Відповідність GDPR

Вступ

Livappy OÜ (Lõkke 12, 10122 Tallinn, Estonia) прагне до повного дотримання Загального регламенту про захист даних (GDPR) Європейського Союзу в усіх напрямах своєї діяльності. Ця Політика відповідності GDPR слугує водночас внутрішньою настановою та публічною заявою про те, як Livappy забезпечує захист даних і приватність відповідно до GDPR.

З будь-яких питань або зауважень щодо цієї політики чи захисту даних у Livappy, будь ласка, звертайтеся до нас за адресою info@livappy.com.

Сфера застосування

Ця політика застосовується до всіх операцій з обробки персональних даних, які здійснює Livappy OÜ у контексті надання послуг особам у Європейському Союзі. Як компанія, заснована в ЄС, Livappy підпадає під юрисдикцію GDPR щодо будь-якої обробки персональних даних осіб у ЄС¹. На практиці це означає, що будь-яка персональна інформація, зібрана, використана, збережена або іншим чином оброблена Livappy — чи то від клієнтів, користувачів, працівників або партнерів у всьому ЄС — опрацьовується відповідно до вимог GDPR.

Livappy докладає всіх зусиль, щоб принципи та норми GDPR регулювали всю відповідну обробку даних, незалежно від країни ЄС, у якій проживає суб’єкт даних. Ми усвідомлюємо, що GDPR захищає фундаментальні права осіб у ЄС на приватність і покладає на нас обов’язки щоразу, коли ми маємо справу з персональними даними осіб з ЄС².

Згідно з цією політикою, діяльність Livappy, що охоплюється GDPR, включає (але не обмежується цим): збирання персональних даних від користувачів і клієнтів, зберігання або хостинг таких даних (наприклад, на наших хмарних серверах), аналіз персональних даних для бізнес-цілей та надання даних авторизованим постачальникам послуг. Уся така діяльність здійснюється відповідно до GDPR та в межах Європейської економічної зони (ЄЕЗ) або із застосуванням затверджених механізмів передавання, коли дані переміщуються за межі ЄЕЗ. Підсумовуючи: якщо Livappy обробляє персональні дані особи з ЄС, така обробка підпадає під сферу дії цієї політики та вимог відповідності GDPR.

Прозорість

Livappy дотримується принципу прозорості, чітко інформуючи суб’єктів даних про те, як ми збираємо, використовуємо та надаємо їхню персональну інформацію. GDPR вимагає від організацій бути відкритими та чесними щодо персональних даних, які вони збирають, і цілей, для яких ці дані використовуються³. Відповідно до цього Livappy надає суб’єктам даних вичерпні повідомлення про приватність щоразу, коли ми збираємо персональні дані. Ці повідомлення (як-от наша Політика приватності) містять усю обов’язкову інформацію, зокрема:

Ідентифікаційні дані контролера:

Ми зазначаємо Livappy OÜ як контролера даних і наводимо наші контактні дані (адресу та електронну пошту) в усіх повідомленнях щодо приватності.

Збирання та використання даних:

Ми пояснюємо, які персональні дані ми збираємо, а також як і навіщо ми їх збираємо. Це охоплює категорії даних (наприклад, ім’я, контактну інформацію, документи, що посвідчують особу, тощо) та цілі, для яких вони обробляються (як-от надання наших послуг, верифікація особи, підтримка клієнтів, маркетинг тощо).

Правові підстави:

Для кожної операції обробки ми зазначаємо правову підставу за GDPR, яка її виправдовує, — наприклад, чи покладаємося ми на згоду користувача, необхідність виконання договору, юридичний обов’язок або законні інтереси. Ми гарантуємо, що жодні персональні дані не обробляються без дійсної правової підстави згідно зі статтями 6 та 9 GDPR.

Строки зберігання даних:

Ми інформуємо осіб про те, як довго зберігаємо персональні дані. Livappy дотримується принципу обмеження зберігання, тобто ми зберігаємо персональні дані лише стільки, скільки необхідно для досягнення визначених цілей або скільки цього вимагає закон, після чого дані безпечно видаляються чи анонімізуються.

