ПРИЛОЖЕНИЕ ПО ОБРАБОТКЕ ДАННЫХ IVANTIНастоящее Приложение по обработке данных Ivanti («ПОД») является частью Лицензионного соглашения сконечным пользователем и соглашения на обслуживание компании Ivanti («Соглашение»), составлено ивступает в силу с даты подписания последней из сторон («Дата вступления в силу»), указанной ниже, междузаказчиком, указанным ниже или в Соглашении («Контролер»), и соответствующем юридическим лицомIvanti, указанным в настоящем ПОД («Ivanti» или «Обработчик») (по отдельности «Сторона»; вместе«Стороны»). Любые термины, написанные с заглавной буквы, не определенные в настоящем документе,имеют соответствующие значения, данные им в Соглашении.
ПРЕАМБУЛАПРИНИМАЯ ВО ВНИМАНИЕ, что Стороны заключили Соглашение.
ПРИНИМАЯ ВО ВНИМАНИЕ, что в ходе предоставления Услуг Контролеру в соответствии с СоглашениемОбработчик может Обрабатывать Персональные данные от имени Контролера;ПРИНИМАЯ ВО ВНИМАНИЕ, что для обеспечения надлежащих мер безопасности в отношении Обработки
Персональных данных, предоставляемых Контролером Обработчику, Стороны соглашаются соблюдатьследующие положения в отношении любых Персональных данных, каждая из которых действует всоответствии с объективной необходимостью и добросовестно.
ТАКИМ ОБРАЗОМ, принимая во внимание вышеизложенные предпосылки и взаимные обещания исоглашения, изложенные ниже, Контролер и Обработчик настоящим соглашаются о нижеследующем:СОГЛАШЕНИЕ1.

ОПРЕДЕЛЕНИЯВсе термины, написанные с заглавной буквы, не определенные в настоящем документе, имеют значение,указанное в Соглашении.
«Аффилированное лицо» означает любую организацию, которая прямо или косвенно контролирует,контролируется или находится под общим контролем с субъектом. «Контроль» для целей данного
определения означает прямое или косвенное владение или контроль над более чем 50% голосующих акцийсубъекта.
«Применимые законы о защите данных» означает все применимые законы, нормативные акты,нормативные руководства или требования в любой юрисдикции, касающиеся защиты данных,неприкосновенности частной жизни или конфиденциальности Персональных данных, включая, помимопрочего, (а) GDPR вместе с любым транспонирующим, имплементирующим или дополнительнымзаконодательством, а также (b) CCPA.
«Уполномоченное аффилированное лицо» означает любое из аффилированных лиц Контролера, которые(а) подпадают под действие законов и правил о защите данных Европейской экономической зоны и/или еегосударств-членов, Соединенного Королевства и Швейцарии, (b) подпадают под действие законов и правил озащите данных за пределами Европейской экономической зоны и/или ее государств-членов, Швейцарии иСоединенного Королевства (в зависимости от обстоятельств) и (c) разрешили использовать Обработчик дляобработки данных в соответствии с Соглашением.
«CCPA» означает Калифорнийский закон о конфиденциальности потребителей, Гражданский Кодекс
Калифорнии § 1798.100 и последующие, а также правила его реализации.
«Контролер» означает лицо, которое определяет цели и средства Обработки Персональных данных. Воизбежание сомнений, Сторона, указанная выше как «Контролер», является Контролером в рамках настоящегоПОД.
«Утечка данных» означает нарушение безопасности, ведущее к случайному, несанкционированному илинезаконному уничтожению, потере, изменению, раскрытию, доступу или другой обработке Персональныхданных, передаваемых, хранимых или Обрабатываемых иным образом.
«Орган по защите данных» означает любого представителя или агента государственного органа илиагентства, который уполномочен обеспечивать соблюдение Применимых законов о защите данных.
«Субъект данных» означает физическое лицо, к которому относятся Персональные данные.

