Проєкт для перевірки юристом. Після перевірки може бути опублікована нова редакція. Про неї ми повідомимо заздалегідь (п. 10.5 Оферти), а редакцію, яку ви прийняли, зберігаємо.

Додаток 2 до Публічної оферти Cifrela Business

Договір про обробку персональних даних

Редакція 1.0 від 20.10.2026 · ідентифікатор тексту 5291de39

Цей Додаток є невід’ємною частиною Публічної оферти про надання доступу до корпоративного месенджера Cifrela Business (далі — «Оферта», «Договір») між ТОВ «СОФТСОЛЕДЖ АЙТІ» (далі — «Виконавець») і Замовником і є договором про доручення обробки персональних даних. Терміни вживаються в значенні, визначеному Офертою та Законом України «Про захист персональних даних» (далі — «Закон»).

1. Ролі Сторін

1.1. Щодо персональних даних Користувачів, які обробляються в Мережі компанії, Замовник є володільцем персональних даних, а Виконавець — розпорядником, якому Замовник доручає обробку відповідно до частин четвертої та п’ятої статті 4 Закону.

1.2. Виконавець обробляє ці дані лише з метою та в обсязі, визначеними цим Додатком, і за документованими вказівками Замовника. Вказівками є умови Договору та налаштування Мережі компанії, які Власник робить у застосунку. Якщо, на думку Виконавця, вказівка порушує законодавство, він повідомляє про це Замовника і може її не виконувати.

1.3. Щодо даних, які Виконавець обробляє для власних цілей (укладення й виконання Договору із Замовником, бухгалтерський і податковий облік, захист Сервісу від зловживань — обмеження частоти запитів, блокування порушників, захист від повторної реєстрації імен видалених акаунтів, — а також виконання вимог закону), Виконавець є самостійним володільцем і обробляє їх відповідно до своїх політик конфіденційності.

1.4. Якщо до обробки застосовується Регламент (ЄС) 2016/679 (GDPR), Сторони тлумачать цей Додаток як договір між контролером і процесором відповідно до статті 28 GDPR.

2. Мета і строк обробки

2.1. Мета обробки — надання Замовнику доступу до Сервісу: реєстрація Користувачів за запрошеннями, доставка зашифрованих повідомлень у Мережі компанії, керування складом Мережі компанії, технічна підтримка.

2.2. Обробка триває протягом строку дії Договору, а окремих даних після його припинення — протягом строків, визначених розділом 6.

3. Суб’єкти і склад даних

3.1. Суб’єкти персональних даних — Користувачі: Власник, працівники Замовника та інші особи, яких Власник запросив до Мережі компанії.

3.2. Склад даних, які обробляє Виконавець:

• 1) ім’я користувача (латиницею, його обирає Користувач) і роль у Мережі компанії (власник або учасник);
• 2) відкриті ключі шифрування та сертифікат ключа (ім’я, відкритий ключ підпису, набір шифрів, місяць видачі, компанія);
• 3) хеш токена доступу (сам токен не зберігається);
• 4) запрошення до Мережі компанії: код, строк дії, стан, примітка Власника, ім’я того, хто ним скористався;
• 5) членство в групах, дати створення й останньої активності груп (з точністю до доби);
• 6) дата реєстрації та останньої активності Користувача (з точністю до доби), позначка блокування;
• 7) редакція документів, з якими погодився Користувач під час реєстрації, і час згоди;
• 8) Шифротекст повідомлень і службові дані доставки: ім’я відправника, номер епохи групи, тип і розмір запису, час надходження (з точністю до хвилини);
• 9) IP-адреса — лише в оперативній пам’яті сервера на час вікна обмеження частоти запитів (до 1 години), без запису на диск і в журнали.

3.3. Власник бачить у застосунку перелік Користувачів Мережі компанії з іменами, ролями, датою реєстрації та приблизною давністю активності («за минулу добу», «цього тижня», «давно»). Змісту листування Власник, як і Виконавець, не бачить.

3.4. Зміст повідомлень Виконавцю недоступний. Замовник самостійно визначає, яку інформацію Користувачі передають через Сервіс, і відповідає за законність її передання, зокрема персональних даних третіх осіб і даних, на обробку яких поширюються особливі вимоги (стаття 7 Закону).

