# Дополнение durin об обработке данных

Версия: [Номер версии DPA и дата вступления в силу подлежат подтверждению юристом до публикации]

Опубликовано по адресу https://getdurin.com/privacy/dpa. Перечень субобработчиков: https://getdurin.com/privacy/subprocessors.

> Чтобы заключить этот DPA, заполните сведения о Клиенте в блоке подписи, подпишите документ и отправьте подписанную копию на privacy@getdurin.com. Marathon подпишет документ со своей стороны и вернёт заключённый DPA.

Настоящее Дополнительное соглашение об обработке данных («DPA») заключено между Marathon Digital Pte Ltd., сингапурской компанией (UEN 202023814G), которая управляет durin («Marathon»), и клиентом, указанным в блоке подписи («Клиент»). Оно дополняет соглашение, по которому Marathon предоставляет Клиенту durin.

## 1. Определения и толкование

**1.1** «Соглашение» означает соглашение, в соответствии с которым Marathon предоставляет durin Клиенту, включая любую форму заказа или корпоративное соглашение, а в случае отсутствия подписанного соглашения — общедоступные Условия по адресу https://getdurin.com/terms..

**1.2** «Применимый закон о защите данных» означает законы о защите данных, которые применяются к обработке Персональных данных Клиента в соответствии с Соглашением, включая, где это применимо, Закон Сингапура о защите личных данных 2012 года и его положения («PDPA»), Регламент (ЕС) 2016/679 («EU GDPR») и ЕС GDPR, поскольку он является частью законодательства Соединенного Королевства. («UK GDPR») вместе с Законом о защите данных 2018 года. [Охват других законов о защите данных, таких как Федеральный закон Швейцарии о защите данных, должен быть подтвержден адвокатом перед публикацией]

**1.3** «Личные данные клиента» означают персональные данные, которые Marathon обрабатывает от имени Клиента для предоставления durin в соответствии с Соглашением, как описано в Приложении 1. Они исключают персональные данные, которые Marathon обрабатывает для своих собственных целей в качестве контролера или организации, как описано в уведомлении о конфиденциальности по адресу https://getdurin.com/privacy..

**1.4** «Ограниченная передача» означает передачу Персональных данных Клиента, которая регулируется разделом 26 PDPA, Главой V GDPR ЕС или Главой V GDPR Великобритании.

**1.5** «Инцидент безопасности» означает нарушение персональных данных в соответствии с GDPR ЕС или GDPR в Великобритании или нарушение данных в соответствии с PDPA, затрагивающее Персональные данные Клиента, находящиеся во владении или под контролем Marathon или его субобработчиков.

**1.6** «Субобработчик» означает третью сторону, которую Marathon привлекает для обработки Персональных данных клиента от ее имени при предоставлении durin. Выбранные клиентом услуги, описанные в пункте 7.6, не являются субобработчиками.

**1.7** «EU SCCs» означает стандартные договорные положения, прилагаемые к Исполнительному решению Комиссии (ЕС) 2021/914 от 4 июня 2021 года. «UK Addendum» означает Дополнение о международной передаче данных к Стандартным договорным условиям Комиссии ЕС, изданное Комиссаром по информации Великобритании в соответствии с разделом 119A(1) Закона о защите данных 2018 года, версия B1.0, с поправками или заменами.

**1.8** «Контроллер», «процессор», «субъект данных», «утечка персональных данных» и «обработка» имеют значения, указанные в GDPR ЕС или GDPR Великобритании, а «организация», «посредник данных», «персональные данные» и «утечка данных» имеют значения, указанные в PDPA, в каждом случае применительно к соответствующей обработке. «Включая» означает включение без ограничений.

## 2. Объем и роли

**2.1** Настоящее Соглашение является частью Соглашения и применяется к обработке Персональных данных Клиента. Оно вступает в силу после его подписания обеими сторонами и действует до тех пор, пока Marathon обрабатывает Персональные данные Клиента, в том числе после прекращения действия Соглашения до завершения пункта 11.

**2.2** Клиент является контролером Персональных данных Клиента под номером GDPR в ЕС или GDPR в Великобритании, а также организацией под номером PDPA или обрабатывает их от имени другого контролера. Marathon является процессором Клиента и, согласно PDPA, его посредником в передаче данных. Если Клиент выступает в качестве обработчика, Клиент подтверждает, что его инструкции и назначение Marathon утверждены соответствующим контролером.

