DSGVO та Auftragsverarbeitung

Ваша роль і наша

Коли ви користуєтесь Zvitly, зустрічаються дві ролі. Щодо даних ваших власних клієнтів, постачальників і працівників ви є Verantwortlicher (розпорядник) у розумінні Art. 4 Z 7 DSGVO: ви вирішуєте, які дані збирати і навіщо. Zvitly щодо цих даних є Auftragsverarbeiter (обробник) за Art. 4 Z 8 DSGVO — ми зберігаємо й обробляємо їх виключно за вашими вказівками і ніколи для власних цілей.

Це розмежування — не формальність. Воно визначає, хто має відповісти на запит про доступ, хто повідомляє наглядовий орган про витік і хто за це відповідає. Коротко: щодо даних усередині вашого кабінету Zvitly за кермом ви, ми — двигун.

Рядки 2 і 3 описує не ця сторінка, а Datenschutzerklärung (політика приватності). Datenschutzerklärung

Договір про обробку (AVV)

Art. 28 Abs 3 DSGVO вимагає, щоб будь-яка обробка за дорученням ґрунтувалась на договорі. Без нього вже саме користування є порушенням — і порушенням вашим, а не нашим, бо цей обов'язок покладено на розпорядника. Тому Auftragsverarbeitungsvertrag (AVV, у міжнародній практиці DPA) — не додаткова послуга, а передумова користування.

Як укласти його з нами

1. Напишіть на вказану нижче адресу з темою «AVV» і зазначте назву компанії, адресу та e-mail вашого акаунта Zvitly.
2. Ви отримаєте чинну редакцію AVV у PDF для ознайомлення. За змістом вона збігається з цією сторінкою, але сторінка договору не замінює.
3. Договір укладається в текстовій формі. Art. 28 Abs 9 DSGVO прямо дозволяє електронний формат; підпис на папері не потрібен.

Укладення безкоштовне на всіх тарифах, включно з безкоштовним користуванням. Укласти договір прямо в кабінеті наразі не можна — шлях через електронну пошту.

Зміст AVV за Art. 28 Abs 3 DSGVO

Art. 28 Abs 3 DSGVO встановлює, що має бути в AVV. Дві таблиці нижче відтворюють цей перелік повністю: спершу основні параметри обробки, далі обов'язки за lit a — h.

Субпроцесори

Zvitly залучає перелічених нижче субпроцесорів. Перелік повний і містить лише тих постачальників, з якими справді укладено договір за Art. 28 DSGVO.

Технічні й організаційні заходи (Art. 32)

Art. 32 DSGVO вимагає заходів, співмірних із ризиком, — і вимагає, щоб вони були впроваджені, а не лише заплановані. Тому перелік нижче описує тільки те, що справді працює в продукті.

Порушення захисту персональних даних

Якщо нам стане відомо про порушення захисту персональних даних, що зачіпає ваші дані, ми невідкладно повідомимо вас, як цього вимагає Art. 33 Abs 2 DSGVO. «Невідкладно» на практиці означає протягом 24 годин з моменту, коли ми дізналися, — щоб від ваших власних 72 годин лишилося достатньо.

Що робимо ми

1. Локалізуємо інцидент і встановлюємо його обсяг.
2. Повідомляємо вас як розпорядника — із зазначенням характеру інциденту, категорій зачеплених даних, приблизної кількості суб'єктів, ймовірних наслідків і вжитих заходів (Art. 33 Abs 3 DSGVO).
3. Дописуємо відомості, яких на момент першого повідомлення ще не було: поетапне повідомлення допускається, а для великих інцидентів є звичайною практикою.
4. Документуємо інцидент у себе й усуваємо причину.

Шлях подання в Австрії: онлайн-форма або PDF-форма Datenschutzbehörde, як альтернатива — лист на dsb@dsb.gv.at чи поштою на адресу Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien.

Права суб'єктів даних на практиці

Запити суб'єктів даних адресовані вам, бо розпорядник — ви. Наше завдання — зробити їх виконання можливим. У таблиці для кожного права вказано, що ви можете зробити самі в кабінеті, а для чого потрібні ми.

Концепція видалення

Скільки живуть дані, вирішує не смак, а мета й закон. Для бухгалтерських даних закон суворіший за бажання видалити — і закон має перевагу.

Строки для даних, які Zvitly обробляє як розпорядник — акаунт, контакт, сайт, — наведені в Datenschutzerklärung. Datenschutzerklärung

Передача в треті країни

Ваші бухгалтерські дані не залишають Європейського Союзу. База даних і файли лежать у Франкфурті-на-Майні, застосунок працює на серверах у ЄС, автоматичне розпізнавання чеків іде через профіль інференсу Amazon Web Services, що обмежує обробку дата-центрами в ЄС, а системні листи надсилаються з європейського регіону Ірландія (eu-west-1), де верифіковано домен zvitly.io. Звʼязок із третьою країною виникає виключно щодо службових даних постачальників, які є американськими компаніями або належать до американського концерну: у Supabase та Amazon Web Services — адміністративний доступ відповідного постачальника до власної платформи, у Resend — дані акаунта, метадані доставки й журнали, тобто запис про те, ЩО лист доставлено, а не чеки, рахунки чи дані ваших клієнтів.

