Договір про обробку персональних даних

Цей договір про обробку персональних даних (далі: «Договір про обробку») є невід'ємною частиною умов використання між De Rechter Software та Замовником (далі: «Договір»). Він закріплює домовленості щодо обробки персональних даних, яку De Rechter Software здійснює від імені Замовника під час надання Stippa, відповідно до статті 28 Загального регламенту про захист даних (GDPR).

1. Сторони та ролі

• Контролер (володілець) даних: Замовник, який визначає цілі та засоби обробки персональних даних своїх кінцевих клієнтів.
• Обробник: De Rechter Software, одноосібне підприємство (eenmanszaak) із місцезнаходженням за адресою Molenwater 20, 4511 BN Breskens, Нідерланди, номер торгової палати (KvK) 98466402, номер ПДВ NL005332100B80, оператор Stippa, який обробляє персональні дані виключно від імені та за дорученням Замовника.

2. Предмет, характер, тривалість і мета обробки

Обробник обробляє персональні дані виключно для надання сервісу Stippa: платформи для керування та бронювання записів, керування клієнтами та працівниками, реєстрації робочого часу та відсутності працівників, надсилання сповіщень, розрахунків на касі з відповідними чеками, подарунковими сертифікатами та рухом товарних запасів, а також обробки платежів. Обробка триває доти, доки чинний Договір, і завершується відповідно до розділу 11.

3. Категорії даних та суб'єктів даних

Обробка стосується таких категорій суб'єктів даних та персональних даних:

• Суб'єкти даних: кінцеві клієнти Замовника та працівники Замовника.
• Дані: ім'я, адреса електронної пошти, номер телефону, дані про записи (дата, час, послуга, працівник, нотатки), дані операцій розрахунків на касі (номер чека, придбані послуги та товари, кількість, суми, знижки, ПДВ і спосіб оплати), дані подарункових сертифікатів, дані про працівників (ім'я, контактні дані, графік, відпрацьовані години та перерви, відсутність і її погодження, а також фотографія, якщо Замовник її завантажує), а також дані, пов'язані з платежами (через Stripe або Mollie; ніколи повний номер картки, але під час оплати карткою платіжна система картки, останні чотири цифри та позначення застосунку картки, яке за правилами платіжних систем має бути на чеку).

Сама документація продажів не містить імені, адреси чи контактних даних суб'єкта даних: вона посилається виключно на клієнтську картку. Саме це дає змогу виконати запит на видалення шляхом нейтралізації клієнтської картки, тоді як чек залишається незмінним (див. розділ 11 і політику конфіденційності).

Обробник не обробляє особливих категорій персональних даних, окрім випадків, коли Замовник вводить їх самостійно. Тип і пояснення відсутності можуть містити дані про здоров'я працівника, наприклад у разі хвороби. Замовник визначає, що саме там фіксується, відповідає за це та гарантує наявність правомірної підстави.

4. Зобов'язання Обробника

• Обробник обробляє персональні дані виключно на підставі задокументованих інструкцій Замовника, зокрема Договору, у тому числі щодо передачі до третьої країни, окрім випадків, коли законодавство встановлює інше; у такому разі Обробник заздалегідь повідомляє Замовника, якщо тільки таке законодавство цього не забороняє.
• Обробник негайно повідомляє Замовника, якщо, на його думку, інструкція порушує GDPR або інші застосовні правила захисту даних.
• Обробник гарантує, що особи, які мають доступ до персональних даних, зобов'язані дотримуватися конфіденційності.
• Обробник вживає належних технічних та організаційних заходів (див. розділ 5).
• Обробник надає Замовнику розумне сприяння у відповідях на запити суб'єктів даних (доступ, виправлення, видалення, обмеження, портативність даних та заперечення) та у виконанні його зобов'язань згідно зі статтями 32-36 GDPR (безпека, повідомлення про витоки даних, оцінки впливу на захист даних та попередні консультації з наглядовим органом).
• Обробник не використовує персональні дані для власних цілей і ніколи їх не продає.

5. Заходи безпеки

Обробник вживає щонайменше таких заходів:

• Шифрування даних під час передачі (TLS 1.2 або вище) та у стані спокою;
• Шифрування чутливих токенів за допомогою AES-256-GCM перед зберіганням;
• Рольове керування доступом із захистом на рівні рядків (row-level security) у базі даних;
• Ведення журналу змін (журнали аудиту) для безпеки та простежуваності;
• Журнал документації продажів, який можна лише доповнювати, але не змінювати чи видаляти, у якому кожна подія пов'язана з попередньою ланцюжком хешів, завдяки чому пізнішу зміну можна виявити;
• Регулярну оцінку ефективності заходів.

6. Субпідрядники з обробки

Замовник надає Обробнику загальний дозвіл на залучення наведених нижче субпідрядників з обробки (подальших обробників):

• Supabase Inc. для хостингу бази даних (хостинг у ЄС)
• Vercel Inc. для хостингу вебзастосунку
• Upstash, Inc. для обмеження частоти запитів і запобігання зловживанням (тимчасова обробка IP-адрес)
• Cloudflare, Inc. для захисту від ботів і зловживань (Turnstile)
• Sentry (Functional Software, Inc.) для моніторингу помилок і стабільності
• Inngest, Inc. для виконання фонових завдань (наприклад, нагадувань)
• Grafana Labs для керування журналами (Loki; лише якщо ввімкнено)
• Stripe Payments Europe Ltd. та Mollie B.V. для обробки платежів (Mollie розміщено в ЄС)
• Resend, Inc. для надсилання транзакційних електронних листів
• Twilio Inc. / WhatsApp Business для служб повідомлень (опційно)
• PostHog для продуктової аналітики; сервери в ЄС

Наведені нижче інтеграції активуються лише тоді, коли Замовник або працівник їх підключає: Google LLC для синхронізації календаря (див. політику конфіденційності) та Moneybird B.V. для бухгалтерської інтеграції.

