Угода про обробку даних

Зміст

1. 1. Сфера застосування, ролі та визначення
2. 2. Відомості про Обробку
3. 3. Інструкції Клієнта
4. 4. Конфіденційність уповноважених осіб
5. 5. Заходи безпеки
6. 6. Субобробники
7. 7. Місцезнаходження даних і міжнародні передачі
8. 8. Допомога у зв’язку із запитами Суб’єктів даних
9. 9. Повідомлення про Порушення безпеки персональних даних
10. 10. Оцінки впливу та консультації з регуляторами
11. 11. Інформація та аудити
12. 12. Повернення та видалення даних
13. 13. Запити органів державної влади
14. 14. Відповідальність
15. 15. Строк дії та пріоритет
16. 16. Контактна особа із захисту даних і реєстр обробки
17. Додаток 1: Відомості про Обробку
18. Додаток 2: Технічні та організаційні заходи
19. Додаток 3: Субобробники

Версія: 1.2 · Опубліковано: 16 жовтня 2026 року · Набирає чинності: під час прийняття для нових Робочих просторів; для Робочих просторів, що прийняли ранішу Версію, — у дату, яку STAK указує у своєму повідомленні відповідно до пункту 20 Умов обслуговування клієнтів · Пріоритетний текст: англійська (пункт 23.9 Умов обслуговування клієнтів)

Видавець: STAK Global, LLC, товариство з обмеженою відповідальністю, створене в штаті Делавер, Сполучені Штати Америки (реєстраційний номер 10798493), якому належать STAK (ستاك) і Сервіси. Контакт: [email protected].

1. Сфера застосування, ролі та визначення

1.1 Ця Угода про обробку даних є невід’ємною частиною Договору відповідно до пункту 3.1 Умов обслуговування клієнтів STAK («Умови»). Вона регулює Обробку STAK Персональних даних Клієнта. Терміни, визначені в Умовах, мають те саме значення в цій Угоді про обробку даних.

1.2 Клієнт є Контролером Персональних даних Клієнта, а STAK — Обробником, який обробляє їх від імені Клієнта та за його інструкціями.

• Контролер і Обробник означають їхні еквіваленти відповідно до Застосовного законодавства про захист даних, як-от контролювальна та оброблювальна організації в Королівстві Саудівська Аравія.
• Якщо Клієнт обробляє дані як обробник від імені іншого контролера, STAK обробляє їх як обробник, що діє для Клієнта, і не є Субобробником у значенні пункту 1.3. Клієнт забезпечує, щоб його інструкції відповідали інструкціям цього контролера.
• STAK обробляє Дані облікового запису як Контролер, як описано в Політиці конфіденційності, і ця Угода про обробку даних до них не застосовується. Ні це посилання, ні посилання в Додатку 3 не створюють договірних зобов’язань відповідно до пункту 3.2 Умов.

1.3 Наведені нижче вирази мають значення, зазначені поруч із кожним із них:

• Персональні дані Клієнта: Персональні дані, що містяться в Даних Клієнта, зокрема дані про Кінцевих клієнтів, працівників, постачальників і Користувачів Клієнта, за винятком Даних облікового запису.
• Чутливі персональні дані: медичні та клінічні дані, а також будь-які дані, які Застосовне законодавство про захист даних відносить до чутливих.
• Обробка: будь-яка операція, що здійснюється з Персональними даними, така як їх збирання, запис, зберігання, пошук, використання, розкриття, передавання та видалення.
• Субобробник: будь-яка особа, яку STAK залучає для Обробки Персональних даних Клієнта з метою надання Сервісів.
• Суб’єкт даних: фізична особа, якої стосуються Персональні дані.
• Інцидент безпеки: будь-яка подія, що загрожує або, як підозрюється, загрожує конфіденційності, цілісності чи доступності Сервісів.
• Порушення безпеки персональних даних: будь-яке порушення безпеки, що призводить до випадкового або незаконного знищення, втрати чи зміни Персональних даних Клієнта або до їх несанкціонованого розкриття чи доступу до них.
• Резервна копія: будь-яка копія Даних Клієнта, створена з метою відновлення, відповідно до пункту 12.3 та Додатка 2.
• Виробниче середовище: системи й бази даних, на яких працюють Сервіси та якими користується Клієнт, за винятком Резервних копій.
• Застосовне законодавство про захист даних: законодавство про захист персональних даних, яке застосовується до Обробки, у кожному випадку в тому вигляді, в якому воно застосовується, зокрема таке:
  • у Державі Кувейт: Закон № 20 2014 року про електронні транзакції, а також Положення про захист конфіденційності даних, Нормативна рамка хмарних обчислень і Політика класифікації даних, видані Управлінням з регулювання зв’язку та інформаційних технологій, кожен акт у межах своєї сфери;
  • Закон про захист персональних даних Королівства Саудівська Аравія, виданий Королівським указом № (M/19) від 9/2/1443 AH, зі змінами, його Виконавчий регламент та Положення про передачу персональних даних за межі Королівства;
  • в Об’єднаних Арабських Еміратах: Федеральний указ-закон № (45) 2021 року про захист персональних даних, Федеральний закон № (2) 2019 року про використання інформаційно-комунікаційних технологій у сфері охорони здоров’я, а також закони про захист даних Дубайського міжнародного фінансового центру та Глобального ринку Абу-Дабі для тих, хто їм підпорядковується;
  • Закон № (30) 2018 року, яким затверджено Закон про захист персональних даних Королівства Бахрейн;
  • Закон № (13) 2016 року про захист конфіденційності персональних даних Держави Катар;
  • Закон про захист персональних даних, виданий Королівським указом № (6/2022) Султанату Оман;
  • Загальний регламент Європейського Союзу про захист даних (Регламент (ЄС) 2016/679), якщо він застосовується до Клієнта;
  • Загальний регламент про захист даних Сполученого Королівства та Data Protection Act 2018; Федеральний закон Швейцарії про захист даних; California Consumer Privacy Act зі змінами та інші комплексні закони штатів США про конфіденційність; закон Канади Personal Information Protection and Electronic Documents Act і закони провінцій; Lei Geral de Proteção de Dados Бразилії (Закон № 13.709/2018); закон Індії Digital Personal Data Protection Act, 2023; Закон Туреччини № 6698 про захист персональних даних; Закон Єгипту № 151 2020 року; закон Південно-Африканської Республіки Protection of Personal Information Act, 2013; закон Сінгапуру Personal Data Protection Act 2012; закон Австралії Privacy Act 1988; а також будь-який інший закон про захист персональних даних, що застосовується до Обробки.

2. Відомості про Обробку

У Додатку 1 викладено предмет, тривалість, характер і мету Обробки, категорії Суб’єктів даних і категорії Персональних даних.

3. Інструкції Клієнта

3.1 STAK обробляє Персональні дані Клієнта лише за документованими інструкціями Клієнта. Такими інструкціями є:

• Договір;
• налаштування Робочого простору;
• дії Користувачів у межах Сервісів;
• будь-які інші письмові інструкції, погоджені Сторонами.

3.2 STAK може Обробляти дані інакше, ніж за цими інструкціями, якщо цього вимагає Застосовне законодавство. STAK повідомляє Клієнта заздалегідь, якщо закон не забороняє таке повідомлення.

3.3 STAK повідомляє Клієнта, якщо вважає, що інструкція порушує Застосовне законодавство про захист даних. STAK має право відмовитися виконувати цю інструкцію, доки Клієнт не змінить її, усунувши порушення, або не підтвердить її письмово із зазначенням правової підстави, яку STAK розумно приймає.

3.4 Клієнт відповідає за законність своїх інструкцій і за наявність правової підстави для збирання та Обробки Персональних даних Клієнта. Це включає інформування Суб’єктів даних і отримання їхньої згоди, коли це потрібно, зокрема згоди на передавання їхніх даних відповідно до пункту 7.

4. Конфіденційність уповноважених осіб

STAK обмежує доступ до Персональних даних Клієнта працівниками та підрядниками, яким вони потрібні для роботи, і зобов’язує їх дотримуватися конфіденційності. Працівники та підрядники STAK отримують доступ до Даних Клієнта лише в таких випадках, і початок кожного такого доступу до Виробничого середовища фіксується в журналі:

• (a) для надання підтримки, про яку просить Клієнт;
• (b) для експлуатації та обслуговування Сервісів і їх відновлення з Резервних копій;
• (c) для розслідування Інциденту безпеки або ймовірного порушення Політики прийнятного використання;
• (d) якщо цього вимагає закон.

