Договір про обробку даних (AVV)

Стандартні договірні умови

Офіційний текст згідно з EUR-Lex (CELEX 32021D0915), додаток до рішення. Вибрані варіанти позначені як [Вибір: …], невибрані - викреслені; в іншому текст залишається без змін.

Розділ II: Обов’язки сторін

Пункт 6: Опис обробки

Деталі операцій ### з обробки, зокрема категорії персональних даних та цілі, для яких персональні дані обробляються від імені відповідального за обробку, наведені в Додатку II.

Пункт 7: Обов’язки сторін

7.1. Вказівки

а) Оператор, що здійснює обробку за дорученням, обробляє персональні дані лише на підставі задокументованих вказівок контролера, за винятком випадків, коли він зобов’язаний здійснювати обробку відповідно до законодавства Європейського Союзу або законодавства держави-члена, юрисдикції якої він підпорядковується. У такому випадку обробник даних повідомляє відповідального за обробку про ці правові вимоги до початку обробки, якщо відповідне законодавство не забороняє цього з огляду на важливий суспільний інтерес. Відповідальний за обробку може надавати додаткові вказівки протягом усього терміну обробки персональних даних. Ці вказівки завжди мають бути задокументовані.

b) Оператор, що обробляє дані за дорученням, негайно повідомляє відповідального, якщо він вважає, що вказівки, надані відповідальним, суперечать Регламенту (ЄС) 2016/679, Регламенту (ЄС) 2018/1725 або чинних положень щодо захисту даних Союзу чи держав-членів.

7.2. Обмеження мети обробки

Оператор обробляє персональні дані виключно для конкретної мети (цілей), зазначеної (зазначених) у Додатку II, за винятком випадків, коли він отримує додаткові вказівки від контролера.

7.3. Термін обробки персональних даних

Дані обробляються обробником лише протягом строку, зазначеного у Додатку II.

7.4. Безпека обробки

a) Обробник вживає щонайменше технічних та організаційних заходів, перелічених у Додатку III, для забезпечення безпеки персональних даних. Це включає захист даних від порушення безпеки, яке, незалежно від того, чи є воно ненавмисним чи незаконним, призводить до знищення, втрати, зміни або несанкціонованого розкриття даних чи несанкціонованого доступу до них (далі - «порушення захисту персональних даних»). При оцінці належного рівня захисту сторони належним чином враховують сучасний стан техніки, витрати на впровадження, характер, обсяг, обставини та цілі обробки, а також ризики, пов’язані з цим для суб’єктів даних.

б) Оператор обробки надає своєму персоналу доступ до персональних даних, що є предметом обробки, лише в тій мірі, в якій це є абсолютно необхідним для виконання, управління та контролю за виконанням договору. Оператор, що обробляє дані за дорученням, гарантує, що особи, уповноважені на обробку отриманих персональних даних, взяли на себе зобов’язання щодо конфіденційності або підпадають під дію відповідного законодавчого обов’язку щодо збереження таємниці.

7.5. Чутливі дані

У разі якщо обробка стосується персональних даних, які вказують на расове або етнічне походження, політичні погляди, релігійні або світоглядні переконання чи членство в профспілках, або містять генетичні чи біометричні дані з метою однозначної ідентифікації фізичної особи, дані про стан здоров’я, статеве життя або сексуальну орієнтацію особи, або дані про судимості та кримінальні правопорушення (далі - «чутливі дані»), обробник даних застосовує спеціальні обмеження та/або додаткові гарантії.

7.6. Документація та дотримання цих положень

a) Сторони повинні мати можливість підтвердити дотримання цих положень.

b) Оператор, що здійснює обробку за дорученням, має оперативно та належним чином розглядати запити Контролера щодо обробки даних відповідно до цих положень.

c) Оператор, що обробляє дані, надає Контролеру всю інформацію, необхідну для підтвердження дотримання зобов’язань, встановлених у цих положеннях та безпосередньо випливаючих із Регламенту (ЄС) 2016/679 та/або Регламенту (ЄС) 2018/1725. На вимогу контролера обробник даних також дозволяє проводити перевірку операцій з обробки даних, що підпадають під дію цих положень, через відповідні проміжки часу або за наявності ознак недотримання вимог, а також сприяє проведенню такої перевірки. При прийнятті рішення про перевірку або інспекцію контролер може враховувати відповідні сертифікати обробника даних.

d) Контролер може провести перевірку самостійно або доручити її незалежному аудитору. Перевірки можуть також включати інспекції у приміщеннях або на фізичних об’єктах обробника даних і, за необхідності, проводяться з відповідним попереднім повідомленням.

e) Сторони надають відповідному(им) наглядовому(им) органу(ам) інформацію, зазначену в цьому пункті, включаючи результати перевірок, на запит.