3.5. Сервіс не збирає номерів телефонів, адресних книг, геолокації, рекламних ідентифікаторів. Дані на пристроях Користувачів (ключі, історія листування, PIN-код, налаштування) Виконавцю не передаються.

4. Обов’язки Виконавця як розпорядника

4.1. Виконавець зобов’язується:

• 1) обробляти персональні дані лише з метою, визначеною п. 2.1, і за вказівками Замовника;
• 2) забезпечити, щоб працівники, допущені до обробки, були зобов’язані не розголошувати персональні дані (стаття 10 Закону). Доступ до службових даних мають лише уповноважені працівники, яким він потрібен для роботи Сервісу;
• 3) застосовувати заходи захисту, визначені розділом 5 Оферти і розділом 8 цього Додатка (стаття 24 Закону);
• 4) не передавати персональні дані третім особам, крім суброзпорядників відповідно до розділу 5 цього Додатка та випадків, передбачених законом;
• 5) допомагати Замовнику виконувати запити Користувачів щодо їхніх прав (стаття 8 Закону) в межах даних, якими володіє Виконавець, і технічних можливостей Сервісу. Видалення даних Користувача здійснює Власник (вилучення Користувача) або сам Користувач у застосунку («Знищити всі дані»). Запити, що надійшли безпосередньо Виконавцю, він передає Замовнику протягом 5 (п’яти) робочих днів;
• 6) повідомляти Замовника про порушення безпеки персональних даних відповідно до розділу 7;
• 7) на запит Замовника, не частіше одного разу на рік, а також після інциденту безпеки, надавати письмову інформацію про заходи захисту і відповіді на анкети служби безпеки Замовника в обсязі, що не знижує безпеки Сервісу. Перевірки на місці проводяться за окремою домовленістю Сторін і за рахунок Замовника.

4.2. Сервер не зберігає ключів для розшифрування повідомлень, тому Виконавець не може виконати вказівку чи запит, що вимагає доступу до змісту повідомлень.

5. Суброзпорядники

5.1. Замовник надає загальний дозвіл на залучення суброзпорядників. На дату цієї редакції Виконавець залучає Hetzner Online GmbH (Німеччина) для розміщення серверів Сервісу в дата-центрі в Німеччині (ЄС).

5.2. Виконавець залучає суброзпорядників на умовах договорів, які зобов’язують їх захищати персональні дані не гірше, ніж вимагає цей Додаток, і відповідає перед Замовником за виконання ними цих обов’язків у межах розділу 7 Оферти.

5.3. Про залучення нового чи заміну наявного суброзпорядника Виконавець повідомляє Замовника електронною поштою не пізніше ніж за 14 днів. Замовник може обґрунтовано заперечити; якщо Сторони не дійдуть згоди, Замовник може відмовитися від Договору з поверненням коштів за невикористаний оплачений строк.

6. Місце обробки, транскордонна передача і строки зберігання

6.1. Сервери Сервісу розміщено в дата-центрі в Німеччині (ЄС). Передача персональних даних до держав — учасниць Європейського економічного простору відповідає статті 29 Закону. Уповноважені працівники Виконавця адмініструють сервери дистанційно з України через захищений канал.

6.2. Строки зберігання:

• 1) Шифротекст повідомлень, службові записи груп і запрошення до груп — до 30 днів із моменту надходження на сервер, після чого вони видаляються автоматично. Група, у якій понад 30 днів не було нових записів, видаляється разом із переліком учасників;
• 2) дані облікового запису — доки Користувача не вилучено з Мережі компанії, він не видалив акаунт сам або Мережу компанії не видалено;
• 3) запрошення до Мережі компанії — до 30 днів після спливу строку їх дії;
• 4) після видалення облікового запису чи Мережі компанії дані видаляються з робочого сервера одразу, за такими винятками: зашифровані резервні копії стану сервера зберігаються до 14 днів; хеш токена доступу з причиною видалення — 30 днів, щоб застосунок на пристрої Користувача отримав повідомлення про видалення і знищив локальні дані; ключовий хеш (HMAC) імені Користувача — 1 рік, щоб ніхто не зареєстрував це ім’я і не видавав себе за Користувача;
• 5) після вилучення окремого Користувача надіслані ним повідомлення зберігаються в групах у вигляді Шифротексту до спливу 30-денного строку, а його ім’я в них замінюється знеособленою позначкою.

