Пагадненне аб апрацоўцы даных

Дата ўступлення ў сілу: чакае ўвядзення ў дзеянне (не вызначана; зарэзервавана для выпуску).

Дата апошняга абнаўлення: чакае ўвядзення ў дзеянне (не вызначана; зарэзервавана для выпуску).

Праект падрыхтаваны: 6 кастрычніка 2026 года. Гэты дакумент яшчэ не ўступіў у сілу. Да прыняцця трэба запоўніць яго дадаткі і звесткі пра разгортванне.

Праект перагледжаны: 7 кастрычніка 2026 года. Праект па-ранейшаму чакае ўвядзення ў дзеянне.

Кароткі выклад без юрыдычна абавязковай сілы. Калі мы апрацоўваем персанальныя даныя вашага праекта або размешчанага застасунку, інструкцыі даяце вы. Пагадненне вызначае абавязкі адносна канфідэнцыяльнасці, бяспекі, пастаўшчыкоў і выдалення. Яно не дазваляе выкарыстоўваць даныя вашага застасунку для маркетынгу або навучання. Выклад не ўваходзіць у дагаворныя палажэнні пагаднення.

1. Бакі і інструкцыі

1.1. Кліент, які прымае Пагадненне і вызначаны ва ўліковым запісе або заказе («Кантралёр»), і Igor Tkachenko OwlMeans Software (які дзейнічае пад назвай «OwlMeans Software, JDG»), NIP 6772507251, ідэнтыфікатар VAT у ЕС PL6772507251, REGON 527979906, ul. Ariańska 9/5, 31-505 Kraków, Польшча; support@owlmeans.com; тэлефон +48 780 256 571 («Апрацоўшчык»), заключаюць гэтае Пагадненне паводле артыкула 28 GDPR. Калі Кліент сам апрацоўшчык, ён павінен мець паўнамоцтвы прызначыць OwlMeans і перадаваць законныя інструкцыі; назвы роляў ужываюцца адпаведна. Гэтае Пагадненне мае прыярытэт над супярэчлівымі ўмовамі паслуг у дачыненні да Персанальных даных Кліента. Умовы перадачы, устаноўленыя заканадаўствам, маюць прыярытэт там, дзе яны ўжываюцца.

1.2. Апрацоўшчык павінен апрацоўваць даныя толькі паводле дакументаваных інструкцый, якія даюць заказ, уключаныя функцыі і дадатак A, у тым ліку адносна міжнародных перадач, калі закон не патрабуе іншага. Пра такое патрабаванне ён павінен паведаміць Кантралёру да пачатку апрацоўкі, калі гэта не забаронена, і хутка паведаміць пра інструкцыю, якую лічыць незаконнай. Кантралёр вызначае законныя падставы, паведамленні, дазволы і мінімізацыю даных; ніводзін бок не вызваляецца ад уласных законных абавязкаў.

1.3. OwlMeans апрацоўвае звесткі пра ўласных патэнцыйных кліентаў і кантакты, сэрвіснае ліставанне і запісы запытаў, прадугледжаных законам, як кантралёр паводле Палітыкі прыватнасці. Персанальныя даныя пад кантролем Кліента, перададзеныя для праектнай падтрымкі паводле інструкцый, у тым ліку неабходныя ўкладанні з такімі данымі, застаюцца пад дзеяннем гэтага Пагаднення. Перадача праз запыт не ператварае іх у даныя для незалежных мэт маркетынгу ці навучання OwlMeans. Перш чым выкарыстоўваць гэты канал для такіх даных, бакі павінны забяспечыць належныя інструкцыі, мінімізацыю даных, упаўнаважаных атрымальнікаў электронных лістоў і паштовай скрыні, а таксама звесткі пра перадачу і бяспеку. Выдаленне запісаў з часовай базы сэрвісу запытаў не сцірае дастаўленых лістоў, укладанняў ці рэзервовых копій. На гэтыя копіі па-ранейшаму распаўсюджваюцца адпаведныя інструкцыі і пункт 4.2. Запыты адносна даных пад кантролем Кліента трэба перадаваць адпаведнаму Кантралёру паводле пункта 2.2.

1.4. «Персанальныя даныя Кліента» — персанальныя даныя, якія OwlMeans апрацоўвае паводле дакументаваных інструкцый Кліента для яго праекта, рэпазіторыя, застасунку або падтрымкі паводле інструкцый, у тым ліку даныя, для якіх Кліент — упаўнаважаны апрацоўшчык іншага кантралёра. Азначэнне выключае даныя, якія OwlMeans законна кантралюе для ўласнага адміністравання ўліковых запісаў, аплаты, бяспекі або ліставання; ролі і мэты апісвае Палітыка прыватнасці. Само па сабе атрыманне даных праз канал падтрымкі не змяняе размеркавання роляў кантралёра і апрацоўшчыка ў дачыненні да іх.

