Договір про обробку даних — kex.dk

Версія 1.0 · 20 жовтня 2026 р.

1. Сторони й укладення

Цей договір про обробку даних («договір») укладено між клієнтом, який користується kex.dk («контролер»), і LynBro ApS, CVR № 46321499, Rødovre Parkvej 276, 2610 Rødovre, Данія («обробник»), відповідно до статті 28(3) Загального регламенту про захист даних (GDPR).

Договір є частиною умов надання послуг («основний договір») і укладається, коли контролер електронно приймає основний договір. Час і прийнята версія фіксуються. Контролер може отримати підписаний примірник, написавши на info@lynbro.dk. У разі суперечності цей договір має перевагу над основним договором щодо обробки персональних даних; в іншому діє основний договір.

2. Обробка

Обробник обробляє персональні дані від імені контролера, щоб надавати kex.dk згідно з основним договором. Мету, характер, категорії суб'єктів і даних та строк обробки описано в Додатку A.

Контролер відповідає за законність обробки, зокрема за наявність чинної правової підстави, інформування суб'єктів даних, точність даних, а також за вміст, тексти й налаштування, які контролер обирає в сервісі, — навіть якщо вони створені на основі шаблонів обробника. Особливі категорії даних (статті 9 і 10 GDPR) і номери CPR можна обробляти в сервісі лише тоді, коли kex.dk прямо для цього призначено, або якщо сторони письмово про це домовилися.

3. Інструкції

Обробник обробляє персональні дані лише за задокументованими інструкціями контролера. Основний договір, цей договір і налаштування та дії контролера в сервісі разом становлять повні інструкції. Додаткові інструкції надаються письмово (достатньо e-mail); інструкції понад функції сервісу обробник може відхилити або виконати за оплату за чинною погодинною ставкою.

Обробник негайно повідомляє контролера, якщо, на його думку, інструкція порушує законодавство про захист даних, але не зобов'язаний давати юридичну оцінку інструкції. Якщо право ЄС чи Данії вимагає від обробника обробляти дані, обробник повідомляє про це контролера, якщо закон цього не забороняє.

4. Конфіденційність

Обробник забезпечує, щоб доступ до даних мали лише особи, яким він потрібен, і щоб вони взяли на себе зобов'язання щодо конфіденційності або мали встановлений законом обов'язок її дотримуватися.

5. Безпека

Обробник вживає належних технічних та організаційних заходів згідно зі статтею 32 GDPR, як описано в Додатку C. Обробник може змінювати заходи за умови, що загальний рівень безпеки не знижується.

Контролер оцінив заходи як належні для обробки. Контролер сам відповідає за безпеку того, що він контролює, зокрема власних користувачів, паролів, API-ключів, інтеграцій і даних, які контролер вирішує надсилати третім сторонам через сервіс.

6. Субобробники

Цим договором контролер надає загальний попередній дозвіл на залучення обробником субобробників. Субобробників, залучених на момент укладення договору, наведено в Додатку B; актуальний перелік завжди доступний на сторінці субобробників.

Обробник повідомляє контролера щонайменше за 30 днів до залучення нового субобробника чи заміни наявного електронною поштою на адресу акаунта та/або в сервісі й у переліку. Протягом цього строку контролер може висловити обґрунтоване заперечення з міркувань захисту даних. Якщо сторони не знайдуть рішення, контролер може без витрат розірвати відповідну частину основного договору з дати зміни й отримати назад передоплату за період після припинення; це єдиний засіб захисту контролера у зв'язку зі зміною.

Якщо субобробника доводиться замінити швидше, бо він припиняє діяльність, порушує свої зобов'язання чи становить ризик для безпеки, обробник може зробити це з коротшим попередженням або негайно й повідомляє якомога швидше; право контролера на заперечення й розірвання діє відповідно.

Обробник покладає на субобробників ті самі обов'язки щодо захисту даних, що й у цьому договорі, і відповідає перед контролером за їх виконання згідно з п. 12. Сервіси, які контролер сам під'єднує чи якими керує (напр. соцмережі, облікові системи, вебхуки чи власні інтеграції), не є субобробниками обробника; для них діють їхні власні умови.

7. Передача до третіх країн

Персональні дані передаються до країн за межами ЄС/ЄЕЗ лише за інструкціями або через субобробників згідно з п. 6 і лише за наявності чинної підстави згідно з главою V GDPR, напр. рішення Єврокомісії про EU-US Data Privacy Framework або стандартних договірних положень ЄС. Підставу для кожного субобробника наведено в Додатку B. Цим договором контролер уповноважує обробника за потреби укладати від імені контролера стандартні договірні положення ЄС із субобробниками.

8. Допомога контролеру

Обробник по можливості допомагає контролеру відповідати на запити суб'єктів даних (статті 12–22 GDPR) і виконувати статті 32–36 з урахуванням характеру обробки та інформації, доступної обробнику. Основною допомогою є функції сервісу для пошуку, експорту, виправлення й видалення даних.