**2.3** Приложение 1 описывает предмет, характер, цель и продолжительность обработки, типы Персональных данных клиента и категории субъектов данных.

**2.4** Marathon обрабатывает персональные данные для своих собственных целей, таких как администрирование учетной записи, выставление счетов, поддержка, безопасность, предотвращение мошенничества, анализ продуктов и соблюдение законодательства, в качестве контролера или организации в соответствии с ее уведомлением о конфиденциальности. Эта обработка находится за пределами этого DPA. [Объем независимой обработки служебных данных Marathon должен быть подтвержден адвокатом перед публикацией]

## 3. Инструкции

**3.1** Marathon обрабатывает Персональные данные Клиента только по документально оформленным инструкциям Клиента, в том числе в отношении Ограниченной передачи, если применимое законодательство не требует иного. В этом случае Marathon проинформирует Клиента о требовании законодательства перед обработкой, если этот закон не запрещает это по важным основаниям, представляющим общественный интерес.

**3.2** Документированные инструкции Клиента — это настоящий DPA и Соглашение; Конфигурация и использование клиентом durin, включая его участников, роли, клиентов-агентов, подключения, политики, настройки утверждения, режим захвата разговоров и период хранения, каналы уведомлений и места назначения экспорта; и любые дальнейшие письменные инструкции, согласованные сторонами.

**3.3** Marathon немедленно проинформирует Клиента, если, по его мнению, инструкция нарушает Применимое законодательство о защите данных. Это не обязывает Marathon предоставлять юридическую консультацию Клиенту.

## 4. Обязанности клиента

**4.1** Клиент несет ответственность за законность своих инструкций и Персональных данных Клиента, которые он заставляет durin обрабатывать, включая предоставление любых необходимых уведомлений, получение любых необходимых согласий, а также наличие законных оснований или применимых исключений для такой обработки.

**4.2** Клиент решает, какие системы, агенты-клиенты и поставщики моделей его пользователи подключают к durin. Элементы управления durin применяются к запросам, маршрутизируемым через durin. Клиент-агент может отправлять возвращенные результаты инструмента своему поставщику модели, условия которого применяются отдельно.

**4.3** durin не предназначен для применения дополнительных мер защиты к особым категориям персональных данных или другим конфиденциальным персональным данным. Клиент решает, следует ли направлять такие данные через durin, и соответствующим образом настраивает свои соединения, политики и запись разговоров. [Любые ограничения на специальную категорию или другие конфиденциальные данные должны быть подтверждены адвокатом перед публикацией]

**4.4** Клиент несет ответственность за безопасность своих учетных записей, учетных данных, клиентов агентов, устройств и подключенных систем, а также за настройку элементов управления durin, таких как политики, требования утверждения и настройки поставщика удостоверений, в соответствии со своим риском.

## 5. Конфиденциальность

**5.1** Компания Marathon гарантирует, что лица, которым она разрешает обрабатывать Персональные данные клиента, несут соответствующие обязательства конфиденциальности и получают доступ к Персональным данным клиента только в случае необходимости для предоставления, поддержки или защиты durin или для соблюдения закона.

## 6. Безопасность

**6.1** Marathon реализует технические и организационные меры, указанные в Приложении 2, принимая во внимание современное состояние, затраты на внедрение, характер, объем, контекст и цели обработки, а также риски для отдельных лиц. Marathon принимает разумные меры безопасности для защиты Персональных данных Клиента, находящихся в его владении или под его контролем, как того требует PDPA от посредника данных.

**6.2** Marathon может обновить меры, указанные в Приложении 2, как durin и угрозы для них измениться, при условии, что обновление существенно не снижает общую защиту Персональных данных Клиента.

**6.3** В Приложении 2 описаны реализованные меры контроля и обязательства руководства. Marathon не имеет аттестации SOC 2, сертификации ISO/IEC 27001 или результатов независимого теста на проникновение и не представляет меры, указанные в Приложении 2, как сертифицированные или независимо подтвержденные.

## 7. Подпроцессоры

**7.1** Клиент дает Marathon общее письменное разрешение на привлечение субобработчиков. В Приложении 3 перечислены субобработчики на дату настоящего DPA. Текущее расписание субпроцессора опубликовано по адресу https://getdurin.com/subprocessors..

**7.2** Marathon уведомит Клиента о любом планируемом добавлении или замене Субобработчика по крайней мере [срок уведомления субобработчика должен быть подтвержден юристом перед публикацией] до того, как новый Субобработчик обработает Персональные данные Клиента, по электронной почте контактному лицу по вопросам конфиденциальности в блоке подписей и обновив график субобработчика.

