Угода про обробку персональних даних

Дата набрання чинності: очікує введення в дію (не встановлено; зарезервовано для впровадження).

Дата останнього оновлення: очікує введення в дію (не встановлено; зарезервовано для впровадження).

Проєкт підготовлено 6 жовтня 2026 року. Ця угода ще не набрала чинності. Її додатки та відомості про фактичне впровадження мають бути заповнені до прийняття.

Проєкт переглянуто: 7 жовтня 2026 року. Проєкт і далі очікує введення в дію.

Стислий виклад без юридично обовʼязкової сили. Ви надаєте вказівки, коли OwlMeans обробляє персональні дані вашого проєкту чи розміщеного застосунку. Угода встановлює обовʼязки щодо конфіденційності, безпеки, постачальників та видалення. Вона не дозволяє маркетингу чи навчання на даних вашого застосунку. Виклад не є частиною договору.

1. Сторони та інструкції

1.1. Клієнт, який приймає цю угоду та зазначений у своєму обліковому записі чи замовленні («Контролер»), та Igor Tkachenko OwlMeans Software (що працює під назвою «OwlMeans Software, JDG»), NIP 6772507251, ідентифікатор ПДВ ЄС PL6772507251, REGON 527979906, ul. Ariańska 9/5, 31-505 Kraków, Польща; support@owlmeans.com; телефон +48 780 256 571 («Обробник»), укладають її відповідно до статті 28 GDPR. Якщо Клієнт сам є обробником, він повинен мати повноваження призначати OwlMeans і передавати законні вказівки; посилання на ролі застосовуються відповідно. Щодо Персональних даних Клієнта ця угода має пріоритет над суперечливими умовами надання послуг. Передбачені законом положення щодо передавання даних мають пріоритет, коли вони застосовні.

1.2. Обробник зобовʼязаний обробляти дані лише за вказівками, задокументованими в замовленні, налаштуваннях увімкнених функцій та додатку A, зокрема щодо міжнародного передавання, якщо закон не вимагає іншого. Він має повідомити Контролера про таку вимогу до обробки, якщо повідомляти не заборонено, та оперативно вказати на вказівку, яку вважає незаконною. Контролер визначає законні підстави, повідомлення, дозволи та мінімізацію; жодна зі сторін не звільняється від власних передбачених законом обовʼязків.

1.3. OwlMeans є Контролером власної роботи з потенційними клієнтами й контактами, сервісного листування та записів про передбачені законом звернення, як описано в Політиці приватності. Персональні дані під контролем Клієнта, надані для підтримки проєкту за вказівками, зокрема необхідне вкладення, і далі підпадають під дію цієї Угоди. Подання звернення не перетворює їх на дані для незалежного маркетингу чи навчання OwlMeans. Перед використанням цього каналу для таких даних Сторони мають забезпечити належні вказівки, мінімізацію, уповноважених одержувачів електронної пошти й кореспонденції у скриньці, а також відомості про передавання та безпеку. Видалення тимчасових записів із бази сервісу звернень не стирає доставлених листів, вкладень чи резервних копій; на них і далі поширюються відповідні вказівки та пункт 4.2. Запити щодо даних під контролем Клієнта слід передавати відповідному Контролеру за пунктом 2.2.

1.4. «Персональні дані Клієнта» означають персональні дані, які OwlMeans обробляє за документованими вказівками Клієнта для його проєкту, репозиторію, застосунку чи підтримки за вказівками, зокрема дані, щодо яких Клієнт є уповноваженим обробником іншого контролера. Визначення не охоплює даних, які OwlMeans законно контролює для власного адміністрування облікових записів, оплати, безпеки чи листування; ролі й цілі описує Політика приватності. Саме отримання даних через канал підтримки не змінює ролі контролера/обробника.

2. Персонал, безпека та допомога

2.1. Доступ обмежений уповноваженими особами, зобовʼязаними дотримуватися конфіденційності. Обробник зобовʼязаний впроваджувати й підтримувати відповідні ризику заходи за статтею 32, описані в додатку B, з урахуванням конфіденційності, цілісності, доступності, відновлення та регулярного оцінювання. Назва функції чи договірна обіцянка не є сертифікацією її впровадження.

2.2. Обробник зобовʼязаний допомагати Контролеру із запитами щодо прав, обовʼязками безпеки, оцінками впливу та консультаціями з наглядовими органами з урахуванням обробки й доступної інформації. Він має передавати відповідні запити, не відповідаючи по суті, крім випадків, коли має вказівку або законний обовʼязок відповісти. Необхідна допомога не може блокуватися необґрунтованими платежами; виняткові окремо замовлені роботи можуть погоджуватися завчасно.

2.3. Обробник зобовʼязаний повідомити Контролера без невиправданої затримки після того, як йому стане відомо про порушення безпеки персональних даних, надавши наявні відомості про його характер, уражені категорії та числові показники, контакт, імовірні наслідки та заходи стримування, і надалі поетапно доповнювати інформацію. Це не замінює застосовного 72-годинного обовʼязку Контролера щодо повідомлення. Непідтверджений коротший операційний SLA не заявляється.

