Договір про обробку персональних даних із підрядником

Договір про обробку персональних даних із підрядником укладають, коли дані ваших клієнтів фактично опиняються в чужих руках: у хостера, сервісу розсилок, кол-центру, служби доставки чи підрядника з аналітики. Готовий зразок Word оформлює це доручення письмово й розділяє, хто за що відповідає.

⚖️ Навіщо потрібен

Володільцем даних лишаєтесь ви — саме ви визначаєте мету обробки й відповідаєте перед людьми, чиї дані зібрані. Підрядник виступає розпорядником: діє лише в межах вашого доручення й не має права вирішувати самостійно, що з даними робити. Без договору ця межа не зафіксована, і будь-яке використання даних підрядником у власних цілях формально нічим не обмежене.

Документ вирішує й зворотну задачу — дає вам важелі: право контролювати, як підрядник зберігає дані, вимагати підтвердження знищення після завершення робіт і отримати повідомлення, якщо станеться витік.

📋 Що регулює

• Межі доручення — розпорядник обробляє дані виключно з метою, в обсязі та у спосіб, визначені договором і вашими документально оформленими інструкціями, і не визначає мету самостійно.
• Заборона власних цілей — підрядник не використовує дані для себе й не передає їх третім особам без вашої письмової згоди.
• Суброзпорядники — залучити субпідрядника можна лише з вашої попередньої письмової згоди, з покладенням на нього не менших обов’язків, і відповідає підрядник за нього як за себе.
• Повідомлення про витік — невідкладно, у визначений вами строк, із зазначенням характеру порушення, орієнтовних категорій і кількості постраждалих осіб та записів, ймовірних наслідків і вжитих заходів.
• Заходи захисту — обмеження доступу колом потрібних осіб з ідентифікацією та автентифікацією, захист від втрати й несанкціонованого доступу, можливість відновити доступ після технічного збою, контроль за режимом захисту.
• Контроль і перевірки — ви маєте право отримувати інформацію про обробку й вжиті заходи, а підрядник — сприяти перевіркам, порядок і строки яких узгоджуються, щоб не зупиняти роботу.
• Обов’язок заперечити — якщо ваша інструкція, на думку підрядника, суперечить законодавству про захист даних, він зобов’язаний вас про це повідомити.
• Завершення — після закінчення робіт дані повертаються й копії знищуються або просто знищуються — на ваш вибір, із підтвердженням знищення на вимогу.

🎯 Чим відрізняється від політики конфіденційності

Політика конфіденційності адресована людині: вона пояснює відвідувачу сайту, що з його даними відбувається. Цей документ адресований бізнесу — це двосторонній договір між вами й вашим підрядником, який людина ніколи не побачить. Він не замінює політику й не дублює її: політика описує обробку загалом, а договір оформлює конкретну ланку — передачу даних тому, хто виконує для вас роботу. Якщо ваш підрядник обробляє дані клієнтів з Європейського Союзу, знадобиться двомовна редакція за європейським регламентом.

🤝 Коли і з ким укладати

Договір підписують у зв’язку з основним договором — на хостинг, розробку, маркетинг, доставку, бухгалтерські чи кол-центрові послуги — і він стає його невід’ємною частиною в частині обробки даних. Строк обробки не може перевищувати строку основного договору, якщо ви не встановите інше. Найчастіші контрагенти: хостинг-провайдери й хмарні сервіси, сервіси розсилок, платіжні системи, служби доставки, підрядники з аналітики та реклами, зовнішня бухгалтерія, кол-центри.

📦 Що входить у комплект

Готовий шаблон Word містить договір і один додаток:

• Договір про обробку персональних даних із підрядником — основний текст.
• Додаток №1 — Опис обробки персональних даних: таблиця на вісім характеристик (мета, категорії суб’єктів, склад даних, дії з обробки, строк, місце обробки та зберігання, залучені суброзпорядники, особливі вимоги до захисту). Саме він і є вашою документально оформленою інструкцією.

📄 Формат

Файл .docx на шість сторінок: чотирнадцять розділів, блок реквізитів і підписів обох сторін та аркуш додатка. Договір складено у двох примірниках однакової юридичної сили — по одному для кожної сторони. Заповнюються дані володільця й розпорядника, реквізити основного договору, у зв’язку з яким передаються дані, і таблиця додатка.

👤 Кому підходить

Власникам сайтів та інтернет-магазинів, які передають дані клієнтів підрядникам; компаніям, що замовляють розсилки, аналітику чи кол-центр; агенціям і студіям, які самі виступають розпорядниками й хочуть зафіксувати межі своєї відповідальності. Знадобиться в обидва боки: і коли ви доручаєте обробку, і коли її доручають вам.

🔗 Пов’язані документи

• Політика конфіденційності для сайту — коли обрати: потрібен документ для відвідувача, а не договір із підрядником.
• Положення про обробку та захист персональних даних працівників — коли обрати: дані обробляються всередині компанії, стосовно персоналу.
• Політика конфіденційності GDPR — коли обрати: серед суб’єктів даних є мешканці Європейського Союзу.