Договір доручення обробки персональних даних

Сторони, предмет і характер договору

Цей договір доручення обробки персональних даних (далі - "DPA") становить невіддільну частину Регламенту абонентської послуги для салонів та укладається між:

Контролером, яким є Салон, тобто підприємець, що користується платформою Meeti Me на підставі Договору, та

Обробником, яким є:

• Назва: DOKUMENT.PL sp. z o.o.
• Адреса: Aleja Stanow Zjednoczonych 51 lok. 222, 04-028 Warszawa, Poland
• NIP: 5242982251
• KRS: 0001055336
• REGON: 526237551
• Статутний капітал: 5 000,00 PLN

Контакт у справах, охоплених DPA: meetime.company@gmail.com. Контакт інспектора з захисту даних, якщо його призначено: meetime.company@gmail.com. Контакт у договірних справах: meetime.company@gmail.com.

DPA укладається на виконання обов'язку, що випливає зі ст. 28(3) Регламенту Європейського Парламенту і Ради (ЄС) 2016/679 від 27 квітня 2016 р. (GDPR), і визначає предмет, тривалість, характер і мету обробки, вид персональних даних, категорії суб'єктів даних, а також обов'язки і права Контролера.

DPA укладається з моменту прийняття Регламенту Салоном і діє протягом усього строку дії Договору, а в частині обов'язків щодо повернення, видалення та конфіденційності даних - також після його завершення.

У разі суперечності між DPA та Регламентом або будь-яким іншим договірним документом у питаннях, що стосуються обробки доручених персональних даних, перевагу має DPA.

Версія документа: 2026-08-01. Чинний з: 2026-08-01.

Ролі сторін і розмежування відповідальності

Салон є контролером персональних даних своїх клієнтів, а також своїх працівників і співпрацівників, внесених до платформи Meeti Me або створених унаслідок користування Салоном функціями платформи, зокрема картотеки клієнтів, нотаток про клієнта, історії візитів у цьому Салоні, домовленостей щодо послуги, графіка працівників та змісту комунікації, яку Салон надсилає своїм клієнтам.

Салон як контролер самостійно та виключно визначає цілі і способи обробки цих даних, відповідає за наявність дійсної правової підстави обробки, за виконання інформаційного обов'язку щодо суб'єктів даних, за відповідність обсягу зібраних даних принципу мінімізації, а також за законність вказівок, що надаються Обробнику.

DOKUMENT.PL sp. z o.o. є обробником щодо даних, зазначених вище. Він обробляє їх виключно від імені та за задокументованою вказівкою Салону, в обсязі, необхідному для надання Послуги.

DOKUMENT.PL sp. z o.o. є окремим контролером щодо: реєстраційних і розрахункових даних Салону, даних облікових записів Користувачів Салону в частині їх автентифікації та безпеки, технічних логів і логів безпеки платформи, даних продуктової аналітики щодо користування платформою, а також даних Клієнтів marketplace у частині ведення їхніх облікових записів, посередництва в бронюванні та транзакційних сповіщень. До цього обсягу DPA не застосовується; правила обробки описує Політика конфіденційності Meeti Me.

Салон стає окремим контролером щодо даних Клієнта, переданих йому платформою з метою реалізації Бронювання, з моменту їх отримання, і відповідає за подальшу обробку цих даних самостійно.

Жодна зі Сторін не є спільним контролером у розумінні ст. 26 GDPR в обсязі, охопленому цим DPA.

Обсяг, характер і мета обробки

Предмет обробки. Обробка персональних даних, доручених Салоном у зв'язку з наданням Послуги в моделі SaaS.

Характер обробки. Операції, що виконуються автоматизованим способом в інформаційній системі: збирання, фіксування, організація, структурування, зберігання, адаптація або зміна, отримання, перегляд, використання, розкриття шляхом передавання, зіставлення або поєднання, обмеження, видалення або знищення.

