Договір про обробку персональних даних для vivotempo

Преамбула

Bergx2 GmbH, Hochriesstr. 46, 85560 Ebersberg, Німеччина (далі «обробник»), експлуатує застосунок vivotempo за моделлю програмного забезпечення як послуги для управління відпустками, обліку робочого часу, лікарняних та інших кадрових завдань. Під час його використання вона обробляє персональні дані від імені клієнта (далі «контролер») у розумінні пункту 8 статті 4 та статті 28 GDPR. Цей договір визначає обов'язки та права обох сторін відповідно до частини 3 статті 28 GDPR.

Стаття 1. Предмет і тривалість обробки

(1) Предмет. Обробник надає контролеру vivotempo як програмне забезпечення як послугу. При цьому він обробляє персональні дані, описані в додатку 1, виключно за вказівками контролера.

(2) Тривалість. Договір діє з моменту укладення договору щодо vivotempo (основний договір за умовами використання) і припиняється разом із ним. Обов'язки щодо повернення та видалення даних (стаття 10) і конфіденційності (частина 2 статті 5) діють і після цього.

Стаття 2. Характер і мета обробки

(1) Обробник обробляє дані з такою метою:

• Надання vivotempo: управління відпустками та відсутностями, облік робочого часу в браузері та на терміналі, лікарняні, бонус за здоров'я, звіти та експорт для нарахування заробітної плати
• Вхід і захист доступу: пароль, другий фактор, ключі доступу (passkeys) та ідентифікація на терміналі
• Надсилання сповіщень у застосунку та електронною поштою
• Експлуатація, безпека, аналіз помилок і підтримка

(2) Обробка для власних цілей обробника, наприклад для реклами, профілювання або продажу даних, не здійснюється.

Стаття 3. Види даних і категорії суб'єктів даних

(1) Подробиці наведено в додатку 1. Суб'єктами даних є працівники контролера, зокрема колишні, а також інші особи, яким контролер надає доступ до vivotempo.

(2) Особливі категорії персональних даних (стаття 9 GDPR). Залежно від використовуваних функцій vivotempo обробляє дані про здоров'я (лікарняні з періодом і, за потреби, довідками) та біометричні дані (ознаку обличчя, обчислену із зображення камери для ідентифікації на терміналі, лише якщо контролер вмикає цей спосіб ідентифікації; саме зображення не зберігається). Контролер забезпечує наявність правової підстави; для розпізнавання облич, як правило, потрібна добровільна згода працівників. vivotempo обмежує доступ до цих даних ролями, уповноваженими контролером.

Стаття 4. Обов'язки та права контролера

(1) Відповідальність і вказівки. Контролер відповідає за законність обробки (стаття 24 GDPR). Вказівками вважаються цей договір і налаштування, які контролер здійснює у vivotempo, наприклад ролі, права, увімкнені функції та строки зберігання. Інші вказівки він надає в письмовій формі, зокрема електронній.

(2) Інформування працівників. Контролер інформує суб'єктів даних про обробку відповідно до статей 13 і 14 GDPR.

(3) Перевірка. Контролер перевіряє придатність заходів із додатка 2 для своєї обробки та повідомляє обробника про свої сумніви.

Стаття 5. Обов'язки обробника

(1) Вказівки. Обробник обробляє дані лише за документованими вказівками контролера, якщо цього не вимагає право Союзу або держави-члена; у такому разі він повідомляє контролера про цю вимогу до початку обробки, якщо таке право цього не забороняє. Якщо обробник вважає вказівку незаконною, він невідкладно повідомляє про це контролера (частина 3 статті 28 GDPR).

(2) Конфіденційність. Усі особи, які мають доступ до даних, зобов'язалися дотримуватися конфіденційності до початку своєї роботи (пункт b частини 3 статті 28 GDPR).

(3) Безпека. Обробник здійснює технічні та організаційні заходи, визначені в додатку 2 (стаття 32 GDPR), і пристосовує їх до сучасного рівня техніки, не знижуючи рівня захисту.

(4) Сприяння. Обробник сприяє контролеру у виконанні обов'язків за статтями 32 до 36 GDPR, зокрема щодо прав суб'єктів даних (стаття 7), повідомлень про порушення захисту даних (стаття 8) та оцінки впливу на захист даних.