7.7. Залучення субпідрядників

a) ВАРІАНТ 2: ЗАГАЛЬНИЙ ПИСЬМОВИЙ ДОЗВІЛ: Оператор обробки даних має загальний дозвіл від Контролера на залучення субпідрядників, зазначених у погодженому переліку. Оператор обробки даних заздалегідь, щонайменше за 30 днів, у письмовій формі та в явній формі повідомляє Контролера про всі заплановані зміни до цього переліку шляхом додавання або заміни субпідрядників з обробки даних, надаючи таким чином Контролеру достатньо часу, щоб до залучення відповідного субпідрядника (субпідрядників) висловити заперечення проти цих змін. Оператор обробки надає відповідальному за обробку даних необхідну інформацію, щоб той міг реалізувати своє право на заперечення. [Вибір: варіант 2, строк 30 днів; узгоджений перелік наведено в Додатку IV]

б) Якщо обробник даних доручає субпідряднику-обробнику виконання певних операцій з обробки даних (від імені відповідального за обробку даних), то таке доручення має здійснюватися на підставі договору, який покладає на субпідрядника з обробки даних, по суті, ті самі обов’язки щодо захисту даних, що й ті, які покладаються на обробника даних відповідно до цих положень. Оператор обробки даних забезпечує виконання субпідрядником зобов’язань, які покладаються на оператора обробки даних відповідно до цих положень та згідно з Регламентом (ЄС) 2016/679 та/або Регламентом (ЄС) 2018/1725.

c) Оператор обробки даних надає контролеру на його запит копію такої угоди про субпідряд та будь-яких подальших змін до неї. У разі необхідності для захисту комерційної таємниці або іншої конфіденційної інформації, включаючи персональні дані, обробник даних може замаскувати текст угоди перед наданням її копії.

d) Оператор несе перед Контролером повну відповідальність за те, щоб субпідрядник виконував свої обов’язки відповідно до договору, укладеного з Оператором. Оператор повідомляє Контролера, якщо субпідрядник не виконує своїх договірних зобов’язань.

e) Оператор обробки даних домовляється з субпідрядником про включення до договору положення про третю сторону-бенефіціара, згідно з яким Контролер - у разі, якщо Оператор обробки даних фактично або юридично припинив своє існування або є неплатоспроможним - має право розірвати договір про субпідряд та доручити субпідряднику з обробки даних видалити або повернути персональні дані.

7.8. Міжнародна передача даних

a) Будь-яка передача даних обробником даних до третьої країни або міжнародної організації здійснюється виключно на підставі задокументованих вказівок контролера або з метою дотримання спеціальних положень законодавства Європейського Союзу або законодавства держави-члена, юрисдикції якої підпорядковується обробник даних, і повинна відповідати розділу V Регламенту (ЄС) 2016/679 або Регламенту (ЄС) 2018/1725.

б) Контролер погоджується з тим, що у випадках, коли обробник даних залучає субпідрядника відповідно до пункту 7.7 для здійснення певних операцій з обробки (від імені контролера), і ці операції з обробки передбачають передачу персональних даних у значенні розділу V Регламенту (ЄС) 2016/679, обробник даних та субпідрядник можуть забезпечити дотримання вимог розділу V Регламенту (ЄС) 2016/679 шляхом використання стандартних договірних умов, затверджених Комісією відповідно до статті 46, пункту 2 Регламенту (ЄС) 2016/679, за умови дотримання вимог щодо застосування цих стандартних договірних умов.

