Додаток про обробку даних (DPA)

Це переклад з англійської мови. У разі будь-якої розбіжності переважну силу має англійська версія.

Дата набрання чинності: ‹effective_date›

1. Загальні положення та ролі сторін

Цей Додаток про обробку даних («DPA») є невід'ємною частиною Умов використання між:

‹controller_name›, ‹registered_address›, контакти: ‹contact_email› («Платформа», «ми»), оператором B2B-маркетплейсу автозапчастин WAW365 за адресою waw365.com; та

бізнес-користувачем Платформи (організацією-постачальником або організацією-покупцем), який вносить на Платформу персональні дані інших осіб («Клієнт», «ви»).

Контакт з питань захисту даних: ‹contact_email› або контактна форма на сторінці /contact (тема «Запит щодо захисту даних»).

1.1 Коли застосовується цей DPA. Щодо більшості видів обробки на Платформі — вашого власного облікового запису, журналів безпеки, публікації каталогу, аналітики — Платформа є самостійним контролером, і така обробка описана в нашій Політиці конфіденційності, а не тут. Цей DPA застосовується лише тоді, коли Платформа обробляє персональні дані від вашого імені та за вашими вказівками як обробник у значенні статті 28 Регламенту (ЄС) 2016/679 — Загального регламенту захисту даних (GDPR), а саме персональні дані третіх осіб, які ви вносите на Платформу або завантажуєте на неї («Персональні дані Клієнта»). Типові приклади:

• записи про клієнтів, які ви ведете у вбудованій CRM;
• контактні дані одержувачів доставки та інших контактних осіб, які ви вносите в замовлення, запити та ланцюжки угод;
• персональні дані вашого власного персоналу, якого ви додаєте як учасників своєї організації або які містяться у файлах, що ви завантажуєте (наприклад, контактні рядки в прайс-листах);
• файли та фотографії, які покупці додають до запитів, замовлень і повідомлень.

1.2 Ролі. Щодо Персональних даних Клієнта ви є контролером (або обробником, що діє від імені іншого контролера; у такому разі ви гарантуєте, що ваші вказівки нам охоплюються повноваженнями, наданими цим контролером), а Платформа є вашим обробником. Щодо облікових записів ваших працівників на платформі (облікові дані, сеанси, журнали безпеки) Платформа залишається самостійним контролером, як описано в Політиці конфіденційності; цей DPA охоплює дані про членство та ролі, якими ви керуєте для своєї організації.

1.3 Прийняття. Цей DPA приймається разом з Умовами використання і застосовується автоматично щоразу, коли ви користуєтеся функціями Платформи, пов'язаними з Персональними даними Клієнта. Підпис не потрібен; примірник, підписаний з нашого боку, надається на запит, надісланий на ‹contact_email›.

2. Визначення термінів

Такі терміни, як «персональні дані», «обробка», «контролер», «обробник», «суб'єкт даних», «порушення безпеки персональних даних» і «наглядовий орган», мають значення, надані їм у Регламенті (ЄС) 2016/679 («GDPR»). «Субобробник» означає третю особу, залучену Платформою для обробки Персональних даних Клієнта від вашого імені.

3. Предмет і строк дії

3.1 Предмет. Обробка Персональних даних Клієнта, необхідна для надання послуг Платформи, описаних в Умовах використання: CRM, управління замовленнями та запитами, ланцюжки угод і обмін повідомленнями, управління членством в організації, імпорт прайс-листів і зберігання файлів.

3.2 Строк дії. Цей DPA застосовується, доки існує ваш обліковий запис і Платформа зберігає Персональні дані Клієнта, та до видалення або анонімізації цих даних відповідно до розділу 13.

