Угода про обробку даних — OAZEE

Ця Угода про обробку даних (DPA) є частиною Умов використання OAZEE між Arti Group s.r.o., ідентифікаційний номер (IČO) 27930432, податковий номер (DIČ) CZ27930432, зареєстроване місцезнаходження: Schulhoffova 793/3, Háje, 149 00 Прага 4, Чеська Республіка (OAZEE), та клієнтом, який використовує OAZEE для обробки персональних даних від його імені (Клієнт).

Вона застосовується, коли OAZEE обробляє персональні дані в контенті вебсайту, зверненнях відвідувачів або пов’язаних операціях хостингу й доставки виключно для Клієнта. Зазвичай Клієнт є контролером; якщо Клієнт — агенція, що діє для контролера, OAZEE виступає її субобробником. Клієнт повинен мати повноваження давати відповідні вказівки.

Терміни «контролер», «обробник», «персональні дані», «обробка» та «порушення безпеки персональних даних» мають значення, установлені GDPR. У межах своєї сфери застосування ця DPA має пріоритет над суперечливими загальними умовами. Вона не регулює самостійні цілі OAZEE як контролера щодо облікових записів, оплати, безпеки та підтримки, описані в Політиці конфіденційності. Застосовне законодавство про захист даних має пріоритет над договірними обмеженнями.

• Предмет: хостинг і робота вебсайту Клієнта та обробка персональних даних, які Клієнт вирішує включати або збирати через підтримувані функції.
• Характер і мета: зберігання, отримання, відображення та публікація контенту вебсайту за вказівками; отримання, перевірка на спам, зберігання та доставка звернень відвідувачів електронною поштою; технічна підтримка, безпека, видалення або повернення даних, необхідні для цих функцій.
• Суб’єкти даних: відвідувачі вебсайту Клієнта, його потенційні й наявні клієнти, контактні особи, працівники та інші особи, дані яких Клієнт законно надає.
• Типи даних: тексти й зображення вебсайту, імена, ділові контактні дані, адреси електронної пошти, телефони, повідомлення, відомості про послугу чи запис на прийом, якщо використовуються, час надсилання, хешовані відомості про IP, відомості про браузер/user-agent та відповідні ознаки безпеки чи спаму. Постачальники інфраструктури й захисту можуть обробляти дані з’єднання, необхідні для доставки та безпеки.
• Тривалість: доки тривають відповідна послуга обробки та законні вказівки щодо зберігання, після чого дані повертаються або видаляються за розділом 10. Продовження зберігання в обліковому записі не дозволяє стороннього використання.

Стандартний сервіс не призначений для збирання особливих категорій даних, даних про кримінальні правопорушення, документів, що посвідчують особу, або інших особливо чутливих відомостей через універсальні форми чи запити до ШІ. Клієнт не повинен доручати таку обробку без законної підстави та прямо погоджених належних умов. Чутливі відомості, надіслані без запиту, залишаються захищеними персональними даними й не стають доступними для самостійного використання.

Клієнт доручає OAZEE обробляти дані лише для надання функцій, вибраних за договором, відповідно до зафіксованих налаштувань і запитів Клієнта та цієї DPA. Запит на публікацію контенту вебсайту є вказівкою зробити цей контент загальнодоступним; приватне звернення через форму не є вказівкою його опублікувати.

OAZEE обробляє дані лише на підставі законних документованих вказівок, зокрема щодо міжнародного передавання, якщо іншого не вимагає застосовне право ЄС або держави-члена. У такому разі OAZEE інформує Клієнта до обробки, якщо це не заборонено законом. OAZEE невідкладно повідомляє Клієнту, якщо вказівка ймовірно порушує законодавство про захист даних, і може призупинити її виконання до уточнення.

OAZEE не використовує контрольовані Клієнтом дані відвідувачів для власної реклами, незалежного навчання моделей, продажу або не пов’язаної з послугою розробки продуктів. Дозвіл розмістити форму не дозволяє передавати її повідомлення постачальнику ШІ для його самостійних цілей. Обробка ШІ в межах цієї DPA потребує відповідної вказівки Клієнта та умов із постачальником, сумісних із цією DPA.

Клієнт визначає правову підставу, надає обов’язкові повідомлення відвідувачам, обмежує збирання необхідними даними та дає законні вказівки щодо зберігання. Ці обов’язки не звільняють OAZEE від власних обов’язків обробника.

OAZEE забезпечує зобов’язання конфіденційності для осіб, уповноважених обробляти дані, і надає їм доступ лише в обсязі, необхідному для роботи. OAZEE застосовує належні технічні й організаційні заходи за статтею 32 GDPR з урахуванням ризиків, масштабу, контексту, сучасного рівня технологій та вартості впровадження.

