Ця Угода про обробку даних («DPA») є частиною Умов використання Adapty (як їх визначено нижче), укладених між Клієнтом та Adapty, які регулюють використання та надання Клієнтом послуг Adapty.
Клієнт та Adapty надалі разом іменуються «Сторони», а кожен окремо — «Сторона». Відомості про Сторони наведено в Додатку 1.
У разі суперечності або невідповідності положенням Умов використання Adapty ця DPA має переважну силу над іншими положеннями Умов використання Adapty в обсязі такої суперечності або невідповідності.
Терміни, написані з великої літери, які не визначено в цьому документі інакше, мають значення, встановлене Умовами використання Adapty.
Ця DPA, включно з усіма Додатками, встановлює зобов’язання Сторін щодо захисту даних стосовно Персональних даних, які Adapty обробляє від імені Клієнта, як описано в Додатку 1 до цієї DPA, відповідно до Застосовного законодавства про захист персональних даних.
1. Визначення
1.1. Умови використання Adapty означають умови використання, розміщені за адресою https://adapty.io/terms/, або іншу письмову чи електронну угоду між Клієнтом та Adapty.
1.2. Застосовне законодавство про захист персональних даних означає всі закони, законодавчі акти, нормативні акти, постанови, кодекси, правила, настанови, розпорядження або будь-які інші правові зобов’язання, видані будь-яким державним органом, які регулюють збирання, використання, передачу та розкриття Персональних даних.
1.3. Контролер даних означає фізичну особу або організацію, яка визначає цілі та засоби обробки Персональних даних або іншим чином відповідає за ухвалення рішень щодо обробки Персональних даних.
1.4. Обробник даних означає фізичну чи юридичну особу або інший орган, що обробляє Персональні дані від імені Контролера.
1.5. Запит суб’єкта даних має значення, викладене в пункті 3.2 цієї DPA.
1.6. Суб’єкт даних означає прямо чи опосередковано ідентифіковану фізичну особу або фізичну особу, яку можна ідентифікувати, якої стосуються Персональні дані.
1.7. GDPR означає Регламент (ЄС) 2016/679 Європейського Парламенту і Ради про захист фізичних осіб у зв’язку з обробкою персональних даних і про вільний рух таких даних, та про скасування Директиви 95/46/ЄС.
1.8. UK GDPR означає збережену редакцію Загального регламенту ЄС про захист даних ((ЄС) 2016/679) (EU GDPR) у тому вигляді, в якому він є частиною права Англії та Уельсу, Шотландії та Північної Ірландії на підставі статті 3 European Union (Withdrawal) Act 2018, і зі змінами, внесеними додатком 1 до Data Protection, Privacy and Electronic Communications (Amendment etc.) (EU Exit) Regulations 2019 (SI 2019/419).
1.9. Персональні дані означають будь-яку інформацію, що стосується ідентифікованої фізичної особи або фізичної особи, яку можна ідентифікувати, і регулюється Застосовним законодавством про захист персональних даних, надану Клієнтом для обробки, включно з інформацією, що стосується ідентифікованої особи або особи, яку можна ідентифікувати.
1.10. Порушення безпеки персональних даних має значення порушення безпеки, що призводить до випадкового чи незаконного знищення, втрати, зміни, несанкціонованого розкриття Персональних даних або доступу до них.
1.11. Обробка, процеси обробки та процес обробки означають будь-яку діяльність, що передбачає використання Персональних даних, або те, що може бути встановлено Застосовним законодавством про захист персональних даних щодо обробки, процесів обробки чи процесу обробки. Це охоплює будь-яку операцію або сукупність операцій, що здійснюються з Персональними даними або з наборами Персональних даних, з використанням автоматизованих засобів чи без них, як-от збирання, реєстрація, організація, структурування, зберігання, адаптація або зміна, вилучення, перегляд, використання, розкриття шляхом передачі, поширення або надання доступу в інший спосіб, упорядкування або комбінування, обмеження, стирання або знищення. Обробка також охоплює передачу Персональних даних третім особам.
1.12. Стандартні договірні умови (SCC) означають стандартні договірні умови, затверджені Європейською Комісією (з урахуванням їх оновлення, зміни, заміни або скасування Європейською Комісією з часом). Якщо Європейська Комісія замінить Стандартні договірні умови зміненими або новими стандартними договірними умовами, то тією мірою, якою відповідний наглядовий орган схвалить використання таких змінених або нових стандартних договірних умов, посилання в цьому документі на «Стандартні договірні умови» тлумачитимуться як посилання на такі змінені або нові стандартні договірні умови.
