Додаток про обробку персональних даних

Цей Додаток про обробку персональних даних («DPA») доповнює та є складовою Умови надання послуг CreatorStore і будь-якої іншої угоди між CreatorStore Labs LLC («CreatorStore», «Процесор», «ми», «нас») і кріейтором, який прийняв Умови надання послуг («Кріейтор», «Контролер», «ви»). DPA застосовується, коли CreatorStore обробляє персональні дані покупців кріейтора від його імені.

Якщо цей DPA є частиною прийнятих Умов надання послуг CreatorStore або іншої угоди з кріейтором, він застосовується до персональних даних покупців, які CreatorStore обробляє за дорученням кріейтора. Кріейтори, які не погоджуються із застосовними умовами обробки, не повинні використовувати функції, що потребують такої обробки.

1. Визначення

Терміни цього DPA мають значення, визначені в Умовах надання послуг, якщо нижче не встановлено інше. Зокрема:

«Застосовне законодавство про захист даних» означає всі закони й нормативні акти щодо обробки персональних даних за цим DPA, включно із Загальним регламентом ЄС про захист даних (Регламент (ЄС) 2016/679, «GDPR»), британським Data Protection Act 2018 та UK GDPR, Федеральним законом Швейцарії про захист даних («FADP»), каліфорнійським CCPA зі змінами («CCPA/CPRA») та іншими аналогічними національними чи регіональними законами.

«Контролер» означає фізичну або юридичну особу, яка визначає цілі та засоби обробки персональних даних. У термінології CCPA/CPRA йому відповідає «Business».

«Персональні дані покупців» означають персональні дані покупців, потенційних покупців, підписників або відвідувачів сайтів кріейтора, які CreatorStore обробляє від імені кріейтора через Сервіс.

«Суб’єкт даних» означає ідентифіковану фізичну особу або фізичну особу, яку можна ідентифікувати, чиї персональні дані обробляються.

«Персональні дані» означають будь-яку інформацію про ідентифіковану фізичну особу або особу, яку можна ідентифікувати, відповідно до застосовного законодавства. За CCPA/CPRA аналогічним терміном є «Personal Information».

«Порушення безпеки персональних даних» означає порушення безпеки, що призвело до випадкового чи незаконного знищення, втрати, зміни, несанкціонованого розкриття персональних даних або доступу до них під час передачі, зберігання чи іншої обробки.

«Обробка» означає будь-яку операцію чи сукупність операцій із персональними даними, автоматизовану або неавтоматизовану.

«Процесор» означає фізичну або юридичну особу, що обробляє персональні дані від імені Контролера. За CCPA/CPRA цьому поняттю відповідають «Service Provider» або «Contractor».

«Субпроцесор» означає будь-яку третю сторону, яку CreatorStore залучає до обробки персональних даних покупців від імені кріейтора.

«Стандартні договірні положення» («SCC») означають стандартні положення щодо передачі персональних даних до третіх країн, затверджені Європейською комісією (Рішення (ЄС) 2021/914), або, залежно від ситуації, британський International Data Transfer Addendum.

2. Ролі та сфера застосування

a. Ролі. Коли CreatorStore обробляє персональні дані покупців виключно за документованими інструкціями кріейтора, кріейтор є Контролером, а CreatorStore — Процесором. Водночас CreatorStore може діяти як незалежний Контролер щодо обробки, для якої самостійно визначає цілі й засоби, як описано в Політика конфіденційності . Ролі сторін визначаються фактичними операціями та законом, а не лише їхніми назвами. Кожна сторона відповідає за власні законодавчі обов’язки.

b. Окрема обробка CreatorStore. CreatorStore обробляє певні персональні дані як незалежний Контролер для власних цілей (зокрема керування акаунтами, покращення Сервісу, запобігання шахрайству та виконання законодавчих вимог). Така обробка регулюється Політика конфіденційності CreatorStore і не входить до сфери дії цього DPA.