5. Заходи безпеки

5.1 STAK застосовує належні технічні й організаційні заходи для захисту Персональних даних Клієнта з урахуванням характеру та ризиків Обробки. Вони включають щонайменше заходи, зазначені в Додатку 2.

5.2 STAK може оновлювати ці заходи за умови, що загальний рівень захисту не знижується.

5.3 Клієнт відповідає за заходи безпеки, що перебувають під його власним контролем, як-от керування Користувачами та правами, увімкнення двоетапного входу, захист своїх пристроїв і обладнання та збереження даних, які він експортує.

6. Субобробники

6.1 Клієнт дозволяє STAK залучати Субобробників, перелічених у Додатку 3.

6.2 STAK зобов’язаний укласти письмовий договір з кожним Субобробником. Договір повинен покладати зобов’язання із захисту даних, що забезпечують рівень захисту, відповідний Обробці та по суті еквівалентний цій Угоді про обробку даних. STAK залишається відповідальним перед Клієнтом за виконання зобов’язань своїх Субобробників.

6.3 STAK повідомляє Клієнта про будь-якого нового Субобробника щонайменше за 30 днів до того, як він почне обробляти Персональні дані Клієнта, у межах Сервісів або електронною поштою.

6.4 Протягом строку повідомлення Клієнт може письмово заперечити проти нового Субобробника з обґрунтованих причин, пов’язаних із захистом даних. Якщо Сторони не можуть погодити рішення, Клієнт може розірвати відповідну підписку або Договір до початку Обробки та отримати повернення передоплаченої Плати за решту періоду.

6.5 Підключені постачальники, яких Клієнт підключає через власні облікові записи, не є Субобробниками STAK. До них належать Постачальники платіжних послуг, Meta щодо власного облікового запису Клієнта в WhatsApp Business і платформи доставки. Надсилання даних їм за інструкціями Клієнта є передачею, що здійснюється за вказівкою Клієнта та від його імені.

6.6 Дані надсилаються постачальнику Функцій ШІ лише тоді, коли Користувач запитує одну з цих функцій, коли Користувач завантажує для однієї з них документ, наприклад чек, або коли автоматизація, налаштована Користувачем, виконує крок із використанням ШІ, і надсилаються лише дані, потрібні для виконання цього запиту або кроку. Постачальник не має права використовувати їх для навчання своїх моделей. Чутливі персональні дані надсилаються йому лише в тому разі, якщо їх містить сам запит або крок.

7. Місцезнаходження даних і міжнародні передачі

7.1 Сервіси розміщуються, а Персональні дані Клієнта переважно зберігаються у Виробничому середовищі Amazon Web Services у регіоні Франкфурт, у Федеративній Республіці Німеччина. Резервні копії зберігаються в тому самому регіоні, а їхні копії створюються в окремому регіоні Amazon Web Services у Республіці Ірландія.

7.2 Клієнт визнає таке та прямо дозволяє передавання, що з цього випливають:

• (a) хостинг здійснюється в Європейському Союзі, який може перебувати за межами країни, в якій Клієнт зареєстрований або провадить діяльність;
• (b) Cloudflare постійно обробляє мережевий трафік через свою глобальну мережу;
• (c) інші Субобробники, зазначені в Додатку 3, обробляють дані в інших країнах, зокрема в Сполучених Штатах Америки, лише тоді, коли використовується відповідний сервіс;
• (d) працівники STAK можуть отримувати доступ до даних із Держави Кувейт лише у випадках, визначених пунктом 4.

7.3 Під час передавання Персональних даних Клієнта за межі країни, в якій їх було зібрано, STAK застосовує такі гарантії:

• (a) договори, зазначені в пункті 6.2, включно зі стандартними договірними положеннями, які STAK уклав із Субобробниками за межами Європейського Союзу;
• (b) шифрування під час передавання та зберігання;
• (c) механізми передачі, визнані Застосовним законодавством про захист даних, якщо воно їх вимагає, зокрема механізми, передбачені пунктом 7.6.

7.4 Клієнт зобов’язаний отримати будь-яку згоду чи дозвіл, яких вимагає законодавство його країни для передавання Персональних даних Клієнта за межі цієї країни, як від регулятора, так і від Суб’єктів даних. На запит STAK надає необхідну для цього інформацію.

