Ця Угода про обробку даних («DPA») є частиною угоди, що регулює доступ до платформи PRE-ORDER, застосунку, бізнес-інструментів або пов’язаних сервісів («Сервіси»), у випадках, коли PRE-ORDER обробляє Персональні дані від імені бізнес-клієнта як обробник. DPA призначена для виконання вимог статті 28 GDPR та аналогічних вимог до обробників згідно із застосовним законодавством про захист даних.
Ця DPA не регулює обробку, для якої PRE-ORDER самостійно визначає цілі та засоби як незалежний Контролер, зокрема адміністрування акаунтів, безпеку Платформи, запобігання шахрайству, виконання юридичних обов’язків, аналітику для власних цілей PRE-ORDER або роботу Платформи передзамовлень, описану в Політиці конфіденційності. Такі операції регулюються Політикою конфіденційності та застосовним законодавством.
1. Сторони та сфера застосування
1.1 «PRE-ORDER Europe» EOOD, UIC/EIK 208904127, зареєстрована за адресою: Arthur Residential Complex, Block C, Floor 3, Apartment C44, 8229 Sveti Vlas, Nessebar Municipality, Burgas District, Bulgaria («PRE-ORDER», «Обробник», «ми», «нас» або «наш»), укладає цю DPA з підприємством або організацією, яка прийняла відповідну угоду про Сервіси, Seller Agreement, умови для Business Buyer, форму замовлення або іншу комерційну угоду («Клієнт», «Контролер» або «ви»).
1.2 Юридична особа Клієнта визначається у верифікованому бізнес-акаунті PRE-ORDER, підписаному комерційному додатку, формі замовлення або іншій угоді. Особа, яка приймає цю DPA від імені Клієнта, підтверджує наявність повноважень зобов’язувати відповідну особу.
1.3 Ця DPA застосовується лише до Персональних даних Клієнта, які PRE-ORDER обробляє від імені Клієнта як обробник у зв’язку із Сервісами. Вона не перетворює відносини «контролер-контролер» на відносини «контролер-обробник», якщо фактична та правова роль сторін є іншою.
1.4 Якщо Клієнт сам діє як обробник іншого контролера, для відповідної обробки Клієнт є «Обробником», а PRE-ORDER — «Субобробником». Посилання на інструкції Контролера включають законні інструкції, передані Клієнтом від імені такого контролера.
1.5 У разі суперечності перевагу має обов’язкове законодавство про захист даних, далі — підписаний додаток із захисту даних, ця DPA, відповідна комерційна угода та загальні умови платформи, якщо сторони прямо письмово не погодили інше.
2. Визначення
«Застосовне законодавство про захист даних» означає GDPR, національне законодавство, що доповнює або імплементує його, а також інші закони про приватність або захист даних, які застосовуються до відповідної обробки.
«Персональні дані Клієнта» означають Персональні дані, які PRE-ORDER обробляє від імені Клієнта відповідно до цієї DPA.
«Суб’єкт даних», «Контролер», «Обробник», «Обробка», «Персональні дані» та «Порушення безпеки Персональних даних» мають значення, визначені GDPR.
«GDPR» означає Регламент (ЄС) 2016/679.
«Субобробник» означає третю сторону, залучену PRE-ORDER для обробки Персональних даних Клієнта від імені Клієнта.
«Сервіси» означають платформу PRE-ORDER, застосунок, API, панелі, комунікації, аналітику, інтеграції та пов’язані бізнес-сервіси, надані Клієнту відповідно до застосовної угоди.
«Стандартні договірні положення» або «SCC» означають стандартні договірні положення Європейської Комісії для передачі персональних даних до третіх країн, зі змінами, заміною або доповненнями, що діють відповідно до законодавства.
3. Ролі сторін
3.1 Клієнт відповідає за визначення того, чи є він Контролером або Обробником щодо Персональних даних Клієнта та в якому обсязі. Клієнт відповідає за власну відповідність Застосовному законодавству про захист даних, включно з прозорістю, правовою підставою, мінімізацією даних, точністю, строками зберігання та реалізацією прав суб’єктів даних.
3.2 PRE-ORDER діє як Обробник лише тоді, коли обробляє Персональні дані Клієнта за документованими інструкціями Клієнта для надання Сервісів. Для інших операцій PRE-ORDER може діяти як незалежний Контролер, як описано в Політиці конфіденційності.