Версия: 02.24

1ПРИЛОЖЕНИЕ ПО ОБРАБОТКЕ ДАННЫХ IVANTI«GDPR» означает Регламент (ЕС) 2016/679 Европейского парламента и Совета от 27 апреля 2016 года озащите физических лиц в отношении обработки персональных данных и о свободном перемещении такихданных и отменяющий Директиву 95/46/EC (Общий регламент по защите данных).
«Ivanti» означает юридическое лицо, указанное ниже, в том же географическом регионе, что и Заказчик:-Ivanti, Inc., корпорация штата Делавэр, в Северной и Южной Америке, кроме Бразилии.

-Ivanti Comércio de Software Brasil Ltda, бразильская компания в Бразилии.

-Ivanti Software K.K., японская компания в Японии.

-Ivanti Software Technology (Beijing) Co., Ltd., китайская компания в Китае.

-Ivanti International Limited, ирландская компания, для продуктов и услуг под брендами Wavelink иNaurtech в Европе, на Ближнем Востоке, в Африке и Азиатско-Тихоокеанском регионе.

-Ivanti UK Limited, компания с ограниченной ответственностью, зарегистрированная в Англии иУэльсе, во всех других местоположениях.

«Персональные данные» означают любую информацию, которая идентифицирует, относится, описывает,может быть связана или может быть обоснованно связана, прямо или косвенно, с идентифицированным илиидентифицируемым физическим лицом или конкретным домохозяйством. Идентифицируемое физическоелицо — это лицо, которое может быть идентифицировано прямо или косвенно, в частности, посредствомссылки на такой идентификатор, как имя, идентификационный номер, данные о местоположении, онлайнидентификатор или на один или несколько факторов, характерных для физической, физиологической,генетической, умственной, экономической, культурной или социальной идентичности этого физическоголица.
«Обработка» означает любую операцию или набор операций, которые выполняются с Персональнымиданными посредством или в связи с предоставлением Услуг, независимо от того, выполняются ли они спомощью автоматических средств, таких как сбор, запись, организация, хранение, адаптация или изменение,получение, консультация, использование, раскрытие путем передачи, распространения или иного
предоставления, разглашение или комбинирование, блокирование, стирание или уничтожение; и какопределено Применимыми законами о защите данных.
«Обработчик» означает юридическое лицо, которое обрабатывает Персональные данные от имениКонтролера. Во избежание сомнений, Сторона, указанная выше как «Обработчик», является Обработчикомданных ПОД.
«Услуги» означает Обработку Персональных данных Обработчиком в связи и в целях предоставления услуг,которые должны предоставляться Обработчиком в соответствии с Соглашением.
«Поставщик услуг» означает индивидуальное предприятие, товарищество, компанию с ограниченнойответственностью, корпорацию, ассоциацию или другое юридическое лицо, которое организовано илидействует для получения прибыли или финансовой выгоды своих акционеров или других владельцев, которыеобрабатывают информацию от имени Контролера данных и которым Контролер данных раскрываетПерсональные данные Субъекта данных в коммерческих целях в соответствии с письменным договором, приусловии, что договор запрещает Поставщику услуг сохранять, использовать или раскрывать Персональныеданные для любых целей, кроме конкретной цели оказания услуг, указанных в договоре, или иным образом
разрешенным CCPA, включая сохранение, использование или раскрытие Персональных данных вКоммерческих целях, кроме предоставления услуг, указанных в договоре с Контролером данных. Термины«Деловая цель» и «Коммерческая цель» имеют то же значение, что и эти термины, используемые в CCPA. Воизбежание сомнений, Обработчик является Поставщиком услуг.
«Субобработчик» означает любую организацию, которая обрабатывает Персональные данные от имени
Обработчика.
2. ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ2.1. Роли Сторон. Стороны признают и соглашаются с тем, что в отношении Обработки Персональныхданных Контролер — это Контролер, Обработчик — это Обработчик или Поставщик услуг. Предмет,продолжительность, цель Обработки, а также типы Персональных данных и категории Субъектов данных,обрабатываемых в рамках настоящего ПОД, дополнительно указаны в Приложении 1.

