ДОДАТОК 2 до Договору публічної оферти PosPLUS
Умови обробки даних та персональних даних
Редакція № 1 від «__» __________ 20__ р.
Цей Додаток є дорученням на обробку персональних даних у розумінні статті 10 Закону України «Про захист персональних даних» від 01.06.2010 № 2297-VI та визначає умови такої обробки. Терміни, вжиті з великої літери, мають значення, визначене розділом 1 Договору.
1.1. Щодо персональних даних, які Клієнт або його Користувачі вносять до Сервісу:
| Роль | Сторона |
|---|---|
| Володілець персональних даних | Клієнт |
| Розпорядник персональних даних | Постачальник |
1.2. Постачальник обробляє такі персональні дані виключно за дорученням Клієнта, у межах, визначених цим Додатком і Договором, і не визначає самостійно мету та засоби їх обробки.
1.3. Щодо персональних даних контактних осіб і представників Клієнта, які Постачальник обробляє для укладення та виконання Договору, ведення обліку, виставлення рахунків, надання підтримки і виконання вимог законодавства, володільцем є Постачальник. Умови такої обробки визначені Політикою конфіденційності.
1.4. Клієнт як володілець самостійно і в повному обсязі відповідає за: наявність правових підстав для обробки; повідомлення суб’єктів персональних даних про обробку та їхні права; визначення строків зберігання; законність цілей обробки; забезпечення реалізації прав суб’єктів персональних даних.
1.5. Постачальник не несе відповідальності за відсутність у Клієнта правових підстав для внесення персональних даних до Сервісу.
2.1. Мета обробки Постачальником: надання Клієнту доступу до Сервісу та його функціонування; синхронізація даних між Локальною та Хмарною частинами; зберігання даних; формування звітності на замовлення Клієнта; резервне копіювання та відновлення; технічна підтримка на звернення Клієнта; забезпечення інформаційної безпеки та протидія зловживанням; виконання вимог законодавства України.
2.2. Постачальник не має права обробляти персональні дані з інших цілей, зокрема для власного маркетингу, профілювання, продажу або передачі третім особам, крім випадків, передбачених цим Додатком.
2.3. Тривалість обробки — строк дії Договору та строки, встановлені розділом 8 цього Додатка.
2.4. Операції обробки: збирання, накопичення, зберігання, адаптування, зміна, поновлення, використання, поширення (в межах Сервісу та між компонентами), знеособлення, знищення.
3.1. Залежно від конфігурації Сервісу і дій Клієнта обробці можуть підлягати:
| Категорія суб’єктів | Типові персональні дані |
|---|---|
| Працівники Клієнта (Користувачі) | Прізвище, ім’я, по батькові; посада та роль; номер телефону; адреса електронної пошти; логін; ідентифікатор картки/PIN доступу; журнал дій у Сервісі; робочі зміни; біометричні дані — виключно у разі активації Клієнтом функціоналу біометричної ідентифікації (п. 3.2) |
| Покупці Клієнта | Прізвище, ім’я; номер телефону; адреса електронної пошти; номер картки лояльності; історія покупок і нарахувань бонусів; дата народження (за умови внесення Клієнтом) |
| Отримувачі доставки | Прізвище, ім’я; номер телефону; адреса доставки; коментар до замовлення |
| Контактні особи контрагентів | Прізвище, ім’я, по батькові; посада; телефон; електронна пошта |
| Фізичні особи-підприємці як контрагенти | Прізвище, ім’я, по батькові; РНОКПП; адреса; банківські реквізити |
3.2. Обмеження щодо чутливих даних. Сервіс не призначений для обробки особливих категорій персональних даних (про стан здоров’я, расове або етнічне походження, політичні, релігійні чи світоглядні переконання, членство в політичних партіях і професійних спілках, засудження до кримінального покарання, біометричні та генетичні дані, дані про статеве життя), за винятком біометричних даних працівників, якщо Клієнт свідомо активує відповідний функціонал ідентифікації.
3.3. Якщо Клієнт вносить дані, зазначені в п. 3.2, він робить це на власний ризик, самостійно забезпечує наявність відповідних правових підстав і додаткових заходів захисту, та відшкодовує Постачальнику збитки, спричинені такими діями.
3.4. Постачальник не обробляє повні номери платіжних карток покупців Клієнта. Обробка платіжних реквізитів здійснюється безпосередньо еквайринговими та платіжними сервісами; Сервіс може зберігати лише маскований номер, тип картки та ідентифікатор транзакції.
