Договір про обробку персональних даних

1. Сторони та укладення

Контролер: Замовник, який оформив Передплату FrameCRM (далі — «Контролер»).

Обробник: Pavlo Okhmak (Павло Охмак), фізична особа-підприємець, IČO 29485941, місцезнаходження (місце здійснення підприємницької діяльності): Bezručova 4201, 430 03 Chomutov, Чеська Республіка, зареєстрований у торговому (živnostenský) реєстрі Чеської Республіки, не є платником ПДВ (далі — «Обробник»).

Цей договір про обробку персональних даних (далі — «DPA») є частиною Умов використання. Контролер приймає його, підтверджуючи згоду під час реєстрації у FrameCRM; підпис не потрібен. DPA виконує вимогу щодо договору відповідно до ст. 28(3) Регламенту (ЄС) 2016/679 (GDPR).

Це переклад для інформації; обов’язковою є чеська версія DPA, яка має переважну силу. З питань захисту персональних даних DPA має пріоритет над Умовами використання.

2. Предмет, строк, характер і мета

• Предмет: обробка персональних даних, які Контролер або його користувачі вносять до FrameCRM.
• Строк: протягом дії Передплати, а після неї — до видалення даних відповідно до статті 10.
• Характер обробки: збирання (зокрема запитів і записів із сайту Контролера чи форми онлайн-запису, якщо вони використовуються), зберігання, упорядкування, відображення, пошук, зміна, експорт, підготовка нагадувань і повідомлень, які користувачі Контролера самі надсилають клієнтам (наприклад, через посилання WhatsApp), сповіщення для користувачів Контролера (через Telegram, якщо Контролер це увімкне), формування документів, як-от рахунків, резервне копіювання та видалення.
• Мета: надання послуги FrameCRM — облік клієнтів, автомобілів, замовлень, календаря, нагадувань, відгуків, рахунків, складу, заробітної плати та статистики Контролера.

3. Категорії суб’єктів даних і персональних даних

Суб’єкти даних: клієнти та потенційні клієнти Контролера, їхні контактні особи, працівники та інші користувачі Контролера.

Категорії даних:

• ідентифікаційні та контактні дані (ім’я, телефон, e-mail, адреса);
• дані про автомобіль (марка, модель, номерний знак, VIN, показник одометра);
• історія замовлень, записи на дати, ціни та відомості про платежі, нотатки;
• дані для виставлення рахунків (найменування платника, адреса, IČO / номер платника ПДВ);
• фотографії (переважно автомобілів), які можуть містити й інші персональні дані;
• листування та відгуки клієнтів;
• дані користувачів Контролера (ім’я, e-mail, телефон, роль, записи про входи, журнал дій), а якщо Контролер використовує облік заробітної плати — також їхні правила оплати праці, заробіток і виплати.

Обробка спеціальних категорій даних (ст. 9 GDPR) чи даних про судимості не передбачається; Контролер не вносить їх до FrameCRM.

4. Обов’язки Контролера

Контролер відповідає за наявність правової підстави обробки, належне інформування суб’єктів даних, точність внесених даних і відповідність законодавству вказівок, наданих Обробнику. Контролер захищає доступи своїх користувачів.

5. Обов’язки Обробника

Обробник:

• обробляє персональні дані лише за документально підтвердженими вказівками Контролера — ними вважаються Умови використання, цей DPA, а також налаштування й дії Контролера в застосунку, — зокрема щодо передачі до третіх країн; негайно повідомляє, якщо вважає вказівку незаконною;
• забезпечує, щоб особи, уповноважені обробляти дані, взяли на себе зобов’язання щодо конфіденційності;
• вживає технічних і організаційних заходів відповідно до ст. 32 GDPR (стаття 7);
• дотримується умов залучення інших обробників (стаття 6);
• допомагає Контролеру виконувати обов’язок реагувати на запити суб’єктів даних — зокрема функціями застосунку для пошуку, виправлення, експорту та видалення даних;
• допомагає Контролеру виконувати обов’язки за ст. 32–36 GDPR з урахуванням характеру обробки та доступної інформації;
• після припинення послуги видаляє або повертає дані (стаття 10);
• надає Контролеру інформацію, необхідну для підтвердження відповідності, і уможливлює аудити (стаття 11);
• не використовує Дані Контролера для власних цілей.