Версия: 02.24

2ПРИЛОЖЕНИЕ ПО ОБРАБОТКЕ ДАННЫХ IVANTI
2.2 Обязанности Контролера. Инструкции Контролера по обработке Персональных данных должнысоответствовать Законам и правилам о защите данных. Контролер несет единоличную ответственность заточность, качество и законность Персональных данных, а также за средства, с помощью которых Контролерполучает Персональные данные и предоставляет их Обработчику.
2.3 Обязанности Обработчика. Все Персональные данные, обрабатываемые Обработчиком в соответствии сСоглашением, являются Конфиденциальной информацией, и Обработчик будет обрабатывать Персональныеданные только в соответствии с документированными инструкциями Контроллера, изложенными вПриложении 1, или иным образом предоставленными Контролером в письменной форме. Обработчик небудет продавать Персональные данные, обрабатываемые в соответствии с настоящим ПОД, и не будетхранить, использовать или раскрывать Персональные данные за рамками прямых деловых отношений междуОбработчиком и Контролером. Обработчик должен соблюдать все Применимые законы о защите данных вотношении обработки Персональных данных. Обработчик не будет объединять Персональные данные,предоставленные Контролером, с Персональными данными, которые он получает из других источников. ЕслиОбработчик считает, что выполнение каких-либо инструкций Контролера приведет к нарушению любогоПрименимого законодательства о защите данных, Обработчик должен незамедлительно уведомить об этомКонтролера в письменной форме. Обработчик должен предоставить Контролеру всю информацию,необходимую для демонстрации соблюдения Обработчиком своих обязательств по настоящему ПОД.
2.3.1. Требования по оказанию помощи. Обработчик должен помочь Контролеру: соблюдатьПрименимое законодательство о защите данных; предполагаемые и соответствующие нарушения данных;уведомления или запросы от органа по защите данных; уведомления и запросы от субъектов данных; иобязанность Контролера проводить оценку воздействия на защиту данных и предварительные консультациис Органом по защите данных.
ОБЯЗАТЕЛЬСТВА ПО УВЕДОМЛЕНИЮ3.

3.1 Обязательства Обработчика по уведомлению. Обработчик должен немедленно уведомить Контролерав письменной форме о следующем:3.1.1
Запрос Субъекта данных об осуществлении своих прав на конфиденциальность, таких как доступ,исправление, удаление, транспортировка, возражение или ограничение его Персональных данных;3.1.2

Любой запрос или жалоба, полученные от заказчиков или сотрудников Контролера;3.1.3

Любой вопрос, жалоба, расследование или другой запрос от Органа по защите данных;3.1.4
Любой запрос на раскрытие Персональных данных, который каким-либо образом связан сОбработкой Персональных данных Обработчиком в рамках настоящего ПОД;
3.1.5
также

Утечка данных в соответствии с обязательствами по уведомлению, изложенными в Разделе 7.1; а3.1.6
Когда Персональные данные становятся предметом обыска и изъятия, судебного приказа оналожении ареста, конфискации в ходе процедуры банкротства или несостоятельности или аналогичных
действий или мер со стороны третьих лиц во время их Обработки.
Обработчик будет помогать Контролеру в выполнении обязательств Контролера по ответу на запросы,относящиеся к пунктам (3.1.1) - (3.1.6) выше, и не будет отвечать на такие запросы без предварительного
письменного согласия Контролера, за исключением случаев, когда ответственность от Обработчика требуетсяпо закону.
3.

КОНФИДЕНЦИАЛЬНОСТЬ4.1 Конфиденциальная информация. Вся информация, предоставляемая Обработчику данных всоответствии с Соглашением, является Конфиденциальной информацией.
4.2 Персонал Обработчика. Обработчик должен обеспечить, чтобы его персонал, занимающийся обработкой
Персональных данных, был проинформирован о конфиденциальном характере Персональных данных,прошел соответствующее обучение по своим обязанностям и подписал письменные соглашения оконфиденциальности. Обработчик должен обеспечить, чтобы такие обязательства по конфиденциальностиоставались в силе после прекращения соответствующих трудовых отношений с такими лицами.

