Угода про обробку даних

Версія 1.4 · діє з дня публікації цієї версії на recenzik.cz.

Цей документ описує умови, за яких ми обробляємо персональні дані як обробник від імені нашого клієнта (контролера). Він є невід'ємною частиною договору про надання послуг між постачальником (нами) та клієнтом (вами). Він відповідає статті 28 GDPR.

1. Сторони та їхні ролі

Контролер: клієнт — підприємець, який замовив послугу. Обробник: Bc. Xinchi Jiang, чеський підприємець (OSVČ), ідентифікаційний номер (IČO) 21591202, Jindř. Lukeše 244, 273 08 Pchery.

Клієнт визначає правила відбору відгуків і зміст відповідей, а також вирішує, чи публікувати їх і як саме. У режимі A клієнт погоджує точний текст кожної відповіді та одночасно має письмово доручити нам публікувати погоджені відповіді. У режимі B письмове доручення визначає, які звичайні відповіді ми можемо публікувати без окремого погодження та які випадки маємо передати клієнту. Доручення та будь-які погодження є вказівками клієнта відповідно до ст. 3.2 Умов надання послуг. Сам по собі технічний доступ до профілю не є вказівкою на публікацію. Ми обробляємо персональні дані лише за задокументованими вказівками клієнта.

Для власного комерційного обліку, виставлення рахунків та залучення клієнтів ми самі є контролером — це описано в документі Політика конфіденційності.

2. Предмет, характер та мета обробки

Мета: підготовка проектів відповідей на відгуки клієнтів в одному профілі клієнта в Google та передача їх клієнту на погодження або для самостійної публікації клієнтом; або — під час пілоту чи поточного обслуговування, відповідно до письмово погодженого режиму та задокументованих вказівок клієнта — ручна публікація відповідей у цьому профілі.

Характер операцій: отримання матеріалів, їх зберігання, доступ до них, зміна формату, створення проекту відповіді за допомогою мовної моделі іншого обробника, зазначеного у ст. 6, перевірка проекту людиною, передача клієнту на погодження або для самостійної публікації, або ручна публікація відповіді у профілі клієнта в Google у межах письмового доручення та будь-якого необхідного погодження, а потім видалення.

Тривалість обробки: протягом строку надання послуги та не більше ніж 30 днів після її припинення, до здійснення розрахунків відповідно до ст. 8.

3. Категорії суб'єктів даних

автори клієнтських відгуків,
особи, згадані в тексті відгуку (співробітники клієнта, інші гості або клієнти),
контактні та уповноважені особи на стороні клієнта.

4. Категорії персональних даних

текст відгуку та його оцінка, мова, дата та посилання на джерело,
ім'я або нікнейм автора відгуку, за потреби прапорець анонімності,
дані, які автор сам включив до тексту — це також може бути опис стану здоров'я, звинувачення або інший конфіденційний контент; їхній обсяг визначає автор, а не ми,
матеріали від клієнта: стиль відповіді, перевірені факти про заклад, теми, які ми не повинні порушувати, підпис,
проект відповіді та запис про його затвердження, або про його публікацію згідно з дорученням,
контактні дані уповноваженої особи.

Ми не вимагаємо і не обробляємо паролі, токени або облікові дані для доступу до систем клієнта.

5. Наші обов'язки

Ми зобов'язуємося:

обробляти дані лише за задокументованими вказівками клієнта, включаючи вказівки щодо передачі до третьої країни; якщо ми вважаємо, що вказівка порушує правові норми, ми вкажемо на це;
зобов'язати дотримуватися конфіденційності кожну особу, яка отримує доступ до даних — наразі це лише сам постачальник;
вживати відповідних технічних та організаційних заходів відповідно до ст. 32 GDPR (див. ст. 7);
залучати іншого обробника лише на умовах, викладених у ст. 6;
допомагати клієнту в обробці запитів від суб'єктів даних — якщо хтось звернеться з запитом безпосередньо до нас, ми не будемо обробляти запит самі і передамо його клієнту без невиправданої затримки;
допомагати клієнту у виконанні обов'язків згідно зі ст. 32-36 GDPR, враховуючи характер обробки та доступні нам дані;
після припинення послуги ми повернемо або видалимо дані за вибором клієнта (ст. 8);
надавати клієнту інформацію, необхідну для підтвердження дотримання цих обов'язків, і дозволяти проведення аудитів згідно зі ст. 9;
повідомляти клієнта про будь-яке порушення безпеки персональних даних без невиправданої затримки після того, як нам стане про нього відомо (ст. 33(2) GDPR), і надавати йому наявну в нас інформацію про це, щоб він міг виконати свій власний обов'язок щодо повідомлення.

6. Субпідрядники (Subprocessors)

Цим клієнт надає загальний письмовий дозвіл на залучення інших обробників.