Одержувачі даних:

Ми розкриваємо інформацію про будь-які треті сторони чи партнерів, які можуть отримувати персональні дані. Це включає зазначення того, чи надаються персональні дані нашим постачальникам послуг або операторам (наприклад, провайдерам хмарного хостингу, сервісам верифікації особи, аналітичним інструментам), та забезпечення того, щоб особи знали категорії одержувачів.

Права та контакти:

Ми повідомляємо осіб про їхні права суб’єктів даних за GDPR (детально описані в наступному розділі) та надаємо чіткі інструкції щодо реалізації цих прав, зокрема шляхом звернення до нас за адресою info@livappy.com. Ми також зазначаємо у своїх повідомленнях про приватність право подати скаргу до наглядового органу та іншу обов’язкову інформацію.

Уся інформація про приватність подається в стислій, прозорій та легкодоступній формі, зрозумілою мовою, як цього вимагає GDPR. Livappy надає цю інформацію в момент збирання даних (або, якщо дані отримано від третіх сторін, за першої ж нагоди відповідно до статей 13 і 14 GDPR). Ми зобов’язуємося оновлювати наші повідомлення про приватність щоразу, коли змінюються наші практики обробки даних, і невідкладно повідомлятимемо про будь-які суттєві зміни для забезпечення постійної прозорості. По суті, Livappy прагне, щоб особи ніколи не залишалися в невіданні щодо того, як обробляються їхні дані, зміцнюючи довіру та відповідаючи високим стандартам прозорості GDPR³.

Права суб’єктів даних

Згідно з GDPR, особам (суб’єктам даних) надано широкі права щодо їхніх персональних даних, і Livappy повністю зобов’язується забезпечувати та поважати ці права. Права, надані суб’єктам даних, включають: право на інформацію, право доступу, право на виправлення, право на стирання («право бути забутим»), право на обмеження обробки, право на перенесення даних, право заперечувати проти обробки та право не бути об’єктом рішення, що ґрунтується виключно на автоматизованій обробці (включно з профайлінгом)⁴. Ми визнаємо всі ці права та запровадили процеси для сприяння їх реалізації.

Реалізація прав

Livappy має зручні процедури для реалізації особами їхніх прав за GDPR. Суб’єкти даних можуть подавати запити в будь-який час, звернувшись до нас за адресою info@livappy.com. Ми також надаємо онлайн-форми або налаштування в застосунку (де це застосовно), щоб спростити подання запитів на доступ, виправлення, видалення тощо.

Після отримання запиту Livappy:

Перевірить запит:

З міркувань безпеки нам може знадобитися перевірити особу заявника, щоб персональні дані не були розкриті неуповноваженій особі. Це може передбачати запит додаткової інформації або автентифікації, якщо запит надійшов з електронної адреси чи облікового запису, які нам ще не відомі.

Відповість своєчасно:

Ми відповідаємо на всі запити суб’єктів даних без невиправданої затримки та протягом одного місяця з моменту отримання, як цього вимагає GDPR⁶. Якщо запит є складним або запитів багато, ми можемо подовжити цей строк ще на два місяці, але поінформуємо заявника про подовження та його причини протягом початкового одномісячного строку. У будь-якому разі статус і результат розгляду запиту буде чітко повідомлено.

Задовольнить запит, коли це можливо:

Якщо запит є правомірним і не застосовується жодне юридичне виключення, Livappy задовольнить його. Наприклад, ми надамо копію персональних даних особи, які ми обробляємо (право доступу), виправимо будь-які неточності (виправлення), видалимо дані на запит, якщо цьому не перешкоджає переважна законна підстава (стирання), або припинимо певну обробку на підставі заперечення чи запиту про обмеження — усе відповідно до умов GDPR. Коли надходить запит на перенесення даних, ми надамо персональні дані в структурованому, широковживаному, придатному для машинного зчитування форматі.

Пояснить будь-яку відмову чи обмеження:

У рідкісних випадках, коли ми не можемо задовольнити запит (наприклад, якщо застосовується виключення або якщо запит є явно необґрунтованим чи надмірним), ми повідомимо особі конкретну причину, з якої не можемо виконати запит, та поінформуємо її про право подати скаргу до наглядового органу. Ми не стягуємо жодної плати за відповідь на запити щодо прав, крім випадків, коли запит є повторюваним або надмірним (і в такому разі будь-яка плата чи відмова застосовуватиметься виключно в межах, дозволених GDPR).