6. Інші обробники (субобробники)

Контролер надає загальний дозвіл на залучення інших обробників. Станом на дату набрання чинності DPA це:

Платежі за Передплату обробляє Stripe; однак він не обробляє персональні дані клієнтів Контролера.

Повідомлення клієнтам через WhatsApp надсилають користувачі Контролера зі свого власного застосунку WhatsApp (посилання click-to-chat); тому WhatsApp (Meta) не є субобробником Обробника, а використання WhatsApp Контролером регулюється його власними відносинами з Meta. Під час розшифрування VIN користувачем до безкоштовної публічної бази даних NHTSA vPIC (Міністерство транспорту США) для визначення марки й моделі надсилається лише VIN (без будь-яких інших даних); адреси студій можуть визначатися через OpenStreetMap (Nominatim).

Про заплановане додавання чи заміну іншого обробника Обробник повідомляє Контролера електронною поштою щонайменше за 14 днів. Контролер може з обґрунтованих причин, пов’язаних із захистом даних, заявити заперечення; якщо сторони не знайдуть рішення, Контролер може скасувати Передплату з дати зміни. Обробник покладає на інших обробників такі самі обов’язки щодо захисту даних і відповідає за їх виконання.

Передача до третіх країн здійснюється лише з гарантіями відповідно до глави V GDPR (рішення про належний рівень захисту, стандартні договірні положення).

7. Технічні та організаційні заходи

• шифрування під час передачі (HTTPS/TLS) і шифрування збережених даних на боці постачальника бази даних;
• вхід за паролем або через одноразові посилання для входу (з обмеженим строком дії), захищені сесії, ролі та права користувачів у межах облікового запису;
• логічне розмежування даних окремих замовників;
• доступ Обробника до робочих даних лише в необхідному обсязі (підтримка, усунення помилок), захищений надійною автентифікацією;
• регулярне резервне копіювання в постачальника бази даних і можливість відновлення;
• регулярні оновлення програмного забезпечення та залежностей, зберігання секретних ключів поза вихідним кодом;
• журнали роботи та подій безпеки;
• мінімізація даних — персональні дані клієнтів не передаються в аналітику;
• порядок реагування на інциденти безпеки.

8. Порушення безпеки

Обробник повідомляє Контролера про порушення безпеки персональних даних без невиправданої затримки, не пізніше ніж через 48 годин після того, як дізнався про нього. Повідомлення містить наявну в Обробника інформацію відповідно до ст. 33(3) GDPR, яку він поступово доповнює. Обробник вживає розумних заходів для пом’якшення наслідків.

9. Запити суб’єктів даних

Якщо Обробник отримає запит суб’єкта даних щодо Даних Контролера, він без невиправданої затримки передає його Контролеру і сам на нього не відповідає, якщо Контролер не доручить інше.

10. Видалення та повернення даних

Протягом дії Передплати Контролер може будь-коли експортувати й видаляти дані. Після припинення Передплати Обробник зберігає дані 90 днів, протягом яких Контролер може запросити їх у машинозчитуваному форматі. Після цього дані остаточно видаляються; копії в резервних копіях зникають у межах ротації резервних копій не пізніше ніж протягом наступних 30 днів. Це не застосовується, якщо зберігання вимагає законодавство.

11. Інформація та аудити

На запит Обробник надає Контролеру інформацію, необхідну для підтвердження відповідності ст. 28 GDPR, як правило, у формі письмових відповідей і документації. Аудит або перевірку на місці Контролер чи уповноважений ним аудитор, зобов’язаний дотримуватися конфіденційності, може провести після повідомлення щонайменше за 30 днів, не частіше ніж раз на рік (крім розслідування порушення безпеки чи вимоги наглядового органу) і за рахунок Контролера.

12. Відповідальність і прикінцеві положення

Відповідальність сторін регулюється ст. 82 GDPR, а в решті — Умовами використання. DPA діє, доки Обробник обробляє Дані Контролера. Він регулюється правом Чеської Республіки.

Контакт із питань захисту персональних даних: info@frame-webs.com.