Пагадненне аб апрацоўцы персанальных даных

Уступленне ў сілу: чакае ўвядзення ў дзеянне (не вызначана, дата зарэзерваваная для ўвядзення).

Апошняе абнаўленне: чакае ўвядзення ў дзеянне (не вызначана, дата зарэзерваваная для ўвядзення).

Праект падрыхтаваны 6 кастрычніка 2026 года. Гэты дакумент яшчэ не ўступіў у сілу. Дадаткі і фактычныя звесткі разгортвання павінны быць запоўненыя да прыняцця.

Праект перагледжаны: 7 кастрычніка 2026 года. Праект па-ранейшаму чакае ўвядзення ў дзеянне.

Кароткі выклад без абавязковай юрыдычнай сілы. Калі мы апрацоўваем персанальныя даныя вашага праекта або размешчанай праграмы, вы даяце інструкцыі. Пагадненне вызначае абавязкі канфідэнцыяльнасці, бяспекі, працы з пастаўшчыкамі і выдалення. Яно не дазваляе маркетынгу або навучання на даных вашай праграмы. Гэты выклад не ўваходзіць у дагавор.

1. Бакі і інструкцыі

1.1. Кліент, які прымае Пагадненне і вызначаны ва ўліковым запісе або заказе («Кантралёр»), і Igor Tkachenko OwlMeans Software (які дзейнічае пад назвай «OwlMeans Software, JDG»), NIP 6772507251, ідэнтыфікатар VAT у ЕС PL6772507251, REGON 527979906, ul. Ariańska 9/5, 31-505 Kraków, Польшча; support@owlmeans.com; тэлефон +48 780 256 571 («Апрацоўшчык»), заключаюць гэтае Пагадненне паводле артыкула 28 GDPR. Калі Кліент сам апрацоўшчык, ён павінен мець паўнамоцтвы прызначыць OwlMeans і перадаваць законныя інструкцыі; назвы роляў ужываюцца адпаведна. Гэтае Пагадненне мае прыярытэт над супярэчлівымі ўмовамі паслуг для персанальных даных Кліента. Законныя дагаворныя ўмовы перадачы маюць прыярытэт, калі яны дзейнічаюць.

1.2. Апрацоўшчык павінен апрацоўваць даныя толькі паводле дакументаваных інструкцый у заказе, уключаных функцыях і дадатку A, уключаючы міжнародныя перадачы, акрамя іншага патрабавання закона. Ён павінен паведаміць Кантралёру пра такое патрабаванне да апрацоўкі, калі паведамленне не забароненае, і хутка ўказаць інструкцыю, якую лічыць незаконнай. Кантралёр вызначае законныя падставы, паведамленні, дазволы і мінімізацыю даных; ніводзін бок не вызваляецца ад уласных законных абавязкаў.

1.3. OwlMeans апрацоўвае звесткі пра ўласных патэнцыйных кліентаў і кантакты, сэрвіснае ліставанне і запісы запытаў, прадугледжаных законам, як кантралёр паводле Палітыкі прыватнасці. Персанальныя даныя пад кантролем Кліента, перададзеныя для праектнай падтрымкі паводле інструкцый, у тым ліку неабходныя ўкладанні з такімі данымі, застаюцца пад дзеяннем гэтага Пагаднення. Перадача праз запыт не ператварае іх у даныя для незалежных мэт маркетынгу ці навучання OwlMeans. Да выкарыстання канала для такіх даных Бакі павінны забяспечыць належныя інструкцыі, мінімізацыю даных, упаўнаважаных атрымальнікаў электронных лістоў і паштовай скрыні і звесткі пра перадачу ды бяспеку. Выдаленне запісаў з часовай базы сэрвісу запытаў не сцірае дастаўленых лістоў, укладанняў ці рэзервовых копій. Гэтыя копіі падпарадкоўваюцца адпаведным інструкцыям і пункту 4.2. Запыты адносна даных пад кантролем Кліента трэба перадаваць адпаведнаму Кантралёру паводле пункта 2.2.

1.4. «Персанальныя даныя Кліента» — персанальныя даныя, якія OwlMeans апрацоўвае паводле дакументаваных інструкцый Кліента для яго праекта, рэпазіторыя, застасунка або падтрымкі паводле інструкцый, уключаючы даныя, для якіх Кліент — упаўнаважаны апрацоўшчык іншага кантралёра. Азначэнне выключае даныя, якія OwlMeans законна кантралюе для ўласнага адміністравання запісаў, аплаты, бяспекі або перапіскі; ролі і мэты апісвае Палітыка прыватнасці. Само атрыманне даных праз падтрымку не змяняе ролі кантралёра/апрацоўшчыка.