Сприятиме та документуватиме:

Внутрішні процедури Livappy забезпечують, щоб персонал був навчений розпізнавати та належним чином опрацьовувати запити суб’єктів даних⁷. Ми зберігаємо записи про запити та відповіді, щоб підтвердити нашу відповідність вимогам. Ми також повідомляємо будь-яких відповідних сторонніх операторів чи одержувачів, якщо це необхідно (наприклад, якщо дані було передано і їх потрібно стерти або виправити, ми повідомимо про запит цим сторонам, як цього вимагає закон).

Livappy глибоко поважає контроль осіб над їхніми персональними даними. Дотримуючись цих прав і роблячи процес простим, ми демонструємо свою підзвітність та відданість наданим GDPR можливостям суб’єктів даних. Наша команда завжди готова допомогти особам зрозуміти та реалізувати їхні права.

Захист даних за призначенням та за замовчуванням

Livappy сповідує принципи захисту даних за призначенням та за замовчуванням як ключові в усіх наших продуктах, послугах і бізнес-процесах. Це означає, що з самого початку будь-якого проєкту чи системи ми інтегруємо міркування захисту даних і забезпечуємо, щоб гарантії приватності були вбудовані за замовчуванням, а не додавалися згодом⁸. Наш підхід включає такі практики:

Інтеграція на етапі проєктування:

Щоразу, коли ми розробляємо чи оновлюємо програмне забезпечення, застосунки або бізнес-процеси, що стосуються персональних даних, ми проактивно оцінюємо ризики для приватності та впроваджуємо захисні заходи ще на етапі проєктування. Наприклад, ми обмежуємо збирання даних лише тим, що є необхідним для визначеної мети (мінімізація даних), і обираємо архітектури систем, які захищають персональні дані (зокрема із застосуванням псевдонімізації або агрегації, де це доречно).

Налаштування приватності за замовчуванням:

Послуги Livappy налаштовані з дружніми до приватності параметрами за замовчуванням. Це означає, що, якщо користувач активно не обере інше, збираються та використовуються лише мінімально необхідні персональні дані. Будь-які функції, що можуть впливати на приватність, за замовчуванням встановлені в найбільш захисному режимі⁹. Користувачам не потрібно надавати згоду на додаткове збирання даних для роботи сервісу — приватність є стандартним налаштуванням.

Оцінювання впливу на захист даних (DPIA):

Ми проводимо оцінювання впливу на захист даних для будь-яких нових або суттєво змінених операцій обробки, що можуть становити високий ризик для приватності осіб. Завдяки DPIA ми на ранньому етапі виявляємо потенційні проблеми приватності та усуваємо їх, коригуючи наш дизайн або впроваджуючи додаткові гарантії. Цей процес забезпечує відповідність статті 35 GDPR і демонструє наше ретельне завчасне врахування ризиків для приватності.

Навчання та обізнаність:

Наші інженерні та продуктові команди проходять навчання з принципів захисту даних за призначенням. Ми формуємо внутрішню культуру, у якій працівники та підрядники усвідомлюють зобов’язання щодо приватності й послідовно застосовують орієнтоване на приватність мислення під час роботи з персональними даними. Перед запуском нових функцій ми проводимо огляди приватності або перевірки за контрольними списками, щоб переконатися в наявності механізмів відповідності.

Постійні перевірки та вдосконалення:

Захист даних за призначенням — це не одноразовий захід. Livappy постійно моніторить і переглядає свої системи, щоб з часом вони й надалі відповідали стандартам приватності. Ми проводимо періодичні аудити та оновлення заходів безпеки й приватності, адаптуємося до нових регуляторних настанов і враховуємо відгуки користувачів для покращення захисту даних. Якщо відбуваються зміни в технологіях чи використанні даних, ми переглядаємо наші рішення, щоб підтримувати найвищий рівень захисту даних за замовчуванням.

Вбудовуючи приватність у саму основу нашої діяльності, Livappy не лише виконує вимогу GDPR щодо захисту даних за призначенням та за замовчуванням, а й формує довіру користувачів. Наша мета — зробити приватність невід’ємною частиною інновацій та послуг нашої компанії, захищаючи персональні дані з самого початку та за замовчуванням у кожному випадку.

