Головна / Угода про обробку даних (DPA)
Угода про обробку даних (DPA)
Ця DPA реалізує статтю 28 GDPR між GDE Systems OÜ (обробник) і клієнтом (контролер). Вона є публічною, щоб пілот не чекав на юридичну перевірку, і версіонованою, щоб аудитор бачив, який текст застосовувався.
Як прийняти
- Прийняття — це один клік під час реєстрації: прапорець фіксує версію DPA, ідентифікатор вашого акаунта та позначку часу UTC у незмінному журналі прийняття. PDF-підтвердження можна завантажити будь-коли в розділі Налаштування → Безпека.
- Для пілоту окремий зустрічний підпис не потрібен; корпоративний клієнт може запросити підписану копію на support@gde.ee і отримує її протягом 2 робочих днів.
- Ця сторінка у друкованому/PDF-вигляді — той самий текст, який ви приймаєте; прихованої версії за логіном не існує.
1. Сторони та ролі
- Обробник: GDE Systems OÜ, Таллінн, Естонія, support@gde.ee («Обробник»).
- Контролер: клієнт, зазначений в акаунті робочого простору («Контролер»).
- Щодо власних даних акаунта (e-mail, ім’я, платіжні дані) GDE Systems OÜ діє як самостійний контролер відповідно до Політики конфіденційності; ця DPA застосовується до господарських записів, які Контролер вносить у Сервіс.
2. Предмет, характер і мета обробки
- Обробник надає вебзастосунок для виставлення рахунків, ведення клієнтів та угод, обліку робочого часу й зберігання документів («Сервіс»).
- Обробка охоплює зберігання, синхронізацію, шифрування даних у стані спокою за схемою, визначеною Контролером, отримання, експорт і видалення даних Контролера.
- Обробник не обробляє дані Контролера для власних цілей, не створює рекламних профілів і не продає дані.
3. Категорії суб’єктів даних і персональних даних
- Суб’єкти даних: працівники та підрядники Контролера; контактні особи клієнтів і постачальників Контролера.
- Персональні дані: ідентифікаційні та контактні дані (ім’я, e-mail, телефон, адреса), дані про ділові відносини, а також персональні дані, що містяться в рахунках і документах.
- Особливі категорії персональних даних (ст. 9) не потрібні для роботи Сервісу, і їх не можна вносити.
4. Строк
- Обробка триває протягом строку дії договору та строку зберігання, встановленого естонським законодавством (рахунки: щонайменше 7 років).
- Після розірвання дані Контролера видаляються протягом 30 днів, якщо законодавча вимога щодо зберігання не передбачає іншого; до видалення Контролер може вивантажити все в машинозчитуваному вигляді.
5. Документовані вказівки
- Обробник обробляє персональні дані лише за документованими вказівками Контролера, включно з передачею до третіх країн, якщо цього не вимагає законодавство Союзу чи держави-члена; у такому разі Обробник повідомляє Контролера до початку обробки, якщо це не заборонено законом.
- Конфігурація Сервісу, обрана Контролером (сховище увімкнено/вимкнено, необов’язковий AI-пошук, необов’язкове зовнішнє сховище), є документованою вказівкою для відповідної обробки.
6. Конфіденційність і персонал
- Особи, уповноважені обробляти персональні дані, зобов’язані дотримуватися конфіденційності; ці зобов’язання зберігають силу після розірвання договору.
- Доступ надається за принципом найменших привілеїв; доступ до продуктивного середовища мають лише визначені особи, і він переглядається у разі зміни складу команди.
7. Заходи безпеки (ст. 32)
- Шифрування на стороні клієнта AES-256-GCM із виведенням ключа через PBKDF2 (600 000 ітерацій); Обробник ніколи не отримує ключ шифрування чи фразу відновлення.
- Шифрування під час передавання (TLS 1.2+), розмежування робочих просторів, рольове управління доступом, керування сеансами та пристроями.
- Журнал аудиту подій, значущих для безпеки: 30 днів на тарифі Pro, 90 днів на тарифі Business, доступний для експорту Контролером.
- Контроль під час збірки, який не допускає потрапляння секретів у браузер; публічний перелік сторонніх скриптів на сторінці.
- Поточні заходи детально описані на сторінці безпеки, яка є частиною цієї DPA за посиланням.
8. Субпроцесори
- Контролер надає загальний дозвіл на залучення субпроцесорів із публічного версіонованого списку субпроцесорів.
- Обробник повідомляє щонайменше за 30 днів до додавання або заміни субпроцесора та надає Контролеру можливість заперечити; якщо заперечення не вдається врегулювати, Контролер може розірвати договір без штрафів.
- Кожен субпроцесор зобов’язаний дотримуватися вимог щодо захисту даних не менш суворих, ніж ця DPA, зокрема щодо безпеки та повідомлення про порушення.