**7.3** Клиент может возразить против изменения по разумным причинам защиты данных, отправив электронное письмо privacy@getdurin.com в течение срока уведомления. Стороны добросовестно обсудят возражение. Если они не могут решить проблему, Клиент может расторгнуть затронутую часть Соглашения, направив письменное уведомление до того, как изменение вступит в силу. [Средства правовой защиты в случае неразрешенного возражения, включая возврат предоплаченных гонораров, должны быть подтверждены адвокатом перед публикацией]

**7.4** Marathon заключает с каждым Субобработчиком письменный договор, который налагает обязательства по защите данных, не менее защитные, чем настоящий DPA, в той степени, в которой это применимо к услугам, предоставляемым Субобработчиком. Marathon продолжает нести ответственность перед Клиентом за выполнение обязательств своих Субобработчиков, как того требует Применимое законодательство о защите данных.

**7.5** По запросу Marathon предоставит информацию об условиях защиты данных, применимых к Субобработчику. Marathon может скрывать конфиденциальную коммерческую информацию.

**7.6** Услуги, которые Клиент выбирает или подключает, не являются Субобработчиками. К ним относятся системы, которые Клиент подключается к durin, рабочее пространство Slack Клиента и другие каналы уведомлений, места назначения экспорта, такие как Langfuse, учетная запись Vanta, которую Клиент подключается для получения доказательств управления, TypeSafe AI, используемый с собственным ключом API Клиента, а также клиенты-агенты и поставщики их моделей. Marathon передает им Персональные данные Клиента по инструкциям Клиента, и их обработка регулируется их собственными условиями.

## 8. Трансграничная передача данных

**8.1** Marathon основан в Сингапуре. Marathon и его Субобработчики могут обрабатывать Персональные данные Клиента в Сингапуре, а также в странах и территориях, перечисленных для каждого Субобработчика в Приложении 3. Marathon не берет на себя обязательств по обработке Персональных данных Клиента в определенном регионе, если только Соглашение прямо не включает обязательство по месту жительства.

**8.2** Если Marathon или Субобработчик передает Персональные данные Клиента, на которые распространяется действие PDPA, в страну или территорию за пределами Сингапура, Marathon обеспечит, чтобы получатель был связан юридически имеющими юридическую силу обязательствами, как того требуют Положения о защите персональных данных 2021 года, по обеспечению передаваемых персональных данных стандартом защиты, по крайней мере сопоставимым с защитой в соответствии с PDPA. Если эти обязательства являются договорными, в договоре указываются страны и территории, на которые могут быть переданы персональные данные. Marathon предоставит Клиенту информацию, необходимую ему для выполнения своих обязательств в соответствии с разделом 26 PDPA. [Договорной инструмент для передачи PDPA, такой как Типовые договорные положения АСЕАН, должен быть подтвержден юристом перед публикацией]

**8.3** Если передача Клиентом Персональных данных Клиента компании Marathon является ограниченной передачей в соответствии с Главой V GDPR ЕС, которая не подпадает под действие решения об адекватности или другого механизма передачи, EU SCCs включается в настоящее DPA следующим образом: Второй модуль применяется, когда Клиент является контролером, а Модуль третий применяется, когда Клиент является обработчиком, где Клиент выступает в качестве экспортера данных, а Marathon — в качестве импортера данных; для пункта 9 применяется вариант 2 со сроком уведомления, указанным в пункте 7.2; необязательная формулировка пункта 11 не применяется; Приложения I и II EU SCCs дополняются Приложением 1 и Приложением 2 настоящего DPA; и субобработчики, уполномоченные в соответствии с пунктом 9, перечислены в Приложении 3, обновленном в соответствии с пунктом 7. [Выборы для пунктов 7, 13, 17 и 18 EU SCCs и механизм передачи импортеру, обработка которого подпадает под действие ЕС GDPR в соответствии со статьей 3(2), должны быть подтверждены юристом перед публикацией]

**8.4** Если передача является ограниченной передачей в соответствии с главой V Великобритании GDPR, которая не подпадает под действие правил, утверждающих передачу в соответствии со статьей 45A Великобритании GDPR или другим механизмом передачи, применяется EU SCCs с поправками, внесенными UK Addendum, а Таблицы 1–3 UK Addendum дополняются информацией, указанной в настоящий DPA и приложения к нему. EU SCCs не используется для передач без UK Addendum. [Выбор таблицы 4 и любое использование Международного соглашения о передаче данных Великобритании вместо UK Addendum должны быть подтверждены юристом перед публикацией]

**8.5** Прежде чем Субобработчик обработает Персональные данные Клиента способом, который является ограниченной передачей, Marathon внедрит механизм передачи, признанный в соответствии с применимым законодательством, такой как Третий модуль EU SCCs с UK Addendum, где это необходимо, решение об адекватности или другую признанную структуру или, в случае PDPA, юридически обеспеченные обязательства, а также любые дополнительные меры, которых требует закон. В Приложении 3 указан механизм, используемый для каждого субпроцессора.

