Угода про обробку даних

Чинна з 4 листопада 2026 року.

1. СФЕРА ЗАСТОСУВАННЯ ТА СТОРОНИ

1.1. Ця Угода про обробку даних є частиною Умов надання послуг, укладених між Клієнтом та OVERVIS OÜ («Overvis»). Вона застосовується, коли Overvis обробляє персональні дані від імені Клієнта під час надання Системи. Терміни, визначені в Умовах надання послуг, мають у цій Угоді про обробку даних те саме значення.

1.2. Клієнт є контролером або обробником, що діє від імені свого контролера, щодо персональних даних, які Клієнт або його Агенти передають до Системи або які Система збирає з обладнання Клієнта («Персональні дані Клієнта»). Overvis є обробником або субобробником Персональних даних Клієнта.

1.3. Ця Угода про обробку даних не застосовується до персональних даних, які Overvis обробляє як контролер, зокрема до даних облікового запису, даних для виставлення рахунків і даних про використання. Таку обробку описано в Політиці конфіденційності.

1.4. «GDPR» означає Регламент (ЄС) 2016/679. Терміни «персональні дані», «обробка», «контролер», «обробник», «суб’єкт даних» і «порушення безпеки персональних даних» мають значення, наведене в GDPR.

1.5. У разі розбіжностей між цією Угодою про обробку даних та Умовами надання послуг щодо обробки Персональних даних Клієнта переважну силу має ця Угода про обробку даних.

2. ВІДОМОСТІ ПРО ОБРОБКУ

2.1. Предмет: надання Системи відповідно до Умов надання послуг.

2.2. Тривалість: строк дії Умов надання послуг, а також період після його закінчення до видалення Персональних даних Клієнта відповідно до розділу 10.

2.3. Характер і мета: розміщення, зберігання, передача, відображення, аналіз і видалення даних у міру необхідності для надання Системи, зокрема зчитування значень з обладнання Клієнта та їх запис у нього, виконання автоматизацій, надсилання сповіщень і відповіді на запити до ШІ-асистента.

2.4. Види персональних даних: імена, адреси електронної пошти, номери телефонів та інші контактні дані користувачів і одержувачів сповіщень; зміст повідомлень ШІ-асистенту, файли, панелі та інший вміст, створений у Системі; історія дій і журнали; а також будь-які персональні дані, що містяться в показниках обладнання або іншим чином внесені Клієнтом.

2.5. Категорії суб’єктів даних: співробітники та підрядники Клієнта й інші користувачі, запрошені до його робочих просторів, одержувачі сповіщень, а також будь-які інші особи, персональні дані яких Клієнт вносить до Системи.

2.6. Клієнт не передаватиме до Системи особливі категорії персональних даних, зазначені в статті 9 GDPR, або персональні дані, що стосуються судимостей і кримінальних правопорушень.

3. ВКАЗІВКИ

3.1. Overvis обробляє Персональні дані Клієнта лише за задокументованими вказівками Клієнта, зокрема щодо передачі даних до третіх країн, якщо інше не вимагається правом Європейського Союзу або держави-члена. У такому разі Overvis повідомляє Клієнта про цю правову вимогу до початку обробки, якщо таке право не забороняє такого повідомлення.

3.2. Умови надання послуг, ця Угода про обробку даних, а також використання та конфігурація Системи Клієнтом, зокрема налаштування, автоматизації та запити, здійснені через його обліковий запис, API або ШІ-асистента, становлять повні вказівки Клієнта. Додаткові вказівки потребують письмової згоди Overvis.

3.3. Overvis негайно повідомляє Клієнта, якщо, на його думку, вказівка порушує GDPR або інше законодавство про захист даних.

3.4. Клієнт несе відповідальність за законність обробки, зокрема за наявність для неї правової підстави та за надання суб’єктам даних інформації, якої вимагає законодавство.

