Flowtly – Угода про обробку персональних даних

Це український переклад англійської версії, наданий для зручності. Обов’язковою є англомовна версія (див. розділ 1). Англійська версія · Польська версія

1. Загальні положення та предмет

Ця Угода про обробку персональних даних («Угода») укладається між Організацією, що користується Платформою Flowtly і діє як контролер даних у розумінні статті 4(7) Регламенту (ЄС) 2016/679 від 27 квітня 2016 року («GDPR») («Контролер»), та Flowtly Prosta Spółka Akcyjna із зареєстрованим місцезнаходженням у Варшаві (01-194), вул. Młynarska 8/12, Польща, внесеною до реєстру підприємців Національного судового реєстру за номером KRS 0001188143, NIP 5273180297, REGON 542625051 («Flowtly» або «Обробник»), що діє як обробник даних у розумінні статті 4(8) GDPR.

Угода деталізує обов’язки Сторін щодо обробки персональних даних, зазначені в § 11 Умов та положень Платформи Flowtly («Безпека даних»), і застосовується до будь-якої обробки персональних даних, яку Flowtly здійснює від імені та за задокументованими інструкціями Контролера у зв’язку з наданням доступу до Платформи. Угода не змінює правил і обмежень відповідальності, встановлених у § 12 Умов та положень, — див. розділ 13.

Угода імплементує вимоги статті 28 GDPR і доступна на цій сторінці в редакції, визначеній в історії редакцій (розділ 13). Угода застосовується до Організації, що користується Платформою, на тих самих засадах, що й Умови та положення — у редакції, чинній для цієї Організації, — які посилаються на цей документ. Обов’язковою є англомовна версія цього документа; цей український переклад, як і будь-який інший переклад, зокрема польський, надано для зручності.

2. Визначення

Терміни, написані з великої літери, які не визначені в цій Угоді, мають значення, надане їм в Умовах та положеннях Платформи Flowtly. Для цілей цієї Угоди:

• GDPR — Регламент (ЄС) 2016/679 Європейського Парламенту та Ради від 27 квітня 2016 року про захист фізичних осіб у зв’язку з обробкою персональних даних і про вільний рух таких даних;
• Контролер — Організація як контролер даних у розумінні статті 4(7) GDPR, що діє через осіб, уповноважених її представляти; це поняття відрізняється від ролі «Адміністратора» за Умовами та положеннями, яка позначає роль користувача Платформи, а не статус контролера даних;
• ТОЗ (технічні та організаційні заходи) — заходи, описані в документі Flowtly «Перелік технічних та організаційних заходів», який становить Додаток 1 до цієї Угоди;
• Субобробник — інший обробник, якому Flowtly додатково доручає обробку персональних даних з метою виконання цієї Угоди;
• Порушення безпеки персональних даних — порушення у розумінні статті 4(12) GDPR.

3. Строк обробки

Ця Угода застосовується протягом строку дії договору про надання доступу до Платформи, укладеного між Контролером і Flowtly відповідно до Умов та положень, і припиняє дію з моментом припинення або закінчення строку дії цього договору, з урахуванням положень, які за своєю природою продовжують застосовуватися після припинення, включно з обов’язком видалити або повернути дані, описаним у розділі 11.

4. Характер, мета та обсяг обробки; категорії даних і суб’єктів даних

Характер і мета обробки. Flowtly обробляє персональні дані виключно з метою надання Контролеру доступу до Платформи відповідно до Умов та положень і задокументованих інструкцій Контролера. Операції з обробки включають, зокрема: збирання, зберігання, отримання, зміну, експорт і видалення даних в Обліковому записі Організації, що здійснюються у зв’язку з функціональністю Платформи у сферах кадрів і заробітної плати, проєктів, розрахунків та виставлення рахунків-фактур — які є інструментами, що підтримують управління Організацією цими сферами, а не інструментом бухгалтерського обліку, згідно з § 12(2) Умов та положень, — а також зберігання даних на серверах, якими керує Flowtly, технічну підтримку та забезпечення безпеки й безперервності роботи Платформи.

Категорії суб’єктів даних включають, зокрема: працівників і співпрацівників Контролера, Користувачів і Адміністраторів, контрагентів та їхніх представників, кандидатів на роботу — тією мірою, якою Контролер використовує відповідну функціональність Платформи, — а також інших фізичних осіб, дані яких Контролер або його Користувачі вносять до Платформи у зв’язку з її використанням.

