Відповідно до Умов надання послуг («Умови») Smartsupp надає Послугу, як визначено в Умовах, вам як користувачу Послуги. Відносини між Smartsupp і користувачем ґрунтуються на онлайн-реєстрації користувача або на письмовому чи електронному договорі, до якого додаються Умови, що разом утворюють угоду між вами і Smartsupp («Угода»). Ця додаткова угода про обробку даних (далі «DPA») є невід’ємною частиною Угоди.

Терміни, написані з великої літери, мають значення, визначені в Умовах, або в будь-якому іншому додатку, на який посилаються в Умовах, якщо інше не зазначено в цьому DPA.

Smartsupp укладає цей DPA відповідно до чинного законодавства про захист даних, зокрема Регламенту 2016/679 Європейського Парламенту і Ради про захист фізичних осіб у зв’язку з обробкою персональних даних та про вільний рух таких даних («GDPR»), Закону про захист даних 2018 року або CCPA/CPRA, а також інших застосовних законів про конфіденційність, дія яких поширюється на надання Послуги за Угодою («чинні закони про конфіденційність»).

Якщо в цьому DPA визначено, що Smartsupp діє як обробник персональних даних, це поняття має значення «обробник» відповідно до GDPR або еквівалентний термін, що застосовується за чинними законами про конфіденційність (наприклад, «Постачальник послуг» згідно з CCPA). Якщо в цьому DPA зазначено, що ви дієте як контролер персональних даних, це означає «контролер» за GDPR або відповідний термін за чинними законами про конфіденційність (наприклад, «Бізнес» згідно з CCPA).

Для зручності ми поділили цю статтю на такі розділи:

1.1 Обробка персональних даних як обробник. Smartsupp може обробляти персональні дані від вашого імені під час надання Послуги, у такому разі Smartsupp виступає обробником персональних даних (або субобробником) щодо користувача.

Дії Smartsupp із обробки персональних даних випливають з реєстрації, Угоди чи документованих запитів користувача під час користування Послугою через платформу за посиланням https://www.smartsupp.com («Платформа»).

1.2 Дозвіл на обробку персональних даних. Користувач надає Smartsupp дозвіл на обробку персональних даних суб’єктів даних, наданих користувачем у рамках Послуги, згідно з цим DPA. Smartsupp обробляє персональні дані для користувача лише відповідно до задокументованих інструкцій користувача і лише в межах, необхідних для належного виконання своїх зобов’язань за Угодою.

1.3 Відповідальність користувача. Оскільки Smartsupp виступає обробником персональних даних, користувач є контролером і несе відповідальність за виконання всіх зобов’язань, пов’язаних із обробкою персональних даних. Це стосується належного інформування суб’єктів даних про обробку, отримання згоди на обробку (за потреби), а також реагування на запити суб’єктів даних щодо реалізації їх прав (наприклад, право на інформацію, доступ, виправлення, видалення, обмеження обробки, заперечення тощо). Smartsupp допомагає користувачу виконувати ці зобов’язання через Платформу або у відповідь на задокументовані запити користувача. Smartsupp не несе відповідальності за точність і законність дій користувача, зокрема за будь-які дії, що можуть порушувати чинне законодавство про конфіденційність або інші закони країни, з якої ви використовуєте Послугу.

2.1 Предмет обробки. Предметом обробки персональних даних, перелічених нижче, Smartsupp є надання Послуги згідно з Угодою, зокрема обробка персональних даних у процесі використання вами наших функцій, описаних на Веб-сайті.

2.2 Типи персональних даних. В межах виконання зобов’язань за Угодою та надання Послуги відповідно до цього DPA можуть оброблятися такі типи персональних даних:

a) контактна інформація — ім’я, прізвище, електронна адреса, номер телефону або контакт у соціальній мережі;

b) відомості про відвідування сайту користувача, зокрема URL-адреса відвіданого сайту, дата й час відвідування, технічні дані (роздільність екрану, тип пристрою, браузер, операційна система тощо), IP-адреса, геолокаційні дані (країна та місто, з яких був здійснений вхід на ваш сайт);

c) інформація, що міститься в розмовах між користувачами й клієнтами або іншими користувачами під час використання функцій Послуги;

d) технічна інформація, журнали й інші дані про користувачів, які користуються Послугою (Smartsupp для цього може використовувати сторонні інструменти);

e) інші персональні дані, які були завантажені або інакше використані користувачем;

f) персональні дані, тип, обсяг і зміст яких визначає і контролює користувач на власний розсуд при користуванні Послугою.