2. Персанал, бяспека і дапамога

2.1. Доступ маюць толькі ўпаўнаважаныя асобы, звязаныя абавязкам канфідэнцыяльнасці. Апрацоўшчык павінен укараніць і падтрымліваць меры паводле артыкула 32, адэкватныя рызыкам і апісаныя ў дадатку B, з улікам канфідэнцыяльнасці, цэласнасці, даступнасці, аднаўлення і рэгулярнай ацэнкі. Назва функцыі або дагаворнае абяцанне — не сертыфікат таго, што мера ўкаранёная.

2.2. Апрацоўшчык павінен дапамагаць Кантралёру ў адказах на запыты аб ажыццяўленні правоў, у выкананні абавязкаў бяспекі, ацэнках уздзеяння і кансультацыях з органамі нагляду з улікам характару апрацоўкі і даступнай інфармацыі. Ён павінен перадаваць адпаведныя запыты і не адказваць на іх па сутнасці, калі гэтага не патрабуюць інструкцыі або закон. Неразумная плата не павінна блакаваць неабходную дапамогу; выключную працу, запытаную асобна, можна ўзгадніць загадзя.

2.3. Апрацоўшчык павінен паведаміць Кантралёру пра парушэнне бяспекі персанальных даных без неапраўданай затрымкі пасля таго, як даведаўся пра яго. Паведамленне ўключае даступныя звесткі пра характар парушэння, закранутыя катэгорыі і колькасці, кантакт, верагодныя наступствы і меры стрымлівання, з далейшымі паэтапнымі абнаўленнямі. Гэта не замяняе адпаведнага абавязку Кантралёра паведаміць пра парушэнне на працягу 72 гадзін. Непацверджаны карацейшы тэрмін паведамлення паводле аперацыйнага SLA не сцвярджаецца.

3. Субапрацоўка і перадачы

3.1. Кантралёр дае агульны дазвол на прыцягненне толькі пацверджаных субапрацоўшчыкаў з дадатку C і толькі на названую там апрацоўку. Апрацоўшчык павінен загадзя паведамляць пра намер далучыць або замяніць субапрацоўшчыка і даваць разумны тэрмін для пярэчанняў, указаны ў запоўненым заказе. Ён павінен урэгуляваць абгрунтаваныя пярэчанні, прапанаваць магчымую альтэрнатыву або дазволіць спыніць закранутую апрацоўку з належнай карэкцыяй папярэдне аплачаных сум. Невызначаны рэзервовы атрымальнік не дазволены.

3.2. Кожны субапрацоўшчык павінен быць звязаны раўназначнымі абавязкамі паводле артыкула 28; Апрацоўшчык застаецца адказным за іх выкананне. Перадачы, на якія распаўсюджваюцца абмежаванні, патрабуюць сапраўднай падставы паводле раздзела V яшчэ да іх ажыццяўлення, а таксама ацэнкі і дадатковых мер, калі яны патрэбныя. Непадпісаныя стандартныя дагаворныя ўмовы (SCC) і неправераныя сцвярджэнні пра адэкватнасць не ўключаюцца ў Пагадненне маўкліва. Для даных, якія рэгулюе брытанскае права, адпаведны брытанскі механізм павінен вызначацца асобна. Роля незалежных сэрвісаў, абраных Кліентам, павінна выразна ацэньвацца.

4. Запісы, аўдыт і заканчэнне апрацоўкі

4.1. Апрацоўшчык павінен даваць інфармацыю, патрэбную для доказу адпаведнасці, і дазваляць разумныя аўдыты Кантралёру або яго незалежнаму аўдытару, у тым ліку інспекцыі, калі яны патрэбныя. Аўдыты праводзяцца з гарантыямі канфідэнцыяльнасці і бяспекі. Разумнае планаванне не павінна перашкаджаць рэагаванню на інцыдэнт, запыту органа або праву на аўдыт, прадугледжанаму законам. Апрацоўшчык павінен весці адпаведныя запісы апрацоўкі і супрацоўнічаць з органамі.

4.2. Пасля заканчэння апрацоўкі Кантралёр абірае вяртанне або выдаленне Персанальных даных Кліента і наяўных копій, акрамя захоўвання, якога патрабуе закон. Запоўнены дадатак павінен называць фарматы экспарту, працу з рэзервовымі копіямі і графік выдалення. Захаваныя даныя застаюцца абароненымі, а іх выкарыстанне — абмежаваным. Само закрыццё ўліковага запісу або выдаленне праекта не павінна падавацца як выдаленне ўсіх трасіровак або рэзервовых копій. Апрацоўшчык павінен пацвердзіць завяршэнне на запыт.