1.13. Субобробник означає стороннього обробника даних, залученого Adapty, який отримав або потенційно може мати доступ до Персональних даних або обробляє їх.
1.14. Повідомлення про зміну субобробників має значення, викладене в пункті 4.1 цієї DPA.
2. Обробка персональних даних
2.1. Ролі Сторін
Сторони визнають і погоджуються, що щодо обробки персональних даних Клієнт є контролером, а Adapty — обробником.
2.2. Відомості про обробку даних
Предмет, тривалість, характер і мета (цілі) обробки персональних даних, а також тип персональних даних і категорії суб’єктів даних визначено в Додатку 1.
2.3. Обсяг обробки
Adapty утримуватиметься від обробки персональних даних поза межами розумних і звичайних вказівок, встановлених Клієнтом, як визначено в Умовах використання Adapty або в цій DPA, якщо тільки така обробка не вимагається застосовним законодавством, якому підпорядковується Adapty.
2.4. Вказівки Клієнта
Вказівки Клієнта щодо обробки персональних даних повинні відповідати застосовному законодавству про захист персональних даних. Клієнт несе виключну відповідальність за точність, якість і законність персональних даних, а також за способи, якими Клієнт отримує персональні дані. Без обмеження вищевикладеного, Клієнт несе виключну відповідальність за забезпечення наявності належної правової підстави та права на обробку персональних даних відповідно до положень Умов використання Adapty та цієї DPA. Клієнт окремо визнає і погоджується, що використання ним Сервісів не порушуватиме прав жодного суб’єкта даних.
2.5. Законна підстава для обробки
Клієнт визнає і погоджується, що Сервіси Adapty залежать від підтвердженої законної підстави та ґрунтуються на ній, при цьому таку підставу повинен отримати Клієнт, а Adapty на неї покладається. Клієнт заявляє, що така законна підстава існує.
2.6. Захист приватності дітей
Під час обробки персональних даних дітей (як їх описано в застосовному законодавстві про захист персональних даних) Клієнт зобов’язаний дотримуватися додаткових вимог, спрямованих на захист дітей, які встановлено правилами платформ, нормативними актами та застосовним законодавством про захист персональних даних. Деякі з цих законів спрямовані саме на дітей (як-от COPPA), тоді як інші мають ширшу сферу дії, але містять спеціальні гарантії захисту дітей (як-от GDPR та подібні регіональні закони).
3. Запити суб’єктів даних
3.1. Відповіді на запити суб’єктів даних
Клієнт несе виключну відповідальність за виконання будь-яких правових зобов’язань щодо запитів про здійснення прав суб’єктів даних відповідно до застосовного законодавства про захист персональних даних. Сторони погоджуються і визнають, що Adapty не може відповідати на запити суб’єктів даних.
3.2. Запити суб’єктів даних
Відповідальність Клієнта та розгляд Запитів суб’єктів даних. Клієнт залишається виключно відповідальним за виконання будь-яких передбачених законом зобов’язань щодо Запитів суб’єктів даних відповідно до Застосовного законодавства про захист персональних даних. Клієнт уповноважує Adapty, що діє виключно за задокументованими вказівками Клієнта та як Обробник Клієнта, автоматично обробляти й виконувати запити на відписку та заперечення проти прямого маркетингу, отримані безпосередньо від Одержувачів через механізми відписки, доступні в Листах, зокрема шляхом додавання відповідного Одержувача до стоп-листа Клієнта.
Крім випадків, прямо передбачених цим пунктом, Adapty не відповідатиме по суті на Запити суб’єктів даних від імені Клієнта та, тією мірою, якою це дозволено законом, скеровуватиме Суб’єкта даних до Клієнта та/або повідомлятиме Клієнта відповідно до цього пункту.
3.3. Запит суб’єкта
Якщо Клієнт звертається до Adapty по допомогу у відповіді на запит, Adapty, наскільки це практично можливо, докладатиме комерційно обґрунтованих зусиль, щоб допомогти Клієнтові відповісти на такий запит, тією мірою, якою Adapty має на це законне право і відповідь на такий запит вимагається застосовним законодавством про захист персональних даних.
3.4. Витрати
Тією мірою, якою це дозволено законом, Клієнт відповідає за будь-які витрати, понесені внаслідок надання Adapty такої допомоги, включно з будь-якими платежами, пов’язаними з наданням додаткової функціональності. У таких випадках Adapty заздалегідь повідомить Клієнта про ці витрати.