Версия: 02.24

3ПРИЛОЖЕНИЕ ПО ОБРАБОТКЕ ДАННЫХ IVANTI
4.3 Ограничение доступа. Обработчик должен обеспечить, чтобы доступ Обработчика к Персональнымданным был ограничен тем персоналом, который оказывает Услуги в соответствии с Соглашением.
5. СУБОБРАБОТЧИКИ5.1 Назначение Субобработчиков. Контролер признает и соглашается с тем, что Обработчик иАффилированные лица Обработчика могут привлекать сторонних Субобработчиков в связи спредоставлением Услуг. Обработчик или Аффилированное лицо обработчика должно заключить письменноесоглашение с каждым Субобработчиком, содержащее обязательства по защите данных, не меньшейэффективности, чем те, которые предусмотрены в настоящем ПОД, в той мере, в какой это применимо кхарактеру Услуг, предоставляемых таким Субобработчиком. Настоящим Контролер уполномочивает
Обработчика задействовать свой текущий список Субобработчиков, указанный на странице
https://www.ivanti.com/company/legal/ivanti-subprocessors, для обработки Персональных данных всоответствии с настоящим ПОД. Контролер не будет напрямую связываться с Субобработчиками
Обработчика по поводу Услуг, если только Обработчик не даст на это согласие по своему собственномуусмотрению.
5.2 Уведомление об изменении Субобработчиков. Обработчик будет информировать Контролера о любыхпредполагаемых изменениях, касающихся добавления или замены Субобработчиков, предоставивКонтроллеру механизм подписки на уведомления о новых Субобработчиках по адресу
https://www.ivanti.com/company/legal/ivanti-subprocessors. Обработчик уведомит Контролера о любыхпредполагаемых изменениях, касающихся добавления или замены Субобработчиков, до использования
Субобработчика.
5.3 Право на возражение в отношении новых Субобработчиков. Контролер может обоснованно возражатьпротив использования Обработчиком нового Субобработчика, незамедлительно уведомив обработчика вписьменной форме в течение пятнадцати (15) рабочих дней после получения уведомления от Обработчика. Вслучае, если Контролер возражает против нового Субобработчика, Обработчик приложит разумные усилия,чтобы сделать доступным для Контролера изменение в Услугах, чтобы избежать Обработки Персональных
данных новым Субобработчиком, против которого возражают. Если Обработчик не может внести такоеизменение, Контролер может расторгнуть применимое Соглашение в отношении тех Услуг, которые не могут
быть предоставлены Обработчиком без использования нового Субобработчика, против которого возражают.
5.4 Ответственность за действия Субобработчиков. Обработчик несет ответственность за действия ибездействие своих Субобработчиков в той же степени, в которой Обработчик несет ответственность, если быон предоставлял услуги каждому Субобработчику непосредственно в соответствии с условиями настоящего
ПОД.
6. БЕЗОПАСНОСТЬ6.1 Защита персональных данных. Обработчик должен поддерживать соответствующие технические иорганизационные меры для защиты безопасности (включая защиту от несанкционированной или незаконной
Обработки и от случайного или незаконного уничтожения, потери, изменения или повреждения,несанкционированного раскрытия или доступа к Персональным данным), конфиденциальности и целостности
Персональных данных.
6.2 Права на аудит. Контролер соглашается, что его право на аудит Обработчика может быть удовлетворено
предоставлением Обработчиком актуальных подтверждений, отчетов или выписок из независимых органов,включая, помимо прочего, внешних или внутренних аудиторов, сотрудника по защите данных Обработчика,отдел ИТ-безопасности, защиту данных или аудиторов качества или другое взаимно согласованное с третьими
сторонами или сертификацию в виде аудита ИТ-безопасности или защиты данных. В той мере, в какой
невозможно выполнить аудиторское обязательство, предусмотренное применимыми законами иположениями о защите данных, посредством таких аттестаций, отчетов или выписок, Контролер илиназначенное им лицо имеет право проводить аудит и инспектировать — за счет Контролера — помещения,политики, процедуры и компьютеризированные системы Обработчика, чтобы убедиться, что Обработчик
соответствует требованиям настоящего ПОД. Контролер или назначенное им лицо уведомит об этом не менеечем за 30 (тридцать) дней до проведения аудита, за исключением случаев, когда такой аудит требуется из-заУтечки данных с участием Обработчика данных. Аудиты, проводимые Контролером или уполномоченнымим лицом, не нарушают обязательства Обработчика в отношении конфиденциальности перед другими
клиентами Обработчика. Все виды аудита будут проводиться в обычное рабочее время в основном офисе