6.3. Після припинення Договору Виконавець видаляє персональні дані Користувачів у порядку п. 10.4 Оферти та в строки, визначені цим розділом. Повернути Замовнику Виконавець може лише службові дані, якими володіє (зокрема перелік Користувачів); зміст листування повернути неможливо, бо Виконавець його не має.

7. Порушення безпеки персональних даних

7.1. Про порушення безпеки, що призвело або могло призвести до випадкової чи незаконної втрати, знищення, зміни, розголошення персональних даних Користувачів або доступу до них, Виконавець повідомляє Замовника без невиправданої затримки, не пізніше ніж через 72 години з моменту, коли про нього дізнався.

7.2. Повідомлення містить відомий на цей момент опис порушення, категорії та приблизну кількість зачеплених даних і Користувачів, можливі наслідки, ужиті й заплановані заходи, контакт для зв’язку. Інформацію, якої ще немає, Виконавець надає поетапно.

7.3. Повідомлення Уповноваженого Верховної Ради України з прав людини, інших органів і суб’єктів персональних даних, якщо воно потрібне, здійснює Замовник як володілець; Виконавець надає необхідну для цього інформацію.

7.4. Повідомлення Виконавця про порушення не є визнанням його вини.

8. Технічні та організаційні заходи захисту

8.1. Виконавець застосовує такі заходи захисту (стаття 24 Закону):

• 1) шифрування: наскрізне шифрування MLS (RFC 9420) з постквантовим гібридом ML-KEM-768 + X25519 за замовчуванням; регулярне автоматичне оновлення ключів у групах; вирівнювання розміру повідомлень, щоб не розкривати їх довжину; засвідчення ключів Користувачів сервісом автентифікації та можливість звірити відбиток його ключа в застосунку; шифрування з’єднання між застосунком і сервером (TLS); шифрування стану сервера й резервних копій (AES-256-GCM);
• 2) мінімізація даних: сервер зберігає лише Шифротекст і службові дані, перелічені в розділі 3; час на сервері округлюється до доби чи хвилини; журнали сервера не містять імен, ідентифікаторів груп, IP-адрес і змісту повідомлень; IP-адреси обробляються лише в оперативній пам’яті для обмеження частоти запитів;
• 3) ізоляція і контроль доступу: реєстрація в Мережі компанії лише за запрошеннями Власника в межах кількості Місць; видача ключів і сертифікатів лише в межах Мережі компанії; обмеження частоти запитів і захист від підбору кодів та імен; адміністративна панель недоступна з інтернету, вхід до неї — лише через захищений канал з окремою автентифікацією; адміністратори бачать службові дані без змісту повідомлень;
• 4) захист на пристрої: дані застосунку зашифровано ключем, що зберігається в захищеному сховищі системи (Android Keystore); хмарне резервне копіювання даних застосунку вимкнено; PIN-код і автоблокування; захист від знімків екрана, увімкнений за замовчуванням; знищення ключів та історії на пристрої після вилучення Користувача або видалення Мережі компанії під час наступного з’єднання з сервером;
• 5) організаційні заходи: допуск до серверів і службових даних лише працівників, яким це потрібно для роботи Сервісу, з обов’язком конфіденційності; перевірка безпеки змін перед випуском нових версій; реагування на інциденти й повідомлення про них відповідно до розділу 7.

8.2. Виконавець може замінювати окремі заходи рівноцінними або надійнішими (п. 5.2 Оферти).

9. Обов’язки Замовника як володільця

9.1. Замовник забезпечує наявність правової підстави для обробки персональних даних Користувачів (стаття 11 Закону) і повідомляє Користувачів про володільця, склад і мету обробки, розпорядника та інші відомості, передбачені статтею 12 Закону.

9.2. Замовник не доручає Виконавцю обробку, що суперечить законодавству, і самостійно визначає, яких осіб запрошувати до Мережі компанії.

9.3. Замовник як володілець розглядає запити Користувачів щодо їхніх прав; Виконавець допомагає йому відповідно до пп. 5 п. 4.1.

10. Відповідальність і пріоритет

10.1. Відповідальність Сторін за цим Додатком визначається розділом 7 Оферти.

10.2. У разі розбіжностей між цим Додатком і Офертою щодо обробки персональних даних переважає цей Додаток.