Угода про обробку даних (DPA) і субобробники

1. Огляд DPA

Використовуючи Платформу, Клієнт (що діє як контролер даних) призначає CyberLab.Team OÜ (що діє як обробник даних) обробляти персональні дані суворо з метою надання Послуги (наприклад, керування маркетинговими кампаніями, аналіз показників ефективності). Ми обробляємо персональні дані лише за задокументованими інструкціями Клієнта, зокрема для надання основних функцій Платформи. Ми обробляємо дані в повній відповідності до GDPR. Ми забезпечуємо, щоб увесь персонал дотримувався суворих зобов'язань щодо конфіденційності.

2. Обов'язки обробника (ст. 28 GDPR)

2.1. Заходи безпеки. Ми впроваджуємо відповідні технічні та організаційні заходи для забезпечення рівня безпеки, відповідного ризику, зокрема шифрування токенів OAuth у стані спокою та контроль доступу.

2.2. Повідомлення про порушення даних. У разі порушення безпеки персональних даних, що зачіпає дані Клієнта, ми повідомимо Клієнта без невиправданої затримки після того, як дізнаємося про це.

2.3. Сприяння. Ми будемо допомагати Клієнту, наскільки це можливо, у виконанні його обов'язків щодо реагування на запити про реалізацію прав суб'єктів даних (наприклад, якщо кінцевий користувач запитує видалення даних) і в проведенні оцінок впливу на захист даних (DPIA), якщо це необхідно.

2.4. Права на аудит. Відповідно до вимог статті 28(3)(h) GDPR ми надамо Клієнту інформацію, необхідну для підтвердження дотримання вимог. Це право на аудит переважно реалізується шляхом надання CyberLab.Team OÜ письмових відповідей на обґрунтовані анкети щодо безпеки. Для захисту безпеки та конфіденційності інфраструктури нашого захищеного Кабінету клієнта фізичний доступ до наших серверів або пряме технічне тестування на проникнення з боку Клієнта суворо заборонені.

2.5. Видалення після припинення. Після припинення Послуги чи видалення акаунта ми, на вибір Клієнта, видалимо чи повернемо всі персональні дані, якщо законодавство ЄС чи Естонії не вимагає подальшого зберігання (ст. 28(3)(g) GDPR).

2.6. Законність інструкцій і відшкодування. Клієнт прямо гарантує, що всі персональні дані, надані Обробнику, зібрано законно і що Клієнт має законне право доручати Обробнику їх обробку. Клієнт повністю відшкодовує, захищає та убезпечує CyberLab.Team OÜ від будь-яких претензій, штрафів, дій регуляторних органів чи збитків, що виникають унаслідок незаконних інструкцій Клієнта щодо обробки чи неотримання ним юридично дійсної згоди кінцевого користувача.

2.7. Призупинення акаунтів (порушення політик Google). CyberLab.Team OÜ діє виключно як обробник даних та інтерфейс керування. Ми не несемо фінансової чи юридичної відповідальності за будь-яке призупинення, блокування чи санкції, накладені Google (чи іншими платформами) на рекламні акаунти чи бізнес-профілі Клієнта, за умови що такі дії є наслідком характеру бізнесу Клієнта, якості його сайту, ручного втручання Клієнта чи прямих порушень Клієнтом рекламних політик Google.

2.8. Відповідність сайту Клієнта вимогам (наприклад, Consent Mode). Клієнт несе одноосібну й абсолютну відповідальність за забезпечення відповідності власних сайтів і вебресурсів усім застосовним законам про захист даних (зокрема GDPR і Директиві ePrivacy) і специфічним технічним вимогам Google (зокрема, але не обмежуючись, коректним впровадженням Google Consent Mode v2 і дійсних банерів cookie). Обов'язки CyberLab.Team OÜ з обробки даних суворо обмежені платформою Кабінету клієнта (my.cyberlab.team). Ми не несемо жодної відповідальності за призупинення акаунтів Google Ads, втрату даних чи регуляторні штрафи, спричинені тим, що Клієнт не отримав законним шляхом згоду користувача на власних вебресурсах.

