Договір про обробку даних

Цей Договір укладено турецькою та англійською мовами. Ця українська версія є перекладом для зручності; для підприємств, країною облікового запису яких є Türkiye, переважну силу має турецька версія, а для всіх інших підприємств - англійська версія (розділ 20).

Сторони та сфера дії

Цей Договір про обробку даних (далі - «Договір») укладається між Mobiza Teknoloji («Planfly»), яка надає сервіс Planfly, та підприємством, що відкриває обліковий запис підприємства в Planfly і приймає Умови користування (далі - «Підприємство»). Договір є невід’ємним додатком до Умов користування та набирає чинності без окремого підпису, коли Підприємство приймає Умови користування.

Договір застосовується до персональних даних, які Planfly обробляє від імені Підприємства. Дані, які Planfly обробляє як контролер для власних цілей (облікові записи підприємств, передплати та виставлення рахунків, записи підтримки й безпеки), охоплюються Політикою конфіденційності та Повідомленням про конфіденційність за KVKK, а не цим Договором.

Розділ 11 Умов користування та цей Договір застосовуються разом. У питаннях захисту персональних даних переважну силу має цей Договір, а якщо застосовуються Стандартні договірні положення, переважну силу мають Стандартні договірні положення.

1. Визначення

• Законодавство про захист даних: закони про захист персональних даних, що застосовуються до обробки Персональних даних Підприємства, зокрема Закон № 6698 про захист персональних даних («KVKK»), Регламент (ЄС) 2016/679 (Загальний регламент про захист даних, General Data Protection Regulation, «GDPR»), UK GDPR і Закон Великої Британії про захист даних 2018 року (Data Protection Act 2018), Федеральний закон Швейцарії про захист даних («FADP»), California Consumer Privacy Act («CCPA») та закони інших штатів США про конфіденційність.
• Персональні дані Підприємства: персональні дані, зібрані через сторінку запису, віджет, панель керування чи мобільний застосунок Підприємства або внесені Підприємством до Planfly, які Planfly обробляє від імені Підприємства.
• Субобробник: третя особа, залучена Planfly для обробки Персональних даних Підприємства.
• Порушення захисту персональних даних: порушення безпеки, що призводить до випадкового або незаконного знищення, втрати, зміни, несанкціонованого розкриття Персональних даних Підприємства або доступу до них.
• Стандартні договірні положення: стандартні договірні положення, додані до Імплементаційного рішення Комісії (ЄС) 2021/914 від 4 червня 2021 року.
• UK Addendum: Додаток щодо міжнародного передавання даних (International Data Transfer Addendum) до Стандартних договірних положень (версія B1.0), виданий Управлінням уповноваженого з питань інформації Великої Британії (ICO) відповідно до статті 119A Data Protection Act 2018.

Терміни, не визначені в цьому Договорі, як-от «контролер», «обробник», «суб’єкт даних», «обробка» та «надавач послуг», мають значення, встановлене Законодавством про захист даних.

2. Ролі сторін

Щодо Персональних даних Підприємства Підприємство є контролером, а Planfly - обробником. Якщо саме Підприємство діє як обробник від імені іншого контролера, Planfly є субобробником Підприємства, а Підприємство гарантує, що його вказівки Planfly узгоджуються з вказівками його власного контролера. Для цілей CCPA Planfly є «надавачем послуг» Підприємства; для цілей законів інших штатів США - «обробником» Підприємства.

Предмет, тривалість, характер і мету обробки, види персональних даних та категорії суб’єктів даних наведено в додатку 1.

3. Вказівки Підприємства

Planfly обробляє Персональні дані Підприємства лише за його документально підтвердженими вказівками. Умови користування, цей Договір, налаштування Підприємства в панелі керування та вказівки, які воно надає через панель керування, мобільний застосунок або канали підтримки, є документально підтвердженими вказівками Підприємства. Якщо законодавство, якому підпорядковується Planfly, вимагає іншої обробки, Planfly повідомляє Підприємство про таку юридичну вимогу до початку обробки, крім випадків, коли закон забороняє це.

Якщо Planfly вважає, що вказівка порушує Законодавство про захист даних, вона негайно повідомляє Підприємство та може призупинити відповідну обробку до виправлення вказівки.

4. Обов’язки Підприємства

Підприємство визнає та гарантує, що:

• має правову підставу за Законодавством про захист даних для обробки Персональних даних Підприємства та поінформувало суб’єктів даних; якщо використовує шаблони повідомлень про конфіденційність, надані Planfly, перевірило їх відповідність власній діяльності,
• коли потрібна згода, отримало її відповідно до закону,
• готує попередні запитання відповідно до принципу мінімізації даних і не запитує спеціальних категорій персональних даних (включно з даними про здоров’я), які не є необхідними для прийому,
• без необхідності не використовує формулювання, які можуть розкрити стан здоров’я особи, у назвах послуг, описах платежів або текстах сповіщень,
• відповідає за відповіді на запити суб’єктів даних,
• надає доступ до панелі керування лише уповноваженим особам і забезпечує безпеку власного облікового запису,
• надає Planfly лише законні вказівки.

5. Конфіденційність

Planfly обмежує доступ своїх працівників і підрядників, які можуть отримувати доступ до Персональних даних Підприємства, обсягом, необхідним для виконання їхніх обов’язків, та забезпечує, щоб ці особи були пов’язані договірними або встановленими законом зобов’язаннями щодо конфіденційності.

6. Безпека

Відповідно до статті 12 KVKK і статті 32 GDPR Planfly впроваджує технічні й організаційні заходи, належні з огляду на характер обробки та ризики. Ці заходи описано в додатку 2. Planfly може оновлювати їх відповідно до технічного розвитку за умови, що рівень захисту не знижується. Відповідно до другого абзацу статті 12 KVKK сторони спільно відповідають за вжиття заходів безпеки; Підприємство відповідає за безпеку власних облікових записів і пристроїв та свої налаштування в панелі керування.

7. Субобробники

Підприємство надає загальний письмовий дозвіл Planfly залучати Субобробників, зазначених у додатку 3. Щонайменше за 30 днів до залучення нового Субобробника або заміни чинного Planfly оновлює додаток 3 та повідомляє Підприємство електронною поштою або сповіщенням у панелі керування. Протягом цього строку Підприємство може заперечити з обґрунтованих підстав захисту даних; якщо сторони не можуть вирішити заперечення в розумний строк, Підприємство може припинити передплату, якої стосується зміна.

Planfly покладає на кожного Субобробника письмовим договором зобов’язання, що забезпечують щонайменше рівень захисту, встановлений цим Договором, і залишається відповідальною перед Підприємством за виконання зобов’язань Субобробника в обсязі, передбаченому Законодавством про захист даних.

Сервіси, які Підприємство використовує шляхом підключення власного облікового запису (наприклад, Google Calendar і Google Meet, власний обліковий запис Підприємства в платіжній установі), та платіжні установи, які надають платіжні послуги як контролери за відповідним законодавством, не є Субобробниками Planfly; дані передаються цим постачальникам за вказівками Підприємства.

8. Міжнародне передавання

8.1. Підприємства в Türkiye

Якщо Підприємство розташоване в Türkiye, передавання Персональних даних Підприємства Субобробникам за кордоном відповідно до статті 9 KVKK і Положення про порядок та принципи передавання персональних даних за кордон ґрунтується насамперед на рішенні про належний рівень захисту даних, а за відсутності такого рішення - на належних гарантіях, як-от стандартний договір, оприлюднений Радою із захисту персональних даних. Коли це необхідно для такого передавання, Підприємство уповноважує Planfly також укладати стандартні договори від його імені.

8.2. Підприємства в Європейській економічній зоні

Якщо передавання Персональних даних Підприємства від Підприємства до Planfly підпорядковується GDPR, між сторонами застосовується Модуль два (контролер - обробник) Стандартних договірних положень або, якщо Підприємство є обробником, Модуль три (обробник - обробник), і ці модулі включаються до цього Договору шляхом посилання. Підприємство є експортером даних, а Planfly - імпортером даних. Застосовуються такі варіанти:

• Положення 7 (положення про приєднання) застосовується,
• у Положенні 9(a) застосовується Варіант 2 (загальний письмовий дозвіл); строк попереднього повідомлення становить 30 днів, визначених у розділі 7 цього Договору,
• необов’язкове формулювання в Положенні 11(a) не застосовується,
• для Положення 13 компетентним наглядовим органом є наглядовий орган держави-члена, у якій заснований експортер даних; якщо експортер даних не заснований у Європейському Союзі, ним є наглядовий орган держави-члена, де розташований його представник за статтею 27 GDPR, або, якщо він не зобов’язаний призначати представника, наглядовий орган однієї з держав-членів, у яких перебувають суб’єкти даних,
• у Положенні 17 застосовується Варіант 2: Стандартні договірні положення регулюються правом держави-члена, у якій заснований експортер даних, або, якщо це право не допускає прав третіх осіб-бенефіціарів, правом Ірландії,
• для Положення 18(b) спори вирішуються судами держави-члена, у якій заснований експортер даних, або, якщо експортер даних не заснований у Європейському Союзі, судами Ірландії,
• додаток I до Стандартних договірних положень є додатком 1 до цього Договору, додаток II - додатком 2, а додаток III - додатком 3.

8.3. Підприємства у Великій Британії

Якщо передавання підпорядковується UK GDPR, Стандартні договірні положення з розділу 8.2 застосовуються разом із UK Addendum. Відомості про сторони для таблиці 1 UK Addendum наведено в додатку 1, модулі та варіанти для таблиці 2 - у розділі 8.2, а інформацію додатків для таблиці 3 - у додатках 1-3; для таблиці 4 як імпортер, так і експортер можуть припинити UK Addendum відповідно до його розділу 19. У разі суперечності між UK Addendum і Стандартними договірними положеннями застосовується UK Addendum.

8.4. Підприємства у Швейцарії

Якщо передавання підпорядковується FADP, Стандартні договірні положення з розділу 8.2 застосовуються з такими адаптаціями: в обсязі, у якому передавання підпорядковується FADP, компетентним наглядовим органом є Федеральний уповноважений із захисту даних та інформації (FDPIC); термін «держава-член» не може тлумачитися способом, який перешкоджає суб’єктам даних у Швейцарії подавати вимоги за місцем звичайного проживання; посилання на GDPR слід читати як посилання на відповідні положення FADP.

8.5. Інші країни та подальше передавання

Для Підприємств в інших країнах Planfly у розумних межах співпрацює щодо впровадження гарантій, необхідних для передавання даних за кордон за законодавством країни місцезнаходження Підприємства. Подальше передавання від Planfly Субобробникам ґрунтується на рішенні про належний рівень захисту (для Субобробників у Сполучених Штатах - EU-U.S. Data Privacy Framework та його розширеннях для Великої Британії і Швейцарії) або на Стандартних договірних положеннях та їх адаптаціях для Великої Британії і Швейцарії.

9. Запити суб’єктів даних

Щоб Підприємство могло відповідати на запити суб’єктів даних, Planfly надає інструменти панелі керування, зокрема перегляд, експорт, виправлення та видалення карток клієнтів, і за потреби надає обґрунтовану додаткову допомогу. Planfly без невиправданої затримки передає Підприємству будь-який запит щодо Персональних даних Підприємства, отриманий безпосередньо, і, крім направлення суб’єкта даних до Підприємства, не відповідає на запит без вказівок Підприємства.

10. Порушення захисту персональних даних

Якщо Planfly дізнається про Порушення захисту персональних даних, вона повідомляє Підприємство без невиправданої затримки та, коли це можливо, протягом 48 годин. В обсязі, відомому на момент повідомлення, воно описує характер порушення, категорії та приблизну кількість відповідних суб’єктів даних і записів, імовірні наслідки, вжиті або запропоновані заходи та контактні дані Planfly; інформація доповнюється в міру її отримання. Planfly надає обґрунтовану допомогу, щоб Підприємство могло виконати обов’язки з повідомлення Ради із захисту персональних даних, компетентного наглядового органу та суб’єктів даних. Повідомлення про порушення не означає визнання Planfly вини в ньому.

11. Оцінки впливу та попередні консультації

З урахуванням характеру обробки та доступної інформації Planfly надає обґрунтовану інформацію й допомогу, щоб Підприємство могло провести оцінку впливу на захист даних і, за потреби, проконсультуватися з наглядовим органом.

12. Видалення та повернення

Підприємство може експортувати картки клієнтів із панелі керування протягом передплати та до закриття облікового запису. Після видалення облікового запису підприємства Planfly видаляє або знеособлює Персональні дані Підприємства протягом 30 днів. Копії в резервних копіях видаляються після завершення циклу резервного копіювання, не пізніше ніж протягом 35 днів, а до того зберігаються зашифрованими та лише для аварійного відновлення. Записи, які законодавство, що застосовується до Planfly, вимагає зберігати довше (наприклад, записи транзакцій і прийняття умов Платіжного модуля), зберігаються лише для такої цілі та протягом необхідного строку.

13. Інформація та аудити

Planfly надає Підприємству інформацію, необхідну для підтвердження дотримання цього Договору (цей Договір, заходи з додатка 2, перелік із додатка 3 та відповіді на обґрунтовані запитання Підприємства). Якщо обґрунтовані сумніви не можуть бути усунені за допомогою цієї інформації або цього вимагає компетентний орган, Підприємство може за власний рахунок доручити аудит незалежному аудитору, пов’язаному зобов’язаннями щодо конфіденційності, не частіше одного разу на рік, у робочі години та з письмовим повідомленням щонайменше за 30 днів. Аудит не включає доступу до даних інших клієнтів або інформації, яка могла б поставити під загрозу безпеку Planfly. Права за Положенням 8.9 Стандартних договірних положень залишаються незмінними.

14. Запити державних органів

Якщо Planfly отримує запит державного органу або суду про доступ до Персональних даних Підприємства, вона без невиправданої затримки повідомляє Підприємство, якщо це не заборонено законом; оцінює законність запиту, оскаржує запит, який вважає незаконним, засобами, доступними за застосовним правом, і розкриває лише мінімальний обсяг даних, якого вимагає закон.

15. Додаткові умови для законів штатів США

Якщо Персональні дані Підприємства підпорядковуються CCPA або законам інших штатів США про конфіденційність, Planfly як надавач послуг та обробник:

• не продає Персональні дані Підприємства та не передає їх для поведінкової реклами на основі відстеження в різних контекстах,
• зберігає, використовує та розкриває Персональні дані Підприємства лише для господарських цілей, визначених у додатку 1, і в межах прямих господарських відносин із Підприємством,
• не поєднує Персональних даних Підприємства з персональними даними, які отримує від інших осіб або збирає під час власних взаємодій, крім випадків, дозволених законом,
• дотримується цих законів і забезпечує передбачений ними рівень захисту та повідомляє Підприємство, якщо встановить, що більше не може виконувати ці зобов’язання,
• дозволяє Підприємству вживати обґрунтованих і належних заходів для забезпечення використання даних відповідно до цього Договору та для припинення й усунення несанкціонованого використання,
• співпрацює з Підприємством щодо відповідей на запити споживачів,
• покладає такі самі зобов’язання на своїх Субобробників.

Щодо Washington My Health My Data Act та подібних законів про дані щодо здоров’я споживачів Planfly обробляє ці дані лише за вказівками Підприємства та в межах цього Договору; обов’язки щодо політики конфіденційності й згоди за такими законами покладаються на Підприємство.

16. HIPAA

Planfly не укладає угод із діловими партнерами (business associate agreements) за американським Health Insurance Portability and Accountability Act of 1996 (HIPAA), і сервіс не призначений для виконання обов’язків, установлених HIPAA. Підприємство, яке є «covered entity» або «business associate» у розумінні HIPAA, погоджується не використовувати Planfly для створення, отримання, зберігання або передавання захищеної інформації про здоров’я (PHI).

17. Відповідальність

Відповідальність сторін за цим Договором підпорядковується положенням про відповідальність Умов користування. Це положення не обмежує прав суб’єктів даних за Стандартними договірними положеннями та Законодавством про захист даних.

18. Строк дії та припинення

Цей Договір залишається чинним протягом строку дії Умов користування. Після припинення дії Умов користування відповідні положення продовжують застосовуватися, поки Planfly обробляє або зберігає Персональні дані Підприємства.

19. Зміни

Planfly може оновлювати цей Договір у зв’язку зі змінами законодавства, рішеннями компетентних органів або змінами сервісу; про істотні зміни на шкоду Підприємству повідомляють щонайменше за 30 днів до набрання ними чинності. Офіційно змінені або замінені версії Стандартних договірних положень та UK Addendum застосовуються з дати набрання ними чинності.

20. Мова та застосовне право

Цей Договір укладено турецькою та англійською мовами. Для Підприємств, країною облікового запису яких є Türkiye, переважну силу має турецька версія; для всіх інших Підприємств - англійська версія. Стандартні договірні положення та UK Addendum регулюються правом, визначеним у їхніх власних положеннях; щодо інших положень цього Договору застосовуються положення про застосовне право та юрисдикцію Умов користування.

Додаток 1: Відомості про обробку

A. Сторони

• Експортер даних / контролер: Підприємство; його назва, адреса та контактні дані зазначені в обліковому записі Підприємства. Діяльність: надання послуг за записом. Роль: контролер (обробник, якщо Підприємство діє від імені іншого контролера).
• Імпортер даних / обробник: Mobiza Teknoloji, Ovaakça Santral Mah. Ovaakça Fatih Sultan Mehmet Cad. No: 86/2, 16335 Osmangazi, Bursa, Türkiye; контакт: legal@planfly.com.tr. Діяльність: програмний сервіс онлайн-запису Planfly. Роль: обробник.
• Дата електронного прийняття Підприємством Умов користування є датою прийняття сторонами цього Договору та Стандартних договірних положень.

B. Опис обробки та передавання

• Категорії суб’єктів даних: клієнти Підприємства та особи, які записуються на прийом (замовники, пацієнти, учасники, учні тощо), та їхні законні представники; працівники та члени команди Підприємства; особи, які залишають відгуки.
• Категорії персональних даних: ідентифікаційні та контактні дані (ім’я, прізвище, телефон, електронна пошта); відомості про прийом (послуга, працівник, дата, час, статус, записи про скасування та неявку, примітка до запису); дата народження, мітки, приватні примітки та історія прийомів, додані Підприємством; показник імовірності відвідування, обчислений з історії прийомів і показаний лише Підприємству; відповіді в попередній анкеті; записи сповіщень та доставки; відгуки; записи повідомлень про конфіденційність, згоди та згоди на комерційні повідомлення (дата, IP-адреса, відомості браузера, версія тексту); якщо використовується Платіжний модуль, обмежені платіжні дані (сума, дата, номер транзакції, тип картки та замасковані останні чотири цифри; номер картки й код безпеки не обробляються); посилання на зустрічі для онлайн-прийомів; відомості працівників (ім’я, посада, фотографія, робочі години, обліковий запис користувача); журнали безпеки та статистика відвідувань без cookie.
• Спеціальні категорії даних: залежно від вибору Підприємства відповіді в анкеті, примітки до запису та примітки про клієнтів можуть містити дані про здоров’я. Додаткові гарантії: шифрування приватних приміток у картці клієнта в базі даних, доступ на основі ролей, опція стриманих повідомлень, яка приховує назву послуги в нагадуваннях, реєстрація необов’язкової явної згоди з датою, IP-адресою та версією тексту, а також заходи з додатка 2.
• Частота передавання: постійно.
• Характер обробки: хостинг, зберігання, організація, відображення, передавання (електронна пошта, SMS, push-сповіщення), обчислення (доступність, статистика), експорт і видалення.
• Мета обробки: надання Підприємству онлайн-запису, календаря, карток клієнтів, сповіщень, відгуків, статистики та, якщо використовуються, послуг онлайн-платежів; а також забезпечення безпеки, підтримки й обслуговування цих сервісів.
• Строк зберігання: відповідно до видалень і налаштувань Підприємства в панелі керування; не пізніше строків, установлених розділом 12 цього Договору.
• Передавання Субобробникам: із предметом, характером і тривалістю, зазначеними в додатку 3.

C. Компетентний наглядовий орган

Для Підприємств у Європейській економічній зоні - орган, визначений за розділом 8.2; для Великої Британії - Управління уповноваженого з питань інформації (ICO); для Швейцарії - Федеральний уповноважений із захисту даних та інформації (FDPIC); для Підприємств у Türkiye - Рада із захисту персональних даних.

Додаток 2: Технічні та організаційні заходи

• Безпека передавання: зашифроване передавання через TLS (HTTPS) у всіх з’єднаннях та HTTP Strict Transport Security.
• Контроль доступу: розмежування даних за підприємствами; авторизація на основі ролей (власник, керівник, працівник); необов’язкова двофакторна автентифікація; паролі зберігаються лише як хеші; сеансові файли cookie з атрибутами HttpOnly, Secure і SameSite та захист від CSRF.
• Шифрування: шифрування в базі даних приватних приміток у картці клієнта, ключів карток та облікових записів платіжних установ, реквізитів платіжних рахунків і токенів доступу третіх осіб; шифрування резервних копій бази даних.
• Безпека застосунку: обмеження частоти запитів, пастки для ботів і виявлення зловживань; політика безпеки контенту (CSP) та заголовки безпеки; перевірка вхідних даних.
• Безпека інфраструктури: сервіси бази даних і кешу не доступні з інтернету; захист на мережевому рівні від атак на відмову в обслуговуванні та шкідливого трафіку.
• Журналювання та моніторинг: ведення й перегляд журналів безпеки, доступу та транзакцій.
• Безперервність: щоденні зашифровані резервні копії та процедура відновлення.
• Мінімізація даних: номери карток і коди безпеки не обробляються Planfly (платіжні сторінки розміщує платіжна установа); статистика сторінок запису ведеться без cookie та без зберігання IP-адрес, а сигнали Do Not Track і Global Privacy Control враховуються; опція стриманих повідомлень для нагадувань.
• Персонал: мінімально необхідні права доступу, зобов’язання щодо конфіденційності та припинення доступу при зміні ролей.
• Керування Субобробниками: договірні зобов’язання щодо захисту даних і безпеки та оцінювання налаштувань безпеки.
• Керування інцидентами: виявлення й реєстрація Порушень захисту персональних даних та повідомлення про них відповідно до розділу 10 цього Договору.

Додаток 3: Субобробники

Planfly використовує таких Субобробників для обробки Персональних даних Підприємства (останнє оновлення: жовтень 10, 2026).

Наведені нижче постачальники не є Субобробниками Planfly; дані передаються їм за вказівками Підприємства, і вони обробляють їх під власну відповідальність:

• Google Calendar і Google Meet (Google LLC), якщо Підприємство підключає власний обліковий запис Google,
• платіжні установи, що надають платіжні послуги в Платіжному модулі (iyzico Ödeme Hizmetleri A.Ş. і платіжні установи, до яких Підприємство підключає власний обліковий запис),
• сторонні сервіси, посилання на які Підприємство розміщує на своїй сторінці запису.