Додаток про обробку персональних даних (DPA) — iFurn.pro
Цей Додаток про обробку персональних даних (далі — «DPA») застосовується, коли Виконавець (платформа iFurn.pro, далі — «Сервіс») обробляє персональні дані від імені Користувача під час надання Сервісу і коли до такої обробки застосовується Загальний регламент ЄС про захист даних 2016/679 (далі — «GDPR») або інше застосовне законодавство про захист даних.
DPA є частиною Договору публічної оферти та доповнює Політику конфіденційності. У разі суперечності щодо обробки персональних даних, на яку поширюється GDPR, застосовується цей DPA; питання відповідальності регулюються Договором публічної оферти. Терміни, не визначені тут, мають значення, надане GDPR.
1. Ролі сторін
Щодо персональних даних, які Користувач вносить або завантажує до Сервісу (далі — «Дані Користувача»), Користувач є контролером (володільцем), а Виконавець — процесором (розпорядником), що діє від імені Користувача. Щодо даних власного акаунту Користувача та технічних даних Сервісу контролером виступає Виконавець (див. Політику конфіденційності).
2. Предмет і деталі обробки
Предмет і тривалість: надання Сервісу протягом строку дії Договору публічної оферти. Характер і мета: обробка, необхідна для роботи функцій Сервісу за вказівками Користувача.
Категорії даних: ідентифікаційні та контактні дані, а також інші дані, які Користувач вносить до Сервісу (зокрема щодо клієнтів, працівників або контрагентів Користувача). Категорії суб'єктів даних: особи, дані яких Користувач обробляє через Сервіс. Операції обробки: збирання, зберігання, структурування, використання, передавання в межах Сервісу та видалення, необхідні для надання Сервісу. Права та обов'язки Користувача як контролера визначаються GDPR, цим DPA та Договором публічної оферти. Користувач не повинен вносити спеціальні категорії даних, якщо це не є необхідним і законним.
3. Вказівки Користувача
Виконавець обробляє Дані Користувача лише за документованими вказівками Користувача, включно з Договором публічної оферти, Політикою конфіденційності та налаштуваннями Сервісу, крім випадків, коли обробка вимагається законодавством; у такому разі Виконавець до початку обробки повідомляє Користувача про відповідну юридичну вимогу, якщо тільки закон не забороняє таке повідомлення. Якщо, на думку Виконавця, вказівка порушує законодавство про захист даних, Виконавець негайно повідомляє про це Користувача.
4. Конфіденційність
Виконавець забезпечує, щоб особи, уповноважені обробляти Дані Користувача, були зобов'язані дотримуватися конфіденційності.
5. Безпека
Виконавець вживає належних технічних і організаційних заходів з урахуванням стану техніки, витрат, характеру, обсягу та ризиків обробки, як описано в Політиці безпеки. Жодні заходи не гарантують абсолютної безпеки; Виконавець не гарантує повної захищеності від усіх можливих загроз.
6. Субпроцесори
Користувач надає загальний дозвіл на залучення субпроцесорів (зокрема хостинг-провайдерів, дата-центрів, постачальників хмарної інфраструктури, електронної пошти, аналітичних і платіжних сервісів). Актуальний перелік субпроцесорів є постійно доступним Користувачу (зокрема публікується Виконавцем). Про плановане додавання або заміну субпроцесора Виконавець завчасно повідомляє Користувача (у тому числі шляхом оновлення переліку), надаючи розумну можливість заявити заперечення.
Користувач може заявити обґрунтоване з міркувань захисту даних заперечення щодо нового субпроцесора протягом розумного строку до початку відповідної обробки. Якщо заперечення не вдається врегулювати, Користувач має право припинити використання відповідної частини Сервісу. Виконавець покладає на субпроцесорів відповідні обов'язки щодо захисту персональних даних у випадках та обсязі, передбачених застосовним законодавством. Відповідальність Виконавця за дії або бездіяльність субпроцесорів визначається застосовним законодавством та Договором публічної оферти. Майнова (грошова) відповідальність Виконавця обмежується відповідно до Договору публічної оферти в частині, в якій таке обмеження допускається імперативними нормами застосовного законодавства.
