Угода про обробку персональних даних

Ця Угода про обробку персональних даних («DPA») є частиною угоди між Бізнесом, що використовує MultiBooking («Контролер»), та Serhii Miroshnyk, який адмініструє MultiBooking, Hviezdoslavov, Slovakia («MultiBooking» або «Обробник»).

Ця DPA застосовується, коли MultiBooking обробляє персональні дані від імені Бізнесу.

1. Сфера дії

Бізнес виступає як Контролер щодо персональних даних, для яких він визначає цілі та засоби обробки.

MultiBooking виступає як Обробник у тій мірі, у якій він обробляє такі персональні дані від імені Бізнесу.

Ця DPA не застосовується до обробки, для якої MultiBooking самостійно виступає як Контролер, зокрема до певної обробки, необхідної для адміністрування облікових записів MultiBooking, безпеки Платформи, запобігання шахрайству та виконання юридичних обов’язків.

2. Дотримання застосовного законодавства

Кожна сторона дотримуватиметься законодавства про захист даних, застосовного до її відповідної ролі.

Для обробки, на яку поширюється GDPR, ця DPA призначена для виконання вимог до угод між контролером і обробником відповідно до статті 28 GDPR.

3. Інструкції щодо обробки

MultiBooking оброблятиме Персональні дані Контролера лише:

1. для надання та забезпечення роботи сервісів MultiBooking;
2. відповідно до використання та конфігурації Платформи Бізнесом;
3. відповідно до інших документованих інструкцій Бізнесу; або
4. коли обробка вимагається застосовним законодавством.

Якщо закон зобов’язує MultiBooking обробляти Персональні дані Контролера всупереч інструкціям Бізнесу, MultiBooking повідомить Бізнес до початку такої обробки, якщо повідомлення не заборонене законом.

Якщо MultiBooking обґрунтовано вважає, що інструкція порушує застосовне законодавство про захист даних, він може призупинити відповідну обробку та повідомити Бізнес.

4. Конфіденційність

MultiBooking забезпечить, щоб особи, уповноважені обробляти Персональні дані Контролера, були пов’язані належними зобов’язаннями щодо конфіденційності.

Доступ до Персональних даних Контролера буде обмежено особами, яким такий доступ обґрунтовано необхідний для роботи, обслуговування, підтримки або захисту Платформи.

5. Безпека

MultiBooking впроваджуватиме належні технічні та організаційні заходи, призначені для захисту Персональних даних Контролера.

Заходи враховуватимуть:

• характер обробки;
• доступні технології;
• вартість впровадження;
• ризики, пов’язані з обробкою;
• характер відповідних персональних даних.

Поточні категорії заходів описані в Додатку B.

6. Обов’язки Бізнесу

Бізнес відповідає за:

• забезпечення законності власної обробки персональних даних;
• надання Клієнтам і працівникам належної інформації про захист персональних даних;
• визначення належної правової підстави для обробки;
• забезпечення відповідності своїх інструкцій MultiBooking застосовному законодавству;
• визначення належних строків зберігання;
• відповіді на запити суб’єктів даних як Контролер;
• контроль доступу, наданого користувачам Бізнесу;
• уникнення непотрібного збирання персональних даних.

Бізнес не повинен доручати MultiBooking обробляти персональні дані з незаконною метою.

7. Спеціальні категорії даних

MultiBooking розроблений як загальна платформа для бронювання та керування бізнесом і зазвичай не потребує спеціальних категорій персональних даних.

Бізнес не повинен вносити інформацію про здоров’я або інші спеціальні категорії даних, якщо:

• це не є справді необхідним для його послуги;
• Бізнес не має належної законної підстави;
• не виконані відповідні додаткові вимоги GDPR; та
• обробка не сумісна з передбаченим використанням Платформи.

Бізнес залишається відповідальним за визначення законності обробки спеціальних категорій даних.

8. Субобробники

Бізнес надає MultiBooking загальний дозвіл залучати субобробників, необхідних для надання Платформи.

MultiBooking вимагатиме, щоб субобробники, які обробляють Персональні дані Контролера, були пов’язані зобов’язаннями щодо захисту даних, належними до послуг, які вони надають.

