Угода про обробку даних

1. Сторони та сфера застосування

Ця Угода про обробку даних («Угода») укладається між клієнтом Chativ («Контролер») та ФОП Герасимюк Наталія Борисівна, просп. Миру, 78/2, кв. 1а, м. Хмельницький, 29015, Україна, ІПН 2871021324 («Обробник») відповідно до статті 28 GDPR. Вона є невідʼємною частиною Умов використання та вважається прийнятою під час створення облікового запису; окремий підпис не потрібен.

Угода поширюється на персональні дані клієнтів Контролера, які Обробник обробляє під час надання Сервісу.

2. Предмет, характер і тривалість обробки

Предмет: отримання та надсилання повідомлень через підключені канали, генерування AI-відповідей, зберігання історії розмов і лідів. Тривалість: протягом строку дії Умов використання та до видалення даних відповідно до розділу 9.

3. Категорії даних і субʼєктів даних

Субʼєкти даних: клієнти Контролера та відвідувачі сайту, які звертаються до Контролера через підключені канали; працівники Контролера, які користуються робочим простором.

• Контактні дані: імʼя, імʼя користувача, номер телефону, адреса електронної пошти — якщо їх надав субʼєкт даних або канал
• Зміст повідомлень і вкладень
• Ідентифікатори в каналах (наприклад, ідентифікатор користувача Instagram чи Facebook) і технічні дані віджета
• Дані лідів, які Контролер збирає за допомогою AI-агента

4. Обовʼязки Обробника

• Обробляти дані лише за задокументованими вказівками Контролера, якими є Умови, ця Угода та налаштування, зроблені в робочому просторі
• Забезпечувати, щоб особи, які мають доступ до даних, були зобовʼязані дотримуватися конфіденційності
• Застосовувати заходи безпеки, описані в розділі 6
• Сприяти Контролеру у відповідях на запити субʼєктів даних і у виконанні його обовʼязків за статтями 32–36 GDPR
• Повідомляти Контролера, якщо, на його думку, вказівка порушує законодавство про захист даних

5. Субобробники

Контролер надає загальний дозвіл на залучення субобробників, перелічених на сторінці «Субобробники». Обробник повідомляє про нових субобробників на цій сторінці та електронною поштою щонайменше за 30 днів; Контролер може заперечити з обґрунтованих підстав і, якщо рішення не буде знайдено, припинити користування Сервісом. Обробник покладає на субобробників обовʼязки щодо захисту даних, рівнозначні цій Угоді, і несе за них відповідальність.

6. Заходи безпеки

• Шифрування всіх зʼєднань (TLS)
• Хешування паролів; додаткове шифрування API-ключів і токенів доступу каналів у базі даних
• Суворе розмежування даних між робочими просторами; доступ лише для авторизованих користувачів відповідно до ролей
• Хостинг в ЄС (Нідерланди)
• Доступ працівників Обробника до робочих даних лише за потреби для підтримки чи обслуговування

7. Порушення безпеки персональних даних

Обробник повідомляє Контролера про порушення безпеки персональних даних без невиправданої затримки і в будь-якому разі протягом 48 годин після того, як йому стало про це відомо, надаючи наявну інформацію для повідомлення Контролером наглядового органу.

8. Міжнародна передача даних

Дані зберігаються в ЄС. Якщо субобробники обробляють дані за межами ЄЕЗ (наприклад, постачальники AI у США), передача здійснюється на підставі Рамкової програми захисту даних ЄС–США (EU–US Data Privacy Framework) або Стандартних договірних положень Європейської комісії.

9. Видалення та повернення даних

Протягом строку дії Угоди Контролер може видаляти ліди в робочому просторі та запитувати експорт або видалення будь-яких інших даних на [email protected]; Обробник виконує такі запити протягом 30 днів. Після припинення надання Сервісу Обробник видаляє дані Контролера протягом 30 днів, якщо закон не вимагає їх зберігати, а на запит надає експорт до видалення.

10. Аудити

На запит Обробник надає інформацію, необхідну для підтвердження дотримання цієї Угоди. Аудити на місці можливі з попередженням за 30 днів, не частіше одного разу на рік, за рахунок Контролера, якщо не сталося порушення.

11. Контакти

Питання щодо захисту даних: [email protected].