Мета обробки. Виключно надання Послуги на користь Салону, а саме:

1. ведення календаря візитів і графіка працівників,
2. ведення картотеки клієнтів Салону (CRM) разом із нотатками та історією візитів,
3. приймання, підтвердження, зміна та скасування бронювань від імені Салону,
4. надсилання від імені Салону сповіщень його клієнтам каналами e-mail, SMS, push і Telegram,
5. ведення розрахунків та внутрішніх звітів Салону,
6. надання Салону функцій експорту та копії даних,
7. надання технічної підтримки за зверненням Салону,
8. підтримання, захист, створення резервних копій і відновлення середовища, в якому зберігаються дані.

Тривалість обробки. Протягом строку дії Договору, збільшеного на період експорту та видалення даних, описаний у розділі "Видалення або повернення даних після завершення співпраці".

Категорії суб'єктів даних і категорії даних

Категорії суб'єктів даних:

• клієнти Салону, зокрема особи, що здійснюють бронювання через marketplace, та особи, внесені до картотеки Салоном,
• працівники та співпрацівники Салону, яким Салон надав доступ до Облікового запису або чиї дані вніс до графіка,
• контактні особи, вказані Салоном,
• законні опікуни, що бронюють візит на користь неповнолітньої особи.

Категорії персональних даних:

| Категорія | Приблизний обсяг | | --- | --- | | Ідентифікаційні дані | Ім'я, прізвище або відображуване ім'я, стать, якщо вказана Салоном | | Контактні дані | Адреса e-mail, номер телефону, ідентифікатор чату Telegram, якщо пов'язаний | | Дані бронювання | Дата і час візиту, обрана послуга, призначений працівник, статус бронювання, історія змін і скасувань | | Дані картотеки клієнта | Нотатки, внесені Салоном, преференції щодо послуги, історія візитів у цьому Салоні, вартість і частота візитів | | Дані працівників | Ім'я та прізвище, посада або роль, обсяг послуг, години роботи, відпустки та відсутності, службова адреса e-mail | | Комунікаційні дані | Зміст повідомлень, якими обмінюються у зв'язку з бронюванням, статус доставлення сповіщень | | Технічні дані | Ідентифікатори сесії та пристрою, адреса IP, логи доступу до Облікового запису Салону |

Особливі категорії даних. Платформа не призначена для обробки даних, зазначених у ст. 9 і 10 GDPR, зокрема даних щодо здоров'я. Салон зобов'язується не вносити такі дані до системи, зокрема до полів нотаток, без окремої дійсної правової підстави, без попереднього письмового узгодження з DOKUMENT.PL sp. z o.o. додаткових заходів безпеки та без поінформування суб'єкта даних. Внесення таких даних усупереч зазначеному зобов'язанню відбувається під виключну відповідальність Салону.

Дані дітей. Платформа призначена для осіб, які досягли 16 років, а якщо право, чинне відповідно до law of Poland, передбачає нижчий поріг - для осіб, які досягли віку, встановленого цим правом, але не нижчого за 13 років. Бронювання візиту неповнолітньої особи здійснює законний опікун.

Задокументовані вказівки Контролера

Обробник обробляє доручені персональні дані виключно за задокументованою вказівкою Контролера, зокрема щодо передавання даних до третьої країни або міжнародної організації.

Задокументованими вказівками Контролера вважаються:

1. цей DPA разом із Регламентом і прейскурантом,
2. конфігурація та налаштування Облікового запису, здійснені Салоном або Користувачами Салону в панелі, зокрема увімкнення або вимкнення каналів сповіщень, інтеграцій і функцій, що обробляють дані,
3. дії, що виконуються Користувачами Салону в інтерфейсі платформи або через надане API,
4. звернення і запити, що надсилаються уповноваженими Салоном особами на адресу meetime.company@gmail.com або meetime.company@gmail.com.

Обробник не використовує доручені дані для власних цілей, зокрема не використовує їх для тренування моделей машинного навчання, для побудови маркетингових профілів, а також для продажу чи надання третім особам поза обсягом, описаним у цьому DPA.

Якщо Обробник зобов'язаний обробляти дані на підставі права Союзу або права держави-члена, він інформує про це Контролера до початку обробки, крім випадків, коли це право забороняє таке інформування з огляду на важливий публічний інтерес.

