Договір про обробку даних

Останнє оновлення: 2 вересня 2026 року

Цей Договір про обробку персональних даних ("Договір") укладається згідно зі статтею 28(3) Регламенту (ЄС) 2016/679 (GDPR) між вами як замовником E-Rechnung Pro ("Контролер") і ЧЕРНОВА ЛІЛІЯ ПЕТРІВНА, Фізична особа-підприємець за законодавством України, масив Райдужний, 24, 67804, с. Лиманка, Одеський район, Одеська область, Україна ("Процесор").

Цей Договір є невід'ємною частиною наших Умов використання і застосовується автоматично до кожного замовника з моменту прийняття Умов. Окремий підпис не потрібен. За запитом ми надамо та підпишемо окремий примірник із реквізитами вашої компанії.

1. Предмет, характер і мета обробки

Процесор надає сервіс E-Rechnung Pro, який створює, конвертує та перевіряє електронні рахунки. При цьому він обробляє персональні дані, що містяться в наданих Контролером рахунках і супутніх документах, виключно з метою надання цього сервісу.

Тривалість обробки відповідає строку основного договору між сторонами.

2. Категорії суб'єктів даних і види персональних даних

Категорії суб'єктів даних: клієнти та ділові партнери Контролера, а також його власні працівники, зазначені в документах.

Види персональних даних: імена та найменування компаній, поштові адреси, контактні дані, податкові номери та номери платника ПДВ, банківські реквізити, номери й дати рахунків, опис і вартість поставлених товарів чи послуг, умови оплати, а також будь-які інші дані, які Контролер вирішує внести до документа.

Процесор не потребує особливих категорій даних у розумінні статті 9 GDPR, і Контролер не має їх завантажувати.

3. Вказівки

Процесор обробляє персональні дані виключно за документованими вказівками Контролера, у тому числі щодо передавання до третьої країни, крім випадків, коли цього вимагає застосовне до Процесора право. У такому разі Процесор повідомляє Контролеру про цю правову вимогу до початку обробки, якщо право не забороняє таке повідомлення з важливих міркувань суспільного інтересу.

Користування сервісом з боку Контролера, зокрема завантаження, створення, конвертація, перевірка, зберігання, вивантаження та видалення документів, становить документовану вказівку. Подальші вказівки надсилаються в текстовій формі на zugferd@randomstar.org.

Процесор без невиправданої затримки повідомляє Контролеру, якщо, на його думку, вказівка порушує GDPR або інші норми про захист даних, і може призупинити її виконання до підтвердження або зміни.

4. Конфіденційність

Процесор забезпечує, щоб особи, уповноважені обробляти персональні дані, взяли на себе зобов'язання щодо конфіденційності або підлягали відповідному законному обов'язку нерозголошення. Доступ до промислових систем має лише сам Процесор.

5. Безпека обробки

Процесор впроваджує технічні та організаційні заходи, передбачені статтею 32 GDPR, зокрема:

шифрування всіх даних під час передавання за протоколом TLS;
зберігання автентифікаційних даних виключно у вигляді bcrypt-хешів;
логічне розмежування облікових записів замовників: документи доступні лише запису, який їх створив;
автентифікований індивідуальний доступ до промислових систем без спільних адміністративних облікових даних;
регулярне резервне копіювання та своєчасне встановлення оновлень безпеки;
фізичну безпеку, резервування живлення та мережі й контроль доступу в дата-центрі, які забезпечує хостинг-провайдер, зазначений у розділі 6;
ведення журналів сервера для виявлення та розслідування несанкціонованих доступів.

Процесор може змінювати ці заходи за умови, що рівень захисту не знижується.

6. Субпроцесори

Контролер надає Процесору загальний дозвіл залучати субпроцесорів. Процесор повідомляє Контролеру про заплановане додавання або заміну субпроцесора щонайменше за 30 днів, і Контролер може заперечити з обґрунтованих підстав захисту даних; у такому разі кожна сторона може припинити основний договір з дати набрання зміною чинності.

Станом на дату цього Договору залучено таких субпроцесорів:

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Німеччина — надання серверів, сховища та надсилання пошти. Місце обробки: Фалькенштайн, Німеччина.