У межах, передбачених застосовним законодавством, MultiBooking залишається відповідальним за свої зобов’язання за цією DPA, якщо обробку делеговано субобробнику.

Поточні субобробники перелічені в Додатку C.

Якщо буде додано нового субобробника, який істотно впливає на Персональні дані Контролера, MultiBooking докладе розумних зусиль, щоб повідомити про це до набрання зміною чинності.

Бізнес може заперечити проти нового субобробника з обґрунтованих причин, пов’язаних із захистом даних.

Сторони добросовісно намагатимуться врегулювати таке заперечення. Якщо розумної альтернативи немає, будь-яка сторона може припинити надання відповідних сервісів.

9. Міжнародні передачі

MultiBooking забезпечить, щоб передача Персональних даних Контролера за межі ЄЕП здійснювалася відповідно до застосовного законодавства про захист даних.

Коли це необхідно, належні гарантії можуть включати Стандартні договірні положення Європейської Комісії.

Якщо субобробник покладається на інший законний механізм передачі, MultiBooking може використовувати такий механізм, якщо це дозволено законом.

10. Права суб’єктів даних

З урахуванням характеру обробки MultiBooking надаватиме Бізнесу розумну допомогу у відповіді на запити щодо прав, передбачених застосовним законодавством про захист даних.

Це може включати запити на:

• доступ;
• виправлення;
• видалення;
• обмеження;
• переносимість;
• заперечення.

Якщо MultiBooking отримує запит, який переважно стосується даних, контрольованих Бізнесом, MultiBooking може направити заявника до Бізнесу й не відповідатиме самостійно від імені Бізнесу, якщо не уповноважений на це або якщо цього не вимагає закон.

11. Оцінка впливу на захист даних та регуляторна допомога

З урахуванням характеру обробки та інформації, доступної MultiBooking, MultiBooking надаватиме розумну допомогу, якщо Бізнес зобов’язаний:

• провести оцінку впливу на захист персональних даних;
• проконсультуватися з наглядовим органом;
• продемонструвати відповідність вимогам щодо обробки, яка здійснюється через MultiBooking.

12. Порушення захисту персональних даних

MultiBooking повідомить Бізнес без невиправданої затримки після того, як йому стане відомо про порушення захисту персональних даних, що стосується Персональних даних Контролера.

Коли інформація доступна, повідомлення міститиме відомості, обґрунтовано необхідні для допомоги Бізнесу у виконанні його регуляторних обов’язків.

Якщо повні відомості недоступні одразу, MultiBooking може надавати інформацію поетапно.

Повідомлення про інцидент не є визнанням вини або відповідальності.

13. Видалення та повернення даних

Після припинення відповідного облікового запису Бізнесу MultiBooking, за вибором Бізнесу та якщо це технічно й юридично можливо, видалить або поверне Персональні дані Контролера, які MultiBooking більше не зобов’язаний обробляти.

MultiBooking може зберігати інформацію:

• коли цього вимагає застосовне законодавство;
• коли щодо неї він самостійно виступає як Контролер;
• у захищених резервних копіях до їх перезапису в межах звичайного циклу резервного копіювання.

На будь-які збережені Персональні дані Контролера продовжують поширюватися застосовні зобов’язання щодо захисту.

14. Аудит та інформація про відповідність

MultiBooking надаватиме Бізнесу інформацію, обґрунтовано необхідну для підтвердження відповідності цій DPA.

Якщо такої інформації недостатньо, Бізнес може запросити обґрунтований аудит, що стосується саме обробки за цією DPA.

Аудити повинні:

• бути пропорційними;
• захищати безпеку та конфіденційність інших клієнтів;
• уникати непотрібного порушення роботи;
• зазвичай проводитися не частіше одного разу протягом 12 місяців, якщо цього не вимагає наглядовий орган або якщо не стався суттєвий інцидент безпеки;
• підпадати під належні вимоги конфіденційності.

Якщо аудит спричиняє значні витрати понад звичайну допомогу з питань відповідності, сторони можуть погодити розумне відшкодування таких витрат.