3. Субобробка та передачі

3.1. Контролер надає загальний дозвіл лише на підтверджених субобробників у додатку C та зазначену для них обробку. Обробник зобовʼязаний завчасно повідомляти про заплановані додавання чи заміни, надаючи розумний строк для заперечення, зазначений у заповненому замовленні. Він має вирішувати обґрунтовані заперечення, пропонувати здійсненну альтернативу або дозволяти припинення відповідної обробки з належним коригуванням передплачених платежів. Невизначений резервний одержувач не дозволений.

3.2. На кожного субобробника мають бути покладені рівнозначні обовʼязки за статтею 28; Обробник залишається відповідальним за їхнє виконання. Передавання, на яке поширюються обмеження, потребує чинної підстави за розділом V до його початку, а також оцінки й додаткових заходів, коли вони потрібні. Непідписані SCC чи неперевірені твердження про належний рівень захисту не вважаються включеними за замовчуванням. Для даних, які регулює британське право, застосовний британський механізм має бути встановлений окремо. Роль незалежних сервісів, обраних Клієнтом, має бути прямо оцінена.

4. Записи, аудит і завершення

4.1. Обробник зобовʼязаний надавати інформацію, потрібну для підтвердження відповідності, та дозволяти Контролеру або його незалежному аудитору розумні аудити, включно з перевірками на місці, коли вони потрібні, із заходами конфіденційності й безпеки. Розумне планування не має перешкоджати реагуванню на інцидент, запиту органу чи передбаченому законом праву на аудит. Обробник зобовʼязаний вести застосовні записи обробки та співпрацювати з органами.

4.2. Після завершення обробки Контролер обирає повернення або видалення Персональних даних Клієнта та наявних копій, крім зберігання, якого вимагає закон. Заповнений додаток має визначати формати експорту, порядок поводження з резервними копіями та графік видалення. Дані, що зберігаються, залишаються захищеними й обмеженими у використанні. Саме закриття облікового запису чи видалення проєкту не можна представляти як видалення всіх трасувань або резервних копій. Обробник має підтверджувати завершення на запит.

Додаток A. Опис обробки та вказівки

Предметом обробки є замовлена розробка програмного забезпечення за допомогою ШІ, операції з репозиторіями, підтримка проєкту та необовʼязкові хостинг/IAM. Обробка триває протягом відносин із надання послуг за вказівками Контролера, а також документованого повернення чи видалення та законного зберігання. Характер обробки охоплює збирання, зберігання, аналіз та інференс, генерування, отримання, передавання дозволеним постачальникам, адміністрування доступу, хостинг, експорт і видалення. Мета полягає в наданні визначеного Клієнтом проєкту чи застосунку; самостійний маркетинг, профілювання, партнерське використання, набори даних для вдосконалення агентів чи конвеєра та навчання власних моделей не включені.

Субʼєктами даних є працівники Клієнта, учасники проєкту та користувачі застосунку, чиї дані Клієнт законно передає. Дані охоплюють ідентифікатори, контактні дані, дані облікових записів і ролей, надані Клієнтом запити, код та контент, історії, операційні метадані й записи застосунку за вказівками Контролера. Особливі категорії даних, дані про кримінальні правопорушення та дані дітей потребують окремої документованої оцінки й гарантій до прийняття; за замовчуванням вони не є вхідними даними для необовʼязкового навчання. Обробка відбувається на запит та під час увімкненого хостингу. Контакт Контролера, фактичні набори й категорії даних, строки зберігання та географічні вказівки мають бути внесені до додатка облікового запису чи замовлення до початку обробки.

Додаток B. Обовʼязковий перелік заходів безпеки

Заповнений перелік фактичного впровадження має визначати відокремлення доступу між клієнтськими середовищами та проєктами, мінімальні привілеї й автентифікацію; поводження із секретами та їхню заміну; захист даних під час передавання та зберігання; доступ до трасувань і контенту та їхню мінімізацію; керування вразливостями й оновленнями; ескалацію інцидентів; тестування резервного копіювання й відновлення; процедури видалення та реалізації прав. Для кожного пункту він має фіксувати фактично впроваджений захід, відповідальний контакт та відповідні обмеження. Ані цей перелік, ані позначення «альфа» не доводять наявності засобу контролю. Обробка, яка потребує відсутнього засобу, не має починатися до усунення недоліку чи законного виключення такої обробки зі сфери послуг.

Додаток C. Дозволені постачальники та передавання даних

Перелік субобробників, заповнений фактичними субʼєктами, що є сторонами договорів, функціями, місцями обробки, підставами передавання, строками зберігання постачальників і строком повідомлення для заперечень, утворює цей додаток після прийняття. Перелік активних сервісів відображає їх фактичне використання, а не загальну згоду Контролера на кожного одержувача чи роль обробки. Дозвіл поширюється лише на фактично визначену в заповненому додатку обробку даних Клієнта. Google reCAPTCHA є зазначеним одержувачем даних для забезпечення безпеки для захисту від ботів, шахрайства та зловживань. Використання для даних облікових записів чи сайту під контролем OwlMeans саме по собі не призначає його субобробником даних Клієнта; будь-яка обробка даних Клієнта за інструкціями потребує заповнених відповідних відомостей про постачальника та передавання. Контакт і канал звернень до Контролера зазначені в замовленні чи обліковому записі; контакт Обробника: support@owlmeans.com. Імперативні регіональні права на приватність і повноваження наглядових органів залишаються незмінними.