7. Сприяння Користувачу
З урахуванням характеру обробки та наскільки це технічно можливо, Виконавець надає Користувачу розумне сприяння: доступними у Сервісі засобами — щодо запитів суб'єктів даних; а також щодо забезпечення безпеки, повідомлення про інциденти та оцінки впливу (DPIA) і консультацій із наглядовим органом. Сприяння, що виходить за межі стандартної функціональності Сервісу, надається за обґрунтованими витратами Користувача. Опрацювання запитів суб'єктів даних щодо Даних Користувача забезпечує сам Користувач як контролер.
8. Інциденти з персональними даними
Виконавець повідомляє Користувача про інцидент із персональними даними, що стосується Даних Користувача, без невиправданої затримки після того, як йому стало про нього відомо, та надає доступну на той момент інформацію. Повідомлення наглядового органу та суб'єктів даних (за потреби) здійснює Користувач як контролер.
9. Видалення або повернення даних
Після припинення надання Сервісу Виконавець на вибір Користувача видаляє або повертає Дані Користувача доступними засобами, крім випадків, коли їх подальше зберігання вимагається законодавством. Користувач самостійно завчасно вивантажує потрібні йому дані; технічне резервне копіювання видаляється відповідно до звичайних циклів.
10. Аудит
Виконавець на обґрунтований письмовий запит Користувача надає інформацію, необхідну для підтвердження дотримання цього DPA, — насамперед у формі наявної документації, сертифікатів, звітів про перевірки або письмових відповідей; як правило, цього достатньо для підтвердження відповідності. Якщо наданих відомостей об'єктивно недостатньо або є обґрунтовані сумніви щодо дотримання цього DPA чи GDPR, Виконавець допускає аудит або інспекцію та сприяє їй. Організаційні деталі такого аудиту (обсяг, час і порядок) попередньо узгоджуються письмово; таке узгодження не може бути безпідставно затримане або використане для відмови в аудиті. Планові аудити проводяться, як правило, не частіше одного разу на рік, у робочий час, з розумним завчасним повідомленням, з дотриманням конфіденційності, без надмірного втручання в роботу Сервісу та за обґрунтованими документально підтвердженими витратами Користувача; це обмеження щодо періодичності не застосовується у разі інциденту з персональними даними, обґрунтованих підстав вважати про порушення, істотної зміни обробки або вимоги наглядового органу. Витрати на аудит не покладаються на Користувача в тій частині, у якій аудит виявив істотне порушення з боку Виконавця. Щодо субпроцесорів (зокрема дата-центрів і хмарних провайдерів) прямий фізичний доступ може бути обмежений умовами відповідних постачальників; у такому разі Виконавець забезпечує еквівалентні права аудиту в договорах із субпроцесорами та надає наявні звіти, сертифікати та інше розумне сприяння. Обмеження щодо періодичності та порядку не застосовуються в тій частині, у якій інше прямо приписано наглядовим органом на підставі закону.
11. Міжнародні передавання
Якщо обробка передбачає передавання персональних даних за межі Європейської економічної зони, таке передавання здійснюється за наявності правової підстави відповідно до GDPR (зокрема рішення про адекватність, стандартні договірні положення або інші належні гарантії).
12. Відповідальність
Цей DPA не розширює і не збільшує відповідальність Виконавця порівняно з Договором публічної оферти. Сукупна відповідальність Виконавця, пов'язана з обробкою персональних даних, обмежується відповідно до Договору публічної оферти. Виконавець не відповідає за вказівки Користувача, за законність Даних Користувача та за невиконання Користувачем його обов'язків як контролера. Обмеження відповідальності не застосовуються в тій частині, у якій вони заборонені імперативними нормами законодавства.
13. Співвідношення документів
У частині обробки персональних даних, на яку поширюється GDPR, цей DPA має пріоритет над Політикою конфіденційності. Щодо відповідальності пріоритет має Договір публічної оферти. В усьому іншому застосовуються Договір публічної оферти та Політика конфіденційності. Усі положення застосовуються з урахуванням імперативних норм законодавства.