Угода про обробку даних
1. Сторони, сфера та статус
Ця угода містить умови обробки даних між бізнес-клієнтом, визначеним договором OrsunPay («Клієнт»), та Orsun Tech OÜ, реєстраційний код 17418287, Sepapaja tn 6, Lasnamäe linnaosa, Tallinn, Harju maakond, 15551, Estonia («OrsunPay»). Вона стає обов’язковою лише після включення до погодженого обома сторонами договору із заповненими додатками щодо обробки та безпеки.
У межах цієї обробки Клієнт визначає цілі й основні засоби, а OrsunPay обробляє персональні дані від його імені. Якщо Клієнт сам є обробником, він повинен мати дозвіл свого контролера на залучення OrsunPay. Обробку для власного сайту, ділових контактів та адміністрування облікових записів OrsunPay описано в повідомленні про конфіденційність.
Терміни «персональні дані», «контролер», «обробник» та пов’язані поняття мають значення, визначені застосовним законодавством, зокрема GDPR, коли він застосовується. Ця DPA має перевагу над суперечливими умовами послуг щодо охопленої обробки; обов’язкові положення про передачу даних мають перевагу у відповідних випадках.
2. Опис обробки
| Питання | Запропонований обсяг |
|---|---|
| Предмет | Персональні дані в погоджених послугах оркестрації платежів Клієнта та пов’язаній підтримці. |
| Характер операцій | Отримання, запис, упорядкування, пошук, передавання та відображення записів; виконання інструкцій маршрутизації й операцій; усунення проблем; повернення або видалення даних. |
| Цілі | Робота налаштованих платіжних сценаріїв, обмін інформацією з обраними провайдерами, ведення записів транзакцій і вебхуків, надання дозволеного доступу та дослідження проблем сервісу. |
| Особи | Покупці Клієнта й інші учасники платежів, а також уповноважені користувачі або представники Клієнта, якщо дані обробляються за його інструкціями. |
| Категорії даних | Посилання на покупців і транзакції, надані контактні дані, суми й валюти, статуси платежів і повернень, посилання провайдерів, токенізовані чи масковані відомості про метод оплати, технічні дані з’єднання та матеріали підтримки. Остаточний додаток має відповідати фактичній інтеграції. |
| Тривалість і частота | Під час користування послугами та погодженого періоду повернення чи видалення; постійно або за подіями відповідно до функцій. |
| Чутливі дані | Спеціальні категорії даних, відомості про кримінальні правопорушення та повні платіжні облікові дані не охоплені цим загальним описом, якщо окремий письмовий обсяг і належні заходи прямо їх не включають. |
3. Інструкції та обов’язки Клієнта
Договір, заповнені додатки, дозволені налаштування та задокументовані API-запити формують інструкції Клієнта. OrsunPay оброблятиме охоплені дані лише за цими інструкціями, зокрема щодо передачі, якщо іншого не вимагає закон. Вона повідомить Клієнта про законну вимогу до обробки, якщо закон не забороняє такого повідомлення.
Клієнт має надавати законні інструкції, необхідну інформацію про приватність та забезпечити належну підставу для запитаного збирання й обробки. Він має обмежувати дані потребами сервісу й підтримувати належні права доступу. OrsunPay повідомить Клієнта, якщо вважатиме інструкцію такою, що порушує законодавство про захист даних, і може призупинити відповідну обробку до врегулювання.
4. Конфіденційність і безпека
OrsunPay обмежуватиме доступ уповноваженими особами, яким він потрібний для послуг, і забезпечуватиме їхні обов’язки конфіденційності. Вона підтримуватиме технічні й організаційні заходи, відповідні характеру даних і ризикам обробки.
Додаток із безпеки має описувати контроль доступу, автентифікацію, шифрування, розмежування клієнтських середовищ, журналювання, реагування на інциденти, резервування й відновлення, видалення та оцінювання цих заходів. Він повинен розрізняти впроваджені й заплановані заходи та визначати обсяг послуг. Публікація цієї угоди не означає включення будь-якого аудиторського сертифіката чи підтвердження безпеки.
