Двомовний договір про обробку персональних даних (GDPR)

Двомовний договір про обробку персональних даних (GDPR) — угода між володільцем даних і розпорядником, який обробляє їх за дорученням: українською та англійською паралельно. Її укладають на додачу до основного договору — про послуги, розробку чи підтримку — коли підрядник отримує доступ до персональних даних клієнтів, працівників або користувачів.

⚖️ Навіщо потрібен

Коли ви передаєте дані підряднику, відповідальність за них не зникає: володілець і далі відповідає за наявність правової підстави обробки та за права людей, чиї дані обробляються. Договір розмежовує ролі так, щоб це було зафіксовано письмово: володілець визначає мету та засоби обробки, розпорядник діє лише в межах доручення й самостійно мету не обирає. Для роботи з даними осіб із Європейського Союзу документ прямо посилається на GDPR і містить те, чого немає в нашому україномовному договорі з підрядником: підставу для передавання даних за кордон і перелік технічних та організаційних заходів захисту окремим аркушем.

📋 Що регулює

• Розмежування ролей — хто володілець, хто розпорядник, хто суброзпорядник і хто суб’єкт даних; розпорядник не визначає мету й засоби обробки самостійно.
• Межі доручення — характер, мета, строк обробки, категорії суб’єктів і склад даних описані в окремому додатку, який є задокументованою інструкцією володільця.
• Обов’язки розпорядника — дев’ять пунктів: діяти лише за інструкціями, зобов’язати своїх людей до конфіденційності, вживати заходів безпеки, сприяти у відповідях суб’єктам даних і в оцінці впливу на захист даних.
• Залучення суброзпорядників — лише з попереднього письмового дозволу володільця; за загального дозволу розпорядник повідомляє про заміни й дає можливість заперечити, а відповідальність за суброзпорядника лишається на ньому.
• Повідомлення про витік — без невиправданої затримки після виявлення, зі строком у годинах, який сторони вписують самі, і з переліком того, що має містити повідомлення: характер порушення, кількість суб’єктів і записів, наслідки та вжиті заходи.
• Контроль і аудит — володілець має право перевіряти дотримання договору, а розпорядник сприяє аудитам, які проводить володілець або уповноважений ним аудитор.
• Передавання за кордон — лише за інструкцією володільця; для обробки під GDPR у країні без рішення про адекватність — на підставі стандартних договірних положень, які сторони укладають окремим документом.
• Доля даних після завершення — на вибір володільця розпорядник повертає дані й знищує копії або знищує без повернення; на вимогу підтверджує знищення.

🎯 Чим відрізняється від договору про обробку даних із підрядником

У каталозі вже є договір про обробку персональних даних із підрядником — він україномовний і побудований під українське законодавство. Цей ширший рівно в тому, що потрібно для іноземного партнера: шість згадок GDPR, окремий розділ про міжнародне передавання зі стандартними договірними положеннями, розділ про контроль і аудит, вимоги про шифрування та псевдонімізацію й другий додаток із восьми технічних та організаційних заходів безпеки — від контролю доступу до резервного копіювання, навчання персоналу й регулярного тестування. Плюс він двомовний. Якщо обидві сторони українські й дані з ЄС не обробляються, простішого договору достатньо.

🤝 Коли і з ким укладати

Договір підписують разом із основним — його реквізити вписують у перший розділ, і в частині обробки даних цей документ стає невід’ємною частиною основного. Типові пари: замовник і IT-підрядник із доступом до бази користувачів; компанія і сервіс, що веде розсилку чи підтримку; українська команда й іноземний клієнт, дані якого вона обробляє. Строк дії прив’язаний до обробки й не перевищує строку основного договору. Спори вирішують у порядку, встановленому основним договором, а якщо він такого порядку не містить — за застосовним правом.

📦 Що входить у комплект

Word-комплект — договір і два додатки:

• Двомовний договір про обробку персональних даних (GDPR) — основний текст, кожен пункт українською та англійською.
• Додаток №1 — опис обробки на дев’ять полів: мета, характер і предмет, категорії суб’єктів, категорії даних, особливі категорії, дії з обробки, строк, місце зберігання та затверджені суброзпорядники.
• Додаток №2 — технічні та організаційні заходи безпеки: контроль доступу, шифрування та псевдонімізація, цілісність і доступність систем, резервне копіювання, захист мережі, управління суброзпорядниками, навчання персоналу, регулярне тестування.

📄 Формат

Файл .docx, обидві мови йдуть паралельно пункт у пункт. Прочерки стоять там, де потрібні ваші дані: реквізити основного договору, строк повідомлення про порушення в годинах, контактна особа з питань захисту даних і всі поля обох додатків — саме вони перетворюють шаблон на задокументовану інструкцію під конкретний проєкт. Документ підписують електронно або друкують у двох примірниках однакової сили; за розбіжностей переважає мова, яку оберуть сторони, за замовчуванням українська.

👤 Кому підходить

Українським командам, які обробляють дані клієнтів іноземного замовника й мають показати, що процес урегульований письмово. Компаніям, які самі наймають підрядників — хостинг, розсилки, кол-центр, аналітику — і хочуть закріпити межі доручення, а не покладатися на усні домовленості. Тим, кого партнер просить підписати DPA англійською: тут англійський текст уже поруч із українським, окремий переклад замовляти не треба.

🔗 Пов’язані документи

• Договір про обробку персональних даних із підрядником — коли обрати: обидві сторони українські, дані з ЄС не обробляються й англійський текст не потрібен.
• Договір IT-аутсорсингу з іноземним замовником — коли обрати: потрібен сам основний договір на розробку, до якого цей додається.
• Згода на обробку персональних даних для сайту — коли обрати: дані збирає ваш сайт і потрібна згода від самої людини, а не договір із підрядником.