Соглашение об обработке данных

1. Стороны и сфера применения

Настоящее Соглашение об обработке данных («Соглашение») заключается между клиентом Chativ («Контролёр») и ФЛП Герасимюк Наталья Борисовна, просп. Мира, 78/2, кв. 1а, г. Хмельницкий, 29015, Украина, ИНН 2871021324 («Обработчик») в соответствии со статьёй 28 GDPR. Оно является неотъемлемой частью Условий использования и считается принятым при создании аккаунта; отдельная подпись не требуется.

Соглашение распространяется на персональные данные клиентов Контролёра, которые Обработчик обрабатывает при предоставлении Сервиса.

2. Предмет, характер и срок обработки

Предмет: получение и отправка сообщений через подключённые каналы, генерация AI-ответов, хранение истории диалогов и лидов. Срок: в течение срока действия Условий использования и до удаления данных в соответствии с разделом 9.

3. Категории данных и субъектов данных

Субъекты данных: клиенты Контролёра и посетители сайта, которые обращаются к Контролёру через подключённые каналы; сотрудники Контролёра, которые пользуются рабочим пространством.

Контактные данные: имя, имя пользователя, номер телефона, адрес электронной почты — если их предоставил субъект данных или канал
Содержание сообщений и вложений
Идентификаторы в каналах (например, идентификатор пользователя Instagram или Facebook) и технические данные виджета
Данные лидов, которые Контролёр собирает с помощью AI-агента

4. Обязанности Обработчика

Обрабатывать данные только по документально оформленным указаниям Контролёра, которыми являются Условия, настоящее Соглашение и настройки, заданные в рабочем пространстве
Обеспечивать, чтобы лица, имеющие доступ к данным, были связаны обязательством конфиденциальности
Применять меры безопасности, описанные в разделе 6
Содействовать Контролёру в ответах на запросы субъектов данных и в выполнении его обязанностей по статьям 32–36 GDPR
Уведомлять Контролёра, если, по его мнению, указание нарушает законодательство о защите данных

5. Субобработчики

Контролёр даёт общее разрешение на привлечение субобработчиков, перечисленных на странице «Субобработчики». Обработчик сообщает о новых субобработчиках на этой странице и по электронной почте не менее чем за 30 дней; Контролёр вправе возразить по обоснованным причинам и, если решение не будет найдено, прекратить использование Сервиса. Обработчик возлагает на субобработчиков обязательства по защите данных, равнозначные настоящему Соглашению, и несёт за них ответственность.

6. Меры безопасности

Шифрование всех соединений (TLS)
Хеширование паролей; дополнительное шифрование API-ключей и токенов доступа каналов в базе данных
Строгое разделение данных между рабочими пространствами; доступ только для авторизованных пользователей в соответствии с ролями
Хостинг в ЕС (Нидерланды)
Доступ сотрудников Обработчика к рабочим данным только при необходимости для поддержки или обслуживания

7. Нарушения безопасности персональных данных

Обработчик уведомляет Контролёра о нарушении безопасности персональных данных без неоправданной задержки и в любом случае в течение 48 часов с момента, когда ему стало об этом известно, предоставляя имеющуюся информацию для уведомления Контролёром надзорного органа.

8. Международная передача данных

Данные хранятся в ЕС. Если субобработчики обрабатывают данные за пределами ЕЭЗ (например, поставщики AI в США), передача осуществляется на основании Рамочной программы защиты данных ЕС–США (EU–US Data Privacy Framework) или Стандартных договорных условий Европейской комиссии.

9. Удаление и возврат данных

В течение срока действия Соглашения Контролёр может удалять лиды в рабочем пространстве и запрашивать экспорт или удаление любых других данных по адресу [email protected]; Обработчик выполняет такие запросы в течение 30 дней. После прекращения предоставления Сервиса Обработчик удаляет данные Контролёра в течение 30 дней, если закон не требует их хранения, и по запросу предоставляет экспорт до удаления.

10. Аудиты

По запросу Обработчик предоставляет информацию, необходимую для подтверждения соблюдения настоящего Соглашения. Аудиты на месте возможны с уведомлением за 30 дней, не чаще одного раза в год, за счёт Контролёра, если не произошло нарушения.

11. Контакты

Вопросы по защите данных: [email protected].