1. Предмет і ролі

Клієнт є контролером у значенні ст. 4 п. 7 GDPR щодо персональних даних, які він або його користувачі обробляють у STRYK («Дані для обробки»). Nextpulse обробляє Дані для обробки як обробник даних.

Предметом обробки є надання, експлуатація, технічне обслуговування, резервне копіювання та підтримка STRYK відповідно до основного договору, включно з пробними договорами.

Для власних цілей — адміністрування договорів, розрахунки, ідентифікаційні облікові записи Nextpulse ID, безпеку платформи, запобігання зловживанням і захист прав — Nextpulse діє як самостійний контролер; ці процеси описані в політиці конфіденційності.

2. Строк дії

Угода діє протягом строку основного договору, включно з перехідним періодом і строком отримання після закінчення договору, а також довше, доки Nextpulse обробляє Дані для обробки, до їх видалення згідно з пунктом 14.

3. Вид і мета обробки

Вид обробки: збирання, фіксація, зберігання, упорядкування, адаптація, запит, використання, передача обраним Клієнтом одержувачам, зіставлення, обмеження, резервне копіювання, відновлення та видалення. Мета — надання функцій, якими користується Клієнт, зокрема:

Управління готелем: бронювання, номери, заселення, housekeeping, профілі гостей, рахунки, статус оплати, фінансові проведення, аналітика та організація роботи персоналу;
Booking Engine, веб-сайт для гостей, онлайн-реєстрація, портал гостя та кіоск, включно з фіксацією даних для реєстрації та документів, якщо Клієнт активує ці функції;
Комунікація з гостями електронною поштою та в інших каналах, включно з аналітикою на основі ШІ, пропозиціями відповідей і автоматичними відповідями, якщо активовано;
Розподіл доступності, цін і бронювань через channel manager, якщо активовано;
Підключення платіжних, касових, банківських та інших систем, якщо Клієнт їх активував;
Перенесення даних із попередніх систем, аналіз помилок, підтримка та заходи безпеки, якщо це необхідно для послуги.

4. Суб’єкти даних і категорії даних

Гості, супутники, особи, що бронюють, і зацікавлені особи: ідентифікаційні та контактні дані, дані про проживання та бронювання, уподобання, зміст комунікації, дані про рахунки та статус оплати, дані для реєстрації та реєстру гостей.
Дані документів, що посвідчують особу: відомості з проїзних документів і зображення документів, що посвідчують особу, якщо Клієнт використовує відповідну функцію.
Співробітники та користувачі Клієнта: ім’я, контактні дані, роль, призначення на зміну та завдання, журнали активності та доступу.
Ділові контакти, корпоративні клієнти, постачальники та партнери: основні, контактні, договірні та розрахункові дані.
Особливі категорії персональних даних у значенні ст. 9 GDPR, наприклад відомості про здоров’я в побажаннях гостей, лише якщо Клієнт вирішує їх вводити і має для цього правову підставу.
Не обробляються повні номери карток, контрольні цифри карток і дані для онлайн-банкінгу; платіжні засоби обробляє платіжний провайдер Клієнта.

5. Вказівки

Nextpulse обробляє Дані для обробки лише за задокументованою вказівкою Клієнта, зокрема щодо передачі до третіх країн, якщо Nextpulse не зобов’язана обробляти їх згідно з правом Союзу або правом держави-члена; у такому разі Nextpulse повідомляє Клієнта про ці правові вимоги до обробки, якщо право цього не забороняє.

Основний договір, ця угода, а також налаштування та використання функцій Клієнтом становлять вказівки. Окремі вказівки надаються в текстовій формі.

Якщо Nextpulse вважає, що вказівка суперечить нормам захисту даних, вона негайно інформує Клієнта і може призупинити виконання до підтвердження або зміни вказівки.

6. Конфіденційність

Nextpulse гарантує, що особи, уповноважені на обробку, зобов’язалися дотримувати конфіденційності або підпадають під належний законний обов’язок збереження таємниці. Доступ до Даних для обробки здійснюється лише тією мірою, якою це необхідно для експлуатації, безпеки або підтримки. Зміни, внесені в ході підтримки в адмініструванні платформи, протоколюються з обґрунтуванням.

7. Безпека обробки

Nextpulse вживає технічних і організаційних заходів, необхідних згідно зі ст. 32 GDPR. Їх описано в пункті 17. Nextpulse може адаптувати заходи до технічного прогресу, якщо рівень захисту не знижується.

8. Субобробники даних

Клієнт надає загальну згоду на залучення компаній, зазначених у переліку субобробників даних. Nextpulse інформує Клієнта щонайменше за 30 днів до залучення нового або заміни наявного субобробника даних у текстовій формі.

