Договір про обробку даних (DPA)

1. Сторони й обсяг

Цей Договір про обробку даних (DPA) є частиною Умов для компаній між Замовником (контролером) і Виконавцем (обробником), названими в Order Form. Він стосується персональних даних, які Виконавець обробляє від імені Замовника, тестуючи його застосунки (Персональні дані Замовника). Власну обробку контактів і даних акаунта Замовника Виконавцем описано в Політиці конфіденційності.

2. Вказівки

Виконавець обробляє Персональні дані Замовника лише за задокументованими вказівками Замовника: Умовами для компаній, Order Form, тест-планом і письмовими проханнями в чаті проєкту. Він повідомляє Замовника, якщо вказівка, на його думку, порушує законодавство про захист даних.

3. Конфіденційність і безпека

Усі, хто обробляє Персональні дані Замовника, зв'язані конфіденційністю. Виконавець застосовує заходи з Додатка II і підтримує їх щонайменше на цьому рівні.

4. Субобробники

Замовник дає загальний дозвіл на субобробників з Додатка III. Виконавець повідомляє Замовника листом щонайменше за 10 робочих днів до того, як додати чи замінити субобробника. За цей час Замовник може заперечити з обґрунтованих причин захисту даних; якщо рішення не знайдено, Замовник може припинити відповідну послугу з поверненням передоплати за невикористаний період. Субобробники мають обов'язки не менш захисні, ніж у цьому DPA, і Виконавець відповідає за них.

5. Допомога, порушення й аудити

Наскільки це розумно можливо, Виконавець допомагає Замовнику відповідати на запити суб'єктів даних, проводити оцінку впливу на захист даних і виконувати обов'язки щодо безпеки.

Про порушення безпеки, що зачіпає Персональні дані Замовника, Виконавець повідомляє без зайвої затримки й не пізніше ніж за 48 годин після того, як дізнався, з наявною на той момент інформацією.

Раз на рік або після порушення Замовник може попросити заповнену анкету безпеки й докази заходів. Аудити на місці погоджуються письмово заздалегідь і проводяться коштом Замовника.

6. Видалення й повернення

Тестові доступи видаляються протягом 14 днів після завершення роботи. Звіти й скріншоти в них лишаються в проєкті Замовника, доки Замовник не видалить проєкт чи не попросить їх видалити. Інші Персональні дані Замовника після завершення послуг видаляються або повертаються — на вибір Замовника, якщо закон не вимагає їх зберігати.

7. Міжнародна передача

Виконавець і його команда працюють з України, щодо якої немає рішення ЄС про адекватність; перегляд з України даних, що зберігаються в ЄС, — теж передача. Для передачі персональних даних, на які поширюється GDPR, сторони включають за посиланням Стандартні договірні умови, затверджені Імплементаційним рішенням Комісії (ЄС) 2021/914: Модуль 2 (контролер — обробник) між Замовником і Виконавцем і Модуль 3 (обробник — обробник), коли Виконавець залучає субобробника поза ЄЕЗ. Пункт 7 (приєднання) застосовується; за пунктом 9 — варіант 2 з повідомленням за 10 робочих днів; необов'язкове формулювання пункту 11 не застосовується; за пунктами 17 і 18 — право й суди Ірландії. Додатки I–III цього DPA доповнюють Умови.

Для персональних даних, на які поширюється UK GDPR, застосовується Доповнення про міжнародну передачу даних до Стандартних договірних умов ЄС, видане Комісаром з питань інформації Великої Британії. Виконавець оцінив ризики передачі й застосовує додаткові заходи з Додатка II.

8. Перевага й строк

Цей DPA діє, доки Виконавець обробляє Персональні дані Замовника. Якщо він суперечить Умовам для компаній, переважає цей DPA; якщо суперечить Стандартним договірним умовам — переважають Стандартні договірні умови. Ця редакція діє з 24 жовтня 2026 року.

Додаток I. Опис обробки

Суб'єкти даних: працівники Замовника, які користуються проєктом; користувачі тестових акаунтів Замовника; кінцеві користувачі Замовника — лише якщо їхні дані видно в середовищі, до якого Замовник дав доступ.

Категорії даних: логіни тестових акаунтів; імена й пошта тестових акаунтів і працівників Замовника; дані, видимі на екранах під час тестування; скріншоти й логи у звітах. Особливі категорії даних не передбачені; Замовнику варто давати доступ до тестових середовищ із синтетичними чи замаскованими даними.

Характер і мета: ручне й автоматизоване тестування застосунків Замовника на баги й вразливості, звіти, ретести й лист для анкет безпеки. Частота: безперервно протягом підписки чи замовлення. Строк: строк послуг і зберігання, описане в розділі 6.

Додаток II. Технічні й організаційні заходи

Логіни тестових акаунтів зберігаються зашифрованими, показуються членам команди лише за потреби, і кожен перегляд записується в журнал; їх ніколи не надсилають у чаті чи поштою.

Усі з'єднання — через TLS. Члени команди мають індивідуальні акаунти з двофакторною автентифікацією й зашифровані комп'ютери та отримують лише потрібний для роботи доступ; доступ припиняється, щойно людина виходить з проєкту.

Тестування ведеться окремими тестовими акаунтами й за замовчуванням у тестових середовищах. Робочий застосунок тестується лише окремими акаунтами, без масових дій, вивантажень даних і атак на відмову в обслуговуванні.

Скріншоти й звіти по можливості не містять справжніх персональних даних; докази обмежені тим, що потрібно, щоб відтворити знахідку. Сповіщення в месенджер команди не містять Персональних даних Замовника.

AI-інструменти використовуються лише на умовах без навчання на даних Замовника й ніколи не отримують паролів чи ключів.

Кожен член команди підписує угоду про конфіденційність. Інциденти обробляються за письмовою процедурою з повідомленням Замовника протягом 48 годин. Резервні копії зашифровані; платформа оновлюється, і її власна безпека тестується.

Додаток III. Субобробники

Contabo — хостинг серверів платформи piperlink і її бази даних.

Cloudflare, Inc. — мережевий захист і доставка piperlink.com.

WayForPay — оплата карткою; отримує лише платіжні дані, ніколи — дані з тестування.

Google — вхід через Google, лише для тих, хто його обирає.

Підрядники Виконавця в Україні, зв'язані конфіденційністю, — тестування, виправлення й налаштування за вказівками Виконавця.