1. Сторони
1.1. Ця Угода про обробку даних (далі — «Угода») укладається між:
• вами як клієнтом послуг Bereg-IT (далі — «Контролер»); і
• ТОВАРИСТВО З ОБМЕЖЕНОЮ ВІДПОВІДАЛЬНІСТЮ «БЕРЕГ-ІНФОРМАЦІЙНІ ТЕХНОЛОГІЇ» (ТОВ «БЕРЕГ-ІТ»), код ЄДРПОУ 40428558, юридична адреса: 04107, Україна, м. Київ, вул. Багговутівська, 17-21, яке надає бізнесу послуги з ІТ-інфраструктури, інформаційної безпеки та супроводу (далі — «Обробник»).
1.2. Угода набирає чинності з дати, коли ви погоджуєтеся користуватися послугами Обробника або замовляєте їх (далі — «Послуги»), — залежно від того, що настане раніше.
2. Передумови
(А) Ця Угода забезпечує належні домовленості щодо персональних даних, які Контролер доручає обробляти Обробнику.
(Б) Ця Угода відповідає вимогам статті 28 GDPR і Закону України «Про захист персональних даних» щодо відносин володільця та розпорядника персональних даних.
(В) Сторони бажають закріпити свої зобов’язання в цій Угоді.
3. Терміни
3.1. У цій Угоді:
• «Законодавство про захист даних» — Закон України «Про захист персональних даних», GDPR тією мірою, якою він застосовується до обробки Даних, та інші закони про захист персональних даних, що поширюються на сторони;
• «Дані» — персональні дані у значенні Законодавства про захист даних, які Контролер передає Обробнику або до яких Обробник отримує доступ під час надання Послуг;
• «GDPR» — Регламент (ЄС) 2016/679 Європейського Парламенту та Ради від 27 квітня 2016 року про захист фізичних осіб у зв’язку з обробкою персональних даних і про вільний рух таких даних та про скасування Директиви 95/46/ЄС (Загальний регламент про захист даних);
• «Субобробник» — третя особа, яку Обробник залучає до обробки Даних;
• «Порушення безпеки Даних» — порушення безпеки, що призвело до випадкового чи незаконного знищення, втрати, зміни, несанкціонованого розкриття Даних або доступу до них.
3.2. «Контролер» і «Обробник» у цій Угоді відповідають термінам «володілець» і «розпорядник» персональних даних у Законі України «Про захист персональних даних».
4. Предмет і характер обробки
4.1. Предмет — Дані, обробка яких потрібна для надання Послуг за договором або замовленням Контролера: адміністрування ІТ-інфраструктури, інформаційна безпека, моніторинг безпеки (SOC), хмарні послуги, консалтинг і аудит.
4.2. Тривалість — строк дії договору про надання Послуг і час, потрібний для повернення або видалення Даних після його завершення.
4.3. Характер і мета — зберігання, адміністрування, резервне копіювання, моніторинг, аналіз подій безпеки, реагування на інциденти й технічна підтримка — виключно для надання Послуг.
4.4. Види Даних і категорії суб’єктів даних визначаються договором або замовленням. Як правило, це ідентифікаційні та контактні дані працівників і користувачів Контролера, дані облікових записів, IP-адреси, журнали подій систем і безпеки, а також вміст систем і поштових скриньок, які адмініструє Обробник.
4.5. Обробку, яку Обробник здійснює як володілець (наприклад, дані відвідувачів сайту та контактних осіб), описано в Політиці конфіденційності Обробника на сайті www.beregit.com.
