Корпоративный клиент прислал анкету по безопасности: контрольный список армянского поставщика.

Армения отсутствует в списке стран Европейской комиссии, получивших решение о достаточности защиты данных, и именно этот факт определяет большую часть требований к вашей компании при заполнении анкеты по безопасности предприятия. Ваш клиент не может передавать персональные данные поставщику в стране, не имеющей достаточной защиты данных, на доверительных условиях. Ему необходим механизм передачи данных в соответствии с главой V GDPR, на практике — стандартные договорные положения Комиссии, принятые в соответствии со статьей 46(2)(c), и документы, подтверждающие обоснованность подписания вами этих положений.

Анкета — это и есть тот самый файл. Каждый пункт в ней соответствует обязательству, которое несет клиент, поэтому ответ, который выглядит уклончивым, затягивает сделку на этапе закупок, еще до того, как ее увидит юридический отдел.

Почему корпоративные клиенты рассылают эти анкеты?

Статья 28 GDPR разрешает контроллеру привлекать к обработке данных только тех обработчиков, которые предоставляют достаточные гарантии надлежащих технических и организационных мер. Контроллер должен продемонстрировать, что он оценил эти гарантии, и заполненная анкета с приложенными к ней доказательствами является таким доказательством. Аудиторы запрашивают ее, и иногда это делает и надзорный орган.

Поставщик, находящийся за пределами ЕЭЗ, добавляет второй файл. Заказчик должен задокументировать передачу, определить механизм, предусмотренный в Главе V, и оценить, не подрывает ли законодательство страны назначения защиту, обещанную этими положениями. Ваши ответы являются исходным материалом для этой оценки, поэтому вопросы о запросах на доступ к данным со стороны правительства и о том, кто может получить доступ к данным, стоят наряду с обычными вопросами безопасности.

Удаленный доступ считается передачей данных. Согласно трехэтапному тесту Европейского совета по защите данных и заключению EDPB 22/2024, предоставление персональных данных организации в третьей стране считается передачей, даже если ничего не копируется и данные остаются на серверах клиента. Армянский инженер, имеющий доступ к производственной системе клиента из ЕС через службу поддержки, запускает тот же анализ, что и экспорт базы данных.

Чем отличается армянский поставщик?

В список стран, соответствующих требованиям Комиссии, входят Андорра, Аргентина, Бразилия, Канада (для коммерческих организаций), Фарерские острова, Гернси, Израиль, остров Мэн, Япония, Джерси, Новая Зеландия, Южная Корея, Швейцария, Соединенное Королевство, Уругвай, а также участники Рамочной программы ЕС по защите данных в США. Армения в этот список не входит. Более подробную информацию о различиях между двумя режимами можно найти в нашем руководстве по GDPR и армянскому законодательству о защите данных.

Стандартные договорные положения являются наиболее практичным вариантом. Обязывающие корпоративные правила в соответствии со статьей 47 предназначены для внутригрупповых переводов и недоступны для независимого поставщика. Статья 46(2)(d) охватывает положения, которые принимает надзорный орган и утверждает Комиссия, и представляет собой отдельный документ, отличный от собственных положений Комиссии в соответствии со статьей 46(2)(c). Иногда закупочные группы ссылаются на оба документа вместе; документ, который вам будет выслан, — это документ Комиссии.

Терминология переворачивает всё с ног на голову.

Закон Армении о защите персональных данных от 18 мая 2015 года с поправками, действующими до 4 декабря 2025 года, называет сторону, определяющую цель обработки, «обработчиком», а сторону, обрабатывающую данные по поручению, — «уполномоченным лицом». GDPR использует эти слова в обратном порядке, что приводит к путанице в ответах на анкеты, когда поставщик напрямую использует армянские термины. Статья 14 требует наличия письменного поручения между двумя сторонами, и сторона, дающая поручение, сохраняет установленную законом ответственность за действия другой стороны с данными. Хорошо составленное соглашение об обработке данных может включать в себя как требование статьи 28 клиента, так и требование наличия письменного поручения в Армении, при условии, что оно составлено соответствующим образом.

Дальнейшая переброска войск из Армении

Статья 27 того же закона регулирует передачу персональных данных за пределы Армении, то есть с момента передачи данных клиента субподрядчику в третьей стране. Входящий поток данных, когда ваш клиент из ЕС отправляет вам данные, регулируется GDPR на стороне клиента. Поставщики услуг хостинга, мониторинга ошибок или поддержки за рубежом регулярно попадают под действие статьи 27, даже не замечая этого.

Перемещение лиц в государства, включенные в официальный список стран, находящихся под надлежащей защитой Армении, или осуществляемое в соответствии с международным договором, происходит без отдельного разрешения. Армения ведет такой список, обновленный решением от 18 июня 2026 года, который охватывает около 53 стран и пунктов, в том числе государства ЕС и ЕЭЗ, Аргентину, Канаду, Израиль, Японию, Новую Зеландию, Сингапур, Южную Корею, Уругвай и Россию, а также пункт для организаций Соединенных Штатов, ограничения которых не указаны в опубликованных руководящих документах. Для назначения за пределами списка требуется предварительное разрешение уполномоченного органа вместе с договорными гарантиями, утвержденными этим органом. Установленный законом срок пересмотра составляет 30 дней, и список переиздается ежегодно.

