Ця Угода про обробку даних (“УОД”) є доповненням до Угоди між Компанією та Клієнтом, яке описує відповідні ролі сторін щодо обробки та контролю Персональних даних, які Клієнт надає Компанії в рамках Послуги підписки. Будь-який термін, що починається з великої літери, не визначений у цьому документі, має значення, надане йому в Угоді. Ця УОД автоматично припиняє свою дію з розірванням або закінченням терміну дії Угоди. Ніщо в цій УОД не впливає на застосування чинного права та юрисдикції згідно з Угодою, яка застосовується до всіх претензій, поданих згідно з Угодою та цією УОД.
1. ВИЗНАЧЕННЯ
“Партнерська програма”означає будь-яку юридичну особу, яку контролює сторона, яка контролює сторону або яка перебуває під її спільним контролем. Для цілей цього визначення “контроль” означає частку в суб’єкті господарювання, що перевищує 50%.
“Угода”означає угоду між Компанією та Клієнтом про надання послуг передплати.
“Компанія”означає юридичну особу Компанії, зазначену у відповідній Формі замовлення та/або Завданні на виконання робіт.
“Група компаній”означає Dilicheck SL та її афілійованих осіб».
“Клієнт”означає юридичну особу-замовника, зазначену у відповідній Формі замовлення та/або Завданні на виконання робіт.
“Законодавство про захист даних”означає будь-які чинні закони, нормативні акти, директиви або інструкції, що регулюють захист, обробку, зберігання, передачу або безпеку персональних даних, конфіденційність або права суб’єктів даних у будь-якій юрисдикції, де сторони здійснюють діяльність або надають послуги. Це включає, але не обмежується, Загальний регламент про захист даних (ЄС) 2016/679 (’GDPR ЄС“) та будь-які інші чинні закони про захист даних або конфіденційність аналогічного характеру в будь-якій юрисдикції, де Персональні дані обробляються відповідно до цієї Угоди, а також будь-які інші чинні або майбутні закони та нормативні акти аналогічного характеру (усі зі змінами, оновленнями або повторним прийняттям час від часу).
“Суб'єкт даних”означає будь-яку фізичну особу, яку можна ідентифікувати прямо чи опосередковано за допомогою персональних даних, включаючи, але не обмежуючись, таких осіб, як клієнти, співробітники, користувачі, підрядники або будь-які інші особи, яких можна ідентифікувати».
“Персональні дані”означає будь-яку інформацію в будь-якій формі, що стосується ідентифікованої або ідентифікованої фізичної особи. Ідентифікована особа – це особа, яку можна ідентифікувати прямо чи опосередковано, посилаючись на один або декілька факторів, включаючи, але не обмежуючись, ім’я, ідентифікаційний номер, дані про місцезнаходження, онлайн-ідентифікатор або фактори, характерні для її фізичної, фізіологічної, генетичної, психічної, економічної, культурної чи соціальної ідентичності.
“Обробка”означає будь-яку операцію або сукупність операцій, що виконуються з персональними даними або наборами персональних даних, незалежно від того, чи виконуються вони автоматизованими засобами, такими як збір, запис, упорядкування, структурування, зберігання, адаптація або зміна, пошук, консультація, використання, розкриття шляхом передачі, поширення або надання доступу іншим чином, зіставлення або поєднання, обмеження, стирання або знищення».
“Стандартні договірні положення”означає стандартні договірні положення щодо передачі даних від контролерів у Європейській економічній зоні до обробників, зареєстрованих за межами Європейської економічної зони, видані Європейською Комісією, що діють на дату цієї Угоди про обробки даних, як передбачено в http s: // e ur – l ex. Європа . eu / l eg al –вміст /EN / TXT /PDF /? uri = CELEX : 32021 D 0914
“Третя країна”означає будь-яку країну без системи, що забезпечує належний захист».
2. СФЕРА ЗАСТОСУВАННЯ УГОДИ ПРО ПДП
Щодо будь-яких Персональних даних, наданих Клієнтом Компанії в рамках Угоди, Компанія діє як Обробник, а Клієнт — як Контролер.
