Договір про обробку даних

1. Сфера дії та зв’язок з умовами

Цей договір про обробку даних є частиною умов користування й застосовується щоразу, коли ми обробляємо персональні дані від вашого імені під час надання сервісу miraride. У разі суперечності з умовами користування в питаннях захисту даних переважає цей договір.

Контролером цих персональних даних є ви. Ми — обробник. Терміни «персональні дані», «обробка», «контролер», «обробник», «суб’єкт даних» і «порушення захисту персональних даних» мають значення, надані Загальним регламентом про захист даних (ЄС) 2016/679.

Ви можете запросити примірник, підписаний від нашого імені, написавши нам. Для початку користування не потрібно окремо погоджувати договір. Підписаний примірник надаємо безоплатно.

2. Предмет, тривалість, характер і мета

Предмет і тривалість: обробка персональних даних з метою надання сервісу miraride, доки діє ваш договір з нами, і протягом періоду завершення обслуговування, описаного в розділі 10.

Характер і мета: розміщення, зберігання, пошук, структурування, передавання електронною поштою за вашою вказівкою, формування документів, шифрування, резервне копіювання та видалення — усе для того, щоб працювали вітрина й панель, якими ви користуєтеся.

Категорії суб’єктів даних:

• Ваші клієнти та потенційні клієнти: покупці, орендарі та особи, які надсилають звернення через вашу вітрину.
• Водії, зазначені в бронюванні оренди, зокрема додаткові водії.
• Сторони, зафіксовані в документі, який ви виставляєте.
• Учасники вашої команди — як користувачі вашої панелі.

3. Категорії персональних даних

Сервіс розрахований на обробку наведеного нижче, і вам не слід зберігати в ньому щось істотно інше:

• Ідентифікаційні дані: імена та відомості про сторони, зафіксовані в документі.
• Контактні дані: адреси електронної пошти, номери телефонів, ідентифікатори в месенджерах і поштові адреси.
• Дані оренди й водія: дата народження, номер посвідчення водія, країна видачі, дати видачі та закінчення строку дії.
• Бізнес-ідентифікатори: назви компаній, податкові номери й реєстраційні відомості.
• Дані операцій: звернення, бронювання, ціни, застави, розрахунки та виставлені документи.
• Довільні нотатки, які ви пишете про клієнта, стан при оренді або скасування.

4. Обробка лише за вашою вказівкою

Ми обробляємо персональні дані лише за вашими задокументованими вказівками, зокрема щодо передавання до третьої країни. Ваше користування сервісом разом з умовами користування й цим договором становить ці вказівки; будь-що поза ними потребує окремої письмової вказівки від вас.

Ми можемо обробляти персональні дані, коли цього вимагає право Європейського Союзу чи Естонії. У такому разі ми повідомимо вас до обробки, якщо тільки це право не забороняє повідомляти.

Якщо ми вважатимемо, що вказівка порушує законодавство про захист даних, ми повідомимо вас і можемо призупинити її виконання до врегулювання.

5. Конфіденційність персоналу

Доступ до персональних даних, оброблюваних від вашого імені, мають лише ті, кому він потрібен для роботи чи підтримки сервісу. Кожен із них зобов’язаний письмово зберігати конфіденційність, що діє й після завершення співпраці, і кожен має доступ лише до того, чого вимагає його роль.

6. Безпека обробки

З урахуванням сучасного рівня техніки, вартості впровадження та ризиків обробки ми впроваджуємо належні технічні й організаційні заходи за статтею 32 GDPR. Вони включають:

• Автентифіковане шифрування визначених персональних і конфіденційних полів із прив’язкою до поля та автосалону або запису; контроль доступу й приватне сховище захищають файли та інші поля.
• Шифрування під час передавання із застосуванням актуального TLS.
• Ізоляцію даних окремих автосалонів: кожен запит звужено до автосалону, визначеного з хоста запиту, а кожен пов’язаний запис перевіряється щодо цього автосалону окремо.
• Контроль доступу: автентифіковані сесії, прив’язані до хоста й позначені HTTP-only, захист від міжсайтової підробки запитів при кожній зміні та вимогу активного членства для кожного приватного запиту до API.
• Виключення персональних даних із журналів застосунку та подій аудиту.
• Зашифровані резервні копії з відновленням на момент часу та задокументовану процедуру відновлення.
• Задокументований процес тестування, оцінювання й удосконалення цих заходів.

7. Субобробники

Ви надаєте нам загальний дозвіл залучати субобробників. Ті, що залучені наразі, перелічені на нашій сторінці субобробників, яка є частиною цього договору.

Ми повідомимо вас електронною поштою щонайменше за тридцять днів до додавання чи заміни субобробника. У цей строк ви можете заперечити з обґрунтованих підстав захисту даних; якщо заперечення не вдасться врегулювати, ви можете відмовитися від відповідної частини сервісу без штрафних санкцій за решту оплаченого періоду.

Кожен субобробник залучається за письмовим договором, що покладає обов’язки, що забезпечують захист даних щонайменше на рівні цього договору. Ми лишаємося повністю відповідальними перед вами за їхню роботу.

