Угода про обробку даних

Ця Угода про обробку даних («DPA») доповнює Умови використання, що періодично оновлюються, між вами (разом із дочірніми та афілійованими особами, сукупно — «Клієнт») і Reteno (разом із дочірніми компаніями, спільно — «Reteno»), коли GDPR застосовується до використання Клієнтом Послуг Reteno для обробки даних Клієнта.

Ця DPA набирає чинності з дати, коли Клієнт погоджується з Умовами використання. У разі будь-якої суперечності між цією DPA та Умовами використання переважну силу мають відповідні положення цієї DPA.
‍
ЦЮ УГОДУ УКЛАДЕНО МІЖ:

1. Клієнтом
‍
ТА
‍
‍2. RETENTION YES SP. Z.O.O, місто Варшава, Польща, належним чином представленою Oleksii Danchenko, який має належні повноваження для цілей цієї Угоди, з головним офісом за адресою: Польща, 02-972, Мазовецьке воєводство, місто Варшава, вулиця Adama Branickiego, № 21, офіс U3
‍
СТОРОНИ ДОМОВИЛИСЯ ПРО ТАКЕ:
‍
1. Сфера застосування та порядок пріоритетності
‍
Ця угода («Угода про обробку даних») застосовується до Обробки Вами Персональних даних, наданих Вам Клієнтом, як докладніше визначено в угоді, укладеній між Вами та Клієнтом, датованій Клієнтом («Договір»).

На цю Угоду про обробку даних поширюються умови Договору, і вона є його невід’ємною частиною. Якщо інше не зазначено в цій Угоді про обробку даних, у разі будь-якої суперечності між умовами Договору та умовами цієї Угоди про обробку даних переважну силу мають відповідні умови цієї Угоди про обробку даних.
‍
2. Визначення

Терміни з великої літери, не визначені окремо в цій Угоді про обробку даних, мають відповідні значення, надані їм у Договорі.

«Клієнт» або «Контролер» означає Клієнта

‍«Директива» означає Директиву 95/46/EC Європейського Парламенту та Ради від 24 жовтня 1995 року, зі змінами, про захист фізичних осіб у зв’язку з Обробкою Персональних даних і про вільний рух таких даних.

«Типові положення» означає стандартні договірні положення, додані до Рішення Комісії ЄС 2021/914/EU від 4 червня 2021 року про стандартні договірні положення щодо передачі персональних даних до третіх країн відповідно до Регламенту (ЄС) 2016/679 Європейського Парламенту та Ради (передача від контролера обробнику), які можуть періодично змінюватися, замінюватися новими або іншими положеннями.

«Персональні дані» означає будь-яку інформацію, що стосується ідентифікованої фізичної особи або фізичної особи, яку можна ідентифікувати, яку (i) Клієнт або будь-яка особа, що діє від імені Клієнта, надає Вам або (ii) Ви Обробляєте в межах послуг, що надаються за Договором. Ідентифікована фізична особа або фізична особа, яку можна ідентифікувати («Суб’єкт даних»), — це особа, яку можна ідентифікувати прямо чи опосередковано, зокрема за ідентифікатором, таким як ім’я, ідентифікаційний номер, дані про місцезнаходження, онлайн-ідентифікатор, або за одним чи кількома чинниками, притаманними фізичній, фізіологічній, генетичній, психічній, економічній, культурній чи соціальній ідентичності цієї фізичної особи.

«Обробляти» або «Обробка» означає будь-яку операцію чи сукупність операцій, які Ви здійснюєте в межах Договору з Персональними даними, автоматизованими засобами чи без них, як-от збирання, реєстрація, організація, структурування, зберігання, адаптація або зміна, пошук, ознайомлення, використання, розкриття шляхом передачі, поширення або іншого надання доступу, упорядкування або поєднання, обмеження, видалення чи знищення.

«Обробник» або «Ви» означає зазначену вище юридичну особу.

«Субобробник» означає стороннього субпідрядника, залученого Вами, який у межах своєї ролі з надання послуг за Договором Оброблятиме Персональні дані, що належать Клієнту.

«Регламент» означає Регламент 2016/679 Європейського Парламенту та Ради від 27 квітня 2016 року про захист фізичних осіб у зв’язку з обробкою персональних даних і про вільний рух таких даних та про скасування Директиви 95/46/EC.

Інші терміни мають визначення, надані їм у Договорі або зазначені нижче.
‍
3. Категорії Персональних даних і мета Обробки Персональних даних

‍Типи Персональних даних Компанії, що підлягають Обробці:

A. Клієнт і Користувачі: ідентифікаційні та контактні дані (ім’я, адреса, титул, контактні відомості, ім’я користувача); фінансова інформація (реквізити рахунку, платіжна інформація); відомості про зайнятість (роботодавець, посада, географічне місцезнаходження, сфера відповідальності);
‍
B. Підписники: ідентифікаційні та контактні дані (ім’я, дата народження, стать, загальні, професійні або інші демографічні відомості, адреса, титул, контактні відомості, зокрема адреса електронної пошти), особисті інтереси або вподобання (зокрема історія покупок, маркетингові вподобання); ІТ-інформація (IP-адреси, дані про використання, дані файлів cookie, дані онлайн-навігації, дані про місцезнаходження, дані браузера).

Обробка особливих категорій персональних даних заборонена.

Дані передаються на постійній основі.