c. Предмет, характер і мета. Цей DPA охоплює дані покупців, які CreatorStore зберігає або обробляє від імені кріейтора для роботи магазинів, ведення записів про покупки й бронювання, комунікацій та інших активованих функцій Сервісу. Обробка може включати збирання, запис, упорядкування, зберігання, пошук, розкриття відповідному кріейтору, передачу, обмеження обробки й видалення. Мета — надання функцій, які налаштував і використовує кріейтор, відповідно до інструкцій у розділі 3.

d. Категорії суб’єктів даних. Покупці, потенційні покупці, підписники та відвідувачі магазинів кріейторів.

e. Категорії персональних даних. Залежно від функцій і наданих відомостей це можуть бути імена й електронні адреси покупців, дати замовлень і назви продуктів, деталі бронювання, номери або ідентифікатори замовлень і транзакцій, повідомлення через підтримувані функції Сервісу та технічні дані, як-от IP-адреси. Інші поля включаються лише тією мірою, якою CreatorStore фактично обробляє їх від імені кріейтора. Дані платіжних карток, які незалежно обробляють платіжні провайдери, не включаються, якщо CreatorStore їх фактично не отримує чи не обробляє.

f. Строк. Обробка за цим DPA триває протягом відповідної угоди з кріейтором і обмеженого періоду, необхідного для виконання законних документованих інструкцій щодо повернення чи видалення та обов’язкових строків зберігання згідно з розділом 10. Окрема обробка CreatorStore як Контролером регулюється Політикою конфіденційності, а не цим DPA.

3. Інструкції та обробка даних

CreatorStore обробляє персональні дані покупців лише за документованими інструкціями кріейтора, зокрема щодо міжнародних передач, крім випадків, коли інша обробка вимагається законом. У такому разі CreatorStore завчасно повідомляє кріейтора про відповідну вимогу, якщо закон не забороняє повідомлення.

Документованими інструкціями кріейтора є: (i) Умови надання послуг, цей DPA та налаштування Сервісу, визначені кріейтором; (ii) додаткові письмові інструкції кріейтора, прийняті CreatorStore. Якщо, на думку CreatorStore, інструкція порушує застосовне законодавство про захист даних, ми повідомимо про це кріейтора.

4. Конфіденційність

CreatorStore забезпечує, щоб особи, уповноважені обробляти персональні дані покупців, взяли на себе зобов’язання про конфіденційність або були пов’язані відповідним законодавчим обов’язком.

5. Безпека

CreatorStore запроваджує належні технічні та організаційні заходи для забезпечення рівня безпеки, відповідного ризикам, з урахуванням сучасного рівня технологій, витрат на впровадження, характеру, обсягу, контексту й цілей обробки, а також імовірності та тяжкості ризиків для прав і свобод суб’єктів даних. Заходи, залежно від обставин, включають:

Заходи добираються з огляду на ризики та можуть включати контроль доступу, захищену передачу, моніторинг систем, резервне копіювання та відновлення, належну автентифікацію, усунення вразливостей і перевірку постачальників. Конкретні технічні й організаційні заходи мають відповідати фактично впровадженим у CreatorStore. Цей опис не є обіцянкою конкретної сертифікації, архітектури шифрування чи строку відновлення.

6. Субпроцесори

a. Загальний дозвіл. Кріейтор надає CreatorStore загальний дозвіл залучати субпроцесорів для обробки даних покупців відповідно до цього розділу 6.

b. Поточні субпроцесори. CreatorStore залучає субпроцесорів лише в обсязі, необхідному для відповідних функцій Сервісу. Актуальний список із назвами субпроцесорів, їхніми функціями та місцями обробки можна отримати за адресою [email protected] . Постачальник вважається субпроцесором за цим DPA лише тією мірою, якою обробляє дані покупців від імені CreatorStore; незалежні платіжні провайдери можуть мати власні юридичні ролі. Заплановані, але ще неактивні функції, зокрема ШІ, не подаються як чинні субпроцесори.

c. Нові субпроцесори та право заперечення. CreatorStore завчасно повідомлятиме про заплановане залучення чи заміну субпроцесорів документованим способом, доступним кріейторам, і надаватиме розумну можливість заперечити з підстав захисту даних до набрання зміною чинності відповідно до закону. Кріейтор може подати заперечення на [email protected] . Сторони прагнутимуть узгодити рішення; за відсутності рішення можуть розглянути припинення відповідної обробки або функції Сервісу з урахуванням закону та договірних прав.

d. Договори з субпроцесорами. CreatorStore покладає на кожного субпроцесора договірні обов’язки щодо захисту даних не менш суворі, ніж у цьому DPA. CreatorStore відповідає перед кріейтором за виконання субпроцесорами своїх зобов’язань відповідно до застосовного законодавства.