9. Сприяння Контролеру
- Обробник сприяє у виконанні запитів суб’єктів даних (доступ, виправлення, видалення, перенесення, заперечення) протягом 5 робочих днів із моменту надходження запиту на privacy@gde.ee.
- Обробник сприяє в проведенні оцінок впливу на захист даних і попередніх консультацій із наглядовими органами з урахуванням характеру обробки.
- Інструменти самообслуговування в Сервісі (експорт, видалення робочого простору, відкликання сеансів) задовольняють більшість запитів без участі Обробника, що Обробник рекомендує для швидкості.
10. Повідомлення про порушення захисту персональних даних
- Обробник повідомляє Контролера без невиправданої затримки, орієнтуючись на 24 години після підтвердження порушення, щоб Контролер міг виконати власний 72-годинний обов’язок за статтею 33.
- Повідомлення містить: характер порушення, категорії та приблизну кількість суб’єктів даних і записів, імовірні наслідки, вжиті або запропоновані заходи та контактну особу.
- Якщо дані були зашифровані на стороні клієнта, Обробник прямо зазначає, чи можна було прочитати уражені дані, і не будує припущень, що виходять за межі доказів.
11. Аудит
- Обробник надає всю інформацію, необхідну для підтвердження відповідності, зокрема цю DPA, сторінку безпеки, список субпроцесорів і журнал аудиту.
- Раз на рік Контролер може провести аудит шляхом письмового опитування або на місці, попередивши за 30 днів і за умови конфіденційності; під час бети такий аудит обмежено двома робочими днями.
- Обробник невідкладно повідомляє Контролера, якщо вказівка порушує GDPR або інші положення Союзу чи держави-члена про захист даних.
12. Повернення та видалення
- Контролер може будь-коли вивантажити всі дані в машинозчитуваному вигляді (CSV) разом зі згенерованими документами (PDF).
- Після розірвання Обробник видаляє персональні дані протягом 30 днів і на запит підтверджує видалення письмово, крім даних, які необхідно зберігати за законом.
- Резервні копії виводяться з обігу протягом 35 днів після видалення.
13. Міжнародні передачі
- Дані продуктивного середовища зберігаються в ЄЕЗ (Франкфурт).
- Єдині передачі за межі ЄЕЗ стосуються Cloudflare (периферія), Resend (e-mail) і Google Gemini (необов’язковий AI-пошук); кожна з них охоплена стандартними договірними положеннями та, де застосовно, EU-US Data Privacy Framework.
- Конфігурація з обробкою виключно в ЄС (без AI-пошуку, з локалізацією даних на периферії) доступна на запит для регульованих клієнтів.
14. Відповідальність і пріоритет
- Відповідальність за цією DPA обмежується положеннями Умов використання, включно з умовою про бету (без SLA, без гарантії доступності).
- У разі суперечності між цією DPA та Умовами використання з питань захисту даних переважає ця DPA.
- Ця DPA регулюється законодавством Естонської Республіки; встановлені законом права контролера за GDPR залишаються незмінними.
Додаток 1 — Субпроцесори
Субпроцесори, авторизовані станом на дату версії, із зазначенням мети, регіону та підстави передачі:
| Постачальник | Мета | Регіон обробки | Підстава передачі |
|---|---|---|---|
| Supabase | База даних, автентифікація, сховище, edge-функції | ЄС — Франкфурт (eu-central-1) | Обробка в межах ЄЕЗ; передачі до третіх країн немає |
| Cloudflare | CDN, WAF, захист від DDoS, Workers, Turnstile, маршрутизація e-mail | Глобальна периферія (edge); доступна локалізація даних у ЄС | Стандартні договірні положення ЄС та EU-US Data Privacy Framework |
| Resend | Транзакційні листи (реєстрація, скидання пароля, запрошення, форма зворотного зв’язку) | Обробка в ЄС/США | Стандартні договірні положення ЄС |
| Google (Gemini API) | Необов’язковий AI-пошук компанії за назвою або реєстровим кодом | Сполучені Штати Америки | EU-US Data Privacy Framework та стандартні договірні положення ЄС |
| Microsoft OneDrive (необов’язково, вмикає клієнт) | Зберігання документів у хмарному сховищі, яке вам уже належить | Власний тенант і регіон клієнта | Контролером залишаєтеся ви; gde.ee виконує лише запитану вами передачу |
| Google Drive (необов’язково, вмикає клієнт) | Зберігання документів у хмарному сховищі, яке вам уже належить | Власний акаунт і регіон клієнта | Контролером залишаєтеся ви; gde.ee виконує лише запитану вами передачу |
Ця сторінка є документом про продукт і відповідність вимогам, а не юридичною консультацією. Договори, механізми передачі даних і строки зберігання перевіряються естонськими юристами, перш ніж набути обов’язкової сили.
gde.ee · Угода про обробку даних — gde.ee · https://gde.ee/uk/dpa/