**8.6** Если это не запрещено законом, Marathon уведомит Клиента, если он получит юридически обязательный запрос от государственного органа о раскрытии Персональных данных Клиента, оценит законность запроса и раскроет только тот минимум Персональных данных Клиента, который требуется для запроса. Marathon предоставит Клиенту разумную информацию для обоснования своей оценки законов и практик, применимых к Ограниченной передаче.

**8.7** Если настоящий DPA или Соглашение противоречат EU SCCs или UK Addendum, EU SCCs или UK Addendum имеют преимущественную силу в пределах конфликта.

## 9. Инциденты безопасности

**9.1** Если Marathon выступает в качестве обработчика Клиента в рамках ЕС GDPR или Великобритании GDPR, Marathon уведомит Клиента без неоправданной задержки после того, как ему станет известно о Нарушении безопасности. Если Marathon выступает в качестве посредника данных Клиента в соответствии с PDPA, Marathon уведомит Клиента без неоправданной задержки, как только у него появятся основания полагать, что произошла утечка данных, затрагивающая Персональные данные Клиента.

**9.2** Любой предусмотренный договором срок уведомления [период уведомления клиента должен быть подтвержден юристом перед публикацией] не откладывает ни одно из обязательств, предусмотренных в пункте 9.1. [Соответствие уведомлению о конфиденциальности, определению осведомленности и содержанию уведомления, которое должно быть подтверждено адвокатом перед публикацией]

**9.3** В уведомлении будет описан, насколько это известно на тот момент, характер Инцидента безопасности, включая категории и приблизительное количество соответствующих субъектов данных и записей; его вероятные последствия; меры, принятые или предлагаемые для решения этой проблемы и смягчения ее последствий; и контакт для получения дополнительной информации. Marathon может предоставлять эту информацию поэтапно по мере ее поступления.

**9.4** Marathon предпримет разумные шаги для сдерживания, расследования и устранения Инцидента безопасности, а также предоставит Клиенту разумную помощь для выполнения своих обязательств по уведомлению надзорных органов, Комиссии по защите персональных данных и затронутых лиц. Клиент решает, отправлять ли эти уведомления. Marathon не будет уведомлять надзорный орган Клиента или затронутых лиц о Инциденте безопасности без согласия Клиента, если этого не требует закон.

**9.5** Неудачные попытки и действия, которые не ставят под угрозу безопасность Персональных данных Клиента, такие как пинги, сканирование портов, отказ в запросах и неудачные попытки входа в систему, не являются нарушениями безопасности. Уведомление о происшествии безопасности не является признанием вины или ответственности.

## 10. Содействие

**10.1** Если Marathon получит запрос от субъекта данных о Персональных данных Клиента и сможет определить, что он относится к Клиенту, Marathon перешлет его Клиенту без неоправданной задержки. Marathon не будет отвечать на запрос, кроме как перенаправить субъект данных Клиенту, если иное не предусмотрено законом.

**10.2** Принимая во внимание характер обработки, Marathon будет помогать Клиенту с помощью соответствующих технических и организационных мер, насколько это возможно, для ответа на запросы на реализацию прав субъекта данных в соответствии с Применимым законодательством о защите данных, включая запросы на доступ и исправление в соответствии с PDPA. Функции администрирования durin, такие как удаление участников и экспорт записей аудита, поддерживают эти ответы.

**10.3** Принимая во внимание характер обработки и доступную ему информацию, Marathon предоставит Клиенту разумную помощь с оценкой воздействия на защиту данных, предварительными консультациями с надзорными органами, а также обязательствами Клиента по безопасности и уведомлению о нарушениях. [Распределение затрат на помощь, выходящую за рамки функций самообслуживания durin, должно быть подтверждено адвокатом перед публикацией]

## 11. Удаление и возврат

**11.1** В течение срока действия Соглашения Клиент устанавливает период хранения для дополнительной записи разговоров: 7, 90 или 180 дней или 360 дней в версии Enterprise. Записи с истекшим сроком действия становятся нечитаемыми, и плановая очистка удаляет их. Другие Персональные данные Клиента сохраняются, как описано в Приложении 1, и по мере необходимости для предоставления durin в соответствии с инструкциями Клиента.

