Правовые документы · Субобработчики
Субобработчики
Все сторонние подрядчики, обрабатывающие персональные данные по нашему поручению: что они делают и где размещены. Сверено с кодовой базой, обновляется при каждом изменении.
§ 1. Что такое субобработчик
- Субобработчик — сторонний поставщик, привлекаемый для обработки персональных данных от имени Оператора: инфраструктура, платежи, доставка email, мониторинг ошибок, продуктовая аналитика.
- Каждый субобработчик связан письменным соглашением, которое возлагает на него обязанности Оператора по Регламенту (ЕС) 2016/679 (GDPR).
- Перед привлечением субобработчика Оператор проверяет: а) его подход к безопасности и имеющиеся сертификации (SOC 2 Type II, ISO 27001 или эквивалент); б) условия передачи данных — стандартные договорные положения для потоков ЕС ↔ вне ЕЭЗ; в) обязательства по уведомлению о нарушениях — не медленнее, чем у самого Оператора; г) уместность для сервиса, которым пользуются в том числе дети.
§ 2. Действующие субобработчики
| Поставщик | Назначение | Категория данных | Регион | Статус защиты данных |
|---|---|---|---|---|
| Hetzner Online GmbH | Управляемый хостинг, PostgreSQL, файловое хранилище на сервере, резервные копии | Данные учётной записи, операционный контент, загруженные файлы, резервные копии | Germany | Соглашение об обработке данных + стандартные договорные положения ЕС, где применимы |
| Cloudflare, Inc. (объектное хранилище R2) | Хранение файлов и голосовых сообщений, отправленных в чате; они недолговечны и удаляются по сроку | Сам файл и его имя, пока файл хранится | European Union | Cloudflare DPA + стандартные договорные положения |
| Stripe Payments Europe, Ltd. | Обработка платежей (только подписки преподавателей) | Способ оплаты, платёжный адрес, налоговый ID, метаданные транзакций | Ирландия / ЕС | Stripe DPA + стандартные договорные положения |
| Google LLC (Calendar API, Drive API) | Синхронизация календаря, ссылки на файлы, хранящиеся в собственном Drive преподавателя | OAuth-токены, метаданные календарных событий, идентификаторы и метаданные файлов Drive. Когда кто-то открывает файл из Drive, его содержимое проходит через серверы Оператора, чтобы попасть к нему; копия не сохраняется | Регион Google пользователя | Google Workspace DPA охватывает это использование OAuth; SCC применяются для передач в серверы Google вне ЕЭЗ |
| Resend, Inc. | Доставка транзакционного email (вход, уведомления, счета, оповещения безопасности) | Email получателя, содержимое письма | ЕС (eu-central) |
Resend DPA + стандартные договорные положения |
| Sentry (Functional Software, Inc.) | Мониторинг ошибок и производительности, только по согласию пользователя | Стек-трейсы с контекстом запроса, замаскированные идентификаторы пользователя | ЕС (регион sentry.io в ЕС) |
Sentry DPA + стандартные договорные положения |
| PostHog Inc. | Анонимная продуктовая аналитика, только по согласию пользователя | Обезличенные события сессии, просмотры страниц, использование функций | ЕС (eu.i.posthog.com) |
PostHog DPA + стандартные договорные положения |
§ 3. Обозначения статусов
- DPA заключено — с поставщиком подписано соглашение об обработке по ст. 28 GDPR.
- SCC — стандартные договорные положения (Имплементационное решение (ЕС) 2021/914) входят в договор с поставщиком и применяются, если он обрабатывает данные вне ЕЭЗ.
- Только по согласию — по умолчанию отключено; включается только когда пользователь принял соответствующую категорию cookie или включил соответствующую функцию.
§ 4. Кого Оператор намеренно не использует
- Никаких рекламных сетей.
- Никаких межсайтовых трекеров — ни пикселей, ни фингерпринтинга, ни ретаргетинга.
- Никакой сторонней платформы управления согласиями. Баннер cookie обслуживается собственным фронтендом Оператора и перечисляет только реально используемых поставщиков.
§ 5. Изменения в этом списке
- При добавлении или замене субобработчика эта страница обновляется до того, как этот субобработчик начнёт обрабатывать персональные данные, чтобы у Контролёра была возможность возразить, предусмотренная ст. 28(2) GDPR.
- При удалении субобработчика эта страница обновляется после завершения миграции с него.
- Эта страница и есть уведомление. Отдельной рассылки нет, как нет и обязательства предупреждать за фиксированное число дней: обязательство такого рода держится на том, что человек о нём помнит, и отказывает молча. Вместо него обеспечивается полнота списка — сборка падает, если поставщик обрабатывает данные, не появившись здесь.
§ 6. Возражения против субобработчика
- Если субобработчик существенно не совместим с требованиями Контролёра к защите данных, Контролёр вправе возразить, написав на privacy@relentu.com.
- Оператор будет добросовестно работать с Контролёром над тем, чтобы предоставить альтернативную конфигурацию, если она существует, либо свернуть рабочее пространство на разумных условиях, с пропорциональным возвратом предоплаченной и неиспользованной части платежей.
§ 7. Контакты
- По вопросам о любом из субобработчиков: privacy@relentu.com.
- Действующая редакция настоящего списка и дата её вступления в силу отображаются на этой странице. Список действует с 2026-10-15.