7.5 STAK може перенести основний хостинг або Резервні копії в інший регіон, повідомивши Клієнта щонайменше за 30 днів, і Клієнт може заперечити відповідно до пункту 6.4, при цьому будь-яке розірвання за цим пунктом набирає чинності до дати перенесення. Тимчасовий запуск Сервісів із Резервних копій у Республіці Ірландія після втрати основного регіону хостингу не є перенесенням за цим пунктом, і STAK повідомляє Клієнта про це без зволікання.

7.6 Механізми передавання, яких вимагає закон: без шкоди для пункту 7.4:

• (a) Якщо до Клієнта застосовується Загальний регламент Європейського Союзу про захист даних, стандартні договірні положення, ухвалені Імплементаційним рішенням Європейської Комісії (ЄС) 2021/914 («Стандартні договірні положення ЄС»), включені до цієї Угоди про обробку даних шляхом посилання: Модуль Два (від контролера до обробника), якщо Клієнт є контролером, і Модуль Три (від обробника до обробника), якщо він обробляє дані для іншого контролера. Клієнт є експортером даних, а STAK — імпортером даних. Застосовується Пункт 7 (положення про приєднання). Відповідно до Пункту 9(a) застосовується Варіант 2 (загальний письмовий дозвіл) зі строком повідомлення, визначеним у пункті 6.3. Необов’язкове формулювання в Пункті 11(a) не застосовується. Відповідно до Пунктів 17 і 18 застосовуються право та суди Республіки Ірландія. Компетентний наглядовий орган визначається відповідно до Пункту 13. Їхні додатки заповнюються Додатками 1, 2 і 3. Вони мають пріоритет над Договором у разі суперечності між ними.
• (b) Якщо до Клієнта застосовується Закон про захист персональних даних Королівства Саудівська Аравія, Стандартні договірні положення щодо передачі персональних даних, видані Саудівським управлінням з питань даних і штучного інтелекту, Другий шаблон (від контролера до обробника), включені до цієї Угоди про обробку даних шляхом посилання. Клієнт є експортером даних, а STAK — імпортером даних, і їхні додатки заповнюються Додатками 1, 2 і 3. STAK надає Клієнту інформацію, потрібну для оцінки ризиків передачі, яку він зобов’язаний провести відповідно до Положення про передачу персональних даних за межі Королівства. Вони мають пріоритет над Договором у разі суперечності між ними.
• (c) Якщо до Клієнта застосовується Федеральний указ-закон № (45) 2021 року Об’єднаних Арабських Еміратів, STAK застосовує до переданих даних положення, заходи та засоби контролю цього закону тією мірою, якою вони поширюються на обробника.
• (d) Якщо до Клієнта застосовується Загальний регламент про захист даних Сполученого Королівства, Міжнародна додаткова угода про передачу даних до Стандартних договірних положень ЄС, видана Уповноваженим з питань інформації Сполученого Королівства (версія B1.0, чинна з 21 березня 2022 року з подальшими змінами), включена шляхом посилання. Таблиці з 1 по 3 заповнюються даними Сторін із Договору та Додатків з 1 по 3. Щодо Таблиці 4 будь-яка зі Сторін може припинити дію Додаткової угоди, як це допускає її Розділ 19.
• (e) Якщо до Клієнта застосовується Федеральний закон Швейцарії про захист даних, Стандартні договірні положення ЄС застосовуються з такими змінами: Федеральний уповноважений Швейцарії із захисту даних та інформації є компетентним наглядовим органом щодо передач, що регулюються цим законом; посилання на GDPR охоплюють цей закон; а «держава-член» тлумачиться так, щоб суб’єкти даних у Швейцарії могли пред’являти вимоги у Швейцарії.
• (f) Якщо інше Застосовне законодавство про захист даних вимагає певного інструмента передачі, як-от стандартних договірних положень національного органу із захисту даних Бразилії або типового договору відповідно до Закону Туреччини № 6698, STAK підписує або включає цей інструмент на запит Клієнта, а його дані заповнюються на основі Додатків з 1 по 3.
• (g) Якщо застосовується California Consumer Privacy Act або подібний закон штату США про конфіденційність, STAK діє як постачальник послуг, підрядник або обробник Клієнта. STAK не продає й не передає третім особам Персональні дані Клієнта. STAK не зберігає, не використовує й не розкриває їх для жодних цілей, окрім надання Сервісів за Договором, а також поза прямими діловими відносинами з Клієнтом. STAK не поєднує їх з персональною інформацією з інших джерел, за винятком випадків, дозволених цими законами. STAK дотримується цих законів і забезпечує такий самий рівень захисту конфіденційності, який вони вимагають. STAK повідомляє Клієнта, якщо більше не може виконувати ці зобов’язання. Клієнт може вживати розумних заходів для припинення та усунення будь-якого несанкціонованого використання. STAK підтверджує, що розуміє ці обмеження.