3. ОБРОБКА ПЕРСОНАЛЬНИХ ДАНИХ
- У тій мірі, в якій Компанія виступає Обробником, що діє від імені Клієнта, для цілей Угоди:
- тип Персональних даних та категорії Суб'єктів даних: ім'я, прізвище, адреса електронної пошти, номери телефонів, поштова адреса; та
- Характер/мета Обробки полягає в тому, щоб дати Компанії змогу надавати послуги Представництва ЄС відповідно до статті 27 GDPR, включаючи обробку та сприяння запитам суб'єктів даних, а тривалість Обробки вважається терміном дії Угоди.
- Компанія повинна дотримуватися своїх зобов'язань згідно із Законодавством про захист даних, а саме:
- обробляти Персональні дані лише в обсязі, необхідному для цілей, зазначених у цьому документі, та відповідно до письмових інструкцій Клієнта, де це можливо;
- впроваджувати відповідні технічні та організаційні заходи відповідно до законодавства про захист даних для забезпечення рівня безпеки, що відповідає ризикам, що виникають внаслідок такої обробки;
- обробляти будь-які Персональні дані в Третій Країні через іншу компанію Групи Компаній або субпідрядників лише відповідно до умов Стандартних Договірних Положень;
- забезпечити, щоб будь-які співробітники або інші особи, уповноважені обробляти Персональні дані, були зобов'язані дотримуватися відповідних зобов'язань щодо конфіденційності;
- не залучати жодної третьої сторони до виконання своїх зобов'язань щодо Обробки за цією угодою без попередньої письмової згоди Клієнта, і для цілей цього підрозділу (v) сторони погоджуються, що Компанія може залучати свого хостинг-партнера до виконання своїх зобов'язань щодо Обробки відповідно до Угоди, а організація Групи компаній також може виконувати зобов'язання щодо Обробки відповідно до підрозділу (ii) вище;
- повідомляти Клієнта якомога швидше про будь-який запит або скаргу щодо права на знання, отриману від Суб'єктів даних без відповіді на цей запит (якщо це не дозволено Клієнтом або не передбачено чинним законодавством), та допомагати Клієнту вживати технічних та організаційних заходів, наскільки це можливо, для виконання зобов'язань Клієнта щодо таких запитів та скарг;
- на запит Клієнта, та враховуючи характер Обробки та інформацію, доступну Компанії, допомагати Клієнту у забезпеченні дотримання його зобов'язань згідно із Законодавством про захист даних (де це застосовується) щодо: (a) впровадження відповідних технічних та організаційних заходів; (b) де це доречно, повідомлення про порушення захисту Персональних даних відповідному наглядовому органу та/або повідомлення про такі порушення Суб'єкту даних відповідно до чинного законодавства про захист даних; та (c) де це необхідно, проведення та/або перегляд та, якщо це доречно, консультування з відповідним наглядовим органом щодо оцінок впливу на захист даних;
- на запит Клієнта надати всю інформацію, необхідну для демонстрації дотримання Компанією цього пункту 3; та
- після розірвання або закінчення терміну дії Угоди знищити всі Персональні дані та видалити всі існуючі копії таких Персональних даних, за винятком випадків, передбачених чинним законодавством.
4. ЗОБОВ'ЯЗАННЯ КЛІЄНТА
Клієнт підтверджує, що він має необхідні повноваження (де це потрібно) від усіх відповідних Суб'єктів даних для використання та обробки Компанією таких Персональних даних відповідно до Угоди. Клієнт зобов'язується дотримуватися всього чинного законодавства про захист даних, включаючи: (i) надання всіх необхідних повідомлень та відповідних розкриттів усім Суб'єктам даних щодо збору, використання, обробки та передачі Персональних даних Клієнтом, Компанією та будь-якими третіми сторонами, що діють від імені Клієнта; (ii) отримання всіх необхідних прав та юридично обґрунтованих згод від Суб'єктів даних, щоб дозволити Компанії Обробку Персональних даних з метою виконання зобов'язань Компанії або іншим чином, дозволеним Угодою, та (iii) отримання явної згоди від Суб'єктів даних та дотримання всього чинного законодавства про захист даних, якщо Клієнт збирає або передає будь-які спеціальні категорії персональних даних. Клієнт визнає, що Послуги передплати Компанії не призначені для збору або обробки будь-яких спеціальних категорій персональних даних.