Версия: 02.244

ПРИЛОЖЕНИЕ ПО ОБРАБОТКЕ ДАННЫХ IVANTIОбработчика или в другом месте(ах) Обработчика, где осуществляется доступ, обработка или управление
Персональными данными, и они не будут необоснованно мешать повседневной деятельности Обработчика.
Перед началом любого такого аудита Обработчик и Контролер должны взаимно согласовать сроки, объем ипродолжительность аудита. Контролер может запросить краткий отчет(ы) об аудите или проводить аудитОбработчика не чаще одного раза в год.
7. УТЕЧКА ДАННЫХ7.1 Уведомление об утечке данных. Обработчик должен уведомить Контролера в письменной форме безнеоправданной задержки после того, как ему станет известно о предполагаемой Утечке данных. Ни в коемслучае такое уведомление не должно быть сделано позднее, чем через 72 часа после обнаружения
Обработчиком утечки данных.
7.2 Управление утечкой данных. Обработчик должен приложить разумные усилия для выявления причины
такой Утечки данных и предпринять те шаги, которые Обработчик сочтет необходимыми и разумными дляустранения причины такой Утечки данных в той мере, в какой устранение находится в пределах разумного
контроля Обработчика.
8. ПРЕКРАЩЕНИЕ
8.1 Прекращение. Действие настоящего ПОД прекращается автоматически в случае (а) расторжения илиистечения срока действия Соглашения или (b) удаления или возврата Обработчиком Персональных данных взависимости от того, что произойдет позже. Кроме того, Контролер имеет право прекратить действиенастоящего ПОД по причине, если Обработчик, по единоличному мнению Контролера, совершаетсущественное или постоянное нарушение настоящего ПОД, которое, в случае нарушения, поддающегосяустранению, не должно быть устранено в течение десяти (10) дней с даты получения Обработчиком
уведомления от Контролера, в котором указывается нарушение и запрашивается его устранение.
8.2 Возврат или удаление данных. После прекращения действия настоящего ПОД Обработчик удалит иливернет все существующие копии Персональных данных, если применимое законодательство не требуетдальнейшего хранения Персональных данных. По запросу Контролера Обработчик должен подтвердить
соблюдение таких обязательств в письменной форме и удалить все существующие копии. В случаях, когдаместное законодательство требует, чтобы Обработчик сохранял Персональные данные, Обработчик будет
защищать конфиденциальность, целостность и доступность Персональных данных; не будет активно
обрабатывать Персональные данные; и будет продолжать соблюдать условия настоящего ПОД.
9. МЕХАНИЗМЫ МЕЖДУНАРОДНЫХ ПЕРЕДАЧ9.1 Передача за пределы ЕС/Великобритании/Швейцарии в страну, имеющую решение одостаточности. Обработчик должен полагаться на решение о достаточности передачи Персональных данных,если такое решение о достаточности было предоставлено в соответствии с применимыми законами о защите
данных. Во избежание сомнений, если Обработчик сертифицирован в соответствии с Рамочной программойконфиденциальности данных, утвержденной Исполнительным решением Комиссии от 10 июля 2023 года обадекватном уровне защиты персональных данных в соответствии с Рамочной программойконфиденциальности данных ЕС-США (РПКД), РПКД должна применять и заменять применимые механизмыпередачи, изложенные в разделе 9.2 настоящего DPA, в качестве действующего механизма передачиПерсональных данных, передаваемых в Соединенные Штаты Америки.
9.2 Переводы за пределы ЕС/Великобритании/Швейцарии в страну, не имеющую решения одостаточности. В ходе предоставления Услуг в рамках DPA Контролеру может потребоваться передатьПерсональные данные из Европейского Союза, Европейской экономической зоны и/или их государствчленов, Швейцарии или Великобритании Обработчику в стране, не имеющей решения об адекватности илине расположенной в Европейской экономической зоне.
9.2.1. В отношении Персональных данных, подпадающих под действие GDPR (i) Обработчик будет считаться«импортером данных», а Контролер — «экспортером данных»; (ii) условия Модуля 2 применяются, еслиКонтроллер является Контроллером данных, а Обработчик является Обработчиком данных; (iii) в Пункте 7необязательная стыковочная оговорка должна быть удалена; (iv) в Пункте 9 Модуля 2 применяется Вариант2, а список Субобработчиков и период времени для уведомления об изменениях должен быть согласован вРазделе 5 настоящего ПОД; (v) в Пункте 11 факультативная формулировка должна быть удалена; (vi) в Пункте17 применяется Вариант 1, а Стандартные договорные положения регулируются государством-членом, вкотором находится Контролер; (vii) в Пункте 18(b) споры должны разрешаться в судах государства-члена, гдеВерсия: 02.24

