§1. Стороны и заключение договора
Договор заключается между Владельцем Мастерской в Velunta (далее — «Администратор») и Bajeczne Balony Oleh Serhiienko, NIP 6832090873, ul. Ciesielskiego 6, 31-589 Kraków, Polska (далее — «Обработчик»).
Договор является неотъемлемой частью Регламента и заключается с момента его принятия. Он действует в течение всего времени пользования Velunta.
§2. Предмет, характер и цель
Администратор поручает Обработчику обработку персональных данных, вносимых в Мастерскую, исключительно для оказания услуг Velunta, описанных в Регламенте.
Обработка включает: запись, хранение, упорядочивание, отображение, предоставление доступа участникам команды Мастерской, экспорт и удаление данных.
§3. Категории лиц и данных
- Лица: клиенты Администратора, контактные лица поставщиков и контрагентов, участники команды Мастерской, другие лица, чьи данные внесёт Администратор.
- Данные: имя и фамилия или название, номер телефона, e-mail, адреса доставки, детали заказов и платежей, заметки, фото и документы во вложениях (могут содержать изображение человека).
Администратору не следует вносить особые категории данных (ст. 9 RODO/GDPR) и данные о судимостях (ст. 10 RODO/GDPR).
§4. Обязанности Обработчика
Обработчик:
- обрабатывает данные только по документированному поручению Администратора — поручением является использование функций Velunta; если поручение нарушает закон, сообщает об этом Администратору,
- обеспечивает, чтобы лица, допущенные к обработке данных, обязались соблюдать конфиденциальность,
- применяет меры безопасности, предусмотренные ст. 32 RODO/GDPR (§7),
- помогает Администратору реализовывать права субъектов данных — в том числе через функции редактирования, экспорта и удаления данных в приложении,
- помогает Администратору выполнять обязанности по ст. 32–36 RODO/GDPR,
- сообщает Администратору о нарушении защиты данных без лишних задержек, не позднее 48 часов после его обнаружения,
- предоставляет информацию, необходимую для подтверждения соблюдения ст. 28 RODO/GDPR, и позволяет проводить аудиты — прежде всего в виде письменных разъяснений, а при необходимости проверки — по согласованию срока не менее чем за 14 дней.
§5. Дальнейшее поручение
Администратор даёт общее согласие на дальнейшее поручение обработки данных следующим субъектам:
- Компания
- Supabase · Supabase, Inc. (USA)
- Цель
- База данных, вход (аккаунты и пароли), хранение вложений (фото, PDF), письма для подтверждения аккаунта, серверные функции (например, удаление аккаунта)
- Где хранятся данные
- Данные хранятся в ЕС: Франкфурт, Германия (AWS eu-central-1)
- Гарантии при передаче
- EU-US Data Privacy Framework и стандартные договорные положения (SCC)
- Компания
- Vercel · Vercel Inc. (USA)
- Цель
- Хостинг веб-приложения, доставка страниц, технические журналы сервера, анонимная статистика посещений (Vercel Web Analytics, без cookies)
- Где хранятся данные
- Глобальная сеть серверов (CDN), в том числе за пределами ЕЭЗ
- Гарантии при передаче
- EU-US Data Privacy Framework и стандартные договорные положения (SCC)
- Компания
- Sentry · Functional Software, Inc. (USA)
- Цель
- Отчёты об ошибках приложения: текст и место ошибки, браузер и система, технические идентификаторы пользователя и мастерской — без имён, e-mail, данных клиентов и текстов заказов
- Где хранятся данные
- Данные хранятся в ЕС: Франкфурт, Германия (регион EU Sentry)
- Гарантии при передаче
- EU-US Data Privacy Framework и стандартные договорные положения (SCC)
Обработчик возлагает на дальнейших обработчиков обязанности по защите данных не менее строгие, чем по этому договору. О планируемой замене или добавлении субъекта он сообщает не менее чем за 14 дней (в приложении или по e-mail). Администратор может возразить; если возражение не будет учтено, Администратор может расторгнуть договор, удалив Мастерскую или аккаунт.
§6. Передача данных за пределы ЕЭЗ
Данные базы и вложений хранятся в ЕС (Франкфурт). Если дальнейшие обработчики передают данные за пределы Европейской экономической зоны, это происходит на основании решения о надлежащем уровне защиты (EU-US Data Privacy Framework) или стандартных договорных положений.
§7. Меры безопасности
- шифрование соединений (HTTPS/TLS) и шифрование хранимых у поставщика данных,
- разделение данных Мастерских и контроль доступа на уровне базы данных (Row Level Security) с учётом ролей и филиалов,
- закрытое хранилище файлов, доступное только участникам Мастерской,
- административные ключи используются только на сервере, никогда в браузере,
- пароли хранятся в виде криптографических хешей,
- доступ Обработчика к данным ограничен необходимыми случаями (например, обработка обращения по просьбе Администратора).
§8. Окончание обработки
После удаления Мастерской или аккаунта Обработчик сразу удаляет данные, а резервные копии и журналы поставщиков перезаписываются в цикле не более 30 дней, если закон не требует их дальнейшего хранения. Перед удалением Администратор может скачать данные с помощью «Экспортировать данные».
§9. Ответственность и заключительные положения
Ответственность сторон за ущерб от нарушения правил защиты данных определяется ст. 82 RODO/GDPR; в остальном применяется Регламент.
В вопросах, не урегулированных договором, применяются RODO/GDPR, польское право и Регламент. Обязательной является польская версия договора.