Технічні та організаційні заходи

Livappy впровадила комплексний набір технічних та організаційних заходів безпеки для захисту персональних даних і забезпечення рівня безпеки, що відповідає ризику, як цього вимагає стаття 32 GDPR¹¹. Ми усвідомлюємо, що захист персональних даних є першочерговим, і застосовуємо найкращі галузеві практики для запобігання несанкціонованому доступу, розкриттю, зміні чи втраті даних. Ключові заходи включають:

Шифрування:

Усі персональні дані, з якими працює Livappy, захищені надійним шифруванням — як під час передавання, так і у стані зберігання. Ми використовуємо сучасні протоколи шифрування (як-от TLS) для даних, що передаються мережами, та надійні алгоритми шифрування для даних, що зберігаються в наших базах даних і резервних копіях. Це гарантує, що навіть у разі перехоплення або несанкціонованого доступу дані залишатимуться нечитабельними та захищеними¹². Де це можливо, ми пропонуємо механізми безпечного керування ключами шифрування, щоб уникнути єдиної точки компрометації.

Контроль доступу:

Livappy застосовує суворі механізми контролю доступу, щоб персональні дані були доступні лише уповноваженому персоналу за принципом службової необхідності. Ми впровадили рольовий контроль доступу та системи автентифікації користувачів (включно з багатофакторною автентифікацією для чутливих систем), щоб обмежити коло осіб, які мають доступ до даних. Доступ персоналу до персональних даних надається залежно від посадової ролі та невідкладно скасовується або коригується при зміні ролей. Кожен працівник чи підрядник, який має доступ до персональних даних, зобов’язаний дотримуватися конфіденційності та проходить навчання з безпеки даних.

Журналювання та моніторинг:

Ми ведемо детальні журнали доступу до систем та операцій з обробки даних. Увесь доступ до сховищ персональних даних, а також значущі дії з персональними даними фіксуються в захищених журналах аудиту. Livappy застосовує інструменти моніторингу для перегляду журналів і виявлення будь-якої нетипової чи несанкціонованої активності. Це не лише допомагає нам запобігати потенційним інцидентам безпеки та виявляти їх, а й забезпечує аудиторський запис для підтвердження підзвітності щодо доступу до даних та їх змін.

Захищена інфраструктура (хмара AWS):

Наші послуги розміщені на Amazon Web Services (AWS) — авторитетному хмарному провайдері з високими стандартами безпеки та практиками, що відповідають GDPR. Ми користуємося функціями безпеки та сертифікаціями відповідності AWS. Наприклад, ми обираємо регіони центрів обробки даних у Європі для зберігання персональних даних осіб з ЄС, використовуємо вбудовані мережеві екрани та мережеву безпеку AWS, а також регулярно встановлюємо оновлення й патчі програмного забезпечення. AWS надає надійні гарантії та можливості для захисту даних (зокрема контроль клієнта над розташуванням даних, шифруванням і керуванням доступом)¹², які ми використовуємо для посилення загального рівня нашої безпеки.

Мережева та системна безпека:

Livappy захищає свої ІТ-системи за допомогою таких заходів, як мережеві екрани, системи виявлення та запобігання вторгненням (IDS/IPS), захист від шкідливого програмного забезпечення та безпечна мережева архітектура. Ми розділяємо середовища (наприклад, розробки, тестування, промислової експлуатації), щоб зменшити ризик, і застосовуємо практики управління вразливостями, включно з регулярним скануванням вразливостей та тестуванням на проникнення. Будь-які виявлені проблеми безпеки усуваються невідкладно.

Організаційні політики та навчання:

Ми запровадили внутрішні політики безпеки та захисту даних, яких мають дотримуватися всі працівники та підрядники. Ці політики охоплюють належне поводження з персональними даними, використання пристроїв, протоколи повідомлення про інциденти тощо. Ми проводимо регулярні навчання та програми підвищення обізнаності, щоб наша команда залишалася пильною та обізнаною щодо найкращих практик кібербезпеки й приватності. Доступ до персональних даних вимагає дотримання цих політик, а порушення можуть призвести до дисциплінарних заходів.