7. Права суб’єктів даних

CreatorStore з урахуванням характеру обробки та наскільки це можливо допомагатиме кріейтору належними технічними й організаційними заходами виконувати обов’язки щодо відповідей на запити суб’єктів даних за застосовним законодавством, включно з правами доступу, виправлення, видалення, обмеження обробки, переносимості та заперечення.

Якщо CreatorStore безпосередньо отримає запит суб’єкта даних щодо даних покупців, ми не відповідатимемо на нього без документованих інструкцій кріейтора, крім випадків, передбачених законом, і без невиправданої затримки повідомимо кріейтора про запит.

8. Допомога кріейтору у виконанні вимог законодавства

CreatorStore допомагатиме кріейтору, зважаючи на характер обробки й доступну нам інформацію, виконувати вимоги щодо: (a) безпеки обробки; (b) повідомлення про порушення безпеки персональних даних; (c) оцінок впливу на захист даних; (d) попередніх консультацій із наглядовими органами. Якщо така допомога потребує витрат понад звичайну підтримку, кріейтор погоджується відшкодувати обґрунтовані витрати.

9. Повідомлення про порушення безпеки персональних даних

CreatorStore без невиправданої затримки повідомить кріейтора про виявлене порушення безпеки, що стосується персональних даних покупців. Повідомлення міститиме, наскільки відомо на цей момент: характер порушення, категорії й приблизну кількість суб’єктів і записів, можливі наслідки, вжиті або запропоновані заходи та способи зменшення шкоди.

Кріейтор як Контролер відповідає за подальші повідомлення наглядових органів і суб’єктів даних у випадках, передбачених застосовним законодавством.

10. Видалення або повернення персональних даних

Після припинення або закінчення відповідних послуг обробки CreatorStore за вибором кріейтора безпечно видалить або поверне персональні дані покупців, оброблені від його імені, і видалить наявні копії, крім випадків законодавчо обов’язкового зберігання. Кріейтор може надати або оновити документовані інструкції щодо цього вибору. Якщо певну категорію даних неможливо експортувати через стандартну панель керування, CreatorStore забезпечить належний спосіб повернення або видалення за участю підтримки; відсутність самостійного експорту не скасовує обов’язку. Сторони узгодять розумний документований графік завершення відповідно до закону, а на запит CreatorStore підтвердить виконання.

Залишкові персональні дані покупців у резервних копіях матимуть обмежений доступ, будуть захищені від звичайної обробки й безпечно видалятимуться в межах задокументованого циклу резервного копіювання, крім обов’язкового зберігання за законом. У разі відновлення даних до їхнього видалення відповідні інструкції щодо видалення застосовуються повторно. Такий порядок не скасовує статті 28(3)(g) GDPR чи інших обов’язкових вимог; фактичний графік зберігання має документуватися й надаватися, коли це вимагається.

11. Аудити

CreatorStore надаватиме кріейтору всю інформацію, необхідну для підтвердження виконання зобов’язань за статтею 28 GDPR та аналогічним законодавством, а також дозволятиме аудити й перевірки та сприятиме їм, якщо їх проводить кріейтор або призначений ним аудитор, із дотриманням наведених нижче умов.

a. Частота й обсяг. Аудити повинні бути пропорційними характеру обробки та ризикам. Сторони спочатку розглянуть, чи достатньо актуальної документації з безпеки та незалежних оцінок (за наявності) для підтвердження відповідності. Цей розділ не обмежує аудити чи перевірки, передбачені статтею 28(3)(h) GDPR або вказівками компетентного наглядового органу.