**11.2** По истечении срока действия Соглашения Marathon удалит Персональные данные Клиента в течение [срок удаления и возврата, который должен быть подтвержден юристом перед публикацией] или, если Клиент примет письменное решение до этого момента, вернет их, а затем удалит оставшиеся копии, если действующее законодательство не требует от Marathon их сохранения. До истечения срока действия Соглашения Клиент может экспортировать записи аудита с помощью функций экспорта durin.

**11.3** Персональные данные клиента в резервных копиях удаляются по мере истечения срока действия этих резервных копий в течение [срок действия резервной копии должен быть подтвержден юристом перед публикацией]. До тех пор Marathon сохраняет их под защитой этого DPA и не обрабатывает их активно.

**11.4** Персональные данные клиентов, которые Marathon должен хранить по закону, остаются защищенными в соответствии с настоящим DPA и обрабатываются только для целей, предусмотренных законом. По письменному запросу Клиента Marathon письменно подтвердит удаление, произведенное в соответствии с настоящим пунктом.

## 12. Информация и аудит

**12.1** Marathon предоставит Клиенту информацию, разумно необходимую для демонстрации соответствия настоящему DPA, а также статье 28 GDPR ЕС и GDPR Великобритании, включая проверку безопасности durin по адресу https://getdurin.com/trust/review.md и письменные ответы на разумные анкеты Клиента по безопасности и конфиденциальности.

**12.2** Marathon не проводит сторонние сертификации или аттестации, которые могли бы заменить аудит. Если информация, указанная в пункте 12.1, не демонстрирует разумного соответствия требованиям или этого требует надзорный орган, Клиент или независимый аудитор, обязанный соблюдать конфиденциальность и не являющийся конкурентом Marathon, может проверить соблюдение Marathon настоящего DPA, направив предварительное письменное уведомление в разумные сроки. Аудит проводится в рабочее время, ограничивается обработкой Персональных данных клиента и не должен требовать доступа к данным других клиентов или ставить под угрозу безопасность durin. [Период уведомления о проверке, частота, формат и распределение затрат должны быть подтверждены адвокатом перед публикацией]

**12.3** Аудит в соответствии с пунктом 8.9 EU SCCs проводится в соответствии с настоящим пунктом в той степени, в которой это соответствует EU SCCs.

## 13. Ответственность

**13.1** Ответственность каждой стороны, вытекающая из настоящего DPA или в связи с ним, подпадает под ограничения и исключения ответственности, предусмотренные Соглашением, за исключением случаев, когда Применимое законодательство о защите данных, EU SCCs или UK Addendum не допускает такого ограничения, в том числе в отношении ответственности перед субъектами данных. [Предел ответственности и любые исключения в отношении претензий о защите данных должны быть подтверждены адвокатом перед публикацией]

## 14. Общие положения

**14.1** Для обработки Персональных данных Клиента применяется следующий порядок приоритета: EU SCCs и UK Addendum, если они применимы; тогда это ДПА; затем остальная часть Соглашения. [Полный порядок приоритета между формой заказа, DPA, условиями и политиками должен быть подтвержден юристом перед публикацией]

**14.2** Настоящее DPA регулируется законодательством Республики Сингапур, и суды Сингапура обладают исключительной юрисдикцией в отношении споров, возникающих из него или в связи с ним, за исключением случаев, когда EU SCCs или UK Addendum требуют другого регулирующего закона или суда для споров в рамках них.

**14.3** Если применимый закон о защите данных изменится или механизм передачи, указанный в пункте 8, будет изменен, заменен или признан недействительным, стороны будут добросовестно обсуждать любые изменения в этом DPA, необходимые для сохранения законности обработки.

**14.4** Если какое-либо положение настоящего DPA является недействительным или не имеющим исковой силы, остальная часть настоящего DPA остается в силе.

**14.5** Уведомления Marathon в соответствии с настоящим DPA отправляются по адресу privacy@getdurin.com. Общая и коммерческая корреспонденция направляется на адрес contact@getdurin.com. Уведомления Клиенту отправляются контактному лицу по вопросам конфиденциальности, указанному в блоке подписи.