Якщо, на думку Обробника, вказівка Контролера порушує GDPR або інші приписи щодо захисту даних, Обробник негайно інформує про це Контролера і може призупинити виконання вказівки до її підтвердження або зміни. Призупинення виконання вказівки з цієї причини не становить порушення Договору.

Виконання вказівок, що виходять за межі Послуги, охопленої Планом, зокрема нетипових міграційних операцій, може вимагати окремого узгодження і може бути пов'язане з розумною винагородою, що відповідає понесеним витратам, про що Обробник попереджає Контролера до початку робіт.

Конфіденційність персоналу

Обробник забезпечує, щоб особи, уповноважені на обробку доручених персональних даних:

• були на це прямо уповноважені в обсязі, що відповідає виконуваній ролі, згідно з принципом мінімально необхідних повноважень,
• зобов'язалися зберігати конфіденційність у письмовій або документальній формі, або підлягали встановленому законом обов'язку збереження таємниці,
• пройшли навчання з принципів захисту персональних даних та інформаційної безпеки до отримання доступу до даних, а також періодично, не рідше ніж раз на рік,
• мали доступ виключно до даних, необхідних для виконання доручених завдань.

Обов'язок збереження конфіденційності триває також після припинення трудових відносин або співпраці з Обробником.

Обробник веде реєстр осіб, уповноважених на обробку доручених даних, і періодично, не рідше ніж раз на шість місяців, перевіряє актуальність наданих повноважень і відкликає зайві повноваження.

Заходи безпеки (ст. 32 GDPR)

Обробник впроваджує та підтримує відповідні технічні та організаційні заходи, що забезпечують рівень безпеки, який відповідає ризику, зокрема:

Шифрування.

• Шифрування передавання даних протоколом TLS версії 1.2 або вищої, з примусовим HTTPS і механізмом HSTS для всіх публічних з'єднань.
• Шифрування даних у стані спокою, що охоплює базу даних, файлове сховище в Amazon S3 та всі резервні копії, з використанням алгоритму AES-256.
• Зберігання паролів виключно у вигляді криптографічного хешу з сіллю, із застосуванням сучасної хеш-функції, стійкої до словникових атак.
• Шифрування внутрішніх з'єднань між компонентами застосунку та адміністративних з'єднань.

Контроль доступу.

• Контроль доступу на основі ролей, з розділенням повноважень власника Салону, менеджера і працівника, та з принципом мінімально необхідних повноважень.
• Сувора ізоляція даних між Салонами на рівні застосунку, що унеможливлює доступ одного Салону до даних іншого Салону.
• Багатофакторна автентифікація, обов'язкова для всіх адміністративних облікових записів і для доступу до продуктивної інфраструктури.
• Короткострокові токени доступу, анулювання сесій при виході з системи та при зміні пароля, виявлення входів з нових пристроїв.
• Доступ персоналу Обробника до продуктивних даних виключно за принципом обґрунтованої потреби, після затвердження, у реєстрований та обмежений у часі спосіб.

Резервні копії та безперервність діяльності.

• Автоматичні резервні копії, що створюються щонайменше раз на добу і зберігаються в зашифрованому вигляді щонайменше у двох окремих зонах доступності на території Європейського Економічного Простору.
• Період утримання резервних копій, що становить 30 днів, з ротацією, яка забезпечує можливість відновлення стану з обраної точки в часі.
• Періодичні тести відновлення резервних копій, що проводяться не рідше ніж раз на квартал, разом із документуванням їх результатів.
• Цільовий час відновлення послуги (RTO), що становить 8 годин, і цільова точка відновлення (RPO), що становить 24 години.
• План безперервності діяльності та план реагування на інциденти, що переглядаються не рідше ніж раз на рік.

Логування та моніторинг.

• Реєстрація подій безпеки та подій доступу до даних, зокрема входів у систему, невдалих спроб входу, змін повноважень, експортів даних та адміністративних операцій.
• Зберігання логів безпеки протягом 12 місяців у спосіб, що унеможливлює їх несанкціоновану модифікацію.
• Моніторинг доступності та аномалій, автоматичні сповіщення, обмеження кількості запитів (rate limiting) та захист від атак типу "відмова в обслуговуванні".

