Двуязычный договор об обработке персональных данных (GDPR)

Двуязычный договор об обработке персональных данных (GDPR) — соглашение между владельцем данных и распорядителем, который обрабатывает их по поручению: на украинском и английском параллельно. Его заключают в дополнение к основному договору — об услугах, разработке или поддержке — когда подрядчик получает доступ к персональным данным клиентов, сотрудников или пользователей.

⚖️ Зачем нужен

Когда вы передаёте данные подрядчику, ответственность за них не исчезает: владелец по-прежнему отвечает за наличие правового основания обработки и за права людей, чьи данные обрабатываются. Договор разграничивает роли так, чтобы это было зафиксировано письменно: владелец определяет цель и средства обработки, распорядитель действует только в пределах поручения и самостоятельно цель не выбирает. Для работы с данными лиц из Европейского Союза документ прямо ссылается на GDPR и содержит то, чего нет в нашем украиноязычном договоре с подрядчиком: основание для передачи данных за границу и перечень технических и организационных мер защиты отдельным листом.

📋 Что регулирует

• Разграничение ролей — кто владелец, кто распорядитель, кто субраспорядитель и кто субъект данных; распорядитель не определяет цель и средства обработки самостоятельно.
• Границы поручения — характер, цель, срок обработки, категории субъектов и состав данных описаны в отдельном приложении, которое является задокументированной инструкцией владельца.
• Обязанности распорядителя — девять пунктов: действовать только по инструкциям, обязать своих людей к конфиденциальности, принимать меры безопасности, содействовать в ответах субъектам данных и в оценке влияния на защиту данных.
• Привлечение субраспорядителей — только с предварительного письменного разрешения владельца; при общем разрешении распорядитель сообщает о заменах и даёт возможность возразить, а ответственность за субраспорядителя остаётся на нём.
• Уведомление об утечке — без неоправданной задержки после выявления, со сроком в часах, который стороны вписывают сами, и с перечнем того, что должно содержать уведомление: характер нарушения, количество субъектов и записей, последствия и принятые меры.
• Контроль и аудит — владелец вправе проверять соблюдение договора, а распорядитель содействует аудитам, которые проводит владелец или уполномоченный им аудитор.
• Передачу за границу — только по инструкции владельца; для обработки под GDPR в стране без решения об адекватности — на основании стандартных договорных положений, которые стороны заключают отдельным документом.
• Судьбу данных после завершения — по выбору владельца распорядитель возвращает данные и уничтожает копии либо уничтожает без возврата; по требованию подтверждает уничтожение.

🎯 Чем отличается от договора об обработке данных с подрядчиком

В каталоге уже есть договор об обработке персональных данных с подрядчиком — он на украинском языке и построен под украинское законодательство. Этот шире ровно в том, что нужно для иностранного партнёра: шесть упоминаний GDPR, отдельный раздел о международной передаче со стандартными договорными положениями, раздел о контроле и аудите, требования о шифровании и псевдонимизации и второе приложение из восьми технических и организационных мер безопасности — от контроля доступа до резервного копирования, обучения персонала и регулярного тестирования. Плюс он двуязычный. Если обе стороны украинские и данные из ЕС не обрабатываются, более простого договора достаточно.

🤝 Когда и с кем заключать

Договор подписывают вместе с основным — его реквизиты вписывают в первый раздел, и в части обработки данных этот документ становится неотъемлемой частью основного. Типичные пары: заказчик и IT-подрядчик с доступом к базе пользователей; компания и сервис, который ведёт рассылку или поддержку; украинская команда и иностранный клиент, данные которого она обрабатывает. Срок действия привязан к обработке и не превышает срока основного договора. Споры решают в порядке, установленном основным договором, а если он такого порядка не содержит — по применимому праву.

📦 Что входит в комплект

Word-комплект — договор и два приложения:

• Двуязычный договор об обработке персональных данных (GDPR) — основной текст, каждый пункт на украинском и английском.
• Приложение №1 — описание обработки на девять полей: цель, характер и предмет, категории субъектов, категории данных, особые категории, действия по обработке, срок, место хранения и утверждённые субраспорядители.
• Приложение №2 — технические и организационные меры безопасности: контроль доступа, шифрование и псевдонимизация, целостность и доступность систем, резервное копирование, защита сети, управление субраспорядителями, обучение персонала, регулярное тестирование.

📄 Формат

Файл .docx, оба языка идут параллельно пункт в пункт. Прочерки стоят там, где нужны ваши данные: реквизиты основного договора, срок уведомления о нарушении в часах, контактное лицо по вопросам защиты данных и все поля обоих приложений — именно они превращают шаблон в задокументированную инструкцию под конкретный проект. Документ подписывают электронно или печатают в двух экземплярах одинаковой силы; при расхождениях преобладает язык, который выберут стороны, по умолчанию украинский.

👤 Кому подходит

Украинским командам, которые обрабатывают данные клиентов иностранного заказчика и должны показать, что процесс урегулирован письменно. Компаниям, которые сами нанимают подрядчиков — хостинг, рассылки, колл-центр, аналитику — и хотят закрепить границы поручения, а не полагаться на устные договорённости. Тем, кого партнёр просит подписать DPA на английском: здесь английский текст уже рядом с украинским, отдельный перевод заказывать не нужно.

🔗 Связанные документы

• Договор об обработке персональных данных с подрядчиком — когда выбрать: обе стороны украинские, данные из ЕС не обрабатываются и английский текст не нужен.
• Договор IT-аутсорсинга с иностранным заказчиком — когда выбрать: нужен сам основной договор на разработку, к которому этот прилагается.
• Согласие на обработку персональных данных для сайта — когда выбрать: данные собирает ваш сайт и нужно согласие от самого человека, а не договор с подрядчиком.