Угода про обробку даних (DPA)

Цей текст є перекладом для зручності. У разі розбіжностей переважну силу має англійський текст, розміщений за адресою /dpa/.

Мета та використання даних

EuroVPS завжди описуватиме характер і мету будь-якого збирання, обробки чи використання даних сторонам, яких стосується збирання, обробка або інше використання цих даних. У межах клієнтських відносин використання даних описується відповідно до Угоди про захист даних між EuroVPS і Клієнтом.

Обробка здійснюється в дата-центрі EuroVPS, який обирає Клієнт: Афіни або Амстердам (ЄС) чи Торонто (Канада, з урахуванням рішення Європейської Комісії про адекватність). Будь-яке інше передавання даних потребує попередньої згоди осіб/організацій, пов’язаних із цими даними, і здійснюється лише за дотримання Спеціальних умов, визначених у статті 44 (та подібних статтях) Загального регламенту про захист даних (GDPR).

Забезпечення якості

Поряд із дотриманням усіх положень, викладених тут, ми також дотримуватимемося встановлених законом зобов’язань відповідно до статей 28 до 33 GDPR. Ми забезпечимо, зокрема, виконання таких вимог:

Керівник із захисту даних призначається на посаду Уповноваженого із захисту даних (Data Protection Officer). Ми негайно повідомлятимемо заінтересованих осіб про будь-яку зміну на цій посаді. Контактні дані Уповноваженого із захисту даних будуть легко доступні на нашому вебсайті.

Ми дотримуватимемося суворих протоколів конфіденційності та забезпечимо, щоб доступ до процесу збирання даних мали лише певні працівники. Ці працівники вже відповідатимуть вимогам конфіденційності та будуть обізнані з безпекою захисту даних. Будь-хто, хто має доступ до персональних даних, зможе обробляти їх лише відповідно до вказівок осіб, яких стосується використання цих даних (включно з викладеними в цьому документі), якщо інше не вимагається законом.

За потреби від осіб/організацій, чиї дані ми збираємо, обробляємо або іншим чином використовуємо, може вимагатися співпраця з Наглядовим органом. Від нас також може вимагатися співпраця з ним на запит.

Ці особи/організації негайно інформуватимуться про будь-які перевірки чи заходи Наглядового органу, якщо вони стосуються збирання, обробки або іншого використання їхніх даних. Це застосовується, якщо щодо нас проводиться розслідування будь-яких порушень, пов’язаних з обробкою персональних даних.

Якщо будь-хто з наших Клієнтів стане предметом перевірки Наглядового органу у зв’язку з правопорушенням, кримінальним провадженням або скаргою заінтересованої сторони, ми докладемо всіх зусиль, щоб підтримати його в міру наших можливостей.

Ми регулярно контролюватимемо всі внутрішні процеси, а також технічні та організаційні заходи, щоб забезпечити відповідність усього чинному законодавству про захист даних і захист прав усіх заінтересованих сторін.

Документація, що підтверджує вжиті нами з цією метою заходи, надаватиметься всім заінтересованим сторонам на запит.

Технічні та організаційні заходи відповідно до статті 32 GDPR

До початку надання будь-якої послуги, що потребує збирання/обробки будь-яких даних, ми представимо заінтересованим особам технічні та організаційні заходи, запроваджені для захисту цих даних. Будь-яке подальше використання цих даних буде обмежене цілями, узгодженими між EuroVPS і заінтересованою стороною, і ці заходи та цілі становитимуть невід’ємну частину умов надання послуг, обов’язкових для EuroVPS і заінтересованої сторони. Будь-які зміни цих заходів або цілей обговорюватимуться та набиратимуть чинності лише після взаємної домовленості між EuroVPS і заінтересованою стороною.

Ми вживатимемо необхідних заходів безпеки відповідно до всіх застосовних статей GDPR. Усі заходи гарантуватимуть рівень захисту даних, що відповідає рівню ризику в кожній ситуації, зокрема щодо конфіденційності, цілісності, доступності та стійкості наявних систем. Під час вибору цих заходів враховуватимуться вартість впровадження, обсяг і мета зібраних даних, стан технологій, а також потенційний ризик для прав і свобод особи/організації та їхніх даних.

Ми можемо надалі розвивати технічні та організаційні заходи, вжиті для захисту даних, які ми збираємо, включно із впровадженням альтернативних заходів, за умови що вони не знижують рівень безпеки наявних технічних та організаційних заходів. Усі суттєві зміни документуватимуться.