3.3 Сторони визнають, що Платформа передзамовлень PRE-ORDER може передбачати участь кількох незалежних Контролерів. Наприклад, Продавець може самостійно визначати цілі та засоби обробки даних Покупця, необхідних для виконання Договору на товар, тоді як PRE-ORDER може окремо визначати цілі та засоби обробки даних, потрібних для роботи Платформи. Ця DPA застосовується лише тоді, коли фактичні й правові відносини мають характер «контролер — обробник».
3.4 Жодне положення цієї DPA не робить PRE-ORDER Контролером бізнес-рішень Клієнта, кадрових записів, списків клієнтів, завантажених бізнес-наборів даних або інструкцій лише через те, що PRE-ORDER надає технічну інфраструктуру для їх обробки.
4. Інструкції Клієнта
4.1 PRE-ORDER оброблятиме Персональні дані Клієнта лише за документованими інструкціями Клієнта, у тому числі в обсязі, необхідному для надання, захисту, підтримки та обслуговування Сервісів, якщо інша обробка не вимагається законодавством ЄС або держави-члена. Якщо це дозволено законом, PRE-ORDER повідомить Клієнта до такої обробки.
4.2 Інструкції Клієнта складаються з цієї DPA, відповідної угоди, законної конфігурації та використання Сервісів Клієнтом, запитів підтримки, увімкнених інтеграцій та інших письмових інструкцій, прийнятих PRE-ORDER.
4.3 Якщо PRE-ORDER обґрунтовано вважає, що інструкція порушує Застосовне законодавство про захист даних, PRE-ORDER без невиправданої затримки повідомить Клієнта та може призупинити відповідну обробку до підтвердження, зміни або відкликання інструкції.
4.4 PRE-ORDER не зобов’язаний виконувати інструкцію, яка суттєво змінює Сервіси, порушує права іншого користувача, послаблює безпеку, вимагає незаконного розкриття або виходить за межі погоджених Сервісів без окремого письмового визначення обсягу та, за потреби, оплати.
5. Деталі обробки
5.1 Предмет, тривалість, характер і мета обробки, категорії Персональних даних та категорії Суб’єктів даних описані в Додатку 1 і можуть додатково визначатися конфігурацією Сервісів Клієнта або комерційною документацією.
5.2 Клієнт не повинен використовувати Сервіси для обробки Персональних даних, які не є необхідними для заявленої бізнес-мети. Клієнт не повинен навмисно вводити дані спеціальних категорій, дані про судимості, повні реквізити платіжних карток, паролі, секрети автентифікації або державні документи, що посвідчують особу, у загальні текстові поля, якщо відповідна функція прямо не вимагає та законно не підтримує таку обробку.
5.3 Функції прогнозування попиту PRE-ORDER не призначені для використання паролів, номерів платіжних карток, CVV/кодів безпеки, облікових даних автентифікації, документів, що посвідчують особу, приватних платіжних облікових даних або вмісту приватних чатів як ознак AI-моделі. Де це можливо, аналітичні набори даних повинні використовувати псевдонімізовану або агреговану інформацію замість прямих ідентифікаторів.
6. Конфіденційність та уповноважений персонал
6.1 PRE-ORDER забезпечить, щоб особи, уповноважені обробляти Персональні дані Клієнта, були пов’язані належним обов’язком конфіденційності або законодавчим обов’язком конфіденційності та отримували доступ лише в обсязі, необхідному для їхньої ролі.
6.2 Доступ обмежуватиметься рольовими або еквівалентними засобами контролю, відповідними до Сервісів. Адміністративні дії можуть журналюватися, якщо це необхідно для підзвітності, безпеки та розслідування інцидентів.
6.3 PRE-ORDER надаватиме відповідному персоналу інструкції з питань захисту даних і безпеки відповідно до їхніх обов’язків.
7. Безпека обробки
7.1 PRE-ORDER впроваджуватиме та підтримуватиме належні технічні й організаційні заходи, призначені для захисту Персональних даних Клієнта від випадкового або незаконного знищення, втрати, зміни, несанкціонованого розкриття або доступу, з урахуванням сучасного рівня техніки, вартості впровадження, характеру, обсягу, контексту й цілей обробки та ризиків для фізичних осіб.
