Додаток про обробку даних

1. Ролі сторін

Це Доповнення про обробку даних (DPA) застосовується, коли ви використовуєте IntoClouds для зберігання чи обробки персональних даних ваших власних кінцевих користувачів або контактів. Для таких даних:

• Ви є контролером — ви вирішуєте, навіщо і як обробляються дані.
• Ми є обробником — ми обробляємо ці дані лише для надання послуги й лише за вашими задокументованими вказівками.

Це DPA є частиною і регулюється нашими Умовами надання послуг. Наша обробка даних вашого облікового запису як контролера охоплюється Політикою конфіденційності.

2. Предмет, тривалість, характер і мета

Тема

Надання вам хостингу VPS, доменів, DNS і пошти.

Тривалість

Протягом усього часу користування послугою, а також протягом строків зберігання, зазначених у розділі 7.

Характер і мета

Розміщення, зберігання, передавання та обробка даних у обсязі, потрібному для роботи створених вами ресурсів — запуску ваших серверів, обробки вашого DNS і доставки вашої пошти.

Види персональних даних

Усе, що ви вирішите розмістити на своїй інфраструктурі. Ви це контролюєте; ми не вимагаємо жодної конкретної категорії й просимо не зберігати дані особливих категорій, доки ви не впровадите для них відповідні заходи захисту.

Категорії суб’єктів даних

Особи, чиї дані ви зберігаєте — зазвичай ваші власні клієнти, користувачі, працівники чи контакти.

3. Наші зобов’язання як обробника

Ми:

• обробляти персональні дані лише за вашими задокументованими вказівками, зокрема щодо передавання, якщо інше не вимагається законом (у такому разі ми повідомимо вас, якщо закон цього не забороняє);
• забезпечити, щоб особи, уповноважені обробляти дані, були зобов’язані належним обов’язком конфіденційності;
• впроваджувати технічні й організаційні заходи безпеки, викладені в розділі 4, як цього вимагає стаття 32 GDPR;
• дотримуватися умов розділу 5 щодо залучення субобробників;
• допомагати вам, наскільки це розумно можливо, у виконанні ваших обов’язків перед суб’єктами даних та наглядовими органами (розділ 6).

4. Заходи безпеки

Ми застосовуємо заходи безпеки, відповідні до ризику. Ми описуємо їх чесно — заявляємо лише про те, що справді робимо:

• Хешування паролів — паролі облікових записів зберігаються за допомогою argon2id і ніколи у відкритому вигляді.
• Безпека сеансу — сеанси використовують випадкові токени, що зберігаються лише як хеші; сеансові cookie мають атрибути HttpOnly і SameSite.
• Шифрування під час передавання — трафік до клієнтів обслуговується через TLS.
• Доступ за принципом найменших привілеїв — кожен маршрут API обмежено організацією, що робить запит, тож один клієнт не може дістатися до ресурсів іншого; облікові дані, які ми зберігаємо для наших власних постачальників, обмежено мінімальними привілеями, потрібними кожній інтеграції.
• Робота з секретами — облікові дані постачальників зберігаються як конфігурація середовища поза нашим вихідним кодом і не потрапляють до репозиторію.
• Захист від зловживань — обмеження частоти запитів до API та криптографічна перевірка підписів на вхідних платіжних вебхуках.
• Журналювання аудиту — кожна дія, що змінює стан облікового запису, фіксується разом із виконавцем, об’єктом і часом.

Чого ми не заявляємо. Наразі ми не маємо ISO 27001, SOC 2 чи будь-якої еквівалентної сторонньої сертифікації й не стверджуємо, що маємо. Якщо це зміниться, ми про це повідомимо.

5. Субобробники

Ви уповноважуєте нас залучати наведених нижче субобробників для допомоги в наданні сервісу. Вони обробляють персональні дані лише в обсязі, потрібному для їхньої ролі:

• Hetzner Online GmbH (Німеччина) — хмарна хостинг-інфраструктура. Наші власні системи розміщені в ЄС; сервери, які ви створюєте, працюють в обраному вами регіоні, який може бути у США або Сінгапурі.
• Polar — офіційний продавець (merchant of record) і обробка платежів (працює з даними білінгу безпосередньо).
• Реєстратор доменів і реєстри — для реєстрації, перенесення та продовження доменів.

Ми надамо вам розумне попереднє повідомлення перед додаванням або заміною субобробника, щоб ви могли заперечити. Якщо ви заперечуєте з обґрунтованих міркувань захисту даних, а ми не можемо це врегулювати, ви можете припинити користуватися відповідною частиною сервісу.

6. Допомога та сповіщення про порушення

Зважаючи на характер обробки, ми надамо вам розумну допомогу для реагування на запити суб’єктів даних (доступ, виправлення, видалення, перенесення, заперечення) щодо даних, які ви розміщуєте в нас, а також для виконання ваших зобов’язань згідно зі статтями 32–36 GDPR.

Якщо нам стане відомо про порушення захисту персональних даних, що стосується ваших даних, ми повідомимо вас без невиправданої затримки, а за можливості — протягом 72 годин, надавши інформацію, яка обґрунтовано потрібна вам для виконання власних обов’язків щодо повідомлення.

7. Видалення та повернення при припиненні

Після припинення надання послуги або за вашим письмовим запитом ми видалимо або повернемо персональні дані, які обробляємо від вашого імені, та видалимо наявні копії, якщо закон не вимагає їх зберігати. На практиці видалення ваших ресурсів прибирає дані, які вони містять; життєвий цикл несплати в Умовах надання послуг також призводить до видалення після вказаного періоду.

8. Права на аудит

Ми надамо інформацію, обґрунтовано необхідну для підтвердження нашого дотримання цього DPA. З огляду на наш розмір і структуру, права на аудит задовольняються насамперед через цю документацію та письмові відповіді на обґрунтовані запитання, а не через виїзні перевірки. Якщо наглядовий орган спеціально вимагатиме виїзного аудиту, ми співпрацюватимемо для його організації на розумних умовах.