Безпека процесу розробки.

• Розділення продуктивного, тестового та девелоперського середовищ. У непродуктивних середовищах ми не використовуємо реальних персональних даних; тестові дані є синтетичними або анонімізованими.
• Перегляд коду перед розгортанням, автоматичні тести, сканування залежностей на предмет відомих вразливостей і регулярні оновлення безпеки.
• Керування секретами в спеціальному сховищі, без розміщення автентифікаційних даних у вихідному коді.
• Періодичні тести безпеки застосунку, не рідше ніж раз на рік.

Організаційні заходи.

• Політика захисту даних і політика інформаційної безпеки, що переглядаються не рідше ніж раз на рік.
• Реєстр категорій операцій обробки, що ведеться відповідно до ст. 30(2) GDPR.
• Процедура керування порушеннями захисту персональних даних, з визначеними ролями та шляхом ескалації.
• Перевірка субобробників перед дорученням їм даних та періодична оцінка їх відповідності.
• Принцип урахування захисту даних на етапі проєктування та захисту даних за замовчуванням (ст. 25 GDPR), зокрема псевдонімізація там, де це можливо без втрати функціональності.

Обробник може змінювати застосовані заходи за умови, що рівень безпеки не знизиться. Актуальний опис технічних та організаційних заходів ми надаємо на запит, надісланий на адресу meetime.company@gmail.com.

Субобробники

Контролер надає Обробнику загальний дозвіл на залучення субобробників на умовах, визначених у цьому розділі.

Обробник укладає з кожним субобробником договір, що покладає на нього обов'язки у сфері захисту даних, не менш суворі, ніж ті, що випливають із цього DPA. Обробник несе перед Контролером повну відповідальність за виконання обов'язків субобробником.

Актуальний перелік субобробників:

| Субобробник | Роль і обсяг обробки | Місце обробки | | --- | --- | --- | | Amazon Web Services EMEA SARL | Хостинг застосунку та бази даних, файлове сховище Amazon S3, зберігання резервних копій. Доступ до повного обсягу доручених даних у зашифрованому вигляді | Регіони Європейського Союзу | | Amazon SES | Доставлення повідомлень e-mail, що надсилаються від імені Салону його клієнтам. Адреса e-mail, ім'я або назва отримувача, зміст повідомлення, статус доставлення | Регіони Європейського Союзу | | Постачальник послуг SMS | Доставлення сповіщень SMS, що надсилаються від імені Салону. Номер телефону, зміст повідомлення, статус доставлення | Європейський Економічний Простір | | PostHog | Продуктова аналітика щодо користування панеллю Салону, виключно після надання згоди. Псевдонімізований ідентифікатор Користувача Салону, продуктові події, дані пристрою, скорочена адреса IP. Не охоплює картотеки клієнтів і нотаток | Інфраструктура, розміщена в Європейському Союзі | | Telegram | Доставлення сповіщень у каналі Telegram, виключно після самостійного під'єднання облікового запису отримувачем. Ідентифікатор чату, зміст сповіщення | Поза межами Європейського Економічного Простору, із засобами захисту, описаними в розділі про передавання |

Stripe обслуговує виключно абонентські платежі Салону на користь DOKUMENT.PL sp. z o.o.. У цьому обсязі DOKUMENT.PL sp. z o.o. діє як контролер, а не як обробник, тому Stripe не є субобробником у розумінні цього DPA. Stripe не має доступу до даних клієнтів Салону.

Актуальний перелік субобробників публікується за адресою business.meeti.me і становить частину цього DPA.

Механізм змін і право на заперечення.

