Цей Договір про обробку персональних даних (надалі — «DPA») є невід'ємним додатком до Публічної оферти про надання доступу до програмного сервісу proPOS (надалі — «Оферта»), укладеної між Товариством з обмеженою відповідальністю «ФЛЕКС-СОЛЮШН» (ЄДРПОУ 43911132, адреса: Україна, Харківська обл., м. Харків, вул. Космічна, 21, офіс 812) (надалі — «Обробник») та Клієнтом, який акцептував Оферту (надалі — «Розпорядник»). Цей DPA набирає чинності автоматично, одночасно з акцептом Оферти, без необхідності його окремого підписання, і діє протягом усього строку дії Оферти. У разі суперечності між умовами цього DPA та умовами Оферти щодо порядку обробки персональних даних застосовуються умови цього DPA.
1. Терміни та визначення
1.1 Терміни «Персональні дані», «Розпорядник персональних даних», «Обробник персональних даних», «Кінцеві споживачі Клієнта», «Користувач», «Сервіс» і «Сайт» вживаються в цьому DPA в значеннях, визначених у Політиці конфіденційності, розміщеній за посиланням propos.me/privacy.
1.2 «Дані, що обробляються» — персональні дані, зазначені у пунктах 2.2 та 2.3 Політики конфіденційності (дані співробітників Клієнта та дані кінцевих споживачів Клієнта), які Клієнт самостійно вносить до Сервісу в процесі його використання.
1.3 «Субобробник» — третя особа, яку Обробник залучає для обробки Даних, що обробляються, в межах надання Сервісу.
1.4 «Інцидент безпеки» — будь-яке порушення безпеки, що призводить до випадкового чи незаконного знищення, втрати, зміни, несанкціонованого розкриття персональних даних, переданих, збережених або іншим чином оброблюваних, чи несанкціонованого доступу до них.
2. Предмет DPA
2.1 Розпорядник доручає, а Обробник зобов'язується здійснювати обробку Даних, що обробляються, виключно в обсязі, у спосіб та з метою, необхідними для надання доступу до Сервісу відповідно до Оферти, і відповідно до інструкцій Розпорядника, викладених у цьому DPA та реалізованих технічно через функціонал і налаштування Сервісу.
2.2 Категорії суб'єктів персональних даних: співробітники Клієнта, яким Клієнт надає доступ до Сервісу, та кінцеві споживачі (клієнти) Клієнта, дані яких вносяться до Сервісу.
2.3 Категорії персональних даних: прізвище, ім'я та по батькові, номер телефону, пароль (щодо співробітників Клієнта); ім'я, номер телефону, адреса (щодо кінцевих споживачів Клієнта) — відповідно до пунктів 2.2 та 2.3 Політики конфіденційності.
2.4 Характер і мета обробки: зберігання, систематизація, використання та надання доступу до даних у межах функціоналу Сервісу з метою забезпечення обліку та управління господарською діяльністю Клієнта. Обробник не використовує Дані, що обробляються, для будь-якої власної мети, не пов'язаної з наданням Сервісу.
2.5 Тривалість обробки: протягом строку дії Оферти, а після її припинення — відповідно до розділу 7 цього DPA.
3. Обов'язки Обробника
3.1 Обробляти Дані, що обробляються, виключно відповідно до задокументованих інструкцій Розпорядника, викладених у цьому DPA, Офертi та реалізованих через функціонал Сервісу, крім випадків, коли інше прямо вимагається законодавством України, — у такому разі Обробник повідомляє Розпорядника про відповідну вимогу законодавства до здійснення обробки, якщо це не заборонено законом.
3.2 Забезпечити, щоб доступ до Даних, що обробляються, мали виключно працівники Обробника, яким такий доступ необхідний для виконання службових обов'язків, та які зобов'язані дотримуватися конфіденційності таких даних.
3.3 Вживати організаційних і технічних заходів безпеки, зазначених у розділі 11 Політики конфіденційності, для захисту Даних, що обробляються, від несанкціонованого доступу, втрати, знищення чи розголошення.
3.4 Надавати Розпоряднику розумне сприяння в межах технічних можливостей Сервісу для виконання запитів суб'єктів персональних даних щодо доступу, виправлення чи знищення їхніх персональних даних, а також запитів контролюючих органів, якщо такі запити стосуються Даних, що обробляються.
3.5 Без невиправданої затримки, і в будь-якому разі не пізніш як протягом 48 (сорока восьми) годин з моменту, коли Обробнику стало відомо про Інцидент безпеки, що стосується Даних, що обробляються, повідомити про це Розпорядника з наданням наявної на момент повідомлення інформації про характер Інциденту безпеки, категорії та орієнтовну кількість уражених даних і суб'єктів даних, а також про вжиті або заплановані заходи реагування.
3.6 Після припинення дії Оферти — видалити або повернути Розпоряднику Дані, що обробляються, відповідно до розділу 7 цього DPA.