15. Порядок пріоритету

У разі суперечності щодо обробки Персональних даних Контролера:

1. насамперед застосовується імперативне законодавство про захист даних;
2. далі застосовується ця DPA;
3. після цього застосовуються Умови використання MultiBooking.

16. Строк дії

Ця DPA залишається чинною доти, доки MultiBooking обробляє Персональні дані Контролера від імені Бізнесу.

Положення, які за своєю природою мають діяти після припинення угоди, залишаються чинними доти, доки відповідні персональні дані продовжують оброблятися.

17. Застосовне право

Якщо імперативне законодавство про захист даних не вимагає іншого, ця DPA регулюється законодавством Словацької Республіки.

Додаток A — Деталі обробки

Предмет

Надання Платформи MultiBooking для бронювання, планування, керування Клієнтами та керування Бізнесом.

Строк

Протягом строку використання MultiBooking Бізнесом та протягом будь-якого обмеженого періоду після цього, необхідного для видалення, завершення строку зберігання резервних копій, виконання юридичних обов’язків або законних технічних цілей.

Характер обробки

Обробка може включати:

• збирання;
• запис;
• організацію;
• структурування;
• зберігання;
• отримання;
• ознайомлення;
• оновлення;
• передачу;
• обмеження;
• видалення.

Цілі

Обробка персональних даних у міру, необхідну для:

• ведення записів Бізнесу та працівників;
• керування послугами;
• ведення розкладів і доступності;
• створення та керування бронюваннями;
• керування записами Клієнтів;
• надсилання повідомлень, пов’язаних із бронюваннями;
• забезпечення роботи відповідної функціональності Бізнесу;
• захисту та підтримки сервісу.

Категорії суб’єктів даних

Можуть включати:

• Клієнтів;
• потенційних Клієнтів;
• власників Бізнесів;
• адміністраторів Бізнесів;
• менеджерів;
• працівників;
• інших уповноважених представників Бізнесу.

Категорії персональних даних

Можуть включати:

• імена;
• адреси електронної пошти;
• номери телефонів;
• адреси, якщо вони надані;
• ролі у Бізнесі;
• профілі працівників;
• фотографії;
• робочі розклади;
• інформацію про доступність та відсутність;
• інформацію про послуги;
• дати й час бронювань;
• статус бронювання;
• історію бронювань;
• нотатки про Клієнтів та пов’язану операційну інформацію;
• технічні ідентифікатори, що стосуються роботи Платформи.

Спеціальні категорії даних

За замовчуванням не вимагаються.

Спеціальні категорії даних можуть оброблятися лише тоді, коли їх самостійно додає Бізнес або Клієнт і Бізнес визначив, що така обробка є законною та необхідною.

Додаток B — Технічні та організаційні заходи

Контроль доступу

• автентифікований доступ до Платформи;
• рольові дозволи Бізнесу;
• обмеження адміністративного доступу;
• контрольований доступ до виробничого середовища.

Безпека передачі

• зашифровані з’єднання HTTPS/TLS;
• безпечні з’єднання між компонентами Платформи там, де вони підтримуються.

Безпека застосунку

• валідація введених даних;
• контроль автентифікації та авторизації;
• журналювання подій, пов’язаних із безпекою;
• підтримка залежностей і програмного забезпечення;
• контрольовані процеси розгортання.

Безпека інфраструктури

• керовані постачальники інфраструктури;
• засоби мережевої та прикладної безпеки;
• розділення середовищ, де це доцільно;
• керування секретами та обліковими даними.

Доступність і відновлення

• резервне копіювання даних, де це доцільно;
• процедури відновлення;
• моніторинг інфраструктури.

Організаційні заходи

• зобов’язання щодо конфіденційності;
• доступ на основі операційної необхідності;
• процедури реагування на інциденти;
• перегляд доступу постачальників і вимог безпеки.

Заходи безпеки можуть змінюватися разом із розвитком технологій, ризиків і Платформи.

Додаток C — Поточні субобробники

MultiBooking може замінювати або додавати постачальників у міру розвитку Платформи з урахуванням положень цієї DPA щодо субобробників.