Угода про обробку даних

1. Ролі та сфера дії

Щодо персональних даних кінцевих клієнтів, які Тенант збирає й обробляє через Noara (повідомлення, профілі, записи про покупки, аналітика), Тенант є Контролером, а Noara — Процесором. Noara обробляє ці дані лише для надання сервісу та лише за документованими інструкціями Тенанта, якими є конфігурація облікового запису Тенанта в Noara разом із цими Умовами.

Noara виступає власним Контролером щодо даних облікового запису Тенанта (білінг, вхід, підтримка); ця обробка регулюється Політикою конфіденційності, а не цією DPA.

2. Предмет, тривалість, характер і мета

Предмет: обробка персональних даних кінцевих клієнтів для роботи вітрини, курсів, спільноти, інбоксу, воронок, автоматизацій, платежів та AI-функцій Тенанта.

Тривалість: доки Тенант підтримує активний обліковий запис Noara, плюс строки зберігання, визначені в Політиці конфіденційності.

Характер і мета: зберігання, хостинг, передача, аналіз та обробка за допомогою AI виключно для роботи застосунку та бізнесу Тенанта.

3. Категорії даних і субʼєктів

Субʼєкти даних: кінцеві клієнти, ліди та відвідувачі Тенанта.

Категорії персональних даних: ідентифікатори (Telegram ID, username, email, телефон за наявності), деталі профілю, повідомлення та діалоги, прогрес курсів, метадані покупок та аналітичні події. Noara не потребує даних особливих категорій; Тенанти не повинні пропускати такі дані через Noara без власної правової підстави.

4. Обовʼязки Noara як процесора

Noara зобовʼязується:

• обробляти персональні дані лише за документованими інструкціями Тенанта, окрім випадків, передбачених законом (про що Noara повідомляє Тенанта, де це дозволено);
• забезпечувати, щоб особи, уповноважені на обробку, були звʼязані зобовʼязанням про конфіденційність;
• впроваджувати належні технічні й організаційні заходи безпеки (ст. 32): шифрування під час передачі та зберігання, envelope-шифрування платіжних і PII-полів, ротацію ключів, контроль доступу та ізоляцію тенантів на рівні бази даних;
• допомагати Тенанту, з урахуванням характеру обробки, у відповідях на запити субʼєктів даних та в забезпеченні безпеки, повідомленні про порушення й оцінках впливу на захист даних;
• надавати інформацію, необхідну для підтвердження відповідності ст. 28.

5. Субпроцесори

Тенант надає загальний дозвіл Noara залучати субпроцесорів. Поточні субпроцесори — це перелічені в Політиці конфіденційності (Anthropic, Bunny.net, Resend, Telegram, Meta, Stripe, Cloudflare), кожен звʼязаний умовами захисту даних не менш суворими, ніж ця DPA.

Noara повідомлятиме про заплановані зміни субпроцесорів (через Політику конфіденційності та в застосунку) і надаватиме розумну можливість заперечити з обґрунтованих причин захисту даних.

6. Запити субʼєктів даних

Якщо Noara отримує запит безпосередньо від кінцевого клієнта Тенанта (доступ, видалення, виправлення тощо), вона, де може визначити відповідного Тенанта, передає запит цьому Тенанту та допомагає у відповіді. Тенанти також можуть самостійно опрацьовувати більшість запитів через Studio та вбудовані інструменти видалення.

7. Порушення захисту даних

Noara повідомить відповідного Тенанта без невиправданої затримки після того, як їй стане відомо про порушення захисту даних, що стосується даних кінцевих клієнтів цього Тенанта, з інформацією, яка обґрунтовано потрібна Тенанту для виконання власних обовʼязків щодо повідомлення.

8. Міжнародні передачі

Частина субпроцесорів розташована поза ЄЕЗ/Великою Британією (Anthropic, Resend, Stripe, Meta, Cloudflare). Коли персональні дані передаються поза ЄЕЗ/Велику Британію, Noara спирається на Стандартні договірні положення (SCC) та описані вище технічні заходи.

9. Видалення та повернення даних

Після припинення дії облікового запису Тенанта Noara, на вибір Тенанта, видалить або поверне персональні дані кінцевих клієнтів, які вона обробляє від імені Тенанта, з урахуванням строків зберігання, передбачених законом (наприклад, платіжні записи), визначених у Політиці конфіденційності, після чого дані видаляються.

10. Аудити та інформація

За обґрунтованим письмовим запитом і не частіше ніж раз на рік (якщо інше не вимагає наглядовий орган) Noara надасть інформацію, обґрунтовано необхідну для підтвердження відповідності цій DPA. Зобовʼязання щодо аудиту виконуються насамперед документацією та описами безпеки Noara; будь-який виїзний аудит, що є строго необхідним, узгоджується з розумним повідомленням і на умовах конфіденційності.

11. Відповідальність і право, що застосовується

Відповідальність кожної сторони за цією DPA підпадає під обмеження відповідальності в Умовах користування. Ця DPA регулюється законодавством штату Делавер (США), окрім випадків, коли GDPR / UK GDPR вимагає іншого для захисту субʼєктів даних.

Питання: support@noara.bot.