(5) Відповідальна особа з питань захисту даних. Відповідальною особою з питань захисту даних обробника є Zsu Sernc-Urban, з якою можна зв'язатися за зазначеною вище адресою або електронною поштою info@bergx2.de з темою «Datenschutz».

Стаття 6. Субобробники

(1) Дозвіл. Контролер надає дозвіл на залучення субобробників, зазначених у додатку 3 (частина 2 статті 28 GDPR).

(2) Зміни. Про заплановане залучення або заміну субобробника обробник повідомляє контролера в письмовій формі щонайменше за 30 днів, а саме на адреси електронної пошти адміністраторів облікового запису клієнта.

(3) Заперечення. Контролер може протягом цього строку заперечити проти зміни з поважної причини, пов'язаної із захистом даних. Якщо сторони не знайдуть спільного рішення, контролер може розірвати основний договір в односторонньому порядку з поважної причини.

(4) Зобов'язання. Обробник договірно зобов'язує кожного субобробника виконувати обов'язки за цим договором (частина 4 статті 28 GDPR).

(5) Треті країни. Передавання даних до країн за межами ЄС або ЄЕЗ здійснюється лише за умови дотримання вимог статей 44 до 49 GDPR, зокрема на підставі рішення про адекватність, у тому числі Рамкової програми ЄС і США щодо конфіденційності даних (EU-US Data Privacy Framework), або стандартних договірних положень Європейської комісії.

Стаття 7. Права суб'єктів даних

(1) Обробник за допомогою належних технічних і організаційних заходів сприяє контролеру у забезпеченні прав, передбачених главою III GDPR (доступ, виправлення, видалення, обмеження, перенесення даних, заперечення). Для цього vivotempo, зокрема, пропонує функції редагування, експорту та видалення даних.

(2) Якщо суб'єкти даних звертаються безпосередньо до обробника, він невідкладно передає запит контролеру і відповідає на нього лише за його вказівкою.

Стаття 8. Повідомлення про порушення захисту даних

(1) Обробник невідкладно, за можливості протягом 24 годин після того, як йому стало відомо, повідомляє контролера про кожне порушення захисту персональних даних у своїй сфері відповідальності або в субобробника.

(2) Повідомлення надсилається в письмовій формі адміністраторам облікового запису клієнта і містить, наскільки це відомо, відомості відповідно до частини 3 статті 33 GDPR: характер і обсяг порушення, кількість суб'єктів даних, імовірні наслідки та вжиті заходи.

(3) Повідомлення наглядового органу (стаття 33 GDPR) та суб'єктів даних (стаття 34 GDPR) є обов'язком контролера; обробник сприяє йому, надаючи всю необхідну інформацію.

Стаття 9. Підтвердження та перевірки

(1) На запит обробник надає контролеру всю інформацію, необхідну для підтвердження виконання обов'язків за цим договором, зокрема актуальну версію додатків 2 і 3, а також сертифікати та аудиторські звіти операторів центрів обробки даних.

(2) Після попереднього повідомлення щонайменше за чотири тижні контролер може переконатися в дотриманні заходів, зокрема на місці у звичайний робочий час. Перевірки не повинні непропорційно заважати роботі і без особливої причини проводяться не частіше одного разу на календарний рік. Перевіряльники мають бути зобов'язані дотримуватися конфіденційності.

Стаття 10. Повернення та видалення

(1) Протягом строку дії договору контролер може самостійно редагувати та видаляти дані у vivotempo, а також установлювати строки зберігання для записів робочого часу та лікарняних.

(2) Після припинення основного договору обробник на вибір контролера повертає дані (експорт у поширеному машиночитному форматі) або видаляє їх не пізніше ніж через 30 днів після припинення договору, якщо немає законного обов'язку їх зберігати.

(3) Резервні копії перезаписуються у звичайному циклі резервного копіювання, не пізніше ніж через 30 днів. На запит обробник письмово підтверджує видалення.

