Договір про обробку даних

Версія: 3.0 · Набирає чинності: 5 листопада 2026

Це переклад для зручності. Офіційною є англійська версія.

Цей Договір про обробку даних («DPA») є частиною Умов надання послуг Plerdy («Умови») між Plerdy і клієнтом, який користується сервісом Plerdy («Клієнт»). Він визначає, як Plerdy обробляє персональні дані від імені Клієнта, як цього вимагає стаття 28 Загального регламенту ЄС про захист даних 2016/679 («GDPR») та інше застосовне законодавство про захист даних.

1. Як застосовується цей DPA

1.1. Цей DPA автоматично застосовується до кожного Клієнта, який приймає Умови, з моменту їх прийняття. Підпис не потрібен. Стаття 28(9) GDPR допускає укладення договору в електронній формі.

1.2. Цей DPA однаковий для всіх тарифів і способів оплати: безкоштовного тарифу, місячних і річних підписок, оплати за рахунком і пакетів AppSumo. Він охоплює всі сайти, підключені до акаунта Plerdy Клієнта.

1.3. Plerdy не узгоджує і не підписує індивідуальних версій цього DPA. На запит, надісланий на [email protected], Plerdy надсилає PDF цього DPA, підписаний Plerdy. Підписана копія має той самий текст і ту саму силу, що й ця сторінка.

2. Ролі та визначення

2.1. Щодо персональних даних відвідувачів сайтів Клієнта, які збирає код Plerdy («Персональні дані Клієнта»), Клієнт є контролером, а Plerdy — обробником. Щодо даних акаунта Клієнта контролером є Plerdy, як описано в Політиці конфіденційності; цей DPA до них не застосовується.

2.2. «Plerdy» означає Андрія Чорного, фізичну особу-підприємця (ФОП), Україна. Терміни «контролер», «обробник», «персональні дані», «обробка», «суб’єкт даних», «порушення безпеки персональних даних» і «наглядовий орган» мають значення, визначене в GDPR.

3. Вказівки

3.1. Plerdy обробляє Персональні дані Клієнта лише за задокументованими вказівками Клієнта, зокрема щодо передавання до третіх країн, якщо закон не вимагає іншого. У такому разі Plerdy повідомляє Клієнта до початку обробки, якщо закон цього не забороняє.

3.2. Умови, цей DPA і налаштування, які Клієнт обирає у своєму акаунті Plerdy (наприклад, які інструменти увімкнено, маскування, строки зберігання і підключені інтеграції), є повними вказівками Клієнта. Інші вказівки слід надсилати письмово на [email protected]. Якщо вказівку неможливо виконати, Plerdy повідомляє про це Клієнта, і Клієнт може припинити користування сервісом.

3.3. Plerdy повідомляє Клієнта, якщо, на його думку, вказівка порушує законодавство про захист даних.

3.4. Клієнт відповідає за законність обробки, зокрема за інформування відвідувачів і отримання згоди, якщо цього вимагає закон.

4. Конфіденційність

Plerdy надає доступ до Персональних даних Клієнта лише особам, яким він потрібен для надання, підтримки і захисту сервісу. Усі вони зобов’язані зберігати конфіденційність.

5. Безпека

Plerdy впроваджує технічні та організаційні заходи, описані в Додатку 2 і в Політиці безпеки, відповідно до статті 32 GDPR. Plerdy може оновлювати ці заходи за умови, що загальний рівень захисту не знижується.

6. Субобробники

6.1. Клієнт надає Plerdy загальний дозвіл на залучення субобробників. Чинних субобробників перелічено в Додатку 3.

6.2. Plerdy повідомляє Клієнта email-листом власнику акаунта щонайменше за 14 днів до додавання або заміни субобробника. Протягом цього строку Клієнт може заперечити з обґрунтованих причин, пов’язаних із захистом даних, написавши на [email protected]. Якщо сторони не знайдуть рішення, Клієнт може припинити користування відповідною частиною сервісу або видалити свій акаунт.

6.3. Plerdy покладає на кожного субобробника зобов’язання щодо захисту даних, рівнозначні цьому DPA, і залишається відповідальним за нього.

6.4. Інтеграції, які Клієнт підключає сам (наприклад, сервіси email-маркетингу, CRM, Google Sheets, Slack або Telegram), отримують дані за вказівкою Клієнта. Вони є власними постачальниками Клієнта, а не субобробниками Plerdy.

7. Допомога Клієнту

7.1. З урахуванням характеру обробки Plerdy допомагає Клієнту відповідати на запити суб’єктів даних (щодо доступу, видалення, виправлення, заперечення та інші). Plerdy пересилає Клієнту будь-який запит, отриманий безпосередньо від відвідувача, і не відповідає на нього без вказівки Клієнта.

7.2. Plerdy видаляє дані конкретного відвідувача на запит Клієнта протягом 30 днів. Клієнт також може в будь-який час видалити дані сайту або весь свій акаунт в акаунті Plerdy.