7.7 Дані, які мають залишатися в певній країні: Клієнт не повинен зберігати в Сервісах дані, які Застосовне законодавство вимагає зберігати чи обробляти в межах певної країни, якщо тільки Сервіси не показують відповідно до пункту 9.5 Умов, що хостинг у цій країні доступний для відповідного Застосунку. Це випливає з пункту 13.4 Умов і пункту 5.4 Політики прийнятного використання.

8. Допомога у зв’язку із запитами Суб’єктів даних

8.1 Сервіси надають Клієнту інструменти для перегляду, експорту та виправлення Персональних даних його Кінцевих клієнтів, інструмент для їх стирання шляхом заміни особи псевдонімом зі збереженням записів, які закон вимагає зберігати, а також інструменти для перегляду й виправлення даних його працівників. Клієнт використовує ці інструменти для відповідей на запити Суб’єктів даних, а STAK допомагає відповідно до пункту 8.3 в усьому, що вони не охоплюють, зокрема з експортом і видаленням даних працівників.

8.2 Якщо STAK отримує запит безпосередньо від Суб’єкта даних щодо Персональних даних Клієнта, STAK без зволікання передає його Клієнту та відповідає лише за інструкціями Клієнта.

8.3 STAK надає Клієнту розумну допомогу в усьому, що не охоплюють доступні інструменти.

9. Повідомлення про Порушення безпеки персональних даних

9.1 STAK повідомляє Клієнта без невиправданого зволікання після того, як йому стало відомо про будь-яке Порушення безпеки персональних даних, що стосується Персональних даних Клієнта. STAK робить це протягом 24 годин з моменту, коли йому стало про це відомо, якщо це можливо, і в будь-якому разі протягом 48 годин.

9.2 Повідомлення містить, наскільки інформація доступна:

• (a) характер порушення;
• (b) категорії даних і Суб’єктів даних та їх приблизна кількість;
• (c) ймовірні наслідки;
• (d) вжиті та запропоновані заходи для усунення порушення;
• (e) точка контакту в STAK.

STAK надає додаткову інформацію, щойно вона стає доступною.

9.3 STAK негайно вживає розумних заходів для локалізації порушення та обмеження його наслідків. STAK співпрацює з Клієнтом у повідомленні регуляторів і Суб’єктів даних, якщо Клієнт зобов’язаний це зробити, з урахуванням строків, установлених для Клієнта законом. Якщо Застосовне законодавство вимагає, щоб сам STAK повідомив регулятора про порушення, STAK робить це у встановлений строк і повідомляє про це Клієнта.

9.4 Повідомлення STAK про порушення або співпраця STAK у його усуненні не є визнанням вини чи відповідальності.

10. Оцінки впливу та консультації з регуляторами

На запит Клієнта STAK надає розумну інформацію, необхідну для проведення оцінки впливу на захист даних або для консультації з регулятором, тією мірою, якою це стосується Сервісів.

11. Інформація та аудити

11.1 На запит Клієнта STAK надає інформацію, розумно необхідну для підтвердження дотримання цієї Угоди про обробку даних. Це включає документацію з безпеки та відповіді на один опитувальник з безпеки на рік.

11.2 Клієнт може за власний рахунок провести аудит або доручити його проведення незалежному аудитору, зв’язаному зобов’язанням конфіденційності, у таких випадках:

• (a) якщо цього вимагає регулятор;
• (b) після Порушення безпеки персональних даних, яке стосується його даних;
• (c) якщо інформації, наданої відповідно до пункту 11.1, недостатньо.

