1. Сторони та предмет
- Ця Угода укладається між Замовником за Публічною офертою (далі — Володілець) і власником сервісу LTime (далі — Розпорядник) відповідно до частин четвертої та п’ятої статті 4 Закону України «Про захист персональних даних».
- Володілець доручає Розпоряднику обробку персональних даних, які Володілець і його Користувачі вносять у Школи, а Розпорядник обробляє їх лише в межах і для мети, визначених цією Угодою.
- Терміни в цій Угоді мають значення, наведені в Публічній оферті та Законі України «Про захист персональних даних».
2. Мета, характер і строк обробки
- Мета: надання Володільцю доступу до Сервісу для організації навчального процесу — розкладу, груп, відвідуваності, навчальних матеріалів і тестів, оплати навчання, зарплат викладачів, заявок і повідомлень.
- Характер обробки: зберігання, систематизація, відображення Користувачам відповідно до наданих їм прав, резервне копіювання, надсилання повідомлень, які налаштував Володілець, видалення.
- Облік для розрахунків: щоб виставляти рахунки за Тарифом, Школа щомісяця передає до Кабінету список Активних учнів (ідентифікатор, ім’я та кількість занять). Список потрібен, щоб Володілець міг перевірити рахунок, і використовується лише для цього.
- Строк: поки діє Ліцензія на Школу, і після її завершення — до видалення даних за розділом 9 цієї Угоди.
3. Категорії суб’єктів і даних
| Суб’єкти | Дані, які може вносити Володілець |
|---|---|
| Учні, зокрема неповнолітні | ПІБ, телефон, пошта, дата народження, фото профілю, контакти в месенджерах, групи, розклад, відвідуваність, результати тестів, сертифікати, рахунки й оплати, нотатки викладачів |
| Викладачі та працівники | ПІБ, телефон, пошта, фото профілю, розклад, ставки та нарахування оплати, права доступу |
| Особи, що залишили заявку | Ім’я, контакти, бажаний курс, зручні дні й час, нотатки менеджера |
| Інші Користувачі | Дані облікового запису та журнал дій у Школі |
Сервіс не призначений для особливих категорій даних (про здоров’я, етнічне походження, переконання, біометричних тощо). Володілець не вносить їх без явної згоди суб’єкта та виконання вимог законодавства щодо такої обробки.
4. Обов’язки Володільця
- Володілець визначає мету й склад даних, які вносить до Школи, і гарантує, що має законні підстави для їх обробки та передачі Розпоряднику.
- Для учнів, яким не виповнилося 14 років, Володілець отримує згоду батьків або інших законних представників; учні від 14 до 18 років дають згоду самостійно, якщо інше не передбачено законом.
- Володілець повідомляє суб’єктів про обробку їхніх даних у LTime, зокрема про залучення Розпорядника, і вносить лише дані, потрібні для навчального процесу.
- Володілець надає Користувачам права доступу відповідно до їхніх обов’язків і відповідає за дії Користувачів у Школі.
- Запити суб’єктів щодо їхніх даних розглядає Володілець; більшість із них він може виконати сам у Школі (переглянути, виправити, видалити дані).
5. Обов’язки Розпорядника
- Обробляти дані лише за документованим дорученням Володільця. Дорученням є ця Угода, налаштування й дії Володільця та Користувачів у Школі, а також письмові звернення Володільця до підтримки.
- Не використовувати дані Шкіл для власних цілей, маркетингу чи профілювання і не продавати їх.
- Забезпечувати конфіденційність: доступ до даних мають лише особи Розпорядника, яким він потрібен для надання послуг, і які зобов’язані зберігати таємницю.
- Вживати технічних і організаційних заходів захисту (розділ 7).
- Допомагати Володільцю виконувати запити суб’єктів, відповідати на запити Уповноваженого Верховної Ради України з прав людини і проводити оцінку ризиків, у межах наявної в Розпорядника інформації.
- Не передавати дані третім особам, крім субпідрядників за розділом 6 і випадків, прямо передбачених законом. Про запит державного органу щодо даних Школи Розпорядник повідомляє Володільця, якщо закон цього не забороняє.