4. Характер і мета обробки

Платформа обробляє Персональні дані Клієнта шляхом їх розміщення, зберігання, структурування, показу вам і вашим уповноваженим учасникам, передавання між контрагентами за угодою, резервного копіювання та видалення — виключно для забезпечення роботи функцій маркетплейсу, якими ви користуєтеся. Зокрема:

• CRM: зберігання та показ створених вами профілів клієнтів (імена, номери телефонів, довільні примітки, теги) вам і учасникам вашої організації;
• Замовлення, запити та ланцюжки угод: зберігання даних одержувачів доставки та інших контактних даних, які ви вносите, і надання до них доступу вашому контрагенту за угодою в обсязі, необхідному для виконання угоди;
• Обмін повідомленнями: зберігання та доставка повідомлень і вкладень, якими обмінюються в ланцюжках угод;
• Управління організацією: ведення списку учасників, ролей і запрошень вашої організації;
• Імпорт прайс-листів: розбір завантажених вами файлів для вилучення даних каталогу (такі файли іноді містять контактні дані вашого персоналу). Розбір здійснюється власними парсерами Платформи на власних серверах Платформи (Hetzner, Німеччина, ЄЕЗ); жодна третя особа не отримує ні файлів, ні результатів розбору;
• Зберігання файлів: зберігання фотографій і документів, доданих до запитів, замовлень і повідомлень.

Платформа не використовує Персональні дані Клієнта для власних цілей, не продає їх і не використовує для реклами чи профілювання. Кошти за замовлення не проходять через Платформу: покупці сплачують постачальникам безпосередньо, а Платформа не обробляє дані платіжних карток.

Обробка за допомогою ШІ. Платформа використовує зовнішні сервіси ШІ лише для контенту каталогу (описи деталей, тексти категорій, переклади, згенеровані зображення категорій) на основі даних каталогу. Персональні дані Клієнта не надсилаються постачальникам послуг ШІ і не використовуються для навчання жодних моделей.

5. Категорії суб'єктів даних і персональних даних

5.1 Суб'єкти даних:

• ваші клієнти та потенційні клієнти (особи, записані у вашій CRM);
• одержувачі доставки та контактні особи, зазначені в замовленнях, запитах і ланцюжках угод (які можуть бути третіми особами, що не є користувачами Платформи);
• ваші працівники та інші учасники вашої організації;
• працівники або представники вашого підприємства, контактні дані яких містяться в завантажених файлах (наприклад, прайс-листах);
• контактні особи покупців, які фігурують у файлах або на фотографіях, доданих до запитів і повідомлень.

5.2 Категорії персональних даних:

• ідентифікаційні та контактні дані: імена, номери телефонів, адреси електронної пошти, адреси доставки;
• довільний текстовий вміст, який ви вносите: примітки CRM, теги, примітки до замовлень і доставки, описи запитів, повідомлення;
• дані про ролі та членство учасників організації (роль, адреса електронної пошти для запрошення, активність у межах вашої організації);
• ідентифікатори транспортних засобів (VIN, номерний знак), які ви вносите в запити чи замовлення, якщо їх можна пов'язати з власником транспортного засобу, якого можна ідентифікувати;
• вміст завантажених файлів і фотографій тією мірою, якою вони містять персональні дані (наприклад, номер телефону в заголовку прайс-листа, особа, видима на фотографії).

5.3 Особливі категорії. Послуги Платформи не призначені для обробки особливих категорій персональних даних (стаття 9 GDPR) або даних щодо кримінальних судимостей (стаття 10 GDPR), і ви не повинні їх завантажувати. Із завантажених фотографій автоматично видаляються метадані EXIF (включно із вбудованими GPS-координатами).

6. Вказівки

6.1 Платформа обробляє Персональні дані Клієнта лише за вашими задокументованими вказівками, у тому числі щодо передачі до третіх країн, якщо інше не вимагається правом Союзу або держави-члена, що застосовується до Платформи; у такому разі Платформа поінформує вас про цю юридичну вимогу до початку обробки, якщо таке право цього не забороняє (стаття 28(3)(a) GDPR).

6.2 Ваші вказівки надаються шляхом використання вами Платформи: створення, редагування, надання доступу до записів і їх видалення через інтерфейси та API є задокументованою вказівкою обробляти дані відповідним чином. Умови використання разом із цим DPA становлять ваші повні початкові вказівки.