Ці передачі правомірні на підставі DSGVO — а не просто терпимі. Resend сертифікований за EU-US Data Privacy Framework, щодо якого Європейська Комісія 10 липня 2023 року ухвалила рішення про адекватність за Art. 45 DSGVO; передача на цій підставі не потребує додаткового дозволу наглядового органу. Незалежно від цього договори про обробку всіх трьох постачальників містять стандартні договірні положення Комісії за Art. 46 Abs 2 lit c DSGVO, доповнені технічними заходами: примусовим транспортним шифруванням, шифруванням у спокої, а також зберіганням і обробкою в ЄС. До договору з Resend застосовується ірландське право та ірландська підсудність.

Оцінка впливу на захист даних (Art. 35)

Datenschutz-Folgenabschätzung (DSFA — оцінка впливу на захист даних) за Art. 35 DSGVO потрібна не завжди. Вона обов'язкова, якщо обробка ймовірно спричинить високий ризик для прав і свобод фізичних осіб — зокрема при систематичному й усебічному оцінюванні особистих аспектів, при масштабній обробці особливих категорій за Art. 9 або при систематичному спостереженні за загальнодоступними місцями у великому обсязі.

Для типового використання Zvitly — бухгалтерії ФОП або малого підприємства — DSFA, на нашу оцінку, не потрібна:

• Немає автоматизованих рішень із правовими наслідками й немає профілювання в розумінні Art. 22 DSGVO.
• Особливі категорії за Art. 9 не передбачені й не запитуються.
• Обробка обмежена господарськими операціями одного підприємства й тому не є «масштабною» в розумінні пункту 91 преамбули.

Реєстр операцій обробки (Art. 30 Abs 2)

Як обробник ми ведемо власний реєстр усіх операцій обробки, що виконуються за дорученням розпорядників (Art. 30 Abs 2 DSGVO). Він містить:

Виняток Art. 30 Abs 5 DSGVO для підприємств із менш ніж 250 працівниками тут не діє: обробка не є епізодичною. На запит ми надаємо реєстр наглядовому органу і вам.

Підтвердження й перевірка

Art. 28 Abs 3 lit h DSGVO дає вам право перевіряти дотримання цього договору. Ми забезпечуємо його в такій послідовності — від найлегшої форми до найбільш втручальної:

1. Самозвіт: ця сторінка й AVV описують обробку та заходи. Для більшості перевірок цього достатньо.
2. Письмова відповідь: на конкретні запитання відповідаємо в текстовій формі протягом 30 днів, включно з підтвердженнями щодо окремих заходів.
3. Перевірка на місці: після попередження в розумний строк, у звичайні робочі години, не частіше ніж раз на рік і без порушення роботи — вами або призначеним вами аудитором, зобов'язаним до нерозголошення й таким, що не є нашим конкурентом. Перевірки, викликані інцидентом, цим обмеженням не охоплюються.

Сертифікатів третіх сторін — на кшталт ISO 27001 чи звіту SOC 2 — для самої Zvitly немає. Для залучених постачальників вони доступні через їхні портали довіри.

Ваші власні обов'язки як підприємця

AVV із нами — одна цеглина вашого комплаєнсу, а не весь він. Шість запитань нижче — це ті, які нам справді ставлять, із відповідями, що стосуються австрійського малого бізнесу й ФОП.

Коротка чеклиста

• AVV із Zvitly укладено.
• AVV з усіма іншими постачальниками укладено.
• Власний реєстр операцій обробки за Art. 30 Abs 1 створено.
• Власну політику приватності за Art. 13 опубліковано.
• Перевірено, чи потрібні уповноважений із захисту даних або DSFA, — і результат зафіксовано.
• Визначено, хто що робить при інциденті, і записано строк у 72 години.

Цей огляд є орієнтиром і не замінює юридичної консультації. Zvitly не є ні податковим радником, ні адвокатом.

Контакт і редакція

Питання щодо обробки за дорученням, запит AVV, повідомлення про інцидент чи допомога із запитом суб'єкта даних — на вказану нижче адресу, зі словом «Datenschutz» у темі листа. Уповноваженого із захисту даних Zvitly не призначала: умов Art. 37 Abs 1 DSGVO немає. На запити відповідає керівництво.

Ця редакція діє від зазначеної вище дати й замінює всі попередні. Юридично чинною є німецька редакція.