Клієнт може заперечити проти зміни в текстовій формі протягом 14 днів після отримання повідомлення з важливої причини захисту даних. Сторони докладають зусиль для досягнення взаємно прийнятного рішення. Якщо це не вдається, Клієнт може розірвати відповідний договір або його частину на момент залучення; попередньо сплачена плата за період після цього пропорційно повертається.

Якщо заміна терміново необхідна для відвернення гострої загрози безпеці або доступності, Nextpulse інформує без зволікання постфактум; право заперечення та розірвання застосовується відповідно.

Nextpulse покладає на кожного субобробника даних договірно по суті ті самі обов’язки щодо захисту даних, що встановлені в цій угоді, і відповідає перед Клієнтом за їх дотримання.

9. Права суб’єктів даних

Nextpulse підтримує Клієнта належними технічними та організаційними заходами під час відповіді на запити суб’єктів даних, насамперед за допомогою функцій, доступних у STRYK, зокрема для виправлення, експорту даних, а також видалення або анонімізації профілів гостей. Якщо цих функцій для запиту недостатньо, Nextpulse на вимогу Клієнта протягом десяти робочих днів надає дані суб’єкта, оброблювані від імені Клієнта, у поширеному машинозчитуваному форматі або видаляє їх. Якщо суб’єкт даних звертається безпосередньо до Nextpulse, Nextpulse пересилає запит Клієнту протягом п’яти робочих днів і не відповідає на нього самостійно, якщо цього не вимагає закон.

10. Підтримка щодо безпеки, оцінки впливу та консультацій

Nextpulse з урахуванням характеру обробки та наявної інформації підтримує Клієнта у виконанні обов’язків згідно зі ст. 32–36 GDPR, зокрема наданням інформації для оцінки впливу на захист даних і для попередніх консультацій з наглядовим органом.

Допоміжні послуги, що виходять за межі надання наявної інформації та функцій і не спричинені порушенням з боку Nextpulse, Nextpulse може виставити за розумними ставками після попереднього повідомлення.

11. Порушення захисту персональних даних

Nextpulse повідомляє Клієнта про порушення захисту Даних для обробки без зволікання, але не пізніше ніж через 48 годин після того, як дізналася про нього. Повідомлення надсилається на контактну адресу, вказану Клієнтом.

Повідомлення містить, наскільки це можливо, опис характеру порушення, категорій і приблизної кількості зачеплених осіб і записів, імовірних наслідків і вжитих або запропонованих заходів, а також контактну особу. Інформація, яка ще недоступна, надається без зволікання пізніше.

Рішення про повідомлення наглядового органу та сповіщення суб’єктів даних ухвалює Клієнт. Повідомлення не є визнанням порушення обов’язку.

12. Місця обробки і передачі до третіх країн

Дані для обробки обробляються переважно в Європейському Союзі або Європейській економічній зоні. Окремі субобробники даних обробляють дані також у третіх країнах, зокрема в Сполучених Штатах; перелік субобробників даних зазначає місце та підставу передачі для кожного постачальника.

Передачі до третіх країн здійснюються лише за умов статей 44 і далі GDPR, зокрема на підставі рішення про адекватність, як-от EU-US Data Privacy Framework для сертифікованих одержувачів, або стандартних договірних положень Європейської комісії, включно з необхідними додатковими заходами. Якщо використовується рішення про адекватність, Nextpulse, наскільки це можливо, узгоджує стандартні договірні положення як додаткову підставу.

13. Підтвердження і перевірки

Nextpulse надає Клієнтові всю необхідну інформацію для підтвердження дотримання цієї угоди, зокрема актуальний опис технічних і організаційних заходів та наявні підтвердження субобробників даних.

Клієнт або призначений ним аудитор, який зобов’язався зберігати конфіденційність і не є конкурентом Nextpulse, може проводити перевірки, зокрема інспекції. Регулярні перевірки відбуваються не частіше одного разу на рік з попередженням щонайменше за 30 днів. У разі порушення захисту Даних для обробки, припису наглядового органу або конкретних ознак порушення допускаються додаткові перевірки з належним попередженням.

Перевірки проводяться в робочі години без надмірного порушення роботи та із збереженням конфіденційності даних інших клієнтів. Клієнт несе свої витрати; якщо перевірка виявляє суттєве порушення з боку Nextpulse, Nextpulse покриває розумні витрати.

