Asana обязуется соблюдать и защищать ваши права, связанные с конфиденциальностью. В свете того, что в ряде юрисдикций были приняты законы, влияющие на процедуры обращения компаниями с личными данными пользователей, мы хотели бы поделиться с вами информацией о мерах, которые Asana предпринимает для соблюдения двух важных законов о защите данных: Общего регламента о защите данных (General Data Protection Regulation, GDPR) и Калифорнийского закона о защите частной жизни потребителей (California Consumer Privacy Act, CCPA).

Общий регламент о защите данных

GDPR — это европейский закон, регламентирующий защиту персональных данных резидентов ЕС, который вступил в силу 25 мая 2018 года. В соответствии с GDPR организации, которые собирают, хранят, используют или иным образом обрабатывают персональные данные резидентов ЕС (независимо от местонахождения организации), обязаны обеспечить определённые гарантии конфиденциальности и безопасности указанных данных. Asana создала комплексную программу по соблюдению требований GDPR и обязуется сотрудничать со своими клиентами и поставщиками по вопросам соблюдения требований GDPR. Asana применяет в своей деятельности важные меры в соответствии с GDPR, среди которых:

• изменения наших политик и договоров с партнёрами, поставщиками и пользователями;

• совершенствование наших методов и процедур обеспечения безопасности;

• тщательный анализ и представление данных, которые мы собираем, используем и распространяем;

• создание более продуманной внутренней документации по конфиденциальности и безопасности;

• доведение требований регламента GDPR и лучших методов обеспечения конфиденциальности/безопасности до сведения сотрудников;

• тщательная оценка и выстраивание политики в отношении субъектов персональных данных и процесса реагирования.

Ниже мы приводим дополнительную информацию об основных направлениях программы Asana по обеспечению соответствия требованиям регламента GDPR, а также о том, как клиенты могут использовать Asana для поддержки своих собственных инициатив по обеспечению соответствия требованиям GDPR.

Соглашения об обработке данных

В соответствии с регламентом GDPR «контролёры данных» (т. е. субъекты, определяющие цели и средства обработки данных) обязаны заключать соглашения с другими субъектами, обрабатывающими данные от их имени (называемыми «обработчиками данных»). Asana предлагает своим клиентам, являющимся контролёрами персональных данных резидентов ЕС, возможность заключить Дополнительное соглашение по обработке данных, в соответствии с которым Asana обязуется обрабатывать и защищать персональные данные в соответствии с требованиями GDPR. Сюда входит обязательство Asana обрабатывать персональные данные в соответствии с инструкциями контролёра данных.

Операции международной передачи данных

Программа защиты данных между ЕС и США, Дополнение к Программе защиты данных между ЕС и США для Великобритании и Программа защиты данных между Швейцарией и США

Компания Asana соблюдает требования Программы защиты данных между ЕС и США, Дополнения к Программе защиты данных между ЕС и США для Великобритании и Программы защиты данных между Швейцарией и США, установленные Министерством торговли США. Компания Asana подтвердила Министерству торговли США, что она придерживается Принципов программы защиты данных между ЕС и США в отношении обработки персональных данных, полученных из Европейского Союза, руководствуясь требованиями Программы защиты данных между ЕС и США, и из Великобритании (и Гибралтара), руководствуясь требованиями Дополнения к Программе защиты данных между ЕС и США для Великобритании. Компания Asana подтвердила Министерству торговли США, что она придерживается Принципов программы защиты данных между Швейцарией и США в отношении обработки персональных данных, полученных из Швейцарии, руководствуясь требованиями Программы защиты данных между Швейцарией и США.

В соответствии с Принципами программы защиты данных между ЕС и США, дополнением Соединенного Королевства к Принципам программы защиты данных между ЕС и США и Принципами программы защиты данных между Швейцарией и США компания «Асана» [Asana] обязуется направлять неразрешенные жалобы, касающиеся обработки нами персональных данных, полученных в соответствии с Принципами программы защиты данных между ЕС и США, дополнением Соединенного Королевства к Принципам программы защиты данных между ЕС и США и Принципами программы защиты данных между Швейцарией и США, в BBB National Programs, альтернативную организацию по разрешению споров, расположенную в Соединенных Штатах. Если вы не получили от нас своевременного подтверждения вашей жалобы, связанной с Принципами программы защиты данных, или если мы не рассмотрели вашу жалобу, связанную с Принципами программы защиты данных, к вашему удовлетворению, посетите веб-сайт процесса разрешения споров BBB National Programs по адресу: https://bbbprograms.org/programs/all-programs/dpf-consumers/ProcessForConsumers для получения дополнительной информации или для подачи жалобы. Услуги BBB National Programs предоставляются бесплатно.

