Обробка даних клієнтів і конфіденційність (DPA / NDA)
Редакція від [дата]. Ці умови діють, коли [ПІБ ФОП], РНОКПП [РНОКПП], адреса: [адреса реєстрації] (далі — «Обробник») отримує доступ до даних Замовника (далі — «Контролер») для надання Послуг. За запитом підписуємо окремий DPA та NDA.
1. Предмет і обсяг
Обробник обробляє дані Контролера (вивантаження з CRM, рекламних кабінетів, GA4, баз даних, таблиць тощо) виключно для надання Послуг: побудови моделі даних, дашбордів, звітів і супроводу — і лише за документованими інструкціями Контролера (ст. 28 GDPR).
2. Принципи доступу
Мінімально необхідний доступ: за можливості — лише на читання, окремі сервісні акаунти або API-ключі з обмеженими правами.
Доступи надаються й відкликаються Контролером; після завершення співпраці Обробник видаляє збережені облікові дані.
Персональні дані кінцевих клієнтів Контролера за можливості агрегуються або псевдонімізуються ще до потрапляння в кабінет.
3. Конфіденційність (NDA)
Обробник зберігає в таємниці будь-яку непублічну інформацію Контролера (дані, метрики, фінансові показники, комерційні плани) протягом співпраці та 3 років після її завершення і не розкриває її третім особам без письмової згоди, крім випадків, передбачених законом.
Демо-матеріали та портфоліо Обробника містять лише вигадані дані; дані Контролера в них не використовуються.
4. Субобробники
Хостинг кабінету: Railway; CDN і захист: Cloudflare; за потреби — постачальники ШІ-моделей для ШІ-асистента (лише агреговані метрики, без персональних даних). Перелік актуалізується за запитом; про заміну субобробника Контролера повідомляють заздалегідь.
За бажанням Контролера кабінет розгортається в його власній інфраструктурі — тоді дані не залишають периметр Контролера.
5. Заходи безпеки
Шифрування під час передавання (TLS), розмежування ролей і доступу до сторінок, двофакторна автентифікація (TOTP), журнал дій, захист кабінету через Cloudflare Access або корпоративний VPN, регулярні оновлення залежностей.
6. Інциденти
Про витік або несанкціонований доступ до даних Контролера Обробник повідомляє без зайвої затримки, не пізніше ніж за 48 годин після виявлення, і допомагає усунути наслідки.
7. Завершення
Після завершення Послуг Обробник на вибір Контролера повертає або видаляє дані Контролера та їхні копії протягом 30 днів і підтверджує це письмово.