Відповідно до Умов надання послуг («Умови»), Smartsupp надає вам як користувачу Сервісу Сервіс, передбачений Умовами. Таким чином, відносини між Smartsupp і користувачем ґрунтуються на процесі онлайн-реєстрації користувача або на письмовому чи електронному договорі, до якого додаються Умови, що разом становлять угоду між вами та Smartsupp («Угода»). Цей додаток щодо обробки даних (далі — «DPA») є невід’ємною частиною Угоди.

Слова, що починаються з великої літери, мають те саме значення, яке визначено в Умовах або будь-якому іншому додатку, на який посилаються Умови, якщо в цьому DPA не зазначено інше.

Smartsupp укладає цей DPA відповідно до застосовного законодавства про захист даних, зокрема Регламенту 2016/679 Європейського Парламенту та Ради про захист фізичних осіб у зв’язку з обробкою персональних даних і про вільний рух таких даних («GDPR”) , Закону про захист даних 2018 року або CCPA/CPRA, а також відповідно до іншого законодавства про конфіденційність, що застосовується під час надання Сервісу за Угодою («Застосовне законодавство про конфіденційність”).

Коли цей DPA передбачає, що Smartsupp діє як обробник персональних даних, цей термін має значення, надане терміну «обробник» у GDPR та іншим еквівалентним термінам в іншому застосовному законодавстві про конфіденційність (наприклад, «Постачальник послуг», як визначено в CCPA). Коли цей DPA передбачає, що ви дієте як контролер персональних даних, цей термін має значення, надане терміну «контролер» у GDPR та іншим еквівалентним термінам у застосовному законодавстві про конфіденційність (наприклад, «Підприємство», як визначено в CCPA).

Ми поділили статтю на кілька розділів:

1.1 Обробка персональних даних як обробником персональних даних.Smartsupp може обробляти персональні дані від імені користувача під час надання йому Сервісу, і в такому разі Smartsupp діє як обробник персональних даних (або субобробник) щодо користувача.

Дії з обробки, які виконує Smartsupp, випливають із реєстрації, Угоди або документально оформлених запитів користувача під час надання Сервісу через платформу, доступну за адресою https://www.smartsupp.com («Платформа”).

1.2 Дозвіл на обробку персональних даних.Користувач цим уповноважує Smartsupp обробляти надані користувачем персональні дані суб’єктів даних відповідно до Сервісу, як визначено в цьому DPA. Smartsupp оброблятиме персональні дані для користувача відповідно до його документально оформлених вказівок і лише в обсязі, необхідному для належного виконання зобов’язань Smartsupp за Угодою.

1.3 Відповідальність користувача. Оскільки Smartsupp діє як обробник персональних даних, користувач діє як контролер і тому відповідає за виконання всіх зобов’язань, пов’язаних з обробкою персональних даних. До цих зобов’язань належать належне інформування суб’єктів даних про обробку персональних даних, отримання згоди на обробку персональних даних, якщо це необхідно, та опрацювання запитів суб’єктів даних щодо реалізації їхніх прав (зокрема права на інформацію, доступ, виправлення, видалення, обмеження обробки, заперечення тощо). Smartsupp допомагатиме користувачу виконувати ці зобов’язання через Платформу або за документально оформленими запитами користувача. Однак Smartsupp жодним чином не відповідає за правильність і законність дій користувача, зокрема будь-яких дій, які можуть порушувати законодавство про конфіденційність або інше законодавство країни, з якої користувач користується Сервісом.

2.1 Предмет обробки. Предметом обробки Smartsupp персональних даних, визначених нижче, є надання Сервісу відповідно до Угоди, зокрема обробка персональних даних під час використання вами функцій нашого Сервісу, описаних на Сайті.

2.2 Типи персональних даних. У межах виконання обов’язків за Угодою та надання Сервісу відповідно до цього DPA можуть оброблятися такі типи персональних даних:

a) Контактна інформація, зокрема ім’я, прізвище, адреса ел. пошти, номер телефону або контактні дані облікового запису в соціальній мережі,

b) Відомості про відвідування сайту користувача, зокрема URL відвіданого сайту, дата й час відвідування сайту, технічна інформація (роздільна здатність екрана, тип пристрою, тип браузера, операційна система тощо), IP-адреса, геолокаційні дані (країна та місто, з яких користувач переглядав ваш сайт),

c) Інформація, що міститься в розмовах між користувачами та клієнтами або іншими користувачами під час використання функцій Сервісу,

d) Технічні журнали та інша інформація про користувачів, які користуються Сервісом (Smartsupp використовує сторонні інструменти для збирання такої інформації),

e) Інші персональні дані, завантажені або використані користувачем у будь-який інший спосіб, або

f) Персональні дані, тип, обсяг і деталі яких визначаються та контролюються користувачем на його власний розсуд під час надання Сервісу.

