Договір доручення на обробку персональних даних (DPA)

Цей Договір доручення на обробку персональних даних (далі — «DPA») є невід’ємною частиною Публічної оферти (Умов використання сервісу Evimarko) і укладається між користувачем Сервісу (далі — «Студія», володілець персональних даних) та [реквізити буде вказано] (далі — «Evimarko», розпорядник персональних даних) у момент акцепту Умов. DPA укладено відповідно до статей 2, 4 Закону України «Про захист персональних даних» (далі — Закон) та статті 28 Регламенту (ЄС) 2016/679 (GDPR).

1. Ролі сторін

1. Студія є володільцем (controller) персональних даних своїх клієнтів, їхніх представників і власних співробітників, які вона вносить у Сервіс або отримує через нього (онлайн-запис, месенджери, сайт студії, інтеграції). Студія самостійно визначає мету, склад і засоби обробки цих даних.
2. Evimarko є розпорядником (processor) і обробляє такі дані виключно за дорученням і документованими інструкціями Студії, в обсязі, необхідному для надання Сервісу.
3. Інструкціями Студії вважаються: Умови та цей DPA; дії Студії та її співробітників у Сервісі (внесення, зміна, видалення даних, налаштування розсилок, інтеграцій, онлайн-запису); письмові запити Студії на email Evimarko. Якщо інструкція, на думку Evimarko, порушує закон, Evimarko повідомляє про це Студію і може не виконувати її.

2. Предмет, характер і строк обробки

• Характер обробки: збирання (через форми й інтеграції), запис, зберігання, систематизація, зміна, пошук, перегляд, передача за налаштуваннями Студії (повідомлення клієнтам, месенджери, фіскалізація), знеособлення, видалення, резервне копіювання.
• Мета: надання Студії функцій CRM — облік клієнтів, записів, замовлень, автомобілів, приймання авто, кошторисів, оплат, гарантій, комунікації з клієнтами.
• Категорії суб’єктів: клієнти Студії та потенційні клієнти, їхні представники, співробітники Студії.
• Категорії даних: ПІБ, телефон, email, мова; дані автомобіля (держномер, VIN, марка, модель); адреса; історія замовлень і платежів; фото; підписи; листування; записи дзвінків (за наявності інтеграції); нотатки. Особливі категорії даних (здоров’я, біометрія для ідентифікації тощо) Студія в Сервіс не вносить.
• Строк: протягом дії Умов і до видалення даних згідно з розділом 8.

3. Обов’язки й гарантії Студії

1. Студія гарантує, що має законні підстави для обробки кожного персонального даного, яке вносить у Сервіс або збирає через нього, і що вона самостійно й за власний рахунок:
   • отримує необхідні згоди клієнтів (зокрема на фото автомобіля, на розсилки та рекламні повідомлення, на листування в месенджерах), а також зберігає докази цих згод;
   • інформує клієнтів про обробку їхніх даних (ст. 12 Закону; ст. 13–14 GDPR), зокрема про те, що для обробки використовується Сервіс Evimarko;
   • розглядає запити клієнтів щодо їхніх прав (доступ, виправлення, видалення тощо);
   • дотримується правил надсилання повідомлень (без спаму, з можливістю відписки) та правил месенджерів;
   • не вносить надмірних даних і даних, не потрібних для мети обробки.
2. Студія відповідає за законність збору даних своїх клієнтів і за свої інструкції. Студія відшкодовує Evimarko збитки, штрафи й витрати (включно з витратами на правову допомогу), що виникли через претензії суб’єктів даних чи органів влади, спричинені порушенням Студією закону або цього DPA.
3. Студія відповідає за дії своїх співробітників у Сервісі, за надання їм прав доступу та за збереження паролів.