## Приложение 1: Описание обработки

Настоящее Приложение описывает обработку Персональных данных Клиента и дополняет Приложение I к EU SCCs там, где оно применимо.

**Экспортер данных.** Клиент, указанный в блоке подписи. Роль: контроллер или процессор от имени своего контроллера. Контакт: контакт конфиденциальности в блоке подписи. Действия: использование durin для управления доступом агентов к системам, к которым подключается Заказчик.

**Импортер данных.** Marathon Digital Pte Ltd., сингапурская компания (UEN 202023814G), оператор durin. Роль: процессор и, согласно PDPA, посредник данных. Контакт: privacy@getdurin.com. Адрес: [зарегистрированный адрес должен быть подтвержден адвокатом перед публикацией]. Деятельность: предоставление durin Заказчику по Договору.

**Категории субъектов данных.** Члены, администраторы и утверждающие лица Заказчика; люди, чьи личные данные появляются в контенте, который пользователи или агенты Клиента направляют через durin, например сотрудники, клиенты и контакты Клиента; и люди, идентифицированные в метаданных соединения, вышестоящей учетной записи или устройства.

**Категории персональных данных.** Данные о членстве и каталоге, такие как имена, адреса электронной почты, роли и членство в командах; метаданные управления и аудита, такие как запрашивающая сторона, агент-клиент, соединение, инструмент, ресурс, политическое решение, утверждение, временные метки и результат выполнения; персональные данные в запросах инструментов и результатах, пересылаемых через durin; конфигурация подключения, связанная с вышестоящими учетными записями Клиента; отредактированное содержимое разговора, если администратор включил запись; решения об утверждении запоминаются в виде эскизов односторонних запросов, пока включена память утверждений; описания политик, которые администратор отправляет для разработки политики ИИ, если она включена; информация об одобрении доставляется по каналам уведомления, выбранным Клиентом; метаданные конфигурации устройства и агента, передаваемые посредством обнаружения Shadow MCP, если Клиент разрешил это.

**Конфиденциальные данные.** Ничего не предусмотрено. Если Клиент передает особые категории персональных данных или другие конфиденциальные персональные данные через durin, применяется пункт 4.3, и меры, указанные в Приложении 2, защищают их.

**Частота.** Непрерывно, пока пользователи и агенты Клиента используют durin.

**Характер обработки.** Аутентификация пользователей и клиентов агентов; оценка запросов на соответствие политикам и одобрениям Клиента; отправка разрешенных запросов в системы, к которым подключается Клиент, и возврат их результатов; запись метаданных управления; запоминание решений об одобрении, чтобы они могли информировать или принимать решения по соответствующим запросам; дополнительная разработка правил политики с помощью ИИ; хранение конфигурации и зашифрованных учетных данных; дополнительный захват разговора с редактированием на основе шаблонов; доставка уведомлений об одобрении; экспорт записей по запросу; и удаление данных.

**Цель.** Для предоставления, поддержки и защиты durin для Клиента в соответствии с Соглашением.

**Продолжительность и срок хранения.** В течение срока действия Соглашения и до удаления или возврата в соответствии с пунктом 11. Дополнительный захват разговоров сохраняется в течение периода, установленного Клиентом: 7, 90 или 180 дней или 360 дней в версии Enterprise. [Сроки хранения метаданных управления и других категорий должны быть подтверждены юристом перед публикацией]

**Обработка субпроцессора.** Как указано в Приложении 3, с тем же характером, целью и продолжительностью, что и обработка, описанная выше.

**Компетентный надзорный орган.** Для ограниченных переводов согласно EU SCCs — надзорный орган, определенный в соответствии со статьей 13 EU SCCs; для Великобритании GDPR — Информационная комиссия (ICO); для PDPA — Комиссии по защите персональных данных. [Компетентный надзорный орган для каждого Клиента должен быть подтвержден юристом перед публикацией]

## Приложение 2: Технические и организационные меры.

Marathon применяет следующие меры к Персональным данным Клиента. Они представляют собой внедренные средства контроля и управленческие обязательства, а не сертифицированные или независимо гарантированные средства контроля, и они дополняют Приложение II EU SCCs там, где они применяются.

**Проверка личности и доступа.** Запросы содержат личность человека или услуги, организацию, среду и связь. Текущее членство и полномочия проверяются еще раз перед выполнением. Неактивное членство, непроверенные инструменты и неавторизованные ресурсы запрещены. Внутренние сервисные вызовы используют ограниченные возможности, привязанные к организации, среде, операции и сроку действия.

