Угода про обробку даних (DPA)

Ця Угода про обробку даних ("DPA") є частиною Умов надання послуг між клієнтом ("Клієнт", контролер) та CyberLab.Team OÜ, реєстраційний код 14647320, Sepapaja tn 6, Tallinn 15551, Estonia ("CyberLab.team", обробник). Вона застосовується до всіх послуг, під час надання яких ми обробляємо персональні дані від імені Клієнта (ст. 28 GDPR). Вона приймається разом з Умовами надання послуг; підписану копію можна отримати на запит на info@cyberlab.team. Застосовуються мовні правила Умов надання послуг (для клієнтів-підприємців англійська версія переважає над перекладами).

1. Предмет, характер і мета

1.1. Ми обробляємо персональні дані лише для надання послуг, замовлених Клієнтом (Умови надання послуг, Частина II), і лише за задокументованими вказівками Клієнта, якими є Умови надання послуг, ця DPA, замовлення, налаштування та погодження Клієнта в Кабінеті клієнта і письмові вказівки електронною поштою, якщо інше не вимагається правом ЄС чи держави-члена, якому ми підпорядковані; у такому разі ми повідомляємо Клієнта про цю правову вимогу до початку обробки, якщо це право не забороняє такого повідомлення з важливих підстав суспільного інтересу. Ці вказівки охоплюють також передачу персональних даних до третіх країн. Якщо ми вважаємо вказівку незаконною, ми негайно повідомимо про це Клієнта.

1.2. Подробиці обробки (категорії суб'єктів даних і даних, тривалість) наведено в Додатку 1.

1.3. Ми не обробляємо списки клієнтів наших клієнтів для аудиторій Google Ads (Customer Match) чи лідів із лід-форм Google Ads. Цю DPA буде оновлено до того, як буде запропоновано будь-яку таку послугу.

2. Наші обов'язки

2.1. Конфіденційність. Усі, хто обробляє дані Клієнта від нашого імені, зобов'язані зберігати конфіденційність.

2.2. Безпека. Ми застосовуємо технічні та організаційні заходи, наведені в Додатку 2.

2.3. Особи з доступом. Дані Клієнта обробляє призначений менеджер Клієнта; для контролю якості, нагляду та заміни менеджерів доступ також мають старший менеджер і керівник CyberLab.team. Доступ до чатів Кабінету клієнта фіксується в журналі.

2.4. Допомога. З урахуванням характеру обробки ми допомагаємо Клієнтові відповідати на запити суб'єктів даних, забезпечувати безпеку, повідомляти про порушення, проводити оцінки впливу на захист даних і попередні консультації з наглядовими органами (статті 32–36 GDPR). Запити, які суб'єкти даних надсилають нам щодо даних Клієнта, пересилаються Клієнтові.

2.5. Порушення безпеки персональних даних. Ми повідомляємо Клієнта без невиправданої затримки, а за можливості протягом 48 годин після того, як нам стало відомо про порушення безпеки персональних даних, що стосується даних Клієнта, із наявною в нас інформацією; ми не чекаємо завершення розслідування і надсилаємо додаткову інформацію в міру її надходження.

2.6. Аудити. Ми надаємо всю інформацію, необхідну для підтвердження дотримання статті 28 GDPR і цієї DPA, а також уможливлюємо аудити, включно з інспекціями, які проводить Клієнт або уповноважений Клієнтом аудитор, і сприяємо їм. Першим кроком може бути письмовий опитувальник. Обсяг, час і конфіденційність інших аудитів узгоджуються заздалегідь, щоб захистити безпеку даних інших клієнтів; ці домовленості не перешкоджають аудиту і не затримують його необґрунтовано.

2.7. Завершення обробки. Коли послуга завершується, ми — на вибір Клієнта — повертаємо персональні дані Клієнта (шляхом експорту в Кабінеті клієнта або на запит на info@cyberlab.team) або видаляємо їх, а також видаляємо наявні копії у строки, визначені в Політиці конфіденційності (зокрема, протягом 30 днів після завершення останнього договору Клієнта або закриття Кабінету клієнта, резервні копії — протягом 35 днів; контент, отриманий від Google, у резервних копіях не зберігається і ніколи не зберігається довше 30 днів), якщо право ЄС чи держави-члена не вимагає від нас зберігати їх; дані, що зберігаються з цієї причини, використовуються лише для цієї мети. Перед видаленням Клієнт може експортувати свої дані в Кабінеті клієнта або запросити їх на info@cyberlab.team.

