Угода про обробку даних
Версія: 1.2 Дата набрання чинності: 29 травня 2026 Остання редакція: 2 вересня 2026Ця Угода про обробку даних («DPA») є частиною Умов надання послуг між Sigil RMPD («Процесор») та Перевізником («Контролер»). Вона регулює обробку персональних даних Sigil від імені Перевізника у зв'язку з платформою Sigil RMPD.
§1. Предмет і термін дії
1.1 Ця DPA регулює обробку персональних даних Sigil (як Процесором) від імені Перевізника (як Контролера) у зв'язку з наданням послуг платформи Sigil RMPD, описаних в Умовах надання послуг. 1.2 Ця DPA набирає чинності з дати прийняття Перевізником Умов надання послуг і залишається чинною протягом усього терміну дії угоди про надання послуг. Після розірвання Умов надання послуг ця DPA автоматично припиняє дію з урахуванням §12 (повернення та видалення даних).§2. Характер і мета обробки
2.1 Процесор обробляє персональні дані від імені Контролера з такою метою:- OCR-вилучення даних із документів CMR, завантажених Контролером;
- Зберігання зображень документів CMR та вилучених полів RMPD;
- Підготовка та електронне подання декларацій RMPD100 до PUESC/SENT за дорученням Контролера;
- Зберігання підтверджень надсилання до PUESC та журналів аудиту;
- Відображення даних декларацій в інтерфейсі облікового запису Контролера.
2.2 Процесор не обробляє персональні дані для будь-яких інших цілей, крім зазначених у цій DPA та задокументованих інструкціях Контролера. Якщо Процесор зобов'язаний законом обробляти дані, що виходять за ці межі, він інформує про це Контролера, якщо це не заборонено законом.§3. Типи оброблюваних персональних даних
В рамках цієї DPA можуть оброблятися такі категорії персональних даних:
- Повні імена та адреси відправників, зазначених у документах CMR;
- Повні імена та адреси одержувачів, зазначених у документах CMR;
- Повні імена, національності та номери посвідчення водія водіїв, зазначених у CMR;
- Імена та адреси транспортних посередників або адресатів сповіщень у документах CMR;
- Державні номерні знаки транспортних засобів (тягач і причіп), якщо пов'язані з ідентифікованими особами;
- Будь-які інші персональні дані, що містяться у текстових полях документів CMR.
Особливі категорії персональних даних (ст. 9 GDPR) навмисно не обробляються. Процесор вживає розумних заходів для позначення та виключення таких даних у разі їх виявлення під час OCR-обробки.
§4. Категорії суб'єктів даних
Персональні дані, що обробляються відповідно до цієї DPA, стосуються таких категорій осіб:
- Водіїв, найнятих Контролером або залучених за договором;
- Співробітників клієнтів Контролера, які виступають відправниками або одержувачами;
- Співробітників сторонніх компаній, що виступають відправниками, одержувачами або сторонами сповіщення в документах CMR.
Процесор не має прямих відносин з жодним із цих суб'єктів даних. Усі запити від суб'єктів даних мають спрямовуватися до Контролера як відповідального адміністратора даних.
