Додаток про обробку даних

1. Сторони та сфера дії

Обробник: ФОП Бабминдра Олександр Олександрович (Cowculator), адреса: Сливине, вул. Центральна, 53. Контролер: клієнт сервісу Cowculator, який збирає персональні дані через свої публічні калькулятори/форми.

Відомості про конкретного Контролера визначаються у профілі організації клієнта та становлять Додаток 1 до цього DPA.

2. Предмет і тривалість

Обробка персональних даних кінцевих користувачів Контролера здійснюється Обробником виключно з метою надання сервісу Cowculator. DPA діє протягом строку користування сервісом та до завершення усіх операцій з даними відповідно до цього документа.

3. Характер і мета обробки

Хостинг, зберігання, маршрутизація, відображення і передача даних форм/калькуляторів; аналітика продуктивності та стабільності; резервне копіювання й відновлення; нотифікації про нові заявки.

4. Типи даних та суб’єкти даних

Типи даних: дані форм (поля, вкладення), технічні метадані (час, URL, ідентифікатор калькулятора, IP/UA де застосовно). Суб’єкти даних: відвідувачі/замовники Контролера, що взаємодіють з публічними калькуляторами.

5. Інструкції Контролера

Обробник обробляє персональні дані лише за документованими інструкціями Контролера, включно з передачами у треті країни, якщо таке передбачено та має належну правову підставу. Якщо інструкції суперечать застосовному праву, Обробник повідомляє Контролера.

6. Обов’язки Обробника

• забезпечувати конфіденційність і належну підготовку персоналу, що має доступ до даних;
• впроваджувати відповідні технічні й організаційні заходи безпеки (див. розділ «Безпека (TOMs)»);
• вести облік категорій обробки та надавати необхідну інформацію для демонстрації відповідності;
• не залучати субпроцесорів без дотримання порядку, визначеного цим DPA.

7. Безпека (TOMs)

Обробник застосовує технічні та організаційні заходи безпеки, пропорційні ризикам, зокрема: TLS у транзиті; контроль доступів і принцип найменших привілеїв; 2FA для адміністраторів; політики RLS/ACL у БД; сегментація даних орендарів (multi‑tenant); резервне копіювання та тестування відновлення; журналювання доступів/подій; моніторинг інцидентів і процедури реагування. Деталі: /security.

8. Субпроцесори

Контролер надає загальний дозвіл на залучення субпроцесорів, перелік яких публікується на сторінці /subprocessors. Обробник повідомляє про додавання або заміну субпроцесорів зазвичай за 15 днів до набрання чинності; Контролер має право обґрунтовано заперечити.

9. Міжнародні передавання

Якщо обробка передбачає передачу даних за межі ЄЕЗ/ВБ/Швейцарії у країну без рішення про адекватність, Обробник застосовує відповідні гарантії, включно зі Стандартними договірними положеннями ЄС (SCC 2021/914), та додаткові заходи безпеки за потреби.

10. Допомога Контролеру

Обробник надає розумну допомогу Контролеру у виконанні обов’язків щодо безпеки, повідомлення про інциденти, проведення DPIA та консультацій з наглядовими органами, наскільки це потрібно та пропорційно ролі Обробника.

11. Повідомлення про інциденти

Про інцидент безпеки, який призводить до випадкового або незаконного знищення, втрати, зміни, несанкціонованого розкриття чи доступу до персональних даних, Обробник повідомляє Контролера без невиправданої затримки після виявлення та надає наявну релевантну інформацію.

12. Аудити та перевірки

На запит Контролера Обробник надає інформацію, необхідну для демонстрації відповідності цьому DPA, включно з оглядом звітів незалежних аудитів/тестів (за наявності). За обґрунтованої потреби Контролер може ініціювати аудит на місці з попереднім письмовим повідомленням і у розумні строки, з урахуванням конфіденційності та безпеки Обробника.

13. Повернення та видалення даних

Після закінчення надання послуг або на письмову вимогу Контролера Обробник без зайвих зволікань видаляє або повертає персональні дані, якщо інше не вимагається застосовним правом або не потрібно для захисту правових вимог протягом розумного строку зберігання.

14. Відповідальність та пріоритет

Кожна сторона несе відповідальність у межах своєї ролі (Контролер/Обробник) за дотримання застосовного законодавства щодо захисту даних. У разі конфлікту між цим DPA та іншими умовами, положення цього DPA мають пріоритет у частині обробки персональних даних.

15. Застосовне право і юрисдикція

Цей DPA регулюється правом України. Виключна юрисдикція — суд м. Миколаїв, якщо інше не передбачено імперативними нормами.

Додаток 1 — Відомості про Контролера

Визначаються за даними профілю організації в конструкторі Cowculator (назва, посилання на політику конфіденційності, контактний email – береться з наданої політики конфіденційності контролера). На момент акцепту Умов зберігається знімок цих відомостей, який є частиною виконаного DPA.

Додаток 2 — Технічні й організаційні заходи

• TLS-шифрування у транзиті; шифрування/ізоляція на рівні платформи при зберіганні, де застосовно.
• Керування доступами, принцип найменших привілеїв, 2FA для адміністраторів.
• RLS/ACL у БД; сегментація даних орендарів (multi‑tenant).
• Регулярні резервні копії та перевірка відновлення.
• Журналювання доступів/подій, моніторинг інцидентів, процедури реагування.
• Контроль змін, огляд коду, окремі середовища (prod/stage).

Додаток 3 — Субпроцесори

Актуальний перелік субпроцесорів публікується на сторінці https://cowculator.app/subprocessors і оновлюється у випадку змін.