Обробка даних передбачає: збирання, сортування, збереження, передачу, обмеження та видалення даних контролера для забезпечення релевантних маркетингових комунікацій.

Мета обробки — допомогти контролеру забезпечувати релевантні маркетингові комунікації.

Персональні дані оброблятимуться та зберігатимуться стільки, скільки необхідно для виконання Договору, і видалятимуться на запит контролера та відповідно до його вказівок.
‍
4. Вказівки Контролера
‍
Протягом строку дії Договору Клієнт може надавати Вам вказівки щодо обробки Персональних даних на додаток до зазначених у Договорі. Ви виконуватимете всі такі вказівки без додаткової плати в обсязі, необхідному для дотримання законодавства, що застосовується до Вас як обробника даних під час виконання Договору.

Ви повинні негайно повідомити Клієнта, якщо, на Вашу думку, вказівка порушує Директиву, Регламент або інші застосовні положення щодо захисту даних та/або конфіденційності.

Контроль над Персональними даними залишається за Клієнтом, і у відносинах між Клієнтом та Вами Клієнт завжди залишатиметься контролером даних для цілей Договору та цієї Угоди про обробку даних. Клієнт відповідає за виконання своїх обов’язків як контролера даних відповідно до законодавства про захист даних, зокрема за свої рішення та дії щодо Обробки й використання даних.
‍
5. Права Суб’єкта даних
‍
Ви зобов’язуєтеся допомагати Клієнту відповідати на запити суб’єктів даних, які реалізують свої права на доступ, виправлення, видалення, обмеження, перенесення даних або заперечення.

Зокрема, за вказівками Клієнта Ви видалятимете, надаватимете, виправлятимете будь-які конкретні Персональні дані або обмежуватимете доступ до них і зобов’язуєтеся невідкладно передавати Клієнту будь-які запити окремого суб’єкта даних щодо доступу, виправлення, видалення, обмеження або заперечення стосовно Персональних даних, які Обробляються за Договором.
‍
6. Обов’язки Обробника
‍
На додаток до інших положень цієї Угоди про обробку даних Ви зобов’язуєтеся:

i. призначити уповноважену особу із захисту даних, якщо цього вимагає застосовне законодавство, та надати Клієнту її контактні дані;

ii. забезпечити, щоб усі особи, які мають доступ до Персональних даних Клієнта за умовами Договору та Угоди про обробку даних, зобов’язалися зберігати конфіденційність і підписали з Вами угоди, що передбачають не менш суворі заходи захисту, ніж установлені тут, та були поінформовані Вами про будь-які вимоги щодо захисту даних, пов’язані з Обробкою Персональних даних, зокрема про обмеження використання конкретною метою Договору та вказівками Клієнта;
‍
iii. допомагати Клієнту забезпечувати виконання його обов’язків щодо безпеки персональних даних. Зокрема, Ви зобов’язуєтеся невідкладно повідомляти Клієнта про будь-яке порушення безпеки даних, як описано в розділі 11 нижче, та надавати Клієнту всю розумно необхідну допомогу в проведенні оцінки впливу на захист даних, прямо чи опосередковано пов’язаної з Договором та/або Угодою про обробку даних.
‍
7. Транскордонна та подальша передача даних

Ви поводитиметеся з усіма Персональними даними відповідно до вимог Договору та цієї Угоди про обробку даних у всіх місцях у світі.

Якщо Персональні дані, що походять із ЄЕЗ або Швейцарії, передаються Клієнтом Вам або будь-якому з Ваших Субобробників, розташованих у країнах за межами ЄЕЗ або Швейцарії, щодо яких Європейська комісія не ухвалила обов’язкового рішення про належний рівень захисту відповідно до статей 25(6) і 31(2) Директиви або, як альтернатива, відповідно до статті 45 Регламенту, або таке рішення не ухвалене компетентним національним органом із захисту даних, така передача має здійснюватися так:

a. Передача від Клієнта Вам, у відповідних випадках, здійснюватиметься відповідно до умов цієї Угоди про обробку даних і Типових положень, наведених у Додатку 3.

b. Для передачі від Вас Вашим Субобробникам, у відповідних випадках, Ви повинні забезпечити, щоб така передача здійснювалася (i) із застосуванням будь-яких відповідних механізмів передачі, що забезпечують належний рівень захисту згідно із застосовними вимогами статей 25 і 26 Директиви / статті 45 Регламенту, або (ii) укласти Типові положення, що містять вимоги до безпеки та інші вимоги до конфіденційності даних, принаймні такі ж суворі, як вимоги цієї Угоди про обробку даних.

Жодна передача до країни за межами ЄЕЗ або Швейцарії не повинна здійснюватися без попередньої письмової згоди Клієнта.
‍
8. Субобробники
‍
Ви не повинні передавати на субпідряд будь-які операції з Обробки, що виконуються від імені Клієнта за Договором, без попередньої письмової згоди Клієнта.

Клієнт цим прямо погоджується на залучення Вами Субобробників, перелічених у Додатку 1.

Якщо Ви залучаєте Субобробників за згодою Клієнта, Ви повинні робити це лише на підставі письмової угоди із Субобробником, яка покладає на нього ті самі обов’язки, що покладаються на Вас за цією Угодою про обробку даних.

Ви завжди залишаєтеся відповідальними за дотримання Вашими Субобробниками умов Договору та цієї Угоди про обробку даних.