Категорії персональних даних включають, зокрема: ідентифікаційні та контактні дані, кадрові дані та дані про трудові відносини (включно з винагородою, робочим часом, обліком відпусток), дані щодо розрахунків і рахунків-фактур, дані контрагентів, а також — тією мірою, якою Контролер правомірно вносить їх до Платформи, коли це необхідно для виконання обов’язків за трудовим законодавством або законодавством про соціальне забезпечення, — спеціальні категорії даних, зазначені у статті 9 GDPR (наприклад, дані про здоров’я у зв’язку з лікарняним, членство у професійній спілці). Відповідальність за правову підставу внесення таких даних до Платформи несе Контролер. Детальний обсяг категорій даних відповідає обсягу, описаному в Політиці конфіденційності.

5. Обов’язки Обробника

Flowtly зобов’язується:

1. обробляти персональні дані лише за задокументованими інструкціями Контролера — зокрема щодо передачі персональних даних до третьої країни або міжнародної організації, — якщо тільки цього не вимагає право Союзу або держави-члена, якому підпорядковується Flowtly; у такому разі Flowtly повідомляє Контролера про цю правову вимогу до початку обробки, якщо тільки таке право не забороняє надання такої інформації з важливих підстав суспільного інтересу;
2. забезпечувати, щоб особи, уповноважені обробляти персональні дані, зобов’язалися дотримуватися конфіденційності або були пов’язані відповідним законодавчим обов’язком конфіденційності (див. розділ 7);
3. впроваджувати та підтримувати технічні та організаційні заходи, описані в ТОЗ, відповідно до статті 32 GDPR (див. розділ 8);
4. дотримуватися умов залучення Субобробників, описаних у розділі 9;
5. надавати Контролеру сприяння, описане в розділі 10;
6. після завершення надання послуг, пов’язаних з обробкою, видалити або повернути Контролеру всі персональні дані та видалити наявні копії відповідно до розділу 11, якщо тільки право Союзу або держави-члена не вимагає зберігання персональних даних;
7. надавати Контролеру всю інформацію, необхідну для підтвердження дотримання обов’язків, встановлених статтею 28 GDPR, а також уможливлювати проведення аудитів, включно з інспекціями, та сприяти їм відповідно до розділу 11.

6. Інструкції Контролера

Умови та положення, конфігурація Платформи, а також спосіб, у який Контролер і уповноважені ним Користувачі використовують Платформу, вважаються задокументованими інструкціями Контролера, так само як і окремі інструкції, надіслані в документальній формі (включно з електронною поштою) на адресу business.support@flowtly.eu. Контролер несе відповідальність за правомірність інструкцій, які він надає. Якщо, на думку Flowtly, інструкція Контролера порушує GDPR або інше законодавство про захист даних, Flowtly невідкладно повідомляє про це Контролера.

7. Конфіденційність

Flowtly забезпечує, щоб доступ до персональних даних мали лише особи, уповноважені Flowtly, тією мірою, якою це необхідно для виконання їхніх обов’язків, і щоб такі особи були пов’язані обов’язком конфіденційності щодо персональних даних, у тому числі після припинення їхніх трудових або інших відносин із Flowtly.

8. Безпека обробки (стаття 32 GDPR)

Flowtly впроваджує належні технічні та організаційні заходи для забезпечення рівня безпеки, що відповідає ризику обробки, з урахуванням сучасного рівня техніки, витрат на впровадження, характеру, обсягу, контексту та цілей обробки, а також ризику для прав і свобод фізичних осіб. Чинним описом цих заходів є документ Flowtly «Перелік технічних та організаційних заходів», який становить Додаток 1 до цієї Угоди.

Протягом строку дії цієї Угоди Flowtly не знижуватиме загального рівня безпеки обробки, описаного в ТОЗ («зобов’язання щодо незниження рівня»); заміна окремого заходу іншим, що забезпечує рівноцінний або вищий рівень захисту, не є зниженням рівня. Кожна зміна ТОЗ — включно з будь-якою такою заміною — фіксується як нова датована редакція в історії редакцій, доступній на сторінці цього документа, тож редакцію ТОЗ, чинну на будь-яку дату обробки, завжди можна встановити з цієї історії.