**Политика и контроль утверждения.** Проверенные запросы разрешены по умолчанию. Администраторы клиентов могут выбрать запрет по умолчанию, запретить запись в среде или потребовать независимого одобрения записи. Утверждение привязано к запрашивающему, соединению, точным аргументам, ресурсу, а также версиям инструментов и политик; срок его действия истекает, может быть использован один раз и не может быть предоставлен запрашивающей стороной.

**Аутентификация и сеансы.** Для аутентификации используется WorkOS. Сеансы браузера используют безопасные файлы cookie HttpOnly и могут быть отозваны, а мутации браузера требуют проверки того же источника. Клиент может подключить своего поставщика удостоверений для единого входа и синхронизации каталогов, если они включены в его план. Применение многофакторной аутентификации зависит от поставщика удостоверений Клиента и настроек учетной записи.

**Шифрование.** Веб-сайт durin, конечные точки приложения и шлюза обслуживаются через HTTPS. Выбранные учетные данные подключения и места назначения экспорта шифруются на уровне приложения с помощью AES-256-GCM и контекста аутентификации с поддержкой ротации ключей.

**Минимизация данных.** По умолчанию при захвате разговора используются только метаданные, а содержимое отправленного сообщения отбрасывается перед сохранением. Администратор может включить запись отредактированных данных на 7, 90, 180 или 360 дней в версии Enterprise; захваты с истекшим сроком действия становятся нечитаемыми, и запланированная очистка удаляет их. Редактирование основано на шаблонах и не является полной защитой от потери данных. Диагностика ошибок фильтрует поля запроса, заголовки и информацию о пользователе.

**Ведение журнала и аудит.** Требуемое намерение аудита записывается до выполнения управляемого запроса. Политические решения, утверждения и результаты исполнения регистрируются отдельно, включая результаты, которые остаются неопределенными. При экспорте повторно проверяется доступ запрашивающей стороны и включаются контрольные суммы SHA-256 для каждой части; контрольные суммы не защищают записи от несанкционированного доступа.

**Разделение.** Данные клиентов логически разделены по организациям и средам, и каждый управляемый запрос авторизуется в отношении запрашивающей организации, среды и текущего членства. Изоляция арендатора включена в соглашения Enterprise.

**Безопасное развитие.** Изменения отслеживаются в системе контроля версий и проверяются с помощью автоматизированного форматирования, анализа, типа, контракта и наборов тестов. Непрерывная интеграция включает аудит зависимостей, секретное сканирование, проверку лицензий и составление спецификации программного обеспечения.

**Персонал.** Доступ к производственным системам и Персональным данным клиентов ограничен персоналом Marathon, которому он необходим для эксплуатации, поддержки или защиты durin, в соответствии с обязательствами конфиденциальности, указанными в пункте 5.

**Реагирование на инциденты.** Marathon поддерживает документированные процедуры для компрометации личных данных, отзыва согласия восходящего канала, ротации ключей и согласования неверных записей, а также обрабатывает инциденты безопасности в соответствии с пунктом 9.

**Доступность и восстановление.** Обязательства по бесперебойной работе, поддержке и восстановлению применяются только в том случае, если они предусмотрены Соглашением. [Цели резервного копирования, восстановления и тестирования должны быть подтверждены юристом перед публикацией]

**Гарантия.** Никакой аттестации SOC 2, сертификации ISO или результатов независимого теста на проникновение не заявлено. Marathon обязуется соблюдать применимые обязательства PDPA и GDPR и привести свою программу безопасности в соответствие с принципами ISO/IEC 27001; это обязательства руководства, а не сертификация.

## Приложение 3: Подпроцессоры

Клиент разрешает указанным ниже субобработчикам согласно пункту 7. Об изменениях сообщается в соответствии с пунктом 7.2, а текущий график публикуется по адресу https://getdurin.com/subprocessors..