Обратите внимание, что если ваша жалоба не будет разрешена посредством этих каналов, при ограниченных обстоятельствах может быть использован вариант обязательного арбитража, как указано в Приложении I к Принципам программы защиты данных. На компанию «Асана» распространяются полномочия Федеральной торговой комиссии (ФТК) по проведению расследований и обеспечению соблюдения ею положений программы защиты данных между ЕС и США, дополнения Соединенного Королевства к Принципам программы защиты данных между ЕС и США и Принципов программы защиты данных между Швейцарией и США.

Компания «Асана» предпримет разумные и надлежащие шаги, необходимые для обеспечения того, чтобы любая третья сторона, выступающая в качестве «обработчика данных» в соответствии с терминологией ЕС, Соединенного Королевства и Швейцарии, обрабатывала персональные данные, которые мы ей передаем, в соответствии с Принципами программы защиты данных. Компания «Асана» потенциально несет ответственность в случае дальнейшей передачи третьим лицам данных граждан ЕС, Соединенного Королевства и Швейцарии, полученных в соответствии с Принципами программы защиты данных между ЕС и США, дополнением Соединенного Королевства к Принципам программы защиты данных между ЕС и США и Принципами программы защиты данных между Швейцарией и США, соответственно.

В случае возникновения какого-либо противоречия между условиями настоящего заявления о конфиденциальности и Принципами программы защиты данных между ЕС и США и (или) Принципами программы защиты данных между Швейцарией и США преимущественную силу имеют Принципы.

Чтобы узнать больше о Программе защиты данных и просмотреть нашу сертификацию, посетите сайт https://www.dataprivacyframework.gov/.

Если Программа защиты данных между ЕС и США, Дополнение к Программе защиты данных между ЕС и США для Великобритании и Программа защиты данных между Швейцарией и США не применяются, компания Asana руководствуется другими механизмами передачи для передачи персональных данных за пределы ЕЭЗ, Великобритании и Швейцарии, такими как Стандартные договорные положения.

Инструменты доступа, управления и переноса данных

При определённых обстоятельствах регламент GDPR предоставляет субъектам персональных данных права, в частности, на доступ, удаление и внесение исправлений в их персональные данные. Asana обязуется содействовать запросам субъектов данных в соответствии с GDPR, как это далее описано в нашей [Политике конфиденциальности] (#privacy-policy).

Документация по конфиденциальности

В своей основе регламент GDPR ориентирован на прозрачность, справедливость и подотчётность. Соответственно, закон требует, чтобы организации вели документацию о своей практике в области неприкосновенности частной жизни и о своих решениях относительно того, как они обращаются с личными данными физических лиц. Asana разделяет приверженность GDPR этим принципам и включила в свою текущую программу соответствия регламенту GDPR документацию о своей деятельности по сбору и обработке данных, а также о различных политиках и руководствах, которым мы следуем в соответствии с GDPR. Дополнительные сведения о том, как Asana собирает, использует и раскрывает личные данные, приводятся в [Политике конфиденциальности Asana] (#privacy-policy).

Безопасность данных

Регламент GDPR требует от организаций использовать соответствующие технические и организационные меры для защиты безопасности, конфиденциальности и целостности персональных данных. Безопасность продолжает оставаться приоритетом для Asana, и мы успешно прошли аудиторские проверки по стандарту SOC 2 (тип I) и (тип II) в отношении контроля, относящегося к безопасности, доступности и конфиденциальности. Это означает, что независимая третья сторона проверила наши рабочие процессы и практику в отношении трёх указанных критериев доверительных услуг и подтвердила нашу способность поддерживать соблюдение введённых мер контроля. Кроме того, мы внедрили ряд мер безопасности для защиты нашей платформы, включая шифрование веб-соединений для защиты передачи данных, репликацию наших баз данных для поддержки надёжности платформы, а также контроль доступа к нашим помещениям и офисной сети. Asana также предлагает клиентам возможность использовать дополнительные средства контроля безопасности для дальнейшего повышения безопасности данных своих коллективов. Дополнительные сведения приводятся в нашем [Положении о безопасности] (/security-statement).

Реализация ваших прав в соответствии с GDPR

Если вы хотите воспользоваться своими правами, предусмотренными регламентом GDPR, отправьте запрос, заполнив нашу Форму о правах субъекта данных согласно GDPR, или обратитесь к нам по адресу: privacy@asana.com.