b. Повідомлення та конфіденційність. Для планових аудитів сторони узгоджують розумний строк письмового попередження, обсяг, гарантії конфіденційності та практичні заходи, які мінімізують перешкоди й захищають дані інших користувачів. Ці заходи не повинні перешкоджати обов’язковому аудиту чи необґрунтовано його затримувати відповідно до статті 28(3)(h) GDPR, закону або вимог органу нагляду.

c. Звіти. Якщо CreatorStore має актуальні незалежні звіти з оцінювання, вони можуть надаватися з належним захистом конфіденційності. Такі звіти можуть підтверджувати відповідність, але не замінюють автоматично аудит або перевірку, якщо відповідно до закону обґрунтовано потрібна додаткова інформація.

d. Витрати. Кожна сторона самостійно несе звичайні витрати на дотримання вимог. Додаткові документально обґрунтовані витрати на надзвичайну допомогу чи окремо замовлений аудит можна узгодити заздалегідь у межах закону, однак плата не повинна унеможливлювати обов’язкові права на аудит або допомогу за статтею 28.

12. Міжнародна передача даних

a. Передачі за межі ЄЕЗ, Великої Британії та Швейцарії. Міжнародні передачі персональних даних покупців здійснюються лише відповідно до застосовного законодавства і за наявності належного механізму, наприклад рішення про адекватність або належно укладених стандартних договірних положень ЄС із заповненими необхідними додатками, британського Addendum чи іншого належного британського документа, а також швейцарських адаптацій, якщо вони потрібні. Цей DPA сам по собі не підтверджує укладення незаповнених SCC чи інших інструментів. Сторони мають належно оформити потрібні документи для обмежених передач, що на них спираються.

b. Додаткові гарантії. Якщо обмежена міжнародна передача потребує додаткових гарантій, CreatorStore та відповідні сторони оцінять і запровадять належні заходи з урахуванням характеру передачі, отримувача, законодавства та ризиків. Описи технічних або договірних гарантій мають відповідати фактичним заходам.

13. Положення CCPA/CPRA (Каліфорнія)

Якщо CreatorStore обробляє персональну інформацію мешканців Каліфорнії за визначенням CCPA/CPRA від імені кріейтора, CreatorStore діє як Service Provider (або, якщо застосовно, Contractor) і: (a) не продає та не передає таку інформацію у значенні «share»; (b) не зберігає, не використовує й не розкриває її для інших цілей, ніж комерційні цілі за договором із кріейтором, або інші дозволені CCPA/CPRA цілі; (c) не використовує її за межами прямих ділових відносин сторін; (d) виконує застосовні вимоги CCPA/CPRA; (e) забезпечує рівень захисту, якого CCPA/CPRA вимагає від кріейторів як Businesses. CreatorStore підтверджує розуміння й прийняття цих обмежень.

CreatorStore повідомить кріейтора, якщо встановить, що більше не може виконувати обов’язки за CCPA/CPRA. Кріейтор має право після відповідного повідомлення вжити розумних і належних заходів для припинення та усунення несанкціонованого використання персональної інформації.

14. Відповідальність

Відповідальність кожної сторони за цим DPA регулюється положеннями Умов надання послуг про обмеження відповідальності та виключення збитків. Цей DPA не має на меті обмежувати відповідальність сторін перед суб’єктами даних за застосовним законодавством, якщо таку відповідальність не можна виключити договором.

15. Пріоритет документів і загальні положення

У разі суперечності між цим DPA та Умовами надання послуг DPA має переважну силу у питаннях обробки персональних даних покупців. У разі суперечності між DPA та застосовними SCC перевагу мають SCC.

Цей DPA регулюється тим самим правом, що й Умови надання послуг, крім випадків, коли інше передбачено застосовним законодавством про захист даних.

Цей DPA може періодично оновлюватися за процедурою зміни, встановленою в Умовах надання послуг.

16. Контактна інформація

Питання щодо DPA: CreatorStore Labs LLC, 30 N Gould St, STE R, Sheridan, WY 82801, США. Електронна пошта: [email protected]