6.3 Платформа поінформує вас, якщо, на її думку, вказівка порушує GDPR або інше чинне законодавство про захист даних (стаття 28(3), останнє речення).

7. Конфіденційність

Платформа забезпечує, щоб особи, уповноважені обробляти Персональні дані Клієнта (персонал і підрядники), були пов'язані договірними або встановленими законом зобов'язаннями щодо конфіденційності (стаття 28(3)(b) GDPR). Доступ до робочих даних обмежено за допомогою рольового контролю доступу особами, яким він потрібен для забезпечення роботи сервісу.

8. Заходи безпеки (стаття 32 GDPR)

З урахуванням сучасного рівня технологій, витрат, а також характеру, обсягу, контексту та цілей обробки Платформа впроваджує наведені нижче технічні та організаційні заходи. Політика конфіденційності містить додаткові подробиці; цей перелік відображає фактично впроваджені заходи:

• Шифрування під час передавання. Увесь трафік обслуговується через TLS; HTTP переадресовується на HTTPS; HSTS застосовується з політикою на два роки, включно з піддоменами та preload.
• Захист облікових даних. Паролі зберігаються лише у вигляді хешів PBKDF2-SHA256 із сіллю; API-ключі та ідентифікатори пристроїв зберігаються лише у вигляді хешів; облікові дані у відкритому вигляді ніколи не зберігаються.
• Шифрування секретів. Секрети застосунку, що зберігаються в базі даних (початкові значення для двофакторної автентифікації, API-ключі інтеграцій), шифруються симетричним шифруванням (Fernet) з підтримкою ротації ключів.
• Контроль доступу. Рольовий контроль доступу в межах усієї Платформи; ролі на рівні організації обмежують те, що можуть бачити ваші учасники; адміністративні інтерфейси відокремлено від інтерфейсів користувачів.
• Безпека сеансів. Реєстр сеансів для кожного пристрою з можливістю самостійного віддаленого відкликання будь-якого або всіх сеансів; усі інші сеанси автоматично відкликаються у разі зміни пароля та видалення облікового запису.
• Двофакторна автентифікація. Для облікових записів доступна двофакторна автентифікація на основі TOTP з одноразовими кодами відновлення.
• Захист від зловживань. Глобальне обмеження частоти запитів до API; блокування входу після повторних невдалих спроб; обмеження частоти звернень до кінцевих точок реєстрації, скидання пароля та експорту даних.
• Гігієна завантажень. Метадані EXIF/GPS видаляються із завантажених фотографій; експорт даних захищено від CSV-ін'єкцій.
• Захист експорту. Архіви експорту персональних даних зберігаються в окремому бакеті сховища, можуть бути завантажені лише через автентифікований бекенд (без публічних посилань) з перевіркою належності власнику та автоматично втрачають чинність через 7 днів.
• Резервне копіювання та доступність. Щонічне резервне копіювання бази даних і медіафайлів з коротким циклом ротації (три останні копії) плюс зовнішня (off-site) репліка в межах ЄЕЗ (Hetzner Storage Box, SFTP), що забезпечує відновлення доступності після інциденту (стаття 32(1)(c)).
• Операційний моніторинг. Автоматизований моніторинг стану та сповіщення про збої для робочого стеку; деструктивні операції з даними (видалення облікового запису/даних, експорт) журналюються.

Платформа регулярно переглядає свої заходи і не допускатиме істотного зниження загального рівня безпеки протягом строку дії цього DPA.

9. Субобробники

9.1 Загальний дозвіл. Ви надаєте загальний письмовий дозвіл (стаття 28(2) GDPR) на залучення наведених нижче субобробників. Платформа повідомлятиме вас про заплановані додавання або заміни — шляхом повідомлення на Платформі або електронною поштою, — надаючи вам можливість заперечити з обґрунтованих міркувань захисту даних до набрання зміною чинності. Якщо заперечення не вдається врегулювати, ви можете припинити дію свого облікового запису відповідно до розділу 13.