5. МІЖНАРОДНА ПЕРЕДАЧА ДАНИХ
- Сторони визнають, що надання Послуг може включати передачу Персональних даних з Європейської економічної зони (“ЄЕЗ”) до юрисдикцій за межами ЄЕЗ, які не забезпечують належного рівня захисту даних у значенні чинного законодавства про захист даних (“Треті країни”). Обробник повинен забезпечити, щоб будь-які такі передачі здійснювалися відповідно до чинного законодавства про захист даних та підлягали відповідним гарантіям, розробленим для забезпечення захисту Персональних даних на рівні, що суттєво еквівалентний тому, що вимагається GDPR.
- Передачі від процесора до контролера
У тій мірі, в якій Обробник передає Персональні дані Контролеру в Третій Країні у зв'язку з Послугами:
(a) сторони погоджуються, що такі передачі регулюються Стандартними договірними положеннями (Імплементаційне рішення Комісії (ЄС) 2021/914);
(b) сторони конкретно погоджуються, що застосовується Модуль 4 (Від обробника до контролера) Стандартних договірних положень;
(c) Обробник виступає експортером даних, а Контролер виступає імпортером даних для цілей Стандартних договірних положень;
(d) Стандартні договірні положення цим включаються до цієї Угоди про обробку даних шляхом посилання та повністю викладені у Додатку IV, і становлять невід'ємну частину цієї Угоди.
- Передача даних субпідрядникам
Якщо Обробник залучає Субпідрядників, розташованих у третіх країнах:
(a) Обробник повинен забезпечити, щоб такі передачі здійснювалися з дотриманням належних гарантій відповідно до законодавства про захист даних;
(b) де це застосовується, такі гарантії повинні включати виконання Стандартних договірних положень, включаючи Модуль 3 (Від Обробника до Обробника), між Обробником та відповідним Субобробником;
(c) Обробник повинен покласти на всіх Субобробників договірні зобов'язання, які є не менш захисними, ніж ті, що викладені в цій Угоді про обробку даних;
(d) Обробник залишається повністю відповідальним перед Контролером за виконання зобов'язань своїх Субпідрядників з обробки даних.
- Додаткові гарантії та оцінки впливу передачі
Обробник повинен:
(a) впроваджувати відповідні технічні та організаційні заходи для захисту Персональних даних під час передачі та подальшої обробки, включаючи, де це доречно, такі як шифрування під час передачі; засоби контролю доступу; заходи з мінімізації даних;
(b) оцінювати, за потреби в кожному окремому випадку, чи можуть закони та практика Третьої країни впливати на ефективність впроваджених гарантій, включаючи Стандартні договірні положення;
(c) на обґрунтований запит надавати Контролеру інформацію, обґрунтовано необхідну для демонстрації дотримання цього пункту, включаючи відповідні аспекти будь-якої оцінки впливу передачі.
- Зміни в законодавчій базі
Якщо (a) Стандартні договірні положення визнано недійсними, змінено або замінено; або (b) компетентний наглядовий орган або суд визначить, що запобіжні заходи, на які покладаються, більше не є достатніми, сторони повинні добросовісно співпрацювати для впровадження альтернативних механізмів передачі або додаткових заходів, необхідних для забезпечення дотримання законодавства про захист даних; а якщо такий механізм не може бути впроваджений, Контролер може призупинити або припинити відповідні передачі без штрафних санкцій.
- Пріоритет гарантій
У разі будь-якого конфлікту між цією Угодою про захист даних та Стандартними договірними положеннями, Стандартні договірні положення матимуть переважну силу в тій мірі, яка необхідна для забезпечення дотримання чинного законодавства про захист даних.
