Угода про обробку даних QR Code AI

УГОДА ПРО ОБРОБКУ ДАНИХ (DPA)

Останнє оновлення: 2 березня 2026 року

Ця Угода про обробку даних («DPA») є частиною Умов використання («Договір») між Supernovae, компанією, зареєстрованою у Франції за адресою 27 Rue Wurtz, Juvisy-sur-Orge 91260, номер ПДВ FR67948452891 («Обробник», «ми», «нас»), та суб’єктом, який приймає цю DPA («Контролер», «ви»), разом іменованими «Сторони».

Ця DPA застосовується, коли ми обробляємо персональні дані від вашого імені у зв’язку з наданням послуг QR Code AI, зокрема через API.

1. ВИЗНАЧЕННЯ

• «Персональні дані» означають будь-яку інформацію про ідентифіковану фізичну особу або фізичну особу, яку можна ідентифікувати, як визначено в пункті 1 статті 4 GDPR.
• «Обробка» означає будь-яку операцію або сукупність операцій із Персональними даними, як визначено в пункті 2 статті 4 GDPR.
• «Суб’єкт даних» означає ідентифіковану фізичну особу або фізичну особу, яку можна ідентифікувати та якої стосуються Персональні дані.
• «Субпроцесор» означає будь-яку третю особу, залучену Обробником для обробки Персональних даних від імені Контролера.
• «GDPR» означає Регламент (ЄС) 2016/679 Європейського Парламенту і Ради.
• «UK GDPR» означає Загальний регламент про захист даних Сполученого Королівства, який застосовується за правом Сполученого Королівства та тлумачиться разом із законом Data Protection Act 2018.
• «Стандартні договірні положення» (SCC) означають стандартні договірні положення, затверджені Європейською комісією для передавання Персональних даних до третіх країн.
• «Порушення безпеки даних» означає порушення безпеки, що призводить до випадкового або неправомірного знищення, втрати, зміни, несанкціонованого розкриття Персональних даних або доступу до них.

2. СФЕРА ЗАСТОСУВАННЯ ТА РОЛІ

2.1 Контролер та Обробник

Для цілей цієї DPA:

• Ви (Контролер): Ви визначаєте цілі та засоби обробки Персональних даних під час користування нашими Послугами, зокрема коли використовуєте наш API для створення QR-кодів для власних клієнтів або інтегруєте наші Послуги у свої продукти.
• Ми (Обробник): Ми обробляємо Персональні дані від вашого імені відповідно до ваших вказівок, як описано в цій DPA та Договорі.

2.2 Коли застосовується ця DPA

Ця DPA застосовується, коли:

• Ви використовуєте API QR Code AI для створення QR-кодів, які обробляють дані ваших кінцевих користувачів (наприклад, URL із персональною інформацією, дані vCard, контактні дані, закодовані в QR-кодах).
• Ви використовуєте функції відстеження та аналітики QR Code AI, які збирають дані про сканування ваших кінцевих користувачів.
• Ми обробляємо Персональні дані від вашого імені як обробник даних у будь-яких інших випадках.

Коли ви користуєтеся QR Code AI як індивідуальний користувач для власних цілей, ми діємо як незалежний контролер даних, а обробку регулює наша Політика конфіденційності.

3. ВІДОМОСТІ ПРО ОБРОБКУ ДАНИХ

3.1 Предмет і тривалість

Ми обробляємо Персональні дані протягом строку дії Договору для надання послуг QR Code AI, зокрема створення QR-кодів, відстеження, аналітики та пов’язаних функцій.

3.2 Характер і мета Обробки

• Створення QR-кодів на основі вхідних даних, наданих Контролером
• Відстеження сканувань QR-кодів і збирання аналітичних даних
• Зберігання налаштувань QR-кодів і пов’язаних метаданих
• Обробка запитів на створення художніх QR-кодів за допомогою ШІ
• Надання звітів та аналітичних панелей

3.3 Типи Персональних даних

Типи Персональних даних, які обробляються, можуть включати:

• Контактну інформацію (імена, адреси електронної пошти, номери телефонів), закодовану в QR-кодах
• URL та вебадреси
• Дані про місцезнаходження, отримані під час сканування QR-кодів
• Інформацію про пристрої та IP-адреси, отримані під час сканування QR-кодів
• Текстові запити та зображення, надані для створення QR-кодів за допомогою ШІ
• Будь-які інші дані, які Контролер вирішує закодувати в QR-кодах

3.4 Категорії Суб’єктів даних

• Кінцеві користувачі, які сканують QR-коди, створені Контролером
• Особи, чия контактна інформація закодована в QR-кодах
• Користувачі продуктів або послуг Контролера, які взаємодіють із QR-кодами

4. ОБОВ’ЯЗКИ ОБРОБНИКА

4.1 Вказівки щодо обробки

Ми оброблятимемо Персональні дані лише відповідно до ваших документально зафіксованих вказівок, крім випадків, коли обробку вимагає право ЄС або держави-члена, яке до нас застосовується. У такому разі ми повідомимо вас про цю правову вимогу до початку обробки, якщо закон не забороняє повідомляти про неї з важливих міркувань суспільного інтересу.