9.2 Чинні субобробники Персональних даних Клієнта:

9.3 Не є субобробниками. Наведені далі компоненти є частиною власного стеку Платформи, розміщеного на інфраструктурі Hetzner, і не є третіми особами: PostgreSQL, ClickHouse, Redis, пошук Manticore, об'єктне сховище MinIO, власні парсери документів і прайс-листів Платформи, а також поштовий сервер Mailu (mail.waw365.com — транзакційні листи надсилаються з нашого власного сервера без зовнішнього постачальника послуг електронної пошти; поштовий провайдер одержувача неминуче отримує зміст листів, адресованих йому). Жодні зовнішні сервіси розбору документів не використовуються.

9.4 Постачальники послуг ШІ. Постачальники послуг ШІ Платформи (Abacus.AI та шлюз перекладу на основі ШІ, що використовуються для контенту каталогу) отримують лише дані каталогу — ніколи не Персональні дані Клієнта — і тому не є субобробниками за цим DPA. Платформа зобов'язується не спрямовувати Персональні дані Клієнта (записи CRM, повідомлення, завантажені файли) через постачальників послуг ШІ без попереднього оновлення цього DPA та переліку субобробників.

9.5 Операційні сповіщення. Внутрішні операційні сповіщення, що доставляються через Telegram Bot API, містять лише технічні дані та числові ідентифікатори; вони не містять імен, адрес електронної пошти чи інших Персональних даних Клієнта.

9.6 Обов'язки субобробників. Платформа покладає на кожного субобробника на договірній основі зобов'язання щодо захисту даних, що забезпечують щонайменше такий самий рівень захисту, як цей DPA, і залишається повністю відповідальною перед вами за виконання зобов'язань кожного субобробника (стаття 28(4) GDPR).

10. Міжнародна передача даних

Персональні дані Клієнта зберігаються та обробляються при зберіганні виключно в межах ЄЕЗ (Hetzner, Німеччина, із зовнішніми резервними копіями в ЄЕЗ). Єдиним регулярним випадком доступу з третьої країни є транзит через глобальну мережу Cloudflare (розділ 9.2), захищений, як там описано. Платформа не передає Персональні дані Клієнта в Україну; якщо ваш власний контрагент перебуває в Україні (або іншій третій країні), доступ контрагента до даних угоди, якими ви вирішили з ним поділитися, здійснюється за вашою вказівкою та для виконання вашого договору з цим контрагентом. В інших випадках Платформа не передаватиме Персональні дані Клієнта за межі ЄЕЗ без забезпечення механізму передачі відповідно до статей 44–49 GDPR та оновлення цього DPA.

11. Сприяння в реалізації прав суб'єктів даних

11.1 З урахуванням характеру обробки Платформа сприяє вам за допомогою належних технічних та організаційних заходів у виконанні вашого обов'язку відповідати на запити суб'єктів даних відповідно до глави III GDPR (стаття 28(3)(e)).

11.2 Насамперед самообслуговування. Більшість запитів ви можете опрацювати самостійно, без нашої участі:

• Доступ / виправлення / видалення записів CRM: ви створюєте, редагуєте та видаляєте профілі клієнтів, примітки й теги безпосередньо в інтерфейсі CRM; зміни набирають чинності в робочій системі негайно.
• Замовлення, запити, ланцюжки: внесені вами контактні дані можна переглянути у відповідних записах; ланцюжки повідомлень зберігають історію угоди.
• Учасники організації: ви додаєте учасників, змінюєте їхні ролі та видаляєте їх у налаштуваннях організації.
• Експорт: вбудована функція експорту даних формує машиночитаний архів даних вашого облікового запису (не частіше одного запиту на 24 години; посилання для завантаження втрачають чинність через 7 днів).

11.3 Якщо суб'єкт даних звертається безпосередньо до Платформи щодо даних, контролером яких є ви, Платформа (тією мірою, якою це дозволено законом) без невиправданої затримки перешле запит вам і не відповідатиме на нього по суті без вашої вказівки, окрім як для того, щоб спрямувати особу до вас.

