Договір про обробку персональних даних Agilix Vet

Діє з 9 жовтня 2026 р.

1. Предмет і мета обробки

   • Клініка доручає Постачальнику обробку персональних даних, які Користувачі вносять у Панель, в обсязі та з метою надання послуги Agilix Vet, описаної в правилах.
   • Постачальник не обробляє ці дані для власних цілей, не продає їх і не використовує для реклами.

2. Строк

   Договір діє протягом строку дії договору про надання послуги Agilix Vet, а після його закінчення - до повернення й видалення даних відповідно до пункту 13.

3. Характер обробки

   Постачальник обробляє дані автоматизовано в межах роботи Панелі: збирає їх від Користувачів, зберігає, упорядковує, шукає, відображає, надає команді Клініки, створює з них підказки за допомогою моделі ШІ (правила, пункт 8), робить резервні копії та видаляє їх.

4. Види даних і категорії суб'єктів даних

   • Категорії суб'єктів даних: клієнти Клініки (власники тварин), їхні контактні особи та інші особи, дані яких Користувачі вносять у Панель, наприклад у нотатках або файлах.
   • Види даних: імена та прізвища, номери телефонів, адреси електронної пошти, адреси, країна, інформація про заборгованість, підписані документи та інші файли, дані тварин і документація їхніх візитів та профілактики, нотатки команди Клініки та підказки, створені моделлю ШІ. Повний перелік наведено в Політиці конфіденційності Agilix Vet.
   • Панель не призначена для даних особливих категорій (ст. 9 GDPR) чи даних про судимості (ст. 10 GDPR). Якщо Клініка їх внесе, Постачальник захищає їх так само, як інші дані.

5. Вказівки Клініки

   • Постачальник обробляє дані лише за задокументованими вказівками Клініки. Вказівками є правила, цей договір і дії Користувачів у Панелі. Інші вказівки Власник надсилає електронною поштою.
   • Якщо закон зобов'яже Постачальника до іншої обробки, він повідомить про це Клініку до її початку, якщо закон цього не забороняє.
   • Постачальник негайно повідомляє Клініку, якщо, на його думку, вказівка порушує законодавство про захист даних.

6. Конфіденційність

   Постачальник допускає до даних лише осіб, яким це потрібно для надання послуги, обслуговування та ремонту Панелі або опрацювання запитів Клініки. Ці особи зобов'язані зберігати таємницю, також після завершення співпраці.

7. Безпека обробки

   Постачальник застосовує заходи, передбачені ст. 32 GDPR, зокрема:

   • з'єднання з Панеллю зашифровані (HTTPS);
   • дані Клініки в Панелі бачать лише члени її команди, а деякі дії доступні лише Власникам;
   • вхід здійснюється обліковим записом Agilix, а запрошення до команди можна прийняти лише з підтвердженої адреси електронної пошти;
   • Панель фіксує, хто з команди зберіг візит;
   • файли не є публічно доступними - Панель відкриває їх через посилання, дійсні до 3 днів;
   • Панель і база даних працюють на сервері в Європейському Союзі;
   • база даних має резервні копії: копії для відновлення стану на будь-який момент - 40 днів, щоденні копії в Європейському Союзі - 60 днів і щоденна копія в Сполучених Штатах - 2 місяці;
   • файли, видалені в Панелі, видаляються зі сховища файлів;
   • помилки застосунку та журнали сервера відстежуються (Sentry, Google Cloud Logging);
   • приватні нотатки не надсилаються моделі ШІ.

   Постачальник регулярно оцінює ефективність цих заходів і пристосовує їх до ризику.

8. Субобробники

   Клініка надає Постачальнику загальний дозвіл залучати субобробників. Наразі це:

   • Hetzner Online GmbH (Німеччина) - сервер у Європейському Союзі, на якому працюють Панель, пошук і база даних;
   • Google (Firebase, Google Cloud) - зберігання файлів у регіоні в Сполучених Штатах, резервні копії бази даних у Франкфурті та щоденна копія в Сполучених Штатах, журнали сервера (Google Cloud Logging), модель Gemini (Gemini API) і статистика (Google Analytics), яка отримує адреси відвіданих сторінок Панелі з внутрішніми ідентифікаторами клієнтів і тварин;
   • Mailgun Technologies, Inc. - надсилання повідомлень із контактної форми Панелі (сервери в Європейському Союзі);
   • Functional Software, Inc. (Sentry) - помилки застосунку та вимірювання його роботи (Сполучені Штати);
   • Cloudflare, Inc. - через його мережу проходить увесь трафік до Панелі.