4.1. Постачальник зобов’язується:
4.1.1. обробляти персональні дані виключно за дорученням Клієнта в межах цього Додатка;
4.1.2. забезпечити, щоб доступ до персональних даних мали лише ті працівники та залучені особи, яким він необхідний для виконання їхніх функцій, і щоб такі особи були зобов’язані зберігати конфіденційність;
4.1.3. вживати заходів захисту, передбачених розділом 6 цього Додатка;
4.1.4. не залучати суброзпорядників з порушенням розділу 5;
4.1.5. сприяти Клієнту в реалізації прав суб’єктів персональних даних (розділ 7);
4.1.6. повідомляти про інциденти (розділ 9);
4.1.7. після припинення Договору повернути або знищити персональні дані (розділ 8);
4.1.8. на запит Клієнта надавати інформацію, необхідну для підтвердження виконання цього Додатка;
4.1.9. невідкладно повідомити Клієнта, якщо, на думку Постачальника, доручення Клієнта суперечить законодавству про захист персональних даних.
4.2. Постачальник не приймає рішень щодо суб’єктів персональних даних на підставі виключно автоматизованої обробки і не здійснює профілювання від власного імені.
5.1. Клієнт надає Постачальнику загальний дозвіл на залучення суброзпорядників для надання Сервісу, за умови дотримання цього розділу.
5.2. Постачальник:
5.2.1. укладає з кожним суброзпорядником договір, що покладає на нього зобов’язання, не менш суворі, ніж встановлені цим Додатком;
5.2.2. залишається повністю відповідальним перед Клієнтом за дії та бездіяльність суброзпорядників як за власні;
5.2.3. підтримує актуальний перелік суброзпорядників за адресою https://posplus.biz.ua/legal/subprocessors із зазначенням найменування, юрисдикції та призначення.
5.3. Постачальник повідомляє Клієнта про залучення нового суброзпорядника або заміну наявного не менш ніж за 30 (тридцять) календарних днів — електронною поштою та шляхом оновлення переліку.
5.4. Клієнт має право вмотивовано заперечити проти нового суброзпорядника протягом 15 (п’ятнадцяти) календарних днів з дати повідомлення, якщо має обґрунтовані сумніви щодо забезпечення ним належного рівня захисту. Сторони добросовісно шукають прийнятне рішення. Якщо рішення не знайдено, Клієнт має право припинити Договір з поверненням невикористаної частини передоплати без вирахувань (рядок 4 таблиці п. 4.10 Договору).
5.5. Типові категорії суброзпорядників:
| Категорія | Призначення |
|---|---|
| Постачальники хмарної інфраструктури та центрів обробки даних | Розміщення Хмарної частини та резервних копій |
| Сервіси надсилання електронної пошти та SMS | Технічні й сервісні повідомлення, коди підтвердження |
| Сервіси моніторингу та збору технічних журналів | Діагностика збоїв, забезпечення доступності |
| Платіжні сервіси | Приймання оплати за Сервіс |
| Сервіси технічної підтримки (тікет-системи, чат) | Обробка звернень Клієнта |
6.1. Постачальник впроваджує та підтримує щонайменше такі заходи:
Технічні:
шифрування каналів передавання даних (TLS 1.2 і вище) між Локальною та Хмарною частинами, а також при доступі до вебінтерфейсу та API;
шифрування резервних копій у стані спокою;
зберігання паролів виключно у вигляді криптографічних хешів із сіллю;
логічне розмежування даних різних клієнтів;
підтримка двофакторної автентифікації для облікових записів з підвищеними правами;
мережеве сегментування, брандмауери, захист від DDoS-атак;
ведення журналів доступу до систем із персональними даними;
регулярне оновлення програмного забезпечення та усунення виявлених вразливостей;
антивірусний захист серверної інфраструктури;
контроль цілісності резервних копій і періодична перевірка їх відновлюваності.
Організаційні:
принцип мінімально необхідних прав доступу для персоналу;
письмові зобов’язання про нерозголошення для осіб, які мають доступ до даних;
визначена особа, відповідальна за організацію роботи із захисту персональних даних;
внутрішній порядок реагування на інциденти;
порядок надання, перегляду та відкликання прав доступу;
інструктаж персоналу з питань захисту інформації;
контрольований порядок віддаленого доступу до систем Клієнта (п. 8.5 Договору).
6.2. Постачальник має право змінювати конкретні технічні засоби за умови, що рівень захисту не знижується.
6.3. Право на перевірку. Клієнт має право не частіше одного разу на рік, попередивши за 30 календарних днів, звернутися до Постачальника з письмовим опитувальником щодо заходів захисту. Постачальник надає відповідь протягом 30 календарних днів. За наявності у Постачальника чинного звіту незалежного аудиту або сертифіката відповідності визнаному стандарту безпеки надання такого документа замінює відповідь на опитувальник. Виїзна перевірка можлива за окремою письмовою домовленістю Сторін, за рахунок Клієнта, без доступу до даних інших клієнтів і комерційної таємниці Постачальника.
7.1. Забезпечення реалізації прав суб’єктів персональних даних (на доступ, на отримання інформації про обробку, на внесення змін, на відкликання згоди, на видалення, на заперечення проти обробки) є обов’язком Клієнта як володільця.