Заходи охоплюють обмеження доступу й автентифікацію, захист даних під час передавання, безпечне поводження з обліковими даними, розмежування клієнтського доступу, пропорційний захист від зловживань і спаму, належне журналювання й реагування на інциденти, а також заходи доступності й відновлення даних, де це доречно. Захист керованої інфраструктури та зберігання оцінюються для відповідної обробки. Ця DPA не заявляє конкретної сертифікації, виключного регіону зберігання, фіксованого строку відновлення резервних копій або абсолютної гарантії безпеки.

OAZEE надає Клієнту відомості, обґрунтовано необхідні для оцінки застосовних заходів, і суттєво не знижує загальний рівень захисту, якого вимагає закон, протягом надання послуги обробки.

Клієнт надає загальний письмовий дозвіл на залучення субобробників, належним чином визначених для відповідної обробки. Перелік у розділі 12 повинен визначати фактичних постачальників, функції, місця обробки та застосовні умови передавання до доручення їм обробки. Невикористовувана програмна інтеграція сама по собі не означає, що постачальник отримує дані Клієнта.

До додавання або заміни субобробника даних Клієнта OAZEE надсилає відомості про заплановану зміну на зареєстрований контакт Клієнта, за можливості щонайменше за 30 днів, щоб Клієнт мав реальну змогу обґрунтовано заперечити з міркувань захисту даних. Про справді термінову зміну з міркувань безпеки чи закону повідомляється якомога раніше; терміновість не скасовує вимог законного дозволу й захисту.

Клієнт може заперечити протягом строку повідомлення. Сторони шукають розумну альтернативу або захисний захід. Якщо заперечення не врегульовано та законної альтернативи немає, Клієнт може припинити відповідну послугу обробки до набрання зміною чинності без плати за дострокове припинення й отримати повернення за невикористану відповідну послугу, належне за законом або договором. Це не обіцянка продовжувати використання незаконного чи недоступного постачальника.

OAZEE письмово покладає на субобробників обов’язки, які забезпечують такий самий відповідний захист персональних даних, як ця DPA, і відповідає перед Клієнтом за їх виконання за статтею 28 GDPR. Кінцевий постачальник моделі ШІ не звільняється від цих вимог лише тому, що доступ відбувається через іншу платформу.

Вказівка Клієнта не скасовує обмежень GDPR щодо передавання за межі ЄЕЗ. До передавання, на яке поширюються обмеження, OAZEE повинна встановити й задокументувати чинний механізм для фактичного одержувача та обробки разом із необхідною оцінкою й додатковими заходами.

Обробка з розділу 12 включає передавання до США. Воно ґрунтується на EU-U.S. Data Privacy Framework (DPF), якщо одержувач і діяльність охоплені чинною сертифікацією, та/або на застосовних стандартних договірних положеннях (SCC) за відповідною DPA постачальника. У Політиці конфіденційності, розділи 8–9, наведено місця обробки, юридичні особи одержувачів і посилання на умови передавання. Європейська юридична особа — сторона договору — не виключає доступу чи обробки у США.

Рішення про належний рівень захисту застосовується лише за дотримання його умов. Використання DPF потребує чинної сертифікації відповідного одержувача й діяльності. Під час використання SCC мають бути заповнені належні сторони, модуль, додатки, опис обробки й заходи; загальна згадка в цій DPA не є укладеними положеннями про передавання.

OAZEE надає на запит відомості про фактичний механізм і доступ до гарантій з урахуванням законного захисту конфіденційної інформації та персональних даних третіх осіб. Якщо передавання неможливо законно продовжувати, його потрібно припинити або замінити іншим законним механізмом.

З урахуванням характеру обробки OAZEE допомагає Клієнту належними заходами відповідати на запити щодо доступу, виправлення, видалення, обмеження, заперечення й переносимості, де це застосовно. Запити можна координувати через Показати електронну адресу.

Якщо OAZEE отримує запит щодо даних, контрольованих Клієнтом, вона без невиправданої затримки передає його Клієнту й не ухвалює самостійного рішення про відповідь, крім випадків, передбачених законом. За оцінку запиту відповідає Клієнт; OAZEE своєчасно допомагає дотриматися застосовного законного строку. Повернення даних можливе на запит і не обмежене інформацією, видимою в особистому кабінеті.

OAZEE повідомляє Клієнта без невиправданої затримки після того, як дізнається про порушення безпеки персональних даних, оброблюваних за цією DPA. У міру доступності повідомлення включає характер інциденту, відповідні категорії та приблизну кількість, контактну особу, ймовірні наслідки та вжиті або запропоновані заходи.

Під час розслідування відомості можуть надаватися поетапно без невиправданої затримки. OAZEE співпрацює щодо локалізації, усунення наслідків та виконання Клієнтом обов’язків оцінювання й повідомлення. Можливий 72-годинний строк повідомлення наглядового органу контролером не є договірним періодом, який дозволяє OAZEE відкладати повідомлення Клієнта.