7.2 Заходи можуть включати, залежно від відповідного Сервісу та ризику:
- контроль доступу та принцип найменших привілеїв;
- контроль автентифікації та, де підтримується, багатофакторну автентифікацію;
- шифрування під час передачі та належний захист даних під час зберігання;
- відокремлення або псевдонімізацію аналітичних наборів даних, де це можливо;
- журналювання безпеки, моніторинг та процедури реагування на інциденти;
- безпечну розробку, керування змінами, вразливостями та резервним копіюванням;
- пропорційну ризику перевірку постачальників і Субобробників;
- заходи безперервності бізнесу та відновлення;
- процедури мінімізації даних, зберігання та безпечного видалення; та
- періодичну оцінку ефективності відповідних засобів захисту.
7.3 Додаток 2 описує базову систему безпеки на рівні, достатньому для договірної прозорості, але не розкриває інформацію, яка сама могла б послабити безпеку.
7.4 Клієнт відповідає за безпечну конфігурацію свого Акаунта, керування уповноваженими користувачами, захист облікових даних, застосування належних прав доступу та використання доступних функцій безпеки.
8. Субобробники
8.1 Клієнт надає загальний письмовий дозвіл PRE-ORDER залучати Субобробників, якщо це обґрунтовано необхідно для надання Сервісів, за умови дотримання цього Розділу.
8.2 PRE-ORDER покладатиме на кожного Субобробника зобов’язання із захисту даних, які за суттю не є менш захисними, ніж зобов’язання PRE-ORDER за цією DPA щодо переданої такому Субобробнику обробки.
8.3 PRE-ORDER залишається відповідальним перед Клієнтом за виконання Субобробниками їхніх зобов’язань із захисту даних у межах, передбачених Застосовним законодавством про захист даних.
8.4 PRE-ORDER підтримуватиме актуальний список суттєвих Субобробників і надаватиме його через Платформу, юридичні сторінки, Акаунт Клієнта або на обґрунтований запит. У списку можуть зазначатися Субобробник, функція сервісу та місце або регіон обробки, де це доречно.
8.5 Якщо цього вимагає стаття 28 GDPR, PRE-ORDER надаватиме розумне попереднє повідомлення про нового або заміненого Субобробника. Клієнт може заперечити на обґрунтованих і документованих підставах захисту даних. Сторони добросовісно намагатимуться вирішити проблему, зокрема розглянуть комерційно обґрунтовану альтернативу. Якщо розумного рішення немає, будь-яка сторона може припинити відповідний Сервіс у необхідному обсязі згідно з комерційною угодою.
8.6 Stripe, якщо він використовується для B2C-платежів, та окремий ліцензований провайдер B2B-платежів після його підключення можуть обробляти платіжні дані у власних договірних і регуляторних ролях. Якщо провайдер діє як незалежний Контролер, така обробка не стає обробкою Субобробника за цією DPA лише через інтеграцію з PRE-ORDER. Роль кожної сторони визначається фактичною схемою обробки даних.
9. Міжнародні передачі
9.1 PRE-ORDER не передаватиме Персональні дані Клієнта з ЄЕЗ до країни без відповідного рішення про адекватність, якщо не застосовується належний механізм передачі згідно з Главою V GDPR, зокрема SCC, обов’язкові корпоративні правила, де вони доступні, або інший законний механізм.
9.2 Якщо для передачі даних за участю PRE-ORDER як експортера або імпортера потрібні SCC, сторони до здійснення такої передачі забезпечать належний модуль SCC і заповнені додатки в межах юридично чинної угоди про передачу. Відповідні відомості можуть бути зафіксовані в цій DPA, списку Субобробників або окремому додатку щодо передачі даних.
9.3 PRE-ORDER застосовуватиме додаткові заходи, коли цього обґрунтовано вимагають Застосовне законодавство про захист даних та обставини передачі, включно з технічними, договірними або організаційними гарантіями.
9.4 Клієнт відповідає за те, щоб його власні передачі до PRE-ORDER, Sellers, Buyers, афілійованих осіб або інших одержувачів мали законну підставу для передачі, якщо вона вимагається.