Аудит здійснюється за таких умов:

• Клієнт повідомляє STAK про аудит щонайменше за 30 днів.
• Він проводиться в робочий час у Робочі дні.
• Аудит відповідно до підпункту (c) проводиться не частіше одного разу на рік.
• Жоден аудит не поширюється на об’єкти Субобробників. Натомість достатньо їхніх сертифікатів і незалежних звітів.
• Жоден аудит не включає доступу до даних інших клієнтів або до чогось, що впливає на їхню безпеку.

12. Повернення та видалення даних

12.1 Клієнт може експортувати Персональні дані Клієнта в будь-який час і протягом 30 днів після припинення Договору відповідно до пункту 19.5 Умов.

12.2 Після завершення періоду експорту STAK видаляє Персональні дані Клієнта з Виробничого середовища протягом 30 днів, якщо Застосовне законодавство не вимагає їх зберігання, і з урахуванням призупинення видалення, передбаченого пунктом 19.5 Умов, поки STAK повідомлено про судовий спір, розслідування чи запит компетентного органу.

12.3 Резервні копії зберігаються протягом таких строків зберігання:

• (a) відновлення на певний момент часу та щоденні Резервні копії: 35 днів з дати створення кожної Резервної копії;
• (b) нічні логічні Резервні копії бази даних (дампи бази даних): 35 днів;
• (c) щомісячні Резервні копії: 12 місяців з дати створення кожної Резервної копії;
• (d) попередні версії завантажених файлів: 90 днів з дати їх заміни або видалення.

Правила, що застосовуються до цих Резервних копій:

• Щоденні та щомісячні Резервні копії та їхні копії зберігаються в захищених сховищах резервних копій, політика яких не дозволяє нікому, зокрема власному персоналу STAK, видалити Резервну копію до завершення строку її зберігання або змінити цей строк, а блокування яких у режимі відповідності (compliance mode) постачальника хостингу не дозволяє видаляти будь-яку Резервну копію щонайменше протягом перших 35 днів.
• Нічні логічні Резервні копії захищені від зміни та видалення до завершення строку їх зберігання.
• STAK не видаляє жодних Резервних копій до завершення строку їх зберігання, навіть на прохання Клієнта.
• Усі Резервні копії виключаються з використання й застосовуються лише для технічного відновлення, з урахуванням пункту 12.4, або якщо цього вимагає закон.
• Усі Резервні копії, що містять видалені дані, спливають із завершенням цих строків, тобто не пізніше ніж через 12 місяців, після чого видалені дані знищуються безповоротно.
• На запит STAK повідомляє Клієнту дату, на яку спливає строк останньої Резервної копії, що містить видалені дані, щоб Клієнт міг повідомити про це Суб’єкта даних.

12.4 Якщо STAK відновлює Резервну копію протягом цих строків, STAK повторно застосовує до надання доступу до даних стирання, виконані відповідно до пункту 8.1, та видалення, здійснені відповідно до пункту 12.2 після дати цієї Резервної копії, використовуючи наявні в нього записи про ці операції.

13. Запити органів державної влади

Якщо STAK отримує обов’язковий запит від органу державної влади або суду щодо розкриття Персональних даних Клієнта, STAK повідомляє Клієнта, якщо закон не забороняє таке повідомлення. STAK обмежує розкриття мінімумом, якого вимагає запит. STAK оскаржує запити, які розумно вважає незаконними, доступними законними засобами.

14. Відповідальність

Відповідальність кожної Сторони за цією Угодою про обробку даних, зокрема її відповідальність перед іншою Стороною за стандартними договірними положеннями, зазначеними в пункті 7.6, підпорядковується положенням про обмеження відповідальності в пункті 16 Умов тією мірою, якою ці пункти це допускають, і без шкоди для прав Суб’єктів даних за ними.

15. Строк дії та пріоритет

15.1 Ця Угода про обробку даних діє, доки STAK обробляє Персональні дані Клієнта.

15.2 У разі суперечності цієї Угоди про обробку даних Умовам вона має пріоритет у питаннях, що стосуються Персональних даних Клієнта.

15.3 Якщо Застосовне законодавство про захист даних встановлює обов’язкову вимогу, суворішу за цю Угоду про обробку даних, ця вимога застосовується в межах своєї сфери.

16. Контактна особа із захисту даних і реєстр обробки

STAK призначив контактну особу із захисту даних, з якою можна зв’язатися електронною поштою [email protected]. STAK веде реєстр операцій з обробки, які він здійснює від імені клієнтів, і надає його компетентному регулятору, якщо цього вимагає закон.