Обсяг персональних даних залежить від типу функцій Сервісу, які використовує користувач. Сервіс не призначений для зберігання особливих категорій персональних даних. Користувач не повинен використовувати Сервіс для зберігання або обробки особливих категорій персональних даних. Якщо користувач обробляє їх через Сервіс, Smartsupp не несе відповідальності за таку обробку.

2.3 Категорії суб’єктів даних. Smartsupp оброблятиме персональні дані таких категорій суб’єктів даних:

a) Працівників користувача (та інших працівників і осіб, які діють від імені користувача);

b) Осіб, для яких користувач створив обліковий запис у Сервісі;

c) Клієнтів та інших користувачів користувача, яким надається Сервіс;

d) Відвідувачів сайту користувача;

e) Інших осіб, чиї персональні дані були надані Smartsupp користувачем під час надання Сервісу та чиї персональні дані були записані або іншим чином оброблені у зв’язку з наданням Сервісу користувачу.

3.1 Характер обробки персональних даних. Smartsupp оброблятиме персональні дані автоматизованим електронним способом, і обробка включатиме доступ до персональних даних у межах надання Сервісу, перегляд персональних даних, зберігання персональних даних та інші дії, які можуть бути пов’язані з наданням Сервісу користувачу. Характер обробки персональних даних випливає з:

a) Угоди, укладеної Сторонами;

b) Запитів користувача або інших уповноважених користувачів, які використовують Платформу від імені користувача;

c) Характеру Сервісу та Платформи;

d) Будь-яких інших документально оформлених вказівок користувача.

3.2 Мета обробки. Метою обробки є надання користувачу Сервісу, як визначено в Умовах, а також інші цілі, що можуть випливати з надання Сервісу.

4.1 Тривалість обробки персональних даних.Обробка персональних даних здійснюватиметься протягом строку дії Угоди або доти, доки Smartsupp отримує від користувача вказівки у зв’язку з виконанням Угоди. Smartsupp зобов’язується дотримуватися зобов’язань, установлених законодавством про захист даних, протягом усього строку дії Угоди, якщо з Угоди не випливає, що вони мають діяти й після її припинення.

4.2 Повернення та видалення персональних даних. У разі припинення Угоди, у межах, дозволених застосовним законодавством про конфіденційність, Smartsupp зобов’язується видалити всі персональні дані, що зберігаються з метою надання Сервісу, протягом 3 місяців після припинення. Якщо протягом зазначеного вище строку Користувач звернеться до Smartsupp із запитом про повернення даних, Smartsupp має право стягнути обґрунтовану плату, про розмір якої буде повідомлено заздалегідь.

5.1 Зобов’язання Smartsupp.Під час обробки персональних даних Smartsupp зобов’язується:

a) Обробляти персональні дані виключно на підставі документально оформлених вказівок користувача; для уникнення сумнівів, обробка персональних даних на виконання зобов’язань за Угодою вважається такою, що здійснюється відповідно до вказівок користувача;

b) Дотримуватися вказівок користувача щодо передачі персональних даних до третьої країни або міжнародної організації, якщо така обробка вже не вимагається законодавством Європейського Союзу або держави-члена, якому підпорядковується Smartsupp;

c) Забезпечити, щоб особи, уповноважені обробляти персональні дані, були пов’язані зобов’язанням щодо конфіденційності або підлягали встановленому законом обов’язку щодо конфіденційності;

d) З урахуванням характеру обробки допомагати користувачу шляхом застосування відповідних технічних та організаційних заходів, де це можливо, виконувати його обов’язок відповідати на запити щодо реалізації прав суб’єктів даних; правила опрацювання запитів суб’єктів даних визначено в статті 5.2 цього DPA;

e) Допомагати користувачу виконувати його обов’язки щодо (i) забезпечення рівня безпеки обробки, (ii) повідомлення про порушення захисту персональних даних органу із захисту даних і, у відповідних випадках, суб’єктам даних, (iii) оцінки впливу на захист персональних даних та (iv) проведення попередніх консультацій з органом із захисту даних, у кожному випадку з урахуванням характеру обробки та характеру оброблюваних персональних даних;

f) Дозволяти користувачу або уповноваженій ним особі перевіряти (зокрема шляхом аудиту або інспекції) дотримання цього DPA, зокрема виконання зобов’язань щодо обробки персональних даних, які з нього випливають, та сприяти таким перевіркам відповідно до обґрунтованих вказівок користувача або уповноваженої особи; конкретні правила проведення аудитів визначено в статтях 5.3 і 5.4 цього DPA;

g) Надавати користувачу всю інформацію, яку обґрунтовано можна очікувати від Smartsupp, для підтвердження виконання зобов’язань, установлених відповідним законодавством про захист даних.