Клієнт може вимагати, щоб Ви провели аудит Субобробника або надали підтвердження проведення такого аудиту (або, за наявності, отримали чи допомогли Клієнту отримати звіт стороннього аудитора щодо діяльності Субобробника) для забезпечення виконання його обов’язків. Клієнт також матиме право за письмовим запитом отримати копії відповідних умов Вашої угоди із Субобробниками, які можуть Обробляти Персональні дані.

9. Технічні та організаційні заходи

Під час Обробки Персональних даних від імені Клієнта у зв’язку з Договором Ви гарантуєте, що впровадили та підтримуватимете належні технічні й організаційні заходи безпеки для Обробки таких даних, зокрема заходи, зазначені в Додатку 2.

Ці заходи спрямовані на захист Персональних даних від випадкової або несанкціонованої втрати, знищення, зміни, розкриття чи доступу та від усіх інших незаконних форм обробки. Додаткова інформація про такі заходи може бути визначена в Договорі.

Ви зобов’язуєтеся документувати впровадження технічних та організаційних заходів, надавати цю документацію Клієнту на запит і представляти Клієнту всі оновлення цієї документації.
‍
10. Права на аудит

Клієнт може власним коштом проводити аудит дотримання Вами умов Договору та цієї Угоди про обробку даних. Якщо аудит проводитиме третя сторона, її кандидатура має бути взаємно погоджена Клієнтом і Вами, а перед проведенням аудиту вона повинна укласти письмову угоду про конфіденційність.

Щоб запросити аудит, Клієнт повинен надати Вам план аудиту щонайменше за два тижні до запропонованої дати аудиту із зазначенням його запропонованого обсягу, тривалості та дати початку. Ви розглянете план аудиту та повідомите Клієнту про будь-які застереження або запитання. Ви зобов’язуєтеся співпрацювати з Клієнтом для погодження остаточного плану аудиту.

Аудит проводитиметься у звичайний робочий час на відповідному об’єкті та не повинен необґрунтовано перешкоджати Вашій господарській діяльності.

Клієнт надасть Вам копії всіх аудиторських звітів, складених у зв’язку з будь-яким аудитом за цим розділом, якщо це не заборонено законом. Клієнт може використовувати аудиторські звіти лише для виконання своїх нормативних вимог до аудиту та/або підтвердження дотримання вимог Договору, цієї Угоди про обробку даних і застосовного законодавства. Аудиторські звіти є Конфіденційною інформацією сторін за умовами Договору.

Ви зобов’язуєтеся надавати розумно необхідну допомогу під час будь-якого аудиту, який проводить Клієнт.

Ви погоджуєтеся, що компетентний орган із захисту даних має право проводити перевірку Вас і будь-якого Субобробника.

Ви зобов’язуєтеся надавати Клієнту та/або компетентному органу із захисту даних усю інформацію, необхідну для підтвердження виконання обов’язків, установлених цією Угодою про обробку даних і застосовним законодавством, та повною мірою співпрацювати з Клієнтом та/або будь-яким компетентним органом із захисту даних під час будь-якого аудиту та/або перевірки.
‍
11. Повідомлення про порушення безпеки даних

Для цілей цього розділу «Порушення безпеки» означає порушення безпеки, що призводить до випадкового або незаконного знищення, втрати, зміни, несанкціонованого розкриття Персональних даних чи доступу до них, коли такі дані передаються, зберігаються або іншим чином обробляються у Ваших системах чи Вашому середовищі. Ви невідкладно повідомите Клієнта, якщо встановите, що Персональні дані зазнали Порушення безпеки (зокрема з боку одного з Ваших працівників), або про будь-які інші обставини, за яких Клієнт зобов’язаний надати повідомлення згідно із застосовним законодавством.

Ви невідкладно розслідуєте Порушення безпеки та вживете розумно необхідних заходів для виявлення його першопричин і запобігання повторенню. У міру збирання інформації або її появи з інших джерел Ви надаватимете Клієнту опис Порушення безпеки, тип даних, яких воно стосувалося, та іншу інформацію про постраждалих осіб, яку Клієнт може обґрунтовано запитати. Сторони погоджуються добросовісно координувати розробку змісту будь-яких пов’язаних публічних заяв або обов’язкових повідомлень для постраждалих осіб та/або відповідних органів із захисту даних.
‍
12. Повернення та видалення Персональних даних після закінчення Договору або на запит Клієнта
‍
Якщо інше не передбачено Договором, після його припинення Ви повернете всі Персональні дані Клієнта або іншим чином надасте можливість їх отримати.

Після повернення даних або в іншому порядку, визначеному Договором, Ви невідкладно видалите всі наявні у Вас копії Персональних даних, за винятком випадків, передбачених законом.

13. Розкриття інформації на вимогу закону

Якщо інше не вимагається законом, Ви невідкладно повідомлятимете Клієнта про будь-яку отриману Вами повістку, судовий, адміністративний чи арбітражний припис органу виконавчої влади, адміністративного органу або іншого державного органу («Вимога»), що стосується Персональних даних, які Ви Обробляєте від імені Клієнта.

На запит Клієнта Ви надасте йому наявну у Вас розумно необхідну інформацію, що може стосуватися Вимоги, та будь-яку розумно необхідну допомогу для своєчасної відповіді Клієнта на Вимогу.