Поточний список публічно доступний у документі [Субпідрядники](/subdodavatele). На дату набрання чинності цими умовами до них переважно належать:

постачальник мовної моделі (OpenAI) — обробляє текст відгуку, його оцінку та мову, ім'я автора, назву компанії та матеріали щодо стилю відповіді; обробка відбувається протягом одного виклику API, вхідні дані не зберігаються постачальником для навчання,
постачальник електронної пошти та реєстраційних форм (Google Workspace) — комунікація з клієнтом, матеріали, надіслані електронною поштою, та відповіді з реєстраційної форми (Google Forms, за потреби Google Sheets),
постачальник веб-хостингу — технічні дані про відвідування вебсайту.

Публічний реєстр, цілі залучення та місцезнаходження окремих постачальників наведені в документі Субпідрядники. Відповідні для договору категорії даних залишаються тими, що перелічені в цьому документі.

Ми зобов'язуємося:

покладати на кожного субпідрядника такі самі обов'язки, які маємо ми,
інформувати клієнта заздалегідь, принаймні за 30 днів, про будь-які заплановані зміни,
клієнт може висловити заперечення проти зміни протягом цього періоду; якщо ми не досягнемо згоди, він може розірвати договір, і ми повернемо пропорційну частину ціни за невикористані дні,
ми несемо відповідальність перед клієнтом за виконання обов'язків субпідрядником.

7. Безпека

З огляду на характер обробки — це послуга, що надається однією людиною, без доступу клієнта до наших систем — ми застосовуємо, зокрема:

обробку на власних пристроях та через затверджених постачальників,
доступ обмежений однією особою, постачальником; жодного іншого персоналу та жодного віддаленого доступу з боку клієнтів або третіх сторін,
розділення матеріалів окремих клієнтів; ми не використовуємо матеріали одного клієнта для замовлення іншого,
принцип мінімізації: ми не приймаємо дані, які нам не потрібні для підготовки відповіді, особливо непотрібні ідентифікатори авторів відгуків,
вимогу до постачальника моделі не зберігати вхідні дані і не використовувати їх для навчання (ст. 6),
видалення матеріалів після завершення замовлення згідно зі ст. 8,
відсутність зберігання даних для доступу, паролів або токенів клієнта.

Ми не перелічуємо тут заходи, які ми не перевіряли. Клієнт, якому потрібне конкретне зобов'язання щодо шифрування, резервного копіювання або часу відновлення, може узгодити це з нами окремо; без такої угоди це не може випливати з цих умов.

Ми обмінюємося матеріалами електронною поштою або через реєстраційну форму. Клієнт усвідомлює, що електронна пошта не є повністю безпечним каналом, і зобов'язується не надсилати нам електронною поштою або через форму дані понад ті, що необхідні для підготовки відповіді.

8. Повернення та видалення

Після припинення надання послуги клієнт обирає, повернемо ми матеріали чи видалимо їх. Якщо він не повідомить про свій вибір протягом 30 днів після припинення, ми видалимо матеріали.

Видалення включає тексти відгуків, імена авторів, усі версії проектів відповідей, включаючи відхилені, матеріали про стиль та перевірені факти, навіть у робочих копіях, в електронному листуванні та у відповідях з реєстраційної форми.

Ми можемо зберегти лише:

мінімальні договірні та розрахункові записи, які нас зобов'язує зберігати закон,
запис про обсяг і час замовлення для можливого захисту правових вимог.

Ці записи не містять текстів відгуків або даних їх авторів.

Ми підтвердимо видалення в письмовій формі за запитом.

9. Аудит

На письмовий запит клієнта ми надамо йому інформацію, необхідну для підтвердження дотримання цих умов.

Клієнт може проводити перевірку раз на рік; він повідомляє дату щонайменше за 30 днів наперед і проводить її таким чином, щоб не порушувати нашу роботу і не наражати на небезпеку дані інших клієнтів. Витрати на перевірку несе клієнт, якщо не буде доведено істотне порушення з нашого боку.

10. Передача за межі ЄС

Наша власна обробка відбувається в Чеській Республіці.

Передачі за межі ЄС/ЄЕЗ відбуваються в обсязі, що здійснюється постачальниками, переліченими в документі Субпідрядники — особливо передача тексту відгуку та пов'язаних даних постачальнику мовної моделі. Такі передачі ґрунтуються на стандартних договірних положеннях, ухвалених Європейською комісією, або на рішенні про достатній рівень захисту, відповідно до договірних умов конкретного постачальника.

За межами цих рамок ми не передаємо дані до третіх країн.

11. Тривалість

Ці умови застосовуються протягом періоду, в який ми обробляємо персональні дані для клієнта, і їхні положення про конфіденційність, видалення та аудит залишаються в силі навіть після припинення дії договору.

Припинення дії договору не скасовує обов'язків за ст. 8.