1. Про намір додати нового субобробника або замінити наявного Обробник інформує Контролера щонайменше за 30 днів повідомленням e-mail на адресу, прив'язану до Облікового запису, та повідомленням у панелі Салону. Повідомлення містить назву субобробника, обсяг і мету обробки та місце обробки.
2. Контролер може подати обґрунтоване заперечення протягом 30 днів з дня отримання повідомлення, надіславши його на адресу meetime.company@gmail.com. Заперечення має вказувати конкретні обставини, що стосуються захисту даних і його обґрунтовують.
3. Після отримання заперечення Сторони добросовісно розпочнуть переговори, спрямовані на його вирішення. Обробник може, зокрема, запропонувати альтернативного постачальника, додаткові засоби захисту або таке обмеження обсягу обробки, яке усуне підставу заперечення.
4. Якщо протягом 30 днів з моменту подання заперечення Сторони не досягнуть згоди, а залучення відповідного субобробника є необхідним для надання Послуги, Контролер має право розірвати Договір з дією на день, що передує початку обробки новим субобробником, з пропорційним поверненням Абонентської плати за невикористаний період і зі збереженням права на експорт даних.
5. До спливу строку для подання заперечення, а в разі його подання - до його вирішення, новий субобробник не розпочинає обробки доручених даних.

У виняткових ситуаціях, що вимагають негайних дій, зокрема в разі аварії наявного постачальника або загрози безперервності Послуги, Обробник може залучити замінного субобробника до спливу періоду повідомлення, негайно інформуючи про це Контролера та вказуючи причини. Право на заперечення і право на розірвання в такому разі зберігають чинність.

Допомога в реалізації прав суб'єктів даних

Обробник, беручи до уваги характер обробки, наскільки це можливо допомагає Контролеру у виконанні обов'язку відповідати на запити суб'єктів даних у частині прав із розділу III GDPR: доступу, виправлення, видалення, обмеження обробки, переносимості даних, заперечення та непідпадання під рішення, засновані виключно на автоматизованій обробці.

Допомога реалізується насамперед через функції, доступні в панелі Салону, які дають змогу Контролеру самостійно: знайти дані особи, переглянути та експортувати їх у форматах CSV і JSON, виправити, видалити або анонімізувати картотеку клієнта, а також згенерувати звіт про обсяг оброблюваних даних.

Якщо запит суб'єкта даних надійде безпосередньо до Обробника, Обробник не відповідає на нього по суті, а негайно, не пізніше ніж протягом 3 робочих днів, передає його Контролеру разом із наявними відомостями, що уможливлюють його розгляд, та інформує особу, яка подала запит, про передавання справи контролеру.

Якщо виконання запиту виходить за межі функцій, доступних у панелі, Обробник надає технічну допомогу на запит Контролера у строк, що дає Контролеру змогу дотримати місячного строку зі ст. 12(3) GDPR, не пізніше ніж протягом 10 робочих днів від отримання запиту. За допомогу, що виходить за межі стандартних функцій Послуги і вимагає суттєвих трудовитрат, Обробник може стягнути розумну винагороду, що відповідає понесеним витратам, після попереднього інформування Контролера та отримання його згоди.

Допомога у виконанні обов'язків зі ст. 32-36 GDPR

Обробник допомагає Контролеру у виконанні обов'язків, визначених у ст. 32-36 GDPR, з урахуванням характеру обробки та доступної йому інформації.

Безпека обробки (ст. 32). Обробник надає Контролеру актуальний опис впроваджених технічних та організаційних заходів в обсязі, що дає Контролеру змогу оцінити адекватність цих заходів, із застереженням щодо захисту комерційної таємниці та безпеки платформи.

Повідомлення наглядового органу про порушення (ст. 33). Після виявлення порушення захисту доручених персональних даних Обробник повідомляє про нього Контролера без невиправданої затримки, не пізніше ніж протягом 24 годин від виявлення порушення. Повідомлення містить, в обсязі наявної інформації: опис характеру порушення, зокрема, наскільки це можливо, категорії та приблизну кількість осіб і записів даних, яких стосується порушення, опис імовірних наслідків порушення, опис застосованих або запропонованих заходів усунення та мінімізації, контактні дані пункту, від якого можна отримати додаткову інформацію, а також момент виявлення порушення. Якщо надати повну інформацію одразу неможливо, Обробник передає її поступово, без невиправданої затримки, і підтримує поточну комунікацію з Контролером до закриття справи.