   • Про намір додати або змінити субобробника Постачальник повідомляє Власників електронною поштою щонайменше за 14 днів. Протягом цього часу Клініка може заперечити, а якщо Сторони не домовляться - розірвати договір без строку попередження.
   • Постачальник покладає на субобробників обов'язки щодо захисту даних не менші, ніж передбачені цим договором, і відповідає перед Клінікою за їх виконання.

9. Передача даних за межі ЄЕЗ

   Частина даних передається за межі Європейської економічної зони, зокрема до Сполучених Штатів (пункт 8). Підставою передачі є рішення Європейської Комісії про належний рівень захисту (Data Privacy Framework) або Стандартні договірні положення, затверджені Європейською Комісією. Копію гарантій Постачальник надає на запит Клініки.

10. Права суб'єктів даних

    • Клініка самостійно забезпечує права своїх клієнтів за допомогою функцій Панелі: перегляду даних, їх виправлення, видалення файлів і архівування клієнтів.
    • Якщо в Панелі немає потрібної функції, Власник звертається до Постачальника електронною поштою, і Постачальник виконує запит протягом 14 днів.
    • Постачальник пересилає Клініці запити, які фізичні особи надсилають безпосередньо йому, і сам на них не відповідає.

11. Допомога Клініці

    З урахуванням характеру обробки та доступної йому інформації Постачальник допомагає Клініці виконувати обов'язки за ст. 32-36 GDPR: забезпечення безпеки, повідомлення про порушення, оцінка впливу на захист даних і попередні консультації з наглядовим органом.

12. Порушення захисту персональних даних

    • Постачальник повідомляє Клініку про виявлене порушення захисту даних Клініки протягом 48 годин з моменту його виявлення електронною поштою Власникам.
    • Повідомлення містить, наскільки це можливо, інформацію за ст. 33(3) GDPR: характер порушення, категорії та приблизну кількість суб'єктів даних і записів, ймовірні наслідки, вжиті або запропоновані заходи та контактну особу. Інформацію, недоступну одразу, Постачальник надає згодом без невиправданої затримки.
    • Повідомлення наглядовому органу та суб'єктам даних здійснює Клініка.

13. Повернення та видалення даних

    Після завершення надання послуги Постачальник повертає та видаляє дані у спосіб і в строки, описані в пункті 14 правил, якщо закон не вимагає їх подальшого зберігання.

14. Інформація та аудити

    • Постачальник надає Клініці інформацію, необхідну для підтвердження виконання обов'язків за ст. 28 GDPR, протягом 14 днів з дня запиту.
    • Клініка або уповноважений нею аудитор може провести аудит, повідомивши Постачальника щонайменше за 14 днів, не частіше ніж раз на 12 місяців, якщо аудит не є наслідком порушення захисту даних або вимоги наглядового органу. Аудит проводиться за рахунок Клініки, без порушення роботи Панелі та з дотриманням конфіденційності.
    • Щодо субобробників Постачальник може надати їхні звіти та сертифікати замість аудиту на місці.

15. Відповідальність

    Перед суб'єктами даних Сторони відповідають відповідно до ст. 82 GDPR. У відносинах між Сторонами застосовуються положення про відповідальність з пункту 10 правил у межах, дозволених законом.

16. Прикінцеві положення

    • У питаннях персональних даних цей договір має перевагу над правилами.
    • Зміни до цього договору вносяться в порядку, описаному в пункті 15 правил.
    • Договір регулюється правом Польщі, а спори розглядає суд, зазначений у правилах.
    • Обов'язковою є польська версія договору. Інші мовні версії є перекладами.