск при полном осознании обстоятельств.

6. Меры безопасности

6.1 Технические меры

• Шифрование: TLS 1.3 для передачи данных, AES-256 для хранения
• Контроль доступа: Row-Level Security (RLS) в базе данных, ролевые разрешения
• Аутентификация: безопасное хранение паролей, опциональная двухфакторная аутентификация
• Сетевая безопасность: межсетевой экран, DDoS-защита через Vercel

6.2 Организационные меры

• Регулярное обучение персонала
• Документированные журналы доступа
• План реагирования на инциденты, связанные с защитой данных
• Регулярное резервное копирование с зашифрованным хранением

6.3 Управление утечками данных

В случае утечки данных:

1. Немедленное расследование и сдерживание
2. Уведомление Оператора в течение 24 часов
3. Документирование инцидента
4. Внедрение корректирующих мер

7. Поддержка Оператора

coachHelp поддерживает Оператора в:

7.1 Запросах на доступ

Предоставлении необходимой информации для ответа на запросы субъектов данных на доступ согласно ст. 15 GDPR.

7.2 Экспорте данных

По запросу coachHelp предоставляет персональные данные Оператора в структурированном, общепринятом и машиночитаемом формате (CSV, JSON).

7.3 Право на аудит

Оператор имеет право проводить аудит соблюдения настоящего соглашения один раз в год. Аудит проводится по согласованию с coachHelp и не должен необоснованно нарушать работу.

8. Срок действия и прекращение договора

8.1 Срок действия

Настоящее соглашение вступает в силу с момента регистрации Оператора на Платформе и действует на неопределённый срок.

8.2 Прекращение

Обе стороны могут расторгнуть настоящее соглашение путём удаления аккаунта или прекращения работы Платформы. При прекращении работы Платформы предоставляется уведомление за 30 дней.

8.3 Последствия прекращения

После прекращения:

• Все персональные данные Оператора будут удалены в течение 90 дней
• Оператор может запросить экспорт данных перед удалением
• Аудит-логи сохраняются в течение 7 лет в соответствии с законодательными требованиями

9. Удаление и возврат данных

9.1 Удаление

После прекращения соглашения coachHelp удаляет все персональные данные, обработанные по поручению Оператора. Это включает:

• Данные клиентов
• Содержание коммуникаций
• Журналы использования
• Резервные копии (в рамках ротации резервных копий)

9.2 Исключения

Из удаления исключаются:

• Аудит-логи: 7 лет (законодательное требование согласно DEKRA/TÜV для AVGS)
• Данные, для которых существует законодательное обязательство хранения
• Анонимизированные данные, которые больше не относятся к идентифицируемым лицам

9.3 Экспорт перед удалением

Оператор может запросить полный экспорт своих данных перед удалением. Экспорт предоставляется в формате JSON или CSV.

10. Уполномоченные лица

10.1 Оператор данных (Пользователь)

Оператор данных — это зарегистрированный пользователь Платформы. Изменения контактного лица должны быть сообщены Обработчику.

10.2 Должностное лицо по защите данных

В настоящее время coachHelp не назначил должностное лицо по защите данных, поскольку это не является обязательным согласно ст. 37 GDPR.

10.3 Контакт

По вопросам, связанным с настоящим соглашением: Электронная почта: privacy@couchhelp.eu

11. Разрешение споров

11.1 Письменные жалобы

Жалобы направляются в письменном виде на адрес privacy@couchhelp.eu. Мы ответим в течение 30 дней.

11.2 Применимое право

Настоящее соглашение регулируется законодательством Федеративной Республики Германия.

11.3 Подсудность

Местом подсудности для всех споров является местонахождение оператора, если Оператор является коммерсантом. В остальных случаях применяются законодательные нормы о подсудности.

12. Приложения

Приложение А: Список субпроцессоров

(Обновляется на privacy@couchhelp.eu)

По состоянию на 19 мая 2026 г.:

1. Supabase Inc. (База данных, Франкфурт)
2. Anthropic PBC (ИИ-обработка, США)
3. Vercel Inc. (Хостинг, США/ЕС)
4. Clerk Inc. (Аутентификация, США)

Приложение Б: Технические и организационные меры (ТОМ)

Подробное описание мер безопасности согласно разделу 6.

Приложение В: Категории данных и сроки хранения

---

Последнее обновление: 19 мая 2026 г.