Регулярні аудити та оцінювання:

Livappy періодично проводить аудит своїх заходів захисту даних та здійснює оцінювання ризиків, щоб забезпечити їхню постійну ефективність. Ми регулярно переглядаємо права доступу користувачів, тестуємо наші плани реагування на інциденти та можемо залучати незалежних аудиторів для оцінювання наших засобів контролю безпеки. Будь-які виявлені слабкі місця чи можливості для вдосконалення усуваються невідкладно. Ці аудити допомагають нам підтримувати відповідність і постійно узгоджуватися з еволюцією стандартів безпеки та регуляторних настанов.

Безперервність діяльності та резервне копіювання:

Для захисту від втрати або знищення даних ми підтримуємо безпечні процедури резервного копіювання даних та маємо плани відновлення після катастроф. Резервні копії критично важливих персональних даних шифруються та зберігаються надійно (зокрема поза основним майданчиком або в хмарі), і ми періодично тестуємо відновлення даних. У разі будь-якого збою системи чи катастрофи Livappy може відновити персональні дані, щоб запобігти їх остаточній втраті, відповідно до вимог щодо цілісності та доступності.

Псевдонімізація та мінімізація даних:

Там, де це доречно, Livappy застосовує псевдонімізацію персональних даних — заміну ідентифікаційних полів штучними ідентифікаторами — щоб зменшити ризик у разі несанкціонованого доступу. Ми також суворо дотримуємося принципу мінімізації даних, збираючи та зберігаючи лише ті персональні дані, які необхідні для наших визначених цілей¹⁰. Мінімізуючи обсяг даних, які ми зберігаємо, та розділяючи чи анонімізуючи дані, де це можливо, ми обмежуємо наслідки будь-якої потенційної проблеми з безпекою.

Завдяки цим та іншим заходам Livappy забезпечує, щоб персональні дані завжди були захищені за призначенням та за замовчуванням¹³. Ми постійно оцінюємо нові технології та практики безпеки для посилення нашого захисту. Наше зобов’язання — підтримувати сучасну систему безпеки, яка відповідає вимогам GDPR щодо безпеки даних або перевищує їх, тим самим захищаючи довіру, яку нам виявляють наші користувачі та клієнти.

Уповноважена особа із захисту даних (DPO)

GDPR вимагає від певних організацій призначити Уповноважену особу із захисту даних, коли виконуються конкретні критерії, наприклад, якщо основна діяльність полягає у великомасштабній обробці чутливих даних або регулярному та систематичному моніторингу осіб у великому масштабі¹⁹. Livappy OÜ ще не призначила Уповноважену особу із захисту даних, оскільки наш поточний масштаб і характер обробки даних не роблять це обов’язковою вимогою згідно зі статтею 37 GDPR. Зокрема, основна діяльність Livappy наразі не передбачає великомасштабної обробки особливих категорій даних або великомасштабного регулярного моніторингу осіб, що юридично зобов’язувало б призначити DPO¹⁹. Ми оцінили наші обов’язки та визначили, що наразі формальне призначення DPO не є обов’язковим.

Проте Livappy уважно стежить за цією вимогою. Ми зобов’язуємося призначити кваліфікованого DPO в майбутньому, якщо наша діяльність або юридичні обов’язки зміняться так, що DPO стане необхідним. Наприклад, якщо бізнес Livappy розшириться до обробки надзвичайно чутливих персональних даних у великому масштабі або якщо ми розпочнемо масштабну діяльність з профайлінгу чи моніторингу, ми повернемося до питання необхідності DPO та невідкладно здійснимо призначення відповідно до положень GDPR.

Поточні заходи із захисту даних

Навіть за відсутності офіційно призначеного DPO Livappy забезпечує чіткий розподіл обов’язків із захисту даних усередині організації:

У нас є спеціальна команда (або відповідальна особа) з питань приватності та відповідності, яка наглядає за дотриманням GDPR і консультує з питань захисту даних. Ця команда відстежує наші показники захисту даних, надає роз’яснення щодо обов’язків за GDPR і виступає внутрішнім захисником приватності користувачів.
Ми надаємо контактні дані (info@livappy.com) для всіх запитів чи звернень щодо захисту даних і ставимося до цих повідомлень з такою самою увагою та ретельністю, як якби DPO було призначено. Будь-які отримані запити чи скарги опрацьовуються сумлінно, а за потреби передаються керівництву або юридичним радникам, що спеціалізуються на приватності.
За потреби ми підтримуємо відкриті канали комунікації з наглядовими органами та стежимо за регуляторними настановами для забезпечення постійної відповідності.