‍Додаток 1: Перелік Субобробників (за наявності)
‍
Додаток 2: Організаційні та технічні заходи, впроваджені Вами

1. Контроль фізичного доступу (заходи для запобігання доступу неуповноважених осіб до обладнання для обробки даних (наприклад, пристроїв, серверів баз даних і застосунків та пов’язаного обладнання), де обробляються або використовуються персональні дані)

Обробка із залученням зовнішніх постачальників: Ми розміщуємо наш Сервіс у сторонніх постачальників хмарної інфраструктури. Крім того, ми підтримуємо договірні відносини з постачальниками для надання Сервісу відповідно до нашої DPA. Для захисту даних, які ці постачальники обробляють або зберігають, ми покладаємося на договори, політики конфіденційності та програми дотримання вимог постачальниками.

Фізична безпека та безпека середовища: Ми розміщуємо інфраструктуру нашого продукту у сторонніх постачальників інфраструктури зі спільним використанням ресурсів кількома клієнтами. Засоби контролю фізичної безпеки та безпеки середовища цих постачальників перевіряються на відповідність SOC 2 Type II та ISO 27001, серед інших сертифікацій.

2. Контроль доступу до систем (заходи для запобігання використанню систем обробки даних неуповноваженими особами)
‍
Авторизація: Дані Клієнтів зберігаються в системах зберігання зі спільним використанням ресурсів кількома клієнтами, доступних Клієнтам лише через користувацькі інтерфейси застосунків та програмні інтерфейси. Клієнтам не дозволено прямий доступ до базової інфраструктури застосунків. Модель авторизації в кожному з наших продуктів розроблено так, щоб лише належним чином призначені особи мали доступ до відповідних функцій, подань і параметрів налаштування. Авторизація доступу до наборів даних здійснюється шляхом перевірки дозволів користувача за атрибутами, пов’язаними з кожним набором даних.

Автентифікація: Ми застосовуємо єдину політику паролів для наших клієнтських продуктів. Клієнти, які взаємодіють із продуктами через користувацький інтерфейс, повинні пройти автентифікацію перед отриманням доступу до непублічних даних клієнтів.
‍
3. Контроль доступу до даних (заходи для забезпечення того, щоб особи, уповноважені використовувати системи обробки даних, могли отримувати доступ лише до даних у межах та обсязі своїх відповідних дозволів доступу (авторизації), а персональні дані не могли бути прочитані, скопійовані, змінені або видалені без дозволу)

Доступ до продукту: Частина наших працівників має доступ до продуктів і даних клієнтів через контрольовані інтерфейси. Мета надання доступу окремим працівникам — забезпечення ефективної підтримки клієнтів, усунення потенційних проблем, виявлення інцидентів безпеки та реагування на них, а також забезпечення безпеки даних. Доступ надається за запитами «саме вчасно»; усі такі запити реєструються. Працівникам надається доступ відповідно до їхніх ролей, а перевірки надання прав із високим ризиком ініціюються щодня. Ролі працівників переглядаються щонайменше раз на шість місяців.

Перевірки біографічних відомостей: Усі працівники проходять перевірку сторонньою організацією до отримання пропозиції працевлаштування відповідно до застосовного законодавства та в дозволених ним межах. Усі працівники зобов’язані поводитися відповідно до настанов компанії, вимог щодо нерозголошення та етичних стандартів.

4. Контроль передачі (заходи для запобігання читанню, копіюванню, зміні або видаленню персональних даних неуповноваженими сторонами під час їх передачі або транспортування носіїв даних)

Під час передачі: Ми забезпечуємо можливість шифрування HTTPS (також відомого як SSL або TLS) у кожному інтерфейсі входу. Наша реалізація HTTPS використовує стандартні для галузі алгоритми та сертифікати.

Під час зберігання: Ми зберігаємо паролі користувачів відповідно до політик, що відповідають стандартним галузевим практикам безпеки. Ми впровадили технології, які забезпечують шифрування даних під час зберігання.
‍
5. Контроль введення (заходи для забезпечення можливості перевірити та встановити, чи вводилися персональні дані до систем обробки даних або видалялися з них і ким саме)

Виявлення: Ми спроєктували нашу інфраструктуру так, щоб реєструвати докладну інформацію про поведінку системи, отриманий трафік, автентифікацію в системі та інші запити застосунків. Внутрішні системи агрегують дані журналів і сповіщають відповідних працівників про зловмисні, ненавмисні або аномальні дії. Наш персонал, зокрема працівники служб безпеки, експлуатації та підтримки, реагує на відомі інциденти.

Реагування та відстеження: Ми ведемо облік відомих інцидентів безпеки, який містить опис, дати й час відповідних дій та результати опрацювання інциденту. Підозрювані та підтверджені інциденти безпеки розслідуються працівниками служб безпеки, експлуатації або підтримки; визначаються й документуються відповідні кроки для їх усунення. Для будь-яких підтверджених інцидентів ми вживатимемо належних заходів для мінімізації шкоди продукту та Клієнту або несанкціонованого розкриття інформації. Повідомлення Вам надаватиметься відповідно до умов Договору.

6. Контроль виконання завдань (заходи для забезпечення обробки даних суворо відповідно до вказівок Клієнта)

Наша система розміщена в захищеній хмарі; ми використовуємо шифрування будь-яких чутливих даних, централізоване керування доступом із чітко визначеними ролями та дуже обмежений доступ наших працівників до баз даних. Також ми реєструємо всі дії на серверах і хмарній платформі.

