Договір про обробку персональних даних за GDPR — проєкт

1. Сторони

1.1 Контролер персональних даних

Контролер персональних даних: бізнес-клієнт, який доручає Computer Repair Twente надання послуг, під час яких можуть оброблятися персональні дані.

• назва компанії;
• юридична форма;
• адреса;
• поштовий індекс і місце;
• KVK номер;
• номер платника ПДВ, якщо застосовно;
• контактна особа;
• адреса електронної пошти;
• номер телефону.

Далі іменований: Контролер персональних даних або клієнт.

1.2 Обробник персональних даних

Обробник персональних даних: Computer Repair Twente, розташований в Enschede.

• Назва компанії: Computer Repair Twente;
• електронна пошта: contact@computerrepairtwente.nl;
• телефон / WhatsApp: 06-55734000;
• Веб сайт: www.computerrepairtwente.nl.

Далі іменований: Обробник або Computer Repair Twente.

1.3 Сторони разом

Контролер і обробник персональних даних разом іменуються сторонами.

2. Призначення цієї Угоди

2.1 Домовленості щодо персональних даних

Цей договір про обробку персональних даних установлює умови, на яких Computer Repair Twente обробляє персональні дані від імені контролера.

2.2 GDPR

Цей договір призначений для виконання зобов’язань за GDPR тією мірою, якою Computer Repair Twente виступає обробником персональних даних.

2.3 На додаток до інших домовленостей

Цей договір про обробку персональних даних діє додатково до комерційної пропозиції, договору, загальних умов, SLA, умов підтримки або інших письмових домовленостей сторін. При суперечностях його положення мають пріоритет у частині обробки персональних даних у ролі обробника.

3. Роль сторін

3.1 Контролер персональних даних

Клієнт є контролером персональних даних, коли визначає:

• які обробляються персональні дані;
• Чому ці персональні дані обробляються;
• скільки потрібно довга ці дані;
• хто може мати доступ;
• яких суб’єктів даних це стосується;
• які законні підстави застосовуються;
• яких інструкцій має дотримуватися Computer Repair Twente.

3.2 Обробник персональних даних

Computer Repair Twente є обробником персональних даних, коли ми обробляємо їх виключно за дорученням та інструкціями клієнта.

3.3 Не є обробником даних при веденні власної документації

Computer Repair Twente не є обробником даних при веденні власної клієнтської документації, виставленні рахунків, підготовці комерційних пропозицій, керуванні дебіторською заборгованістю, маркетингу, захисті власних систем або виконанні законних зобов’язань. Для цих операцій Computer Repair Twente є самостійним контролером персональних даних. Ці ситуації регулюються нашою заявою про конфіденційність.

4. Предмет і тривалість обробки

4.1 Предмет

Обробка стосується персональних даних, які Computer Repair Twente може обробляти під час ІТ-послуг для бізнесу, підтримки, керування, обслуговування, забезпечення безпеки, резервного копіювання, відновлення, перенесення, усунення інцидентів або подібних робіт.

4.2 Тривалість

Цей договір діє протягом строку надання послуг, за яких Computer Repair Twente обробляє персональні дані за дорученням клієнта.

4.3 Завершення

Обробка закінчується, коли:

• закінчення служби;
• договір припиняється;
• не потрібні персональні дані;
• клієнт письмово просить про видалення або повернення;
• законодавчий обов’язок зберігання або законна підстава вимагає тривалішого зберігання.

5. Природа і призначення обробки

5.1 Природа обробки

Computer Repair Twente може обробляти персональні дані, наприклад, такими способами:

• переглядати;
• зберігати тимчасово;
• копіювання;
• передача;
• відновлення;
• захищати;
• створювати резервні копії;
• видалення;
• Аналіз для вирішення помилок;
• налаштовувати системи;
• бути обробленими в супровідному спілкуванні;
• тимчасово стає видимим під час дистанційного забезпечення.

5.2 Цілі

Обробка відбувається тільки в обсязі, необхідному для надання послуг замовнику.

