Угода про обробку даних (DPA)

Ця Угода про обробку персональних даних (далі — «DPA») є невід’ємною частиною Умов надання послуг сервісу SureBook (далі — «Сервіс») і регулює обробку персональних даних Кінцевих Клієнтів, яку Виконавець здійснює від імені та за дорученням Бізнес-Користувача.

DPA укладається автоматично з моменту прийняття Умов надання послуг і діє протягом усього строку використання Сервісу.

1. Сторони та ролі

• Контролер — Бізнес-Користувач (салон, СПА, перукарня тощо), який вносить у Сервіс персональні дані своїх Кінцевих Клієнтів і визначає мету та засоби їх обробки.
• Процесор — ФОП Волошин Сергій Анатолійович (РНОКПП 3753208374), власник Сервісу SureBook, який обробляє персональні дані Кінцевих Клієнтів виключно за інструкціями Контролера.

Терміни «Контролер», «Процесор», «персональні дані», «обробка», «субпроцесор», «суб’єкт даних» вживаються у значенні, наданому GDPR (Regulation EU 2016/679) та Законом України «Про захист персональних даних» № 2297-VI.

2. Предмет і характер обробки

Процесор обробляє персональні дані Кінцевих Клієнтів виключно з метою надання функціоналу Сервісу Контролеру, зокрема:

• зберігання клієнтської бази Контролера;
• управління бронюваннями та історією візитів;
• надсилання SMS-нагадувань і повідомлень Кінцевим Клієнтам за налаштуваннями Контролера;
• ведення програми лояльності;
• формування аналітики та звітності для Контролера.

Тривалість обробки: протягом строку дії акаунту Контролера та строків, визначених у п. 8 цієї DPA.

3. Категорії даних і суб’єктів

Суб’єкти даних: Кінцеві Клієнти Контролера.

Категорії персональних даних:

• ім’я та прізвище;
• номер телефону;
• адреса електронної пошти;
• дата народження (за бажанням Контролера);
• історія бронювань;
• бали програми лояльності;
• примітки, внесені Контролером.

Процесор не призначений для обробки спеціальних категорій даних (даних про здоров’я, біометричних тощо). Якщо Контролер вносить такі дані у вільні поля, він робить це на власну відповідальність і повинен мати належні правові підстави.

4. Обов’язки Процесора

Процесор зобов’язується:

1. Обробляти персональні дані виключно за документованими інструкціями Контролера (Умови, налаштування акаунту, ця DPA), окрім випадків, коли обробка вимагається законом;
2. Забезпечувати конфіденційність даних і зобов’язувати персонал, що має доступ до даних, до конфіденційності;
3. Вживати технічних та організаційних заходів безпеки відповідно до п. 5;
4. Не залучати субпроцесорів без дотримання умов п. 6;
5. У межах можливого допомагати Контролеру у виконанні запитів суб’єктів даних (п. 7);
6. Допомагати Контролеру у забезпеченні дотримання обов’язків щодо безпеки, повідомлення про порушення та оцінки впливу (DPIA);
7. Після завершення надання послуг видалити або повернути дані відповідно до п. 8;
8. Надавати Контролеру інформацію, необхідну для підтвердження дотримання цієї DPA (п. 9).

5. Заходи безпеки

Процесор вживає таких технічних та організаційних заходів:

• шифрування даних під час передачі (TLS/HTTPS);
• шифрування файлових сховищ;
• розмежування та контроль доступу;
• багатофакторна автентифікація для критичної інфраструктури;
• регулярне резервне копіювання;
• журналювання дій у системі;
• регулярний перегляд заходів безпеки.

6. Субпроцесори

Контролер надає Процесору загальний дозвіл на залучення субпроцесорів для надання Сервісу. Актуальний перелік субпроцесорів:

Про залучення нового субпроцесора Процесор повідомляє Контролера не менш ніж за 30 календарних днів до початку обробки. Контролер має право заперечити проти нового субпроцесора з обґрунтованих причин. Якщо сторони не дійдуть згоди, Контролер має право припинити використання Сервісу.

Процесор зобов’язує кожного субпроцесора дотримуватися рівня захисту даних, не нижчого за передбачений цією DPA.

7. Права суб’єктів даних

Процесор, у межах технічної можливості, допомагає Контролеру відповідати на запити Кінцевих Клієнтів щодо реалізації їхніх прав (доступ, виправлення, видалення, перенесення, обмеження, заперечення).

Якщо Кінцевий Клієнт звертається безпосередньо до Процесора, Процесор без зайвої затримки перенаправляє такий запит відповідному Контролеру і не відповідає на нього самостійно, окрім випадків, коли цього вимагає закон.

8. Повернення та видалення даних

Після припинення надання послуг (закриття акаунту Контролера) Процесор:

• зберігає дані протягом до 30 календарних днів для можливості експорту та відновлення;
• на запит Контролера надає дані у структурованому, машинозчитуваному форматі;
• після завершення цього строку остаточно видаляє всі персональні дані Кінцевих Клієнтів, окрім випадків, коли зберігання вимагається законом.

9. Аудит і перевірки

Процесор надає Контролеру інформацію, необхідну для підтвердження дотримання цієї DPA. На обґрунтований письмовий запит Контролера (не частіше одного разу на рік, з повідомленням не менш ніж за 30 днів) Процесор сприяє проведенню аудиту в робочий час у спосіб, що не порушує конфіденційність даних інших клієнтів і безперервність роботи Сервісу.

10. Міжнародна передача даних

Дані обробляються переважно в межах ЄС (сервери у Фінляндії). У разі передачі даних за межі ЄС/ЄЕЗ (наприклад, через інфраструктуру Cloudflare) така передача здійснюється на підставі рішення про адекватність або стандартних договірних умов ЄС (SCCs).

11. Повідомлення про порушення

У разі порушення безпеки персональних даних Процесор повідомляє Контролера без зайвої затримки, але не пізніше ніж протягом 48 годин після виявлення порушення, надаючи доступну інформацію про характер порушення, ймовірні наслідки та вжиті заходи. Обов’язок повідомлення наглядових органів і суб’єктів даних (за GDPR — протягом 72 годин) залишається за Контролером.

12. Відповідальність

Відповідальність Процесора за цією DPA обмежується у порядку, передбаченому Умовами надання послуг (загальна сума, сплачена Контролером за останні 6 місяців). Кожна сторона відповідає за власне порушення законодавства про захист даних.

13. Заключні положення

Ця DPA є невід’ємною частиною Умов надання послуг. У разі суперечності між цією DPA та Умовами щодо питань обробки персональних даних переважну силу має ця DPA. До решти питань застосовуються Умови надання послуг та законодавство України.

Контакти з питань обробки даних: privacy@surebook.online