7. Контроль доступності (заходи для захисту даних від випадкового знищення або втрати)

Доступність інфраструктури: Постачальники інфраструктури докладають комерційно обґрунтованих зусиль для забезпечення щонайменше 99.95% часу безвідмовної роботи. Постачальники підтримують резервування щонайменше N+1 для електроживлення, мережі та систем опалення, вентиляції й кондиціонування повітря (HVAC).

Відмовостійкість: Стратегії резервного копіювання та реплікації розроблено для забезпечення резервування й перемикання на резервні ресурси під час значного збою обробки. Резервні копії даних клієнтів зберігаються в кількох надійних сховищах, а дані реплікуються між кількома зонами доступності.

Онлайн-репліки та резервні копії: Де це можливо, виробничі бази даних спроєктовано для реплікації даних між щонайменше 1 основною та 1 вторинною базою даних. Для всіх баз даних створюються резервні копії, а їх обслуговування здійснюється методами щонайменше галузевого стандарту.

Наші продукти розроблено для забезпечення резервування та безперешкодного перемикання у разі відмови. Архітектуру серверних екземплярів, що підтримують продукти, також побудовано з метою запобігання єдиним точкам відмови. Така конструкція допомагає нашим операційним командам підтримувати й оновлювати застосунки продукту та серверну частину, обмежуючи час простою.

8. Розмежування даних (заходи для відокремлення обробки для різних цілей та/або операцій)

Заходи для забезпечення окремої обробки (зберігання, зміни, видалення, передачі) даних для різних цілей:

a) Середовища, що використовуються для розробки, тестування та виробничої експлуатації, фізично розділені

b) Використання незнеособлених виробничих даних у середовищі розробки заборонене.

‍Додаток 3: Типові положення (за наявності)

ЄВРОПЕЙСЬКА КОМІСІЯ

ГЕНЕРАЛЬНИЙ ДИРЕКТОРАТ З ПИТАНЬ ЮСТИЦІЇ

Директорат C: Основоположні права та громадянство Союзу

Підрозділ C.3: Захист даних

Рішення Комісії C(2010)593
‍
Стандартні договірні положення (обробники)

Для цілей статті 26(2) Директиви 95/46/EC щодо передачі персональних даних обробникам, заснованим у третіх країнах, які не забезпечують належного рівня захисту даних

Назва організації — експортера даних: Клієнт
‍Клієнт
Тел.: N/A ; факс:N/A ; електронна пошта:
Інша інформація, необхідна для ідентифікації організації: N/A

(експортер даних)

Та

Назва організації — імпортера даних: RETENTION YES SP. Z.O.O
‍Адреса: Польща, 02-972, Мазовецьке воєводство, місто Варшава, вулиця Adama Branickiego, № 21, офіс U3
електронна пошта: info@reteno.com

(імпортер даних)

кожен окремо — «сторона»; разом — «сторони»,

ПОГОДИЛИ наведені нижче Договірні положення (Положення), щоб забезпечити належні гарантії захисту приватності та основоположних прав і свобод фізичних осіб під час передачі експортером даних імпортеру даних персональних даних, зазначених у Додатку 1.

‍Положення 1

Визначення

Для цілей цих Положень:

(a) «персональні дані», «особливі категорії даних», «обробляти/обробка», «контролер», «обробник», «суб’єкт даних» та «наглядовий орган» мають те саме значення, що й у Директиві 95/46/EC Європейського Парламенту та Ради від 24 жовтня 1995 року про захист фізичних осіб у зв’язку з обробкою персональних даних і про вільний рух таких даних¹;

(b) «експортер даних» означає контролера, який передає персональні дані;

(c) «імпортер даних» означає обробника, який погоджується отримувати від експортера даних персональні дані, призначені для обробки від його імені після передачі відповідно до його вказівок та умов Положень, і на якого не поширюється система третьої країни, що забезпечує належний захист у значенні статті 25(1) Директиви 95/46/EC;

(d) «субобробник» означає будь-якого обробника, залученого імпортером даних або будь-яким іншим субобробником імпортера даних, який погоджується отримувати від імпортера даних або від будь-якого іншого субобробника імпортера даних персональні дані, призначені виключно для обробки від імені експортера даних після передачі відповідно до його вказівок, умов Положень та умов письмового договору субпідряду;

(e) «застосовне законодавство про захист даних» означає законодавство, що захищає основоположні права та свободи фізичних осіб і, зокрема, їхнє право на приватність у зв’язку з обробкою персональних даних, яке застосовується до контролера даних у державі-члені, де засновано експортера даних;

(f) «технічні та організаційні заходи безпеки» означає заходи, спрямовані на захист персональних даних від випадкового або незаконного знищення чи випадкової втрати, зміни, несанкціонованого розкриття або доступу, зокрема коли обробка передбачає передачу даних через мережу, а також від усіх інших незаконних форм обробки.

‍¹Сторони можуть відтворити визначення та значення, наведені в Директиві 95/46/EC, у цьому Положенні, якщо вважатимуть, що для договору краще бути самодостатнім.

‍Положення 2

‍Відомості про передачу

Відомості про передачу, зокрема особливі категорії персональних даних, якщо застосовно, зазначено в Додатку 1, який є невід’ємною частиною Положень.

‍Положення 3

Положення на користь третьої особи

1. Суб’єкт даних як третя особа, на користь якої укладено договір, може вимагати від експортера даних виконання цього Положення, Положення 4(b)–(i), Положення 5(a)–(e) та (g)–(j), Положення 6(1) і (2), Положення 7, Положення 8(2) і Положень 9–12.