### Cloudflare

- **Применяется:** Все клиенты.
- **Цель:** Хостинг и сеть для веб-сайта durin, приложения, API и шлюза: рабочие вычисления, базы данных D1, объектное хранилище R2, устойчивые объекты, хранилище секретов и доставка электронной почты.
- **Персональные данные клиента:** Все личные данные клиентов, которые обрабатывает durin, включая запросы инструментов и результаты в пути, данные о членстве, метаданные управления, учетные данные зашифрованного соединения, отредактированный контент разговора при включенном захвате, а также адреса получателей для уведомлений и писем с подтверждением.
- **Местоположение:** Глобальная сеть Cloudflare. durin не устанавливает никаких указаний на место хранения или юрисдикцию для своих баз данных, хранилища объектов или объектов длительного пользования. [Подрядная организация и страны обработки должны быть подтверждены юристом перед публикацией]
- **Гарантия передачи:** [Механизм передачи по PDPA и главе V GDPR подлежит подтверждению юристом до публикации]

### WorkOS

- **Применяется:** Все клиенты.
- **Цель:** Идентификация: вход и сеансы, членство в организации и приглашения по электронной почте, единый вход и синхронизация каталогов, а также авторизация OAuth для клиентов MCP.
- **Персональные данные клиента:** Имена и адреса электронной почты участников, роли и членство, приглашения, пользователи и группы каталога, идентификаторы сеансов и токены доступа, проверенные во время авторизации MCP.
- **Местоположение:** durin использует API WorkOS без настройки региона. [Подрядная организация и страны обработки должны быть подтверждены юристом перед публикацией]
- **Гарантия передачи:** [Механизм передачи по PDPA и главе V GDPR подлежит подтверждению юристом до публикации]

### Sentry

- **Применяется:** Все клиенты.
- **Цель:** Диагностика ошибок приложения durin, API и шлюза.
- **Персональные данные клиента:** Идентификаторы псевдонимных пользователей, метод и путь запроса, выбранные заголовки запроса, типы ошибок и трассировки стека. Тела запросов не отправляются, а сообщения об ошибках заменяются перед отправкой события.
- **Местоположение:** durin отправляет события в конечную точку приема Sentry в США. [Подрядная организация и страны обработки должны быть подтверждены юристом перед публикацией]
- **Гарантия передачи:** [Механизм передачи по PDPA и главе V GDPR подлежит подтверждению юристом до публикации]

### TypeSafe AI

- **Применяется:** Только если администратор клиента выбирает оценку политики ИИ TypeSafe, а организация не сохранила собственный ключ API TypeSafe.
- **Цель:** Дополнительная оценка политики на основе модели запросов и результатов управляемых инструментов.
- **Персональные данные клиента:** Точный запрос инструмента и, для проверки ответа, полный исходящий результат с запрашивающим субъектом, клиентом-агентом, ролями, членством в команде и группах, политиками группы и предоставленными областями. Идентификационные электронные письма, токены поставщиков и ключи API не включены.
- **Местоположение:** durin использует TypeSafe AI API без настройки региона. [Подрядная организация и страны обработки должны быть подтверждены юристом перед публикацией]
- **Гарантия передачи:** [Механизм передачи по PDPA и главе V GDPR подлежит подтверждению юристом до публикации]

### OpenRouter

- **Применяется:** Только если администратор клиента включит разработку политики ИИ для организации.
- **Цель:** Необязательное составление правил пользовательской политики: OpenRouter передает запрос администратора поставщику модели, а durin проверяет возвращенный проект, прежде чем администратор его рассмотрит.
- **Персональные данные клиента:** Описание политики простым языком, которое пишет администратор, а также идентификаторы подключения, инструмента и клиента к рабочей области. Описания, содержащие адреса электронной почты, отклонены. Запросы запрещают сбор данных, требуют конечных точек с нулевым хранением данных и не допускают резервного поставщика, а durin не сохраняет описание или ответ.
- **Местоположение:** durin использует API OpenRouter без настройки региона, а OpenRouter перенаправляет каждый запрос поставщику модели. [Подрядная организация и страны обработки должны быть подтверждены юристом перед публикацией]
- **Гарантия передачи:** [Механизм передачи по PDPA и главе V GDPR подлежит подтверждению юристом до публикации]

## Подписи

Каждая сторона подписывает ниже свое согласие с настоящим Соглашением о защите данных, включая его Приложения. Оно вступает в силу после подписания обеими сторонами.

### Клиент

Название юридического лица: ________________________________________

Юридический адрес: ________________________________________

Имя и адрес электронной почты контактного лица по вопросам конфиденциальности.: ________________________________________

Имя подписавшего лица: ________________________________________

Должность: ________________________________________

Подпись: ________________________________________

Дата: ________________________________________

### Marathon Digital Pte Ltd., сингапурская компания (UEN 202023814G), operator из durin

Имя подписавшего лица: ________________________________________

Должность: ________________________________________

Подпись: ________________________________________

Дата: ________________________________________