4. Субобробка
4.1. Призначення субобробників
Клієнт уповноважує Adapty призначати субобробників відповідно до цього розділу та з урахуванням будь-яких обмежень, передбачених DPA. Клієнт визнає і погоджується, що Adapty може залучати субобробників без попередньої згоди Клієнта. Умовою надання стороннім субобробникам дозволу на обробку персональних даних є укладення Adapty з кожним субобробником письмового договору, що містить зобов’язання щодо захисту даних, які забезпечують щонайменше такий самий рівень захисту персональних даних, як і ця DPA. Adapty письмово повідомлятиме Клієнта про будь-які запропоновані зміни щодо додавання або заміни субобробників до здійснення таких змін (надалі — «Повідомлення про зміну субобробників»). Клієнт може заперечити проти таких змін субобробників відповідно до пункту 4.2 цієї DPA.
4.2. Чинний перелік субобробників
Чинний перелік субобробників, яких Adapty залучає до обробки, наведено в Додатку 3 до цієї DPA. Adapty оновлюватиме перелік субобробників у цій DPA протягом тридцяти (30) днів після будь-яких змін, пов’язаних із додаванням або заміною субобробника.
4.3. Відповідальність
Щодо кожного субобробника Adapty: (i) вживатиме розумних заходів, щоб субобробник був зобов’язаний забезпечувати рівень захисту персональних даних, якого вимагає DPA, та (ii) нестиме повну відповідальність перед Клієнтом за дотримання субобробником своїх зобов’язань щодо захисту даних у разі, якщо субобробник не виконає таких зобов’язань.
4.4. Право заперечувати проти субобробників
Клієнт може обґрунтовано заперечити проти будь-якої запропонованої зміни, пов’язаної з додаванням або заміною субобробника (наприклад, якщо надання персональних даних субобробнику може порушити застосовне законодавство про захист даних або послабити захист таких персональних даних), невідкладно письмово повідомивши про це Adapty протягом тридцяти (30) днів з дати отримання повідомлення про зміну субобробника. У такому повідомленні Клієнт повинен пояснити обґрунтовані підстави заперечення.
Якщо Клієнт повідомить Adapty про таке заперечення, сторони добросовісно проведуть переговори щодо цього питання з метою досягнення комерційно обґрунтованого рішення. Якщо такі заперечення не вдасться врегулювати протягом п’ятнадцяти (15) днів, оскільки обробка не може належним чином тривати без залучення такого субобробника, Adapty має право відмовитися від подальшої обробки відповідно до цієї DPA та розірвати Умови використання Adapty без відповідальності за таке розірвання.
5. Транскордонна передача персональних даних
5.1. Передача з ЄС
Тією мірою, якою обробка Персональних даних підлягає захисту відповідно до GDPR, Сторони цим погоджуються, що така передача здійснюється на умовах SCC, які включено до цієї DPA шляхом посилання і які становлять невід’ємну частину цієї DPA. Варіанти та додатки SCC вважаються заповненими на підставі Додатку 4 до цієї DPA.
5.2. Передача зі Швейцарії
Тією мірою, якою обробка Персональних даних підлягає захисту відповідно до Федерального закону Швейцарії про захист даних від 19 червня 1992 року («FADP»), Сторони цим погоджуються, що така передача здійснюється на умовах SCC з необхідними адаптаціями, щоб SCC відповідали праву Швейцарії і, відтак, були придатні для забезпечення належного рівня захисту під час передачі даних зі Швейцарії до третьої країни відповідно до літери a пункту 2 статті 6 FADP. Перелік адаптацій наведено в пункті 4.3. для передачі персональних даних до країни з неналежним рівнем захисту даних на підставі стандартних договірних умов і типових договорів від 27 серпня 2021 року Федерального уповноваженого із захисту даних та інформації (доступні за адресою https://www.edoeb.admin.ch/edoeb/en/home/data-protection/handel-und-wirtschaft/transborder-data-flows.html). Застосовується Приклад 2 Випадку 2.
5.3. Передача з Великої Британії
Тією мірою, якою обробка Персональних даних підлягає захисту відповідно до UK GDPR, Сторони цим погоджуються, що така передача здійснюється на умовах Міжнародного доповнення до стандартних договірних умов Європейської Комісії для міжнародної передачі даних, доступного за адресою https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf, у редакції, ухваленій, зміненій або оновленій Офісом Уповноваженого з питань інформації Великої Британії, Парламентом або Державним секретарем.