Якщо обробник отримує запит безпосередньо від суб'єкта даних, він без зайвої затримки пересилає його контролеру; сам обробник не відповідає, якщо контролер не дасть такої інструкції. Допомога понад функції сервісу й звичайну роботу оплачується за витраченим часом за чинною погодинною ставкою.

9. Порушення безпеки персональних даних

Обробник повідомляє контролера без зайвої затримки й по можливості не пізніше ніж через 48 годин після того, як дізнався про порушення безпеки персональних даних, що стосується даних контролера. Повідомлення містить інформацію, доступну обробнику на той момент (ст. 33(3)), і доповнюється в міру появи нових відомостей.

Оцінку й повідомлення до данського органу із захисту даних і суб'єктів даних здійснює контролер. Обробник негайно вживає розумних заходів для обмеження наслідків порушення.

10. Документація й перевірки

На запит обробник надає інформацію, необхідну для підтвердження дотримання статті 28, насамперед письмовий опис обробки й заходів безпеки.

Якщо цієї інформації недостатньо, контролер може не частіше одного разу на рік і з письмовим попередженням щонайменше за 30 днів доручити перевірку незалежному аудитору, зобов'язаному зберігати конфіденційність. Перевірка не може давати доступу до даних інших клієнтів чи без потреби порушувати роботу. Контролер несе власні витрати й оплачує час обробника за чинною погодинною ставкою, якщо перевірка не виявить суттєвого порушення. Перевірки органів влади проводяться згідно з їхніми вимогами.

11. Припинення, видалення й повернення

Після припинення основного договору контролер протягом 30 днів може експортувати свої дані функціями сервісу; інша форма повернення оплачується за витраченим часом. Після цього обробник видаляє дані протягом наступних 30 днів. Копії в резервних копіях видаляються в межах звичайного циклу резервного копіювання й не пізніше ніж через 90 днів після припинення. Обробник може зберігати дані, якщо цього вимагає право ЄС чи Данії, і лише стільки, скільки потрібно.

12. Відповідальність

Кожна сторона несе відповідальність за загальними нормами данського права з обмеженнями, що випливають з основного договору. Сукупна відповідальність обробника за цим договором і основним договором разом обмежена так, як зазначено в основному договорі (сума, яку контролер сплатив за сервіс за 12 місяців до події, що спричинила вимогу), і обробник не відповідає за непрямі збитки. Обмеження не діють у разі умислу чи грубої необережності. Стаття 82 GDPR про відповідальність перед суб'єктами даних не зачіпається.

Контролер відшкодовує обробнику претензії, штрафи й розумні витрати третіх осіб, зокрема суб'єктів даних і органів влади, що виникли через невиконання контролером своїх обов'язків як контролера або з обробки, здійсненої за інструкціями контролера.

13. Строк дії, зміни й передача

Договір діє, поки обробник обробляє персональні дані для контролера, і після цього автоматично припиняється.

Обробник може змінити договір із попередженням за 30 днів згідно з правилами змін основного договору, якщо цього вимагають зміни правил, рішення органу влади, нові стандартні положення чи зміни в сервісі; зміни, що знижують захист даних, потребують згоди контролера. Субобробники змінюються згідно з п. 6.

Передача. Обробник може передати цей договір, зокрема права й обов'язки та персональні дані, що обробляються у зв'язку із сервісом, іншій компанії в межах передачі сервісу чи частини бізнесу, яка його веде. Контролер отримує письмове повідомлення щонайменше за 30 днів до передачі з назвою й номером CVR нового обробника. Новий обробник набуває всіх обов'язків за цим договором. Протягом цього строку контролер може заперечити й без витрат розірвати цей договір і відповідну частину основного договору з дати передачі.

14. Застосовне право й підсудність

Договір регулюється данським правом. Спори розглядає Копенгагенський міський суд (Københavns Byret) як суд першої інстанції.

Додаток A — Обробка

Додаток B — Субобробники на момент укладення договору

Зміни вносяться згідно з п. 6. Актуальний перелік: https://kex.dk/uk/subprocessors.

Додаток C — Заходи безпеки

• Шифроване з'єднання (TLS) із сервісом і між системами через публічні мережі.
• Доступ до серверів лише за ключами для обмеженого кола осіб, мінімально необхідні права й журналювання адміністративних дій.
• Розділення даних клієнтів у застосунку і рольовий контроль доступу.
• Оновлення безпеки, файрвол, захист від підбору паролів і автоматизованих зловживань, моніторинг роботи й помилок.
• Регулярне резервне копіювання з обмеженим строком зберігання.
• Паролі зберігаються як хеші; секрети, як-от API-ключі та облікові дані інтеграцій, — зашифрованими там, де сервіс їх зберігає.
• Процедури реагування на порушення безпеки персональних даних і видалення в разі припинення.