Цей Договір про обробку персональних даних («DPA») є невід’ємною частиною Договору публічної оферти та Умов надання послуг між Domovleno, що надається фізичною особою — підприємцем Маліновським Романом Олексійовичем («Розпорядник»), і замовником («Володілець»). Він є письмовим договором-дорученням на обробку персональних даних у розумінні статті 4 Закону України «Про захист персональних даних» № 2297-VI і визначає, як Domovleno обробляє персональні дані за дорученням Володільця, відповідно до цього Закону та принципів GDPR.
1. Сфера дії
Цей DPA застосовується до всіх персональних даних, які Domovleno обробляє за дорученням Володільця в межах надання Сервісу. Він замінює будь-які попередні умови обробки даних. DPA приймається автоматично під час реєстрації облікового запису — разом з акцептом Договору публічної оферти та всіх його невід’ємних частин; окреме підписання не вимагається (підписана копія надається за запитом).
2. Ролі
Володілець визначає мету та засоби обробки. Розпорядник (Domovleno) обробляє персональні дані виключно з метою та в обсязі, визначених цим DPA, Договором і задокументованими інструкціями Володільця (стаття 4 Закону № 2297-VI).
3. Предмет обробки
- Категорії суб’єктів даних: клієнти Володільця, його працівники та відвідувачі, які записуються через Domovleno.
- Категорії персональних даних: ім’я, електронна пошта, телефон, історія записів, нотатки про послуги, платіжні метадані.
- Характер обробки: зберігання та керування записами, клієнтами, персоналом і платежами; надсилання налаштованих Володільцем сповіщень; формування звітів про оплати для бухгалтерського обліку Володільця на його доручення; а якщо Володілець використовує опційні AI-функції Domovleno — передача відповідних даних нашому AI-субобробнику для генерування відповідей асистента, пропозицій бренду та автоматизованого ранжування можливостей повернення клієнтів (ранжування використовує лише анонімні числові сигнали). AI-функції застосовуються виключно за вказівкою Володільця — їх увімкненням і використанням.
- Тривалість: строк дії Сервісу плюс 30 днів, після чого дані остаточно видаляються.
4. Субобробники
Domovleno залучає наведених нижче субобробників. Володілець надає загальний дозвіл на цей перелік під час реєстрації; про будь-яке додавання чи заміну Domovleno повідомляє Володільця щонайменше за 30 днів, щоб Володілець міг заперечити.
- mono (АТ «УНІВЕРСАЛ БАНК»), LiqPay (АТ КБ «ПриватБанк») та Stripe — обробка онлайн-оплат карткою. Оплати проходять через власний рахунок еквайрингу Володільця в обраного надавача та надходять безпосередньо Володільцю; Domovleno не зберігає кошти й повні дані карток.
- Resend — доставлення транзакційних email (підтвердження, нагадування, сповіщення).
- Twilio — доставлення SMS, включно з нагадуваннями та сповіщеннями.
- PostHog — продуктова аналітика та запис сесій, з маскуванням введення та повним виключенням публічного застосунку запису із запису сесій.
- Anthropic PBC (Claude, США) — AI-постачальник для опційних AI-функцій Domovleno (AI-асистент адмінки, генерація бренду, ранжування можливостей повернення). Обробляє дані Володільця лише тоді, коли Володілець активно використовує одну з цих функцій. За комерційними умовами Anthropic дані не використовуються для навчання моделей, а вхідні та вихідні дані API видаляються протягом 30 днів; обробка здійснюється у США на підставі Угоди про обробку даних Anthropic зі Стандартними договірними положеннями ЄС.
- Постачальники хмарної інфраструктури та хостингу — сервери, сховища та шифровані резервні копії.
5. Безпека
Domovleno вживає технічних та організаційних заходів, відповідних ризику (стаття 24 Закону № 2297-VI): шифрування всього трафіку під час передавання, хешування облікових даних, ізоляція даних кожного бізнесу, рольовий доступ до продакшн-систем, аудит-журналювання адміністративних дій та регулярні шифровані резервні копії. Огляд опубліковано на сторінці безпеки.
6. Запити суб’єктів даних
Більшість запитів суб’єктів даних Володілець може виконати безпосередньо в Domovleno: запис клієнта можна експортувати в машинозчитуваному форматі або стерти (анонімізувати та прибрати зі списків і пошуку) прямо з облікового запису. З усім, чого застосунок не покриває, Domovleno допомагає Володільцю в розумні строки (доступ, виправлення, видалення, перенесення) — протягом семи робочих днів; надсилайте такі запити через сторінку контактів.
7. Обов’язки володільця
Володілець, своєю чергою, відповідає за:
- наявність законної підстави обробки для кожної категорії даних, які він вносить у Сервіс (згода клієнта, виконання договору чи інша підстава за статтею 11 Закону № 2297-VI), та інформування своїх клієнтів про обробку;
- отримання окремої згоди на маркетингові повідомлення (SMS-розсилки повернення надсилаються лише клієнтам, які явно погодилися);
- дані особливого ризику: якщо Володілець зберігає в нотатках відомості про стан здоров’я клієнтів (наприклад, алергії чи протипоказання), обробка таких даних може потребувати повідомлення Уповноваженого Верховної Ради України з прав людини відповідно до статті 9 Закону № 2297-VI — цей обов’язок лежить на Володільці. Domovleno не призначений для ведення медичних записів;
- точність внесених даних та своєчасне виконання прав суб’єктів даних.
8. Аудити
На запит Domovleno заповнює анкети безпеки та надає письмовий опис своїх технічних і організаційних заходів. Звіти незалежних аудитів надаватимуться під NDA в міру їх отримання.
9. Транскордонна передача
Передача персональних даних за межі України здійснюється відповідно до статті 29 Закону № 2297-VI: до держав ЄС/ЄЕП і сторін Конвенції Ради Європи № 108 — як до держав, що забезпечують належний захист, а до інших країн (зокрема США, де розташовані окремі субобробники) — на підставі договірних гарантій захисту, погоджених із кожним субобробником. Для даних, що походять із ЄС/ЄЕП, застосовуються механізми GDPR, як-от Стандартні договірні положення. Це стосується й нашого AI-субобробника (Anthropic, США) під час використання AI-функцій: передача здійснюється на підставі Угоди про обробку даних Anthropic, що включає Стандартні договірні положення ЄС; дані не використовуються для навчання моделей і видаляються протягом 30 днів. Акцептуючи Договір, Володілець доручає Domovleno такі передачі в межах надання Сервісу. Деталі про місця обробки надаємо на запит.
10. Припинення
Після припинення Сервісу Domovleno видаляє або повертає всі персональні дані протягом 30 днів, якщо законодавство не вимагає їх зберігання. Резервні копії вибувають ще через 30 днів.
11. Відповідальність
Відповідальність за цим DPA регулюється обмеженнями, визначеними в Договорі публічної оферти та Умовах надання послуг.
Потрібна підписана копія з печаткою вашої компанії? Напишіть нам через сторінку контактів — ми готуємо DPA протягом кількох робочих днів.