Додаток до договору між Znovu і брендом про надання послуг (далі — «Договір»).
1. Загальні положення
1.1 Ця Угода є невід’ємною частиною Договору між [юридична назва] (далі — «Виконавець», AI-агенція Znovu) і брендом, який замовляє послуги (далі — «Замовник»). Вона визначає, як Виконавець обробляє персональні дані Кінцевих користувачів від імені Замовника, і відповідає вимогам ст. 28 Регламенту (ЄС) 2016/679 (GDPR).
1.2 Застосунок, програма лояльності, push-повідомлення та зберігання клієнтської бази Замовника працюють на платформі SalesBox. Обробку даних на рівні платформи регулює угода про обробку даних SalesBox, що відповідає GDPR. Виконавець надає послуги з використанням цієї платформи і залучає SalesBox як Субобробника (розд. 6).
1.3 Терміни вживаються у значеннях, визначених GDPR і Договором. Щодо Даних Кінцевих користувачів Замовник є контролером, Виконавець — обробником.
1.4 У питаннях обробки персональних даних ця Угода має пріоритет над Договором. Індивідуально підписана Сторонами редакція має пріоритет над цією.
2. Предмет і опис обробки
| Параметр | Опис |
|---|---|
| Суб’єкти | Кінцеві користувачі — покупці Замовника, які користуються його застосунком і сайтом |
| Категорії даних | ім’я, номер телефону, email, дата народження, історія замовлень, бонусний баланс, участь в акціях, записи про згоди, технічні дані пристрою, токени push-повідомлень — у межах, доступних Виконавцю в кабінеті Замовника на платформі |
| Чого не обробляємо | дані платіжних карток; особливі категорії даних (ст. 9 GDPR) |
| Дії Виконавця | перегляд, сегментація, налаштування push-сценаріїв і програми лояльності, формування аналітики та звітів, псевдонімізація для AI-обробки |
| Мета | надання послуг за Договором: запуск і ведення застосунку Замовника, повторні продажі через push-сценарії та лояльність, залучення нових покупців, щотижнева звітність |
| Строк | строк дії Договору + період повернення та видалення (розд. 9) |
3. Обробка лише за вказівками Замовника
3.1 Виконавець обробляє Дані Кінцевих користувачів лише за документованими вказівками Замовника, зокрема щодо передачі за межі ЄЕЗ. Такими вказівками є: Договір і ця Угода; погоджена із Замовником стратегія і сценарії; письмові запити Замовника.
3.2 Якщо вказівка, на думку Виконавця, порушує GDPR чи інше законодавство, Виконавець негайно повідомляє про це Замовника і має право її не виконувати.
3.3 Заборонено використовувати Дані Кінцевих користувачів для:
- власних розсилок, реклами та ретаргетингу Виконавця;
- пропозицій товарів і послуг Виконавця або третіх осіб;
- продажу даних або надання до них доступу рекламним мережам і брокерам даних;
- навчання моделей штучного інтелекту, доступних іншим клієнтам Виконавця;
- обміну даними між різними Замовниками;
- будь-яких інших самостійних цілей Виконавця.
3.4 Не є порушенням формування агрегованої статистики, яка не дозволяє ідентифікувати ні Кінцевого користувача, ні Замовника, а також обробка на законну вимогу державних органів — з повідомленням Замовника, якщо закон цього не забороняє.
4. Обов’язки Замовника
4.1 Замовник як контролер:
- визначає правові підстави обробки та отримує необхідні згоди Кінцевих користувачів, зокрема на маркетингові повідомлення і рекламне відстеження;
- розміщує в застосунку та на сайті власну політику конфіденційності;
- укладає з SalesBox договір і угоду про обробку даних щодо платформи або доручає Виконавцю зробити це від імені Замовника;
- не завантажує бази, отримані без законної підстави;
- самостійно відповідає за сервіси, підключені від власного імені (п. 6.3).
5. Конфіденційність і персонал
5.1 Доступ до Даних Кінцевих користувачів мають лише працівники та підрядники Виконавця, яким він необхідний для виконання Договору: стратег, performance-спеціаліст, аналітик.
5.2 Усі такі особи зобов’язані зберігати конфіденційність (NDA або трудовий договір).
5.3 Доступ надається за ролями через обліковий запис кожної особи і відкликається в день припинення роботи.
6. Субобробники та сервіси Замовника
6.1 Субобробники Виконавця. Замовник надає загальний письмовий дозвіл на залучення Субобробників, перелік яких наведено в Додатку Б. Виконавець залучає лише постачальників, які забезпечують відповідність GDPR, укладає з ними договори з обов’язками щодо захисту даних не нижчими, ніж у цій Угоді, і відповідає перед Замовником за їхні дії як за власні.
6.2 Платформа SalesBox. Технічні та організаційні заходи захисту, місце зберігання даних, резервне копіювання й видалення на рівні платформи визначаються угодою про обробку даних SalesBox. Виконавець надає її копію на запит Замовника.
6.3 Сервіси Замовника. Рекламні кабінети Meta і Google, Firebase-проєкт, еквайринг, SMS, месенджери, email і служби доставки, підключені від імені Замовника, є постачальниками Замовника. Виконавець працює в них лише за дорученням Замовника і не відповідає за їхні дії та умови.
6.4 Зміна Субобробників. Про додавання або заміну Субобробника Виконавець повідомляє Замовника на email щонайменше за 14 днів. Замовник може надати обґрунтоване заперечення протягом цього строку. Якщо Сторони не знайшли рішення, Замовник має право розірвати Договір до набрання змінами чинності.
7. Передача за межі ЄЕЗ
7.1 Місце зберігання даних на платформі визначається угодою про обробку даних SalesBox.