Ми негайно повідомимо вас, якщо, на нашу думку, вказівка порушує GDPR або інші застосовні положення ЄС чи держави-члена щодо захисту даних.

4.2 Конфіденційність

Ми забезпечуємо, щоб особи, уповноважені обробляти Персональні дані, взяли на себе зобов’язання щодо конфіденційності або були пов’язані належним установленим законом обов’язком дотримуватися конфіденційності.

4.3 Заходи безпеки

Ми застосовуємо належні технічні та організаційні заходи для забезпечення рівня безпеки, що відповідає ризику, зокрема:

• Шифрування Персональних даних під час передавання (TLS/HTTPS) та шифрування чутливої інформації під час зберігання
• Контроль доступу та автентифікацію на основі ролей для внутрішніх систем
• Регулярні оцінювання безпеки та сканування вразливостей
• Інфраструктуру, розміщену в Scaleway і DigitalOcean, із заходами безпеки та дотримання вимог, які залежать від постачальника та послуги хостингу
• Захист від DDoS та міжмережевий екран вебзастосунків (Cloudflare)
• Регулярне резервне копіювання із зашифрованим зберіганням копій
• Журналювання та моніторинг доступу до Персональних даних

4.4 Субпроцесори

Ми використовуємо субпроцесорів, перелічених на нашій сторінці субпроцесорів. Ми надсилатимемо вам письмове повідомлення про кожне заплановане додавання або заміну субпроцесора, надаючи 30 днів від повідомлення для заперечень до набрання зміною чинності. Ви можете подати заперечення, звернувшись до нас за адресою [email protected] протягом цього строку. Якщо ви подасте заперечення, яке ми не зможемо обґрунтовано задовольнити, будь-яка сторона може припинити надання відповідної частини Послуг.

Ми залучатимемо субпроцесора для обробки Персональних даних від вашого імені лише на підставі письмового договору, зокрема застосовних електронних умов, який встановлює обов’язки щодо захисту даних, передбачені пунктом 4 статті 28 GDPR. Ми залишаємося відповідальними за наших субпроцесорів відповідно до вимог цієї статті.

4.5 Права Суб’єктів даних

Ми допомагатимемо вам відповідати на запити Суб’єктів даних, які здійснюють свої права за застосовним законодавством про захист даних (доступ, виправлення, видалення, обмеження, перенесення, заперечення). Якщо ми отримаємо запит безпосередньо від Суб’єкта даних, ми оперативно спрямуємо його до вас, якщо не отримаємо інших вказівок.

4.6 Допомога в дотриманні вимог

Ми допомагатимемо вам забезпечувати виконання обов’язків за статтями 32–36 GDPR, беручи до уваги характер обробки та доступну нам інформацію.

5. ПОВІДОМЛЕННЯ ПРО ПОРУШЕННЯ БЕЗПЕКИ ДАНИХ

5.1 Строк повідомлення

Ми повідомимо вас про Порушення безпеки даних без невиправданої затримки та в будь-якому разі протягом 72 годин від моменту, коли дізнаємося про порушення. Повідомлення буде надіслано на адресу електронної пошти, пов’язану з вашим обліковим записом.

5.2 Зміст повідомлення

Повідомлення включатиме, наскільки інформація доступна:

• Опис характеру Порушення безпеки даних, зокрема категорій і приблизної кількості Суб’єктів даних та записів, яких воно стосується.
• Ім’я та контактні дані нашої контактної особи з питань захисту даних.
• Опис імовірних наслідків Порушення безпеки даних.
• Опис вжитих або запропонованих заходів для усунення Порушення безпеки даних, зокрема заходів для пом’якшення його можливих негативних наслідків.

5.3 Подальша співпраця

Ми співпрацюватимемо з вами та надаватимемо розумну допомогу в розслідуванні, пом’якшенні наслідків і усуненні будь-якого Порушення безпеки даних, а також у надсиланні повідомлень наглядовим органам або Суб’єктам даних, які ви зобов’язані надіслати.