5ПРИЛОЖЕНИЕ ПО ОБРАБОТКЕ ДАННЫХ IVANTIпроживает Контролер; (viii) Приложение I и Приложение II считаются дополненными информацией,изложенной в Приложении 1 настоящего ПОД соответственно; и (ix) если Стандартные пункты договорапротиворечат любому положению Соглашения (включая настоящее ПОД), Стандартные пункты договораимеют преимущественную силу в пределах такого конфликта. Для этого раздела Стандартные договорныеположения из Исполнительного решения Комиссии (ЕС) 2021/914 включены посредством ссылки и доступны
здесь:
https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/standardcontractual-clauses-scc/standard-contractual-clauses-international-transfers_en.
9.2.2. В отношении Персональных данных, на которые распространяется действие Законов Великобританиио защите данных, применяется Международное соглашение о передаче данных («IDTA») со следующими
изменениями: (i) контактная информация о сторонах Соглашения является контактной информацией дляIDTA; (ii) Контроллер является экспортером данных, а Обработчик — импортером данных; (iii) законы,регулирующие IDTA, и место, где могут быть поданы судебные иски, — это Англия и Уэльс; (iv) GDPR
Великобритании не применяется к обработке переданных данных импортером; (v) Стороны не используютдополнительные положения о безопасности или коммерческих положениях IDTA; и (vi) информацию в этомПДО и Приложении 1 можно использовать для Таблиц 1-4. Для этого раздела Стандартные договорныеположения Управления Комиссара по информации включены посредством ссылки и доступны здесь:https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulationgdpr/international-data-transfer-agreement-and-guidance/.
9.2.3. В отношении Персональных данных, на которые распространяется действие Швейцарского ПДО,применяются Стандартные договорные положения, указанные в Разделе 9.1.1, со следующими изменениями(i) ссылки на «Регламент (ЕС) 2016/679» должны интерпретироваться как ссылки на швейцарский ПДО; (ii)ссылки на «ЕС», «Союз» и «законодательство государства-члена» должны толковаться как ссылки нашвейцарское законодательство; и (iii) ссылки на «компетентный надзорный орган» и «компетентные суды»должны быть заменены на «Федеральный комиссар Швейцарии по защите данных и информации» и«соответствующие суды в Швейцарии».
9.3. Альтернативные механизмы передачи данных. Стороны признают, что законы, правила и положения,касающиеся международной передачи данных, быстро развиваются. Если Контролер примет другоймеханизм, разрешенный применимыми законами, правилами или положениями для передачи Персональных
данных (каждый из которых именуется «Альтернативный механизм передачи данных»), Сторонысоглашаются добросовестно работать вместе над внедрением любых поправок к этому DPA, необходимыхдля реализации альтернативного механизма передачи данных.
10. ПРОЧИЕ ПОЛОЖЕНИЯ10.1. Поправки. Настоящий ПОД не может быть изменен или дополнен, и ни одно из его положений не можетсчитаться отмененным или иным образом измененным, кроме как в письменной форме, должным образомоформленной уполномоченными представителями обеих сторон.
10.2 Применимое право. Настоящий ПОД регулируется применимым законодательством, изложенным вСоглашении.
В ПОДТВЕРЖДЕНИЕ ВЫШЕИЗЛОЖЕННОГО стороны данного Соглашения подписали настоящееСоглашение с даты вступления в силу.
КОНТРОЛЛЕР:IVANTIПодпись:Подпись:

Имя:

Имя:

Должность:Должность:Версия: 02.24

6ПРИЛОЖЕНИЕ ПО ОБРАБОТКЕ ДАННЫХ IVANTI
Дата:

Дата:

Список приложений:Приложение 1: Описание обработки

Версия: 02.24

7

ПРИЛОЖЕНИЕ ПО ОБРАБОТКЕ ДАННЫХ IVANTIПРИЛОЖЕНИЕ 1Описание обработкиКонтактные данные компании Ivanti:Ivanti
10377 South Jordan Gateway
Suite 110
South Jordan, Utah 84095
Контактные данные должностного лица по защите данных: privacy@ivanti.com
ПредметПредмет Обработки:Предоставление лицензий на ИТ-программное обеспечение, услуги поддержки и внедрение, будь толокальное или размещенное решение SaaS, в отношении администрирования и упрощения основных бизнеспроцессов в области (областях) унифицированного управления конечными точками, управления ИТуслугами, управления ИТ-активами, безопасности, отчетности и аналитики, а также цепочки поставок.
ИТ-услуги включают использование программного обеспечения в виде локальной установки или решенияSaaS, включая установку модулей (включая, помимо прочего, модули управления неисправностями,изменениями, активами, конфигурацией и выпусками); каталоги самообслуживания и услуг; поддержка иобслуживание, включая, помимо прочего, удаленный доступ; исправления, управление приложениями,безопасность конечных точек/мобильных устройств и управление привилегиями.
Частота Обработки:Непрерывная.
Продолжительность
Продолжительность Обработки:Как указано в Соглашении.
Объем, тип и цель Обработки
Объем, тип и цель Обработки следующие:Как указано в Соглашении.
Субъекты данныхОбработка Персональных данных может относиться к следующим категориям Субъектов данных:Клиенты, перспективные клиенты; сотрудники; поставщики; торговые представители; контактные лица;подрядчики (включая временных работников); волонтер; временные и эпизодические работники;фрилансеры, агенты, консультанты и другие профессиональные респонденты, а также их соответствующиеиждивенцы, бенефициары и контактные лица при чрезвычайных ситуациях; перспективные сотрудники ивременный персонал заказчиков; лица, подающие претензию, корреспонденты и лица, выполняющие запрос;советники, консультанты и другие профессиональные эксперты; сотрудники или контактные лицапотенциальных клиентов, клиентов, деловых партнеров и поставщиков экспортера данных; деловые партнерыи поставщики экспортера данных (физические лица); и пользователи экспортера данных, уполномоченныеэкспортером данных на использование программного обеспечения и сопутствующих услуг.
Категории данныхОбрабатываемые персональные данные могут относиться к следующим категориям данных:Данные Клиента, загружаемые в Службы в рамках служб и учетных записей Клиента.

