Соглашение об обработке данных (DPA)
Последнее обновление: 2026-10-23
Субобработчики page last updated: 2026-10-23
Данное Соглашение об обработке данных (DPA) определяет условия, при которых мы обрабатываем персональные данные от вашего имени.
Настоящее Соглашение об обработке данных (Соглашение) описывает обязательства и условия, при которых Petitions.com Group Oy (Поставщик услуг) обрабатывает персональные данные от имени автора петиции (Автор петиции или Контролер данных) в ходе предоставления услуг хостинга онлайн-петиций (Услуги).
Изменение условий
Мы оставляем за собой право изменять или модифицировать эти Условия в любое время без предварительного уведомления.
Определения и роли
- Поставщик услуг: Petitions.com (Petitions.com Group Oy), выступающий в качестве Обработчика данных, обрабатывает персональные данные от имени Контролера данных в объеме, необходимом для предоставления Услуг.
- Контролер данных: Автор петиции, который определяет цели и способы обработки персональных данных, собранных у подписавших их петицию. Будучи автором петиции, размещенной на Petitions.com, вы считаетесь Контролером данных. Вы решаете содержание петиции, что спрашивается у подписантов, цели обработки их персональных данных и срок хранения персональных данных. Petitions.com предоставляет онлайн-платформу для создания и размещения петиций, обеспечивая вашу роль в качестве Контролёра данных с возможностью формировать сбор и использование данных петиции в соответствии с вашими целями и юридическими обязательствами.
Объем обработки
Поставщик услуг будет обрабатывать персональные данные исключительно на основании инструкций контролера данных и только в объеме, необходимом для предоставления Услуг, если иное не требуется правом Союза или правом государства-члена, которому подчиняется Поставщик услуг. В таком случае Поставщик услуг уведомит контролера данных о таком законном требовании до начала обработки, если только такой закон не запрещает это по важным основаниям общественного интереса. Объем обрабатываемых действий ограничивается размещением, управлением и содействием онлайн-петициям.
Как обработчик данных, Поставщик услуг не удаляет данные подписей по собственной инициативе. Every erasure of signature data is carried out on the documented instructions of the Data Controller, whether given specifically or in advance through this Agreement.
Принятие контролером данных настоящего Соглашения означает документированные инструкции контролера данных для Поставщика услуг, включая описанные ниже процедуры обработки запросов подписантов на удаление и любые инструменты самообслуживания, которые Поставщик услуг предоставляет подписантам от имени контролера данных.
Подсчет и списки подписей
Чтобы размещать петицию и продвигать её, Обработчик данных подсчитывает подписи и показывает эти данные в Сервисах: общее число подписей, число подписей за определённый период и число подписей, собранных на каждом сайте Сервисов. Эти данные также используются для ранжирования и отображения публичных петиций, например петиций с наибольшим числом подписей на веб-сайте или в указанной Автором петиции стране. В рейтинги по числу подписей включаются только петиции, набравшие не менее пяти подписей.
Эти данные являются анонимной статистикой и не позволяют идентифицировать какого-либо подписанта. Они не основаны на стране, городе или других сведениях, которые подписанты указывают в форме подписания. Такие сведения публикуются в сводном виде только если Автор петиции решает опубликовать распределение подписей по местам на странице статистики петиции, где места с менее чем пятью подписями объединяются.
Принятие контролером данных настоящего Соглашения является документированным указанием на такую обработку.
Защита данных
Поставщик услуг обязуется внедрять технические и организационные меры для обеспечения безопасности персональных данных от несанкционированного доступа, утраты или повреждения.
Запрещенный сбор данных
Запрещается запрашивать личные идентификационные номера (например, номера национальных удостоверений личности) у подписантов.
Субобработчики
Поставщик услуг может привлекать subprocessors для оказания Услуг. Поставщик услуг обеспечит, чтобы субпроцессоры соблюдали обязательства по защите данных в соответствии с данным Соглашением о защите данных (DPA). You acknowledge and agree that the Service Provider retains the discretion to select and replace subprocessors as needed to provide the Services efficiently.
Список субпроцессоров. (Последнее обновление: 2026-10-23)
Обязанности Контролера Данных
Оператор данных несет ответственность за обеспечение того, чтобы сбор, обработка и обращение с персональными данными соответствовали всем применимым законам и нормативным требованиям.