Додаток 1: Відомості про Обробку

• Предмет: надання Сервісів Клієнту відповідно до Умов.
• Тривалість: строк дії Договору, період експорту та видалення після нього відповідно до пункту 12, строки зберігання Резервних копій, указані в пункті 12.3, і строки зберігання у Субобробників, викладені в Додатку 3.
• Характер і мета:
  • зберігання та хостинг Даних Клієнта;
  • обробка продажів, замовлень, бронювань і рахунків;
  • керування складським обліком, бухгалтерією, персоналом і розрахунком заробітної плати;
  • надсилання повідомлень, які запитує Клієнт, через власні облікові записи Клієнта в Підключених постачальників або через постачальників обміну повідомленнями, яких використовує STAK, після їх внесення до переліку в Додатку 3;
  • надання Функцій ШІ під час їх використання;
  • Резервні копії, безпека та Підтримка.
• Категорії Суб’єктів даних:
  • Кінцеві клієнти, гості та пацієнти Клієнта;
  • його працівники та кандидати на роботу;
  • Користувачі;
  • його постачальники та їхні контактні особи;
  • водії та кур’єри.
• Категорії Персональних даних:
  • ідентифікаційні та контактні дані, як-от ім’я, телефон, адреса електронної пошти, адреса й місце доставки;
  • записи про транзакції, замовлення, бронювання та рахунки;
  • посилання, пов’язані з платежами, без повних номерів карток;
  • дані програми лояльності, вподобання та згоди;
  • дані про працівників Клієнта, як-от номер цивільного посвідчення особи, відомості про право на проживання, заробітна плата, міжнародний номер банківського рахунку (IBAN), відвідуваність і відпустки;
  • фотографії та документи, які завантажує Клієнт;
  • журнали повідомлень і журнал аудиту.
• Чутливі персональні дані: медичні та клінічні дані під час використання клінічних Застосунків з урахуванням пункту 7.7 і пункту 13.4 Умов, відповідно до якого функції карток пацієнтів не повинні використовуватися для пацієнтів, які отримують медичні послуги в Державі Кувейт або Об’єднаних Арабських Еміратах; а також медичні дані в кадрових досьє, як-от листки непрацездатності. Клінічні записи та кадрові досьє шифруються окремими ключами, і ці дані видимі лише Користувачам, які мають ролі, уповноважені їх бачити. Коди діагнозів і процедур у страхових вимогах і попередніх дозволах, а також зображення страхових карток захищені шифруванням баз даних і сховища, описаним у Додатку 2.