9. Подальше доручення обробки (Субобробники)

Контролер надає Flowtly загальний письмовий дозвіл на залучення Субобробників для виконання цієї Угоди (стаття 28(2) GDPR). Flowtly укладає з кожним Субобробником договір, який покладає на нього ті самі обов’язки щодо захисту даних, що застосовуються до Flowtly за цією Угодою, у тому числі щодо технічних та організаційних заходів. Flowtly несе повну відповідальність перед Контролером за виконання Субобробником його обов’язків щодо захисту даних відповідно до статті 28(4) GDPR.

Flowtly повідомляє Контролера про будь-яке заплановане додавання або заміну Субобробників щонайменше за 30 днів, із зазначенням нового Субобробника та обсягу його діяльності, і надає Контролеру можливість заперечити проти такої зміни. Заперечення з обґрунтуванням, що ґрунтується на законних підставах у сфері захисту даних, надсилаються на адресу business.support@flowtly.eu протягом 30 днів з дати повідомлення; відсутність заперечення протягом цього строку вважається прийняттям зміни. Flowtly не розпочинає обробку персональних даних Контролера через нового Субобробника до спливу строку для заперечень, а в разі своєчасного подання заперечення — до його врегулювання. У разі обґрунтованого заперечення, яке неможливо врахувати в інший спосіб, Сторони добросовісно погоджують подальші дії, включно, за необхідності, з припиненням договору про надання послуг у частині, що вимагала б залучення цього Субобробника.

Субобробники, залучені на цей час, відповідно до Політики конфіденційності Платформи:

Субобробник	Обсяг обробки	Місце обробки
Google Cloud (Google Ireland Limited)	Хостинг Платформи та хмарна інфраструктура	ЄС (europe-west1, Бельгія)
Stripe	Обробка платежів	ЄС / за межами ЄЕЗ, залежно від операції
Kontomatik	Інтеграція банківських даних	Польща (ЄС)
Functional Software, Inc. (Sentry)	Моніторинг системних помилок	Сполучені Штати Америки
Anthropic, PBC	Обробка вмісту документів для функцій на основі штучного інтелекту (аналіз документів, асистент)	Сполучені Штати Америки
Postmark (ActiveCampaign, Inc.)	Надсилання транзакційних електронних листів (рахунки-фактури, нагадування, сповіщення)	Сполучені Штати Америки

Наведений вище перелік відображає стан на дату опублікування відповідної редакції цієї Угоди та оновлюється відповідно до описаної вище процедури. Чинний перелік Субобробників також надається на запит, надісланий на вказану вище адресу.

10. Сприяння Контролеру; порушення безпеки персональних даних

Реалізація прав суб’єктів даних. З урахуванням характеру обробки Flowtly сприяє Контролеру, наскільки це можливо, — за допомогою належних технічних та організаційних заходів, доступних на Платформі, і підтримки, запитаної за адресою, зазначеною в розділі 6, — у виконанні його обов’язку відповідати на запити суб’єктів даних, які реалізують свої права відповідно до глави III GDPR.

Дотримання статей 32–36 GDPR. Flowtly сприяє Контролеру в забезпеченні дотримання обов’язків за статтями 32–36 GDPR, включно з обов’язком повідомляти наглядовий орган про порушення безпеки персональних даних та окремим обов’язком повідомляти суб’єктів даних, якщо порушення може призвести до високого ризику для їхніх прав і свобод, а також щодо оцінки впливу на захист даних і попередніх консультацій з наглядовим органом, з урахуванням характеру обробки та інформації, доступної Flowtly.

Порушення безпеки персональних даних. Flowtly повідомляє Контролера про виявлене ним порушення безпеки персональних даних без необґрунтованої затримки і в будь-якому разі не пізніше ніж через 48 годин після того, як Flowtly стало про нього відомо, не очікуючи встановлення всіх обставин інциденту. Первинне повідомлення містить інформацію, зазначену у статті 33(3) GDPR, тією мірою, якою вона доступна на відповідний момент, і поетапно доповнюється в міру встановлення подальших обставин. Строк 48 годин є максимальним договірним строком Flowtly для такого первинного повідомлення і не звільняє Flowtly від обов’язку діяти без необґрунтованої затримки, якщо це можливо раніше; він не залежить від 72-годинного строку, протягом якого Контролер як контролер даних повинен повідомити наглядовий орган про порушення відповідно до статті 33(1) GDPR, якщо таке повідомлення є обов’язковим.

