1. Стороны

Настоящее Соглашение об обработке данных («Соглашение») заключается между:

Controller: Контролёр: клиент («вы» или «Клиент»), принявший Условия использования Tender Analyzer и использующий Сервис для обработки тендерных документов
Processor: Обработчик: Tender Analyzer («мы», «нас» или «Обработчик»), субъект, управляющий веб-сайтами https://www.tender-analyzer.com и https://app.tender-analyzer.com

Настоящее Соглашение дополняет Условия использования и является их неотъемлемой частью. В случае противоречия между настоящим Соглашением и Условиями использования настоящее Соглашение имеет преимущественную силу в отношении вопросов обработки данных.

2. Определения

Персональные данные: любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу, в соответствии с определением в статье 4(1) GDPR
Обработка: любая операция, выполняемая с Персональными данными, включая сбор, запись, систематизацию, структурирование, хранение, адаптацию, извлечение, консультирование, использование, раскрытие, стирание или уничтожение
Субъект данных: идентифицированное или идентифицируемое физическое лицо, Персональные данные которого обрабатываются
Субобработчик: любая третья сторона, привлечённая Обработчиком для обработки Персональных данных от имени Контролёра
Надзорный орган: независимый государственный орган, учреждённый государством — членом ЕС в соответствии со статьёй 51 GDPR

3. Объём обработки

3.1 Цель

Обработчик обрабатывает Персональные данные исключительно для предоставления сервиса Tender Analyzer, что включает:

Анализ загруженных тендерных файлов (PDF, Excel, DOCX, CAD)
Извлечение технических характеристик и структурированных данных из документов
Временное хранение документов на период обработки
Формирование и хранение результатов извлечения

3.2 Типы Персональных данных

Обрабатываемые Персональные данные могут включать имена, контактные данные и деловую информацию, содержащиеся в загруженных тендерных документах. Обработчик не осуществляет намеренного сбора или извлечения Персональных данных из документов; наличие любых Персональных данных является побочным результатом извлечения технических характеристик.

3.3 Субъекты данных

Субъектами данных могут являться сотрудники Контролёра, его клиенты, партнёры и любые лица, упомянутые в загруженных тендерных документах.

4. Субобработчики

Контролёр уполномочивает Обработчика привлекать следующих Субобработчиков. Обработчик уведомит Контролёра о любых планируемых изменениях данного списка не менее чем за 30 дней.

Субобработчик	Назначение	Местоположение
Hetzner Online GmbH	Облачный хостинг и инфраструктура	Германия (ЕС)
OpenRouter / Together AI	LLM-инференс для анализа документов (только API, без хранения данных)	Соединённые Штаты
SMTP-провайдер	Доставка транзакционных писем (верификация, уведомления)	ЕС / Соединённые Штаты

Провайдеры LLM-инференса обрабатывают содержимое документов исключительно через API-запросы. Они не хранят, не сохраняют и не используют переданные данные для обучения моделей. Все API-запросы шифруются при передаче с помощью TLS.

5. Хранение данных

Обработчик хранит Персональные данные только в течение срока, необходимого для предоставления Сервиса:

Загруженные документы: удаляются через 90 дней после завершения анализа
Данные учётной записи: хранятся до удаления учётной записи Контролёром
Журналы использования: хранятся 12 месяцев для мониторинга безопасности и улучшения сервиса
Результаты извлечения: хранятся до удаления Контролёром или при закрытии учётной записи

При прекращении действия соглашения об оказании услуг Обработчик удаляет или возвращает все Персональные данные в течение 30 дней, если только их хранение не требуется в соответствии с применимым законодательством.