Обробник не здійснює повідомлення про порушення наглядовому органу від імені Контролера, якщо тільки Контролер прямо про це не звернеться і Сторони не узгодять обсяг таких дій. Рішення про повідомлення наглядового органу про порушення належить Контролеру.

Повідомлення суб'єктів даних (ст. 34). Обробник надає Контролеру технічну та інформаційну підтримку, необхідну для повідомлення суб'єктів даних, зокрема надає перелік осіб, яких стосується порушення, і може, за вказівкою Контролера та від його імені, надіслати повідомлення каналами, доступними в платформі.

Оцінка впливу на захист даних і попередні консультації (ст. 35 і 36). На запит Контролера Обробник надає інформацію, необхідну для проведення оцінки впливу на захист даних та для проведення попередніх консультацій з наглядовим органом, в обсязі, що стосується дорученої обробки, зокрема опис операцій обробки, застосованих засобів захисту, місця обробки та переліку субобробників.

Обробник веде реєстр усіх порушень захисту даних, що стосуються доручених даних, разом з описом обставин, наслідків та вжитих заходів усунення, і надає його Контролеру на запит в обсязі, що стосується даних Контролера.

Передавання даних за межі Європейського Економічного Простору

Правилом є обробка доручених персональних даних виключно на території Європейського Економічного Простору. Інфраструктура застосунку, база даних, файлове сховище, резервні копії та продуктова аналітика розміщені в регіонах Європейського Союзу.

Передавання доручених даних за межі ЄЕП може відбутися виключно:

1. у частині опціонального каналу сповіщень Telegram, активованого самостійно отримувачем сповіщення,
2. у частині можливої технічної підтримки, що надається командами постачальників, розташованими за межами ЄЕП, у режимі разового, реєстрованого та обмеженого в часі доступу,
3. за задокументованою вказівкою Контролера.

Кожне таке передавання відбувається виключно із застосуванням інструмента, що забезпечує належний рівень захисту відповідно до розділу V GDPR, а саме:

• рішення Європейської Комісії про належний рівень захисту (ст. 45 GDPR), якщо таке рішення охоплює відповідну країну або механізм сертифікації, або
• стандартних договірних положень (SCC), ухвалених імплементаційним рішенням Комісії (ЄС) 2021/914, у модулі, що відповідає відносинам обробник - обробник (модуль третій) або контролер - обробник (модуль другий), залежно від ролі сторін.

Стандартні договірні положення вважаються включеними до цього DPA шляхом посилання. Для цілей їх застосування приймається, що: експортером даних є Контролер, а Обробник укладає положення від імені та на користь Контролера у відносинах із субобробником; опис передавання відповідає розділу "Обсяг, характер і мета обробки" та розділу "Категорії суб'єктів даних і категорії даних"; технічні та організаційні заходи відповідають розділу "Заходи безпеки"; компетентним наглядовим органом є Prezes Urzedu Ochrony Danych Osobowych (UODO); правом, застосовним до положень, є law of Poland, а компетентним судом - courts competent for the seat of the operator, without prejudice to the consumer right to sue at their place of residence.

Перед кожним передаванням, заснованим на SCC, ми проводимо оцінку наслідків передавання (transfer impact assessment), що враховує право і практику країни призначення, та застосовуємо додаткові доповнювальні заходи, зокрема шифрування даних під час передавання і в стані спокою, мінімізацію обсягу переданих даних та процедуру оскарження запитів органів третіх країн.

Якщо орган третьої країни надішле Обробнику обов'язковий до виконання запит про розкриття доручених даних, Обробник повідомляє про це Контролера, якщо це не заборонено законом, вживає спроби оскаржити запит і обмежує розкриття до необхідного мінімуму.

Копію застосованих засобів захисту, зокрема текст стандартних договірних положень без інформації, що становить комерційну таємницю, ми надаємо на запит, надісланий на адресу meetime.company@gmail.com.