3. Затверджені субобробники

Для надання надійної та безпечної Послуги CyberLab.Team OÜ використовує таких субобробників третіх сторін. Погоджуючись з нашими Умовами надання послуг, ви уповноважуєте використання цих субобробників:

1. Google Cloud / Google Ireland Ltd.: хмарна інфраструктура, хостинг баз даних та інтеграції Google API.
2. Cloudflare, Inc.: CDN, DNS, Web Application Firewall (WAF) і маршрутизація безпеки на межі мережі.
3. Stripe, Inc.: безпечна обробка платежів і керування підписками.
4. Resend, Inc.: доставка транзакційних і сервісних електронних листів (наприклад, скидання пароля, сповіщення).
5. Провайдери CRM і підтримки (наприклад, HubSpot, Pipedrive): використовуються суворо для керування взаємовідносинами з клієнтами, зверненнями підтримки та запитами з Сайту.
6. Провайдери послуг ШІ (наприклад, Google Cloud Gemini, OpenAI): моделі ШІ використовуються суворо для генерації контенту з нуля (наприклад, ідей рекламних текстів). За жодних обставин токени Google API, користувацькі дані Google, дані про локації чи рекламні показники не передаються OpenAI чи Google Gemini. Генерація ШІ функціонує повністю незалежно від конвеєра даних Google API. Ми суворо гарантуємо, що жодні користувацькі дані Google API ніколи не передаються цим службам з метою навчання узагальнених базових моделей ШІ/МН (у повній відповідності до політики Google API Limited Use).
7. Провайдери технічного журналювання та моніторингу (наприклад, Sentry): використовуються суворо для відстеження помилок застосунку та стабільності. Ми впроваджуємо сувору очистку даних, щоб гарантувати, що жодна персональна ідентифікаційна інформація (PII) чи користувацькі дані Google API ніколи не передаються цим службам журналювання.

Примітка: банківські установи та провайдери фінансових послуг (наприклад, Revolut, Wise), що використовуються для отримання банківських переказів SEPA/SWIFT, діють як суворо регульовані незалежні контролери даних відповідно до фінансового законодавства, а не як наші субобробники.

3.1. Google як незалежний контролер. Коли наша Платформа передає дані (наприклад, структури локацій, бюджети чи налаштування рекламних кампаній) у мережі Google Ads чи Google Business Profile через API, Google Ireland Ltd. / Google LLC обробляє ці дані у своїй рекламній екосистемі як незалежний контролер даних відповідно до власних Умов надання послуг. CyberLab.Team OÜ діє виключно як обробник (транспортний рівень та інтерфейс керування) і знімає з себе відповідальність за те, як Google використовує ці дані у власних пропрієтарних системах.

3.2. Обмеження відповідальності субобробників. Хоча ми укладаємо суворі угоди з нашими субобробниками, CyberLab.Team OÜ не нестиме фінансової чи юридичної відповідальності за порушення безпеки, збої в роботі служб чи втрату даних, що відбуваються виключно в межах ізольованої інфраструктури субобробника рівня Tier-1 (наприклад, Google Cloud, Cloudflare, Stripe), за умови що ми не діяли з грубою недбалістю при їх налаштуванні чи виборі.

4. Додавання нових субобробників

Якщо ми плануємо додати чи замінити будь-яких субобробників, ми повідомимо вас щонайменше за 14 днів заздалегідь через Платформу або електронною поштою. Клієнт має право заперечити проти нового субобробника. Якщо заперечення подано і не вдається знайти обґрунтоване рішення, Клієнт має право розірвати угоду та припинити використання Послуги без штрафних санкцій.

5. Міжнародні передачі даних

Якщо персональні дані передаються за межі Європейської економічної зони (ЄЕЗ) нашим субобробникам (наприклад, до інфраструктури, розташованої в США), ми забезпечуємо, щоб такі передачі підлягали належним юридичним гарантіям, як того вимагає Розділ V GDPR. Це включає покладання на рішення про адекватність Рамкової угоди про конфіденційність даних ЄС-США (DPF) або впровадження стандартних договірних положень (SCC), затверджених Європейською комісією.

6. Обмеження відповідальності за цією DPA

Будь-які претензії, збитки чи спори, що виникають з цієї DPA або пов'язані з нею, суворо підпорядковуються обмеженням відповідальності та положенням про відшкодування, викладеним в основних Умовах надання послуг. Сукупна кумулятивна відповідальність CyberLab.Team OÜ за будь-які та всі порушення цієї DPA не перевищуватиме фінансового ліміту, встановленого в Умовах надання послуг.