7.2 Частина команди Виконавця та окремі Субобробники можуть мати доступ до даних з-за меж ЄЕЗ. Для такої передачі застосовуються гарантії ст. 44–49 GDPR: стандартні договірні положення, затверджені Рішенням Європейської комісії (ЄС) 2021/914, або сертифікація постачальника за EU-U.S. Data Privacy Framework.
7.3 В AI-сервіси Виконавець передає лише псевдонімізовані дані: без імен і номерів телефонів, із зашифрованими ідентифікаторами. Дані, передані через API, не використовуються для навчання моделей.
8. Заходи захисту і допомога Замовнику
8.1 Виконавець застосовує технічні та організаційні заходи відповідно до ст. 32 GDPR, наведені в Додатку А.
8.2 З урахуванням характеру обробки Виконавець надає Замовнику розумну допомогу у виконанні обов’язків за ст. 32–36 GDPR, зокрема в оцінці впливу на захист даних (DPIA).
8.3 На запит Виконавець надає інформацію, необхідну для підтвердження виконання цієї Угоди.
9. Повернення та видалення
9.1 Клієнтська база, застосунок і всі креативи належать Замовнику. Експорт бази з платформи здійснюється відповідно до умов SalesBox; Виконавець допомагає Замовнику його отримати.
9.2 Після припинення Договору Виконавець протягом 30 днів видаляє копії Даних Кінцевих користувачів, які зберігав поза платформою (звіти, вивантаження), і відкликає свої доступи до кабінетів Замовника. Це не стосується даних, які Виконавець зобов’язаний зберігати за законом.
9.3 На письмовий запит Замовника Виконавець протягом 10 робочих днів підтверджує видалення на email.
10. Запити Кінцевих користувачів
10.1 Звернення Кінцевих користувачів щодо їхніх прав (ст. 15–22 GDPR) розглядає Замовник.
10.2 Якщо звернення надійшло Виконавцю, Виконавець протягом 5 робочих днів передає його Замовнику і по суті не відповідає (крім повідомлення заявнику, кому передано звернення).
10.3 Виконавець надає розумну допомогу, щоб Замовник виконав запит у строки, встановлені законом.
11. Інциденти
11.1 Про порушення безпеки Даних Кінцевих користувачів Замовника Виконавець повідомляє Замовника на email без необґрунтованої затримки, не пізніше 48 годин з моменту виявлення, — щоб Замовник міг повідомити наглядовий орган у 72-годинний строк ст. 33 GDPR. Це стосується й порушень, про які Виконавця повідомив Субобробник.
11.2 Повідомлення містить (у міру наявності інформації, з подальшим доповненням): що сталося і коли виявлено; категорії та приблизну кількість Кінцевих користувачів і записів; ймовірні наслідки; вжиті та заплановані заходи; контакт відповідальної особи.
11.3 Виконавець вживає невідкладних заходів для мінімізації наслідків і співпрацює із Замовником у повідомленні наглядового органу і Кінцевих користувачів.
11.4 Контакт: privacy@znovu.ai; відповідальна особа — Андрій Стахов, засновник.
12. Аудит
12.1 Раз на 12 місяців Замовник може надіслати опитувальник щодо безпеки. Виконавець відповідає протягом 20 робочих днів і, за потреби, отримує відповіді від Субобробників.
12.2 Перевірка на місці можлива після порушення, що стосувалося даних Замовника, або на вимогу наглядового органу; з повідомленням не менш як за 30 днів; за рахунок Замовника.
13. Відповідальність
13.1 Відповідальність Сторін за цією Угодою визначається Договором.
13.2 Виконавець не відповідає за порушення, спричинені вказівками або діями Замовника, його працівників чи осіб з його доступами; сервісами Замовника (п. 6.3); діями з даними після їх експорту Замовником.
14. Строк дії та зміни
14.1 Угода діє протягом дії Договору і до завершення видалення даних за розд. 9.
14.2 Зміни до цієї Угоди публікуються з повідомленням Замовника за 30 днів і не можуть знижувати рівень захисту даних. Індивідуально підписана редакція змінюється лише за взаємною письмовою згодою Сторін.
Додаток А. Технічні та організаційні заходи Виконавця
- Персональні доступи. Кожен працівник працює у власному обліковому записі; спільні логіни не використовуються.
- Мінімальні права. Доступ — лише за ролями й лише тим, кому він потрібен для конкретного Замовника; відкликання доступів у день припинення роботи.
- Двофакторна автентифікація у всіх системах з доступом до даних Замовника.
- Дані залишаються на платформі. Вивантаження з персональними даними робляться лише за потреби, зберігаються в захищеному сховищі та видаляються після використання.
- Шифрування під час передачі — лише захищеними каналами (HTTPS / TLS).
- Псевдонімізація для AI. Перед передачею в AI-сервіси імена й номери телефонів виключаються, а ідентифікатори шифруються.
- Конфіденційність персоналу. Працівники та підрядники з доступом до даних зобов’язані зберігати конфіденційність.
- Реагування на інциденти відповідно до розд. 11.
- Заходи на рівні платформи (хостинг, резервні копії, розмежування даних Замовників) — відповідно до угоди про обробку даних SalesBox.
Додаток Б. Субобробники
| Субобробник | Для чого |
|---|---|
| SalesBox (ТОВ «СЕЙЛЗБОКС») | платформа застосунку, лояльності, push-повідомлень і зберігання клієнтської бази — за власною GDPR-угодою про обробку даних |
| AI-сервіси (зокрема OpenAI) | підготовка креативів, текстів і сценаріїв; лише псевдонімізовані дані |
Актуальний перелік Субобробників Виконавець надає на запит і повідомляє про зміни відповідно до п. 6.4.