Цілі можуть включати, зокрема:

• ІТ-підтримка;
• управління робочими місцями;
• управління системою;
• управління користувачами;
• підтримка облікових записів;
• підтримка електронної пошти;
• резервне копіювання та відновлення;
• відновлення даних;
• міграція даних;
• забезпечення безпеки;
• вирішення інцидентів;
• обслуговування;
• усунення несправностей;
• документування робіт із підтримки;
• комунікація повідомлень про підтримку;
• виконання договору або СЛА.

6. Категорії суб’єктів персональних даних

Залежно від замовлення можуть оброблятися персональні дані, зокрема, таких осіб:

• персонал замовника;
• дирекція або керівництво клієнта;
• користувачів систем замовника;
• контактні особи замовника;
• клієнтів замовника;
• постачальників замовника;
• відвідувачі або ділові контакти клієнта;
• інші особи, дані яких містяться в системах замовника, файлах або резервних копіях.

Точні категорії можуть різнитися за клієнтами або замовленнями й можуть бути зазначені в додатку.

7. Види персональних даних

Залежно від замовлення Computer Repair Twente може отримувати доступ або виконувати обробку, зокрема, такого:

• ім'я;
• робоча адреса електронної пошти;
• приватну адресу електронної пошти, якщо будь-який, в системах;
• номер телефону;
• ім'я користувача;
• обліковий запис користувача;
• функція або відділ;
• права доступу;
• системні дані та дані журналів;
• IP адреси;
• назва пристрою;
• серійні номери;
• дані про робочі місця;
• налаштування електронної пошти;
• Файли та документи;
• резервні копії;
• календар або контактні дані;
• повідомлення про помилки;
• історія підтримки;
• Технічні дані конфігурації;
• повідомлення про безпеку;
• видимі дані під час дистанційного забезпечення.

7.1 Спеціальні персональні дані

Computer Repair Twente не ставить за мету обробку особливих категорій персональних даних. Однак такі дані можуть бути видимі у файлах, листах, резервних копіях або системах клієнта. Клієнт залишається відповідальним за обмеження, захист або видалення таких даних, коли вони не потрібні для замовлення.

7.2 Кримінальні дані

Обробка даних про кримінальні правопорушення не є метою послуг Computer Repair Twente. Якщо такі дані випадково видимі в системах або файлах клієнта, Computer Repair Twente обробляє їх лише необхідною мірою в межах технічного завдання та за інструкціями клієнта.

8. Інструкції контролера персональних даних

8.1 Лише за інструкцією

Computer Repair Twente обробляє персональні дані виключно на підставі письмових або підтверджуваних інструкцій контролера персональних даних, якщо законне зобов’язання не вимагає іншого.

8.2 Підтверджувані інструкції

Інструкції можна надати за допомогою:

• договір;
• пропозиція;
• e-mail;
• WhatsApp;
• звернення до підтримки;
• підтвердження замовлення;
• СЛА;
• запит на підтримку;
• усна вказівка, яка згодом підтверджується у спосіб, що можна довести;
• документація або домовленість про роботу.

8.3 Нелегальні інструкції

Якщо Computer Repair Twente вважає, що інструкція суперечить GDPR або іншому законодавству, Computer Repair Twente повідомить замовника цього, наскільки це можливо.

8.4 Без самостійного використання

Computer Repair Twente не використовує оброблювані від імені клієнта персональні дані для власних цілей, крім випадків, коли це дозволено законом або необхідно для власної документації, доказів, безпеки чи законних зобов’язань.

9. Конфіденційність

9.1 Обов’язок дотримуватися конфіденційності

Computer Repair Twente дотримується конфіденційності персональних даних і конфіденційної інформації клієнта.

9.2 Особи, що перебувають під відповідальністю обробника даних

Computer Repair Twente гарантує, що особи, які обробляють персональні дані під її відповідальністю, пов’язані обов’язком конфіденційності або відповідним законним чи договірним обов’язком нерозголошення.

9.3 Винятки

Обов'язок конфіденційності не застосовується, де розкриття вимагається законом, за наказом суду або компетентним контролюючим органом.