(4) Передбачені законом обов'язки обробника щодо зберігання, наприклад бухгалтерських документів відповідно до § 257 Торгового кодексу Німеччини (HGB) і § 147 Податкового кодексу Німеччини (AO), залишаються незмінними.

Стаття 11. Відповідальність і прикінцеві положення

(1) Відповідальність регулюється положеннями основного договору (умов використання) та статтею 82 GDPR.

(2) Зміни до цього договору потребують письмової форми, зокрема електронної. Обробник оголошує нові версії щонайменше за 30 днів до набрання ними чинності (див. «Набрання чинності»).

(3) У разі суперечностей між цим договором і основним договором у питаннях захисту даних переважну силу має цей договір.

(4) Якщо окремі положення виявляться недійсними, це не впливає на чинність інших положень.

(5) Застосовується право Німеччини, за винятком Конвенції ООН про договори міжнародної купівлі-продажу товарів. Наскільки це дозволено законом, місцем розгляду спорів є місцезнаходження обробника.

Додаток 1. Опис обробки

• Предмет: надання vivotempo як програмного забезпечення як послуги, зокрема хостинг, зберігання даних, вхід, сповіщення та підтримка
• Тривалість: строк дії основного договору та щонайбільше 30 днів після нього для повернення та видалення
• Характер обробки: збирання, реєстрація, зберігання, упорядкування, адаптація, перегляд, аналіз, надання доступу уповноваженим користувачам, видалення
• Суб'єкти даних: працівники контролера (зокрема колишні), адміністратори та інші користувачі, яким контролер надає доступ
• Основні дані: ім'я, адреса електронної пошти, табельний номер, відділ, роль, дати прийняття та звільнення, країна роботи, часовий пояс, фото профілю
• Відсутності: заявки на відпустку та рішення з коментарями, залишок відпустки та перенесення, інші відсутності
• Робочий час: початок, кінець, перерви, виправлення, час і термінал реєстрації, надбавки та сальдо
• Дані про здоров'я (стаття 9 GDPR): лікарняні з періодом і завантаженими довідками, дні хвороби для бонусу за здоров'я
• Дані для входу: адреса електронної пошти, пароль (лише у вигляді хешу), другий фактор (адреса електронної пошти або Threema ID), публічні ключі ключів доступу
• Ідентифікація на терміналі: PIN-код, ідентифікатор картки NFC, QR-код, ідентифікатор пристрою Bluetooth; за бажанням контролера ознака обличчя у вигляді вектора ознак (біометричні дані відповідно до статті 9 GDPR)
• Журнали: журнал змін із часом і особою, яка діяла, технічні журнали серверів (IP-адреса, час, запитувана адреса)
• Сповіщення: сповіщення в застосунку та електронною поштою
• Місце зберігання: база даних і файлове сховище в Supabase в ЄС (центр обробки даних у Парижі, Франція), серверні функції у Vercel в ЄС (регіон Париж)
• Треті країни: Vercel Inc. і Supabase Inc. мають місцезнаходження в США; доступ звідти, наприклад для експлуатації та підтримки, можливий і захищений Рамковою програмою ЄС і США щодо конфіденційності даних та стандартними договірними положеннями. Щодо Threema GmbH (Швейцарія) діє рішення Європейської комісії про адекватність.

Додаток 2. Технічні та організаційні заходи (стаття 32 GDPR)

Наведені нижче заходи стосуються vivotempo. Подробиці реалізації, наприклад конфігурації, з міркувань безпеки публічно не описуються; контролер отримує їх за обґрунтованим запитом у межах статті 9.