5. Обов’язки Обробника
Обробник обробляє Дані лише відповідно до Законодавства про захист даних і, зокрема, зобов’язується:
5.1. обробляти Дані лише за документально оформленими інструкціями Контролера, зокрема щодо передачі Даних за кордон, і лише для надання Послуг (ст. 28(3)(a) GDPR); негайно повідомляти Контролера, якщо, на думку Обробника, інструкція порушує Законодавство про захист даних;
5.2. забезпечити, щоб усі працівники та інші представники з доступом до Даних знали умови цієї Угоди, пройшли навчання із захисту даних і зобов’язалися зберігати конфіденційність (ст. 28(3)(b) GDPR);
5.3. застосовувати технічні й організаційні заходи, що забезпечують рівень безпеки відповідно до ризику, згідно зі статтею 32 GDPR і статтею 24 Закону України «Про захист персональних даних»; конкретні заходи можуть бути визначені в договорі (ст. 28(3)(c) GDPR);
5.4. не залучати Субобробників без попередньої письмової згоди Контролера, у наданні якої Контролер може відмовити без пояснення причин. Якщо згоду надано, Обробник укладає із Субобробником письмовий договір із такими самими зобов’язаннями щодо захисту Даних і залишається відповідальним перед Контролером за його дії. Актуальний перелік Субобробників надається Контролеру на запит (ст. 28(2) і 28(4) GDPR);
5.5. з урахуванням характеру обробки допомагати Контролеру належними технічними й організаційними заходами, наскільки це можливо, відповідати на запити суб’єктів даних щодо доступу, виправлення, видалення, обмеження обробки, перенесення, заперечення та права не бути об’єктом автоматизованих рішень (глава III GDPR; ст. 28(3)(e) GDPR);
5.6. допомагати Контролеру виконувати обов’язки за статтями 32–36 GDPR — безпека, повідомлення про порушення наглядового органу та суб’єктів даних, оцінка впливу на захист даних і попередні консультації з наглядовим органом — з урахуванням характеру обробки та доступної Обробнику інформації (ст. 28(3)(f) GDPR);
5.7. на вибір Контролера безпечно видалити або повернути Дані в будь-який момент; видалення охоплює всі наявні копії, якщо закон не вимагає їх зберігати. На запит Контролера Обробник надає підтвердження знищення Даних (ст. 28(3)(g) GDPR);
5.8. надавати Контролеру всю інформацію, потрібну для підтвердження виконання цієї Угоди, а також дозволяти аудити й перевірки, які проводить Контролер або уповноважений ним аудитор, і сприяти їм (ст. 28(3)(h) GDPR);
5.9. зберігати цілісність Даних без змін і забезпечувати їх відокремлення від іншої інформації;
5.10. негайно, без зайвої затримки повідомляти Контролера про будь-яке Порушення безпеки Даних чи інцидент, через який Дані могли бути скомпрометовані, із наявною інформацією про характер порушення, категорії та приблизну кількість суб’єктів даних і записів, імовірні наслідки та вжиті заходи (ст. 33(2) і 33(3) GDPR).
6. Обов’язки Контролера
6.1. Контролер відповідає за наявність правової підстави для обробки Даних і за інформування суб’єктів даних.
6.2. Контролер надає Обробнику інструкції щодо обробки в письмовій формі, зокрема електронною поштою, і повідомляє про особливі вимоги до обробки, що випливають із законодавства, яке на нього поширюється.
7. Передача Даних за кордон
7.1. Обробник передає Дані за межі України або Європейської економічної зони лише за інструкцією чи зі згоди Контролера та за наявності належних гарантій — відповідно до глави V GDPR і статті 29 Закону України «Про захист персональних даних».
8. Строк дії та припинення
8.1. Угода діє, доки Обробник надає Послуги Контролеру або обробляє його Дані.
8.2. Контролер або Обробник можуть будь-коли припинити цю Угоду, надіславши іншій стороні письмове повідомлення.
8.3. Обов’язки щодо повернення або видалення Даних і збереження їх конфіденційності діють і після припинення Угоди.
9. Загальні положення
9.1. Ця Угода становить повну домовленість сторін щодо правових гарантій захисту даних у відносинах контролера та обробника відповідно до Законодавства про захист даних.
9.2. У питаннях захисту персональних даних ця Угода має перевагу над іншими умовами договору про надання Послуг, якщо сторони прямо не домовилися про інше.
9.3. Угода регулюється правом України; положення GDPR застосовуються тією мірою, якою вони поширюються на обробку Даних. Спори вирішуються в порядку, визначеному договором про надання Послуг, а за його відсутності — судами України.
9.4. Якщо будь-яке положення Угоди стане недійсним, решта положень залишаються чинними.