10. Заходи безпеки

10.1 Належні заходи

Computer Repair Twente приймає відповідні технічні та організаційні заходи щодо захисту персональних даних від втрати, несанкціонованого доступу, зміни, розкриття або неправомірної обробки.

10.2 Приклади заходів

Залежно від послуг і технічних можливостей заходи можуть включати:

• міцні паролі;
• MFA, де можливо;
• обмежений доступ на необхідній основі;
• безпечні пристрої;
• безпечні з'єднання, де доступні;
• зашифрована передача при необхідності;
• оновлення програмного забезпечення та патчування де можливо;
• антивірусні або охоронні заходи, де це доцільно;
• ведення журналів, де доречно;
• ретельне зберігання інформації про замовника;
• обмеження доступу до інформації служби підтримки;
• угод про конфіденційність;
• безпечне видалення даних, де це можливо;
• використання надійних інструментів та постачальників;
• Фізичний захист обладнання та робочих місць.

10.3 Немає абсолютної гарантії безпеки

Жодна система не є цілком вільною від ризиків. Computer Repair Twente не гарантує повного запобігання всім формам несанкціонованого доступу, витокам даних, шкідливому ПЗ, зламу, людським помилкам чи системним збоям.

10.4 Залежність від ІТ-середовища клієнта

Безпека також залежить від середовища клієнта, наявних налаштувань, політики паролів, керування правами, оновлень, поведінки користувачів, мережевого захисту та дотримання клієнтом рекомендацій.

11. Субобробники персональних даних

11.1 Залучення

Computer Repair Twente може залучати субобробників персональних даних, коли це необхідно або бажано для надання послуг.

Прикладами субобробників даних або сторонніх сервісів можуть бути:

• хостинг-провайдери
• хмарних постачальників;
• провайдери електронної пошти;
• дистанційні інструменти підтримки;
• послуги резервного копіювання;
• бухгалтерське або адміністративне програмне забезпечення;
• програмне забезпечення безпеки;
• системи обліку звернень або документації;
• постачальників ІТ-інструментів;
• спеціалізовані ІТ-партнери.

11.2 Належні домовленості

Computer Repair Twente за потреби забезпечує належні домовленості із субобробниками про захист персональних даних.

11.3 Перелік за запитом

За запитом Computer Repair Twente може надати огляд відповідних субпроцесорів, які використовуються для обслуговування клієнтів.

11.4 Заперечення

Якщо клієнт заперечує проти конкретного субобробника, він повідомляє про це письмово з обґрунтуванням. Потім сторони обговорюють розумне рішення.

12. Передача даних за межі Європейської економічної зони

12.1 Обробка в ЄЕЗ

Computer Repair Twente прагне за можливості обробляти персональні дані в межах Європейської економічної зони.

12.2 Зовнішні послуги

Деякі зовнішні послуги або постачальники можуть обробляти персональні дані за межами Європейської економічної зони.

12.3 Належні гарантії

Де персональні дані обробляються за межами Європейської економічної зони, це буде зроблено тільки якщо є відповідна підстава або гарантія, в обсязі, необхідний законом.

13. Витоки даних та інциденти безпеки

13.1 Повідомлення клієнта

Якщо Computer Repair Twente виявляє або обґрунтовано підозрює порушення безпеки персональних даних клієнта, Computer Repair Twente повідомляє про це контролера персональних даних без невиправданої затримки.

13.2 Інформація в повідомленні

Де доступний, Computer Repair Twente надає відповідну інформацію, такі як:

• природа інциденту;
• дата або ймовірна дата;
• системи, що стосуються;
• тип персональних даних;
• категорії суб'єктів даних;
• ймовірна причина;
• заходи, вжиті або запропоновані;
• можливі наслідки;
• контактна особа для додаткових запитань.

13.3 Обов’язок повідомити наглядовий орган

Контролер персональних даних залишається відповідальним за оцінку того, чи потрібно повідомляти про витік даних до Autoriteit Persoonsgegevens або суб’єктам даних, якщо письмово не погоджено інше.

13.4 Співпраця

Computer Repair Twente надає клієнту розумне сприяння в оцінці та врегулюванні витоку даних у межах послуг і розумних можливостей.

