Договір про обробку персональних даних (DPA)

Цей Договір про обробку персональних даних (далі — «DPA») є невідʼємною частиною Договору публічної оферти або окремо підписаного договору про надання доступу до платформи Bezpeco (далі — «Основний договір»). Для клієнтів з окремим договором DPA оформлюється додатком до нього. Для клієнтів, які акцептували Оферту, діє з моменту акцепту.

1. Сторони та ролі

1.1. Замовник — клієнт за Основним договором. Щодо персональних даних своїх працівників і підрядників він є володільцем (ст. 2, 4 Закону України «Про захист персональних даних» № 2297-VI; «controller» за GDPR).

1.2. Виконавець — Товариство з обмеженою відповідальністю «Охорона праці діджитал», код ЄДРПОУ 44993918. Він обробляє ці дані як розпорядник («processor» за ст. 28 GDPR) лише за дорученням Замовника.

2. Предмет, мета та строк обробки

2.1. Мета — надання доступу до платформи Bezpeco для ведення охорони праці Замовника: облік працівників і посад, інструктажі та навчання, медичні огляди, засоби індивідуального захисту, наряди-допуски, розслідування нещасних випадків, обладнання, документи та їх підписання, опитування добробуту, ШІ-функції.

2.2. Обробка триває протягом строку Основного договору та періоду вивантаження даних після його завершення (розділ 9).

2.3. Категорії субʼєктів і даних:

3. Обовʼязки Виконавця

3.1. Обробляти персональні дані лише за документованими вказівками Замовника. Такими вказівками є Основний договір, цей DPA та дії Користувачів у кабінеті. Якщо вказівка, на думку Виконавця, порушує закон, він повідомляє про це Замовника.

3.2. Забезпечити, щоб персонал з доступом до даних був зобовʼязаний зберігати конфіденційність.

3.3. Застосовувати технічні та організаційні заходи, наведені в Додатку 1.

3.4. Допомагати Замовнику відповідати на запити субʼєктів даних (доступ, виправлення, видалення, обмеження, перенесення) засобами платформи або на запит протягом 10 робочих днів. Запит, що надійшов напряму Виконавцю, передається Замовнику протягом 3 робочих днів.

3.5. Допомагати Замовнику з оцінкою впливу на захист даних і взаємодією з Уповноваженим Верховної Ради України з прав людини в межах інформації, якою володіє Виконавець.

3.6. Повідомляти Замовника про порушення безпеки персональних даних без необґрунтованої затримки, але не пізніше ніж протягом 24 годин з моменту, коли Виконавцю стало про нього відомо. Повідомлення містить: характер порушення, категорії та приблизну кількість субʼєктів і записів, імовірні наслідки, вжиті й заплановані заходи, контактну особу. Інформацію, якої ще немає, Виконавець надає поетапно.

3.7. Повідомляти Замовника про запити державних органів щодо розкриття його даних, якщо закон цього не забороняє, і розкривати лише мінімально необхідний обсяг.

3.8. Не використовувати Дані Замовника для власних цілей, зокрема для маркетингу чи навчання моделей штучного інтелекту.

4. Обовʼязки Замовника

4.1. Мати правові підстави для обробки даних працівників і вносити в платформу лише потрібні для охорони праці дані. Наприклад, для медоглядів достатньо висновку про придатність, повний діагноз не потрібен.

4.2. Інформувати працівників про обробку їхніх даних. Шаблон — Повідомлення для працівників клієнтів.

4.3. Якщо обробка підлягає повідомленню за ст. 9 Закону № 2297-VI, повідомити Уповноваженого Верховної Ради України з прав людини протягом 30 робочих днів з її початку. Обробка чутливих даних власних працівників у трудових відносинах повідомленню не підлягає; повідомлення може знадобитися, наприклад, щодо даних про стан здоровʼя працівників підрядників.

4.4. Керувати доступом своїх Користувачів і своєчасно закривати доступ звільненим працівникам.

5. Субобробники

5.1. Замовник надає загальний дозвіл на залучення субобробників із Переліку субобробників.

5.2. Про нового субобробника Виконавець повідомляє щонайменше за 30 днів: оновлює Перелік і надсилає лист адміністратору Замовника. Замовник може обґрунтовано заперечити протягом 14 днів. Якщо сторони не знайдуть рішення, Замовник може припинити Основний договір з поверненням передоплати за невикористаний період.

5.3. Виконавець укладає із субобробниками договори із зобовʼязаннями щодо захисту даних не нижчими, ніж у цьому DPA, і відповідає перед Замовником за їхні дії.

6. Передача за межі України

Частина субобробників обробляє дані в ЄС і США. Виконавець забезпечує належні гарантії захисту (ст. 29 Закону № 2297-VI): договірні зобовʼязання провайдерів, шифрування під час передачі, мінімізацію даних. Для Замовників з ЄС до цього DPA додаються стандартні договірні положення ЄС (модуль 2).

7. Штучний інтелект

7.1. ШІ-функції передають провайдеру лише дані, потрібні для конкретного запиту. Провайдер не використовує їх для навчання моделей (платний тариф Google Gemini).

7.2. За погодженням Сторін для Замовника можна вимкнути ШІ-функції або обмежити їх знеособленими даними. Детальніше — у Політиці використання штучного інтелекту.

8. Аудит і підтвердження відповідності

8.1. На запит Замовника Виконавець надає відомості, потрібні для підтвердження виконання цього DPA: опис заходів захисту, відповіді на опитувальники з безпеки, а після сертифікації — сертифікат ISO/IEC 27001 і Декларацію про застосовність.

8.2. Замовник може провести аудит не частіше одного разу на рік, попередивши за 30 днів. Аудит проводиться за рахунок Замовника, під зобовʼязання конфіденційності й без доступу до даних інших клієнтів. Позапланово аудит можливий після порушення безпеки даних Замовника.

9. Повернення та видалення даних

9.1. Протягом строку дії договору і 6 місяців після його завершення Замовник може вивантажити свої дані засобами платформи або на запит.

9.2. Після цього Виконавець видаляє Дані Замовника протягом 30 днів. Резервні копії перезаписуються протягом наступних 35 днів. На запит Виконавець надає акт про видалення.

9.3. Дані можуть зберігатися довше лише там, де цього вимагає закон, і лише в потрібному обсязі.

Детальніше — у документі Повернення, видалення та строки зберігання даних.

10. Відповідальність і строк дії

Відповідальність Сторін визначає Основний договір. DPA діє, доки Виконавець обробляє Дані Замовника.

Додаток 1. Технічні та організаційні заходи

Загальні принципи викладено в Політиці інформаційної безпеки, розподіл обовʼязків — у Моделі спільної відповідальності.