Договір про обробку даних (DPA)

Кушетка обробляє персональні дані клієнтів Спеціаліста виключно для надання функцій платформи (ведення клієнтів, сесій, нотаток, тестів, матеріалів та опціональної синхронізації календаря). Тривалість обробки — строк дії облікового запису Спеціаліста, якщо інше не передбачено законом.

Категорії даних: ідентифікаційні та контактні дані клієнтів, нотатки сесій, результати психологічних тестів, позначки про оплату та інші дані, які Спеціаліст добровільно вносить у систему.

Категорії суб'єктів даних: клієнти Спеціаліста.

Кушетка обробляє персональні дані лише за задокументованими інструкціями Спеціаліста. Дії Спеціаліста в інтерфейсі платформи вважаються такими інструкціями. Кушетка не використовує ці дані для власних цілей, не продає їх і не використовує для навчання моделей штучного інтелекту.

Особи, уповноважені Кушеткою обробляти персональні дані, зобов'язані дотримуватися конфіденційності. Доступ персоналу до даних надається лише в обсязі, необхідному для надання та підтримки сервісу.

Кушетка вживає технічних та організаційних заходів, співмірних із ризиком:

• шифрування чутливих полів алгоритмом AES-256-GCM з окремим ключем для кожної організації;
• ізоляція даних на рівні рядків бази даних (row-level security);
• журнал аудиту змін на рівні бази даних;
• двофакторна автентифікація та контроль доступу;
• зберігання й обробка даних у межах ЄС (Франкфурт, Німеччина).

Докладніше — на сторінці Безпека.

Перелік субобробників наведено в Політиці конфіденційності (розділ 6). Про намір залучити нового субобробника Кушетка повідомляє щонайменше за 14 днів. Спеціаліст має право заперечити з обґрунтованих підстав захисту даних і, якщо заперечення не вдасться усунути, припинити користування з експортом даних.

Флоу-даун зобов'язань. Кушетка залучає субобробників на умовах їхніх стандартних договорів про обробку даних (DPA), які містять зобов'язання щодо захисту даних не менш суворі, ніж передбачені цим Договором, і залишається відповідальною перед Спеціалістом за обробку даних залученими субобробниками.

Міжнародні передачі. За замовчуванням персональні дані зберігаються та обробляються в межах ЄЕЗ. Якщо окремий субобробник обробляє дані поза межами ЄЕЗ, така передача здійснюється на підставі Стандартних договірних положень ЄС (SCC) та/або сертифікації постачальника за EU-U.S. Data Privacy Framework (DPF).

Кушетка допомагає Спеціалісту виконувати запити суб'єктів даних (доступ, виправлення, знеособлення, перенесення) через функції платформи. За потреби додаткову допомогу можна запитати на privacy@kushetka.work.

У разі порушення захисту персональних даних, що стосується даних Спеціаліста, Кушетка повідомляє Спеціаліста без невиправданої затримки і в будь-якому разі не пізніше 72 годин з моменту підтвердження (верифікації) факту інциденту — із зазначенням характеру порушення, категорій та орієнтовної кількості охоплених записів, ймовірних наслідків і вжитих заходів. Це дає Спеціалісту змогу вчасно виконати власні обов'язки перед наглядовим органом.

Протягом 30 днів після закриття облікового запису дані залишаються доступними для експорту. Після завершення цього строку персональні дані незворотно знеособлюються, окрім мінімального аудит-сліду, необхідного за законом.

На письмовий запит Спеціаліста Кушетка надає документацію про вжиті заходи безпеки в обсязі, достатньому для підтвердження відповідності статті 28 GDPR.

Питання щодо цього Договору надсилайте на legal@kushetka.work.