13.5 Вартість

Якщо витік даних чи інцидент спричинені обставинами поза відповідальністю Computer Repair Twente, може стягуватися плата за розслідування, відновлення, звітність або підтримку.

14. Права суб'єктів даних

14.1 Підтримка

Computer Repair Twente надає клієнту розумне сприяння щодо запитів суб’єктів даних тією мірою, якою вони стосуються персональних даних, що обробляються Computer Repair Twente як обробником.

Подумайте про запити:

• доступ;
• корекція;
• видалення;
• обмеження;
• переносимість;
• заперечення;
• відкликання згоди.

14.2 Відповідальність клієнтів

Клієнт несе відповідальність за оцінку та реагування на запити суб’єктів даних.

14.3 Пересилання запиту

Коли контакти суб'єкта даних Computer Repair Twente безпосередньо про дані, оброблені від імені замовника, Computer Repair Twente буде переадресувати запит до замовника, якщо інше не потрібно.

15. Сприяння виконанню зобов’язань за GDPR

Computer Repair Twente надає клієнту розумне сприяння у виконанні зобов’язань за GDPR, пов’язаних з обробкою даних Computer Repair Twente. Це може включати інформацію про заходи безпеки, допомогу при витоках даних, сприяння реалізації прав суб’єктів даних, інформацію для DPIA, відомості про субобробників, а також припинення обробки або видалення даних.

Ця підтримка повинна застосовуватися до того, що вона є розумною, технічно можливою і в рамках узгодженого сервісу. Якщо робота поза нормальним обсягом, витрати можуть бути нараховані.

16. Аудит і контроль

16.1 Обґрунтована перевірка

Контролер персональних даних може обґрунтовано запитувати інформацію для перевірки дотримання Computer Repair Twente цього договору про обробку персональних даних.

16.2 Аудит запит

Аудит або перевірка можливі лише після попереднього письмового погодження мети, обсягу, графіка, конфіденційності, безпеки та вартості.

16.3 Обмеження

Аудити не повинні необґрунтовано порушувати діяльність, безпеку, конфіденційність інших клієнтів або конфіденційність інформації Computer Repair Twente.

16.4 Вартість

Вартість проведення перевірок, проведення великих інформаційних запитів або зовнішніх аудиторів здійснюється замовником, якщо інше не було узгоджено з письмовим записом.

17. Терміни зберігання

17.1 За інструкцією

Computer Repair Twente зберігає персональні дані, що обробляються від імені клієнта, не довше необхідного для замовлення або згідно з вказівками клієнта.

17.2 Передбачені законом обов’язки зі зберігання

Деякі дані можуть зберігатися довше, коли необхідно для юридичних зобов'язань, адміністрування, доказів, спорів, безпеки або власного бізнесу.

17.3 Дані служби підтримки та журнали

Історія підтримки, звернення, журнали та документація можуть зберігатися стільки, скільки потрібно для обслуговування, гарантії, безпеки, обліку або доказів, якщо інше не погоджено.

18. Кінець обробки

18.1 Вилучити або повернути

Після припинення обслуговування, Computer Repair Twente видалити або повернути персональні дані, оброблені від імені замовника, залежно від інструкцій замовника та технічних можливостей.

18.2 Винятки

Видалення або повернення можуть не виконуватися, якщо:

• діють установлені законом обов’язки зберігання;
• обов’язкові дані для адміністрування;
• дані обов’язкові для цілей доказів;
• дані включено до резервних копій, з яких неможливо одразу виконати вибіркове видалення;
• видалення технічно неможливе або непропорційне;
• Довгий зберігання необхідно для забезпечення безпеки або врегулювання спорів.

18.3 Резервні копії

Дані резервного копіювання можуть залишатися присутніми під час нормального циклу резервного копіювання, доки він автоматично перезаписано або видалено.

19. Відповідальність

19.1 Загальні обмеження

Відповідальність Computer Repair Twente обмежена, як включена в загальні умови, пропозиція, договір або конкретні письмові угоди.