4. КОНФІДЕНЦІЙНІСТЬ

4.1. Overvis забезпечує, щоб особи, яких він уповноважує обробляти Персональні дані Клієнта, були зобов’язані дотримуватися конфіденційності, і надає їм доступ лише в обсязі, необхідному для надання Системи, підтримки Клієнта, забезпечення безпеки Системи або виконання вимог законодавства.

5. БЕЗПЕКА

5.1. Overvis впроваджує технічні та організаційні заходи, описані в Додатку 2, для забезпечення рівня безпеки, що відповідає ризику, як того вимагає стаття 32 GDPR. Overvis може змінювати ці заходи за умови, що загальний рівень безпеки не знижується.

5.2. Клієнт несе відповідальність за безпеку свого облікового запису, способів входу та ключів API своїх користувачів, ролей, які він призначає, а також власного обладнання та мереж.

6. СУБОБРОБНИКИ

6.1. Клієнт надає Overvis загальний дозвіл на залучення субобробників. Перелік чинних субобробників наведено в Додатку 1.

6.2. Overvis повідомляє Клієнта про будь-яке заплановане додавання або заміну субобробника шляхом оновлення Додатка 1 до набрання такою зміною чинності. Клієнт може заперечити проти зміни з обґрунтованих підстав, пов’язаних із захистом даних, написавши на адресу support@overvis.com до набрання нею чинності. Якщо Сторони не можуть врегулювати заперечення, єдиним засобом захисту Клієнта є припинення використання Системи та видалення свого облікового запису.

6.3. Overvis покладає на кожного субобробника зобов’язання щодо захисту даних, які по суті є такими самими, як у цій Угоді про обробку даних, і залишається відповідальним перед Клієнтом за виконання субобробниками їхніх зобов’язань.

7. МІЖНАРОДНА ПЕРЕДАЧА ДАНИХ

7.1. Overvis передає Персональні дані Клієнта за межі Європейського Союзу або Європейської економічної зони, зокрема постачальникам ШІ-моделей, описаним у розділі 6 Умов надання послуг, лише за умови дотримання вимог глави V GDPR, наприклад на підставі рішення про адекватність, зокрема Рамкової програми захисту даних ЄС — США (EU-U.S. Data Privacy Framework), або на підставі Стандартних договірних положень, затверджених Європейською комісією.

8. СПРИЯННЯ

8.1. З урахуванням характеру обробки Overvis сприяє Клієнту, вживаючи відповідних технічних і організаційних заходів, у розгляді запитів суб’єктів даних щодо реалізації їхніх прав. Більшість Персональних даних Клієнта Клієнт може самостійно переглядати, експортувати, виправляти та видаляти в Системі. Overvis пересилає Клієнту будь-який отриманий ним запит суб’єкта даних щодо Персональних даних Клієнта і не відповідає на нього самостійно, якщо Клієнт не доручить йому це зробити.

8.2. З урахуванням характеру обробки та інформації, доступної Overvis, Overvis сприяє Клієнту у виконанні його обов’язків за статтями 32–36 GDPR щодо безпеки, повідомлення про порушення безпеки персональних даних, оцінки впливу на захист даних і попередньої консультації.

8.3. Overvis може стягувати плату за сприяння, що виходить за межі функцій, доступних у Системі.

9. ПОРУШЕННЯ БЕЗПЕКИ ПЕРСОНАЛЬНИХ ДАНИХ

9.1. Overvis повідомляє Клієнта без невиправданої затримки після того, як дізнається про порушення безпеки персональних даних, що стосується Персональних даних Клієнта, електронним листом на адресу електронної пошти облікового запису Клієнта. Повідомлення описує, наскільки це відомо, характер порушення, категорії та приблизну кількість суб’єктів даних і записів, яких воно стосується, його ймовірні наслідки, а також вжиті або запропоновані заходи. Інформацію може бути надано поетапно.

9.2. Повідомлення про порушення безпеки персональних даних не є визнанням Overvis своєї вини чи відповідальності.

10. ВИДАЛЕННЯ

10.1. Після припинення надання Системи Overvis видаляє Персональні дані Клієнта, як описано в пункті 11.4 Умов надання послуг, якщо право Європейського Союзу або держави-члена не вимагає їх зберігання. Протягом зазначеного там строку Клієнт може завантажити свої дані за допомогою інструментів, доступних у Системі.