7.2. Постачальник надає Клієнту технічні засоби Сервісу, за допомогою яких Клієнт самостійно може: переглянути дані конкретного суб’єкта; внести до них зміни; знеособити або видалити їх; здійснити експорт.
7.3. Якщо запит суб’єкта персональних даних надійшов безпосередньо Постачальнику, Постачальник не відповідає на нього по суті, а невідкладно, але не пізніше 3 (трьох) Робочих днів, перенаправляє його Клієнту та повідомляє про це заявника.
7.4. Якщо Клієнт не має технічної можливості виконати запит самостійно, Постачальник надає розумне сприяння в межах технічної підтримки.
7.5. У разі надходження Постачальнику вимоги державного органу про надання персональних даних, оброблюваних за дорученням Клієнта, Постачальник, якщо це не заборонено законом, невідкладно повідомляє Клієнта і надає лише той обсяг даних, який прямо вимагається.
8.1. Протягом строку дії Договору та 90 (дев’яноста) календарних днів після його припинення Клієнт має право експортувати дані в порядку розділу 10 Договору.
8.2. Після спливу цього строку Постачальник видаляє персональні дані з активних систем Хмарної частини.
8.3. З резервних копій дані видаляються в міру спливу строків зберігання копій, але не пізніше 180 (ста восьмидесяти) календарних днів з дати припинення Договору. До моменту видалення дані в резервних копіях залишаються під дією зобов’язань щодо захисту та конфіденційності і не використовуються для жодної іншої мети.
8.4. Клієнт має право письмово вимагати дострокового знищення персональних даних. Постачальник знищує такі дані в активних системах Хмарної частини протягом 30 (тридцяти) календарних днів і надає письмове підтвердження; з резервних копій дані видаляються в міру спливу строку зберігання відповідних копій, але не пізніше 90 (дев’яноста) календарних днів з дати отримання вимоги (п. 10.10 Договору).
8.5. Постачальник має право зберігати окремі дані понад зазначені строки виключно в обсязі та на строк, прямо вимагані законодавством України, повідомивши про це Клієнта.
8.6. Дані, що зберігаються локально на обладнанні Клієнта, видаляє Клієнт самостійно.
9.1. У разі інциденту, що призвів або з високою ймовірністю може призвести до несанкціонованого доступу, розкриття, зміни, втрати чи знищення персональних даних, Постачальник повідомляє Клієнта невідкладно, але не пізніше 72 (сімдесяти двох) годин з моменту підтвердження факту інциденту.
9.2. Зміст повідомлення визначено п. 13.3 Договору.
9.3. Постачальник надає Клієнту розумне сприяння у розслідуванні інциденту, оцінці його наслідків та, за потреби, у підготовці повідомлень суб’єктам персональних даних і Уповноваженому Верховної Ради України з прав людини.
9.4. Обов’язок повідомити суб’єктів персональних даних і компетентні органи покладається на Клієнта як володільця, крім випадків, коли законом такий обов’язок прямо покладено на Постачальника.
9.5. Постачальник веде внутрішній облік інцидентів і надає Клієнту відомості про інциденти, що стосувалися його даних, на письмовий запит.
10.1. Дані Клієнта, включно з персональними даними, зберігаються в центрах обробки даних, розташованих на території України та/або держав — членів Європейського Союзу.
10.2. Передача персональних даних до держав, які не забезпечують належного рівня захисту, не здійснюється, крім випадків, коли для цього є правова підстава відповідно до статті 29 Закону України «Про захист персональних даних» і Клієнта попередньо повідомлено.
10.3. Актуальні відомості про фактичне розташування даних наводяться в переліку суброзпорядників (п. 5.2.3).
10.4. У разі зміни юрисдикції зберігання даних Постачальник повідомляє Клієнта не менш ніж за 30 (тридцять) календарних днів. Клієнт має право заперечити в порядку п. 5.4.
11.1. Наглядовим органом у сфері захисту персональних даних в Україні є Уповноважений Верховної Ради України з прав людини. У разі створення законодавством незалежного наглядового органу або набрання чинності новим законом про захист персональних даних Сторони застосовують цей Додаток з урахуванням нових вимог, а Постачальник ініціює необхідні зміни в порядку розділу 19 Договору.
11.2. Порушення Постачальником умов цього Додатка не підпадає під обмеження відповідальності, встановлене п. 17.3 Договору (підпункт 17.4.4).
11.3. У разі суперечності між цим Додатком і основним текстом Договору щодо обробки персональних даних застосовується цей Додаток.
11.4. Зміни до цього Додатка, що знижують рівень захисту даних, здійснюються в порядку п. 19.2 Договору — з повідомленням не менш ніж за 30 календарних днів.
Кінець Додатка 2.