2. Суб’єкт даних може вимагати від імпортера даних виконання цього Положення, Положення 5(a)–(e) та (g), Положення 6, Положення 7, Положення 8(2) і Положень 9–12 у випадках, коли експортер даних фактично зник або припинив юридичне існування, якщо тільки будь-який правонаступник не прийняв усі юридичні зобов’язання експортера даних за договором або в силу закону, унаслідок чого він набуває прав та обов’язків експортера даних; у такому разі суб’єкт даних може вимагати їх виконання від такого правонаступника.

3. Суб’єкт даних може вимагати від субобробника виконання цього Положення, Положення 5(a)–(e) та (g), Положення 6, Положення 7, Положення 8(2) і Положень 9–12 у випадках, коли і експортер даних, і імпортер даних фактично зникли, припинили юридичне існування або стали неплатоспроможними, якщо тільки будь-який правонаступник не прийняв усі юридичні зобов’язання експортера даних за договором або в силу закону, унаслідок чого він набуває прав та обов’язків експортера даних; у такому разі суб’єкт даних може вимагати їх виконання від такого правонаступника. Така відповідальність субобробника перед третьою особою обмежується його власними операціями з обробки за Положеннями.

4. Сторони не заперечують проти представництва суб’єкта даних асоціацією або іншим органом, якщо суб’єкт даних прямо цього бажає і це дозволено національним законодавством.

Положення 4

Обов’язки експортера даних

Експортер даних погоджується та гарантує:
‍
a. що обробка персональних даних, включно із самою передачею, здійснювалася та надалі здійснюватиметься відповідно до належних положень застосовного законодавства про захист даних (і, де застосовно, про неї повідомлено відповідні органи держави-члена, де засновано експортера даних) та не порушує відповідних положень цієї держави;

b. що він доручив і протягом усього строку надання послуг з обробки персональних даних доручатиме імпортеру даних обробляти передані персональні дані лише від імені експортера даних та відповідно до застосовного законодавства про захист даних і Положень;

c. що імпортер даних надасть достатні гарантії щодо технічних та організаційних заходів безпеки, зазначених у Додатку 2 до цього договору;

d. що після оцінки вимог застосовного законодавства про захист даних заходи безпеки є належними для захисту персональних даних від випадкового або незаконного знищення чи випадкової втрати, зміни, несанкціонованого розкриття або доступу, зокрема коли обробка передбачає передачу даних через мережу, та від усіх інших незаконних форм обробки, і що ці заходи забезпечують рівень безпеки, відповідний ризикам обробки та характеру даних, які підлягають захисту, з урахуванням сучасного рівня технологій і вартості їх впровадження;

e. що він забезпечить дотримання заходів безпеки;

f. що, якщо передача охоплює особливі категорії даних, суб’єкта даних поінформовано або буде поінформовано до передачі чи якнайшвидше після неї про те, що його дані можуть бути передані до третьої країни, яка не забезпечує належного захисту в розумінні Директиви 95/46/EC;

g. пересилати будь-яке повідомлення, отримане від імпортера даних або будь-якого субобробника відповідно до Положення 5(b) і Положення 8(3), наглядовому органу із захисту даних, якщо експортер даних вирішить продовжити передачу або скасувати її призупинення;

h. надавати суб’єктам даних на запит копію Положень, за винятком Додатка 2, і стислий опис заходів безпеки, а також копію будь-якого договору про послуги субобробки, який має бути укладено відповідно до Положень, якщо тільки Положення або договір не містять комерційної інформації; у такому разі він може вилучити таку комерційну інформацію;

i. що в разі субобробки діяльність з обробки здійснюється відповідно до Положення 11 субобробником, який забезпечує щонайменше той самий рівень захисту персональних даних і прав суб’єкта даних, що й імпортер даних за Положеннями;

j. що він забезпечить дотримання Положення 4(a)–(i).

‍Положення 5

Обов’язки імпортера даних^2
‍
Імпортер даних погоджується та гарантує:

a. обробляти персональні дані лише від імені експортера даних і відповідно до його вказівок та Положень; якщо з будь-яких причин він не може забезпечити таке дотримання, він погоджується невідкладно повідомити експортера даних про неможливість виконання, і в такому разі експортер даних має право призупинити передачу даних та/або розірвати договір;

b. що він не має підстав вважати, що застосовне до нього законодавство перешкоджає виконанню вказівок, отриманих від експортера даних, та його обов’язків за договором, і що в разі зміни цього законодавства, яка може суттєво негативно вплинути на гарантії та обов’язки, передбачені Положеннями, він невідкладно повідомить експортера даних про таку зміну, щойно дізнається про неї; у такому разі експортер даних має право призупинити передачу даних та/або розірвати договір;

c. що він впровадив технічні та організаційні заходи безпеки, зазначені в Додатку 2, до початку обробки переданих персональних даних;

d. що він невідкладно повідомлятиме експортера даних про:

i. будь-який юридично обов’язковий запит правоохоронного органу щодо розкриття персональних даних, якщо інше не заборонено, наприклад забороною за кримінальним законодавством для збереження конфіденційності правоохоронного розслідування,

ii. будь-який випадковий або несанкціонований доступ,

iii. будь-який запит, отриманий безпосередньо від суб’єктів даних, не відповідаючи на нього, якщо він не був окремо уповноважений це зробити;

