Умови обробки даних для партнерів (шаблон)

Угода про обробку персональних даних (далі — «Угода») укладена [дата] між:

[Сторона 1: повне найменування, код ЄДРПОУ, місцезнаходження] (далі — «Володілець»); та

ГО «Хендс Лаб» (повне найменування за ЄДР: ГРОМАДСЬКА ОРГАНІЗАЦІЯ «Х'юман енд Синтетик Лаб»), код ЄДРПОУ 46189265, місцезнаходження: Україна, 03035, місто Київ, вул. Липківського Василя Митрополита, 13, електронна пошта: [email protected] (далі — «Розпорядник»), — якщо Розпорядником виступає ГО «Хендс Лаб». Якщо ролі розподілено інакше, сторони зазначають це в Додатку 1.

Ролі сторін (володілець, розпорядник, співвладільці) визначаються за фактичним розподілом повноважень щодо мети й засобів обробки й підтверджуються для кожної співпраці в Додатку 1.

1.1. Розпорядник обробляє персональні дані за дорученням Володільця в межах співпраці щодо [пілот / програма / сервіс] (далі — «Співпраця»).

1.2. Предмет, строк, характер і мета обробки, типи персональних даних і категорії суб’єктів даних наведено в Додатку 1.

1.3. Угода застосовується разом із договором про Співпрацю. У разі суперечності щодо обробки персональних даних застосовується ця Угода.

1.4. Угода відповідає вимогам законодавства України про захист персональних даних, а якщо застосовується Регламент (ЄС) 2016/679 (GDPR), — також його статті 28.

2.1. Володілець забезпечує наявність законних підстав для обробки й передавання даних Розпоряднику, зокрема поінформовану згоду суб’єктів даних там, де вона потрібна.

2.2. Володілець надає Розпоряднику задокументовані інструкції щодо обробки й повідомляє суб’єктів даних про Розпорядника та мету обробки.

2.3. Володілець не передає Розпоряднику більше даних, ніж потрібно для мети обробки, і не передає особливі категорії даних, якщо це прямо не погоджено в Додатку 1.

3.1. Обробляти дані лише за задокументованими інструкціями Володільця, зокрема щодо передавання за межі України, якщо законодавство не вимагає іншого; у такому разі Розпорядник повідомляє про це Володільця, якщо закон цього не забороняє.

3.2. Забезпечити, щоб особи, які мають доступ до даних, зобов’язалися зберігати конфіденційність.

3.3. Вжити організаційних і технічних заходів безпеки, наведених у Додатку 2.

3.4. Не залучати інших розпорядників (субпідрозпорядників) без попередньої письмової згоди Володільця. Перелік погоджених субпідрозпорядників наведено в Додатку 3. Розпорядник накладає на них зобов’язання не менш суворі, ніж за цією Угодою, і відповідає перед Володільцем за їхні дії.

3.5. Допомагати Володільцю відповідати на запити суб’єктів даних щодо їхніх прав (доступ, виправлення, видалення, обмеження, заперечення, перенесення) та виконувати обов’язки щодо безпеки, повідомлення про інциденти й оцінювання впливу на захист даних.

3.6. Повідомляти Володільця про запит суб’єкта даних, отриманий безпосередньо, і не відповідати на нього без інструкцій Володільця.

3.7. Не використовувати дані для власних цілей, зокрема для навчання моделей, реклами чи досліджень, без окремої письмової домовленості та, де потрібно, згоди суб’єктів даних.

4.1. Розпорядник повідомляє Володільця про порушення безпеки персональних даних без невиправданої затримки й не пізніше ніж протягом 48 годин після того, як йому стало про нього відомо.

4.2. Повідомлення містить опис характеру порушення, категорії й орієнтовну кількість суб’єктів і записів, ймовірні наслідки, вжиті й запропоновані заходи та контакт відповідальної особи.

4.3. Розпорядник допомагає Володільцю виконати обов’язки щодо повідомлення уповноваженого органу та суб’єктів даних.

5.1. Передавання даних за межі України, зокрема до постачальників моделей штучного інтелекту, хмарних і платіжних сервісів, допускається лише за погодженими в Додатку 3 постачальниками, з дотриманням вимог законодавства до такого передавання й за наявності належних гарантій.

5.2. Якщо застосовується GDPR, передавання за межі ЄС/ЄЕЗ здійснюється на підставі рішення про адекватність, стандартних договірних положень або іншого механізму, передбаченого Регламентом.

6.1. Розпорядник надає Володільцю інформацію, потрібну для підтвердження виконання Угоди, і допускає аудити, зокрема перевірки, які проводить Володілець або уповноважена ним особа, із завчасним повідомленням не менш ніж за 10 робочих днів та без порушення роботи Розпорядника й конфіденційності інших клієнтів.

7.1. Після завершення Співпраці або за письмовим запитом Володільця Розпорядник протягом 30 днів повертає або видаляє персональні дані й копії та письмово підтверджує це, якщо закон не вимагає їх зберігання.

7.2. Дані в резервних копіях видаляються в межах звичайного циклу ротації, не довше ніж через 90 днів, і до цього не використовуються.

8.1. Кожна сторона відповідає за порушення цієї Угоди й законодавства про захист персональних даних відповідно до закону.

8.2. Розпорядник відповідає за шкоду, завдану обробкою, лише якщо не виконав обов’язків, спеціально встановлених для розпорядників, або діяв поза законними інструкціями Володільця чи всупереч їм.

8.3. Обмеження відповідальності за договором про Співпрацю застосовуються до цієї Угоди, якщо вони не суперечать закону.

9.1. Угода діє протягом Співпраці та до повернення чи видалення даних за розділом 7.

9.2. Угода регулюється правом України. Спори вирішуються шляхом переговорів, а в разі недосягнення згоди — судом за місцезнаходженням відповідача.

9.3. Зміни до Угоди чинні, якщо вони оформлені письмово й підписані обома сторонами. Допускається підписання електронними підписами.

9.4. Цей документ укладено українською мовою. Переклад англійською мовою наведено для зручності; у разі розбіжностей застосовується український текст.