Договір про обробку даних

Цей договір укладається між центром або спеціалістом, який вносить дані у ProABA (далі «Контролер»), і Юлією Ластовецькою, фізичною особою, яка надає сервіс ProABA (далі «Обробник»), контактна адреса julia.lastovetska@gmail.com.

Контролер вирішує, дані яких дітей вносити й навіщо. Обробник зберігає й показує ці дані за дорученням Контролера і не використовує їх для власних цілей.

Договір набуває чинності в момент, коли власник центру приймає його в застосунку, і діє, поки центр користується ProABA.

Обробник зберігає й обробляє дані виключно для того, щоб Контролер міг вести програми розвитку своїх учнів: створювати цілі, фіксувати проби, вести журнал поведінки, готувати звіти, проводити онлайн-заняття.

Обробка триває, поки в Контролера є акаунт у ProABA. Після припинення договору дані доступні для вивантаження ще 90 днів, після чого видаляються на вимогу Контролера.

Обробник не приймає рішень щодо дітей, не веде терапію і не втручається в зміст програм.

Суб'єкти даних: діти, які проходять терапію в Контролера; їхні батьки або опікуни; спеціалісти й куратори Контролера.

Дані дітей: ім'я і прізвище або код, дата народження, стать, діагноз і медичні нотатки, адреса й контакти батьків, цілі терапії, результати проб, спостереження, фото- й аудіоматеріали, відео онлайн-занять під час їх проведення.

Дані спеціалістів: адреса електронної пошти, ім'я і прізвище, роль у центрі, обрана мова, технічні записи входу.

Дані про здоров'я дитини належать до особливої категорії за статтею 9 GDPR. Контролер підтверджує, що має письмову згоду батьків або опікунів на їх обробку.

Обробник зобов'язується:

обробляти дані лише за задокументованими вказівками Контролера і лише в обсязі, потрібному для роботи сервісу;

забезпечити, щоб доступ до даних мали лише ті працівники, яким він потрібен, і щоб вони були зобов'язані зберігати конфіденційність;

допомагати Контролеру відповідати на звернення батьків щодо їхніх прав: доступу до даних, виправлення, видалення, отримання копії;

надати Контролеру можливість самостійно вивантажити всі свої дані у звичайних файлах у будь-який момент, без звернення до Обробника;

повідомити Контролера, якщо вказівка Контролера, на думку Обробника, порушує закон про захист даних.

Контролер надає загальний дозвіл на залучення субобробників. Обробник відповідає за їхні дії як за власні й укладає з кожним договір не менш суворий, ніж цей.

Станом на редакцію цього договору залучені:

Supabase Inc. (США, дані розміщені в регіоні ЄС, Ірландія) - база даних, сховище файлів і система входу. Отримує всі дані, які вносить Контролер.

Vercel Inc. (США) - хостинг застосунку. Отримує технічні дані запитів: адресу IP, тип браузера, відкриті сторінки.

Daily.co (США, сервери в ЄС і США залежно від з'єднання) - відео й аудіо онлайн-занять. Отримує потік заняття в момент його проведення. Запис вмикається лише за окремою згодою учасників.

Resend Inc. (США) - надсилання службових листів. Отримує адресу електронної пошти й ім'я одержувача.

Обробник повідомляє Контролера про заміну або додавання субобробника завчасно. Контролер має право заперечити.

Обробник застосовує технічні й організаційні заходи, співмірні з ризиком:

шифрування даних під час передавання (TLS/HTTPS) і у сховищі;

розмежування доступу на рівні кожного рядка бази, тобто спеціаліст бачить лише тих учнів, до яких йому надано доступ;

журнал дій, у якому видно, хто і коли змінював клінічні записи;

щоденне резервне копіювання з перевіркою цілісності;

окремий режим «лише перегляд» для батьків, який діє на рівні бази, а не лише в інтерфейсі.

Якщо стався витік або інше порушення захисту даних, Обробник повідомляє Контролера без невиправданої затримки і не пізніше ніж за 48 годин після того, як дізнався про нього.

У повідомленні Обробник вказує характер порушення, приблизну кількість зачеплених суб'єктів і записів, імовірні наслідки та вжиті заходи.

Обов'язок повідомити наглядовий орган і батьків лежить на Контролері. Обробник надає всю інформацію, потрібну для такого повідомлення.

Контролер може будь-коли самостійно вивантажити всі свої дані з застосунку: готові документи по кожному учневі, оригінали завантажених файлів і повний машинний дамп.

Після припинення договору дані доступні для вивантаження ще 90 днів. Далі, на вибір Контролера, Обробник повертає їх або видаляє.

Резервні копії зберігаються обмежений час і перезаписуються за розкладом. Дані з них не відновлюються після видалення на вимогу Контролера, окрім випадків, коли закон вимагає їх зберігати.

Окремо: Контролер може перевести учня в архів. Архівні дані зберігаються стільки, скільки вимагає етичний кодекс поведінкового аналітика, і не рахуються в ліміт тарифу.

Обробник надає Контролеру всю інформацію, потрібну, щоб довести виконання цього договору.

Контролер має право провести перевірку не частіше ніж раз на рік, попередивши за 30 днів, або доручити її незалежному аудитору. Перевірка не має порушувати конфіденційність даних інших клієнтів Обробника.

Витрати на перевірку несе Контролер, окрім випадку, коли перевірка виявила порушення з боку Обробника.

Клінічні дані зберігаються в регіоні ЄС. Окремі субобробники, перелічені в розділі 5, зареєстровані в США й отримують частину даних.

Такі передавання відбуваються на підставі стандартних договірних положень Європейської Комісії, а для сервісів, сертифікованих за EU-U.S. Data Privacy Framework, на підставі цього рішення про адекватність.

Обробник не передає дані державним органам третіх країн, окрім випадків, коли цього прямо вимагає закон, і повідомляє Контролера про таку вимогу, якщо закон цього не забороняє.