11.4 Щодо запитів, які не можуть бути виконані в режимі самообслуговування (наприклад, видалення даних, що містяться в записах, спільних із контрагентом), зверніться на ‹contact_email› або скористайтеся контактною формою на сторінці /contact; Платформа надасть розумне сприяння.

11.5 Сприяння в DPIA. Платформа надаватиме розумне сприяння в проведенні оцінок впливу на захист даних і попередніх консультацій (статті 35–36), що стосуються обробки за цим DPA, насамперед шляхом надання інформації, що міститься в цьому DPA та Політиці конфіденційності (стаття 28(3)(f)).

12. Повідомлення про порушення безпеки персональних даних

12.1 Платформа повідомить вас без невиправданої затримки після того, як їй стане відомо про порушення безпеки персональних даних, що зачіпає Персональні дані Клієнта ⚠ власник/юридичний радник — зафіксувати максимальний строк, наприклад 48 годин.

12.2 Повідомлення міститиме, тією мірою, якою це відомо на відповідний момент: опис характеру порушення, категорій і приблизної кількості суб'єктів даних і записів, яких воно стосується, ймовірних наслідків, ужитих або запропонованих заходів, а також контактну особу. Інформація може надаватися поетапно в міру її надходження.

12.3 Платформа документуватиме порушення та розумно співпрацюватиме з вами у виконанні ваших власних обов'язків щодо повідомлення відповідно до статей 33–34 GDPR. Повідомлення вашого наглядового органу та суб'єктів даних є вашим обов'язком як контролера.

13. Повернення та видалення даних

13.1 Протягом строку дії. Ви можете в будь-який час видаляти окремі записи (профілі CRM, учасників, файли) через інтерфейси Платформи; видалення через інтерфейс є вашою вказівкою стерти ці дані з робочої системи.

13.2 Закриття облікового запису вами. Ви можете закрити свій обліковий запис самостійно (видалення в режимі самообслуговування з підтвердженням паролем) або за письмовим запитом на ‹contact_email›. Під час видалення облікового запису Платформа в межах однієї транзакції: видаляє ваші операційні набори даних (включно з джерелами цін, складами, завантаженнями, правилами зіставлення, запрошеннями та рядками аналітики), анонімізує записи облікового запису та профілю і відкликає всі активні сеанси.

13.3 Закриття облікового запису Платформою. Якщо Платформа закриває ваш обліковий запис відповідно до Умов використання, вона надсилає попередження щонайменше за 30 днів (крім випадків негайного закриття, перелічених в Умовах використання), ви можете експортувати свої дані до закриття, а Персональні дані Клієнта видаляються або анонімізуються не пізніше ніж через 90 днів після закриття, з урахуванням розділу 13.5.

13.4 Експорт перед видаленням. Скористайтеся вбудованою функцією експорту даних (розділ 11.2) перед закриттям облікового запису; самі архіви експорту втрачають чинність через 7 днів.

13.5 Що зберігається. Після видалення облікового запису зберігаються наведені нижче дані, як це дозволено статтею 28(3)(g) GDPR у поєднанні з правом Союзу/держави-члена:

• записи про угоди (замовлення та пов'язані фіскальні дані) — зберігаються протягом 5 років з кінця календарного року, в якому їх було створено, для виконання обов'язків щодо бухгалтерського обліку, оподаткування та аудиту, а також для встановлення, здійснення чи захисту правових вимог (стаття 17(3)(b) та (e) GDPR);
• ланцюжки угод і повідомлення — це записи, спільні з вашим контрагентом за угодою, який має самостійне право зберігати свою копію листування; ваша особа в них анонімізується тією мірою, якою вона не є частиною запису про угоду контрагента;
• записи про згоди та юридичні докази — зберігаються протягом існування облікового запису плюс 3 роки як доказ надання згоди та прийняття договору.

13.6 Резервні копії. Видалені дані негайно перестають бути доступними для відновлення в межах звичайної роботи і зникають із носіїв резервних копій у межах короткого циклу ротації, описаного в розділі 8 (обмежена кількість останніх щонічних копій), після чого їх неможливо відновити.