Положення 8: Сприяння відповідальному за обробку

а) Оператор обробки даних негайно повідомляє відповідального за обробку про кожен запит, отриманий ним від суб’єкта даних. Він не відповідає на запит самостійно, якщо тільки не отримав на це повноваження від відповідального за обробку.

b) З урахуванням характеру обробки даних обробник даних надає підтримку контролеру у виконанні його обов’язку щодо надання відповідей на запити суб’єктів даних про реалізацію їхніх прав. Виконуючи свої обов’язки відповідно до літер а) та б), обробник даних дотримується вказівок контролера.

c) Окрім обов’язку обробника даних надавати підтримку відповідальному за обробку даних відповідно до пункту 8 літери b, обробник даних, з урахуванням характеру обробки даних та інформації, що є в його розпорядженні, також надає підтримку відповідальному за обробку даних у дотриманні таких обов’язків:

• 1) обов’язок проведення оцінки наслідків запланованих операцій обробки для захисту персональних даних (далі - «оцінка наслідків для захисту даних»), якщо передбачається, що певна форма обробки може спричинити високий ризик для прав і свобод фізичних осіб;
• 2) обов’язок проконсультуватися з відповідним(и) наглядовим(и) органом(ами) перед початком обробки, якщо з оцінки впливу на захист даних випливає, що обробка може спричинити високий ризик, за умови, що контролер не вживе заходів для мінімізації цього ризику;
• 3) обов’язок забезпечувати достовірність та актуальність персональних даних шляхом того, що обробник даних негайно повідомляє відповідального, якщо він виявляє, що оброблювані ним персональні дані є недостовірними або застарілими;
• 4) Зобов’язання відповідно до статті 32 Регламенту (ЄС) 2016/679. [Вибір: Варіант 1]

d) Сторони визначають у Додатку III відповідні технічні та організаційні заходи щодо надання обробником даних підтримки відповідальному за обробку даних у застосуванні цього пункту, а також сферу застосування та обсяг необхідної підтримки.

Положення 9: Повідомлення про порушення захисту персональних даних

У разі порушення ### захиступерсональних### данихобробник даних співпрацює з контролером та надає йому відповідну підтримку, щоб контролер міг виконати свої зобов’язання відповідно до статей 33 та 34 Регламенту (ЄС) 2016/679 або, у відповідних випадках, статтями 34 та 35 Регламенту (ЄС) 2018/1725, при цьому обробник даних враховує характер обробки та інформацію, що є в його розпорядженні.

9.1. Порушення захисту даних, що обробляються контролером

У разі порушення захисту персональних даних, пов’язаного з даними, що обробляються контролером, обробник даних надає контролеру таку підтримку:

a) у негайному повідомленні про порушення захисту персональних даних до відповідного(их) наглядового(их) органу(ів), після того, як Контролеру стало відомо про порушення, якщо це доречно (за винятком випадків, коли порушення захисту персональних даних, ймовірно, не створює ризику для особистих прав і свобод фізичних осіб);

б) у зборі такої інформації, яка відповідно до статті 33, пункту 3 Регламенту (ЄС) 2016/679 має бути зазначена у повідомленні контролера, причому ця інформація має містити щонайменше наступне: [Вибір: Варіант 1]

• 1) вид персональних даних, наскільки це можливо, із зазначенням категорій та приблизної кількості осіб, яких це стосується, а також категорій та приблизної кількості відповідних записів персональних даних;
• 2) ймовірні наслідки порушення захисту персональних даних;
• 3) заходи, вжиті або запропоновані відповідальним за обробку даних для усунення порушення захисту персональних даних, а також, за необхідності, заходи щодо пом’якшення їхніх можливих негативних наслідків.

