Чернетка — перевіряється юристом
Договір про обробку даних
Чернетка. Цей документ є чернеткою, підготовленою командою розробки Solispec, і перебуває на перевірці в юриста. Він ще не набрав чинності. Переклади надано для зручності; у разі розбіжностей перевагу має англійська версія.
1. Сторони та сфера застосування
Цей Договір про обробку даних («DPA») укладається між клієнтом, який користується тарифом Pro, Business або White Label («Клієнт», контролер), і оператором Solispec — фізичною особою-підприємцем (Україна): [ОПЕРАТОР: повне ім'я, податковий номер і адреса — надає власник] («Solispec», обробник).
Він застосовується, коли проєкти або адресна книга клієнтів Клієнта містять персональні дані третіх осіб, і доповнює Умови користування. Він покликаний відповідати статті 28 GDPR. [ЮРИСТ: підтвердити спосіб укладення DPA, наприклад прийняття в налаштуваннях облікового запису або разом з Умовами.]
2. Відомості про обробку
- Предмет: розміщення й обробка даних Клієнта в сервісі Solispec.
- Тривалість: доки Solispec надає Клієнтові Сервіс, плюс строк видалення за розділом 10.
- Характер і мета: зберігання, відображення, розрахунки, ведення версій, резервне копіювання та (коли стане доступним) експорт — лише для надання Сервісу.
- Категорії суб'єктів даних: замовники Клієнта та їхні контактні особи, а також інші особи, яких Клієнт вносить у проєкти.
- Категорії персональних даних: ім'я, електронна пошта, телефон, адреса, нотатки, а також місця чи адреси встановлення в проєктах. Клієнтові не слід зберігати особливі категорії даних (стаття 9 GDPR).
3. Інструкції
Solispec обробляє персональні дані лише за задокументованими інструкціями Клієнта. Інструкціями Клієнта є Умови, цей DPA і використання Клієнтом функцій Сервісу. Якщо закон зобов'язує Solispec обробляти дані інакше, Solispec заздалегідь повідомить про це Клієнта, якщо закон цього не забороняє. Solispec повідомить Клієнта, якщо вважатиме, що інструкція порушує законодавство про захист даних.
4. Конфіденційність
Solispec забезпечує, щоб усі особи, уповноважені обробляти персональні дані, були зобов'язані дотримуватися конфіденційності.
5. Заходи безпеки
Solispec вживає належних технічних і організаційних заходів, зокрема:
- шифрування під час передачі (TLS);
- контроль доступу на основі облікових записів і ролей;
- ізоляція даних кожної організації від інших організацій;
- хешування паролів;
- регулярне резервне копіювання зі зберіганням копій в ЄС.
Solispec може оновлювати ці заходи, якщо рівень захисту не знижується.
6. Субобробники
Клієнт надає загальний дозвіл на залучення таких субобробників:
- OVH — хостинг і резервні копії (ЄС);
- Stripe — оплата карткою (платіжні дані Клієнта);
- Heleket — оплата криптовалютою (платіжні дані Клієнта);
- постачальник доставки електронної пошти (SMTP) [підлягає визначенню].
Google Analytics (лише за згоди) та картографічні постачальники (OpenStreetMap/Nominatim, постачальники картографічних тайлів, Mapbox із власним токеном користувача) отримують запити безпосередньо від браузера відвідувача або стосуються використання сайту; вони не отримують адресної книги клієнтів Клієнта. [ЮРИСТ: підтвердити таку кваліфікацію.]
Solispec заздалегідь повідомлятиме Клієнта про нового чи заміненого субобробника [строк повідомлення підлягає встановленню]. Клієнт може заперечити з обґрунтованих причин, пов'язаних із захистом даних; якщо рішення не буде знайдено, Клієнт може припинити відповідний тариф. Solispec покладає на кожного субобробника обов'язки щодо захисту даних, рівнозначні цьому DPA, і залишається відповідальним за них.
7. Міжнародна передача
Дані Клієнта розміщуються й резервуються в ЄС, тому стандартні договірні умови для хостингу не потрібні. Якщо Stripe, Heleket або Google обробляють дані за межами ЄС, така передача ґрунтується на їхніх власних гарантіях. [ЮРИСТ: підтвердити місцезнаходження Heleket і підставу передачі.]
[ЮРИСТ: Solispec зареєстрований в Україні й адмініструє Сервіс віддалено; оцінити, чи потребує такий доступ гарантій відповідно до глави V GDPR.]
8. Допомога
З урахуванням характеру обробки Solispec допомагає Клієнтові:
- відповідати на запити суб'єктів даних (доступ, виправлення, видалення, обмеження, переносність, заперечення); якщо суб'єкт даних звернеться безпосередньо до Solispec, Solispec перешле запит Клієнтові;
- виконувати обов'язки щодо безпеки, повідомлення про витоки, оцінки впливу на захист даних і попередніх консультацій.
9. Витоки персональних даних
Solispec повідомить Клієнта без невиправданої затримки після того, як дізнається про витік персональних даних, що стосується даних Клієнта. Повідомлення міститиме наявну на той момент інформацію, зокрема характер витоку, ймовірні наслідки та вжиті чи запропоновані заходи.
10. Видалення або повернення
Після припинення надання Сервісу Клієнт може отримати копію своїх даних: через самостійний експорт, коли він стане доступним, а доти — на запит на [email protected], який виконується протягом одного місяця. Після цього Solispec видаляє персональні дані, якщо закон не вимагає їх зберігати. Копії в резервних копіях видаляються в міру ротації — протягом до 30 днів [перевірити].
11. Аудити
На запит Solispec надає інформацію, необхідну для підтвердження дотримання цього DPA, а також дозволяє проводити аудити Клієнтом або призначеним ним аудитором і сприяє їм — за умови розумного попередження та дотримання конфіденційності. [ЮРИСТ: встановити правила щодо періодичності та витрат.]
12. Відповідальність і пріоритет
Відповідальність за цим DPA регулюється Умовами користування з урахуванням імперативних норм закону. У разі суперечності між цим DPA та Умовами з питань захисту даних перевагу має цей DPA.