6. Технічні та організаційні заходи
6.1. Технічні та організаційні заходи
Adapty впроваджуватиме та підтримуватиме належні технічні та організаційні заходи для забезпечення належного рівня безпеки, конфіденційності та цілісності Персональних даних, включно, якщо це доречно і застосовно, із заходами, передбаченими статтею 32 GDPR, як визначено в Додатку 2 до цієї DPA, для захисту Персональних даних від:
- випадкового чи незаконного знищення та
- втрати, зміни, несанкціонованого розкриття Персональних даних або доступу до них (кожне з яких — «Порушення безпеки персональних даних»).
6.2. Контроль за дотриманням
Adapty регулярно контролює дотримання заходів, визначених у Додатку 2 до цієї DPA.
6.3. Допомога в забезпеченні дотримання вимог
З огляду на характер Обробки та Персональні дані, доступні Adapty, Adapty допомагає Клієнтові забезпечувати виконання зобов’язань за статтями 32–36 GDPR.
7. Порушення безпеки персональних даних
7.1. Повідомлення про порушення безпеки персональних даних
Якщо Adapty стане відомо про порушення безпеки персональних даних, Adapty, тією мірою, якою це дозволено законом, без невиправданої затримки повідомить Клієнта електронною поштою після того, як Adapty або будь-якому Субобробнику стане відомо про порушення безпеки персональних даних, що стосується персональних даних Клієнта, і надасть обґрунтовану інформацію (тією мірою, якою вона обґрунтовано перебуває в межах обізнаності та/або контролю Adapty).
7.2. Співпраця
Adapty співпрацюватиме з Клієнтом, з урахуванням характеру обробки та інформації, доступної Adapty, щоб допомогти Клієнтові виконати будь-які зобов’язання щодо інформування суб’єктів даних або органів із захисту даних про порушення безпеки персональних даних відповідно до Застосовного законодавства про захист персональних даних. Adapty також вживатиме будь-яких кроків і заходів, обґрунтовано необхідних для усунення або пом’якшення наслідків порушення безпеки персональних даних, та інформуватиме Клієнта про всі суттєві обставини, пов’язані з порушенням безпеки персональних даних.
8. Аудит
8.1. Право Клієнта на проведення аудитів
Adapty надаватиме Клієнтові всю інформацію, обґрунтовано необхідну для підтвердження виконання зобов’язань, встановлених цією DPA, і сприятиме проведенню аудитів, зокрема перевірок, які здійснює Клієнт або інший уповноважений Клієнтом аудитор, щодо виконання зобов’язань за цією DPA.
8.2. Співпраця Adapty під час проведення аудиту
Adapty надаватиме Клієнтові всю інформацію, системи та персонал, обґрунтовано необхідні Клієнтові або його стороннім аудиторам для проведення такого аудиту, за умови що Клієнт:
8.2.1. повідомить за сорок п’ять (45) днів до проведення аудиту; та
8.2.2. проводитиме аудит у звичайний робочий час; та
8.2.3. вживатиме всіх розумних заходів для запобігання непотрібним перебоям у діяльності Adapty. Такі аудити повинні суворо обмежуватися інформацією, пов’язаною з обробкою персональних даних.
8.3. Параметри аудиту
Сторони за взаємною згодою погоджують обсяг, строки та тривалість аудиту або перевірки.
8.4. Конфіденційність
Усі аудити за цією DPA підлягають зобов’язанням щодо конфіденційності. Клієнт повинен надати Adapty повний звіт про аудит і не повинен передавати його третім особам, окрім своїх бухгалтерів і юридичних радників, які зобов’язані дотримуватися конфіденційності. Клієнт не повинен використовувати такий звіт про аудит для будь-яких цілей, окрім оцінки дотримання Adapty цієї DPA.
8.5. Витрати
Клієнт несе витрати на проведення такого аудиту, якщо Сторони не домовляться про інше.
8.6. Періодичність аудитів
Клієнт не може здійснювати свої права на аудит частіше ніж один раз протягом будь-яких дванадцяти (12) календарних місяців, за винятком таких випадків:
8.6.1. якщо і коли цього вимагає компетентний орган із захисту даних; або
8.6.2. якщо це необхідно у зв’язку з порушенням безпеки персональних даних, якого зазнали Adapty та/або Субобробники.
