Договір про обробку даних
Договір про обробку персональних даних (ст. 28 GDPR) між Користувачем платформи Flyp, тобто фотостудією, як контролером та оператором Flyp як обробником. Він є невід’ємною частиною правил. Ви укладаєте його, приймаючи під час реєстрації або на екрані прийняття в панелі; версію та дату прийняття ми зберігаємо у вашому обліковому записі.
§1. Сторони та визначення
• Контролер: Користувач, тобто особа або компанія, що веде студію у Flyp і визначає цілі та способи обробки даних своїх клієнтів.
• Обробник: Usługi Programistyczne Marcin Rzepecki, ul. Bakalarska 15B/6, 02-212 Warszawa, NIP 5223218129, e-mail kontakt@flyp.pl, оператор платформи Flyp.
• GDPR: Регламент (ЄС) 2016/679 Європейського Парламенту і Ради.
• Дані: персональні дані, які Контролер вносить до Flyp або збирає за його допомогою (форми бронювання, галереї, договори, платежі).
• Субобробник: суб’єкт, якому Обробник далі доручає обробку Даних, зазначений у §15.
§2. Предмет і строк дії
Обробник обробляє Дані від імені Контролера в обсязі, необхідному для надання послуги Flyp: підтримки та надання застосунку, зберігання фотографій, документів і даних клієнтів, надсилання електронних листів від імені студії, обслуговування платежів та інтеграцій, увімкнених Контролером, і створення резервних копій.
Договір діє протягом усього часу користування Flyp, а після його завершення до видалення Даних відповідно до §11.
§3. Характер і мета обробки
Обробка є автоматизованою і відбувається в інформаційній системі Flyp. Вона охоплює збирання (через форми студії), фіксацію, зберігання, упорядкування, перегляд, надання клієнтам (галереї, посилання, повідомлення), передачу Субобробникам і видалення.
Єдина мета: надання послуги Flyp Контролеру. Обробник не використовує Дані для власних цілей, зокрема для маркетингу чи навчання моделей.
§4. Види даних і категорії суб’єктів
Види Даних:
• ідентифікаційні та контактні дані: ім’я та прізвище, адреса електронної пошти, телефон, адреса, дані компанії клієнта;
• дані бронювання та сесії: дата, місце, вид сесії, нотатки, відповіді в анкетах;
• зображення особи на фотографіях, зокрема дітей;
• зміст договорів і електронних підписів разом із технічними даними підпису (IP-адреса, браузер, час);
• згоди та їх історія (маркетингова, на публікацію зображення);
• дані платежів і замовлень: суми, статус, адреса доставки, без номерів карток;
• технічні дані відвідувачів галерей і сторінок студії: IP-адреса, а за згодою аналітичні ідентифікатори.
Категорії суб’єктів: клієнти Контролера та контактні особи клієнтів-компаній, учасники сесій (зокрема неповнолітні), гості галерей і сторінок бронювання, отримувачі ваучерів, особи, що підписують договори, та члени команди студії.
Flyp не призначений для обробки особливих категорій даних (ст. 9 GDPR). Якщо Контролер їх вносить (наприклад, у нотатках), він робить це на власну відповідальність і лише за наявності правової підстави.
§5. Вказівки Контролера
Обробник обробляє Дані виключно за задокументованою вказівкою Контролера, зокрема щодо передачі до третьої країни. Вказівками є: цей договір, правила, налаштування та дії Контролера в панелі, а також вказівки, надіслані електронною поштою з адреси власника студії.
Якщо обов’язок обробки випливає з права Союзу або права Польщі, Обробник повідомляє про нього Контролера до початку обробки, якщо закон цього не забороняє. Обробник негайно повідомляє Контролера, якщо, на його думку, вказівка порушує GDPR або інші норми про захист даних.
§6. Конфіденційність і безпека
Обробник допускає до Даних лише уповноважених осіб, зобов’язаних зберігати конфіденційність, і лише в обсязі, необхідному для надання послуги або підтримки на прохання Контролера.
Обробник застосовує заходи, передбачені ст. 32 GDPR, зокрема:
• шифрування з’єднань (TLS) і шифрування файлів фотографій та документів застосунком перед записом у сховище;
• контроль доступу з ролями та правами в студії і двофакторну автентифікацію, доступну для облікових записів;
• журнал доступу до галерей і журнал дій адміністратора платформи;
• щоденні резервні копії бази даних;
• моніторинг помилок із приховуванням вмісту та поточні оновлення безпеки.
§7. Субобробники
Контролер надає загальний дозвіл на залучення Обробником Субобробників. Актуальний перелік наведено в §15.
