Договір доручення обробки персональних даних

§1. Сторони та укладення договору

Договір укладається між Власником Майстерні у Velunta (далі — «Адміністратор») і Bajeczne Balony Oleh Serhiienko, NIP 6832090873, ul. Ciesielskiego 6, 31-589 Kraków, Polska (далі — «Обробник»).

Договір є невід’ємною частиною Регламенту й укладається з моменту його прийняття. Він діє протягом усього часу користування Velunta.

§2. Предмет, характер і мета

Адміністратор доручає Обробнику обробку персональних даних, що вносяться до Майстерні, виключно для надання послуг Velunta, описаних у Регламенті.

Обробка охоплює: запис, зберігання, впорядкування, відображення, надання доступу учасникам команди Майстерні, експорт і видалення даних.

§3. Категорії осіб і даних

• Особи: клієнти Адміністратора, контактні особи постачальників і контрагентів, учасники команди Майстерні, інші особи, чиї дані внесе Адміністратор.
• Дані: ім’я та прізвище або назва, номер телефону, e-mail, адреси доставки, деталі замовлень і платежів, нотатки, фото й документи у вкладеннях (можуть містити зображення людини).

Адміністратору не слід вносити особливі категорії даних (ст. 9 RODO/GDPR) і дані про судимості (ст. 10 RODO/GDPR).

§4. Обов’язки Обробника

Обробник:

• обробляє дані лише за задокументованим дорученням Адміністратора — дорученням є використання функцій Velunta; якщо доручення порушує закон, повідомляє про це Адміністратора,
• забезпечує, щоб особи, допущені до обробки даних, зобов’язалися дотримуватися конфіденційності,
• застосовує заходи безпеки, передбачені ст. 32 RODO/GDPR (§7),
• допомагає Адміністратору реалізовувати права суб’єктів даних — зокрема через функції редагування, експорту й видалення даних у застосунку,
• допомагає Адміністратору виконувати обов’язки за ст. 32–36 RODO/GDPR,
• повідомляє Адміністратора про порушення захисту даних без зайвих затримок, не пізніше 48 годин після його виявлення,
• надає інформацію, потрібну для підтвердження дотримання ст. 28 RODO/GDPR, і дає змогу проводити аудити — насамперед у вигляді письмових пояснень, а за потреби перевірки — за погодженням строку щонайменше за 14 днів.

§5. Подальше доручення

Адміністратор надає загальну згоду на подальше доручення обробки даних таким суб’єктам:

Обробник покладає на подальших обробників обов’язки щодо захисту даних не менш суворі, ніж за цим договором. Про заплановану заміну чи додавання суб’єкта він повідомляє щонайменше за 14 днів (у застосунку або e-mail). Адміністратор може заперечити; якщо заперечення не буде враховано, Адміністратор може розірвати договір, видаливши Майстерню або акаунт.

§6. Передавання даних за межі ЄЕП

Дані бази й вкладень зберігаються в ЄС (Франкфурт). Якщо подальші обробники передають дані за межі Європейського економічного простору, це відбувається на підставі рішення про належний рівень захисту (EU-US Data Privacy Framework) або стандартних договірних положень.

§7. Заходи безпеки

• шифрування з’єднань (HTTPS/TLS) і шифрування даних, що зберігаються в постачальника,
• розділення даних Майстерень і контроль доступу на рівні бази даних (Row Level Security) з урахуванням ролей і філій,
• закрите сховище файлів, доступне лише учасникам Майстерні,
• адміністративні ключі використовуються лише на сервері, ніколи в браузері,
• паролі зберігаються як криптографічні хеші,
• доступ Обробника до даних обмежено необхідними випадками (наприклад, розгляд звернення на прохання Адміністратора).

§8. Завершення обробки

Після видалення Майстерні або акаунта Обробник одразу видаляє дані, а резервні копії й журнали постачальників перезаписуються в циклі не довше 30 днів, якщо закон не вимагає їх подальшого зберігання. Перед видаленням Адміністратор може завантажити дані за допомогою «Експортувати дані».

§9. Відповідальність і прикінцеві положення

Відповідальність сторін за шкоду від порушення правил захисту даних визначає ст. 82 RODO/GDPR; в іншому застосовується Регламент.

У питаннях, не врегульованих договором, застосовуються RODO/GDPR, польське право й Регламент. Обов’язковою є польська версія договору.