Якщо та в тій мірі, в якій не всю цю інформацію можна надати одночасно, первинне повідомлення містить інформацію, доступну на той момент, а додаткова інформація надається без невиправданої затримки, щойно вона стане доступною;

c) при виконанні обов’язку відповідно до статті 34 Регламенту (ЄС) 2016/679 про негайне повідомлення суб’єкта даних про порушення захисту персональних даних, якщо таке порушення, ймовірно, спричинить високий ризик для прав і свобод фізичних осіб. [Вибір: Варіант 1]

9.2. Порушення захисту даних, що обробляються обробником даних

У разі порушення захиступерсональних даних, пов’язаного з даними,що обробляються обробником даних, обробникданихнегайно повідомляє про це контролера після того, як йому стало відомо про таке порушення. Це повідомлення має містити щонайменше таку інформацію:

a) опис характеру порушення (за можливості із зазначенням категорій та приблизної кількості осіб, яких це стосується, а також приблизної кількості відповідних записів даних);

b) контактні дані контактного центру, де можна отримати додаткову інформацію про порушення захисту персональних даних;

c) передбачувані наслідки та вжиті або запропоновані заходи для усунення порушення захисту персональних даних, включаючи заходи щодо пом’якшення їхніх можливих негативних наслідків.

Якщо та в тій мірі, в якій не всю цю інформацію можна надати одночасно, первинне повідомлення містить інформацію, доступну на той момент, а додаткова інформація надається без невиправданої затримки, щойно вона стане доступною.

Сторони визначають у Додатку III всі інші відомості, які повинен надати обробник даних, щоб допомогти контролеру виконувати його обов’язки відповідно до статей 33 та 34 Регламенту (ЄС) 2016/679. [Вибір: Варіант 1]

Додаток I: Перелік сторін

Оператор, що обробляє дані на замовлення

Transpareo AG, Tech Cluster Zug, Oberallmendstrasse 18, 6300 Цуг, Швейцарія, UID CHE-220.381.580, у особі Гюнтера Райхельта, голови ради директорів. Контакт: privacy@mail.transpareo.com.

Уповноважений з питань захисту даних та представник у ЄС відповідно до ст. 27 Загального регламенту про захист даних (GDPR): DGD Deutsche Gesellschaft für Datenschutz, проф. д-р h.c. Гайко Джонні Маніеро, Franz-Joseph-Str. 11, 80801 Мюнхен, Німеччина, info@mail.dg-datenschutz.de.

Компанія Transpareo має штаб-квартиру в Швейцарії, щодо якої Комісія ухвалила рішення про адекватність (2000/518/ЄС). Дані зберігаються в Німеччині.

Контролери

Transpareo укладає ці угоди з кожним контролером окремо. Відповідальним є:

1. клієнт, який користується платформою Transpareo відповідно до Загальних умов надання послуг (ЗУНП). Ім’я, адреса та контактна особа - це дані, які він надає під час укладення договору через платформу та оновлює у своєму обліковому записі; контактною особою є власник облікового запису. Ці положення вважаються узгодженими з моменту укладення цього договору (пункт 14 Умов).
2. постачальник, який через сторінку постачальника надсилає запит своїм постачальникам. Відповідальним є підприємство, на яке вказує посилання, через яке надсилається запит, як зазначено в самому запиті. Контактною особою є той, хто пересилає запит, із зазначенням імені та адреси електронної пошти, які він вказує при цьому. Постачальник погоджується з цими положеннями, приймаючи їх від імені своєї компанії під час пересилання запиту; Transpareo зберігає прийняту версію та час пересилання разом із посиланням. Крім того, для нього діють Умови користування для постачальників.

Transpareo призначає уповноваженого з питань захисту даних відповідального суб’єкта, щойно той його призначить.

Загальні умови або Умови користування для постачальників є основним договором. Умови укладаються в електронній формі (ст. 28, п. 9 Загального регламенту про захист даних); датою приєднання є момент укладення.

Додаток III: Технічні та організаційні заходи

Шифрування та псевдонімізація

• Усі з’єднання шифруються за допомогою TLS.
• Дані доступу та інші конфіденційні відомості (PIN-код, ключі для одноразових кодів, дані доступу до SMTP, ключі API) зберігаються в базі даних у зашифрованому вигляді за допомогою алгоритму AES-256-GCM, з окремим ключем для кожної робочої області.
• Резервні копії зашифровані.
• Статистика відвідувачів зберігає IP-адреси лише у вигляді хеш-значення з використанням секретного ключа. Відвідування сторінки постачальника не враховуються в ній.

Розмежування

• Кожен клієнт має власну базу даних.