6. Субпідрядники
Володілець надає загальний дозвіл на залучення таких субпідрядників:
| Субпідрядник | Функція | Місце обробки |
|---|---|---|
| Хостинг-провайдер | Сервери, бази даних Шкіл | Україна |
| Google Cloud (Google LLC) | Зберігання файлів Шкіл і резервних копій | Дата-центри Google |
| Telegram | Сповіщення, які Володілець увімкнув для Користувачів через бот LTime | ОАЕ та інші |
- Розпорядник укладає з субпідрядниками договори, що забезпечують захист даних не нижчий, ніж за цією Угодою, і відповідає за їх дії як за власні.
- Про нового субпідрядника Розпорядник повідомляє Володільця на пошту або в Кабінеті щонайменше за 14 днів. Якщо Володілець має обґрунтовані заперечення, він може відмовитися від Договору до залучення субпідрядника й отримати повернення оплати за невикористаний строк Ліцензії.
- Сервіси, які Володілець підключає до Школи сам за власними договорами (прийом оплат LiqPay чи Stripe, SMS-провайдер, Google Диск, власний домен), не є субпідрядниками Розпорядника: дані до них передаються за вказівкою й на відповідальність Володільця.
- AI-помічник надсилає до OpenAI лише назви напрямів і предметів школи для перевірки структури. Персональні дані до OpenAI не передаються.
7. Безпека та інциденти
- Розпорядник застосовує, зокрема, такі заходи: окрема база даних для кожної Школи; шифрування з’єднань (HTTPS); зберігання паролів лише у вигляді хешу; розмежування прав Користувачів у Школі; доступ до серверів лише для уповноважених осіб з персональними ключами; регулярне резервне копіювання й зберігання копій окремо від основних серверів; оновлення програмного забезпечення.
- Про порушення безпеки, що призвело до випадкового чи незаконного знищення, втрати, зміни, розголошення даних Школи або несанкціонованого доступу до них, Розпорядник повідомляє Володільця без зайвої затримки, але не пізніше ніж через 72 години після того, як дізнався про нього. Повідомлення містить відомі на той момент обставини, імовірні наслідки та вжиті заходи.
8. Передача даних за кордон
Бази даних Шкіл розміщені в Україні. Файли й резервні копії зберігаються в Google Cloud. Передача даних субпідрядникам за межі України здійснюється з дотриманням статті 29 Закону України «Про захист персональних даних» — до держав з належним рівнем захисту або за договорами, що містять стандартні гарантії захисту даних.
9. Повернення й видалення даних
- Після завершення Ліцензії або припинення Договору дані Школи зберігаються щонайменше 90 днів, щоб Володілець міг відновити роботу або отримати копію даних.
- Протягом цього строку Розпорядник на запит Володільця надає копію даних Школи в машиночитаному форматі протягом 30 днів після звернення.
- Після завершення строку Розпорядник може видалити Школу, попередивши Володільця на пошту не пізніше ніж за 14 днів. На запит Володільця Розпорядник видаляє Школу раніше.
- Видалені дані зникають з резервних копій у межах їх звичайного циклу заміни. Розпорядник може зберігати дані довше лише тоді, коли цього вимагає закон, і лише в потрібному для цього обсязі.
10. Інформація та перевірки
На запит Володільця Розпорядник надає інформацію, потрібну, щоб підтвердити виконання цієї Угоди: опис заходів безпеки, перелік субпідрядників, відомості про інциденти. Перевірки на місці можливі за попереднім погодженням, не частіше одного разу на рік, за рахунок Володільця й без доступу до даних інших клієнтів.
11. Відповідальність і строк дії
- Відповідальність сторін за цією Угодою визначається розділом «Відповідальність» Публічної оферти.
- Угода діє, поки діє Договір, а щодо обов’язків з видалення й конфіденційності — до їх повного виконання.
- Якщо умови цієї Угоди суперечать іншим частинам Договору в питаннях обробки персональних даних, переважає ця Угода.