10. Допомога у реалізації прав суб’єктів даних
10.1 З урахуванням характеру обробки PRE-ORDER надаватиме Клієнту розумну допомогу шляхом відповідних технічних і організаційних заходів, наскільки це можливо, для відповіді на запити щодо реалізації прав суб’єктів даних за Застосовним законодавством про захист даних.
10.2 Якщо PRE-ORDER отримує запит, що стосується виключно Персональних даних Клієнта, для яких Клієнт є Контролером, PRE-ORDER може перенаправити заявника до Клієнта і не відповідатиме від імені Клієнта самостійно, якщо немає відповідного дозволу або юридичного обов’язку.
10.3 Клієнт залишається відповідальним за перевірку заявника, визначення належної юридичної відповіді та дотримання встановлених строків. PRE-ORDER може вимагати розумну інформацію для пошуку відповідних даних і перевірки того, що запит стосується обробки під контролем Клієнта.
10.4 Якщо запит також стосується обробки, для якої PRE-ORDER є незалежним Контролером, PRE-ORDER може відповісти окремо відповідно до своєї Політики конфіденційності.
11. Допомога з комплаєнсом, DPIA та консультаціями
11.1 З урахуванням характеру обробки та доступної PRE-ORDER інформації PRE-ORDER надаватиме розумну допомогу щодо обов’язків Клієнта з безпеки, Порушень безпеки Персональних даних, оцінки впливу на захист даних та попередньої консультації з наглядовим органом, якщо відповідний обов’язок стосується обробки за цією DPA.
11.2 Клієнт відповідає за визначення того, чи потрібна DPIA для його використання Сервісів. PRE-ORDER може надати наявну інформацію про архітектуру, заходи безпеки, потоки даних та відповідну обробку, необхідну для такої оцінки.
11.3 PRE-ORDER може проводити власний скринінг DPIA або оцінку ризику для обробки на Платформі, включно з поведінковою аналітикою, профілюванням, систематичним моніторингом, поєднанням наборів даних та AI-обробкою, якщо цього вимагає закон або ризик.
12. Порушення безпеки Персональних даних
12.1 PRE-ORDER повідомить Клієнта без невиправданої затримки після того, як стане відомо про Порушення безпеки Персональних даних, що зачіпає Персональні дані Клієнта, які обробляються за цією DPA.
12.2 Повідомлення міститиме інформацію, яка обґрунтовано доступна PRE-ORDER та може бути потрібна Клієнту для виконання статей 33 і 34 GDPR, зокрема:
- опис характеру порушення, включно з категоріями даних та суб’єктів даних, якщо це обґрунтовано відомо;
- відомий або обґрунтовано оцінений масштаб;
- ймовірні наслідки;
- заходи, вжиті або запропоновані для локалізації, розслідування та усунення інциденту;
- контактну особу для подальшої взаємодії; та
- додаткову інформацію поетапно, якщо всі деталі неможливо надати одночасно.
12.3 Повідомлення PRE-ORDER про інцидент не є визнанням вини або відповідальності. Клієнт відповідає за визначення необхідності повідомлення наглядового органу або постраждалих осіб, якщо PRE-ORDER не має окремого юридичного обов’язку як Контролер.
12.4 Клієнт повинен без невиправданої затримки повідомити PRE-ORDER про компрометацію облікових даних Клієнта, ключів інтеграції, систем Клієнта або іншу подію, що може впливати на безпеку Сервісів чи Персональних даних Клієнта.
13. Повернення та видалення даних
13.1 Після припинення або завершення відповідних Сервісів і за вибором Клієнта, якщо цього вимагає стаття 28 GDPR, PRE-ORDER видалить або поверне Персональні дані Клієнта, які оброблялися виключно від його імені, якщо застосовне законодавство не вимагає зберігання.
13.2 Клієнт повинен експортувати потрібну інформацію до закриття Акаунта за допомогою доступних інструментів або розумних каналів підтримки. Повернення залежить від технічної можливості, безпеки, прав третіх сторін та погоджених Сервісів.
13.3 Видалення з активних систем може супроводжуватися подальшим видаленням із резервних копій відповідно до звичайних циклів ротації резервних копій, за умови що дані в резервних копіях залишаються захищеними і не відновлюються для звичайного бізнес-використання, крім випадків, необхідних для відновлення.