Фізична безпека

• Сервери та об’ємні носії даних розміщені в центрах обробки даних компанії Hetzner Online GmbH у місті Фалькенштайн, Німеччина, які сертифіковані за стандартом ISO 27001.

Ідентифікація та авторизація

• Паролі зберігаються лише у вигляді хешу bcrypt.
• Двофакторний вхід за допомогою одноразового коду або ключа безпеки доступний для всіх користувачів; клієнт може вимагати його для свого робочого простору.
• Сесія завершується після періоду бездіяльності, який встановлює клієнт (за замовчуванням - вісім годин).
• У робочій області діють ролі та права доступу, які призначає клієнт.
• Співробітники Transpareo відкривають робочу область лише шляхом входу від імені клієнта, що фіксується у журналі платформи та у журналі безпеки робочої області.
• Сторінка постачальника: посилання містить випадковий ключ із 16 символів (80 біт); без PIN-коду сторінка не відображає жодних даних із набору. Після п’яти неправильних PIN-кодів посилання блокується на 15 хвилин. Сторінка приймає не більше 120 запитів на хвилину з кожної IP-адреси. Під час розблокування сеансу йому присвоюється новий ідентифікатор. Сторінка заблокована для пошукових систем і не передає свою адресу стороннім сайтам.

Реєстрація

• Зміни в записах даних та операції на сторінці постачальника реєструються із зазначенням часу, виконавця та IP-адреси й зберігаються протягом п’яти років; дані про входи в систему та інші події, пов’язані з безпекою, - протягом одного року.
• Журнали сервера видаляються через 14 днів.

Цілісність

• Зображення постачальників зберігаються без метаданих у захищеній зоні поза межами публічного сховища доти, доки їх не прийме перевірка. Відповідь змінює запис лише після перевірки.
• Опубліковані версії паролів мають криптографічний підпис.

Доступність та відновлення

• Кожні чотири години база даних та файли кожної активної робочої області резервуються, шифруються та зберігаються окремо від серверів в об’єктному сховищі в Німеччині. Локальні копії видаляються через чотири дні. Резервні копії в об’єктному сховищі зберігаються 90 днів, а потім остаточно видаляються протягом наступних 30 днів.
• Послуги та сервери постійно контролюються; оновлення безпеки встановлюються регулярно.
• Transpareo регулярно перевіряє ці заходи та адаптує їх до сучасного рівня техніки.

Підтримка відповідального (пункти 8 та 9)

• Клієнт може переглядати, виправляти та видаляти дані своєї робочої області на платформі. Постачальник бачить відповіді на свої запити щодо передачі даних на сторінці постачальника та може відкликати будь-яке надане посилання.
• Запити від суб’єктів даних, що надходять до Transpareo, компанія негайно переадресовує відповідальному.
• Повідомлення відповідно до пунктів 7.7 та 9.2 надсилаються електронною поштою власнику облікового запису клієнта та на адресу електронної пошти, яку постачальник вказує під час передачі даних. Контактною особою згідно з пунктом 9.2 літери b є privacy@mail.transpareo.com.
• У повідомленні відповідно до пункту 9.2 додатково зазначаються час порушення та його виявлення, а також відповідні робочі області або посилання.

Швейцарське доповнення

Це доповнення є ще одним пунктом відповідно до пункту 2 літери b. У разі, якщо обробка даних підпадає під дію Федерального закону Швейцарії про захист даних (DSG):

1. посилання на Регламент (ЄС) 2016/679 водночас вважаються посиланнями на відповідні положення DSG, а саме: ст. 28 GDPR - на ст. 9 DSG, ст. 32 - на ст. 8, статті 33 та 34 - на статтю 24, статті 35 та 36 - на статті 22 та 23, розділ V - на статті 16-18, права суб’єктів даних - на статті 25-32 DSG, а чутливі дані згідно з пунктом 7.5 - на персональні дані, що потребують особливого захисту, згідно зі статтею 5 літ. c DSG;
2. компетентним наглядовим органом є Федеральний уповноважений з питань захисту даних та свободи інформації (EDÖB); це не впливає на компетенцію наглядових органів згідно з GDPR;
3. правом держави-члена вважається також швейцарське право.

Станом на 8 жовтня 2026 року