2. Персанал, бяспека і дапамога

2.1. Доступ абмежаваны ўпаўнаважанымі асобамі, звязанымі абавязкам канфідэнцыяльнасці. Апрацоўшчык павінен укараніць і падтрымліваць меры артыкула 32, якія адпавядаюць рызыкам і апісаныя ў дадатку B. Яны павінны ўлічваць канфідэнцыяльнасць, цэласнасць, даступнасць, аднаўленне і рэгулярную ацэнку. Назва функцыі ці дагаворнае абяцанне не сертыфікуе яе ўкаранення.

2.2. Апрацоўшчык павінен дапамагаць Кантралёру з запытамі аб ажыццяўленні правоў, абавязкамі бяспекі, ацэнкамі ўздзеяння і кансультацыямі з органамі нагляду з улікам апрацоўкі і даступнай інфармацыі. Ён павінен перадаваць адпаведныя запыты без адказу па сутнасці, акрамя адказу паводле інструкцый або законнага абавязку. Неразумная плата не павінна блакаваць неабходную дапамогу; выключная праца, запатрабаваная асобна, можа ўзгадняцца загадзя.

2.3. Апрацоўшчык павінен паведаміць Кантралёру пра парушэнне бяспекі персанальных даных без неапраўданай затрымкі пасля таго, як даведаўся пра яго. Паведамленне ўключае даступныя звесткі пра характар парушэння, закранутыя катэгорыі і колькасці, кантакт, верагодныя наступствы і меры стрымлівання, з далейшымі паэтапнымі абнаўленнямі. Гэта не замяняе адпаведнага абавязку Кантралёра паведаміць пра парушэнне на працягу 72 гадзін. Непацверджаны карацейшы тэрмін паведамлення паводле аперацыйнага SLA не сцвярджаецца.

3. Субапрацоўка і перадачы

3.1. Кантралёр дае агульны дазвол толькі для пацверджаных субапрацоўшчыкаў у дадатку C і названай там апрацоўкі. Апрацоўшчык павінен загадзя паведамляць пра запланаваныя дабаўленні або замены, даючы разумны тэрмін пярэчання, названы ў запоўненым заказе. Ён павінен вырашыць абгрунтаваныя пярэчанні, прапанаваць магчымую альтэрнатыву або дазволіць спыненне закранутай апрацоўкі з належнай карэкцыяй папярэдняй аплаты. Невызначаны рэзервовы атрымальнік не дазволены.

3.2. Кожны субапрацоўшчык павінен быць звязаны раўназначнымі абавязкамі артыкула 28; Апрацоўшчык застаецца адказным за іх выкананне. Перадачы, на якія распаўсюджваюцца абмежаванні, патрабуюць сапраўднай падставы раздзела V да іх выканання, а таксама ацэнкі і дадатковых мер, калі яны патрэбныя. Непадпісаныя стандартныя дагаворныя ўмовы або непацверджаная адэкватнасць не ўключаюцца праз маўклівае дапушчэнне. Для даных, якія рэгулюе брытанскае права, адпаведны брытанскі механізм павінен вызначацца асобна. Роля незалежных сэрвісаў, абраных Кліентам, павінна выразна ацэньвацца.

4. Запісы, аўдыт і заканчэнне апрацоўкі

4.1. Апрацоўшчык павінен даваць інфармацыю, патрэбную для доказу адпаведнасці, і дазваляць разумныя аўдыты Кантралёру або яго незалежнаму аўдытару, уключаючы інспекцыі, калі яны патрэбныя. Аўдыты праводзяцца з гарантыямі канфідэнцыяльнасці і бяспекі. Разумнае планаванне не павінна перашкаджаць рэагаванню на інцыдэнт, запыту органа або законнаму праву аўдыту. Апрацоўшчык павінен весці адпаведныя запісы апрацоўкі і супрацоўнічаць з органамі.

4.2. Пасля заканчэння апрацоўкі Кантралёр абірае вяртанне або выдаленне персанальных даных Кліента і існых копій, акрамя захоўвання, якога патрабуе закон. Запоўнены дадатак павінен называць фарматы экспарту, працу з рэзервовымі копіямі і графік выдалення. Захаваныя даныя застаюцца абароненымі, а іх выкарыстанне — абмежаваным. Само закрыццё ўліковага запісу або выдаленне праекта не павінна падавацца як выдаленне ўсіх трасіровак або рэзервовых копій. Апрацоўшчык павінен пацвердзіць завяршэнне на запыт.