19.2 Немає відповідальності за доручення замовника

Computer Repair Twente не відповідає за шкоду внаслідок вказівок клієнта, неправильних даних, відсутньої інформації, небезпечного середовища клієнта, недостатнього керування доступом, слабких паролів, відсутності резервних копій або дій працівників чи третіх сторін клієнта.

19.3 Без відповідальності за непрямі збитки

Computer Repair Twente не відповідає за непряму шкоду, побічні збитки, простій бізнесу, втрату виручки, втрачену вигоду, репутаційну шкоду, втрату даних або вимоги третіх осіб тією мірою, якою це дозволено законом.

20. Форс-мажор

Computer Repair Twente не відповідає за неналежне виконання внаслідок форс-мажору, включно зі збоями в постачальників, у хмарних сервісах, інтернеті, кібератаками, перебоями електропостачання, хворобою, державними заходами, транспортними проблемами або іншими обставинами поза розумним контролем Computer Repair Twente.

21. Конфіденційність після припинення

Обов’язки щодо конфіденційності зберігаються й після припинення послуг або цього договору про обробку персональних даних, доки інформація має конфіденційний характер.

22. Зміни

Зміни до цієї угоди про обробку даних є чинними лише за письмового підтвердження обома сторонами.

Computer Repair Twente може змінювати цей проєкт документа на сайті при зміні законодавства, послуг, заходів безпеки або ведення бізнесу. Для вже підписаних договорів діє підписана версія, якщо сторони письмово не домовляться про інше.

23. Застосовне право

До цієї угоди про обробку даних застосовується право Нідерландів. Спори передаються компетентному суду відповідно до основних домовленостей сторін, якщо імперативне право не передбачає інше.

24. Підписання

Цей проєкт договору стає обов’язковим лише після заповнення й підписання або письмового підтвердження обома сторонами.

Додаток 1 — Опис обробки

Цей додаток можна заповнити окремо для кожного клієнта.

• ІТ-підтримка;
• управління робочими місцями;
• управління системою;
• дистанційне обслуговування;
• обслуговування;
• резервне копіювання та відновлення;
• відновлення даних;
• міграція даних;
• забезпечення безпеки;
• вирішення інцидентів;
• IT-послуги для бізнесу.

Категорії суб’єктів персональних даних
Співробітники, користувачі, контактні особи, клієнти замовника, постачальники та інші особи, дані яких знаходяться в системах замовника.

Види персональних даних
Ім'я, адреса електронної пошти, номер телефону, облікові записи користувачів, дані системи, дані журналу, файли, резервні копії, технічні дані, дані зв'язку та права доступу.

Термін зберігання
Відповідно до замовлення, договору або вказівок клієнта, якщо не діють передбачені законом обов’язки щодо зберігання або технічні обмеження.

Додаток 2 — Заходи безпеки

Залежно від послуг і технічних можливостей можуть застосовуватися, зокрема, такі заходи:

• міцні паролі;
• MFA, де можливо;
• обмежений доступ;
• безпечні з'єднання;
• зашифрована передача, де є;
• патчування і оновлення, де доречно;
• антивірусні / охоронні інструменти, де це доречно;
• ведення журналів, де доречно;
• ретельне зберігання інформації про замовника;
• конфіденційність;
• безпека власних пристроїв;
• обмеження доступу до інформації служби підтримки;
• безпечне утилізація де можливо.

Додаток 3 — Субобробники персональних даних

Якщо застосовно, тут може бути наведено перелік субобробників або їхніх категорій, наприклад:

• провайдер хостингу;
• e-mail постачальника;
• хмарний постачальник;
• програмне забезпечення дистанційного забезпечення;
• резервне копіювання;
• програмне забезпечення бухгалтерського обліку;
• система документації або обліку звернень;
• програмне забезпечення безпеки;
• спеціалізований ІТ-партнер.

Схожі правові та ділові сторінки

• Повідомлення про конфіденційність
• Загальні умови
• SLA та домовленості про підтримку
• Порядок обслуговування
• Правила гарантії та обслуговування
• Порядок подання скарг