Угода про обробку даних

Ця Угода про обробку даних (далі — «DPA») є невід'ємною частиною Ліцензійної угоди (Умов доступу та користування) між ФОП Погуляйло А. М. (далі — Розпорядник, Placraftic) та Клієнтом (далі — Володілець) і визначає порядок обробки персональних даних Розпорядником за дорученням Володільця відповідно до Закону України «Про захист персональних даних» та, у випадках, коли це застосовно, Регламенту (ЄС) 2016/679 (GDPR).

1. Визначення

1.1. Терміни, що використовуються в цій DPA та не визначені окремо, мають значення, наведені в Ліцензійній угоді та Політиці конфіденційності.

1.2. Володілець (Контролер) — Клієнт, який визначає мету та спосіб обробки персональних даних кінцевих замовників та контактів.

1.3. Розпорядник (Процесор) — Placraftic, який обробляє персональні дані виключно за дорученням та в інтересах Володільця.

1.4. Суб'єкт даних — фізична особа, персональні дані якої обробляються Розпорядником за дорученням Володільця.

2. Предмет та строк обробки

2.1. Предметом цієї DPA є обробка Розпорядником персональних даних, які Володілець або суб'єкти даних вносять до Сервісу в процесі використання функцій управління замовленнями, клієнтською базою та комунікаціями.

2.2. Строк обробки збігається зі строком дії Ліцензійної угоди. Обробка припиняється протягом 14 (чотирнадцяти) календарних днів після припинення Угоди, відповідно до п. 4.5 Ліцензійної угоди.

3. Характер та мета обробки

3.1. Розпорядник обробляє персональні дані з метою:

• надання Сервісу Володільцю — приймання, обробка та управління замовленнями на 3D-друк;
• забезпечення комунікації між Володільцем та його кінцевими замовниками (email-повідомлення, Telegram-бот);
• організації доставки замовлень (передача даних перевізнику за дорученням Володільця);
• формування звітності та статистики для Володільця.

3.2. Обробка включає: збирання, запис, зберігання, структурування, використання, передачу (у межах, визначених цією DPA), знеособлення та знищення персональних даних.

4. Типи персональних даних

4.1. Розпорядник обробляє такі категорії персональних даних:

• ім'я та прізвище кінцевого замовника;
• номер телефону;
• адреса електронної пошти;
• адреса доставки (місто, відділення перевізника);
• параметри замовлення (файли 3D-моделей, обрані матеріали, кількість, вартість).

4.2. Розпорядник не обробляє спеціальні категорії персональних даних (чутливі дані).

5. Категорії суб'єктів даних

5.1. Суб'єктами даних, персональні дані яких обробляються за цією DPA, є:

• кінцеві замовники Володільця (особи, які здійснюють замовлення через віджет, сторінку самообслуговування або Telegram-бот Клієнта);
• контакти Володільця, внесені до клієнтської бази Сервісу.

6. Обов'язки Розпорядника

6.1. Розпорядник зобов'язується:

• обробляти персональні дані виключно за документованими інструкціями Володільця, у тому числі щодо передачі даних третім країнам, якщо тільки це не вимагається законодавством;
• забезпечити, щоб особи, уповноважені обробляти персональні дані, взяли на себе зобов'язання щодо конфіденційності;
• вживати всіх необхідних технічних та організаційних заходів для забезпечення безпеки обробки відповідно до п. 5 Політики конфіденційності;
• не залучати іншого розпорядника (субпроцесора) без попередньої загальної або конкретної письмової згоди Володільця;
• сприяти Володільцю у виконанні запитів суб'єктів даних щодо реалізації їхніх прав (доступ, виправлення, видалення, обмеження обробки, переносимість);
• повідомити Володільця про порушення безпеки персональних даних протягом 72 (сімдесяти двох) годин з моменту виявлення;
• після завершення надання послуг, за вибором Володільця, видалити або повернути всі персональні дані та видалити наявні копії, якщо збереження не вимагається законодавством.

7. Обов'язки Володільця

7.1. Володілець зобов'язується:

• забезпечити законну підставу для обробки персональних даних (згода суб'єкта, виконання договору тощо);
• надати суб'єктам даних інформацію про обробку їхніх персональних даних, включаючи факт залучення Розпорядника;
• надавати Розпоряднику документовані інструкції щодо обробки персональних даних;
• негайно повідомляти Розпорядника про будь-які запити суб'єктів даних, що стосуються обробки, здійснюваної Розпорядником.

8. Субпроцесори

8.1. Володілець надає загальну згоду на залучення Розпорядником субпроцесорів для надання Сервісу. На момент набрання чинності цією DPA Розпорядник використовує таких субпроцесорів:

• DigitalOcean, LLC (Німеччина, FRA1) — хостинг серверів та зберігання даних;
• LiqPay (АТ КБ «ПриватБанк») (Україна) — обробка платежів.

8.2. Розпорядник повідомляє Володільця електронною поштою не менше ніж за 30 (тридцять) календарних днів до залучення нового субпроцесора або заміни існуючого. Якщо Володілець має обґрунтовані заперечення, він повідомляє про це Розпорядника протягом 14 (чотирнадцяти) календарних днів. Сторони докладають зусиль для вирішення заперечень. Якщо вирішення не досягнуто, Володілець має право розірвати Ліцензійну угоду.

8.3. Розпорядник укладає з кожним субпроцесором договір, що забезпечує рівень захисту персональних даних не нижчий, ніж визначений цією DPA. Розпорядник несе повну відповідальність перед Володільцем за дії субпроцесорів.

9. Міжнародна передача даних

9.1. Персональні дані зберігаються та обробляються на серверах, розташованих на території Німеччини (DigitalOcean, дата-центр FRA1, Франкфурт).

9.2. Передача персональних даних за межі Європейського економічного простору здійснюється виключно за наявності належних гарантій відповідно до Розділу V GDPR.

10. Повернення та видалення даних

10.1. Після припинення Ліцензійної угоди Володілець має 14 (чотирнадцять) календарних днів для вивантаження Контенту, включаючи персональні дані суб'єктів.

10.2. Після завершення зазначеного строку Розпорядник видаляє всі персональні дані, оброблені за дорученням Володільця, включаючи їх копії в системі зберігання, за винятком випадків, коли збереження вимагається законодавством.

10.3. Володілець може в будь-який час самостійно видалити окремих клієнтів та їхні замовлення через відповідні функції Сервісу.

11. Заключні положення

11.1. Ця DPA набирає чинності з моменту акцепту Ліцензійної угоди та діє протягом усього строку її дії.

11.2. У разі суперечності між положеннями цієї DPA та Ліцензійної угоди щодо обробки персональних даних, застосовуються положення цієї DPA.

11.3. Placraftic має право змінювати цю DPA з повідомленням Володільця електронною поштою не менше ніж за 30 (тридцять) календарних днів до набрання змінами чинності.

11.4. З питань обробки персональних даних можна звертатися за адресою: [email protected].