Идентификация Контролера Данных
В соответствии с Общим регламентом по защите данных (GDPR) необходимо четко указать личность контролера данных. Для авторов петиций, использующих наш веб-сайт, предусмотрены следующие положения:
Индивидуальные авторы петиций
Если вы, как физическое лицо, создаете петицию, вам необходимо указать ваше полное юридическое имя. Это служит вашей идентификацией в качестве контролера данных для целей GDPR.
Авторы организационных петиций
Если петиция создается от имени организации, необходимо указать полное юридическое название организации. Кроме того, организация должна назначить и предоставить контактные данные представителя, ответственного за деятельность по обработке данных, такого как Ответственного за защиту данных (DPO) или аналогичного.
Права субъекта данных
Контролер данных должен обеспечить, чтобы субъекты данных (подписавшие петицию) могли реализовать свои права в соответствии с GDPR, такие как право на доступ, исправление или удаление их данных, а также право подать жалобу в надзорный орган.
Обработка запросов подписантов на удаление данных субъекта данных
Роли различаются в зависимости от соответствующих данных. В отношении персональных данных, собираемых через подписи под петицией, Поставщик услуг действует как обработчик данных, а Автор петиции действует как контролер данных. For the Service Provider's own operational data, such as account information, technical logs, and contact-form messages, the Service Provider acts as an independent Data Controller.
Because the Service Provider acts only on the Data Controller's documented instructions, the procedure below constitutes the Data Controller's standing instruction for handling such requests, authorizing the Service Provider to act without seeking separate approval for each request.
Когда подписант просит Поставщика услуг удалить персональные данные, связанные с подписью, Поставщик услуг без неоправданной задержки скроет подпись из публичного просмотра и предоставит Автору петиции сведения об удалении в Сервисах, например на странице обзора по защите данных и через индикатор в учетной записи. Поставщик услуг не обязан отправлять отдельное электронное письмо по каждому случаю удаления. Автору петиции предоставляется 14 дней на рассмотрение запроса и удаление любых копий персональных данных подписанта, которые были им загружены, экспортированы, распечатаны или иным образом сохранены вне Сервисов. The Petition Author may object to the erasure only where there is a lawful ground to continue processing the data (for example, the establishment, exercise, or defense of legal claims); a mere preference to retain the signature is not a valid ground. Любое такое возражение должно быть заявлено путем обращения к Поставщику услуг в течение этого срока с указанием законного основания; Поставщик услуг не предоставляет автоматического способа отмены удаления для Автора петиции. Если Автор петиции не возразит по таким основаниям в течение этого срока, Поставщик услуг навсегда удалит данные подписи из активной базы данных. Поставщик услуг стремится завершить этот процесс в течение одного месяца, как того требует GDPR.
The Service Provider may also make available a self-service tool, such as a removal link in signature confirmation messages or on the petition page, allowing signatories to remove their own signature directly. Если такой инструмент используется, Поставщик услуг действует от имени контролера данных в соответствии с документированными инструкциями, изложенными в настоящем Соглашении.
Персональные данные могут сохраняться в обычных резервных копиях в течение ограниченного периода после удаления из активной базы данных. Такие резервные копии не используются для повседневной обработки и перезаписываются по скользящему графику, после чего данные удаляются окончательно.
Технические журналы могут содержать персональные данные, такие как IP-адреса или метаданные доставки электронной почты. Эти журналы удаляются в течение 30 дней. Сообщения из контактной формы могут храниться до 5 лет в целях аудита, безопасности и урегулирования споров.
Поставщик услуг хранит минимальную запись о том, что удаление было выполнено, без сохранения удаленных персональных данных, чтобы подтвердить соблюдение требований. This record contains the number of the signature, the petition, who removed it (the signatory, the Petition Author or the Service Provider), a reason chosen from a fixed list and the time, but no name or email address.
In addition, the Service Provider keeps, as an independent Data Controller, a record of each removal containing a code computed from the signatory's email address (not the address itself), the day of the removal and who removed it, but not the petition. It is used only to answer the signatory's later questions about their data and to demonstrate compliance. It is deleted after 14 days, and from backups at most 30 days later.