7.3. Plerdy надає Клієнту інформацію, обґрунтовано необхідну для оцінки впливу на захист даних і попередніх консультацій з наглядовими органами.

8. Порушення безпеки персональних даних

Plerdy повідомляє Клієнта без зайвої затримки і, де це можливо, протягом 48 годин після того, як дізнається про порушення безпеки персональних даних, що стосується Персональних даних Клієнта. Повідомлення описує те, що відомо на цей момент: характер порушення, категорії та приблизну кількість відповідних осіб і записів, імовірні наслідки та вжиті заходи. Plerdy доповнює інформацію в міру її надходження і вживає заходів, щоб обмежити порушення.

9. Видалення після завершення надання сервісу

9.1. Під час надання сервісу Персональні дані Клієнта видаляються автоматично після періоду історії даних за тарифом Клієнта і відповідно до налаштувань строків зберігання, які обирає Клієнт.

9.2. Коли Клієнт видаляє сайт або свій акаунт, Plerdy видаляє відповідні Персональні дані Клієнта протягом 30 днів, якщо закон не вимагає від Plerdy їх зберігати. Перед видаленням Клієнт може експортувати свої дані за допомогою інструментів, доступних в акаунті.

10. Інформація та аудити

10.1. Plerdy надає Клієнту інформацію, необхідну для підтвердження дотримання статті 28 GDPR: цей DPA, Політику безпеки і письмові відповіді на обґрунтовану анкету з безпеки, один раз на 12 місяців.

10.2. Якщо цієї інформації недостатньо, Клієнт може провести аудит самостійно або через незалежного аудитора, зобов’язаного зберігати конфіденційність, один раз на 12 місяців, з письмовим повідомленням за 30 днів, у робочий час, без порушення роботи сервісу і за рахунок Клієнта. Ці обмеження не застосовуються, коли аудиту вимагає наглядовий орган або після порушення безпеки персональних даних, що стосується Клієнта.

11. Міжнародне передавання даних

11.1. Персональні дані Клієнта зберігаються на серверах у Німеччині. Команда Plerdy працює з України і може мати доступ до даних звідти, щоб надавати підтримку і обслуговувати сервіс. Деякі субобробники з Додатка 3 розташовані за межами Європейської економічної зони.

11.2. Якщо на Клієнта поширюється дія GDPR і дані передаються Plerdy за межі Європейської економічної зони, Стандартні договірні положення, затверджені Імплементаційним рішенням Комісії (ЄС) 2021/914 («SCC»), Модуль 2 (від контролера до обробника), включаються до цього DPA шляхом посилання з таким вибором: застосовується пункт 7 (пункт про приєднання); пункт 9(a), варіант 2 (загальний дозвіл), зі строком повідомлення, визначеним у розділі 6.2; факультативне формулювання пункту 11 не застосовується; пункт 13: наглядовий орган, компетентний щодо Клієнта; пункт 17: право Німеччини; пункт 18: суди Німеччини. Додатки I, II і III до SCC є Додатками 1, 2 і 3 до цього DPA.

11.3. Для передавання, на яке поширюється законодавство Великої Британії про захист даних, разом із SCC застосовується Додаток про міжнародне передавання даних (International Data Transfer Addendum), виданий Уповноваженим з питань інформації Великої Британії. Для передавання, на яке поширюється законодавство Швейцарії, SCC застосовуються з тим, що посилання на GDPR тлумачяться як посилання на Федеральний закон Швейцарії про захист даних, а компетентним органом є Федеральний уповноважений Швейцарії з питань захисту даних та інформації.

11.4. Plerdy передає Персональні дані Клієнта субобробникам за межами Європейської економічної зони лише на підставі SCC або іншого механізму передавання, дозволеного GDPR.

12. Відповідальність

Відповідальність кожної сторони за цим DPA підлягає обмеженням, встановленим в Умовах, тією мірою, якою це дозволяє закон. Ніщо в цьому DPA не обмежує прав суб’єктів даних за GDPR або SCC.

13. Строк дії, пріоритет і зміни

13.1. Цей DPA діє доти, доки Plerdy обробляє Персональні дані Клієнта.

13.2. У разі суперечності SCC мають пріоритет над цим DPA, а цей DPA має пріоритет над Умовами в питаннях персональних даних.

13.3. Plerdy може оновлювати цей DPA з урахуванням змін у законодавстві або в сервісі. Про суттєві зміни Plerdy повідомляє Клієнтів email-листом щонайменше за 14 днів. Зміни не знижують рівня захисту Персональних даних Клієнта.

13.4. Цей DPA регулюється правом, яке регулює Умови, крім SCC, які регулюються так, як зазначено в розділі 11.2.