e. невідкладно й належним чином опрацьовувати всі запити експортера даних щодо обробки ним персональних даних, які передаються, і дотримуватися рекомендацій наглядового органу щодо обробки переданих даних;

f. на запит експортера даних надавати свої об’єкти обробки даних для аудиту діяльності з обробки, охопленої Положеннями, який проводитиметься експортером даних або обраним ним органом перевірки, що складається з незалежних членів із необхідною професійною кваліфікацією, зобов’язаних зберігати конфіденційність, і, де застосовно, погодженим із наглядовим органом;

g. надавати суб’єкту даних на запит копію Положень або будь-якого чинного договору про субобробку, якщо тільки Положення або договір не містять комерційної інформації, яку в такому разі можна вилучити, за винятком Додатка 2, який замінюється стислим описом заходів безпеки в тих випадках, коли суб’єкт даних не може отримати копію від експортера даних;

h. що в разі субобробки він завчасно поінформував експортера даних та отримав його попередню письмову згоду;

i. що послуги з обробки, які надає субобробник, здійснюватимуться відповідно до Положення 11;

j. невідкладно надсилати експортеру даних копію будь-якої угоди із субобробником, укладеної ним за Положеннями.

‍²Обов’язкові вимоги національного законодавства, застосовного до імпортера даних, які не виходять за межі необхідного в демократичному суспільстві на підставі одного з інтересів, перелічених у статті 13(1) Директиви 95/46/EC, тобто якщо вони становлять необхідний захід для захисту національної безпеки, оборони, громадської безпеки, запобігання, розслідування, виявлення та переслідування кримінальних правопорушень або порушень етики регульованих професій, важливого економічного чи фінансового інтересу держави або захисту суб’єкта даних чи прав і свобод інших осіб, не суперечать стандартним договірним положенням. Прикладами таких обов’язкових вимог, що не виходять за межі необхідного в демократичному суспільстві, є, зокрема, міжнародно визнані санкції, вимоги до податкової звітності або вимоги до звітності у сфері протидії відмиванню коштів.

‍Положення 6

‍Відповідальність

1. Сторони погоджуються, що будь-який суб’єкт даних, який зазнав шкоди внаслідок порушення будь-якою стороною або субобробником обов’язків, зазначених у Положенні 3 або Положенні 11, має право отримати від експортера даних відшкодування завданої шкоди.

2. Якщо суб’єкт даних не може пред’явити експортеру даних вимогу про відшкодування відповідно до пункту 1 у зв’язку з порушенням імпортером даних або його субобробником будь-яких їхніх обов’язків, зазначених у Положенні 3 або Положенні 11, через те, що експортер даних фактично зник, припинив юридичне існування або став неплатоспроможним, імпортер даних погоджується, що суб’єкт даних може пред’явити вимогу до імпортера даних так, ніби він є експортером даних, якщо тільки будь-який правонаступник не прийняв усі юридичні зобов’язання експортера даних за договором або в силу закону; у такому разі суб’єкт даних може реалізувати свої права щодо такого правонаступника. Імпортер даних не може посилатися на порушення субобробником своїх обов’язків, щоб уникнути власної відповідальності.

3. Якщо суб’єкт даних не може пред’явити експортеру даних або імпортеру даних вимогу, зазначену в пунктах 1 і 2, у зв’язку з порушенням субобробником будь-яких його обов’язків, зазначених у Положенні 3 або Положенні 11, через те, що і експортер даних, і імпортер даних фактично зникли, припинили юридичне існування або стали неплатоспроможними, субобробник погоджується, що суб’єкт даних може пред’явити вимогу до субобробника щодо його власних операцій з обробки за Положеннями так, ніби він є експортером даних або імпортером даних, якщо тільки будь-який правонаступник не прийняв усі юридичні зобов’язання експортера даних або імпортера даних за договором або в силу закону; у такому разі суб’єкт даних може реалізувати свої права щодо такого правонаступника. Відповідальність субобробника обмежується його власними операціями з обробки за Положеннями.

‍Положення 7

Медіація та юрисдикція

1. Імпортер даних погоджується, що, якщо суб’єкт даних реалізує щодо нього права третьої особи, на користь якої укладено договір, та/або вимагає відшкодування шкоди за Положеннями, імпортер даних прийме рішення суб’єкта даних:

a. передати спір на медіацію незалежній особі або, де застосовно, наглядовому органу;

b. передати спір до судів держави-члена, де засновано експортера даних.

2. Сторони погоджуються, що вибір, зроблений суб’єктом даних, не обмежуватиме його матеріальних або процесуальних прав на засоби правового захисту відповідно до інших положень національного чи міжнародного права.

‍Положення 8

Співпраця з наглядовими органами

1. Експортер даних погоджується надати копію цього договору наглядовому органу на його запит або якщо таке надання вимагається застосовним законодавством про захист даних.

2. Сторони погоджуються, що наглядовий орган має право проводити аудит імпортера даних і будь-якого субобробника, який має той самий обсяг і здійснюється на тих самих умовах, що й аудит експортера даних за застосовним законодавством про захист даних.

3. Імпортер даних повинен невідкладно повідомити експортера даних про наявність законодавства, застосовного до нього або будь-якого субобробника, яке перешкоджає проведенню аудиту імпортера даних або будь-якого субобробника відповідно до пункту 2. У такому разі експортер даних має право вжити заходів, передбачених Положенням 5 (b).