Обсяг персональних даних залежить від типу функцій Послуги, що використовуються. Послуга не призначена для зберігання спеціальних категорій персональних даних. Користувач не має права використовувати Послугу для зберігання чи обробки таких даних. Якщо користувач все ж обробляє такі дані через Послугу, Smartsupp не несе відповідальності за таку обробку.

2.3 Категорії суб’єктів даних. Smartsupp оброблятиме персональні дані щодо таких категорій суб’єктів даних:

a) працівники й інші співробітники, а також особи, які діють від імені користувача;

b) особи, для яких користувач створив обліковий запис у Послузі;

c) клієнти та інші користувачі користувача, яким надається Послуга;

d) відвідувачі сайту користувача;

e) інші особи, особисті дані яких були передані Smartsupp користувачем під час надання Послуги, а також ті, чия інформація була записана чи інакше оброблена у зв’язку з наданням Послуги користувачу.

3.1 Характер обробки персональних даних. Smartsupp здійснюватиме автоматизовану електронну обробку персональних даних, яка включає доступ до персональних даних у межах надання Послуги, перегляд, зберігання та інші дії з обробки даних для забезпечення роботи Послуги для користувача. Характер обробки визначається:

a) Угодою між сторонами;

b) запитами користувача або інших уповноважених користувачів від імені користувача через Платформу;

c) природою Послуги й Платформи;

d) будь-якими іншими задокументованими інструкціями користувача.

3.2 Мета обробки. Метою обробки є надання Послуги користувачу, що визначено в Умовах, а також виконання інших завдань, які можуть виникати під час надання Послуги.

4.1 Тривалість обробки персональних даних. Обробка персональних даних здійснюється протягом строку дії Угоди або до моменту, поки Smartsupp отримує відповідні інструкції від користувача щодо виконання Угоди. Smartsupp зобов’язується дотримуватись вимог законодавства про захист даних протягом усього строку дії Угоди, якщо інше не передбачено умовами після закінчення дії Угоди.

4.2 Повернення і видалення персональних даних. У разі припинення Угоди, у межах, дозволених чинним законодавством, Smartsupp зобов’язується видалити всі персональні дані, що зберігались для цілей надання Послуги, протягом 3 місяців після припинення Угоди. Якщо користувач звернеться до Smartsupp протягом зазначеного часу з проханням повернути дані, Smartsupp має право стягнути розумну плату, розмір якої повідомить заздалегідь.

5.1 Обов’язки Smartsupp. Під час обробки персональних даних Smartsupp зобов’язується:

a) обробляти персональні дані лише відповідно до задокументованих інструкцій користувача; для уникнення непорозумінь, обробка персональних даних на підставі Угоди вважається такою, що здійснюється згідно з інструкціями користувача;

b) виконувати інструкції користувача щодо передачі персональних даних у треті країни або міжнародні організації, якщо така обробка не вимагається законодавством Європейського Союзу або відповідної держави-члена;

c) гарантувати, що особи, уповноважені на обробку персональних даних, зобов’язані зберігати конфіденційність або перебувають під дією відповідного законодавчого обов’язку щодо конфіденційності;

d) залежно від характеру обробки, допомагати користувачу відповідними технічними й організаційними заходами (у межах можливого) у виконанні обов’язків щодо реагування на запити суб’єктів даних; порядок обробки таких запитів описано в пункті 5.2 цього DPA;

e) сприяти користувачу у виконанні обов’язків: (i) забезпечити належний рівень безпеки обробки; (ii) повідомляти про порушення безпеки персональних даних відповідному органу або за потреби — суб’єктам даних; (iii) оцінювати наслідки для захисту персональних даних; (iv) проводити попередні консультації із контролюючим органом, враховуючи характер обробки й тип оброблюваних персональних даних;

f) надати користувачу або уповноваженій ним особі можливість здійснити перевірку (зокрема аудит або інспекцію) дотримання положень цього DPA, а також сприяти такій перевірці у відповідності до обґрунтованих інструкцій користувача чи такої особи; окремий порядок перевірок наведено в пунктах 5.3 та 5.4 цього DPA;

g) надавати користувачу всю інформацію, яку можна обґрунтовано очікувати від Smartsupp для підтвердження виконання зобов’язань, передбачених законодавством про захист даних.