5.2 Запити суб’єктів даних. Якщо суб’єкт даних звертається безпосередньо до Smartsupp, Smarstupp зобов’язується повідомити суб’єкта даних про необхідність направити запит безпосередньо користувачу. Smartsupp докладатиме лише комерційно обґрунтованих зусиль, щоб допомогти користувачу відповісти на такий запит суб’єкта даних, у межах, дозволених Smartsupp законом. Користувач відповідає за будь-які витрати, що виникають у зв’язку з наданням такої допомоги Smartsupp, а також за належне опрацювання такого запиту.

5.3 Правила проведення аудиту. Користувач повинен надсилати будь-який запит на аудит (перевірку) виключно на адресу ел. пошти Smartsupp dpo@smartsupp.com, з обґрунтованою періодичністю. Після отримання запиту на аудит сторони повинні заздалегідь погодити (i) можливу дату аудиту, (ii) заходи безпеки та спосіб забезпечення дотримання зобов’язань щодо конфіденційності під час аудиту і (iii) очікуваний початок, обсяг та тривалість аудиту. Якщо протягом 30 днів із дати запиту домовленості не досягнуто, Smartsupp визначає умови проведення аудиту.

5.4 Аудитор.Smartsupp може подати письмове заперечення щодо будь-якого аудитора (уповноваженої особи), призначеного користувачем, якщо, на думку Smartsupp, аудитор має недостатню кваліфікацію, не є незалежним, є конкурентом Smartsupp або з інших причин є явно непридатним. Після такого заперечення користувач зобов’язаний призначити іншого аудитора або провести аудит самостійно. Користувач повинен негайно повідомити Smartsupp про будь-яку виявлену під час аудиту невідповідність застосовному законодавству про конфіденційність або цьому DPA.

5.5 Обсяг аудиту. Обсяг аудиту, який проводить користувач, включає лише документацію та процеси, безпосередньо пов’язані з використанням Сервісу конкретним користувачем.

5.6 Субобробники. Користувач погоджується із залученням інших субобробників до обробки персональних даних. Залежно від типу Сервісу, що надається користувачу або запитується ним, Smartsupp може залучати інших субобробників або передавати персональні дані іншим одержувачам персональних даних. Користувач погоджується, що Smartsupp залучатиме субобробників, перелічених за адресою: https://help.smartsupp.com/uk/articles/12647685

5.7 Заперечення щодо інших субобробників. Smartsupp зобов’язується повідомляти користувача письмово або шляхом оновлення списку субобробників про залучення додаткового субобробника до його залучення, а користувач може заперечити проти залучення додаткового субобробника протягом 10 робочих днів після повідомлення. Якщо користувач не заперечить протягом установленого строку, Smartsupp залучить додаткового субобробника. У разі заперечення користувача Smartsupp оцінить його та, якщо визнає обґрунтованим, не залучатиме додаткового субобробника або внесе комерційно обґрунтовані зміни до конфігурації користувача чи використання ним Сервісу, щоб уникнути обробки таким субобробником. Якщо зміни неможливі, Smartsupp може припинити Угоду з користувачем (повністю або частково) або не надавати частину Сервісу, з якою пов’язаний додатковий субобробник, і це не вважатиметься простроченням виконання чи порушенням будь-якого зобов’язання. Smartsupp поверне користувачу будь-які попередньо сплачені платежі за решту строку дії такої Угоди після дати набрання чинності припиненням щодо такого припиненого Сервісу, не накладаючи на користувача штрафу за таке припинення.

5.8 Зобов’язання щодо інших субобробників.Якщо Smartsupp залучає іншого субобробника, цей субобробник повинен за договором взяти на себе ті самі зобов’язання щодо захисту персональних даних, які погоджено між користувачем і Smartsupp, а також зобов’язатися впровадити відповідні технічні та організаційні заходи.

5.9 Відповідальність за субобробника.Smartsupp несе відповідальність за дії та бездіяльність своїх субобробників у тому самому обсязі, в якому Smartsupp несла б відповідальність, якби надання Сервісу кожним субобробником здійснювалося безпосередньо на умовах цього DPA, якщо Угодою не передбачено інше.

5.10 Витрати, пов’язані з виконанням DPA. Якщо інше не погоджено письмово, користувач несе власні витрати, пов’язані з виконанням DPA. Smartsupp має право стягувати з користувача обґрунтовані витрати, понесені під час опрацювання будь-якого запиту та виконання будь-якого зобов’язання за цим DPA.

