Угода про обробку даних
Ця Угода про обробку даних («DPA») є частиною Умов надання послуг між Marko Omelyash VARSOFIA («Процесор», «ми») та організацією-клієнтом («Контролер», «Ви») і застосовується завжди, коли ми обробляємо персональні дані від Вашого імені у зв'язку з Сервісом. Її укладено на підставі статті 28 Регламенту (ЄС) 2016/679 (GDPR/РОДО), і вона доповнює Політику конфіденційності.
1. Ролі сторін
Контролер є контролером усіх персональних даних, що містяться у Вмісті Клієнта (у тому числі даних Кінцевих користувачів / підписантів). Процесор є обробником, який обробляє такі персональні дані від імені Контролера за його задокументованими інструкціями виключно з метою надання Сервісу. Кожна сторона незалежно відповідає за власні обов'язки контролера за GDPR/РОДО.
2. Предмет, тривалість, характер і мета
Предмет: надання Сервісу. Тривалість: на строк дії Угоди та будь-який погоджений період експорту/видалення після цього. Характер і мета: хостинг, передача, зберігання та обробка персональних даних, необхідних для здійснення процесів електронного підписання, у тому числі підписання, аудиту, повідомлень та зберігання завершених документів.
3. Категорії суб'єктів даних та персональних даних
Суб'єкти даних: користувачі, адміністратори, підписанти Контролера та інші особи, зазначені у Вмісті Клієнта. Персональні дані: ідентифікаційні та контактні дані (ім'я, email, телефон, IP-адреса, user-agent), вміст документів, які Контролер вирішує завантажити, докази підпису та записи журналу аудиту. Контролер відповідає за те, щоб не завантажувати спеціальні категорії даних (ст. 9 GDPR/РОДО) або дані дітей без належної правової підстави та додаткових гарантій.
4. Обробка за задокументованими інструкціями
Процесор обробляє персональні дані виключно за задокументованими інструкціями Контролера, у тому числі щодо передач персональних даних до третьої країни, якщо інше не вимагається правом Союзу або держави-члена, якому підпорядковується Процесор. Інструкції Контролера викладені в Угоді (ці Умови, Політика конфіденційності та ця DPA), у конфігурації організації Контролера в Сервісі та у будь-яких задокументованих письмових вказівках, які Контролер дає згодом.
5. Конфіденційність
Процесор забезпечує, щоб особи, уповноважені на обробку персональних даних, взяли на себе зобов'язання щодо конфіденційності або підлягали відповідному статутному обов'язку конфіденційності, та щоб доступ був обмежений персоналом, якому він потрібен для виконання його обов'язків.
6. Заходи безпеки (ст. 32 GDPR/РОДО)
Процесор впроваджує відповідні технічні та організаційні заходи, у тому числі шифрування під час передачі та у спокої, сучасне хешування паролів, підтримку багатофакторної автентифікації, рольовий контроль доступу, журнал аудиту лише на додавання з ланцюгом хешів, периметральний захист (термінація TLS, захист від DDoS, WAF) та протестовані процедури резервного копіювання та відновлення. Детальні заходи описані в Політиці конфіденційності та можуть періодично оновлюватися за умови, що рівень захисту не знижується.
7. Субобробники
Контролер надає Процесору загальний письмовий дозвіл на залучення субобробників для допомоги в наданні Сервісу. Актуальний перелік субобробників ведеться онлайн і є частиною цієї DPA шляхом посилання. Процесор повідомлятиме Контролера (електронною поштою та/або через банер у продукті) про будь-яке заплановане додавання чи заміну субобробників щонайменше за 30 днів, надаючи Контролеру можливість заперечити з обґрунтованих причин. Якщо Контролер заперечує з обґрунтованих причин і сторони не можуть дійти згоди протягом наступних 30 днів, Контролер може припинити відповідну частину Сервісу. Процесор залишається повністю відповідальним перед Контролером за виконання обов'язків будь-якого субобробника. Актуальний перелік опубліковано за адресою sign.yt/subprocessors.
8. Міжнародні передачі
Якщо персональні дані передаються за межі Європейського економічного простору, Процесор спирається на Стандартні договірні положення Європейської Комісії (Рішення 2021/914) та на додаткові технічні й організаційні заходи, узгоджені з рішенням Schrems II. Якщо Контролер обирає функції чи постачальників, що передбачають передачі (наприклад, певних постачальників ШІ), Контролер визнає такі передачі та доручає їх.
9. Сприяння у реалізації прав суб'єктів даних
З урахуванням характеру обробки Процесор сприяє Контролеру за допомогою відповідних технічних та організаційних заходів у виконанні обов'язку Контролера відповідати на запити суб'єктів даних щодо реалізації їхніх прав за статтями 15-22 GDPR/РОДО, зокрема шляхом надання у продукті інструментів для експорту даних, видалення та отримання сліду аудиту.
10. Порушення захисту персональних даних
Процесор повідомляє Контролера без невиправданої затримки після того, як йому стало відомо про порушення захисту персональних даних, що зачіпає дані Контролера, надаючи інформацію, обґрунтовано доступну Процесору, щоб дозволити Контролеру виконати свої обов'язки за статтями 33 і 34 GDPR/РОДО.
11. Аудити
Процесор надає Контролеру за обґрунтованим письмовим запитом і з дотриманням конфіденційності інформацію, необхідну для підтвердження дотримання цієї DPA. Аудити, що виходять за межі такого розкриття інформації, обмежуються (a) звітами аудиторів, які вже доступні Процесору (наприклад, звіти стороннього незалежного аудиту, якщо такі є), та (b) одним аудитом на місці на рік з повідомленням за щонайменше 30 днів, проведеним взаємно прийнятним аудитором за рахунок Контролера, у разі обґрунтованого занепокоєння щодо дотримання вимог.
12. Повернення та видалення даних
Після припинення Угоди Процесор видалить Вміст Клієнта з активних систем у строки, встановлені в Умовах надання послуг (вікно експорту з подальшим видаленням). Резервні копії, що містять Вміст Клієнта, будуть перезаписані у звичайному порядку відповідно до періоду ротації резервних копій. Процесор може зберігати персональні дані, якщо це вимагається застосовним правом (наприклад, бухгалтерські записи).
13. Відповідальність
Сукупна відповідальність кожної сторони згідно з цією DPA або у зв'язку з нею підлягає обмеженням відповідальності, встановленим в Умовах надання послуг.
14. Право, що застосовується
Ця DPA регулюється правом Польщі та тлумачиться відповідно до Умов надання послуг. У разі суперечності між цією DPA та Умовами надання послуг щодо обробки персональних даних переважає ця DPA.
15. Контакт
З усіх питань щодо цієї DPA, будь ласка, звертайтеся за адресою support@sign.yt.