Додаток 2: Технічні та організаційні заходи

1. Шифрування:
   • Дані під час передавання шифруються за допомогою TLS версії 1.2 або новішої, а ідентичність сервера бази даних перевіряється під час кожного з’єднання.
   • Дані під час зберігання в базах даних, на дисках, у файлах, Резервних копіях і сховищі секретів шифруються за допомогою AES-256 з використанням ключів, керованих через AWS Key Management Service (AWS KMS) або постачальником хостингу.
   • Кадрові досьє та клінічні записи додатково шифруються всередині застосунку окремими ключами, а дані підключення до Підключених постачальників зберігаються в окремому сховищі секретів, зашифрованому окремим ключем.
2. Ізоляція даних кожного клієнта: кожен запис Даних Клієнта містить ідентифікатор Бізнесу, якому він належить. Політики безпеки на рівні рядків у базі даних застосовуються до ролі застосунку, а роль застосунку не має дозволу їх обходити. Обмеження складених ключів не дозволяють пов’язувати записи одного Бізнесу із записами іншого.
3. Контроль доступу:
   • Доступ надається за принципом найменших привілеїв.
   • Доступ до Виробничого середовища обмежений поіменно визначеними працівниками STAK, вимагає багатофакторної автентифікації, а початок кожного доступу реєструється в журналі.
   • Адміністративний доступ до серверів здійснюється лише через AWS Systems Manager, без прямого входу (SSH).
4. Безпека входу Користувачів:
   • Для Користувачів Сервіси пропонують ключі доступу, застосунки-автентифікатори та коди підтвердження, що надсилаються на підтверджений телефон.
   • Для Клієнта вони пропонують настроювані ролі та права, доступ з обмеженням за Філіями та, у Тарифах, що їх містять, правила неактивності сеансів і сповіщення Власникам про входи з нових пристроїв.
5. Журнал аудиту: ведеться журнал аудиту змін, який не може змінити чи видалити жоден Користувач. Він фіксує виконавця, час, джерело та IP-адресу. Коли Клієнт стирає Персональні дані Кінцевого клієнта відповідно до пункту 8.1, записи втрачають відомості, що ідентифікують цю особу, але зберігають інформацію про те, що було зроблено, ким і коли. Журнал аудиту видаляється разом із Даними Клієнта відповідно до пункту 12. Бухгалтерські проведення зв’язані в ланцюжок, який виявляє будь-яке втручання.
6. Резервні копії та відновлення:
   • автоматичні безперервні Резервні копії дозволяють відновлення на певний момент часу протягом 35 днів;
   • щоденні Резервні копії зберігаються 35 днів, а щомісячні — 12 місяців, і вони копіюються до окремого географічного регіону в Республіці Ірландія. Політика сховищ резервних копій не дозволяє видаляти їх до завершення строку зберігання або змінювати цей строк, а блокування в режимі відповідності (compliance mode) не дозволяє видаляти будь-яку Резервну копію щонайменше протягом перших 35 днів;
   • логічна Резервна копія бази даних створюється щоночі та зберігається 35 днів у сховищі, захищеному від зміни та видалення;
   • відновлення бази даних з Резервних копій тестується щомісяця.
7. Платіжні дані: Сервіси спроєктовано так, щоб STAK не зберігав повні номери карток. Платежі здійснюються на сторінках, розміщених Постачальниками платіжних послуг, або на їхніх сертифікованих терміналах і в застосунках для приймання карток. На екранах Сервісів немає полів для введення даних картки, а Сервіси дають Клієнту змогу сканувати текстові поля вільного введення на наявність помилково введених номерів карток, щоб їх можна було видалити.
8. Мережа та інфраструктура: бази даних працюють у приватних мережах, недоступних публічно, за міжмережевими екранами. Міжмережевий екран вебзастосунків і захист від атак типу «відмова в обслуговуванні» забезпечуються через Cloudflare.
9. Управління вразливостями та безпечна розробка: код перевіряється, а автоматизовані тести запускаються перед кожним випуском. Програмні бібліотеки перевіряються, а оновлення безпеки застосовуються без зволікання.
10. Моніторинг та реагування на інциденти:
    • хмарна інфраструктура автоматично відстежується цілодобово з негайними сповіщеннями;
    • кожна адміністративна дія в хмарній інфраструктурі фіксується в журналі, а загрози та надмірні дозволи виявляються автоматично за допомогою спеціалізованих сервісів Amazon (AWS CloudTrail, GuardDuty та IAM Access Analyzer);
    • застосовуються документовані процедури реагування на Інциденти безпеки та повідомлення відповідно до пункту 9.
11. Безперервність бізнесу: застосовуються плани забезпечення безперервності та відновлення відповідно до цілей відновлення, визначених в Угоді про рівень обслуговування.
12. Персонал: Працівники та підрядники STAK зобов’язані дотримуватися конфіденційності й проходять навчання з питань безпеки.
13. Безпечне видалення: дані видаляються відповідно до пункту 12, а постачальник хостингу знищує носії відповідно до своїх стандартів.

Додаток 3: Субобробники

Постачальники, які використовуються лише після ввімкнення. У STAK налаштовано такі постачальники, але сьогодні STAK не використовує їх для Обробки Персональних даних Клієнта. STAK починає використовувати будь-кого з них лише після повідомлення відповідно до пункту 6.3 щонайменше за 30 днів, і в повідомленні зазначається, де постачальник обробляє дані та як довго їх зберігає.

Після того як STAK увімкне власний номер WhatsApp, Meta надсилатиме з нього коди для входу Користувачам і коди підтвердження Кінцевим клієнтам, які підтверджують свої номери телефонів на Публічних сторінках. При цьому вона обробляє дані, які STAK обробляє як Контролер відповідно до Політики конфіденційності, а не Персональні дані Клієнта.

Окрім наведених вище постачальників, STAK не використовує для Обробки Персональних даних Клієнта постачальників текстових повідомлень, push-сповіщень, цифрових гаманців, а також пошуку, перевірки та картографування адрес.