6. СУБОПРОЦЕСОР
- Клієнт погоджується з тим, що Компанія може залучати сторонніх субпідрядників (разом – “Субпідрядники”), а також суб’єктів Групи Компанії для обробки Персональних даних від імені Компанії. Поточні Субпідрядники Компанії перелічені тут і будуть час від часу оновлюватися. Компанія докладе розумних зусиль, щоб повідомити Клієнта про будь-які суттєві зміни щодо своїх Субпідрядників, тим самим надаючи Клієнту можливість висунути будь-які обґрунтовані заперечення проти таких змін. Якщо Клієнт може обґрунтовано довести, що призначення нового Субпідрядника матиме суттєвий негативний вплив на здатність Компанії дотримуватися чинного законодавства про захист даних, то Клієнт повинен негайно письмово повідомити Компанію протягом десяти (10) робочих днів після цього про свої обґрунтовані підстави для заперечення проти використання нового Субпідрядника.
- Після отримання письмового заперечення Клієнта проти суттєвої зміни щодо Субпідрядників Компанії, Клієнт та Компанія співпрацюватимуть без необґрунтованої затримки, щоб рекомендувати альтернативну угоду. Якщо застосовуються всі наступні умови: a) взаємоприйнятна та розумна альтернативна угода не знайдена; b) Клієнт має право на розірвання відповідно до чинного законодавства про захист даних, та c) Клієнт надав своєчасне письмове повідомлення відповідно до цього Розділу, тоді Клієнт може розірвати Угоду лише стосовно тих послуг, які Компанія не може надати без використання нового Субпідрядника. Якщо це не заборонено чинним законодавством про захист даних, у разі такого дострокового розірвання з боку Клієнта, Компанія може утримувати або вимагати оплату за послуги до кінця поточного терміну дії Угоди з Клієнтом за розірвані послуги.
- Компанія повинна встановити аналогічні умови захисту даних для такого Субпідрядника та нести відповідальність за будь-яке порушення Угоди про захист даних, спричинене Субпідрядником, якщо таке порушення спричинене будь-якими недбалими діями або бездіяльністю Компанії.
7. АУДИТ
На письмовий запит та за умови попереднього повідомлення (не менше ніж за тридцять днів), Компанія надає Клієнту всю інформацію, обґрунтовано необхідну для демонстрації дотримання зобов'язань, викладених у цій Угоді про обробки даних (DPA), та для забезпечення та сприяння обґрунтованим аудитам його Обробочних потужностей, включаючи інспекції, що проводяться Клієнтом, іншим незалежним аудитором, уповноваженим Клієнтом, або наглядовим органом. Клієнт може проводити один аудит або перевірку Обробочної діяльності Компанії протягом дванадцяти (12) місяців за допомогою анкети з подальшим дзвінком за потреби, якщо інше не вимагається чинним законодавством про захист даних або у разі підтвердженого порушення захисту персональних даних, що впливає на персональні дані Клієнта. Компанія погоджується з тим, що наглядові органи мають право проводити аудит Обробочних потужностей Компанії в тому ж обсязі та на тих самих умовах, які наглядовий орган застосовував би до аудиту Контролера відповідно до чинного законодавства про захист даних. Компанія негайно інформує Клієнта про існування законодавства, що застосовується до нього, або будь-якого затвердженого Субобробника, яке перешкоджає проведенню аудиту відповідно до цього пункту. У такому випадку Клієнт має право призупинити передачу будь-яких Персональних даних.
8. ВІДПОВІДАЛЬНІСТЬ
Відповідальність кожної Сторони за цією Угодою про обробку даних підлягає обмеженням та виняткам, викладеним у Стандартних умовах Генеральної підписки та послуг або аналогічних угодах, укладених між Сторонами.
9. ЧИННЕ ЗАКОНОДАВСТВО
Ця Угода про обробку даних регулюється законодавством, зазначеним у Стандартних умовах підписки та послуг або аналогічній угоді, укладеній між Сторонами.