4. Обов’язки Evimarko

1. Обробляти дані лише за документованими інструкціями Студії, крім випадків, коли обробки вимагає закон (про що Evimarko повідомляє Студію, якщо це не заборонено).
2. Забезпечити, щоб особи, які мають доступ до даних, були зобов’язані зберігати конфіденційність.
3. Вживати технічних і організаційних заходів безпеки відповідно до ст. 24 Закону і ст. 32 GDPR: шифрування з’єднання (TLS); шифрування чутливих полів у базі даних; зберігання паролів у вигляді хешу; двофакторна автентифікація; ізоляція даних різних студій; рольовий доступ; журнал дій; резервне копіювання; розміщення серверів у ЄС (Польща).
4. Допомагати Студії (з урахуванням характеру обробки) виконувати запити суб’єктів даних, проводити оцінку впливу і консультації з наглядовим органом — у межах наявних функцій Сервісу; додаткова допомога може бути платною.
5. Повідомляти Студію про порушення безпеки персональних даних (витік) без невиправданої затримки, по можливості — протягом 48 годин після того, як Evimarko дізнався про нього, з описом характеру порушення, імовірних наслідків і вжитих заходів.
6. Не використовувати дані клієнтів Студії для власних цілей, не продавати їх і не передавати для реклами. Evimarko може формувати знеособлену агреговану статистику, з якої неможливо встановити особу чи Студію.

5. Субпідрядники (суброзпорядники)

1. Студія надає загальний дозвіл на залучення суброзпорядників: хостинг-провайдера в ЄС, сервісу поштових розсилок, сервісів резервного копіювання, а також сервісів, які Студія підключає сама (месенджери, SMS, телефонія, фіскалізація, платіжні сервіси) — щодо останніх Студія діє на власний розсуд і за правилами цих сервісів.
2. Evimarko покладає на суброзпорядників обов’язки щодо захисту даних, не менш суворі, ніж у цьому DPA, і відповідає перед Студією за їхні дії в межах, визначених Умовами.
3. Про заміну чи додавання суброзпорядника (крім обраних Студією) Evimarko повідомляє в Сервісі чи електронною поштою. Якщо Студія має обґрунтовані заперечення, вона може припинити користування Сервісом до набрання змінами чинності — це її єдиний засіб правового захисту.

6. Передача за кордон

Дані зберігаються на серверах у ЄС (Польща). Передача даних за межі ЄЕП та України здійснюється лише за налаштуваннями Студії (наприклад, через підключені нею месенджери) або з дотриманням гарантій, передбачених ст. 29 Закону та главою V GDPR (рішення про адекватність, стандартні договірні положення ЄС).

7. Аудит

На письмовий запит Студії Evimarko надає інформацію, необхідну для підтвердження виконання цього DPA (опис заходів безпеки, перелік суброзпорядників). Інспекція на місці можлива не частіше одного разу на рік, з повідомленням не менше ніж за 30 днів, у робочий час, за рахунок Студії, за умови підписання угоди про конфіденційність і без доступу до даних інших студій.

8. Повернення й видалення даних

Протягом дії Умов Студія може самостійно вивантажувати і видаляти дані в Сервісі. Після припинення Умов дані зберігаються 30 календарних днів для вивантаження на запит Студії, після чого видаляються; резервні копії перезаписуються протягом наступних 30 днів. Evimarko може зберігати дані довше лише тоді, коли цього вимагає закон.

9. Відповідальність і строк дії

1. Відповідальність Evimarko за цим DPA обмежується так само, як визначено в розділі 9 Умов (сума, сплачена за останній місяць), наскільки це дозволяє закон.
2. DPA діє, доки діють Умови, а в частині видалення даних і конфіденційності — до повного виконання відповідних обов’язків.
3. У разі суперечностей між Умовами і цим DPA щодо обробки персональних даних переважає DPA.

10. Реквізити розпорядника

[реквізити буде вказано]
ІПН / код ЄДРПОУ: [реквізити буде вказано]
Адреса: [реквізити буде вказано]
Email: [email protected]
Телефон: [реквізити буде вказано]