• Контроль фізичного доступу: сервери розташовані в центрах обробки даних постачальників послуг (Amazon Web Services через Supabase, Vercel) із сертифікованою фізичною безпекою, зокрема за ISO/IEC 27001 і SOC 2. Приміщення обробника захищені від несанкціонованого доступу; відвідувачі перебувають там лише в супроводі.
• Контроль доступу до систем: вхід з особистим обліковим записом і паролем, за бажанням із другим фактором (код електронною поштою, Threema, ключ доступу) та блокуванням після п'яти невдалих спроб; термінали входять із власним ключем пристрою; адміністративний доступ до постачальників послуг мають лише кілька уповноважених осіб.
• Контроль доступу до даних: розмежування клієнтів на рівні бази даних (row level security); ступінчасті ролі (працівник, керівник команди, відділ кадрів, адміністратор) з детальними правами; дані про здоров'я та ознаки ідентифікації лише для уповноважених ролей; автоматизовані тести правил доступу під час кожної зміни.
• Контроль розмежування: дані різних клієнтів обробляються логічно розмежовано; кожен доступ прив'язаний до відповідного клієнта.
• Шифрування: усі з'єднання зашифровано за допомогою TLS; база даних і файлове сховище зашифровані під час зберігання; паролі зберігаються лише у вигляді хешу.
• Контроль введення: зміни даних працівників, заявок, записів робочого часу та налаштувань фіксуються в журналі із зазначенням часу та особи, яка діяла; виправлення записів робочого часу залишаються простежуваними.
• Контроль передавання: дані передаються лише в зашифрованому вигляді; експорт і звіти доступні лише уповноваженим ролям; без договірної підстави дані не передаються.
• Контроль доручень: договори про обробку даних з усіма субобробниками (додаток 3) та їх регулярна перевірка.
• Доступність і стійкість: експлуатація в постачальників послуг із резервованою інфраструктурою та постійним моніторингом; регулярне резервне копіювання бази даних; у разі обриву з'єднання термінали зберігають реєстрації та передають їх пізніше.
• Відновлюваність: резервні копії дають змогу відновити дані після інциденту.
• Перевірка та оцінка: призначена відповідальна особа з питань захисту даних, визначений порядок дій у разі порушень захисту даних, автоматизовані тести перед кожним випуском, регулярні перевірки безпеки правил доступу.
• Мінімізація та видалення даних: налаштовувані строки зберігання для записів робочого часу та лікарняних, повернення та видалення після припинення договору відповідно до статті 10.

Додаток 3. Субобробники

Станом на 14.10.2026

• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, США: хостинг застосунку та серверних функцій (регіон Париж, Франція) і доставка вебсайту; обробляє всі дані під час обробки запитів, а також журнали серверів. Підстава: договір про обробку даних, Рамкова програма ЄС і США щодо конфіденційності даних, стандартні договірні положення.
• Supabase Inc., США: база даних, вхід і файлове сховище в центрі обробки даних у Парижі (Франція, Amazon Web Services); обробляє всі дані, зазначені в додатку 1. Підстава: договір про обробку даних, Рамкова програма ЄС і США щодо конфіденційності даних, стандартні договірні положення.
• Scaleway SAS, Париж, Франція: надсилання електронних листів (сповіщення, коди, посилання); обробляє адресу електронної пошти, ім'я та зміст повідомлення. Підстава: договір про обробку даних.
• Threema GmbH, Churerstrasse 82, 8808 Pfäffikon SZ, Швейцарія: доставка кодів входу через Threema, лише якщо користувачі обирають Threema як другий фактор; обробляє Threema ID і код. Підстава: рішення Європейської комісії про адекватність щодо Швейцарії.

Крім того, електронні листи проходять через службу пересилання, яку експлуатує сама Bergx2 GmbH. Інші постачальники послуг без доступу до даних vivotempo, наприклад для оплати облікового запису клієнта (Mollie), для даних про святкові дні або для перевірки ідентифікаційного номера платника ПДВ (VIES), не є субобробниками в розумінні цього договору.

Набрання чинності

Цей договір стає частиною договору з моменту укладення основного договору (реєстрація відповідно до умов використання); достатньо укладення в електронній формі (частина 9 статті 28 GDPR).

Крім того, адміністратори клієнта можуть прямо прийняти договір в обліковому записі клієнта. При цьому зберігаються версія, дата і час, особа, яка прийняла, клієнт і контрольна сума прийнятої версії.

Про нові версії обробник повідомляє в письмовій формі щонайменше за 30 днів до набрання ними чинності; в обліковому записі клієнта адміністраторів просять прийняти їх повторно.

На бажання клієнта договір може додатково бути підписаний власноруч або кваліфікованим електронним підписом; електронне прийняття від цього не змінюється.

Версії

• Версія 1.0 від 14.10.2026: перша версія