Дадатак A. Апісанне апрацоўкі і інструкцыі

Прадмет апрацоўкі — замоўленая распрацоўка праграмнага забеспячэння з дапамогай ШІ, аперацыі з рэпазіторыямі, падтрымка праектаў, а таксама неабавязковыя хостынг і кіраванне ідэнтычнасцямі і доступам (IAM). Апрацоўка доўжыцца, пакуль дзейнічаюць адносіны па наданні паслуг паводле інструкцый, а таксама на час дакументаванага вяртання або выдалення даных і законнага захоўвання. Яна ўключае збор, захоўванне, аналіз і інферэнс, генерацыю, атрыманне, перадачу ўпаўнаважаным пастаўшчыкам, кіраванне доступам, хостынг, экспарт і выдаленне. Мэта — забяспечыць праект або застасунак, вызначаныя Кліентам. Незалежны маркетынг, прафіляванне, выкарыстанне партнёрамі, наборы даных для ўдасканалення агентаў ці канвеера і навучанне ўласных мадэляў не дазволеныя.

Суб’екты даных — супрацоўнікі Кліента, удзельнікі і карыстальнікі застасункаў, чые даныя Кліент законна перадае. Даныя ўключаюць ідэнтыфікатары, кантактныя звесткі, даныя ўліковых запісаў і роляў, перададзеныя Кліентам запыты, код і кантэнт, гісторыі, аперацыйныя метаданыя і запісы застасункаў паводле інструкцый. Асаблівыя катэгорыі даных, даныя пра крымінальныя правапарушэнні і даныя дзяцей патрабуюць асобнай дакументаванай ацэнкі і гарантый да прыняцця. Па змаўчанні яны не трапляюць ва ўваходныя даныя для неабавязковага навучання. Апрацоўка выконваецца на запыт і падчас уключанага хостынгу. Кантакт Кантралёра, фактычны набор і катэгорыі даных, тэрміны захоўвання і геаграфічныя інструкцыі павінны ўносіцца ў дадатак уліковага запісу або заказу да пачатку апрацоўкі.

Дадатак B. Абавязковы спіс мер бяспекі

Запоўнены спіс для разгортвання павінен вызначаць раздзяленне доступу кліентаў і праектаў, мінімальна неабходныя правы доступу і аўтэнтыфікацыю, а таксама працу з сакрэтамі і іх замену. Ён павінен таксама вызначаць абарону даных пры перадачы і захоўванні, доступ да трасіровак і кантэнту і іх мінімізацыю, кіраванне ўразлівасцямі і абнаўленнямі, эскалацыю інцыдэнтаў, тэставанне рэзервовых копій і аднаўлення, а таксама працэдуры выдалення даных і ажыццяўлення правоў. Для кожнага пункта ён павінен называць фактычна ўкаранёную меру, адказны кантакт і адпаведныя абмежаванні. Ні гэты спіс, ні пазнака «альфа» не даказваюць, што мера кантролю існуе. Апрацоўка, для якой патрэбная адсутная мера, не пачынаецца, пакуль недахоп не ўхілены або гэтую апрацоўку законна не выключылі з ахопу.

Дадатак C. Дазволеныя пастаўшчыкі і перадачы

Спіс субапрацоўшчыкаў, дапоўнены звесткамі пра фактычныя дагаворныя асобы, функцыі, месцы, падставы перадач, тэрміны захоўвання ў пастаўшчыкоў і тэрмін для пярэчанняў, пасля прыняцця становіцца гэтым дадаткам. Пералік актыўных сэрвісаў паказвае цяперашняе выкарыстанне, а не агульны дазвол Кантралёра на кожнага атрымальніка ці кожную ролю апрацоўкі. Дазвол ахоплівае толькі апрацоўку даных Кліента, фактычна вызначаную ў запоўненым дадатку. Google reCAPTCHA — раскрыты атрымальнік даных для мэт бяспекі, а менавіта для абароны ад ботаў, махлярства і злоўжыванняў. Яго выкарыстанне для даных уліковых запісаў ці сайта, якія кантралюе OwlMeans, само па сабе не робіць яго субапрацоўшчыкам для даных Кліента; любая апрацоўка даных Кліента паводле інструкцый патрабуе запоўненых адпаведных звестак пра пастаўшчыка і перадачы. Кантакт і канал запытаў Кантралёра — кантакт, указаны ў заказе або ўліковым запісе; Апрацоўшчыка — support@owlmeans.com. Абавязковыя рэгіянальныя правы ў сферы прыватнасці і паўнамоцтвы органаў нагляду захоўваюцца.