З урахуванням характеру обробки й доступної інформації OAZEE допомагає Клієнту виконувати обов’язки щодо безпеки, повідомлення про порушення, оцінки впливу на захист даних і попередніх консультацій, коли це потрібно.

OAZEE надає інформацію, необхідну для підтвердження дотримання статті 28 GDPR, дозволяє аудит і сприяє йому, включно з перевірками Клієнтом або уповноваженим незалежним аудитором. Сторони погоджують розумні умови повідомлення, обсягу, конфіденційності й захисту даних інших клієнтів; ці умови не можуть скасовувати законне право на аудит або перешкоджати компетентному органу. Придатні незалежні звіти можуть використовуватися, але не видаються за сертифікації, яких OAZEE не має.

Звичайна співпраця входить до відповідних законних обов’язків. Окремо погоджена плата за справді додаткову роботу має бути розумною й не перешкоджати обов’язковим правам або виправленню власного порушення OAZEE.

Після завершення відповідної послуги обробки Клієнт може вибрати повернення або видалення своїх персональних даних, включно з копіями, якщо право ЄС або держави-члена не вимагає зберігання. Запит надсилається на Показати електронну адресу; OAZEE допомагає без невиправданої затримки й у разі запиту повернення надає придатний поширений формат, що відповідає даним. Після повернення OAZEE видаляє решту копій, якщо закон не вимагає їх зберігання, з урахуванням обмеженого циклу резервних копій нижче.

Якщо Клієнт зберігає обліковий запис і доручає продовжити зберігання для відновлення, ця визначена мета зберігання може тривати за цією DPA. Завершення платного хостингу зі збереженням відновлюваного контенту не рівнозначне вказівці видалити весь контент. Операційні строки зберігання з Політики конфіденційності підпорядковуються законним вказівкам Клієнта та вимозі необхідності GDPR.

Записи, обов’язкові до зберігання за законом, ізолюються для відповідної мети. Резервні копії, що очікують застосовного циклу видалення, захищені, не використовуються для нових цілей і видаляються або анонімізуються, коли обмежене зберігання більше не потрібне. OAZEE на запит пояснює застосовний виняток або цикл зберігання.

Для вказівок обробнику й питань захисту даних використовується Показати електронну адресу. Повідомлення щодо даних Клієнта надсилаються на актуальний контакт його облікового запису, якщо не погоджено інший. Клієнт зобов’язаний підтримувати цей контакт актуальним.

Ця DPA дотримується положення Умов використання про чеське право, не обмежуючи GDPR, компетентні наглядові органи, права фізичних осіб та інші невідчужувані гарантії. Вона не зобов’язує споживача звертатися виключно до чеського суду всупереч застосовному праву.

У Політиці конфіденційності, розділ 8, наведено відповідних постачальників і функції. Для фактичної обробки даних Клієнта розрізняються:

• Vercel Inc. (США): хостинг, Blob і захист BotID, включно із застосовною обробкою Kasada;
• Neon: база даних; поточні публічні умови вказують Databricks, Inc. та її афілійовану особу Neon, LLC (США);
• Resend / Plus Five Five, Inc. (США): доставка звернень і службових листів, включно зі зберіганням повідомлень у США;
• налаштовані постачальники ШІ або голосу за законного включення даних Клієнта: Google (зокрема Google Cloud EMEA Limited, Ірландія, для платного Gemini API з чеською платіжною адресою), OpenAI, OpenRouter із відповідним кінцевим постачальником або Recraft;
• інші постачальники лише в межах фактичної обробки від імені Клієнта на підставі необхідного дозволу.

Самостійна обробка платежів Stripe, розкриття реєстрам через Gransy / Subreg або відповідний реєстр доменів і власні сповіщення підтримки OAZEE оцінюються за фактичними ролями; не всі вони автоматично є субобробниками даних форм відвідувачів.

Регіон бази даних — AWS US East 1, Північна Вірджинія, США (us-east-1). Типовий регіон функцій Vercel для OAZEE — Вашингтон, округ Колумбія, США (iad1), статичний контент доставляється через глобальну CDN. Логотипи, фотографії та завантаження використовують Vercel Blob; регіон функцій не визначає розташування кожної копії Blob, кешу, резервної копії чи віддаленого доступу. Resend зберігає дані листів у США; вибір регіону надсилання цього не змінює.

Одержувачі та умови передавання з Політики конфіденційності, розділи 8–9, є частиною цього переліку. Для кожного активного субобробника OAZEE надає через Показати електронну адресу відповідну юридичну особу, функцію, категорії даних, місця обробки й віддаленого доступу та гарантії передавання, повідомляючи про зміни за розділом 5. Додаткові й кінцеві постачальники мають визначатися для фактичної обробки; перелічені регіони не означають, що вся обробка обмежена ними.