5.2 Запити суб’єктів даних. Якщо суб’єкт даних звертається безпосередньо до Smartsupp, ми повідомляємо, що запит слід направляти безпосередньо користувачу. Smartsupp у межах законно дозволеного надає користувачу розумну комерційно доцільну допомогу у відповіді на такий запит. Користувач несе всі витрати, пов’язані з такою допомогою, та відповідає за правильне реагування на запит.

5.3 Порядок аудиту. Користувач може надсилати всі запити на аудит виключно на електронну адресу Smartsupp dpo@smartsupp.com з розумною періодичністю. Після отримання запиту сторони погоджують (i) можливу дату аудиту; (ii) заходи безпеки та способи дотримання конфіденційності під час перевірки; (iii) початок, обсяг і тривалість аудиту. Якщо протягом 30 днів з дати звернення не буде досягнуто угоди, Smartsupp самостійно визначить умови проведення аудиту.

5.4 Аудитор. Smartsupp має право письмово заперечити проти будь-якого аудитора, призначеного користувачем, якщо, на думку Smartsupp, аудитор не є достатньо кваліфікованим, не є незалежним, перебуває у конкурентній позиції до Smartsupp або явно не підходить. У такому випадку користувач зобов’язаний призначити іншого аудитора або провести аудит особисто. Користувач повинен невідкладно повідомити Smartsupp про всі виявлені під час аудиту невідповідності законодавству про конфіденційність чи цьому DPA.

5.5 Обсяг аудиту. Перевірка, яку проводить користувач, стосується лише документів та процесів, що безпосередньо пов’язані з використанням Послуги цим користувачем.

5.6 Субобробники. Користувач погоджується на залучення інших субобробників до обробки персональних даних. Залежно від виду Послуги Smartsupp може залучати інших субобробників або передавати персональні дані іншим отримувачам. Користувач погоджується, що Smartsupp користується послугами субобробників, перелік яких опубліковано тут: https://help.smartsupp.com/uk/articles/12647685

5.7 Заперечення проти інших субобробників. Smartsupp інформує користувача письмово або шляхом оновлення переліку субобробників про залучення додаткового субобробника; користувач має право подати заперечення протягом 10 робочих днів після такого повідомлення. Якщо користувач не подає заперечення у визначений строк, Smartsupp може залучати додаткового субобробника. У разі заперечення Smartsupp розглядає обґрунтованість заперечення та, якщо воно обґрунтоване, не залучатиме такого субобробника або внесе комерційно розумні зміни у використання Послуги для уникнення обробки цим субобробником. Якщо змінити нічого не можна, Smartsupp може розірвати Угоду з користувачем (або окрему її частину) чи відмовити в тій частині Послуги, яка стосується додаткового субобробника, без визнання провини. При цьому Smartsupp повертає користувачу всю передплачену суму за невикористаний період відповідної Послуги, починаючи з дати припинення, без штрафних санкцій для користувача.

5.8 Обов’язки інших субобробників. Якщо Smartsupp залучає субобробника, на нього поширюються ті ж зобов’язання щодо захисту персональних даних, які погоджені між користувачем і Smartsupp, а також вимога впровадити необхідні технічні й організаційні заходи.

5.9 Відповідальність за субобробника. Smartsupp несе відповідальність за дії та бездіяльність своїх субобробників у тій самій мірі, у якій несе її відповідно до цього DPA, якщо дія або бездіяльність субобробника мала би бути повністю виконано самою Smartsupp, за винятком встановлених Угодою випадків.

5.10 Витрати, пов’язані з виконанням DPA. Якщо письмово не погоджено інше, користувач несе власні витрати, пов’язані з виконанням цього DPA. Smartsupp має право стягувати з користувача розумно обґрунтовані витрати, понесені у зв’язку з розглядом будь-якого запиту або виконанням будь-якого обов’язку за цим DPA.