Додаток 1. Опис обробки

Експортер даних (контролер)	Клієнт, як його визначено в акаунті Plerdy. Діяльність: управління сайтом і аналіз його використання.
Імпортер даних (обробник)	Андрій Чорний, фізична особа-підприємець (ФОП), Україна. Контакт: [email protected]. Діяльність: надання сервісу вебаналітики Plerdy.
Суб’єкти даних	Відвідувачі сайтів Клієнта; люди, які надсилають форми попапів або пишуть у чаті на цих сайтах.
Категорії персональних даних	Псевдонімний ID відвідувача, створений на основі технічних характеристик браузера і збережений у локальному сховищі; браузер, операційна система, тип пристрою, розмір екрана, країна; переглянуті сторінки, джерело переходу, мітки кампаній і рекламні ідентифікатори кліків (не зберігаються, якщо браузер надсилає Global Privacy Control або Do Not Track); кліки, прокручування, рух миші, час на сторінці, помилки сторінок; записи сесій як відтворення сторінки і дій, із маскуванням введених значень у браузері; які поля форм використовувалися, без їхнього вмісту; ID замовлення, сума і товари, про які повідомляє сайт; дані, які відвідувач надсилає в попапах і чаті, як-от ім’я, email, телефон і повідомлення.
IP-адреси	Обробляються лише в момент запиту, щоб визначити країну і застосувати список виключених IP-адрес Клієнта. Не зберігаються разом із кліками, прокручуванням, даними про трафік чи записами сесій.
Чутливі дані	Не передбачені. Клієнт не повинен надсилати в Plerdy особливі категорії даних (стаття 9 GDPR) і має позначати такі елементи сторінки як `data-sensitive`, щоб вони не записувалися.
Періодичність	Безперервно, доки код Plerdy встановлено на сайті Клієнта.
Характер і мета	Збирання, зберігання, аналіз і відображення Клієнту даних про використання сайту: теплові карти, записи сесій, аналітика форм, попапи і чат, події, воронки, джерела трафіку, ефективність продажів, SEO-інструменти і сповіщення. Plerdy не використовує дані для власних цілей і не продає їх.
Строк зберігання	Період історії даних за тарифом Клієнта; записи сесій — відповідно до налаштувань Клієнта. Видаляються протягом 30 днів після того, як Клієнт видалить сайт або акаунт.
Передавання субобробникам	Як перелічено в Додатку 3, для зазначених там цілей, протягом строку надання сервісу.

Додаток 2. Технічні та організаційні заходи

Хостинг: сервери, бази даних і сховище записів сесій у Німеччині, у дата-центрах із сертифікацією ISO/IEC 27001.
Шифрування під час передавання: TLS для всього трафіку; мережа доставки контенту із захистом від атак.
Мінімізація даних у браузері: значення, введені в поля форм, маскуються до надсилання; поля пароля, email, телефону, імені та адреси маскуються завжди; елементи, позначені data-sensitive, data-payment або data-private, не записуються; записи сесій не є відео чи скриншотами.
IP-адреси: не зберігаються в даних відстеження (див. Додаток 1).
Сигнали приватності: дані не збираються з браузерів, які надсилають Global Privacy Control або Do Not Track.
Розмежування: дані кожного Клієнта зберігаються окремо і не поєднуються з даними інших Клієнтів.
Контроль доступу: доступ до робочих систем і даних лише для уповноважених членів команди, яким він потрібен; персональні облікові записи; паролі клієнтів зберігаються як односторонні хеші із сіллю (bcrypt); необов’язковий двоетапний вхід з одноразовим кодом на email; обмеження кількості невдалих спроб входу.
Цілісність коду: скрипт відстеження збирається автоматично з вихідного коду в системі контролю версій і не редагується вручну на серверах.
Строк зберігання: автоматичне видалення записів сесій відповідно до налаштувань Клієнта; автоматичне видалення інших даних відвідувачів після періоду історії даних за тарифом.
Люди: зобов’язання щодо конфіденційності; навчання щодо фішингу і повідомлення про інциденти.
Інциденти: задокументований процес стримування, розслідування й усунення інцидентів і повідомлення Клієнтів, як описано в розділі 8.

Додаток 3. Субобробники

Субобробник	Мета	Місцезнаходження
Hetzner Online GmbH	Сервери, бази даних і зберігання записів сесій	Німеччина
Cloudflare, Inc.	Доставка контенту, шифрування і захист від атак для всього трафіку	Глобальна мережа; США
Google (Google Ireland Limited / Google LLC)	Надсилання службових листів, зокрема даних із попапів і чату, що надсилаються Клієнту	Ірландія; США
OpenAI, L.L.C.	Функції AI, лише коли Клієнт ними користується	США

Платежі обробляють Paddle як офіційний продавець (merchant of record) і AppSumo щодо пакетів AppSumo. Вони отримують лише дані акаунта Клієнта і платіжні дані, а не Персональні дані Клієнта.