Договір обробки даних (коротко)

Цей договір пояснює, як ми обробляємо дані робочого простору за дорученням вашої компанії. Це коротка версія простою мовою. Вона відповідає вимогам ст. 28 GDPR і ст. 4 Закону України «Про захист персональних даних».

1. Сторони і як компанія приймає договір

• Компанія — володілець (контролер) даних у своєму робочому просторі.
• Ми — [юрособа — уточнюється], розпорядник (процесор), який обробляє ці дані за дорученням компанії.
• Договір діє разом з Умовами користування. Компанія приймає його, коли її власник створює робочий простір і коли компанія ним користується. Окремо підписувати нічого не потрібно.
• Якщо компанії потрібен підписаний примірник, напишіть на [email для питань приватності — уточнюється]. Підписати його можна буде, щойно буде визначено юрособу сервісу.
• Щодо захисту даних цей договір має перевагу над Умовами користування.

2. Що обробляємо, навіщо і як довго

• Предмет: дані, які компанія, її команда і партнери вносять у робочий простір, а також повідомлення, які захоплює бот компанії в Telegram-групах.
• Мета: лише надання сервісу: зберігання, показ команді й партнерам у межах налаштувань, надсилання сповіщень, робота Telegram-бота.
• Люди, чиї це дані: працівники компанії, працівники партнерів (зокрема ті, хто не реєструвався в сервісі), контакти, ліди.
• Дані: імена, робочі контакти, Telegram ID і username, тексти повідомлень, коментарі, файли, дані лідів і доказ їх згоди, суми розрахунків. Особливих категорій даних (здоровʼя, біометрія тощо) сервіс не потребує, і компанія не має їх вносити.
• Строк: поки компанія користується сервісом, далі — за строками з Політики приватності.

3. Наші обовʼязки як розпорядника

1. Лише за вказівками компанії. Вказівки — це налаштування і дії в сервісі, ці умови і письмові запити власника. Якщо вказівка, на нашу думку, порушує закон, ми скажемо про це.
2. Конфіденційність. Доступ до даних мають лише люди, яким він потрібен для роботи сервісу і які зобовʼязані зберігати конфіденційність.
3. Безпека. Ми застосовуємо технічні й організаційні заходи захисту. Що вже працює і що плануємо — на сторінці Безпека і приватність.
4. Субпідрядники. Компанія дає загальний дозвіл залучати субпідрядників зі списку на сторінці Субпідрядники. Про нового повідомимо щонайменше за 14 днів, і компанія може заперечити. Субпідрядник має ті самі обовʼязки щодо захисту даних, що й ми, і ми відповідаємо за нього.
5. Допомога з правами людей. Допоможемо компанії відповісти на запити людей: доступ, виправлення, видалення, заперечення. Запит, що прийшов до нас, передамо компанії. У Telegram люди можуть самі скористатися командою /forgetme.
6. Інциденти. Про витік чи інший інцидент з даними компанії повідомимо її без зайвої затримки, з метою — протягом 48 годин після виявлення, щоб компанія встигла виконати свої обовʼязки, зокрема 72 години за ст. 33 GDPR. Допоможемо з оцінкою впливу на захист даних, якщо вона потрібна.
7. Після завершення. На вибір компанії повернемо дані у машинозчитуваному форматі і видалимо їх з робочої бази протягом 30 днів. Із резервних копій, коли вони зʼявляться, дані зникатимуть з їх ротацією.
8. Підтвердження. Надамо інформацію, потрібну, щоб показати виконання цього договору, і на розумних умовах дамо компанії або її аудитору перевірити це.

4. Що робить компанія

• Має законну підставу обробляти дані, які вносить у сервіс, і дає нам лише законні вказівки.
• Повідомляє людей про обробку. У Telegram-групах з цим допомагає повідомлення бота про приватність, яке він публікує і закріплює.
• Передає лід партнеру лише зі згодою ліда, у якій названо компанію-отримувача.
• Не вносить зайвих даних і, за потреби, скорочує строк буфера повідомлень Telegram (від 0 до 7 днів).

5. Спільний простір двох компаній

У спільній задачі дані бачать обидві компанії-партнери. Щодо спільних даних вони можуть бути спільними володільцями (ст. 26 GDPR) і домовляються про це між собою. Для кожної з них ми — розпорядник за цим договором. Внутрішні дані кожної компанії іншій не показуються.

6. Передача за кордон

Робочий сервер ще не обрано, плануємо ЄС. Сервіс створюється і підтримується з України, яка не має рішення ЄС про адекватність. Для компаній з ЄС ми готуємо стандартні договірні положення ЄС (рішення 2021/914, модуль 2) і підпишемо їх разом із цим договором, щойно буде визначено юрособу сервісу.

7. Контакти

Питання щодо цього договору, запит на підписаний примірник чи повідомлення про інцидент: [email для питань приватності — уточнюється].