Калифорнийский закон о защите частной жизни потребителей

Акт CCPA, вступивший в силу с 1 января 2020 года, является законом, который предоставляет потребителям из штата Калифорния определённые права в отношении их персональной информации. В частности, закон требует, чтобы организации, подпадающие под его действие, предоставляли потребителям возможность запрашивать доступ к своим данным и удалять их, а также возможность отказаться от «продажи» своих персональных данных. Кроме того, закон ограничивает то, каким образом поставщики услуг, обрабатывающие персональную информацию от имени организации, могут её использовать.

Asana не продаёт личную информацию своих клиентов и пользователей. В тех случаях, когда организация, подпадающая под действие закона CCPA, заключила соглашение об оказании услуг или оформила подписку на сервисы Asana, мы будем также выступать в качестве поставщика услуг для указанной организации. В частности, Asana будет обрабатывать персональную информацию таких клиентов только в целях, указанных в соответствующем соглашении, и будет сотрудничать с клиентами путём выполнения их запросов на доступ к персональным данным и их удаление.

Дополнительное соглашение об обработке данных в соответствии с CCPA

Asana обновила своё Дополнительное соглашение об обработке данных (ДСОД) в целях обеспечения его соответствия закону CCPA, и в указанном ДСОД мы прямо обязуемся не торговать персональной информацией. Если ваша организация является клиентом Asana и вам необходимо заключить дополнительное соглашение в соответствии с CCPA, подпишите и отправьте ДСОД по адресу: dpa@asana.com.

Реализация ваших прав в соответствии с CCPA

Дополнительные сведения о том, каким образом Asana предоставляет индивидуальным потребителям возможность доступа к своим персональным данным и их удаления в соответствии с законом CCPA, находятся в Разделе VI («Конфиденциальная информация для резидентов штата Калифорния») нашей Политики конфиденциальности.

Если вы хотите воспользоваться своими правами, предусмотренными законом CCPA, отправьте запрос, заполнив нашу Форму о правах субъекта данных согласно CCPA, или обратитесь к нам по адресу: privacy@asana.com.

Непрерывное соблюдение требований и обмен информацией

Требования GDPR и CCPA являются всеобъемлющими, но, когда речь заходит о конфиденциальности и защите данных, причём не только в ЕС или США, следует учитывать, что нормативно-правовая база продолжает развиваться. По мере того, как органы защиты данных и регулирующие органы будут толковать и издавать руководства по GDPR, CCPA и другим существующим в настоящее время законам о защите данных во всём мире, а также, по мере того как различные страны будут принимать новые законы о защите данных, мы будем продолжать внимательно следить за этими изменениями и оценивать нашу программу на предмет любых изменений или усовершенствований, если это будет необходимо.

И, наконец, мы ценим обмен информацией с нашими клиентами. Если у вас есть вопросы по поводу наших методов защиты данных, вы можете обратиться к нам по адресу: privacy@asana.com.

Закон Грэмма — Лича — Блайли (GLBA)

Закон Грэмма — Лича — Блайли (GLBA) обязывает финансовые учреждения (организации, предлагающие потребителям финансовые продукты или услуги, такие как кредиты, финансовые или инвестиционные консультации либо страхование) разъяснять своим клиентам правила предоставления информации и обеспечивать защиту конфиденциальных данных. Поставщики услуг, которым финансовые учреждения разрешают доступ к непубличным персональным данным (НПД) своих клиентов, также обязаны соблюдать требования закона GLBA. Asana соблюдает правила конфиденциальности и безопасности в соответствии с законом GLBA. Помимо применения мер безопасности мы используем рабочие материалы клиентов исключительно в целях предоставления наших услуг. Клиентам не следует хранить в Asana конфиденциальные данные (включая банковские реквизиты и номера социального страхования).

Закон о семейных образовательных правах и конфиденциальности (FERPA)

Закон о семейных образовательных правах и конфиденциальности (FERPA) — это федеральный закон США, обязывающий учебные заведения, такие как колледжи и университеты, защищать конфиденциальность сведений об обучении студентов. Asana обеспечивает соблюдение закона FERPA для своих клиентов, поддерживая безопасность личных данных и используя их только для предоставления услуг, как описано в Пользовательском соглашении и Политике конфиденциальности. Asana обязуется не раскрывать данные клиентов, за исключением случаев, когда это предписано заключившим договор учебным заведением, разрешено нашими правилами или требуется по закону.

Дополнительные ресурсы

• Политика конфиденциальности Asana

• Дополнительное соглашение об обработке данных в Asana

• Заявление Asana о безопасности

• Сертификат Asana по программе Privacy Shield для обмена данными между ЕС и США, а также между Швейцарией и США

• Полный текст регламента GDPR

• Полный текст закона CCPA