9. Конфіденційність
9.1. Adapty вживатиме всіх розумних заходів для забезпечення надійності будь-якого персоналу, уповноваженого обробляти персональні дані, і забезпечить, щоб такий персонал був пов’язаний належними зобов’язаннями щодо конфіденційності та завжди діяв відповідно до застосовного законодавства про захист даних.
10. Видалення або повернення персональної інформації
10.1 У разі (i) припинення дії цієї DPA, або (ii) письмового запиту Клієнта, або (iii) якщо Adapty більше не потрібно обробляти Персональні дані для виконання своїх зобов’язань за Умовами використання Adapty та цією DPA, або (iv) якщо Adapty відмовляється від обробки відповідно до пункту 4.4 цієї DPA, Adapty на вибір Клієнта видалить, знищить або поверне Клієнтові всі Персональні дані та знищить або поверне будь-які наявні копії, якщо тільки Застосовне законодавство про захист персональних даних не вимагає від Adapty зберігати копію Персональних даних протягом визначеного строку зберігання. Після закінчення такого строку зберігання Adapty невідкладно видалить або знищить усі залишкові Персональні дані.
Для профілів Одержувачів Adapty Mail видалення здійснюється шляхом незворотної деідентифікації Персональних даних у профілі та позначення профілю як видаленого. Отриманий у результаті запис не може обґрунтовано використовуватися Adapty, окремо або в поєднанні з іншою інформацією, доступною Adapty, для ідентифікації або повторної ідентифікації відповідного Одержувача.
Резервні копії зберігаються та перезаписуються відповідно до стандартного циклу ротації резервних копій Adapty.
10.2. Якщо Персональні дані оброблялися будь-якими Підрядниками, Adapty забезпечить, щоб у таких випадках такі Підрядники також повернули, видалили або знищили всі Персональні дані, які вони зберігають, відповідно до умов, викладених у цьому розділі.
11. Права каліфорнійських споживачів на захист приватності
11.1. «Персональна інформація», «Споживач» та інші терміни, написані з великої літери, у цьому розділі 11 мають значення, встановлені California Consumer Privacy Act of 2018, Cal. Civ. Code §§ 1798.100 et seq., з урахуванням змін, що вносяться до нього час від часу («CCPA»).
11.2. Цим погоджено, що будь-який обмін персональними даними між Сторонами здійснюється виключно з метою досягнення ділової мети, і Adapty не отримує та не обробляє жодних персональних даних як винагороду за Сервіси.
11.3. Відтак Клієнт несе виключну відповідальність за дотримання CCPA щодо використання ним Сервісів. Клієнт одноосібно відповідає і несе відповідальність за те, щоб обмін або передача персональних даних Суб’єктів даних під час надання Сервісів не становили Продажу персональних даних.
11.4. Adapty не зберігатиме, не використовуватиме та не передаватиме персональні дані в комерційних цілях, окрім надання Сервісів, визначених в Умовах використання Adapty.
12. Строк дії
12.1. Ця DPA набирає чинності з дати, зазначеної в Умовах використання Adapty. Ця DPA залишається чинною доти, доки чинними залишаються Умови використання Adapty.
13. Відокремлюваність положень
13.1. Якщо будь-яке положення цієї DPA є або буде визнано недійсним, нечинним або таким, що не може бути примусово виконане, повністю або частково, це не впливає на дійсність, чинність і можливість примусового виконання інших положень цієї DPA.
13.2. Будь-яке таке недійсне, нечинне або невиконуване положення, тією мірою, якою це дозволено законом, вважається заміненим таким дійсним, чинним і виконуваним положенням, яке найточніше відображає економічний намір і мету недійсного, нечинного або невиконуваного положення щодо його предмета, часу, місця та сфери застосування.
13.3. Зазначене правило застосовується з відповідними змінами для заповнення будь-яких прогалин, які можуть бути виявлені в цій DPA.
14. Повнота угоди
14.1. Сторони прямо заявляють, що ця DPA (включно з додатками, на які в ній є посилання) та документи, на які в ній є посилання, становлять повну угоду між Сторонами та замінюють будь-які попередні проєкти, угоди, зобов’язання, порозуміння, умови та домовленості будь-якого роду між Сторонами, незалежно від будь-якого суперечливого порядку пріоритетності, у письмовій чи іншій формі, щодо предмета цієї DPA.