Livappy розуміє цінність, яку може принести DPO, навіть якщо його призначення не є обов’язковим, — зокрема незалежний нагляд та експертні знання з питань приватності. Ми й надалі відстежуватимемо свої обов’язки та не вагаючись призначимо DPO, коли умови або наше зростання зроблять це доцільним. Тим часом ми зобов’язуємося, щоб усі ключові функції DPO (моніторинг відповідності, консультування щодо DPIA, навчання персоналу тощо) виконувалися через наші внутрішні структури управління.

Повідомлення про порушення захисту персональних даних

Попри надійний захист, Livappy визнає, що інциденти безпеки потенційно можуть статися. У разі порушення захисту персональних даних (інциденту безпеки, що призводить до випадкового або незаконного знищення, втрати, зміни, несанкціонованого розкриття персональних даних чи доступу до них) ми маємо чітку процедуру для управління таким порушенням і виконання обов’язків щодо повідомлення за GDPR. Наш план реагування на порушення захисту даних включає такі кроки, узгоджені зі статтями 33 і 34 GDPR:

Негайне виявлення та внутрішнє сповіщення:

У нас діють системи та процеси для виявлення потенційних порушень захисту даних і сповіщення про них. Наші працівники навчені розпізнавати та ескалувати інциденти безпеки. Щойно порушення запідозрено або виявлено, сповіщається наша внутрішня команда реагування (до складу якої входять фахівці з ІТ, безпеки та керівництво). Ми призначаємо конкретного менеджера з інцидентів для нагляду за розслідуванням.

Локалізація та оцінювання:

Livappy швидко локалізує порушення, щоб запобігти подальшому витоку даних (наприклад, шляхом ізоляції уражених систем, відкликання скомпрометованих облікових даних або вимкнення певних функцій). Після цього ми розслідуємо інцидент, щоб визначити характер і масштаб порушення, які дані та особи зазнали впливу, а також потенційні ризики для суб’єктів даних. У межах цього оцінювання ми аналізуємо ймовірність і тяжкість будь-якої шкоди, яка може виникнути.

Повідомлення органів (72 години):

Якщо порушення ймовірно призведе до ризику для прав і свобод осіб, Livappy повідомить відповідний наглядовий орган без невиправданої затримки і, де це можливо, протягом 72 годин після того, як дізнається про порушення¹⁴. Оскільки Livappy базується в Естонії, нашим провідним наглядовим органом, імовірно, є Естонська інспекція із захисту даних (Andmekaitse Inspektsioon), якщо тільки порушення не стосується суб’єктів даних у кількох країнах ЄС (у такому разі ми координуватимемо дії з провідним органом у межах механізму єдиного вікна).

Наше повідомлення органам про порушення міститиме всю необхідну інформацію (характер порушення, категорії та приблизну кількість відповідних суб’єктів даних і записів, ймовірні наслідки, вжиті або запропоновані заходи для усунення порушення тощо). Якщо ми не зможемо надати всі деталі протягом 72 годин, ми надамо інформацію поетапно, як це дозволено, з поясненням причин затримки^15,16.

Повідомлення осіб, яких стосується порушення:

Якщо порушення ймовірно призведе до високого ризику для персональних даних або приватності осіб, ми також повідомимо про порушення відповідних суб’єктів даних без невиправданої затримки¹⁷. Таке повідомлення буде здійснено чіткою та зрозумілою мовою з описом характеру порушення та рекомендаціями для осіб щодо пом’якшення можливих негативних наслідків (наприклад, ми можемо порадити змінити паролі або бути пильними щодо фішингу, якщо облікові дані було розкрито). Ми не повідомлятимемо осіб, якщо завдяки ефективним технічним заходам (як-от шифрування даних) або з інших причин уражені дані є нечитабельними чи ризик низький, — за винятком випадків, коли органи вкажуть нам це зробити.