Дадатак A. Апісанне апрацоўкі і інструкцыі

Прадмет апрацоўкі — запатрабаваная распрацоўка праграм з ШІ, аперацыі рэпазіторыяў, падтрымка праектаў, а таксама неабавязковыя хостынг і кіраванне ідэнтычнасцямі і доступам (IAM). Апрацоўка доўжыцца падчас адносін паслуг паводле інструкцый, затым падчас дакументаванага вяртання або выдалення і законнага захоўвання. Яна ўключае збор, захоўванне, аналіз і інферэнс, генерацыю, атрыманне, перадачу ўпаўнаважаным пастаўшчыкам, кіраванне доступам, хостынг, экспарт і выдаленне. Мэта — прадаставіць праект або праграму, вызначаныя Кліентам. Незалежны маркетынг, прафіляванне, выкарыстанне партнёрамі, наборы даных для ўдасканалення агентаў ці канвеера і навучанне ўласных мадэляў не дазволеныя.

Суб’екты даных — супрацоўнікі Кліента, удзельнікі і карыстальнікі праграм, чые даныя Кліент законна перадае. Даныя ўключаюць ідэнтыфікатары, кантактныя звесткі, даныя ўліковых запісаў і роляў, перададзеныя Кліентам запыты, код і кантэнт, гісторыі, аперацыйныя метаданыя і запісы праграм паводле інструкцый. Асаблівыя катэгорыі даных, даныя пра крымінальныя правапарушэнні і даныя дзяцей патрабуюць асобнай дакументаванай ацэнкі і гарантый да прыняцця. Яны не служаць уваходнымі данымі неабавязковага навучання паводле змаўчання. Апрацоўка выконваецца на запыт і падчас уключанага хостынгу. Кантакт Кантралёра, фактычны набор і катэгорыі даных, тэрміны захоўвання і геаграфічныя інструкцыі павінны ўносіцца ў дадатак уліковага запісу або заказа да пачатку апрацоўкі.

Дадатак B. Абавязковы спіс мер бяспекі

Запоўнены спіс для разгортвання павінен вызначаць раздзяленне доступу кліентаў і праектаў, мінімальна неабходныя правы доступу і аўтэнтыфікацыю, а таксама працу з сакрэтамі і іх замену. Ён павінен таксама вызначаць абарону перадачы і захоўвання, доступ да трасіровак і кантэнту і іх мінімізацыю, кіраванне ўразлівасцямі і абнаўленнямі, эскалацыю інцыдэнтаў, тэставанне рэзервовых копій і аднаўлення, працэдуры выдалення і правоў. Для кожнага пункта ён павінен называць фактычна ўкаранёную меру, адказны кантакт і адпаведныя межы. Ні гэты спіс, ні назва «альфа» не даказваюць, што мера кантролю існуе. Апрацоўка, якая патрабуе адсутнай меры, не павінна ўключацца да выпраўлення або законнага выключэння адпаведнай аперацыі са сферы апрацоўкі.

Дадатак C. Дазволеныя пастаўшчыкі і перадачы

Спіс субапрацоўшчыкаў, запоўнены фактычнымі дагаворнымі асобамі, функцыямі, месцамі, падставамі перадач, тэрмінамі захоўвання ў пастаўшчыкоў і тэрмінам пярэчання, утварае гэты дадатак пасля прыняцця. Спіс актыўных сэрвісаў пазначае цяперашняе выкарыстанне, а не агульны дазвол Кантралёра кожнаму атрымальніку ці ролі апрацоўкі. Дазвол ахоплівае толькі апрацоўку даных Кліента, фактычна вызначаную ў запоўненым дадатку. Google reCAPTCHA — пазначаны атрымальнік даных для забеспячэння бяспекі для абароны ад ботаў, махлярства і злоўжыванняў. Выкарыстанне для даных уліковых запісаў ці сайта пад кантролем OwlMeans само па сабе не прызначае яго субапрацоўшчыкам даных Кліента; любая апрацоўка даных Кліента паводле інструкцый патрабуе запоўненых адпаведных звестак пра пастаўшчыка і перадачы. Кантакт і канал запытаў Кантралёра вызначае заказ або ўліковы запіс; Апрацоўшчык: support@owlmeans.com. Абавязковыя рэгіянальныя правы прыватнасці і паўнамоцтвы органаў нагляду захоўваюцца.