WHATSWHAT PRIME

Угода про обробку даних (DPA)

Відповідно до Article 28 GDPR

Ця Угода про обробку даних («DPA») є частиною Ліцензійної угоди між:

WhatsWhat Global Ltd, зареєстрованою в Ірландії («Контролер»),
та
[Licensed Partner Legal Name] («Процесор»).

Дата набуття чинності: 2026-03-08

Ця DPA застосовується там, де Процесор обробляє персональні дані від імені Контролера у зв'язку з Visibility Assessment™, Visibility Ladder™, Visibility Index™ або пов'язаними послугами екосистеми Prime.

1. Ролі сторін

Для цілей GDPR:

• WhatsWhat Global Ltd виступає Контролером даних.
• Ліцензований партнер виступає Процесором даних.

Процесор обробляє персональні дані лише на підставі задокументованих інструкцій від Контролера.

2. Предмет обробки

Процесор може обробляти персональні дані виключно для:

• Адміністрування Visibility Assessments
• Генерації оціночних звітів
• Управління адаптацією клієнтів
• Надання авторизованих послуг Prime
• Комунікації з клієнтами щодо ліцензованих послуг

Жодна інша обробка не дозволяється.

3. Категорії суб'єктів даних

Суб'єктами даних можуть бути:

• Власники бізнесу
• Директори компаній
• Співробітники
• Користувачі облікових записів
• Учасники маркетплейсу
• Професійні представники

4. Категорії персональних даних

Обробка може включати:

• Ім'я
• Адресу електронної пошти
• Номер телефону
• Бізнес-деталі
• Посаду
• Вхідні дані оцінки
• Інформацію профілю
• Технічні дані використання

Процесор не обробляє дані спеціальних категорій (Article 9 GDPR), якщо це прямо не авторизовано в письмовій формі.

5. Тривалість обробки

Обробка продовжується:

• Протягом дії Ліцензійної угоди
• До припинення дії ліцензії
• Або до письмової інструкції від Контролера

Після припинення персональні дані повинні бути видалені або повернуті відповідно до Пункту 11.

6. Зобов'язання процесора

Процесор зобов'язаний:

• Обробляти дані лише на підставі задокументованих інструкцій
• Забезпечити, щоб персонал підпадав під зобов'язання щодо конфіденційності
• Впроваджувати відповідні технічні та організаційні заходи безпеки
• Не залучати іншого процесора без попереднього письмового дозволу
• Допомагати Контролеру у відповідях на запити суб'єктів даних
• Допомагати в дотриманні Articles 32–36 GDPR (безпека, повідомлення про порушення, DPIA)
• Вести записи про діяльність з обробки
• Надавати інформацію для аудитів

7. Заходи безпеки

Процесор повинен впровадити:

• Засоби контролю доступу
• Захищені політики паролів
• Шифровану передачу (HTTPS)
• Захищене зберігання
• Рольовий доступ до даних
• Засоби безпеки пристроїв

Безпека повинна відображати рівень ризику.

8. Субпроцесори

Процесор не призначає субпроцесорів без:

• Попереднього письмового дозволу від Контролера
• Обов'язкових договірних гарантій
• Еквівалентної відповідності GDPR

Процесор несе повну відповідальність за дії субпроцесора.

9. Міжнародні передачі

Процесор не передає персональні дані за межі EEA, якщо:

• Не існують відповідні гарантії
• Не впроваджені Standard Contractual Clauses
• Не отримано письмового дозволу

10. Права суб'єктів даних

Якщо Процесор отримує запит суб'єкта даних (наприклад, доступ, видалення), він зобов'язаний:

• Негайно повідомити Контролера
• Не відповідати безпосередньо, якщо не авторизовано
• Надати допомогу там, де це вимагається

11. Видалення або повернення даних

Після припинення Ліцензійної угоди:

• Процесор видаляє або повертає всі персональні дані
• Підтверджує видалення в письмовій формі
• Зберігає лише дані, що вимагаються законом

12. Повідомлення про порушення даних

Процесор зобов'язаний:

• Повідомити Контролера протягом 48 годин після виявлення порушення персональних даних
• Надати деталі порушення
• Співпрацювати у виправленні ситуації

Процесор не повідомляє наглядові органи без координації.

13. Права на аудит

Контролер може:

• Запросити документацію
• Проводити дистанційні аудити відповідності
• Вимагати доказів заходів безпеки

Частота аудитів повинна бути розумною.

14. Відповідальність

Кожна сторона несе відповідальність відповідно до GDPR та Ліцензійної угоди.

Процесор відшкодовує Контролеру збитки, спричинені:

• Недотриманням GDPR
• Порушенням цієї DPA
• Несанкціонованою обробкою

15. Чинне право

Ця DPA регулюється законами Ірландії. Спори підлягають юрисдикції ірландських судів.

16. Порядок пріоритетності

У разі конфлікту між цією DPA та Ліцензійною угодою ця DPA переважає щодо питань захисту даних.