14. Аудит та інформація

14.1 Платформа надасть вам усю інформацію, необхідну для підтвердження дотримання статті 28 GDPR, — починаючи із цього DPA, Політики конфіденційності та переліку субобробників, — і відповідатиме на обґрунтовані письмові аудиторські опитувальники в розумний строк (стаття 28(3)(h)).

14.2 Якщо наданої інформації недостатньо для підтвердження дотримання вимог, ви (або незалежний аудитор, уповноважений вами та пов'язаний зобов'язаннями щодо конфіденційності) можете провести аудит за таких умов: письмове повідомлення щонайменше за 30 днів, не частіше одного разу на 12 місяців (крім випадків після порушення безпеки персональних даних, що зачіпає ваші дані, або якщо цього вимагає наглядовий орган), у робочий час, без доступу до даних інших клієнтів і за ваш рахунок. Вимоги щодо аудиту фізичної інфраструктури центрів обробки даних вважаються виконаними завдяки власним сертифікаціям і аудиторським звітам хостинг-провайдера.

15. Ваші обов'язки як контролера

Ви гарантуєте та зобов'язуєтеся, що:

• маєте правову підставу (стаття 6 GDPR) для кожної категорії Персональних даних Клієнта, яку ви вносите на Платформу, включно із записами CRM про ваших клієнтів і контактними даними одержувачів доставки, які є третіми особами;
• надаєте суб'єктам даних інформацію, передбачену статтями 13–14 GDPR, щодо використання вами Платформи як свого обробника;
• не завантажуєте дані особливих категорій, дані щодо кримінальних правопорушень або дані осіб, молодших за 18 років, і підтримуєте внесені вами дані точними та актуальними;
• якщо ви дієте як обробник для іншого контролера, ваші вказівки Платформі санкціоновані цим контролером;
• належним чином використовуєте доступні функції безпеки (ролі учасників, управління сеансами, двофакторна автентифікація) і зберігаєте свої облікові дані в таємниці.

Платформа не несе відповідальності за законність збирання вами Персональних даних Клієнта поза межами Платформи.

16. Відповідальність і пріоритетність

16.1 Відповідальність кожної сторони за цим DPA підпадає під обмеження та виключення відповідальності, встановлені в Умовах використання (розділ 16 — граничний розмір, що дорівнює Платі Оператора, сплаченій за попередні 12 місяців, без обмеження у разі умисного правопорушення, грубої необережності або якщо імперативні норми законодавства це забороняють). Ніщо в цьому DPA не обмежує прав суб'єктів даних відповідно до статті 82 GDPR.

16.2 У разі суперечності між цим DPA та Умовами використання щодо обробки Персональних даних Клієнта переважну силу має цей DPA. Ніщо в цьому DPA не обмежує обов'язків будь-якої зі сторін відповідно до самого GDPR.

17. Застосовне право та юрисдикція

Цей DPA регулюється правом Польщі, і на нього поширюються ті самі положення про юрисдикцію та вирішення спорів, що й на Умови використання (розділ 19). Імперативне законодавство про захист даних (GDPR; щодо суб'єктів даних в Україні — Закон України «Про захист персональних даних») застосовується незалежно від обраного права.

18. Зміни до цього DPA; мова

Платформа може оновлювати цей DPA з урахуванням змін у послугах, складі субобробників або законодавстві. Про суттєві зміни — зокрема зміни переліку субобробників — буде повідомлено заздалегідь, як описано в розділі 9.1, а про інші суттєві зміни — відповідно до строків повідомлення, передбачених Умовами використання (розділ 22). Чинна версія визначається Датою набрання чинності, зазначеною вище; попередні версії надаються на запит.

Цей DPA складено англійською мовою; переклади надаються для зручності. У разі будь-якої розбіжності переважну силу має англійська версія.

Питання щодо цього DPA: ‹contact_email› або контактна форма на сторінці /contact. Скарги також можна подавати до ‹supervisory_authority›.