§5. Обов'язки Процесора
Відповідно до ст. 28(3) GDPR, Процесор (Sigil) бере на себе такі зобов'язання:
(а) Обробка лише за задокументованими інструкціями. Процесор обробляє персональні дані лише за задокументованими інструкціями Контролера (як визначено в цій DPA та Умовах надання послуг), якщо це не вимагається чинним законодавством (України і, у відповідних випадках, GDPR). (б) Конфіденційність. Процесор забезпечує, що особи, уповноважені обробляти персональні дані, взяли на себе зобов'язання щодо конфіденційності або підпадають під відповідне законодавче зобов'язання щодо конфіденційності. (в) Безпека. Процесор впроваджує всі заходи, передбачені ст. 32 GDPR (див. §9). (г) Субпроцесори. Процесор не залучає субпроцесорів без попередньої письмової авторизації від Контролера, крім перерахованих у §6 (Затверджені субпроцесори). Процесор несе повну відповідальність за дії та бездіяльність своїх субпроцесорів. (д) Допомога з правами суб'єктів даних. Процесор допомагає Контролеру у виконанні зобов'язань щодо відповідей на запити суб'єктів даних відповідно до ст. 15-22 GDPR з урахуванням характеру обробки (див. §10). (е) Допомога з безпекою, сповіщенням про порушення, DPIA. Процесор допомагає Контролеру у забезпеченні дотримання ст. 32-36 GDPR з урахуванням характеру обробки та наявної інформації. (є) Повернення та видалення. На вибір Контролера Процесор видаляє або повертає всі персональні дані Контролеру після закінчення надання послуг (див. §12). (ж) Співпраця при аудиті. Процесор надає Контролеру всю необхідну інформацію для демонстрації відповідності зобов'язанням ст. 28 GDPR і дозволяє проводити аудити (див. §13).§6. Затверджені субпроцесори
Контролер надає Sigil загальну письмову авторизацію на залучення таких затверджених субпроцесорів:
| Субпроцесор | Дія з обробки | Місцезнаходження | Підстава передачі GDPR |
| Supabase, Inc. | Зберігання даних декларацій і облікових записів у базі даних | Франкфурт, ЄС | ЄЕП, без передачі |
| Render Services, Inc. | Хостинг застосунку та обчислення | Франкфурт, ЄС | ЄЕП, без передачі |
| Cloudflare, Inc. (R2) | Зберігання зображень CMR та згенерованого XML | Бакет Франкфурт ЄС | ЄЕП, без передачі |
| Anthropic, PBC | Картування полів AI (CMR → структура RMPD) | США | SCC (2021) |
| Mailjet SAS (Sinch) | Доставка транзакційної пошти: сповіщення GPS, повідомлення PUESC, скидання пароля та запрошення до команди | Франція, ЄС | ЄЕЗ, без передавання |
| АТ КБ «ПриватБанк» (LiqPay) | Обробка платежів | Україна | Ст. 46 GDPR + Закон № 2297-VI, ст. 29(4) |
| Sentry, Inc. | Моніторинг помилок і продуктивності (може включати метадані запитів) | США | SCC (2021) |
§7. Міжнародні передачі даних
7.1 Персональні дані не передаються за межі ЄЕП, крім субпроцесорів, перерахованих у §6, і лише за наявності відповідного механізму передачі. 7.2 Для передачі до Anthropic і Sentry (США) Процесор використовує Стандартні договірні положення Європейської комісії (Модуль 3: Процесор до процесора), прийняті 4 червня 2021 року. Копія відповідних SCC доступна на запит за адресою help@sigil.com.ua. 7.3 Для передачі до LiqPay / ПриватБанк (Україна) Процесор спирається на ст. 46 GDPR та Закон № 2297-VI, ст. 29(4). Україна не є країною ЄЕП; передачі здійснюються на підставі договірних положень, погоджених з LiqPay. 7.4 Процесор провів Оцінки впливу передачі (TIA) для передачі до субпроцесорів із США і встановив, що відповідні додаткові заходи впроваджені для забезпечення рівнозначного рівня захисту.§8. Конфіденційність
Процесор забезпечує, що всі співробітники, підрядники та субпроцесори, залучені до обробки персональних даних відповідно до цієї DPA, підпадають під обов'язкові зобов'язання щодо конфіденційності. Доступ до персональних даних надається виключно на основі need-to-know.
Процесор не розкриває персональні дані будь-яким третім особам (включаючи правоохоронні органи) без попередньої письмової згоди Контролера, крім випадків, що вимагаються законом, про що інформує Контролера без затримки в межах, дозволених законом.
§9. Заходи безпеки (ст. 32 GDPR)
Процесор впроваджує такі технічні та організаційні заходи безпеки:
Технічні заходи:- Шифрування AES-256-GCM персональних даних у стані спокою;
- Шифрування TLS 1.3 для всіх даних при передачі;
- Облікові дані PUESC зберігаються в зашифрованому сховищі, ніколи не потрапляють у журнали застосунку;
- Мережева ізоляція між наборами даних клієнтів;
- Автоматичне сканування вразливостей коду застосунку;
- Регулярне тестування на проникнення (не рідше одного разу на рік).
Організаційні заходи:- Контроль доступу на основі ролей (RBAC) з принципом мінімальних привілеїв;
- Журнали доступу для всіх операцій з даними;
- Перевірка персоналу, що має доступ до даних;
- Задокументована процедура реагування на порушення даних;
- Регулярні навчання персоналу з питань безпеки.