15. Застосовне право та юрисдикція
15.1. DPA регулюється правом відповідно до умов, викладених в Умовах використання Adapty.
15.2. Сторони цим погоджуються з вибором юрисдикції, передбаченим у DPA, щодо будь-яких спорів або вимог, що в будь-який спосіб виникають за цією DPA, включно зі спорами щодо її існування, дійсності чи припинення, а також наслідків її недійсності.
16. Інші положення
16.1. У разі суперечності або невизначеності між:
16.1.1 будь-яким положенням DPA та будь-яким положенням Умов використання Adapty переважну силу мають положення DPA;
16.1.2. будь-яким положенням цієї DPA та будь-якими підписаними SCC переважну силу мають положення підписаних SCC.
Додаток 1. Параметри обробки даних
Частина A. Перелік Сторін
Контролер
| Найменування | Відомості про особу Клієнта, зазначені в Договорі, під час реєстрації або в окремій Формі замовлення |
|---|---|
| Адреса | Адреса Клієнта, зазначена в Договорі, під час реєстрації або в окремій Формі замовлення |
| Офіційний реєстраційний номер | Реєстраційний номер Клієнта, зазначений у Договорі або в окремій Формі замовлення |
| Ім’я, посада та контактні дані контактної особи | Представник Клієнта, зазначений у Договорі або в окремій Формі замовлення |
| Роль | Контролер |
Обробник
| Найменування | Adapty Tech Inc. |
|---|---|
| Адреса | 2093 Philadelphia Pike #9181, Claymont, DE 19703, USA |
| Ім’я, посада та контактні дані контактної особи | Kirill Potekhin, технічний директор, [email protected] |
| Роль | Обробник |
Частина B. Опис обробки
| Категорії суб’єктів даних | Кінцеві користувачі мобільного(-их) застосунку(-ів) Клієнта; відвідувачі та користувачі вебсайтів, вебворонок та інших цифрових ресурсів Клієнта, а також підписники, залучені через них; а також інші фізичні особи, контактні дані яких Клієнт правомірно надає Adapty з метою надсилання Листів через Adapty Mail. |
|---|---|
| Категорії переданих персональних даних | Категорії персональних даних, які Обробник обробляє в процесі надання Сервісів, можуть, залежно від конфігурації та вказівок Клієнта, включати такі: |
| i. Технічна інформація | Ця категорія включає технічні дані, пов’язані з пристроєм, який Кінцевий користувач використовує для доступу до цифрових послуг Клієнта, як-от мобільних ігор або застосунків. Така інформація може включати, наприклад, IP-адресу, модель пристрою, операційну систему та мовні налаштування. |
| ii. Ідентифікатори | Ця категорія включає різні ідентифікатори, пов’язані з пристроєм Кінцевого користувача або екземпляром застосунку. Такі ідентифікатори можуть включати, наприклад, ідентифікатор для рекламодавців Apple (IDFA), ідентифікатор для постачальників (IDFV), Google Advertising ID та інші подібні ідентифікатори. |
| iii. Дані про використання | Ця категорія стосується інформації про те, як Кінцеві користувачі взаємодіють із послугами Клієнта. Вона включає, зокрема, але не виключно, події в застосунку; дії Кінцевого користувача, як-от кліки на рекламу Клієнта; перегляди (покази) реклами Клієнта; часові мітки завантаження та встановлення застосунку; запуски застосунку; покупки в застосунку, включно з часом і сумою покупки; а також будь-які додаткові події чи дані про взаємодію, які Клієнт вирішує відстежувати та аналізувати залежно від особливостей своїх послуг. |
| iv. Контактна інформація | Ця категорія включає персональні дані, які безпосередньо ідентифікують окремого Кінцевого користувача або стосуються його і необхідні для комунікації чи функціональності, призначеної для конкретного користувача. Такі дані можуть включати, наприклад, адресу електронної пошти, ім’я, прізвище та іншу інформацію, яку Клієнт навмисно передає Обробникові. |
| v. Дані електронної пошти та повідомлень | Адреса електронної пошти; ім’я; дані відправника та одержувача; зміст повідомлень; метадані повідомлень; статус підписки та згоди; інформація про відписки, скарги, відмови в доставці та виключення з розсилки; дані про доставку, відкриття, кліки та залученість; а також інші атрибути, які Клієнт надає для сегментації, персоналізації та доставки Листів. |
| Передача чутливих даних (якщо застосовно) та застосовувані обмеження або гарантії, що повною мірою враховують характер даних і пов’язані з ними ризики, як-от, наприклад, суворе обмеження цілей, обмеження доступу (зокрема доступ лише для працівників, які пройшли спеціальне навчання), ведення журналів доступу до даних, обмеження подальшої передачі або додаткові заходи безпеки | Не застосовується |