3.7 Надавати Розпоряднику інформацію, обґрунтовано необхідну для підтвердження дотримання Обробником цього DPA, а також не заперечувати проти проведення Розпорядником розумної перевірки (аудиту) дотримання умов цього DPA, за умови попереднього письмового погодження строків та порядку такої перевірки, яка не повинна порушувати нормальну роботу Сервісу для інших клієнтів Обробника.
4. Обов'язки Розпорядника
4.1 Розпорядник самостійно забезпечує наявність законних підстав для збору та внесення до Сервісу Даних, що обробляються, зокрема (за необхідності) отримання згоди відповідних фізичних осіб (співробітників та кінцевих споживачів Клієнта) на обробку їхніх персональних даних відповідно до Закону України «Про захист персональних даних».
4.2 Розпорядник відповідає за достовірність, повноту та актуальність Даних, що обробляються, які він вносить до Сервісу.
4.3 Розпорядник самостійно виконує щодо суб'єктів Даних, що обробляються, зокрема такі обов'язки:
а) інформує суб'єктів персональних даних про мету обробки їхніх даних та про залучення Обробника для технічного забезпечення роботи Сервісу;
б) отримує згоду суб'єктів персональних даних на обробку їхніх персональних даних, якщо законодавство України вимагає такої згоди;
в) розглядає та задовольняє звернення суб'єктів персональних даних щодо реалізації їхніх прав (доступу до даних, їх виправлення, знищення, відкликання згоди тощо), крім випадків, коли таке звернення стосується виключно технічної дії в межах Сервісу (наприклад, видалення чи виправлення запису), яку Обробник здійснює безпосередньо відповідно до пункту 3.4 цього DPA;
г) виконує інші обов'язки розпорядника персональних даних, передбачені Законом України «Про захист персональних даних», які цим DPA не покладено на Обробника.
5. Субобробники
5.1 Розпорядник надає Обробнику загальну згоду на залучення Субобробників для обробки Даних, що обробляються, за умови дотримання Обробником вимог цього розділу.
5.2 Станом на дату цієї редакції Обробник залучає такого Субобробника: Hetzner Online GmbH (Німеччина) — надання послуг хмарного хостингу, на серверах якого фізично зберігаються Дані, що обробляються.
5.3 У разі залучення нового Субобробника або заміни існуючого Обробник повідомляє про це Розпорядника шляхом розміщення оновленої інформації на Сайті не пізніш як за 10 (десять) календарних днів до початку обробки Даних, що обробляються, таким новим Субобробником. Якщо Розпорядник обґрунтовано заперечує проти залучення нового Субобробника з підстав, пов'язаних із захистом персональних даних, Сторони докладають розумних зусиль для врегулювання такого заперечення; за відсутності згоди Розпорядник має право розірвати Оферту в порядку, визначеному нею.
5.4 Обробник забезпечує покладення на кожного Субобробника обов'язків щодо захисту персональних даних, які є не менш суворими, ніж обов'язки, встановлені цим DPA, та несе відповідальність за дії Субобробників у порядку, визначеному законодавством України та Офертою.
6. Транскордонна передача даних
6.1 У зв'язку із залученням Субобробника, зазначеного в пункті 5.2 цього DPA, Дані, що обробляються, можуть оброблятися на території Європейського Союзу (Німеччина). Законодавство України визнає рівень захисту персональних даних у державах — членах Європейського Союзу таким, що відповідає вимогам Закону України «Про захист персональних даних», у зв'язку з чим додаткові договірні механізми для такої передачі не вимагаються.
7. Дії з Даними, що обробляються, після припинення Оферти
7.1 Протягом 30 (тридцяти) календарних днів з моменту припинення дії Оферти Обробник, на письмовий запит Розпорядника, надає Розпоряднику можливість експортувати Дані, що обробляються, у машинозчитуваному форматі, доступному в межах стандартного функціоналу Сервісу.
7.2 Після спливу строку, зазначеного в пункті 7.1 цього DPA, Обробник видаляє Дані, що обробляються, зі своїх систем, крім випадків, коли законодавство України вимагає їх подальшого зберігання, — у такому разі Обробник обмежує обробку таких даних виключно метою дотримання відповідної вимоги законодавства.
8. Відповідальність
8.1 Відповідальність Сторін за порушення умов цього DPA визначається відповідно до законодавства України та в межах, встановлених розділом 10 Оферти.
8.2 Обробник не несе відповідальності за порушення Розпорядником вимог законодавства України щодо наявності законних підстав для збору персональних даних, зазначених у пункті 4.1 цього DPA.
9. Прикінцеві положення
9.1 Цей DPA діє протягом усього строку дії Оферти та автоматично припиняється разом із нею, з урахуванням положень розділу 7 цього DPA щодо дій із Даними, що обробляються, після такого припинення.
9.2 Обробник має право вносити зміни до цього DPA в порядку, аналогічному порядку внесення змін до Оферти, розмістивши нову редакцію на Сайті не пізніш як за 10 (десять) календарних днів до набрання змінами чинності.
9.3 З усіх питань, не врегульованих цим DPA, Сторони керуються Офертою та законодавством України.