Обробник за договором покладає на кожного субпідрядника з обробки ті самі зобов'язання щодо захисту даних, що передбачені цим Договором про обробку. Обробник залишається повністю відповідальним перед Замовником за виконання зобов'язань субпідрядником з обробки.

У разі запланованої зміни чи додавання субпідрядника з обробки Обробник інформує Замовника щонайменше за 30 днів. Протягом цього строку Замовник може на розумних підставах заперечити проти зміни; у такому разі сторони вступають у переговори. Якщо рішення не досягнуто, Замовник може відмовитися від відповідного сервісу або розірвати Договір.

Вебхук-ендпоінти, які налаштовує Замовник, не є субобробниками Обробника. Налаштовуючи вебхук-ендпоінт у застосунку, Замовник доручає Обробнику передавати персональні дані обраному Замовником одержувачу. Замовник є контролером щодо такої передачі, самостійно укладає з цим одержувачем потрібний договір про обробку та самостійно оцінює, чи забезпечено належні гарантії для передачі за межі ЄЕП. Обробник надсилає лише події, позначені Замовником, підписує кожне повідомлення та пропонує для кожного ендпоінта можливість надсилати тільки тип та ідентифікатор замість повних даних.

7. Передача за межі ЄЕП

У тій мірі, в якій персональні дані передаються субпідряднику з обробки за межами Європейського економічного простору, така передача здійснюється виключно на підставі належної гарантії відповідно до глави V GDPR: при передачі до Сполучених Штатів насамперед на підставі Рамкової угоди ЄС-США про конфіденційність даних (рішення про адекватність Європейської Комісії від 10 липня 2023 року) для сертифікованих за нею сторін, а як додаткова або резервна гарантія на підставі стандартних договірних положень Європейської Комісії (Standard Contractual Clauses, виконавче рішення (ЄС) 2021/914).

8. Місце обробки даних та користувачі в Україні

База даних розміщується в Європейському Союзі, а деякі субпідрядники з обробки перебувають у Сполучених Штатах, як описано в розділі 7. Для Замовників або суб'єктів даних, які перебувають в Україні, Україна є третьою країною щодо ЄС/ЄЕП. Будь-яка передача даних із ЄС/ЄЕП в Україну ґрунтується на стандартних договірних положеннях (SCC) або на винятках згідно зі статтею 49 GDPR. GDPR залишається базовим режимом захисту даних для цього сервісу.

9. Витоки даних

Обробник інформує Замовника без невиправданої затримки та не пізніше ніж протягом 48 годин після того, як йому стало відомо про порушення, пов'язане з персональними даними. При цьому Обробник надає інформацію, яка обґрунтовано необхідна Замовнику для виконання його можливого обов'язку повідомлення Нідерландському органу із захисту даних (Autoriteit Persoonsgegevens) та суб'єктам даних.

10. Аудити

Обробник на запит надає Замовнику інформацію, необхідну для підтвердження дотримання зобов'язань, передбачених статтею 28 GDPR. Замовник може з дотриманням розумного строку та не частіше одного разу на рік провести (доручити проведення) аудит самостійно або через уповноваженого Замовником незалежного аудитора. Розумні витрати на це покладаються на Замовника, окрім випадків, коли аудит виявляє суттєве невиконання з боку Обробника.

11. Повернення та видалення

Після припинення Договору Обробник за вибором Замовника або надасть Замовнику всі персональні дані у вигляді експорту даних, або видалить їх та видалить наявні копії, окрім випадків, коли законом передбачено обов'язок зберігання. За відсутності вибору протягом зазначеного в умовах використання строку в 30 днів дані видаляються.

Цей виняток стосується насамперед документації продажів. Якщо Замовник приймав оплату через Stippa, чеки, їхні позиції, платежі та відповідний журнал становлять його власну документацію у розумінні статті 52 Загального закону Нідерландів про державні податки, яку він зобов'язаний зберігати сім років. Якщо в країні місцезнаходження Замовника діють інші правила зберігання, Замовник сам залишається відповідальним за їх дотримання. Тому ці дані не підпадають під видалення, описане вище: Обробник зберігає їх протягом семи років від відповідного запису та надає їх Замовнику на запит у вигляді експорту. Положення цього Договору про обробку даних, що стосуються таких даних, залишаються чинними протягом цього періоду, зокрема й після припинення Договору.

12. Відповідальність та застосовне право

До цього Договору про обробку застосовуються положення про відповідальність та застосовне право з умов використання. У разі суперечності між цим Договором про обробку та умовами використання цей Договір про обробку має перевагу в тій мірі, в якій це стосується обробки персональних даних.

13. Контакти

З питань щодо цього Договору про обробку або для отримання підписаного примірника ви можете зв'язатися через support@stippa.nl.