| Характер обробки (обсяг обробки) | Отримання, збирання, реєстрація, організація, зберігання, вилучення, перегляд, використання, сегментація, персоналізація, виключення з розсилки, обмеження, видалення та, за задокументованими вказівками Клієнта, передача Листів і пов’язаних із ними метаданих Одержувачам. |
| Мета (цілі) обробки даних | Персональні дані можуть оброблятися лише з такими цілями: надання Сервісів відповідно до Договору. Обробник не продаватиме Персональні дані Клієнта. |
| Строк, протягом якого оброблятимуться Персональні дані, або, якщо це неможливо, критерії, що використовуються для визначення цього строку | Персональні дані оброблятимуться протягом строку дії Умов використання Adapty, а після цього — лише протягом строку, необхідного для завершення повернення або видалення відповідно до пункту 10 цієї DPA, дотримання Застосовного законодавства про захист персональних даних, завершення застосовних циклів зберігання резервних копій або зберігання анонімізованої інформації, яка не ідентифікує Суб’єкта даних і не дає обґрунтованої змоги повторно його ідентифікувати. |
Додаток 2. Технічні та організаційні заходи, включно з технічними та організаційними заходами для забезпечення безпеки даних
| Заходи щодо | Вжиті заходи (Так/Ні) | Якщо так, надайте конкретні відомості |
|---|---|---|
| Псевдонімізація та шифрування персональних даних | Так | Персональні дані шифруються під час передачі. |
| Забезпечення постійної конфіденційності, цілісності, доступності та стійкості систем і послуг обробки даних | Так | Усі дані зберігаються та обробляються в закритій внутрішній мережі, захищеній міжмережевим екраном. Дані постійно реплікуються між кількома центрами обробки даних. Створюються інкрементні резервні копії. |
| Забезпечення здатності в розумний строк відновити доступність персональних даних і доступ до них у разі фізичного або технічного інциденту | Так | Дані постійно реплікуються між кількома центрами обробки даних. Створюються інкрементні резервні копії. |
| Процеси регулярного тестування, оцінювання та аналізу ефективності технічних та організаційних заходів для забезпечення безпеки обробки | Так | Увесь код, що розгортається в робочому середовищі, проходить перевірку. Автоматизовані тести, зокрема тести безпеки, є частиною процесу розгортання. Стороннє програмне забезпечення регулярно оновлюється до останньої стабільної версії, зокрема, але не виключно, операційні системи, бази даних, кеші, IDE та сервіси оркестрації. |
| Ідентифікація та авторизація Клієнта | Так | Клієнт авторизується за допомогою адреси електронної пошти та пароля. Усі паролі зберігаються в зашифрованому вигляді з використанням випадкової солі. |
| Захист даних під час передачі | Так | Усі дані передаються в зашифрованому вигляді з використанням сертифікатів SSL/TLS. |
| Захист даних під час зберігання | Так | Усі дані зберігаються та обробляються в закритій внутрішній мережі, захищеній міжмережевим екраном. |
| Забезпечення фізичної безпеки місць, де обробляються персональні дані | Так | Для зберігання та обробки даних використовуються центри обробки даних рівня Tier 1. |
| Забезпечення журналювання подій | Так | Використовується розподілена система журналювання, яка зберігає дані за міжмережевим екраном. |
| Забезпечення конфігурації системи, зокрема конфігурації за замовчуванням | Так | Конфігурація системи, зокрема конфігурація за замовчуванням, перевіряється та постійно відстежується. Стандартні порти та паролі змінюються. |
| Управління ІТ, ІТ-врядування та ІТ-безпека | Так | Обробник впроваджує низку заходів безпеки інфраструктури для захисту інформації Клієнта від несанкціонованого доступу, втрати, зміни, вірусів, троянів та іншого подібного шкідливого коду. Ці заходи включають: • Регулярне оновлення операційних систем, апаратного та стороннього програмного забезпечення для усунення вразливостей безпеки. • Використання міжмережевих екранів і систем запобігання вторгненням (IPS) для обмеження доступу до серверів та їх захисту. • Забезпечення захищених комунікацій віддаленого доступу з використанням багатофакторної автентифікації. • Щоденне резервне копіювання даних Клієнта за ротаційним графіком. |