Видалення або повернення даних після завершення співпраці

Після завершення надання Послуги Обробник, залежно від рішення Контролера, видаляє доручені персональні дані або повертає їх Контролеру, а також видаляє їх наявні копії, якщо тільки право Союзу або право держави-члена не вимагає подальшого зберігання цих даних.

Ми застосовуємо такий графік:

1. Дні 1-30 від завершення Договору: період експорту. Контролер зберігає доступ у режимі лише читання і може самостійно експортувати повний обсяг доручених даних у форматах CSV і JSON. Експорт є безоплатним і не вимагає участі Обробника. За заявою, поданою в цей період на адресу meetime.company@gmail.com, ми одноразово продовжуємо період експорту ще на 30 днів.
2. До 90 днів від завершення Договору: видалення з продуктивних систем. Після спливу періоду експорту Обробник видаляє або незворотно анонімізує доручені дані в продуктивних системах не пізніше ніж протягом 90 днів від завершення Договору.
3. До 90 днів: видалення з резервних копій. Дані, що містяться в резервних копіях, видаляються відповідно до циклу ротації копій, що не перевищує 90 днів від завершення Договору. До моменту їх видалення резервні копії залишаються зашифрованими, а доступ до них обмежено виключно цілями відновлення після аварії, і він підпадає під цей DPA.

За заявою Контролера, поданою в період експорту, Обробник здійснює видалення раніше, ніж передбачає наведений графік, у строк 14 днів від отримання заяви, із застереженням щодо циклу ротації резервних копій.

Після завершення процесу Обробник підтверджує видалення даних письмово або в документальній формі за заявою, надісланою на адресу meetime.company@gmail.com.

Викладене не стосується даних, збереження яких вимагається приписами права, зокрема бухгалтерської та податкової документації щодо абонемента, а також даних, необхідних для встановлення, пред'явлення або захисту правових вимог. У цьому обсязі DOKUMENT.PL sp. z o.o. обробляє дані як контролер протягом строку, що випливає з приписів, застосовуючи принцип обмеження доступу виключно метою, задля якої дані було збережено.

Аудити та інформаційні обов'язки

Обробник надає Контролеру всю інформацію, необхідну для підтвердження виконання обов'язків, визначених у ст. 28 GDPR, та уможливлює проведення аудитів, зокрема інспекцій, Контролером або уповноваженим ним аудитором і сприяє їх проведенню.

Перший рівень: документація. За заявою, надісланою на адресу meetime.company@gmail.com, Обробник надає не пізніше ніж протягом 20 робочих днів: актуальний опис технічних та організаційних заходів, актуальний перелік субобробників разом із місцем обробки, заповнений опитувальник безпеки, інформацію про інциденти, що стосуються даних Контролера, а також наявні звіти про тести безпеки і сертифікати - в обсязі, в якому їх розкриття не загрожує безпеці платформи та не порушує зобов'язань перед третіми особами.

Другий рівень: аудит. Якщо інформація, надана на першому рівні, виявиться недостатньою, Контролер може провести аудит на таких засадах:

• про аудит повідомляється щонайменше за 30 днів, письмово або в документальній формі, із зазначенням обсягу, мети та запланованої тривалості,
• аудит проводиться в робочі дні, в робочі години, у спосіб, що мінімізує перешкоди в діяльності Обробника, і триває не довше ніж 3 робочі дні,
• аудит проводиться не частіше ніж раз на календарний рік, якщо тільки його проведення не обґрунтоване виявленим порушенням захисту даних, обов'язковою вказівкою наглядового органу або суттєвою зміною способу обробки,
• зовнішній аудитор не може бути суб'єктом, що конкурує з Обробником, і перед початком аудиту підписує зобов'язання про збереження конфіденційності,
• аудит не може охоплювати даних інших клієнтів Обробника, вихідного коду, деталей архітектури безпеки, розкриття яких загрожувало б безпеці платформи, а також даних, що становлять комерційну таємницю третіх осіб,
• аудит не може полягати в проведенні тестів на проникнення чи навантажувальних тестів продуктивного середовища без окремої письмової згоди Обробника та узгодження умов їх проведення,
• витрати на аудит несе Контролер; власні витрати Обробника, що перевищують розумний обсяг зусиль, можуть бути відшкодовані за ставками, узгодженими до початку аудиту, при цьому перший аудит у відповідному році, стандартного обсягу, проводиться без покладання цих витрат на Контролера.

Виявлені під час аудиту недоліки Обробник усуває негайно, у строк, узгоджений з Контролером і адекватний вазі недоліків.

Обробник співпрацює з наглядовим органом у частині виконання його завдань і негайно інформує Контролера про кожну дію наглядового органу, що стосується доручених даних.

Відповідальність

Кожна зі Сторін відповідає за шкоду, спричинену обробкою персональних даних, на засадах, визначених у ст. 82 GDPR та в приписах, чинних відповідно до law of Poland.

Обробник відповідає за шкоду, спричинену обробкою, виключно тоді, коли він не виконав обов'язків, покладених GDPR безпосередньо на обробників, або коли діяв поза законними вказівками Контролера чи всупереч цим вказівкам.

Контролер відповідає, зокрема, за: відсутність або дефектність правової підстави обробки, невиконання інформаційного обов'язку щодо суб'єктів даних, внесення до платформи надлишкових даних або особливих категорій даних усупереч положенням цього DPA, зміст і законність наданих вказівок, а також за обробку даних після їх отримання з платформи.

Обмеження відповідальності. До відповідальності Сторін, що випливає з цього DPA, застосовуються обмеження відповідальності, визначені в Регламенті, зокрема сумовий ліміт, із застереженням, що ці обмеження не застосовуються у випадку умисної вини, грубої недбалості, смерті або тілесного ушкодження чи розладу здоров'я, а також у будь-якому обсязі, в якому обмеження відповідальності є неприпустимим на підставі імперативних приписів права, зокрема в частині відповідальності перед суб'єктами даних та адміністративної відповідальності перед наглядовим органом.

Регресні розрахунки. Якщо одна зі Сторін повністю задовольнить вимогу суб'єкта даних, вона має право зворотної вимоги до другої Сторони в частині, що відповідає її частці у шкоді, згідно зі ст. 82(5) GDPR. Сторони взаємодіють у захисті від таких вимог і негайно інформують одна одну про їх пред'явлення.

Адміністративні штрафи, накладені наглядовим органом, покладаються на Сторону, дія або бездіяльність якої стала підставою для їх накладення.

Прикінцеві положення

Зміни DPA. До змін цього DPA відповідно застосовуються положення Регламенту про зміну типового документа, зокрема період повідомлення, що становить щонайменше 15 днів, і право Контролера розірвати Договір. Зміни, що безпосередньо випливають зі зміни приписів права або з настанов наглядового органу, ми впроваджуємо у строк, що випливає з цих приписів або настанов.

Недійсність положень. Якщо будь-яке положення DPA виявиться недійсним або таким, що не має юридичної сили, решта положень зберігають чинність, а недійсне положення замінюється положенням, що відповідає праву і є найближчим до мети недійсного положення.

Застосовне право та юрисдикція. До цього DPA застосовується law of Poland. Спори, що випливають із DPA або пов'язані з ним, вирішують courts competent for the seat of the operator, without prejudice to the consumer right to sue at their place of residence, без шкоди для права суб'єктів даних подати скаргу до наглядового органу Prezes Urzedu Ochrony Danych Osobowych (UODO) (uodo.gov.pl, ul. Stawki 2, 00-193 Warszawa, Poland) та скористатися засобами правового захисту в компетентному суді відповідно до ст. 79 GDPR.

Пріоритет. У частині обробки доручених персональних даних цей DPA має пріоритет перед Регламентом, прейскурантом та будь-якими попередніми домовленостями Сторін.

Обов'язкова версія

Цей документ складено в мовних версіях: польській (pl) та англійській (en).

Для регіону PL (Польща) обов'язковою є польська (pl) мовна версія цього документа. Для регіону EU (решта держав Європейського Економічного Простору) обов'язковою є англійська (en) мовна версія. У разі розбіжностей перевагу має обов'язкова для відповідного регіону версія.