6.1 Обов’язок забезпечення безпеки персональних даних. Smartsupp впровадив і підтримує технічні та організаційні заходи для запобігання несанкціонованому чи випадковому доступу до персональних даних, їх зміні, знищенню або втраті, несанкціонованій передачі чи іншим незаконним способам обробки або використання. Smartsupp регулярно контролює дотримання цих заходів.

6.2 Конкретні заходи безпеки. Smartsupp впровадив і підтримує такі заходи для забезпечення належного рівня захисту:

Технічні заходи:

a) Псевдонімізація й шифрування персональних даних:

Платформа, на якій обробляються дані, використовує лише захищені канали чи протоколи для мережевих підключень; Smartsupp шифрує дані за допомогою SSL/TLS для всіх передач даних;

IT-системи, що обробляють персональні дані, працюють виключно через захищені канали або протоколи;

криптографічні ключі зберігаються та керуються безпечно.

b) Забезпечення постійної конфіденційності, цілісності, доступності та стійкості систем та служб обробки:

фізичний доступ співробітників Smartsupp дозволений лише уповноваженим особам;

Smartsupp впровадив механізми обмеження фізичного та онлайн-доступу до серверів, де зберігаються персональні дані;

запобігання несанкціонованому доступу та використанню персональних даних;

доступ до персональних даних надається лише тим уповноваженим особам, яким він дійсно потрібен, і не може бути прочитаний, скопійований, змінений чи видалений без дозволу під час обробки;

усі доступи жорстко аутентифікуються (наприклад, через надійні паролі);

права доступу регулярно переглядаються;

всі спроби доступу (успішні і невдалі) фіксуються й моніторяться;

співробітникам Smartsupp забороняється завантажувати чи обробляти персональні дані локально на робочих станціях або будь-яких інших мережевих локаціях;

фіксуються всі можливі відмови та аномалії Платформи.

c) Можливість оперативного відновлення доступу до персональних даних у випадку фізичних або технічних інцидентів:

Smartsupp впровадив процеси, механізми та інструменти резервного копіювання;

регулярно перевіряється процедура відновлення, читабельність і цілісність резервних копій.

d) Smartsupp організовує регулярне тестування, оцінювання та аналіз ефективності технічних й організаційних заходів безпеки.

e) Під час передачі, транспортування чи зберігання персональні дані не можуть бути змінені або видалені без дозволу; при кожній передачі організація-отримувач ідентифікується та підлягає перевірці.

Організаційні заходи:

f) Усі співробітники, що мають стосунок до обробки персональних даних, поінформовані про конфіденційність таких даних, пройшли відповідний інструктаж та підписали письмові угоди про нерозголошення.

g) Smartsupp впровадив внутрішні політики та процеси для забезпечення захисту і безпеки обробки персональних даних відповідно до чинного законодавства про конфіденційність.

h) З будь-яких питань щодо цього DPA, дотримання законодавства про захист даних, питань конфіденційності або будь-яких уточнень щодо захисту даних ви можете звернутися за адресою dpo@smartsupp.com.

6.3 Інциденти безпеки. Якщо Smartsupp виявить інцидент, що стосується порушення захисту персональних даних, ми повідомимо про це користувача без зволікання, але не пізніше ніж через 48 годин після того, як отримаємо відповідну інформацію, та докладемо максимум зусиль, щоб надати всю відому на цей момент інформацію, зокрема:

Smartsupp оперативно відповідає на будь-які звернення від користувача щодо надання допомоги у разі порушення безпеки.

6.4 Незаконні інструкції. Якщо користувач дає Smartsupp інструкції, які ведуть до порушення зобов’язань за законодавством про захист даних, і внаслідок цього Smartsupp отримує штраф або змушений відшкодовувати збитки суб’єктам даних, користувач зобов’язується після письмового повідомлення відшкодувати Smartsupp усі понесені витрати.

6.5 Обмеження відповідальності. До цього DPA застосовується те ж обмеження відповідальності, що й в Умовах.

6.6 Зміни. Діють ті ж правила для внесення змін, що зазначені в Умовах.

6.7 Чинність. Цей DPA набирає юридичної сили між користувачем і Smartsupp одночасно з підписанням Угоди.