6.1 Обов’язок забезпечувати безпеку персональних даних.Smartsupp запровадила та підтримує технічні й організаційні заходи для запобігання несанкціонованому або випадковому доступу до персональних даних, їх зміні, знищенню чи втраті, несанкціонованій передачі, іншій несанкціонованій обробці або іншому несанкціонованому неправомірному використанню персональних даних. Smartsupp регулярно контролює дотримання цих заходів.

6.2 Конкретні заходи безпеки.Smartsupp запровадила та підтримує такі заходи для забезпечення належного рівня безпеки:

Технічні заходи:

a) Псевдонімізація та шифрування персональних даних:

Платформа, на якій обробляються персональні дані, дозволяє лише захищені канали або протоколи для вхідних мережевих з’єднань; Smartsupp шифрує дані за допомогою SSL/TLS під час усіх передач даних

ІТ-системи, що обробляють персональні дані, дозволяють лише захищені канали або протоколи;

Управління криптографічними ключами здійснюється безпечним способом.

b) Здатність забезпечувати постійну конфіденційність, цілісність, доступність і стійкість систем та сервісів обробки:

Фізичний доступ дозволено лише уповноваженим працівникам Smartsupp;

Smartsupp запровадила механізми обмеження фізичного або онлайн-доступу до серверів, на яких зберігаються персональні дані;

Запобігання доступу неуповноважених осіб до персональних даних і використанню персональних даних без дозволу;

Особи, уповноважені обробляти персональні дані, мають доступ лише до тих персональних даних, які їм потрібні та до яких вони уповноважені отримувати доступ, а персональні дані не можуть бути прочитані, скопійовані, змінені або видалені без дозволу під час обробки;

Доступ захищено надійною автентифікацією (наприклад, за допомогою надійних паролів);

Права доступу періодично перевіряються;

Спроби доступу (як успішні, так і невдалі) реєструються в журналах і контролюються;

Персоналу Smartsupp заборонено завантажувати та обробляти персональні дані локально на своїх робочих станціях або в будь-якому іншому мережевому розташуванні;

Усі можливі збої Платформи та аномалії реєструються в журналах.

c) Здатність своєчасно відновити доступність персональних даних і доступ до них у разі фізичних або технічних інцидентів:

Smartsupp запровадила процес, механізм та інструменти резервного копіювання;

Процедура відновлення, можливість зчитування даних і цілісність резервних копій періодично перевіряються.

d) Smartsupp запровадила процес регулярного тестування, оцінки та аналізу ефективності технічних і організаційних заходів, ужитих для забезпечення безпеки обробки.

e) Персональні дані не можуть бути змінені або видалені без дозволу під час електронної передачі, транспортування чи зберігання, а суб’єкти-одержувачі будь-якої передачі можуть бути встановлені та перевірені.

Організаційні заходи:

f) Увесь персонал, залучений до обробки персональних даних, поінформований про конфіденційний характер персональних даних, пройшов відповідне навчання щодо своїх обов’язків і уклав письмові угоди про конфіденційність.

g) Smartsupp запровадила внутрішні директиви та процеси для забезпечення безпеки обробки персональних даних відповідно до застосовного законодавства про конфіденційність.

h) З питань щодо цього DPA, дотримання законодавства про захист даних, конфіденційності даних або будь-яких інших питань конфіденційності Клієнт може надіслати лист на адресу dpo@smartsupp.com.

6.3 Інциденти безпеки.Якщо Smartsupp виявить порушення захисту персональних даних, вона зобов’язується повідомити про нього користувача без невиправданої затримки, не пізніше ніж через 48 годин після того, як їй стало відомо про інцидент безпеки, та докласти обґрунтованих зусиль, щоб надати користувачу всю відому інформацію про інцидент, обмежену таким:

Smartsupp відповідатиме на будь-який запит користувача про допомогу в разі порушення безпеки з невиправданою затримкою.

6.4 Незаконні вказівки.Якщо користувач надає Smartsupp вказівки, які призводять до порушення зобов’язань за законодавством про захист даних, і на підставі таких вказівок наглядовий орган або інший регуляторний орган накладає санкції на Smartsupp або Smartsupp зобов’язана відшкодувати шкоду суб’єктам даних, користувач погоджується виплатити компенсацію Smartsupp та відшкодувати будь-які понесені збитки після письмового повідомлення від Smartsupp.

6.5 Обмеження відповідальності. До цього DPA застосовується те саме обмеження відповідальності, що передбачене Умовами.

6.6 Зміни. Застосовуються ті самі правила внесення змін, що передбачені Умовами.

6.7 Набрання чинності. Цей DPA набуває юридично обов’язкової сили для користувача та Smartsupp разом з Угодою.