5. Субобробники
OrsunPay може залучати субобробників лише за попереднім спеціальним або загальним письмовим дозволом Клієнта. Остаточний погоджений додаток визначатиме юридичну особу, функцію та місця обробки. Реєстр постачальників є допоміжним матеріалом і містить постачальників сайту та домовленості, що уточнюються; включення до нього саме по собі не є дозволом Клієнта.
За загального дозволу OrsunPay заздалегідь письмово повідомлятиме про додавання чи заміну та надаватиме реальну можливість заперечити з підстав захисту даних до початку нової обробки. Укладений додаток має визначати строк, канал повідомлення та порядок врегулювання. Якщо заперечення неможливо усунути, сторони погодять законну альтернативу або завершать відповідну послугу за договором.
OrsunPay покладатиме застосовні обов’язки захисту даних на кожного субобробника договором і залишатиметься відповідальною за їх виконання відповідно до закону.
6. Допомога та порушення захисту даних
З урахуванням обробки й доступної інформації OrsunPay допомагатиме Клієнту із запитами осіб, вимогами безпеки, оцінками впливу та консультаціями з компетентними органами. Отримавши запит щодо даних Клієнта, вона повідомить його та не відповідатиме по суті без інструкції, крім випадків законної вимоги.
OrsunPay повідомить Клієнта без невиправданої затримки після виявлення порушення захисту охоплених персональних даних. Доступна інформація описуватиме інцидент, відповідні дані й осіб, імовірні наслідки, заходи пом’якшення та контакт для подальшої взаємодії. Інформацію можна надавати поетапно в ході розслідування. OrsunPay співпрацюватиме з Клієнтом; Клієнт зберігає відповідальність за повідомлення, які він зобов’язаний здійснити за законом.
7. Міжнародна передача
До передачі, що підлягає обмеженням, сторони мають визначити експортера, імпортера, місця призначення та належний механізм. За потреби це охоплює рішення про належний рівень захисту або заповнені стандартні договірні положення з правильним модулем, додатками й додатковими заходами. Вимоги Великої Британії чи Швейцарії потрібно врахувати, якщо вони застосовні.
Посилання на DPA постачальника саме по собі не завершує документацію Клієнта щодо передачі. Укладений додаток має містити фактичні домовленості, зокрема віддалений доступ і подальші передачі.
8. Повернення, видалення та зберігання
Після завершення обробки OrsunPay за вибором Клієнта поверне або видалить охоплені дані та видалить решту копій, якщо закон не вимагає зберігання. Сторони мають погодити формат експорту, процедуру запиту, строк виконання та завершення зберігання резервних копій у додатку.
Коли зберігання потрібне за законом, OrsunPay визначить відповідну вимогу, якщо це дозволено, обмежить використання цією метою та видалить дані після завершення обов’язку. Резервні копії до планового видалення мають залишатися захищеними й недоступними для звичайного використання. На запит OrsunPay підтвердить завершення.
9. Інформація та аудити
OrsunPay надаватиме інформацію, потрібну для підтвердження виконання обов’язків обробника, допускатиме та підтримуватиме аудити, зокрема перевірки Клієнта чи призначеного ним аудитора. Сторони погодять обґрунтоване повідомлення, конфіденційність і захист інформації інших клієнтів. Практичні домовленості не повинні перешкоджати перевірці, обов’язковій за законом або вимогою компетентного органу.
10. Завершення погодження
Перед укладенням сторони мають заповнити категорії даних конкретної послуги, місця обробки, перелік дозволених субобробників, документи передачі, заходи безпеки, правила зберігання й повернення, контакти повідомлень і процедуру зміни постачальників. Відповідальність і застосовне право визначає укладений договір у дозволених законом межах; жодне положення не скасовує законних прав особи. Звернення щодо договору та DPA можна надіслати через Контакти.