Угода про доручення обробки персональних даних (Додаток: DPA)

§1. Предмет, строк дії та характер обробки

1. Цей Додаток регулює правила доручення Terminka обробки персональних даних, адміністратором яких є Партнер, у зв’язку з користуванням Послугами, зокрема застосунком Terminka Partner та пов’язаними модулями.

2. Строк дії: протягом строку дії договору про надання Послуг (Правила користування) та до моменту видалення або повернення даних відповідно до §10 DPA.

3. Характер і мета: хостинг, зберігання, організація, упорядкування, ознайомлення, надання на вимогу Партнера, передача, обмеження та видалення — з метою забезпечення обслуговування клієнтів Партнера, ведення календаря та бронювань, адміністрування Облікового запису Партнера, користування платними функціями Terminka, комунікації, звітності та інтеграцій, зазначених Партнером. Якщо Партнер користується функцією публічного відображення Профілю або пропозиції, обробка може також охоплювати надання даних і матеріалів Партнера в каналах Terminka відповідно до конфігурації та інструкцій Партнера.

§2. Категорії даних і осіб, обсяг дій

1. Категорії осіб: клієнти Партнера (чинні та потенційні), персонал Партнера, користувачі облікових записів Партнера.

2. Категорії даних: ідентифікаційні та контактні дані (наприклад, ім’я та прізвище, телефон, e-mail), дані бронювань (дати, статуси, послуги), нотатки щодо візитів, маркетингові згоди (якщо збираються), комунікація, ідентифікатори платежів і розрахунків, пов’язаних із користуванням Партнером платними функціями Terminka, технічні дані (логи, IP, ідентифікатори пристроїв).

3. Спеціальні категорії даних: Terminka не вимагає обробки спеціальних категорій персональних даних. Якщо Партнер вирішить їх обробляти, він підтверджує наявність відповідної правової підстави та обмежує обсяг даних до необхідного мінімуму. Terminka обробляє такі дані виключно на підставі документально підтвердженого доручення Партнера та застосовує належні заходи безпеки.

§3. Інструкції та обов’язки Партнера (Адміністратора)

1. Партнер заявляє, що має належну правову підставу для обробки даних та їх передачі Terminka.

2. Terminka обробляє дані виключно на підставі документально підтвердженого доручення Партнера (зокрема через налаштування в панелі, API, акцепт відповідних опцій в інтерфейсі Послуг, а також письмові або e-mail-інструкції), якщо лише обов’язок обробки не покладається правом ЄС або РП. Доручення Партнера може також охоплювати опціональну підтримку впровадження, у тому числі технічне створення Облікового запису, первинне заповнення Профілю, а також імпорт або внесення даних пропозиції, послуг, цін, тривалості послуг і контактних даних на підставі матеріалів, переданих Партнером.

3. Партнер відповідає за виконання щодо осіб, яких стосуються дані, інформаційних обов’язків і реалізацію їхніх запитів за підтримки Terminka відповідно до §6 DPA.

§4. Обов’язки Terminka (Обробника)

Terminka зобов’язується, зокрема, до:

1. забезпечення того, щоб особи, допущені до даних, зберігали конфіденційність і були належним чином навчені;

2. застосування відповідних технічних та організаційних заходів відповідно до ст. 32 GDPR;

3. підтримки Партнера у виконанні обов’язків зі ст. 32–36 GDPR, зокрема щодо безпеки, повідомлення про порушення, оцінки наслідків і консультацій;

4. допомоги в реалізації прав осіб, про яку йдеться в §6 DPA;

5. ведення реєстру категорій дій з обробки, якщо це вимагається;

6. незалучення іншого обробника без дотримання §5 DPA;

7. інформування Партнера про обов’язкове правове доручення, якщо право не забороняє такого розкриття;

8. після завершення надання Послуг — видалення або повернення даних відповідно до §10 DPA.

§5. Субпроцесори (subprocessors)

1. Партнер надає загальний дозвіл на користування Terminka послугами субпроцесорів.

2. Актуальний перелік субпроцесорів публікується на сайті Субпроцесори. Terminka забезпечує, що на кожного субпроцесора покладаються обов’язки не менш суворі, ніж у цьому DPA.