Усунення наслідків і запобігання в майбутньому:

Livappy негайно вживе заходів для усунення причини порушення. Це може включати виправлення вразливостей програмного забезпечення, посилення контролю доступу, покращення шифрування або інші коригувальні дії, щоб подібний інцидент не повторився. Ми також задокументуємо здобуті уроки та відповідно оновимо наші політики безпеки й навчання. Вище керівництво інформується про всі порушення та хід усунення їхніх наслідків, що забезпечує підзвітність і підтримку необхідних покращень.

Документування:

Відповідно до статті 33(5) GDPR Livappy документує всі порушення захисту даних незалежно від того, чи вимагають вони повідомлення. Цей внутрішній реєстр порушень фіксує факти, пов’язані з порушенням, його наслідки та вжиті коригувальні дії. Така документація дає змогу наглядовим органам перевірити нашу відповідність і допомагає нам постійно вдосконалювати реагування на інциденти безпеки. Навіть щодо незначних інцидентів ми ведемо записи як частину наших обов’язків щодо підзвітності¹⁸.

Дотримуючись цього структурованого підходу, Livappy забезпечує швидке та прозоре опрацювання будь-якого порушення захисту даних з кінцевою метою захисту даних і прав наших користувачів. Наша цілодобова готовність реагувати на інциденти та відданість 72-годинному строку повідомлення відображають серйозність, з якою ми ставимося до безпеки персональних даних та наших обов’язків за GDPR.

Договори про обробку даних

Livappy покладається на певних довірених сторонніх постачальників послуг (операторів) для підтримки наших сервісів — наприклад, провайдерів хмарної інфраструктури, сервісів верифікації особи та аналітичних платформ. Відповідно до вимог GDPR Livappy підписує Договори про обробку даних (DPA) з усіма зовнішніми операторами, які обробляють персональні дані від нашого імені²⁰. Ці DPA є офіційними договорами, які гарантують, що кожен оператор зобов’язується дотримуватися GDPR і захищає персональні дані за тими самими високими стандартами, що й ми. Ключові аспекти нашого підходу до DPA включають:

Обов’язкові DPA з усіма операторами:

У нас діє політика, згідно з якою жодні персональні дані не передаються та не довіряються сторонньому оператору без укладеного DPA, що відповідає GDPR. Це стосується таких основних партнерів, як Amazon Web Services (AWS) для хмарного хостингу, Veriff для послуг верифікації особи, Google для хмарних інструментів чи аналітики, а також будь-якого іншого постачальника чи підрядника, який обробляє дані. Кожен з цих операторів договірно погодився дотримуватися вимог GDPR, обробляти дані лише за задокументованими вказівками Livappy та впроваджувати належні заходи безпеки.

Запевнення та достатні гарантії:

Відповідно до статті 28 та пункту 81 преамбули GDPR Livappy залучає лише тих операторів, які надають достатні гарантії своєї спроможності захищати персональні дані²¹. Наші Договори про обробку даних передбачають, що оператори повинні впроваджувати всі належні технічні та організаційні заходи для захисту даних (наприклад, шифрування, контроль доступу, зобов’язання щодо конфіденційності) та допомагати Livappy у виконанні запитів суб’єктів даних і повідомленні про порушення, коли це необхідно²². Ми ретельно перевіряємо нових постачальників щодо їхніх практик захисту даних і репутації, перш ніж залучити їх як операторів.

Ключові умови DPA:

Кожен DPA, який підписує Livappy, містить усі обов’язкові положення згідно зі статтею 28(3) GDPR. Зокрема, вони включають: оператор обробляє персональні дані лише за вказівками Livappy; персонал, який обробляє дані, зобов’язаний дотримуватися конфіденційності; оператор допомагає забезпечити дотримання вимог безпеки та сприяє реалізації прав суб’єктів даних і проведенню DPIA; субоператори не можуть залучатися без нашого дозволу та мають бути зв’язані такими самими зобов’язаннями; оператор повертає або видаляє персональні дані після завершення співпраці; оператор має погоджуватися на аудити та надавати докази відповідності²². Ці договірні умови дають Livappy і нашим користувачам упевненість, що персональні дані залишаються захищеними навіть тоді, коли їх обробляють треті сторони.

Моніторинг і забезпечення виконання:

Livappy веде перелік усіх поточних операторів даних і статусу наших договорів з ними. Ми контролюємо дотримання вимог нашими операторами — наприклад, переглядаючи їхні сертифікати безпеки, аудиторські звіти чи дотримання кодексів поведінки. Якщо оператор не виконує своїх зобов’язань із захисту даних, ми вживаємо невідкладних заходів, які можуть включати вимогу усунення недоліків, призупинення обробки даних або навіть розірвання договору. Крім того, наші DPA покладають на операторів відповідальність за захист даних, тобто вони мають відшкодувати Livappy (і, зрештою, нашим користувачам) будь-яку шкоду, спричинену їхньою обробкою, що не відповідає стандартам GDPR.

Субоператори:

Якщо наші оператори передають частину обробки на субпідряд (наприклад, якщо AWS залучає субпідрядників для обслуговування центрів обробки даних), наші DPA вимагають, щоб такі субоператори дотримувалися тих самих стандартів. Договори Livappy забезпечують безперервний ланцюг зобов’язань, що відповідають GDPR, на всіх рівнях обробки даних.

Примітка: Livappy уклала Договір про обробку даних (DPA) з Google Ireland Limited щодо надання послуг Google Workspace (електронна пошта, календар, хмара). Google діє як оператор даних від імені Livappy, і вся обробка відповідає GDPR, включно зі Стандартними договірними положеннями (SCC), коли дані можуть передаватися за межі ЄС.

Підтримуючи суворі Договори про обробку даних, Livappy виконує свій обов’язок як контролера даних працювати лише з тими операторами, які можуть гарантувати захист персональних даних²³. Ця договірна ретельність є фундаментальною частиною нашої програми відповідності GDPR і дає нашим клієнтам та користувачам упевненість, що їхні дані оброблятимуться безпечно не лише Livappy, а й будь-яким партнером чи постачальником, залученим до надання наших послуг. Ми регулярно переглядаємо й оновлюємо наші DPA відповідно до правових змін і забезпечуємо, щоб усі нові партнерства починалися з укладення надійного договору про захист даних.

Контактна інформація

Контактна електронна пошта: info@livappy.com

Дата набрання чинності: 10 вересня 2025 року

Оператор: Livappy OÜ (registrikood 17298558)
Harju maakond, Tallinn, Kesklinna linnaosa, Sakala tn 7-2, 10141, Estonia
Зареєстровано в реєстраційному відділі Тартуського повітового суду, картка комерційного реєстру № 1

Дата набрання чинності та перегляд

Ця Політика відповідності GDPR набирає чинності з дати публікації та затверджена керівництвом Livappy. Ми переглядатимемо політику щонайменше раз на рік, а також додатково за потреби, щоб відобразити будь-які зміни в наших практиках або в законодавстві. Оновлення публікуватимуться, щоб працівники, клієнти та партнери залишалися поінформованими про те, як Livappy дотримується своїх зобов’язань щодо відповідності GDPR.

Джерела

^1,12 GDPR - Amazon Web Services (AWS) - https://aws.amazon.com/compliance/gdpr-center/

^2,3 EU General Data Protection Regulation Compliance Policy | Policy Library - https://www.policylibrary.gatech.edu/legal/eu-general-data-protection-regulation-compliance-policy

^4,5,6,7 Respect individuals' rights | European Data Protection Board - https://www.edpb.europa.eu/sme-data-protection-guide/respect-individuals-rights_en

^8,9,10 Privacy by Design & by Default: What You Need To Know - https://www.datagrail.io/blog/data-privacy/privacy-by-design-privacy-by-default/

^11,20,21,22 What is a GDPR data processing agreement? - GDPR.eu - https://gdpr.eu/what-is-data-processing-agreement/

¹³ Data protection by design and by default | ICO - https://ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-by-design-and-by-default/

^{14,15,16,17,18} Personal data breaches: a guide | ICO - https://ico.org.uk/for-organisations/report-a-breach/personal-data-breach/personal-data-breaches-a-guide/

¹⁹ Does my company/organisation need to have a Data Protection Officer (DPO)? - European Commission - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/data-protection-officers/does-my-companyorganisation-need-have-data-protection-officer-dpo_en

²³ GDPR Compliance Statement - Free Privacy Policy - https://www.freeprivacypolicy.com/blog/gdpr-compliance-statement/