11. Завершення обробки; аудити та інспекції

Завершення обробки. Після завершення надання послуг, пов’язаних з обробкою, Контролер протягом 30 днів з моменту цієї події повідомляє Flowtly в документальній формі, чи має Flowtly видалити або повернути персональні дані; неповідомлення протягом цього строку надає Flowtly право видалити дані. Flowtly виконує обрану дію — видалення з робочих (продуктивних) систем або повернення у загальновживаному електронному форматі з подальшим видаленням — протягом розумного строку, що не перевищує 30 днів з дати отримання інструкції Контролера, якщо тільки право Союзу або польське право не вимагає від Flowtly подальшого зберігання даних на підставі правового обов’язку, що безпосередньо поширюється на Flowtly (наприклад, податкових правил або правил бухгалтерського обліку щодо власних облікових записів Flowtly), — що не поширюється на власні облікові записи Контролера, які обробляються на Платформі. Резервні копії, що містять видалені дані, залишаються захищеними відповідно до ТОЗ і перезаписуються у звичайному циклі ротації резервних копій, описаному там, без відновлення видалених даних у робочій (продуктивній) системі.

Аудити та інспекції. Flowtly надає Контролеру всю інформацію, необхідну для підтвердження дотримання обов’язків за статтею 28 GDPR, і дозволяє Контролеру або уповноваженому Контролером аудитору проводити аудити, включно з інспекціями, відповідності обробки цій Угоді, а також співпрацює під час їх проведення. Аудит проводиться після письмового повідомлення щонайменше за 30 днів, у звичайний робочий час Flowtly, у спосіб, що якнайменше обтяжує діяльність Flowtly, наскільки це розумно можливо, і забезпечує конфіденційність інформації, що стосується інших клієнтів Flowtly, не частіше одного разу на календарний рік — ці обмеження не застосовуються, якщо аудит проводиться у зв’язку з обґрунтованою підозрою щодо порушення безпеки персональних даних або іншої суттєвої невідповідності цій Угоді, чи на вимогу компетентного наглядового органу. Надання інформації відповідно до першого речення не обмежується одним разом на рік.

12. Міжнародна передача даних

Більша частина обробки персональних даних здійснюється в межах Європейської економічної зони (ЄЕЗ) — інфраструктура Платформи та обробка документів за допомогою OCR підтримуються в регіоні ЄС постачальника, зазначеного в розділі 9. Троє із Субобробників, зазначених у розділі 9, — Functional Software, Inc. (що діє під назвою Sentry), Anthropic, PBC і Postmark (ActiveCampaign, Inc.) — мають місцезнаходження у Сполучених Штатах Америки, за межами ЄЕЗ. Flowtly забезпечує, щоб передача персональних даних цим Субобробникам — а також будь-яка інша передача персональних даних за межі ЄЕЗ, що може відбуватися у зв’язку з іншими Субобробниками або їхніми власними субобробниками, — здійснювалася на підставі належного механізму відповідно до глави V GDPR: зокрема Стандартних договірних положень, затверджених Імплементаційним рішенням Європейської Комісії (ЄС) 2021/914 (за модулем, що відповідає відносинам між Flowtly і Субобробником), або — тією мірою, якою на неї спирається відповідний Субобробник, — Рамкової програми конфіденційності даних ЄС–США (EU–U.S. Data Privacy Framework), доповнених, якщо оцінка впливу передачі свідчить про таку необхідність, додатковими гарантіями. Інформація про механізм, застосований до відповідного Субобробника, надається Контролеру на запит, надісланий на адресу, зазначену в розділі 6.

13. Відповідальність і прикінцеві положення

Обмеження відповідальності Flowtly, встановлене в § 12 Умов та положень («Відповідальність»), відповідно застосовується до обробки персональних даних за цією Угодою тією мірою, якою це допускається законом. Це не зачіпає імперативних норм права, зокрема: статті 82 GDPR щодо вимог суб’єктів даних до Flowtly, повноважень наглядових органів відповідно до GDPR та норм Цивільного кодексу Польщі про відповідальність за шкоду, заподіяну умисно.

Питання, не врегульовані цією Угодою, регулюються, залежно від обставин, Умовами та положеннями, включно з їхніми положеннями про застосовне право та вирішення спорів. Ця Угода регулюється польським правом.

Цей документ є редакцією, опублікованою 28 жовтня 2026 року. Історія попередніх редакцій, якщо такі є, наведена нижче.