Контрольный список документов

На большинство поступивших вопросов отвечают шесть документов. Соберите их один раз, и следующая анкета превратится в редактирование.

1. Соглашение об обработке данных. Клиент присылает свой собственный документ. Перед подписанием ознакомьтесь с требованиями к письменным инструкциям, изложенными на армянском языке, и убедитесь, что условия хранения и удаления соответствуют тому, что фактически предусмотрено в ваших системах.
2. Регистр субпроцессора. Одна строка на каждого субподрядчика: юридическое лицо и страна, цель, категории обрабатываемых персональных данных, уровень доступа, место физической обработки и доступа, основание для передачи данных этим субподрядчиком и подтверждение того, что клиент дал на это разрешение. Добавьте описание процесса проверки и увольнения сотрудников.
3. Оформление документов на перевод. Подписанные стандартные договорные положения с соответствующим модулем для данных взаимоотношений, а также ваши письменные замечания по оценке влияния передачи прав заказчику, касающиеся запросов на доступ, которые вы можете получить, и вашей возможности оспорить их.
4. Краткое изложение политики безопасности. Две-четыре страницы посвящены контролю доступа, шифрованию при передаче и хранении данных, ведению журналов, управлению изменениями и безопасной разработке. Клиенты редко соглашаются на категорический отказ делиться какой-либо информацией, и им редко требуется полный набор ваших внутренних политик.
5. Краткое описание реагирования на инцидент. Кто получает внутреннее уведомление, что служит для уведомления клиента, какой канал используется и какой срок уведомления вы готовы соблюдать в соответствии с договором.
6. Сертификаты и подтверждающие документы об участии в испытаниях. Сертификат ISO 27001 с указанием применимости, отчет SOC 2 Type II (если таковой имеется) и сводка результатов последнего тестирования на проникновение с указанием статуса устранения нарушений. Сертификата GDPR нет, и его предоставление свидетельствует о неопытности кандидата.

Типичные разделы анкеты и как на них отвечать

Сведения о юридических лицах и владельцах

Анкеты начинаются с указания зарегистрированного названия, регистрационного номера, юридического адреса и цепочки владения. Возьмите эти данные из регистрационных записей вашей компании , чтобы ответы точно совпадали с данными государственного реестра. Несоответствие в этом случае приведет к возврату анкеты до того, как кто-либо сможет прочитать информацию о безопасности.

Потоки данных и хостинг

Укажите страны. Ответ о том, что данные надежно размещены в облаке, всегда вызывает дополнительные вопросы. Укажите хостинг-провайдера, регион, находится ли какая-либо реплика или резервная копия в другом месте, и имеют ли сотрудники за пределами этого региона доступ к производственной среде. Если ваши инженеры в Армении имеют доступ к среде, размещенной в ЕС, сообщите об этом здесь; от этого зависит анализ переноса данных для клиента, и обнаружение этого позже подорвет вашу репутацию по всем остальным вашим ответам.

Подпроцессоры

Перечислите все подразделения, включая те, которые кажутся невидимыми: системы обработки заявок, мониторинга ошибок, транзакционной электронной почты, аналитики и платформы расчета заработной платы, которые взаимодействуют с контактными данными клиентов. Статья 28(2) GDPR требует предварительного согласия клиента на привлечение нового субподрядчика, поэтому рядом с реестром должно быть указано обязательство об уведомлении об изменении, с указанием срока уведомления и права на возражение, которое клиент может фактически реализовать.

Уведомление о нарушениях и инцидентах

В вашем договоре будет предусмотрено время уведомления клиента. Выбирайте только такое время, которое ваш график дежурств может обеспечить в субботний вечер, поскольку собственный 72-часовой отсчет времени клиента в соответствии со статьей 33 GDPR начинается с момента, когда он узнает о проблеме, и это давление будет передаваться вам по всей цепочке.

Уведомление о регулировании в Армении — это отдельный вопрос, и первое, что нужно установить, — это размер вашей компании. Закон Армении о кибербезопасности, HO-442-N, не ограничивается операторами критической инфраструктуры. Статья 1(3)(1) охватывает юридическое лицо или индивидуального предпринимателя, которые одновременно работают в одном из секторов, перечисленных в статье 16(4), и управляют информационной системой или критической информационной инфраструктурой. Это две части, а не одна. Информационные технологии, в частности цифровая инфраструктура, регулируются статьей 16(4)(9); управление и эксплуатация баз данных — статьей 16(4)(12). Ни один из пунктов не ограничивается операторами инфраструктуры, и нет никаких исключений для поставщика, все клиенты которого являются иностранными. Поэтому распространенный ответ, что компания не управляет критической инфраструктурой, не решает вопрос.