6. МІЖНАРОДНЕ ПЕРЕДАВАННЯ ДАНИХ

6.1 Місцезнаходження даних

Персональні дані переважно зберігаються та обробляються в Європейському Союзі:

• Франція (ЄС) через Scaleway
• Нідерланди (ЄС) через DigitalOcean

6.2 Передавання за межі ЄС/ЄЕЗ

Деякі наші субпроцесори розташовані за межами ЄС/ЄЕЗ, переважно у Сполучених Штатах. Для такого передавання ми спираємося на:

• Рамкову програму захисту даних ЄС–США (Data Privacy Framework): Де застосовно, для передавання постачальникам зі США, сертифікованим у межах програми.
• Стандартні договірні положення (SCC): Ми включаємо SCC, затверджені Європейською комісією (Імплементаційне рішення Комісії (ЄС) 2021/914), до наших угод із субпроцесорами за межами ЄС/ЄЕЗ, коли Data Privacy Framework не застосовується.

6.3 Оцінювання впливу передавання

Ми оцінюємо вплив передавання до третіх країн і за потреби застосовуємо додаткові заходи, щоб забезпечити належний рівень захисту даних.

7. АУДИТИ ТА ПЕРЕВІРКИ

7.1 Право на аудит

Ви маєте право проводити аудит дотримання нами цієї DPA. Ми надамо вам усю інформацію, необхідну для підтвердження дотримання вимог, дозволятимемо та сприятимемо проведенню аудитів, зокрема перевірок, вами або уповноваженим вами аудитором.

7.2 Порядок аудиту

Наведені нижче умови застосовуються до аудитів лише тією мірою, якою вони не обмежують права чи обов’язки за застосовним законодавством про захист даних:

• Ви повинні надіслати письмове повідомлення щонайменше за 30 днів до будь-якого аудиту.
• Аудити можна проводити не частіше одного разу на рік, крім випадків, коли їх вимагає наглядовий орган або коли їх проводять після Порушення безпеки даних.
• Аудити повинні проводитися у звичайний робочий час і не повинні необґрунтовано перешкоджати нашій діяльності.
• Ви несете витрати на будь-який аудит, якщо він не виявить істотного порушення цієї DPA.
• Конфіденційна інформація інших наших клієнтів не повинна розкриватися під час аудиту.

8. ЗБЕРІГАННЯ ТА ВИДАЛЕННЯ ДАНИХ

8.1 Протягом строку дії Договору

Ми зберігаємо Персональні дані протягом строку дії Договору тією мірою, якою це необхідно для надання Послуг.

8.2 Після припинення Договору

Після припинення Договору або на ваш письмовий запит:

• На ваш вибір ми видалимо Персональні дані або повернемо їх вам і видалимо решту копій із наших активних систем протягом 30 днів.
• Персональні дані в резервних архівах буде видалено протягом 6 місяців. До того часу вони залишатимуться захищеними та не використовуватимуться для інших цілей, якщо застосовне законодавство не вимагає іншого.
• Ми можемо зберігати Персональні дані тією мірою, якою цього вимагає застосовне законодавство (наприклад, податкові або бухгалтерські обов’язки). У такому разі ми ізолюємо та захистимо ці дані й обмежимо подальшу обробку тим, що вимагає закон.

8.3 Підтвердження

На ваш запит ми надамо письмове підтвердження того, що Персональні дані видалено відповідно до цього розділу.

9. ВІДПОВІДАЛЬНІСТЬ

Відповідальність кожної сторони за цією DPA підпорядковується обмеженням відповідальності, встановленим Договором. Жодне положення цієї DPA не обмежує відповідальність будь-якої сторони перед Суб’єктами даних або наглядовими органами за застосовним законодавством про захист даних.

10. ЗАСТОСОВНЕ ПРАВО

Ця DPA регулюється правом Франції. GDPR і UK GDPR застосовуються тією мірою, якою обробка підпадає під відповідну сферу їхньої дії. Будь-які спори, що виникають із цієї DPA, вирішуються відповідно до положень Договору про врегулювання спорів.

11. ЯК УКЛАСТИ ЦЮ DPA

Ця DPA включена до Умов використання і є їхньою частиною. Користуючись Послугами QR Code AI, ви погоджуєтеся з цією DPA.

Якщо для ваших документів потрібен окремо підписаний примірник цієї DPA, зверніться до нас за адресою [email protected], і ми надамо його протягом 10 робочих днів.

12. КОНТАКТИ

Із запитаннями щодо цієї DPA або наших практик обробки даних:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 Франція [email protected]