Про намір додати або замінити Субобробника Обробник повідомляє власника студії електронною поштою та повідомленням у панелі щонайменше за 14 днів. У цей строк Контролер може подати заперечення на адресу kontakt@flyp.pl. Якщо заперечення неможливо врахувати, Контролер може розірвати договір користування Flyp з дією до зміни, без додаткових витрат, із пропорційним поверненням плати за невикористаний період.
Обробник покладає на Субобробників ті самі обов’язки щодо захисту даних, що й у цьому договорі (ст. 28 ч. 4 GDPR), і відповідає перед Контролером за їх виконання.
Послуги, у яких студія має власний обліковий запис у постачальника (платіжні оператори, InPost ShipX, MailerLite, Mailchimp, iFirma, Fakturownia), працюють на підставі договору студії з цим постачальником; Flyp передає їм Дані за вказівкою Контролера. Рекламні пікселі студія налаштовує сама і відповідає за них спільно з їх постачальником.
§8. Передача даних за межі ЄЕЗ
Дані обробляються в Європейській економічній зоні, якщо §15 не зазначає іншого. Передача за межі ЄЕЗ відбувається лише на підставі розділу V GDPR: рішення Європейської комісії про належний рівень захисту (зокрема EU-US Data Privacy Framework) або стандартних договірних положень. Підставу для кожного Субобробника наведено в §15.
§9. Допомога в реалізації прав суб’єктів
Обробник допомагає Контролеру відповідати на запити суб’єктів даних (розділ III GDPR), насамперед за допомогою інструментів у панелі: перегляду й редагування даних клієнта, експорту даних клієнта, анонімізації та видалення. Запит, надісланий безпосередньо Обробнику, він без зайвої затримки пересилає Контролеру і не відповідає на нього по суті без його вказівки.
§10. Порушення захисту даних і допомога Контролеру
Обробник повідомляє Контролера про порушення захисту Даних без зайвої затримки, не пізніше ніж протягом 48 годин після його виявлення, на адресу електронної пошти власника студії. Повідомлення містить інформацію, передбачену ст. 33 ч. 3 GDPR, доступну на той момент, а подальшу Обробник надає, щойно її встановить.
З урахуванням характеру обробки та доступної інформації Обробник допомагає Контролеру виконувати обов’язки за ст. 32 по 36 GDPR: безпеку обробки, повідомлення про порушення наглядовому органу та суб’єктам даних, оцінку впливу на захист даних і попередні консультації.
§11. Завершення: повернення та видалення даних
Після завершення користування Flyp (закриття студії) Контролер має 30 днів, щоб скасувати закриття та завантажити дані клієнтів і файли. Після цього строку Обробник видаляє Дані, фотографії та документи студії, якщо закон не вимагає їх подальшого зберігання (наприклад, розрахункових документів протягом строку, визначеного податковим законодавством).
Резервні копії бази даних зберігаються на сервері 7 днів, а їх копії на пристрої Обробника в Польщі протягом 90 днів; видалені Дані зникають із копій під час їх перезапису.
Під час дії договору застосовуються такі строки зберігання технічних даних: зміст надісланих листів 90 днів, журнал надсилань 365 днів, журнал доступу до галерей 180 днів, окремі події статистики галерей 90 днів, сповіщення в панелі 180 днів.
§12. Інформація та аудит
Обробник надає Контролеру інформацію, необхідну для підтвердження виконання обов’язків за ст. 28 GDPR, і забезпечує можливість аудитів, зокрема перевірок, які проводить Контролер або уповноважений ним аудитор, зобов’язаний зберігати конфіденційність.
Аудит проводиться раз на рік за повідомленням щонайменше за 30 днів, насамперед дистанційно (запитання, документація, пояснення), за рахунок Контролера. Додатковий аудит можливий після порушення захисту Даних або на вимогу наглядового органу. Аудит не може порушувати конфіденційність даних інших студій чи безпеку платформи.
§13. Обов’язки та права Контролера
Контролер відповідає за правову підставу обробки Даних, за надання суб’єктам інформації за ст. 13 і 14 GDPR (Flyp надає шаблон політики конфіденційності студії, який не є юридичною порадою) та за зміст внесених даних. Контролер може будь-коли надавати вказівки через панель або електронною поштою, вимагати інформацію про обробку та користуватися правом на аудит.
§14. Відповідальність, зміни та прикінцеві положення
Сторони відповідають за шкоду відповідно до ст. 82 GDPR.
Обробник може змінити договір або перелік Субобробників з поважних причин (зміна законодавства, нова функція, зміна постачальника). Про зміну він повідомляє електронною поштою та в панелі щонайменше за 14 днів до набуття нею чинності. З цього дня панель просить прийняти нову версію; до цього дня Контролер може подати заперечення або розірвати договір на умовах §7. Версію та дату прийняття Обробник зберігає в обліковому записі.
У питаннях, не врегульованих цим договором, застосовуються право Польщі та GDPR. Обов’язковою є польська версія договору.
§15. Перелік субобробників