13.4 PRE-ORDER може зберігати дані, щодо яких він діє як незалежний Контролер, включно із записами, потрібними для виконання закону, безпеки, запобігання шахрайству, бухгалтерського обліку, вирішення спорів або встановлення, здійснення чи захисту юридичних вимог. Таке зберігання регулюється Політикою конфіденційності, а не цією DPA.
14. Аудит та право на інформацію
14.1 PRE-ORDER надаватиме інформацію, обґрунтовано необхідну для демонстрації виконання зобов’язань за статтею 28 GDPR, які застосовуються до PRE-ORDER як Обробника.
14.2 Клієнт повинен спочатку використовувати доступні матеріали з комплаєнсу, анкети, огляди, незалежні звіти або іншу документацію, яку надає PRE-ORDER. Якщо цього недостатньо, Клієнт може запросити розумний додатковий аудит щодо обробки за цією DPA.
14.3 Аудити повинні бути пропорційними, зазвичай не частіше одного разу на 12 місяців, якщо інше не вимагається наглядовим органом або не відбулося суттєвого інциденту безпеки, проводитися у звичайний робочий час, з розумним попереднім повідомленням та з дотриманням вимог конфіденційності й безпеки. Аудит не повинен ставити під загрозу дані іншого клієнта, безпеку PRE-ORDER, комерційні таємниці або юридично захищену інформацію.
14.4 Клієнт несе власні витрати на аудит, а PRE-ORDER може стягувати розумні витрати за значну допомогу понад звичайну комплаєнс-підтримку, якщо аудит не виявив суттєве порушення PRE-ORDER або закон не вимагає іншого.
14.5 PRE-ORDER співпрацюватиме з компетентними наглядовими органами в обсязі, передбаченому законом.
15. Обов’язки Клієнта
Клієнт повинен:
- забезпечувати законне, справедливе й прозоре збирання та передачу Персональних даних Клієнта PRE-ORDER;
- надавати необхідну інформацію про приватність і отримувати згоду там, де згода є належною правовою підставою;
- надавати лише законні документовані інструкції;
- обмежувати завантажені дані тим, що є необхідним для законних бізнес-цілей;
- забезпечувати точність і належні строки зберігання;
- налаштовувати права доступу та видаляти доступ осіб, яким він більше не потрібен;
- не вводити чутливу або секретну інформацію в непідтримувані поля;
- своєчасно обробляти запити суб’єктів даних і регуляторні обов’язки, за які відповідає Клієнт; та
- повідомляти PRE-ORDER про суттєві зміни обробки, що можуть впливати на погоджені інструкції або профіль ризику.
16. AI та аналітична обробка
16.1 Якщо Клієнт вмикає AI-прогнозування або аналітику, що обробляють Персональні дані Клієнта від його імені, така обробка залишається предметом цієї DPA та інструкцій Клієнта.
16.2 AI-функції PRE-ORDER створені як інструменти підтримки прийняття рішень. Вони не призначені для автономного ухвалення юридично обов’язкових рішень щодо фізичних осіб, визначення доступу до основних послуг, автономного ухвалення фінансових рішень щодо осіб або автоматичного запуску виробництва без підтвердження людиною.
16.3 Де це можливо, дані для аналітики попиту або розробки моделей псевдонімізуються, агрегуються або іншим чином відокремлюються від прямих ідентифікаторів. Клієнт не повинен навмисно надавати дані спеціальних категорій для прогнозування попиту, якщо це прямо не погоджено та законно не обґрунтовано.
16.4 PRE-ORDER може зберігати журнали щодо версії моделі, груп вхідних факторів, результату прогнозу, рівня впевненості або невизначеності, застосовних обмежень та рішень людини «прийняти/змінити/відхилити», якщо це доречно для прозорості, аудиту та валідації.
16.5 Жодне положення цієї DPA не вимагає від PRE-ORDER розкривати ваги моделей, вихідний код, комерційні таємниці або інформацію, що може поставити під загрозу безпеку, за умови надання достатньої інформації для виконання застосовних обов’язків Обробника.
17. Записи та підзвітність
17.1 PRE-ORDER підтримуватиме записи про діяльність з обробки, які вимагаються від обробників Застосовним законодавством про захист даних, включно з відповідними категоріями обробки від імені контролерів, передачами та заходами безпеки.