If a signatory reports that someone else signed with their email address and asks for it, the Service Provider may, as an independent Data Controller, keep the technical details of that signature (such as the IP address, device details and times) for 30 days to 2 years, only for disclosure to the police or another authority on their official request. These details are not made available to the Petition Author.
Обработка запросов подписантов на исправление
Право на исправление обрабатывается на тех же основаниях, что и удаление: как обработчик данных, Поставщик услуг не изменяет данные подписей по собственной инициативе, а только по документированным инструкциям контролера данных, включая любой инструмент самообслуживания, который Поставщик услуг предоставляет подписантам от имени контролера данных для исправления собственных данных.
После внесения исправления актуальный список подписей, ведущийся в Сервисах, отражает исправленное значение. В соответствии с обязательством использовать актуальные данные подписей контролер данных должен полагаться только на недавно полученную копию и соответствующим образом обновлять или удалять любые устаревшие копии; Поставщик услуг не обязан раскрывать контролеру данных предыдущее, неверное значение.
Поставщик услуг может хранить внутреннюю запись об изменении, например предыдущее и новое значения, а также время изменения, в целях предотвращения мошенничества, обеспечения безопасности и урегулирования споров. Эта запись по умолчанию не предоставляется контролеру данных и хранится только в течение срока, необходимого для указанных целей.
Уведомление получателей
Если контролер данных раскрыл данные подписей какому-либо получателю, например лицу, принимающему решение, или иной третьей стороне, контролер данных несет ответственность в соответствии с статьей 19 GDPR за доведение до сведения каждого такого получателя любого последующего удаления или исправления этих данных, если только это не окажется невозможным или не потребует несоразмерных усилий. Удаление или исправление данных Поставщиком услуг в Сервисах не освобождает от этого обязательства в отношении копий, которыми контролер данных поделился вне Сервисов.
Подотчетность и соблюдение требований
Контролер данных должен быть способен продемонстрировать соблюдение GDPR, включая ответы на запросы субъектов данных относительно их персональных данных.
Политика конфиденциальности или уведомление
Должна быть предоставлена четкая и доступная политика конфиденциальности или уведомление, в котором указывается, как обрабатываются персональные данные, цели обработки и как субъекты данных могут осуществлять свои права.
Уведомление об Изменениях
Авторы петиций обязаны уведомлять Petitions.com (Petitions.com Group Oy) о любых изменениях в их статусе как контролёра данных или в контактных данных их представителя.
Ежегодный анализ обработки данных
Автор петиции обязан проводить ежегодный обзор, чтобы определить, существует ли по-прежнему обоснованная причина для продолжения обработки персональных данных подписантов. Этот обзор должен оценить необходимость и релевантность данных в отношении цели петиции. Если автор петиции определяет, что больше нет действительных оснований для продолжения обработки данных, он должен предпринять соответствующие меры для прекращения обработки и инициировать удаление данных в соответствии с применимым законодательством о защите данных.
Использование актуальных данных подписей
Before the Data Controller discloses signature data to any third party (such as a decision-maker or other recipient of the petition), or otherwise processes the data outside the Services (including contacting signatories by email), the Data Controller must retrieve a fresh copy of the signature list from the Services and use only that current version. Подписанты могут в любой момент воспользоваться правом на удаление, и только актуальный список, ведущийся в Сервисах, отражает такие удаления. Контролер данных не должен полагаться на ранее загруженные, экспортированные или распечатанные копии для этих целей и должен надежно уничтожать устаревшие копии.
Сохранение и удаление данных
В случае, если Оператор Персональных Данных (автор петиции) нарушит любые условия Соглашения об Обработке Персональных Данных (DPA), включая, но не ограничиваясь, не проведение ежегодного обзора деятельности по обработке данных или не предоставление обоснованного объяснения для продолжающейся обработки персональных данных подписантов, Поставщик Услуг оставляет за собой право удалить персональные данные, связанные с их петицией.
Ограничение ответственности
Ни при каких обстоятельствах общая ответственность обработчика данных перед контролером данных за любые убытки, потери и основания для исков, будь то по договору, деликту (включая небрежность) или иным образом, не будет превышать общей суммы, уплаченной контролером данных обработчику данных по этому соглашению.
Применимое законодательство
Настоящее Соглашение регулируется законодательством Финляндии.