2.8. Дані Google. Дані, отримані від Google, обробляються відповідно до Google API Services User Data Policy, включно з Limited Use, і зберігаються не довше 30 днів. Дані з акаунта Google Ads Клієнта не продаються, не надаються в субліцензію і не розкриваються третім особам без попередньої письмової згоди Клієнта.

3. Субобробники

3.1. Клієнт уповноважує субобробників, зазначених на cyberlab.team/subprocessors (актуальний перелік також наведено в Додатку 3). Ми покладаємо на кожного субобробника обов'язки щодо захисту даних, рівноцінні цій DPA, і залишаємося відповідальними за них.

3.2. Зміни. Ми повідомляємо Клієнта електронною поштою з info@cyberlab.team та на сторінці субобробників не менш ніж за 30 днів до додавання або заміни субобробника, зазначаючи, хто це, мету, відповідні дані, де він обробляє дані, і гарантії передачі. Протягом цього строку Клієнт може письмово заперечити з обґрунтованих причин, пов'язаних із захистом даних; якщо ми не можемо врегулювати заперечення, Клієнт може припинити відповідну послугу до того, як новий субобробник почне обробляти дані Клієнта, без стягнення плати за наступні періоди, а ми повертаємо будь-які передплачені кошти за період після припинення. Якщо терміновий інцидент безпеки чи збій вимагає негайно замінити субобробника, ми повідомляємо Клієнта без невиправданої затримки і не пізніше дня заміни; право Клієнта заперечити та припинити послугу діє так само.

3.3. Незалежні контролери. Google (щодо Google Business Profile, Google Ads, входу через Google і Google Analytics), Stripe (щодо платежів), Cloudflare (щодо сигналів, які він використовує для вдосконалення власного виявлення ботів Turnstile) і банки діють як незалежні контролери відповідно до власних умов і для власних цілей, а не як наші субобробники; якщо хтось із них обробляє дані від нашого імені для певної послуги, до цієї послуги застосовуються його умови обробки даних. Коли ми передаємо дані в сервіси Google за вказівками Клієнта, Google обробляє їх відповідно до своїх умов із Клієнтом.

4. Міжнародні передачі

Персональні дані розміщуються в Європейському Союзі. Якщо субобробник обробляє дані за межами ЄЕЗ, передача захищається рішенням про адекватність (включно з EU-US Data Privacy Framework) або Стандартними договірними положеннями Європейської комісії, як зазначено в Додатку 3.

5. Обов'язки Клієнта

5.1. Клієнт відповідає за законність даних, які він нам надає, і своїх вказівок, включно з інформуванням власних клієнтів та отриманням усіх необхідних згод.

5.2. Клієнт відповідає за банер cookie та згоду на власних вебсайтах, включно з Google Consent Mode, де це потрібно, також коли ми допомагаємо їх налаштувати.

6. Відповідальність і пріоритет

Відповідальність за цією DPA визначається Умовами надання послуг (Розділ 10), за винятком випадків, коли GDPR не допускає обмеження. Якщо ця DPA та Умови надання послуг суперечать одна одній щодо персональних даних, переважає ця DPA.

---

Додаток 1 — Подробиці обробки

Додаток 2 — Технічні та організаційні заходи

• Хостинг у ЄС; дані кожного клієнта зберігаються окремо, і дані одного клієнта ніколи не показуються іншому клієнтові.
• Зашифровані з'єднання (TLS); зашифровані резервні копії, що перезаписуються протягом 35 днів.
• Доступ лише для працівників, яким він потрібен; двофакторна автентифікація для працівників; журналювання доступу до клієнтських чатів.
• Ми не зберігаємо паролі клієнтів до Google і не зберігаємо токени входу клієнтів у Google; наш доступ до Google здійснюється через наші власні агентські облікові дані, що зберігаються в сховищі секретів.
• Звіти про помилки фільтруються, щоб видалити тексти, отримані від Google, до того, як звіти залишать застосунок.
• Задокументовані процедури для запитів суб'єктів даних, видалення, юридичних утримань і реагування на інциденти.

Додаток 3 — Субобробники

Перелік на cyberlab.team/subprocessors, версія 2026-10-16, становить цей Додаток.