14. Повернення і видалення

Протягом строку дії договору Клієнт може отримувати Дані для обробки через наявні функції експорту. Після закінчення договору Nextpulse зберігає Дані для обробки протягом перехідного періоду та строку отримання згідно із B2B-SaaS-AGB для повернення; якщо доступу до STRYK більше немає, Nextpulse на запит надає експорт.

Після спливу строку отримання Nextpulse видаляє Дані для обробки без зволікання, але не пізніше ніж протягом 90 днів, якщо Nextpulse сама не зобов’язана зберігати їх згідно з правом Союзу або правом держави-члена. Якщо такий обов’язок існує, Nextpulse блокує відповідні дані й обробляє їх лише з цією метою. Резервні копії перезаписуються в межах звичайного циклу резервного копіювання, але не пізніше ніж через 90 днів, і до того часу не використовуються для поточної роботи. На запит Nextpulse підтверджує видалення в текстовій формі.

Законні обов’язки Клієнта щодо зберігання, наприклад за BAO, UGB або Законом про реєстрацію (Meldegesetz), лежать на Клієнті; він виконує їх на основі повернення або експортів. Nextpulse не зберігає Дані для обробки для Клієнта після закінчення договору, якщо Клієнт прямо не замовить це окремо як окрему послугу з визначеним строком. Власні договірні, розрахункові та доказові дані Nextpulse не є Даними для обробки.

15. Анонімізовані дані

Nextpulse може анонімізувати Дані для обробки, наскільки це необхідно для надання, захисту та вдосконалення STRYK, і використовувати анонімізовані дані без можливості зробити висновки про фізичних осіб або окремого Клієнта. Дані для обробки не використовуються для навчання моделей ШІ.

16. Пріоритет і відповідальність

Для питань захисту даних ця угода має пріоритет перед іншими договірними документами, за винятком індивідуальних положень, які прямо посилаються на конкретне положення цієї угоди; відступ від ст. 28 GDPR на шкоду Клієнтові не погоджується.

Імперативна відповідальність за GDPR не виключається і не обмежується. У відносинах між сторонами вирівнювання здійснюється згідно зі ст. 82 ч. 5 GDPR; для цього та в іншому діють положення про відповідальність B2B-SaaS-AGB, включно з їх обмеженнями при легкій недбалості.

17. Додаток: технічні та організаційні заходи

Наведені нижче заходи описують актуальний стан. Їх регулярно перевіряють і розвивають.

Розділення клієнтів: дані кожного Клієнта позначаються відповідно до клієнта; база даних забезпечує розділення додатково до логіки застосунку за допомогою політик безпеки рядків (Row Level Security), які не можна обійти для ролі застосунку.
Контроль доступу до облікових записів: вхід користувачів через Nextpulse ID з OpenID Connect; підтримка другого фактора; для чутливих адміністративних дій адміністрування платформи потрібен свіжий вхід із другим фактором. Облікові записи пристроїв для функцій кіоска обмежені відповідним закладом.
Контроль доступу: рольові права за принципом необхідності з перевіркою кожного запиту на стороні сервера; непризначені доступи відхиляються. Заходи підтримки здійснюються через адміністрування платформи; зміни потребують обґрунтування та протоколюються.
Контроль передачі: доступ до STRYK через інтернет здійснюється виключно зашифровано за допомогою TLS. Електронні листи передаються з транспортним шифруванням, якщо приймаючий сервер його підтримує. Секрети доступу для підключених сторонніх систем зберігаються в зашифрованому вигляді.
Шифрування даних у стані спокою: резервні копії зберігаються в зашифрованому вигляді. Для особливо чутливого вмісту, як-от зображення документів, що посвідчують особу, Nextpulse рекомендує обмежувати збирання законно необхідним і визначати строки видалення.
Строки видалення: для даних онлайн-реєстрації, включно з даними документів, Клієнт може встановити в STRYK строк видалення. Типово він не активований; встановлення строків видалення є обов’язком Клієнта як контролера.
Завантаження: завантажені файли перевіряються на шкідливе програмне забезпечення перед обробкою.
Контроль введення та протоколювання: протоколювання операцій, важливих для безпеки та предметної області; журнали не містять паролів, токенів або секретів доступу.
Контроль доступності: щоденні резервні копії, зашифровані та збережені в місці, відокремленому від продуктивного середовища; задокументовані процедури відновлення; обмеження анонімних запитів для захисту від перевантаження та зловживань.
Контроль розділення: розділення середовищ розробки, тестування та продуктивного середовища; відсутність робочих облікових даних у вихідному коді.
Організаційні заходи: зобов’язання щодо конфіденційності, обмеження адміністративного доступу уповноваженими особами, процедури оновлень безпеки та опрацювання інцидентів безпеки.