Исключение, которое освобождает многих поставщиков от этого, содержится в статье 1(4). Организация, отвечающая критериям микро- или малого предприятия, полностью выходит за рамки закона, если только она не управляет критически важной информационной инфраструктурой. Согласно статье 2(1) Закона о государственной поддержке малого и среднего предпринимательства, критериями малого предприятия являются средняя численность персонала, указанная на бирже, до 50 человек и выручка за предыдущий год или активы на конец предыдущего года, не превышающие 500 000 000 драмов . Под это исключение подпадают многие армянские компании, занимающиеся разработкой программного обеспечения и аутсорсингом бизнес-процессов. Это зависит от вашей собственной численности персонала и бухгалтерского учета, поэтому решите этот вопрос до того, как ответите на анкету.

Если исключение вас не касается, обязанности изложены в статье 11. Немедленно уведомите Автономный орган, Комиссию по регулированию информационных систем, как только вам станет известно об инциденте, и в любом случае в течение 24 часов , если инцидент имеет значительные последствия или такие последствия можно обоснованно предположить. Статья 11(2) определяет значительные последствия, поэтому не каждый незначительный инцидент влечет за собой составление отчета. Обновленная информация о серьезности и последствиях предоставляется в течение 72 часов с момента, когда вам станет известно об инциденте . Этот отсчет времени начинается с момента получения информации, а не с момента первого уведомления, что также важно отметить в договоре. Потенциально пострадавшие лица уведомляются немедленно или в течение двух дней, если немедленное уведомление невозможно, а окончательный отчет должен быть представлен в течение одного месяца после 72-часового уведомления.

Вопрос о том, насколько эти обязанности актуальны сегодня, остается спорным. Закон вступил в силу 4 января 2026 года, но статья 25(1)(2) откладывает выполнение общего обязательства по уведомлению, предусмотренного в статье 9(3)(5), до вступления в силу соответствующих подзаконных актов, а эти акты еще не опубликованы. Статья 11 не предусматривает явного отсрочки, и ничто опубликованное не разрешает это противоречие. Правительству также еще предстоит принять классификацию услуг в соответствии со статьей 16(5), которая бы указывала конкретному поставщику, подпадает ли он под действие закона. Решение премьер-министра № 117-A от 13 февраля 2026 года устанавливает эти классификации на период с 21 по 30 ноября 2026 года , а список идентифицированных операторов критической инфраструктуры будет опубликован в декабре. Это запланированные даты, а не принятые документы.

Далее следуют три момента. Не составляйте договорный пункт об уведомлении, исходя из предположения, что не существует армянской нормативной обязанности. Не рассматривайте отсутствие в реестре Комиссии как безопасную гавань, поскольку, согласно более правильному толкованию статей 1 и 3, реестр, ведущийся в соответствии со статьей 7(4), фиксирует статус, а не создает его. И запишите в дневник классификации за ноябрь, потому что именно они определят вашу позицию.

Сохранение и удаление

Предоставьте расписание по категориям данных с указанием события, запускающего каждый цикл. Затем опишите, что происходит по завершении: возврат в именованном формате, удаление в течение указанного количества дней и то, что остается в резервных копиях до тех пор, пока цикл резервного копирования не перезапишет их. Вопрос о сохранении остатков резервных копий — это ошибка большинства поставщиков, которые обещают немедленное удаление, которое их архитектура не может обеспечить.

Контроль доступа и персонал

Опишите доступ на основе ролей с указанием ответственных лиц, многофакторную аутентификацию в производственных системах и у поставщика идентификационных данных, время приема и увольнения сотрудников в рабочие дни, а также обязательства по соблюдению конфиденциальности в ваших трудовых договорах . Если этап проверки, предусмотренный в анкете, вам недоступен, четко укажите это. Клиент может работать с документально подтвержденным ограничением и не может работать с расплывчатым ответом.

Часто задаваемые вопросы

Когда начать

1. Спросите клиента, какое из его юридических лиц является контроллером данных и какие категории персональных данных фактически будут переданы вам. Уточнение сужает анкету, прежде чем вы ответите хотя бы на один вопрос.
2. Сначала создайте регистр субпроцессора. От него зависят соглашение об обработке данных, документы о передаче и ответы на вопросы о потоке данных.
3. Уточните у клиента, какой стандартный модуль договорных положений соответствует данным отношениям, определяющий, выступает ли клиент в качестве контролера или обработчика данных для своего клиента.
4. Перед подписанием необходимо проверить соглашение об обработке данных на соответствие требованиям армянской письменной инструкции, чтобы один документ объединял оба обязательства.
5. Прежде чем согласовывать сроки уведомления в рамках договора, определитесь со своей позицией относительно уведомления о киберугрозах в Армении для вашей деятельности.

Последнее обновление: 21 сентябрь 2026