10.2. Персональні дані Клієнта, що містяться в резервних копіях, якщо такі є, видаляються, коли ці резервні копії замінюються у звичайному порядку.

11. АУДИТИ

11.1. На письмовий запит, надісланий на адресу support@overvis.com, Overvis надає Клієнту інформацію, необхідну для підтвердження дотримання статті 28 GDPR.

11.2. Якщо цієї інформації недостатньо, Overvis дозволяє проведення аудитів, зокрема перевірок, Клієнтом або аудитором, уповноваженим Клієнтом і зобов’язаним дотримуватися конфіденційності. Аудит може проводитися не частіше ніж один раз на рік, з повідомленням щонайменше за 30 днів, у робочий час, без порушення роботи Системи та без доступу до даних інших клієнтів. Клієнт несе витрати на аудит, включно з обґрунтованими витратами робочого часу Overvis.

12. ПРИКІНЦЕВІ ПОЛОЖЕННЯ

12.1. Відповідальність кожної Сторони за цією Угодою про обробку даних підлягає обмеженням відповідальності, встановленим в Умовах надання послуг, у межах, дозволених GDPR.

12.2. До цієї Угоди про обробку даних застосовується те саме право, і спори за нею вирішує той самий суд, що й спори за Умовами надання послуг.

12.3. Overvis може змінювати цю Угоду про обробку даних у тому самому порядку, що й Умови надання послуг, за умови, що зміни не знижують рівня захисту, якого вимагає GDPR.

ДОДАТОК 1. СУБОБРОБНИКИ

Субобробник	Місцезнаходження	Мета
Hetzner	Німеччина	Хостинг Системи та зберігання її даних
Google	США	Карти, пошук адрес і листування електронною поштою
Mailgun	США	Сповіщення електронною поштою
seven	Німеччина	SMS-сповіщення
Sentry	США	Звіти про помилки та збої, а також записи сеансів, у яких текст і поля введення замасковано
OpenRouter	США	Передача запитів до ШІ-асистента постачальникам ШІ-моделей
Постачальники ШІ-моделей	Переважно США	Відповіді на запити до ШІ-асистента

Сповіщення, які Клієнт обирає отримувати через Telegram, доставляє Telegram; користувачі Клієнта користуються ним на умовах самого Telegram.

ДОДАТОК 2. ТЕХНІЧНІ ТА ОРГАНІЗАЦІЙНІ ЗАХОДИ

• Шифрування під час передачі. Браузери підключаються до Системи через HTTPS. Кожен пристрій підключається через власний зашифрований VPN-тунель, і VPN не передає трафік між пристроями.
• Вхід без паролів. Користувачі входять за допомогою ключа доступу, одноразового коду, надісланого електронною поштою або згенерованого застосунком-автентифікатором, або через єдиний вхід (SSO) з провайдером ідентичності клієнта.
• Контроль доступу. Кожен робочий простір має власних учасників, ролі та обладнання. Ролі варіюються від «Лише перегляд» до «Власник», кожен виклик API виконується з правами користувача або ключа, який його здійснює, а ключ API робочого простору діє лише у своєму робочому просторі.
• Безпечний запис. Для значень можна встановити межі, і запис поза ними відхиляється. ШІ-асистент нічого не змінює на пристрої, доки людина не затвердить зміну.
• Історія дій. Зміни в робочому просторі фіксуються в його історії дій, яку Клієнт може переглядати й експортувати.
• Строки зберігання. Клієнт може встановити, скільки зберігаються показники; старіші показники після цього видаляються автоматично.
• Хостинг. Сховище даних Системи розміщено на серверах Hetzner у Німеччині.
• Доступ персоналу. Доступ персоналу Overvis до Персональних даних Клієнта обмежено тим, що необхідно для експлуатації, підтримки та забезпечення безпеки Системи, і персонал зобов’язаний дотримуватися конфіденційності.