Положення 9

Застосовне право

Положення регулюються правом держави-члена, де засновано експортера даних.

Положення 10

‍Зміна договору

Сторони зобов’язуються не змінювати й не модифікувати Положення. Це не перешкоджає сторонам за потреби додавати положення з питань господарської діяльності, якщо вони не суперечать Положенню.

Положення 11

Субобробка

1. Імпортер даних не повинен передавати на субпідряд будь-які свої операції з обробки, що виконуються від імені експортера даних за Положеннями, без попередньої письмової згоди експортера даних. Якщо імпортер даних за згодою експортера даних передає свої обов’язки за Положеннями на субпідряд, він повинен робити це лише на підставі письмової угоди із субобробником, яка покладає на субобробника ті самі обов’язки, що покладаються на імпортера даних за Положеннями³. Якщо субобробник не виконує свої обов’язки щодо захисту даних за такою письмовою угодою, імпортер даних залишається повністю відповідальним перед експортером даних за виконання обов’язків субобробника за цією угодою.

2. Попередній письмовий договір між імпортером даних і субобробником також повинен передбачати положення на користь третьої особи, як визначено в Положенні 3, для випадків, коли суб’єкт даних не може пред’явити експортеру даних або імпортеру даних вимогу про відшкодування, зазначену в пункті 1 Положення 6, через те, що вони фактично зникли, припинили юридичне існування або стали неплатоспроможними, і жоден правонаступник не прийняв усі юридичні зобов’язання експортера даних або імпортера даних за договором або в силу закону. Така відповідальність субобробника перед третьою особою обмежується його власними операціями з обробки за Положеннями.

3. Положення щодо аспектів захисту даних під час субобробки в договорі, зазначеному в пункті 1, регулюються правом держави-члена, де засновано експортера даних.

4. Експортер даних повинен вести перелік угод про субобробку, укладених за Положеннями, про які імпортер даних повідомив відповідно до Положення 5 (j); цей перелік має оновлюватися щонайменше раз на рік. Перелік має бути доступним наглядовому органу із захисту даних експортера даних.

³Ця вимога може бути виконана шляхом підписання субобробником договору, укладеного між експортером даних та імпортером даних відповідно до цього Рішення.

Положення 12

‍Обов’язок після припинення надання послуг з обробки персональних даних

1. Сторони погоджуються, що після припинення надання послуг з обробки даних імпортер даних і субобробник за вибором експортера даних повернуть йому всі передані персональні дані та їхні копії або знищать усі персональні дані й підтвердять експортеру даних факт такого знищення, якщо тільки законодавство, що поширюється на імпортера даних, не перешкоджає поверненню або знищенню всіх чи частини переданих персональних даних. У такому разі імпортер даних гарантує, що забезпечить конфіденційність переданих персональних даних і більше не здійснюватиме їх активної обробки.

2. Імпортер даних і субобробник гарантують, що на запит експортера даних та/або наглядового органу нададуть свої об’єкти обробки даних для аудиту заходів, зазначених у пункті 1.

Від імені експортера даних:
‍Ім’я (повністю):
Посада Клієнта:
Адреса:
Інша інформація, необхідна для обов’язкової сили договору (за наявності):
‍
Підпис……………………………………….
(печатка організації)
‍
Від імені імпортера даних:
‍Ім’я (повністю): Oleksii Danchenko
Посада: Директор
Адреса: Польща, 02-972, Мазовецьке воєводство, місто Варшава, вулиця Adama Branickiego, № 21, офіс U3
Інша інформація, необхідна для обов’язкової сили договору (за наявності):

Підпис……………………………………….
(печатка організації)

‍ДОДАТОК 1 ДО СТАНДАРТНИХ ДОГОВІРНИХ ПОЛОЖЕНЬ

Цей Додаток є частиною Положень і має бути заповнений та підписаний сторонами.

Держави-члени можуть доповнювати або уточнювати відповідно до своїх національних процедур будь-яку додаткову необхідну інформацію, що має міститися в цьому Додатку.

Експортер даних

Експортер даних (стисло зазначте вашу діяльність, пов’язану з передачею):

‍Клієнт

‍Імпортер даних

Імпортер даних (стисло зазначте діяльність, пов’язану з передачею):

‍онлайн-сервіс, призначений для створення та надсилання маркетингових і транзакційних повідомлень третім особам

‍Суб’єкти даних

Передані персональні дані стосуються таких категорій суб’єктів даних (зазначте):

‍Див. зазначене у статті 3.2 Угоди про обробку даних.

‍Категорії даних

Передані персональні дані стосуються таких категорій даних (зазначте):

‍Див. зазначене у статті 3.1 Угоди про обробку даних.

‍Особливі категорії даних (за потреби)

Передані персональні дані стосуються таких особливих категорій даних (зазначте): N/AОперації з обробки

Передані персональні дані підлягатимуть таким основним операціям з обробки (зазначте):

‍Див. зазначене в Договорі про надання послуг.

‍ДОДАТОК 2 ДО СТАНДАРТНИХ ДОГОВІРНИХ ПОЛОЖЕНЬ

Цей Додаток є частиною Положень і має бути заповнений та підписаний сторонами.

Опис технічних та організаційних заходів безпеки, впроваджених імпортером даних відповідно до Положень 4(d) і 5(c) (або доданий документ/законодавство):

‍Див. Додаток 2 до Угоди про обробку даних.