17.2 Клієнт відповідає за свої записи як контролера або обробника, включно з визначенням цілей, правових підстав, категорій даних, одержувачів, строків зберігання та механізмів передачі, що застосовуються до його використання Сервісів.
17.3 Сторони надаватимуть одна одній обґрунтовано необхідну контактну та комплаєнс-інформацію для підтримки підзвітності й співпраці з регуляторами.
18. Відповідальність і зв’язок з основною угодою
18.1 Кожна сторона залишається відповідальною за власні обов’язки за Застосовним законодавством про захист даних. Ніщо в цій DPA не обмежує права суб’єктів даних або повноваження наглядових органів.
18.2 Договірна відповідальність між сторонами за порушення цієї DPA регулюється положеннями про відповідальність у відповідній основній угоді, крім випадків, коли таке обмеження заборонено законом або підписаний додаток із захисту даних прямо передбачає інше.
18.3 Сторона, яка отримує вимогу, скаргу або запит регулятора, що суттєво стосується обов’язків іншої сторони, якщо це дозволено законом, повідомляє іншу сторону та розумно співпрацює у підготовці відповіді.
19. Строк дії та припинення
19.1 Ця DPA набирає чинності після прийняття відповідної угоди про Сервіси або цієї DPA та діє доти, доки PRE-ORDER обробляє Персональні дані Клієнта від імені Клієнта.
19.2 Положення, які за своєю природою повинні діяти після припинення, зокрема щодо конфіденційності, видалення/зберігання, аудиторських записів, відповідальності та міжнародних передач, продовжують діяти, доки відповідні Персональні дані Клієнта залишаються предметом цих положень.
20. Застосовне право та повідомлення
20.1 З урахуванням обов’язкового законодавства про захист даних та будь-яких застосовних Стандартних договірних положень (SCC), ця DPA регулюється правом Болгарії. Будь-який спір, що виникає з цієї DPA або у зв’язку з нею, підлягає юрисдикції компетентних судів Болгарії, крім випадків, коли обов’язкове законодавство про захист даних або застосовні SCC вимагають іншого.
20.2 Це положення не обмежує обов’язкові права суб’єктів даних або повноваження наглядових органів відповідно до GDPR чи іншого Застосовного законодавства про захист даних.
20.3 Повідомлення з питань захисту даних для PRE-ORDER можна надсилати на info@b2b-agency.cc. Повідомлення Клієнту можуть надсилатися на верифікований контакт у його Акаунті або відповідній угоді.
20.4 Англійський текст є референтною версією в межах, дозволених законом. Обов’язкові правила тлумачення місцевою мовою залишаються чинними.
Додаток 1 — Деталі обробки
| Елемент | Опис |
|---|---|
| Предмет | Обробка Персональних даних Клієнта для надання Сервісів PRE-ORDER із передзамовлень, бізнес-інструментів, комунікації, аналітики, інтеграцій, підтримки та пов’язаних функцій відповідно до конфігурації Клієнта. |
| Тривалість | Протягом строку відповідних Сервісів, а після цього — лише для видалення, повернення, ротації резервних копій, законного зберігання або інших цілей, дозволених цією DPA та законом. |
| Характер обробки | Збирання, отримання, хостинг, зберігання, організація, структурування, пошук, перегляд, передача, відображення, аналітика, псевдонімізація, агрегація, підтримка, видалення та інші операції, необхідні для надання налаштованих Сервісів. |
| Цілі | Надання й підтримка функцій, запитаних Клієнтом; керування контентом і бізнес-процесами під контролем Клієнта; комунікації; налаштована аналітика; інтеграції; безпека й усунення несправностей у ролі обробника, де це застосовно. |
| Суб’єкти даних | Персонал і уповноважені користувачі Клієнта; бізнес-контакти; покупці, клієнти, постачальники, представники Клієнта або інші особи, чиї Персональні дані Клієнт передає або доручає PRE-ORDER обробляти; одержувачі або контакти доставки, де це застосовно. |
| Персональні дані | Імена, бізнес-контактні дані, ідентифікатори користувачів, ролі, метадані акаунта, контактна інформація компанії, дані замовлень і SKU, пов’язані з особами, дані доставки/контакту, комунікації та вкладення, дані підтримки, поведінкові або event-дані, де вони обробляються від імені Клієнта, технічні/session-дані та інші дані, передані через налаштовані Сервіси. |