Обробку платежів здійснює Stripe Payments Europe, Limited (Ірландія). Stripe отримує лише дані, необхідні для стягнення платежів за основним договором, і ніколи не отримує персональних даних, оброблюваних за дорученням Контролера; тому Stripe не є субпроцесором у розумінні статті 28 GDPR. Подробиці — у політиці конфіденційності.

Компоненти перевірки та відображення за адресами validator.randomstar.org і render.randomstar.org експлуатує сам Процесор на тій самій інфраструктурі; вони не є третіми особами.

Процесор договірно покладає на кожного субпроцесора обов'язки із захисту даних, рівноцінні обов'язкам за цим Договором, і залишається повністю відповідальним перед Контролером за їх виконання.

7. Сприяння у здійсненні прав суб'єктів даних

З урахуванням характеру обробки Процесор сприяє Контролеру належними технічними та організаційними заходами у виконанні його обов'язку відповідати на запити щодо здійснення прав, передбачених Розділом III GDPR.

Якщо суб'єкт даних звертається безпосередньо до Процесора, той не діє самостійно, а без невиправданої затримки передає запит Контролеру.

8. Сприяння у виконанні інших обов'язків

Процесор сприяє Контролеру в дотриманні статей 32-36 GDPR з урахуванням характеру обробки та наявної в нього інформації, зокрема щодо безпеки обробки, повідомлення про порушення захисту даних і оцінювання впливу на захист даних.

9. Порушення захисту персональних даних

Процесор повідомляє Контролеру без невиправданої затримки і в будь-якому разі протягом 48 годин після того, як йому стало відомо про порушення захисту персональних даних, що стосується даних, оброблюваних за дорученням Контролера. Повідомлення описує характер порушення, категорії та приблизну кількість суб'єктів даних і записів, ймовірні наслідки та вжиті або запропоновані заходи.

10. Видалення або повернення даних

Після припинення основного договору Контролер може завантажувати свої документи протягом 30 днів. Після спливу цього строку Процесор видаляє всі персональні дані, оброблювані за дорученням Контролера, якщо застосовне до Процесора право не вимагає подальшого зберігання. Платіжні та бухгалтерські документи зберігаються протягом строку, зазначеного в політиці конфіденційності.

Резервні копії перезаписуються у звичайному циклі резервного копіювання; персональні дані в них захищені заходами з розділу 5 до моменту перезапису.

11. Перевірки та підтвердження відповідності

Процесор надає Контролеру всю інформацію, необхідну для підтвердження виконання обов'язків за статтею 28 GDPR, а також уможливлює перевірки, включно з інспекціями, які проводить Контролер або уповноважений ним аудитор, і сприяє їм.

Про перевірки слід повідомляти щонайменше за 14 днів, вони проводяться в робочий час, не повинні необґрунтовано порушувати роботу і за відсутності особливих підстав обмежуються однією перевіркою на календарний рік. Аудитор не може бути конкурентом Процесора і зобов'язаний дотримуватися конфіденційності. Спершу Процесор може виконати цей обов'язок шляхом надання письмової інформації, а також наявних сертифікатів або звітів про аудит своїх субпроцесорів.

12. Місце обробки та передавання до третіх країн

Усі персональні дані, оброблювані за дорученням Контролера, зберігаються виключно на серверах у Фалькенштайні, Німеччина, тобто в межах Європейського Союзу.

Процесор має осідок у Німеччині. Уся обробка персональних даних за дорученням Контролера, включно з будь-яким доступом з боку Процесора, відбувається в межах Європейського Союзу. Передавання персональних даних до третьої країни не здійснюється, тому гарантії за Розділом V GDPR не потрібні. Якщо Процесор у майбутньому матиме намір обробляти дані за межами Європейського економічного простору, він завчасно повідомить Контролера згідно з розділом 6 і попередньо запровадить належні гарантії за Розділом V GDPR.

13. Відповідальність і прикінцеві положення

Відповідальність за цим Договором визначається статтею 82 GDPR. Обмеження відповідальності, погоджені в Умовах використання, застосовуються додатково в межах, дозволених законом, але не обмежують відповідальності будь-якої сторони перед суб'єктами даних або наглядовими органами.

Якщо будь-яке положення цього Договору є недійсним, це не впливає на дійсність решти положень. У разі суперечності між цим Договором і Умовами використання цей Договір має переважну силу в питаннях захисту даних. У разі суперечності між цим Договором і стандартними договірними положеннями переважну силу мають зазначені положення.