8. Допомога з правами суб’єктів даних

Панель дає вам прямий доступ до персональних даних, які ви зберігаєте, тож більшість запитів ви опрацюєте самі. Там, де не зможете, ми допоможемо вам належними технічними й організаційними заходами, наскільки це можливо, виконати ваш обов’язок відповісти на запити щодо доступу, виправлення, стирання, обмеження, перенесення чи заперечення.

Якщо суб’єкт даних звернеться безпосередньо до нас щодо даних, які ми обробляємо від вашого імені, ми не відповідатимемо по суті самі. Ми скажемо йому звернутися до вас і передамо запит вам без невиправданої затримки.

Робочий простір і наша служба підтримки забезпечують експорт, виправлення, обмеження та видалення. За письмовим запитом ми надаємо додаткову допомогу в розумному обсязі у встановлений законом строк.

9. Допомога щодо безпеки, оцінок впливу та порушень

З урахуванням характеру обробки й доступної нам інформації ми допомагатимемо вам виконувати обов’язки за статтями 32–36 GDPR — безпека обробки, повідомлення про порушення наглядовому органу та суб’єктам даних, оцінка впливу на захист даних і попередні консультації.

Ми повідомимо вас про порушення захисту персональних даних, що стосується даних, оброблюваних від вашого імені, без невиправданої затримки після того, як дізнаємося про нього. Повідомлення описуватиме характер порушення, категорії та приблизну кількість суб’єктів даних і записів, ймовірні наслідки, вжиті або запропоновані заходи та контактну точку — надаючи те, що відомо на той момент, а решту в міру з’ясування, замість відкладати перше повідомлення до встановлення всього.

10. Повернення та видалення

Після завершення обслуговування облікового запису ви обираєте повернення чи видалення через процес закриття власником або документовані вказівки. Звичайне закриття надає тридцять днів для отримання перед видаленням; активний перехід та наступний строк отримання мають перевагу. Скасування платежів саме по собі не є вказівкою видалити дані. Ви повинні експортувати записи, обов’язкові у вашій юрисдикції.

Активні дані видаляються наприкінці тридцятиденного періоду після припинення, крім випадків, коли право Європейського Союзу чи Естонії вимагає щось зберегти — тоді ми зберігаємо лише це й лише на потрібний строк.

Персональні дані, наявні в зашифрованих резервних копіях, зникають у міру виходу цих копій за межі вікна зберігання, а не стираються з кожної копії окремо. Після запиту на видалення резервні копії не відновлюються у робочий сервіс, крім відновлення після збою — і тоді видалення застосовується повторно.

11. Аудити

Ми надамо вам усю інформацію, потрібну для підтвердження дотримання статті 28, а також уможливимо аудити, зокрема інспекції, що проводяться вами або уповноваженим вами аудитором, і сприятимемо їм.

Спочатку надаємо документацію й відповідаємо на відповідні запитання. Планові перевірки зазвичай потребують тридцятиденного повідомлення й обмежені однією за дванадцять місяців, у робочий час із конфіденційністю та захистом інших клієнтів. Ці межі не перешкоджають аудиту через порушення, обґрунтовані сумніви у відповідності або вимогу компетентного органу; коротше повідомлення й додаткові аудити допускаються за потреби.

Ви несете власні витрати на аудит. Плата за нашу додаткову допомогу має бути розумною, пропорційною й погодженою заздалегідь, не повинна відлякувати від потрібного аудиту й не може бути умовою виконання обов’язкових вимог статті 28.

12. Міжнародне передавання

Основні ресурси й бази розміщені в Німеччині. Перелічені постачальники можуть обробляти глобально, також поза ЄЕЗ. Передавання, що підлягають правовим обмеженням, використовують застосовні рішення про належний рівень захисту або стандартні договірні положення Комісії й належні додаткові заходи. Ролі, дані, місця й гарантії описані на сторінці постачальників; копії чи інформація про гарантії доступні за запитом.

Ви доручаєте нам здійснювати ці передавання для надання сервісу. Ми укладаємо необхідні умови передавання з кожним субобробником у власному договірному ланцюгу та на запит надаємо інформацію про гарантії.

13. Відповідальність

Обмеження відповідальності з умов користування застосовуються до цього договору. Вони не обмежують і не виключають відповідальності жодної зі сторін перед суб’єктом даних чи перед наглядовим органом за статтею 82 GDPR або за будь-яким іншим імперативним положенням законодавства про захист даних.

14. Вказівки й збережені докази

Вказівки автосалону охоплюють приймання звернень, фото продавців, дозволену пошту й передавання до обраних майданчиків оголошень. Записи команди конкретного автосалону обробляються для вас; глобальна автентифікація та наша адміністрація регулюються Політикою конфіденційності. Незалежні майданчики оголошень й пошук адрес Google зберігають власні ролі.

Дія видалення не переписує дані, зафіксовані у виданих документах, оригінальні файли або докази доставки. Автосалон оцінює бухгалтерські, податкові й обов’язки зі збереження доказів для розгляду правових вимог, документує підстави та дату закінчення або перегляду доказів, пояснює часткову відмову й організовує видалення, коли дозволено. Видалення операційних полів не видаляє оригінального PDF. Закриття облікового запису видаляє записи після отримання, тому збережіть обов’язкові записи окремо.