| Чутливі дані | Не передбачені як стандартна категорія. Клієнт не повинен навмисно передавати дані спеціальних категорій, дані про судимості, повні реквізити карток, секрети автентифікації або документи, що посвідчують особу, через непідтримувані поля. |
| Частота | Безперервно або за подіями відповідно до використання Сервісів Клієнтом. |
| Передачі | Відповідно до Розділу 9 та інформації про застосовних Субобробників. |
| Видалення/повернення | Відповідно до Розділу 13, з урахуванням законного зберігання та обробки Контролером поза межами цієї DPA. |
Додаток 2 — Базові технічні та організаційні заходи
| Сфера контролю | Базовий підхід |
|---|---|
| Управління | Документовані ролі із захисту даних і безпеки; доступ відповідно до ролі та операційної необхідності; зобов’язання конфіденційності. |
| Ідентифікація та доступ | Автентифікація акаунта; рольові або еквівалентні права; обмеження привілейованого доступу; видалення доступу після втрати необхідності; MFA там, де підтримується або виправдано ризиком. |
| Privacy by design | Мінімізація даних; відокремлення прямих ідентифікаторів від аналітики, де це можливо; псевдонімізація/агрегація для AI та аналітики, де це доречно. |
| Шифрування та передача | Захищені канали передачі із сучасними безпечними протоколами; належні заходи для збережених даних залежно від архітектури та ризику. |
| Журналювання та моніторинг | Журнали безпеки, адміністративних та релевантних прикладних подій; моніторинг і розслідування підозрілих подій; аудиторські сліди, де доречно. |
| Безпечна розробка | Контрольовані процеси розробки й випуску; тестування; керування залежностями й вразливостями; контроль змін відповідно до життєвого циклу платформи. |
| Керування інцидентами | Виявлення, тріаж, локалізація, розслідування, усунення та процедури повідомлення. |
| Доступність та відновлення | Резервне копіювання та відновлення відповідно до критичності сервісів; заходи безперервності й стійкості. |
| Постачальники | Оцінка постачальників/Субобробників на основі ризику та договірні вимоги із захисту даних. |
| Зберігання та видалення | Зберігання відповідно до мети й юридичних вимог; видалення або анонімізація після відповідних строків; ротація резервних копій. |
| Персонал | Зобов’язання конфіденційності та відповідне ролі навчання/обізнаність із безпеки та захисту даних. |
| Фізична/інфраструктурна безпека | Використання належних фізичних та екологічних заходів відповідних hosting/infrastructure-провайдерів і контрольований доступ до приміщень або пристроїв, якими керує оператор. |
Додаток 3 — Інформація про Субобробників та передачі
PRE-ORDER підтримуватиме актуальну інформацію про Субобробників окремо, оскільки інфраструктурні та сервісні провайдери можуть змінюватися. Клієнт може запросити актуальний список за адресою info@b2b-agency.cc або отримати його через legal/account area, якщо він опублікований.
Для кожного суттєвого Субобробника PRE-ORDER повинен, де це доречно, надавати: назву провайдера; функцію сервісу; категорії обробки; місце або регіон обробки; та застосовний механізм передачі, якщо Персональні дані передаються за межі ЄЕЗ.
Платіжні провайдери, зокрема Stripe для B2C та окремий ліцензований провайдер B2B після його підключення, можуть діяти у власних договірних і регуляторних ролях. Їхній статус щодо захисту даних визначається фактичною схемою обробки, а не автоматично вважається обробкою Субобробника.
Додаток 4 — Чекліст комплаєнсу Клієнта
- Визначити, чи є Клієнт Контролером або Обробником для кожного набору даних, що передається PRE-ORDER.
- Документувати правову підставу та необхідне повідомлення про приватність.
- Налаштувати ролі користувачів і видалити застарілий доступ.
- Обмежити дані необхідним обсягом; уникати непідтримуваних чутливих даних.
- Перевірити увімкнені інтеграції та міжнародні передачі.
- Визначити строки зберігання й потреби експорту до закриття Акаунта.
- Провести DPIA, якщо використання Клієнтом імовірно створює високий ризик.
- Мати процес для запитів суб’єктів даних, інцидентів та комунікацій з регуляторами.
- Переглядати актуальний список Субобробників, якщо обробка потребує контролю за статтею 28 GDPR.