Процесор переглядає та оновлює ці заходи не рідше одного разу на рік.
§10. Допомога у реалізації прав суб'єктів даних
Коли Процесор отримує запит від суб'єкта даних (доступ, виправлення, видалення, обмеження, перенесення, заперечення), що стосується персональних даних, оброблюваних за цією DPA:
(а) Не відповідає на запит самостійно від імені Контролера;
(б) Негайно (протягом 3 робочих днів) повідомляє Контролера;
(в) Надає розумну технічну допомогу для відповіді Контролером у строки GDPR;
(г) Не стягує плату за розумну допомогу, надану відповідно до цього пункту.
§11. Повідомлення про порушення даних
11.1 Процесор повідомляє Контролера без зайвої затримки, в будь-якому разі протягом 48 годин, після того, як стає відомо про порушення персональних даних, що стосується даних, оброблюваних за цією DPA. 11.2 Повідомлення включає (наскільки доступно): (а) опис порушення; (б) категорії та приблизну кількість постраждалих осіб; (в) категорії та приблизну кількість записів даних; (г) ймовірні наслідки; (д) вжиті або запропоновані заходи. 11.3 Контролер несе відповідальність за повідомлення компетентного наглядового органу (Уповноважений Верховної Ради України з прав людини або відповідний орган ЄС, якщо застосовується GDPR) та суб'єктів даних відповідно до ст. 33-34 GDPR і Закону № 2297-VI, ст. 21. Процесор надає розумне сприяння та допомогу.§12. Повернення та видалення даних
12.1 Після розірвання Умов надання послуг Процесор на вибір Контролера: (а) повертає всі персональні дані Контролеру у структурованому, машинозчитуваному форматі; або (б) безпечно видаляє всі персональні дані. 12.2 Контролер повинен здійснити вибір протягом 30 днів після розірвання. Після 30 днів Процесор переходить до безпечного видалення. 12.3 Процесор може зберігати персональні дані понад цей термін лише в тій мірі, яка вимагається чинним законодавством (України і, у відповідних випадках, GDPR), наприклад: бухгалтерські зобов'язання протягом 7 років, документація SENT протягом 10 років. Такі дані обробляються лише в обсязі, необхідному для виконання правового зобов'язання. 12.4 На запит Процесор надає Контролеру письмове підтвердження видалення.§13. Право на аудит
13.1 Процесор надає Контролеру всю необхідну інформацію для демонстрації відповідності зобов'язанням ст. 28 GDPR і цієї DPA. 13.2 Контролер (або уповноважений сторонній аудитор, пов'язаний відповідними зобов'язаннями щодо конфіденційності) може проводити аудит діяльності Процесора з обробки даних за умови, що:(а) Контролер надасть Процесору щонайменше 30 днів письмового попередження;
(б) Аудити проводяться в робочий час і з розумними інтервалами (не більше одного разу на рік, якщо цього не вимагає наглядовий орган);
(в) Аудити мінімізують порушення роботи Процесора.
13.3 Витрати на аудит несе Контролер, якщо аудит не виявить суттєвого порушення DPA Процесором, у такому випадку витрати несе Процесор. 13.4 Процесор може виконати зобов'язання щодо аудиту, надавши актуальний звіт незалежного аудиту третьої сторони (наприклад, SOC 2 Type II), що охоплює відповідні дії з обробки.§14. Право, що застосовується, та юрисдикція
Ця DPA регулюється законодавством України та, де це застосовно, безпосередньо GDPR (Регламент ЄС 2016/679) та Законом України № 2297-VI «Про захист персональних даних». Будь-які спори, що виникають з цієї DPA, вирішуються відповідно до положень про право, що застосовується, та юрисдикцію Умов надання послуг.
§15. Оновлення цієї DPA
Процесор може оновлювати цю DPA для відображення змін у чинному законодавстві або діяльності з обробки. Контролер буде повідомлений не менше ніж за 30 днів до набрання чинності суттєвими змінами. Актуальна версія завжди доступна за адресою /legal/dpa.
*Питання щодо цієї DPA: help@sigil.com.ua*