| Сертифікація/гарантування процесів і продуктів | Так | Так. Adapty має атестацію SOC 2 Type II, що охоплює операційну ефективність засобів контролю Adapty у сферах безпеки, доступності та конфіденційності. Чинний звіт SOC 2 Type II надається Клієнтам і потенційним Клієнтам на запит на умовах угоди про нерозголошення. |
| Забезпечення мінімізації даних | Так | Збирання даних обмежується персональною інформацією, необхідною для надання Сервісів. Персональна інформація не використовується для цілей, не визначених в Угоді про обробку даних і Договорі, та зберігається лише протягом часу, необхідного для досягнення таких цілей. |
| Забезпечення якості даних | Так | Клієнт може запросити зміну або видалення даних Кінцевого користувача. |
| Забезпечення обмеженого зберігання даних | Так | Персональні дані зберігаються відповідно до договірних умов, погоджених із Клієнтом, і відповідно до вимог застосовного законодавства. |
| Забезпечення підзвітності | Так | Персональні дані логічно пов’язані з конкретним Клієнтом і не надаються спільно непов’язаним між собою клієнтам. Події та журнали аудиту, пов’язані з доступом до платформи та систем, реєструються, відстежуються та періодично переглядаються. |
| Забезпечення переносимості та видалення даних | Так | Обробник забезпечує переносимість і видалення даних на письмовий запит Клієнта з урахуванням умов Договору та застосовного законодавства. |
Додаток 3. Перелік субобробників
Клієнт надав дозвіл на залучення таких додаткових обробників:
| Найменування | Адреса | Опис обробки |
|---|---|---|
| Amazon Web Services, Inc. | 410 Terry Avenue North, Seattle, WA 98109-5210, USA | Інфраструктура хмарного хостингу та інфраструктура доставки електронної пошти, включно з передачею електронних Листів та обробкою метаданих, пов’язаних із доставкою. |
| OVH US, LLC | 11480 Commerce Park Dr, Ste 500, Reston, VA 20191-1556, USA | Інфраструктура хмарного хостингу |
| Cloudflare, Inc. | 101 Townsend St, San Francisco, CA 94107, USA | Інфраструктура доставки та кешування контенту |
Додаток 4. Умови SCC
Положення Стандартних договірних умов ЄС, викладені в додатку до Імплементаційного рішення Комісії (ЄС) 2021/914 від 4 червня 2021 року («SCC ЄС»), включаються до Угоди про обробку даних шляхом посилання в такий спосіб:
1. Застосовний модуль
Модулем, застосовним до передачі Персональних даних Контролера, що походять з ЄС, за Договором є Модуль 2 — «Від контролера до обробника».
2. Обрані варіанти
У випадках, коли Імплементаційне рішення Комісії (ЄС) 2021/914 передбачає можливість вибору варіантів у SCC ЄС, обрано такі варіанти:
| Положення SCC | Обраний варіант / уточнення |
|---|---|
| Позиція 7: Положення про приєднання | Факультативне положення про приєднання не застосовується. |
| Позиція 9: Залучення субобробників | Варіант 2. Строк становитиме 30 робочих днів. |
| Позиція 11: Засоби правового захисту / компенсація | Факультативне положення не застосовується. |
| Пункт 17: Застосовне право | Варіант 1. Право Ірландії. |
| Розділ 18: Вибір суду та юрисдикції | Суди Ірландії. |
3. Додаток IA до SCC вважається заповненим таким чином:
- Експортером даних є Клієнт, а дані експортера даних збігаються з даними, зазначеними в Додатку 1 (Частина A) до DPA.
Діяльність, пов’язана з даними, що передаються за SCC: передача Персональних даних експортером даних імпортерові даних, щоб імпортер даних міг обробляти такі Персональні дані від імені експортера даних і надавати Сервіси відповідно до Умов використання Adapty. - Імпортером даних є Adapty, а дані Adapty збігаються з даними, зазначеними в Додатку 1 (Частина A) до DPA.
Діяльність, пов’язана з даними, що передаються за SCC: отримання Персональних даних від Експортера даних з метою надання Сервісів відповідно до Умов використання Adapty.
4. Додаток IB до SCC збігатиметься з Додатком 1 до DPA, і, крім того, для заповнення Додатка IB включено таку інформацію: передача здійснюється безперервно.
5. Додаток IC заповнюється таким чином: Наглядовий орган Республіки Ірландія.
6. Додаток II до SCC збігатиметься з Додатком 2 до DPA.
7. Додаток III до SCC збігатиметься з Додатком 3 до DPA.
Останнє оновлення:
