Договір доручення обробки даних (AVV)

(1) Предметом є обробка персональних даних від імені Контролера в межах SaaS-платформи BauFin. (2) Обробка охоплює: хостинг і зберігання в multi-tenant архітектурі; логіку застосунку (бухгалтерія, рахунки, архів GoBD, керування працівниками/субпідрядниками, портал клієнтів, GPS-відстеження, AI-аналізи); автоматичні сповіщення (e-mail, push); резервні копії та disaster recovery; опційно — обробку запитів суб’єктів даних (Concierge). (3) Поняття за ст. 4 GDPR (Контролер, Обробник, субобробник, TOM = технічні й організаційні заходи за ст. 32).

(1) Характер: збирання, фіксація, упорядкування, зберігання, адаптація, зчитування, перегляд, використання, розкриття шляхом передання, зіставлення, поєднання, обмеження, видалення та знищення. (2) Мета: виконання договору користування ПЗ — ремісничо-комерційні процеси (бухгалтерія, фактури, зарплати, проєкти), функції відповідності (GoBD, XRechnung, будівельний податок § 48 EStG, перевірки ArbZG, миттєве повідомлення DSRV) і законодавче зберігання (§ 147 AO, § 257 HGB). (3) Категорії суб’єктів (деталі: додаток 3): працівники, субпідрядники й постачальники, клієнти Контролера, партнери та органи. (4) Категорії даних (деталі: додаток 3): основні, трудові, фінансові, комплаєнс, комунікаційні та дані локації службових авто (за активного модуля журналу поїздок/BauFin Box; особливо чутливі, але не спеціальні категорії ст. 9 лише через локацію). (5) Місце: обробка застосунку, бази та копій стандартно в ЄС/ЄЕП; елементи третіх країн лише у випадках § 8 і додатка 2 з гарантіями ст. 44 і наст.

(1) Договір набирає чинності з договором користування ПЗ і завершується разом із ним. (2) Післядоговірні обов’язки (зокрема видалення/повернення за § 12, законодавче зберігання) залишаються чинними.

BauFin обробляє дані виключно за задокументованими вказівками. Зокрема: (1) вказівки надаються зазвичай через користування функціями ПЗ, e-mail на [email protected] або систему тикетів; усні вказівки підтверджуються письмово; (2) обов’язок повідомити про незаконні вказівки з правом призупинення; (3) конфіденційність: усі уповноважені особи зобов’язані письмово, навчання щороку; (4) безпека за ст. 32 — заходи в додатку 1 (TOM), щорічний перегляд; (5) субобробники лише за загальним дозволом — § 7 і додаток 2; (6) підтримка прав суб’єктів (ст. 15–22): у стандартній моделі надання даних (JSON/CSV), відповідає Контролер; у модулі Concierge — операційне виконання на підставі довіреності; (7) підтримка обов’язків зі ст. 32–36 (вкл. DPIA); наднормовий обсяг оплачується окремо, якщо не покритий Concierge; (8) повідомлення про порушення негайно, щонайпізніше за 24 години (§ 10); (9) видалення/повернення після завершення (§ 12); (10) докази й аудити (§ 5 абз. 4); (11) власний реєстр за ст. 30(2) з витягами на вимогу; (12) інспектор захисту даних: контакт за додатком 1, якщо призначений.

(1) Контролер самостійно відповідає за законність обробки (ст. 6 GDPR), включно зі згодами, обов’язками інформування (ст. 13/14) і захистом даних працівників (§ 26 BDSG). (2) Документує свої вказівки; стандартні випливають із договору та користування ПЗ. (3) Негайно інформує про зміни вимог. (4) Права контролю: перегляд документації відповідності, письмові відомості, виїзні аудити з попередженням щонайменше за 14 днів, не частіше разу на рік (крім обґрунтованого приводу). Витрати несе Контролер, крім виявлення суттєвого порушення. (5) Дійсна сертифікована процедура (напр., ISO 27001, BSI C5) замінює виїзний аудит.

(1) BauFin застосовує заходи за ст. 32 з урахуванням стану техніки, витрат, характеру та ризиків. (2) Деталі в додатку 1, мінімум: шифрування (TLS 1.3 у передаванні, AES-256 у спокої), конфіденційність/цілісність/доступність/стійкість, відновлюваність (RTO 24 год, RPO 1 год), щорічна оцінка ефективності. (3) Суттєві зміни TOM повідомляються.

(1) Контролер надає загальний дозвіл (ст. 28(2) реч. 2). (2) Актуальний перелік — у додатку 2 (категорії: хостинг у німецьких дата-центрах, транзакційна пошта в ЄС, DNS/TLS/CDN/WAF, шифроване зберігання експортів, AI-функції з переданням лише за явною дією користувача на підставі DPA + SCC). Обробки на власній інфраструктурі (вкл. GPS/локація, push, геокодування, мапи, маршрути) не є субобробкою; платежі здійснюють самостійні контролери. (3) Зміни анонсуються щонайменше за 30 днів; право заперечення. (4) За обґрунтованого неусувного заперечення: право розірвання за 30 днів на кінець розрахункового періоду. (5) З кожним субобробником укладено письмовий договір з рівноцінними обов’язками; надається на вимогу (за потреби із затемненням). (6) Для передань у треті країни додатково діє § 8.

(1) Стандартно обробка відбувається виключно в ЄС/ЄЕП. (2) Передання наявні за: a) AI-функцій («Фінансовий гід», AI-асистент) — передання необхідних даних Anthropic, PBC (США) на підставі DPA, SCC і додаткових заходів, з мінімізацією даних; b) платежів — їх ведуть самостійні контролери в ЄС/ЄЕП, BauFin не передає; c) мережевих і безпекових сервісів — дані доступу/мережі можуть проходити глобальною інфраструктурою, захищені DPA, SCC і технічними заходами. (3) BauFin застосовує додаткові заходи «Schrems II» (шифрування транспорту/вмісту, обмеження доступу). (4) Інші передання лише після зміни договору та попереднього інформування.

(1) Запити адресуються Контролеру; отримані безпосередньо — негайно передаються. (2) Стандартна модель — функції ПЗ: доступ (експорт JSON/CSV), виправлення (адмін-інтерфейс), видалення (soft-delete з урахуванням законодавчого зберігання), обмеження (позначка), перенесення (машинозчитуваний експорт), заперечення (позначка та блокування). (3) Модуль Concierge: операційне виконання на підставі довіреності — приймання ([email protected] або передання), перевірка особи, оцінка по суті, перевірка зберігання, експорт/зміни, лист-відповідь за ст. 12(3), надсилання, документування в журналі аудиту. (4) Строки: відповідь протягом місяця (ст. 12(3)), за складності — продовження щонайбільше на два місяці; суб’єкта й Контролера інформують. (5) Контролер залишається зовні остаточно відповідальним (ст. 24). (6) Оплата: стандартна модель у ціні ПЗ; Concierge у ціні модуля; надзвичайні обсяги (понад 20 запитів/міс., спори особи, судові процеси) — за обсягом.

(1) Повідомлення Контролеру негайно, щонайпізніше за 24 години від виявлення — з характером порушення, категоріями та приблизною кількістю, можливими наслідками й заходами. (2) За критичної тяжкості додатково перше повідомлення телефоном на збережений аварійний номер. (3) Підтримка обов’язків зі ст. 33/34 (повідомлення 72 год, інформування суб’єктів); у Concierge — також підготовка текстів. (4) Форензика та збереження доказів. (5) Взаємне сприяння у з’ясуванні та усуненні.

(1) BauFin веде реєстр за ст. 30(2). (2) Зміст мінімум: контакти Обробника й субобробників, категорії обробок, передання з гарантіями, опис TOM. (3) Витяги на вимогу. (4) Підтримка власного реєстру Контролера (ст. 30(1)); у Concierge — шаблони записів щодо BauFin.

(1) Контролер обирає: повне повернення (JSON/CSV/SQL-дамп) або повне видалення. (2) Вибір щонайпізніше за 30 днів до завершення на [email protected]; без вибору — автоматичне видалення через 90 днів після завершення. (3) Виконання: видалення/деактивація активних даних через 90 днів; ротація технічних копій протягом до 35 додаткових днів; видалення логів без обов’язку зберігання протягом 90 днів. (4) Виняток — законодавче зберігання (§ 147 AO, § 257 HGB): архів з обмеженим доступом, доступ лише для податкових органів/судів, автоматичне видалення після спливу строків. (5) Письмове підтвердження видалення з датою і методом. (6) Витрати: просте видання даних включено; трудомісткі конверсії чи повторні експорти — за обсягом.

(1) Назовні: солідарна відповідальність за ст. 82(4) залишається незмінною. (2) BauFin внутрішньо відповідає за порушення обов’язків зі ст. 28, цього договору та за дії поза задокументованими вказівками. (3) Контролер внутрішньо відповідає зокрема за помилкові вказівки, відсутність правових підстав, порушені обов’язки інформування та порушення § 26 BDSG. (4) Внутрішня межа BauFin: річна нетто-винагорода за головним договором у році шкоди; межа не діє за умислу/грубої недбалості, порушення кардинальних обов’язків, тілесної шкоди, відповідальності за продукт і зовнішньої відповідальності ст. 82. (5) IT-страхування згідно з додатком 1.

Договірний штраф не погоджується. Законні та договірні вимоги про відшкодування залишаються незмінними.

(1) Договір діє протягом строку головного договору. (2) Окреме припинення неможливе; кінець головного договору завершує і цей. (3) Розірвання без строку з важливої причини (повторні порушення після попередження, неплатоспроможність, стійке знищення довіри). (4) Обов’язки, що тривають: конфіденційність, видалення/повернення, законодавче зберігання, відповідальність за завдані збитки.

(1) Зміни потребують текстової форми (§ 126b BGB). (2) Салваторське застереження. (3) Німецьке право з виключенням CISG. (4) Підсудність — де допустимо — за місцем Обробника. (5) У питаннях захисту даних цей договір має перевагу над головним. (6) Додатки як невід’ємна частина: додаток 1 (TOM), додаток 2 (субобробники), додаток 3 (категорії даних).

Конфіденційність: продукційні сервери в сертифікованих ISO 27001 дата-центрах хостинг-провайдера IONOS SE в Німеччині; адміністративний доступ лише для уповноважених адміністраторів з іменними обліковками. Контроль доступу до системи: пароль + 2FA (TOTP, обов’язково для адмінів), вимоги до паролів за BSI TR-02102, блокування облікового запису, тайм-аут сесії, рольові права (RBAC). Контроль доступу до даних: сувора ізоляція клієнтів (схема на тенант), AES-256 у спокої, TLS 1.3 у передаванні, повний журнал аудиту, принцип чотирьох очей для критичних операцій. Контроль розділення: логічне розділення, окремі копії на тенант, розділені тестові/продукційні середовища (синтетичні тестові дані). Псевдонімізація: логи та AI-запити переважно псевдонімізовані/агреговані. Цілісність: шифрований трансфер, підписані токени, пошта з DKIM/SPF/DMARC, push через власний сервіс; повний протокол змін. Доступність: щогодинні копії БД (RPO 1 год), щоденні повні копії, зберігання 35 днів, задокументований план DR (RTO 24 год), щомісячний тестовий restore. Перегляди: щорічна оцінка TOM, incident response із цілодобовим сповіщенням, щорічний зовнішній пентест (критичні/високі знахідки усуваються за 30 днів), IT-страхування з покриттям щонайменше 1 млн EUR. Інспектор захисту даних: наразі без обов’язку призначення (§ 38 BDSG); контакт: [email protected].

IONOS SE (Монтабаур, DE; дата-центри в Німеччині) — хостинг серверів застосунку та бази; договір обробки, центри ISO 27001. · Cloudflare, Inc. (США; EU edge) — CDN, захист від DDoS, DNS-проксі для технічних даних з’єднання; DPA + SCC. · Zoho Corporation B.V. (Утрехт, NL; центри ЄС) — транзакційна пошта; DPA, обробка в ЄС. · Backblaze, Inc. (США; центр Амстердам, NL) — шифроване зберігання експортів (лише модуль «Datenexport Pro»); DPA + SCC. · Anthropic, PBC (США) — AI-функції, лише за активного використання; DPA + SCC, мінімізація; виключний EU-ендпоінт не гарантується. Власна інфраструктура (без субобробки): дані GPS/локації, push-сповіщення, геокодування, мапи та маршрути працюють виключно на власній інфраструктурі в німецьких дата-центрах; дані локації та руху авто не залишають інфраструктуру постачальника. Платіжні провайдери (самостійні контролери): Revolut Bank UAB і PayPal (Europe) S.à r.l. et Cie, S.C.A. обробляють платіжні дані як власні контролери; дані клієнтів Контролера їм не передаються.

Суб’єкти даних: власники/керівники, працівники, субпідрядники, постачальники, клієнти Контролера, уповноважені перевіряючі (податкові консультанти, аудитори), контакти органів. Категорії даних: основні (ім’я, адреса, дата народження, податковий ID, USt-IdNr., номер соцстрахування, банківські реквізити, лікарняна каса); трудові (зарплата, рахунок робочого часу, відпустка, лікарняні без діагнозу, кваліфікації, миттєве повідомлення, розрахункові листки); фінансові (рахунки, нагадування, платежі, вимоги, проведення, документи); комплаєнс (свідоцтва § 48b EStG, будівельний податок, миттєві повідомлення, A1, звіти перевірок, сліди GoBD); комунікаційні (пошта, чат, нотатки, вкладення); локаційні за активного модуля журналу поїздок/BauFin Box (GPS-координати, маршрути, швидкість, запалювання, дані OBD, прив’язка водія якщо ввімкнено) — особливо чутливі, але не категорії ст. 9 лише через локацію. Спеціальні категорії (ст. 9): дані здоров’я лише обмежено (лікарняні без діагнозу) у трудовому контексті (ст. 9(2)(b) GDPR, § 26 BDSG); поза цим лише якщо Контролер виняткове таке обробляє — за що відповідає самостійно. Примітка BetrVG: за наявності виробничої ради модуль автопарку потребує виробничої угоди (§ 87(1) № 6 BetrVG); відповідальність несе Контролер.