ФІНАЛЬНА ЧИННА РЕДАКЦІЯ

Версія 2026-08-03.2

10.1. Сфера

Цей DPA застосовується, коли клієнт є володільцем/контролером персональних даних, а MYRQELON обробляє персональні дані від його імені для надання визначених IT-послуг.

Якщо MYRQELON самостійно визначає цілі й істотні засоби обробки (наприклад, власні платежі, облік, безпека та договірні записи), щодо таких операцій MYRQELON є окремим контролером/володільцем.

10.2. Предмет і тривалість

Предмет, тривалість, характер, цілі, типи даних та категорії суб'єктів визначаються Специфікацією та Додатком A до DPA. Обробка триває протягом послуг і обмеженого періоду видалення/резервного копіювання.

10.3. Інструкції

10.3.1. MYRQELON обробляє дані лише за документованими законними інструкціями клієнта, включаючи передачу за кордон, крім вимоги закону.

10.3.2. Якщо інструкція, на думку MYRQELON, порушує закон, MYRQELON повідомляє клієнта і може призупинити її виконання до уточнення.

10.3.3. Клієнт відповідає за правову підставу, прозорість, точність, мінімізацію, строки та права суб'єктів.

10.4. Конфіденційність персоналу

Особи з доступом зобов'язані зберігати конфіденційність, проходять необхідне інструктування і отримують доступ за принципом мінімальної необхідності.

10.5. Безпека

З урахуванням ризику MYRQELON застосовує відповідні заходи, зокрема:

- контроль і журналювання доступу;

- MFA там, де доступно й доречно;

- шифрування передавання та захист секретів;

- розділення production/test, мінімізацію та маскування;

- резервне копіювання і відновлення;

- керування вразливостями, оновлення та incident response;

- перевірку підрядників;

- безпечне видалення і обмеження портативних носіїв.

Конкретні заходи і винятки зазначаються в Додатку B.

10.6. Subprocessors

10.6.1. Клієнт надає загальний дозвіл залучати subprocessors із актуального реєстру.

10.6.2. MYRQELON укладає з subprocessor умови захисту, не менш суттєві за цей DPA у відповідній частині, та відповідає за належний вибір і контроль.

10.6.3. Про нового subprocessor, який оброблятиме дані клієнта, повідомляється завчасно, якщо це передбачено Специфікацією або застосовним правом. Клієнт може мотивовано заперечити з причин захисту даних; сторони шукають практичну альтернативу.

10.7. Міжнародні передачі

Якщо передача потребує спеціального механізму, сторони використовують відповідні стандартні договірні положення, рішення про належність, локальні додатки або інший законний механізм. Додаткові технічні заходи визначаються за оцінкою ризику.

10.8. Запити суб'єктів

MYRQELON, з урахуванням характеру обробки, надає розумну допомогу клієнту з доступом, виправленням, видаленням, обмеженням, запереченням і переносимістю. Якщо запит отримано безпосередньо, він пересилається клієнту, якщо закон не вимагає іншого.

10.9. Порушення безпеки

10.9.1. MYRQELON повідомляє клієнта без невиправданої затримки після підтвердження порушення персональних даних у системах під контролем MYRQELON.

10.9.2. Повідомлення, наскільки відомо, містить характер, категорії, приблизний масштаб, ймовірні наслідки, вжиті заходи й контакт.

10.9.3. Повідомлення не є визнанням вини. Клієнт відповідає за повідомлення регулятора і суб'єктів, якщо інше окремо не доручено.

10.10. Оцінки й консультації

MYRQELON надає розумну інформацію для DPIA, консультації з регулятором і демонстрації відповідності щодо своєї обробки. Значна додаткова робота може оплачуватися, якщо потреба не спричинена порушенням MYRQELON.

10.11. Аудит

10.11.1. На запит MYRQELON надає релевантні політики, сертифікати або відповіді на опитувальник.

10.11.2. Очний/віддалений аудит проводиться не частіше одного разу на рік, із розумним повідомленням, у робочий час, без доступу до даних інших клієнтів і з конфіденційністю, крім інциденту або вимоги регулятора.

10.11.3. Витрати несе клієнт, якщо аудит не виявив суттєвого порушення MYRQELON.

10.12. Повернення і видалення

Після завершення MYRQELON за вибором клієнта повертає або видаляє персональні дані, крім законного зберігання. Резервні копії видаляються за звичайним циклом і до того ізолюються від звичайного використання.

10.13. Пріоритет

У разі конфлікту DPA має пріоритет щодо обробки даних від імені клієнта. Інші комерційні положення основного договору залишаються чинними.

Додаток A: опис обробки

- предмет послуги, строк і мета обробки визначаються відповідним Замовленням, Специфікацією або технічним завданням;

- операції охоплюють лише необхідні для виконання Замовлення доступ, збір, зберігання, структурування, міграцію, тестування, підтримку та видалення;

- категорії суб'єктів і типи даних обмежуються інформацією, законно переданою клієнтом і описаною у Специфікації;

- спеціальні категорії даних заборонені без окремого письмового погодження, законної підстави та додаткових заходів;

- частота обробки є разовою або постійною відповідно до Замовлення;

- строк видалення визначається розділом 10.12, Специфікацією та обов'язковими строками зберігання;

- місця обробки: Україна та країни/регіони, зазначені в актуальному реєстрі subprocessors або Специфікації.

Додаток B: технічні та організаційні заходи

- система, середовище, хостинг і регіон визначаються технічним описом конкретного Замовлення та актуальним реєстром subprocessors;

- шифрування, IAM/MFA, журналювання, backup/restore, retention і vulnerability management застосовуються відповідно до розділу 10.5 та ризику конкретного проєкту;

- середовища production і test розмежовуються, а тестові дані мінімізуються або маскуються, коли це практично можливо;

- контакти інциденту: support@myrqelon.com та контакт клієнта, зазначений у Замовленні;

- дозволені subprocessors визначаються актуальним реєстром, доступним на вебсайті або за запитом.

---