Виправлення, обмеження та видалення даних

Ми не маємо права видаляти дані або обмежувати їх обробку від імені третіх осіб. Якщо до нас звернуться з питанням щодо збирання даних, ми негайно перенаправимо звернення заінтересованій стороні.

Ми без зволікання виконуватимемо будь-які запити щодо «права на забуття», політик видалення, виправлення даних, перенесення та розкриття.

Субпідряд

Загалом ми не передаємо зібрані дані жодним третім особам, але якщо ми користуємося зовнішньою послугою, яка може мати доступ до таких даних, ми укладемо юридично обов’язкові договірні домовленості та впровадимо необхідні заходи, щоб гарантувати захист і безпеку зібраних нами даних.

Права на перевірку

Особи/організації, чиї дані ми зібрали, матимуть право проводити перевірки після консультації з нами або доручати їх проведення інспекторам у конкретних окремих випадках. Вони матимуть право перевіряти дотримання цього документа шляхом вибіркових перевірок, про які потрібно повідомити за розумний строк.

Ми забезпечимо можливість перевірки дотримання нами зобов’язань, передбачених статтею 28 GDPR. Ми надамо заінтересованим особам/організаціям відповідну інформацію на запит, а також документацію щодо впровадження наявних технічних та організаційних заходів для захисту їхніх даних.

Документація щодо заходів, які стосуються (але не обмежуються) відносин з особою/організацією, чиї дані ми збираємо, може надаватися відповідно до затверджених кодексів поведінки та сертифікацій, передбачених відповідними статтями GDPR. Документація може також надаватися щодо звітів, включно з підготовленими незалежними органами (як-от Уповноважений із захисту даних, відділ ІТ-безпеки, аудитор якості тощо), разом із відповідною сертифікацією відділу ІТ-безпеки або аудитом захисту даних.

Ми можемо вимагати додаткову плату для забезпечення перевірки та покриття витрат на надання документації та/або сертифікацій.

Повідомлення у разі порушення

Ми дотримуватимемося наших зобов’язань щодо безпеки персональних даних і будь-яких вимог щодо порушень захисту даних, оцінок впливу та попередніх консультацій, зазначених у статтях 32 до 36 GDPR.

Ці зобов’язання включають:

1. Забезпечення достатнього рівня захисту технічними та організаційними заходами, що враховують різні обставини та цілі обробки даних, а також імовірність і тяжкість будь-яких потенційних порушень закону через вразливості безпеки. Також буде вжито заходів для якнайшвидшого виявлення будь-яких порушень закону.
2. Ми негайно повідомлятимемо заінтересовані сторони про будь-які виявлені порушення щодо персональних даних.
3. За потреби ми допомагатимемо заінтересованим сторонам виконувати їхні власні зобов’язання щодо інформування постраждалих сторін. Ми також нагадуватимемо заінтересованим сторонам про їхні зобов’язання в такій ситуації.
4. Ми допомагатимемо заінтересованим сторонам у проведенні оцінки впливу на захист даних.
5. Ми допомагатимемо заінтересованим сторонам перед їхньою консультацією з наглядовим органом.
6. Ми можемо стягувати плату за надання підтримки в цьому питанні, яка не входить до послуг підтримки, що ми зазвичай пропонуємо нашим клієнтам, і яка не є наслідком наших власних недоліків.

Надання вказівок

Будь-які вказівки, надані нам заінтересованими сторонами, мають бути негайно підтверджені зазначеною стороною в письмовій формі.

Ми негайно повідомимо заінтересовану сторону, якщо вважатимемо, що надана вказівка порушує законодавство про захист даних. У такому разі ми матимемо право призупинити виконання такої вказівки, доки її не буде змінено так, щоб вона могла вважатися такою, що відповідає законодавству про захист даних.

Видалення та повернення персональних даних

Ми не створюватимемо жодних копій або дублікатів персональних даних без попереднього відома осіб/організацій, чиї дані ми збираємо, за винятком резервних копій, необхідних для належної обробки даних, і даних, необхідних для виконання різних встановлених законом зобов’язань.

Ми знищимо всі документи та набори даних, що стосуються конкретної особи/організації, відповідно до законодавства про захист даних після завершення відносин із надання послуг з цією особою/організацією або на її запит. Ми також надамо особі/організації будь-яку інформацію щодо характеру та часу видалення цих даних.

Ми зберігатимемо будь-яку документацію, яка може підтвердити, що обробка даних здійснювалася належним чином, після завершення відносин із надання послуг відповідно до застосовних строків зберігання. Ми можемо бути звільнені від цього обов’язку, передавши таку документацію заінтересованим сторонам після завершення відносин із надання послуг.