Версия: 02.24

8ПРИЛОЖЕНИЕ ПО ОБРАБОТКЕ ДАННЫХ IVANTIОрганизационно-технические мероприятияНиже описаны организационно-технические мероприятия по безопасности, реализованные Обработчиком:Обучение мерам и правилам безопасностиОбработчик проходит обучение по вопросам безопасности, которое включает обязательное обучение повопросам безопасности при обработке и защите конфиденциальной и частной информации, такой какинформация, позволяющая установить личность, информация о финансовом счете и информация о состоянииздоровья, в соответствии с применимым законодательством, а также периодические информационные
сообщения и курсы по безопасности, ориентированные на осведомленность конечных пользователей.
Политики и процедуры в сфере безопасности
Обработчик имеет политики информационной безопасности, использования и управления, которые
определяют действия сотрудников и подрядчиков в отношении надлежащего использования, доступа ихранения конфиденциальной и частной информации; ограничивают доступ к конфиденциальной и частной
информации сотрудникам Обработчика, которым «необходимо знать» такую информацию; предотвращают
доступ уволенных сотрудников к информации Обработчика после увольнения; и применяют дисциплинарные
меры за несоблюдение такой политики. Системный доступ к ресурсам Обработчика запрещен, если только непроведена специальная оценка и не предоставлен доступ. Обработчик проводит проверку биографических
данных своих сотрудников при приеме на работу в установленных законом пределах.
Физический контроль доступа и контроль доступа окружающей среды
Обработчик ограничивает физический доступ к своим информационным системам и объектам с помощью
средств физического контроля (например, доступа с кодовым пропуском), которые обеспечивают
достаточную уверенность в том, что доступ к его центрам обработки данных разрешен толькоуполномоченным лицам, и использует камеры или системы видеонаблюдения в критически важных
внутренних и внешних точках входа. Обработчик применяет контроль температуры и влажности воздуха всвоих центрах обработки данных и защищает от потерь из-за сбоя питания.
Логический контроль доступа
Обработчик использует технологию регистрации и мониторинга для обнаружения и предотвращения попыток
несанкционированного доступа к своим сетям и производственным системам. Мониторинг Обработчика
включает обзор изменений, влияющих на аутентификацию, авторизацию и аудит систем; привилегированный
доступ к производственным системам Обработчика.
Контроль шифрованияОбработчик применяет соответствующие средства контроля шифрованием в своих продуктах. Обработчик
оценивает и применяет шифрование при передаче и хранении, используя передовые отраслевые методы дляшифрования. Для управления жизненным циклом ключей шифрования, включая генерацию, хранение,управление доступом и ротацию, используются передовые методы.
Контроль уязвимостей
Обработчик регулярно выполняет сканирование уязвимостей и устраняет обнаруженные уязвимости всоответствии с их риском. Продукты Обработчика также подлежат периодической оценке уязвимости итестированию на проникновение.
Аварийное восстановление и резервное копированиеОбработчик выполняет периодическое резервное копирование производственных файловых систем и базданных в соответствии с установленным графиком и поддерживает формальный план аварийного
восстановления для производственного облачного центра обработки данных, включая регулярноетестирование.
План реагирования на кибер-инциденты
Обработчик применяет план реагирования на инциденты для управления и сведения к минимуму последствий
незапланированных киберсобытий, который включает процедуры, которым необходимо следовать в случае
фактического или потенциального нарушения безопасности, в том числе: внутренняя группа реагирования наинциденты с руководителем по реагированию; группа по расследованию, проводящая анализ основных

Версия: 02.24

9ПРИЛОЖЕНИЕ ПО ОБРАБОТКЕ ДАННЫХ IVANTIпричин и идентифицирующая затронутые стороны; процессы внутренней отчетности и уведомления;документирование ответных действий и планов исправления; и обзор событий после инцидента.
Безопасность хранения и передачи
Обработчик применяет технические меры безопасности для защиты от несанкционированного доступа кданным Обработчика, которые передаются по общедоступной сети электронных коммуникаций или хранятсяв электронном виде.
Безопасная утилизацияОбработчик применяет политики и процедуры в отношении утилизации материального и нематериальногоимущества, содержащего данные Обработчика, таким образом, чтобы данные Обработчика невозможно былопрочитать или восстановить на практике.
Идентификация и оценка рисковОбработчик использует программу оценки рисков, чтобы помочь обоснованно определить предсказуемые
внутренние и внешние риски для информационных ресурсов Обработчика и определить, адекватны лисуществующие средства контроля, политики и процедуры для устранения выявленных рисков.
Разработчики и поставщики услуг
Сторонние поставщики услуг или разработчики (совместно именуемые «Поставщики»), имеющие доступ кконфиденциальной
информации Обработчика, подлежат оценке рисковдля определенияконфиденциальности передаваемой информации Обработчика. Ожидается, что поставщики будут соблюдатьвсе соответствующие условия контракта, касающиеся безопасности данных Обработчика, а также любые
применимые политики или процедуры Обработчика. Периодически Обработчик может просить Поставщика
повторно провести оценку его состояние безопасности, чтобы обеспечить соответствие требованиям.

Версия: 02.2410