3. Terminka повідомить Партнера про заплановані зміни в переліку щонайменше за 15 днів (e-mail або повідомлення в панелі). Відсутність заперечення в цей строк означає згоду. У разі заперечення Сторони докладуть зусиль, щоб знайти рішення, наприклад відключення певної інтеграції; якщо це неможливо, Партнер може розірвати договір у частині, що стосується відповідної функціональності.

§6. Права осіб, яких стосуються дані

1. Terminka, з урахуванням характеру обробки, допомагає Партнеру в реалізації запитів осіб, яких стосуються дані, зокрема щодо доступу, виправлення, видалення, обмеження, перенесення та заперечення.

2. Якщо запит надійде безпосередньо до Terminka, Terminka передасть його Партнеру, якщо на ній не лежить правовий обов’язок надати самостійну відповідь.

3. Terminka впроваджує процеси, що забезпечують своєчасне опрацювання запитів та їх документування.

§7. Порушення захисту даних

1. Про кожне порушення захисту даних Terminka повідомить Партнера без невиправданої затримки після виявлення порушення, передаючи щонайменше інформацію, що вимагається ст. 33 ч. 3 GDPR, у міру її доступності.

2. Terminka співпрацює з Партнером у аналізі ризику, підготовці повідомлень до UODO або осіб, яких стосуються дані, а також у вжитті заходів реагування.

§8. Технічні та організаційні заходи (TOM)

Terminka застосовує щонайменше такі технічні та організаційні заходи:

• шифрування передачі даних (TLS),
• контроль доступу та повноважень, у тому числі ролі/ACL та MFA для персоналу,
• сегментацію середовищ,
• псевдонімізацію там, де це можливо,
• шифрування вибраних даних у стані спокою,
• реєстрацію та моніторинг подій,
• тести безпеки та управління вразливостями,
• резервні копії та процедури відновлення,
• процедури безперервності діяльності,
• перевірку постачальників,
• принцип мінімізації даних.

Детальний опис TOM може надаватися Партнерам на запит у формі контрольного листа або іншої рівнозначної документації.

§9. Аудити та перевірки

1. Партнер має право провести аудит типу desk-audit на підставі анкети, звітів або документації не частіше ніж один раз на 12 місяців, із попередженням за 14 днів, у робочий час і без надмірного порушення діяльності Terminka. Аудит on-site можливий виключно в обґрунтованих випадках.

2. Сторони забезпечують конфіденційність і безпеку інформації, що розкривається під час аудиту. Витрати на надзвичайні аудити несе Партнер, якщо лише аудит не виявить істотних порушень з боку Terminka.

§10. Повернення та видалення даних

1. Після завершення надання Послуг Terminka, відповідно до вибору Партнера, заявленого протягом 30 днів, забезпечить експорт даних у структурованому форматі (наприклад, CSV/JSON), а потім видалить дані з операційних систем протягом 60 днів, якщо лише довше зберігання не вимагається законом; у такому разі дані будуть належним чином заблоковані.

2. Резервні копії перезаписуються або видаляються у межах стандартних циклів зберігання.

§11. Передача за межі ЄЕЗ

Якщо відбувається передача даних за межі ЄЕЗ, Terminka забезпечує правову підставу відповідно до розділу V GDPR, наприклад стандартні договірні положення (SCC), а також — якщо це необхідно — додаткові заходи, такі як шифрування або обмеження доступу. Переважні локації дата-центрів: ЄЕЗ.

§12. Відповідальність і пріоритетність

1. Відповідальність Сторін визначається основним договором (Правила користування) у межах, допустимих законом; положення GDPR мають пріоритет.

2. У разі суперечності положень пріоритет у питаннях обробки даних має цей Додаток — DPA.

§13. Набрання чинності та форма

1. DPA набирає чинності з моменту акцепту Правил користування Партнером (click-wrap) і становить його невід’ємну частину.

2. Сторони підтверджують, що DPA укладено в електронній формі відповідно до ст. 28 ч. 9 GDPR і вона є рівнозначною письмовій формі.

3. Terminka веде облік акцептів, що охоплює, зокрема, дату і час акцепту, ідентифікатор облікового запису, адресу IP та версію документа, а також надає актуальну версію онлайн.

Контактні дані у справах захисту даних

Контакт з питань захисту даних: rodo@terminka.com

Поштова адреса:
DOIT-BI Sp. z o.o.
pl. Powstańców Śląskich 1/11
53-329 Wrocław
Polska