6. Меры безопасности

Обработчик принимает надлежащие технические и организационные меры для обеспечения уровня безопасности, соответствующего степени риска, включая:

Шифрование при передаче: все данные передаются с использованием TLS 1.3
Шифрование при хранении: шифрование AES-256 для сохранённых документов и данных
Контроль доступа: политики безопасности на уровне строк (RLS) в базе данных, обеспечивающие строгую изоляцию арендаторов
Аутентификация: контроль доступа на основе JWT с кратковременными токенами
Ограничение частоты запросов: защита от злоупотреблений и атак типа «отказ в обслуживании» для всех конечных точек
Изоляция инфраструктуры: выделенная серверная среда с контейнеризированными сервисами
Автоматизированное резервное копирование: ежедневные зашифрованные резервные копии базы данных

7. Права субъектов данных

Обработчик оказывает содействие Контролёру в выполнении его обязательств по обработке запросов субъектов данных в соответствии с Главой III GDPR, включая:

Право на доступ (Статья 15) — получение копии обрабатываемых Персональных данных
Право на исправление (Статья 16) — исправление неточных Персональных данных
Право на удаление (Статья 17) — запрос на удаление Персональных данных
Право на ограничение обработки (Статья 18) — ограничение обработки Персональных данных
Право на переносимость данных (Статья 20) — получение Персональных данных в структурированном, машиночитаемом формате
Право на возражение (Статья 21) — возражение против обработки Персональных данных

Обработчик отвечает на запросы субъектов данных, перенаправленные Контролёром, без необоснованной задержки и не позднее чем в течение 30 дней.

8. Уведомление о нарушении

В случае нарушения безопасности Персональных данных Обработчик обязан:

Уведомить Контролёра без необоснованной задержки и не позднее чем через 72 часа после обнаружения нарушения в соответствии со Статьёй 33 GDPR
Предоставить Контролёру достаточную информацию для выполнения его обязанности по уведомлению соответствующего Надзорного органа
Сотрудничать с Контролёром и предпринимать разумные меры по содействию в расследовании, смягчении последствий и устранении нарушения
Документировать все нарушения, включая факты, относящиеся к нарушению, его последствия и принятые корректирующие меры

9. Международная передача данных

Обработчик хранит все основные данные на территории Европейского Союза (Hetzner, Германия).

В случаях, когда содержимое документов передаётся провайдерам LLM-инференса, расположенным за пределами ЕС (OpenRouter, Together AI), такие передачи осуществляются посредством зашифрованных API-запросов. Эти провайдеры обрабатывают данные в реальном времени и не сохраняют переданное содержимое. Обработчик обеспечивает наличие надлежащих гарантий, включая Стандартные договорные положения (SCC), где это требуется в соответствии с Главой V GDPR.

Контролёр подтверждает, что содержимое документов передаётся провайдерам LLM исключительно в целях ИИ-извлечения и что Персональные данные намеренно не включаются в такие передачи.

10. Право на аудит

Контролёр или независимый аудитор, назначенный Контролёром, вправе провести аудит соблюдения Обработчиком настоящего Соглашения при соблюдении следующих условий:

Контролёр направляет письменное уведомление не менее чем за 30 дней до проведения любого аудита
Аудит проводится в рабочее время и не должен необоснованно нарушать деятельность Обработчика
Расходы на проведение аудита несёт Контролёр, за исключением случаев, когда аудит выявляет существенное нарушение со стороны Обработчика
Обработчик предоставляет всю информацию, необходимую для подтверждения выполнения обязательств, изложенных в настоящем Соглашении

11. Применимое право

Настоящее Соглашение регулируется и толкуется в соответствии с законодательством Европейского Союза и применимым законодательством государства-члена, в котором учреждён Контролёр. Любые споры, возникающие в связи с настоящим Соглашением, подлежат исключительной юрисдикции компетентных судов данного государства-члена.

12. Контакты

По вопросам, касающимся настоящего Соглашения об обработке данных, или для реализации любых прав в рамках данного Соглашения свяжитесь с нами по адресу:

Legal: [email protected]
Privacy: [email protected]
Website: https://www.tender-analyzer.com