მონაცემთა დამუშავების შეთანხმება

1. მხარეები და როლები

Controller / დამუშავებისთვის პასუხისმგებელი პირი: Kontroli-ს ბიზნეს მომხმარებელი, რომელიც განსაზღვრავს მის დოკუმენტებში არსებული პერსონალური მონაცემების დამუშავების მიზანსა და არსებით საშუალებებს.

Processor / დამუშავებაზე უფლებამოსილი პირი: შპს „ტირექს ოპს“, Kontroli.ge-ს ოპერატორი.

ეს DPA ავტომატურად შედის მომხმარებლის B2B მომსახურების შეთანხმებაში რეგისტრაციისას პირობების მიღებით.

2. დამუშავების საგანი, მიზანი და ხანგრძლივობა

Processor ამუშავებს მონაცემებს მხოლოდ Controller-ის მიერ არჩეული Kontroli ფუნქციების მისაწოდებლად: private storage/document management, AI analysis, deadline/obligation/reminder management, e-sign flow, notifications, billing-related technical administration, support, security, logging და incident response.

დამუშავება გრძელდება მომსახურების მოქმედების პერიოდში და მხოლოდ იმ დამატებითი retention პერიოდით, რომელიც საჭიროა უსაფრთხოების, backup cycle-ის, სამართლებრივი მოთხოვნის ან Controller-ის დოკუმენტირებული ინსტრუქციისთვის.

3. მონაცემთა სუბიექტები და კატეგორიები

მონაცემთა სუბიექტები შეიძლება იყვნენ Controller-ის თანამშრომლები, კლიენტები, მიმწოდებლები, კონტრაგენტები, ხელმომწერები და სხვა პირები, რომელთა მონაცემებს Controller კანონიერად ამუშავებს.

კატეგორიები შეიძლება მოიცავდეს სახელს, საკონტაქტო/სამუშაო ინფორმაციას, დოკუმენტის შინაარსს, ხელშეკრულების პირობებს, თანხებს/თარიღებს, ხელმოწერის evidence metadata-ს, IP/user-agent/timestamps/hashes-ს და Controller-ის მიერ ატვირთულ სხვა მონაცემებს.

Controller არ უნდა გადასცეს განსაკუთრებული კატეგორიის ან განსაკუთრებით მაღალი რისკის მონაცემები, თუ ეს აუცილებელი არ არის და არ არსებობს შესაბამისი სამართლებრივი საფუძველი და რისკის შეფასება.

4. დოკუმენტირებული ინსტრუქციები

Processor მონაცემებს ამუშავებს მხოლოდ Controller-ის დოკუმენტირებული ინსტრუქციების შესაბამისად. ასეთ ინსტრუქციად ითვლება ეს DPA, მომსახურების პირობები, workspace-ში Controller-ის მიერ შესრულებული მოქმედებები და წერილობითი მხარდაჭერის მოთხოვნები.

თუ Processor მიიჩნევს, რომ ინსტრუქცია ეწინააღმდეგება მოქმედ სამართალს, იგი აცნობებს Controller-ს, რამდენადაც ეს კანონით ნებადართულია, და შეუძლია შეაჩეროს შესაბამისი დამუშავება სამართლებრივი საკითხის გარკვევამდე.

5. კონფიდენციალურობა და უსაფრთხოება

Processor უზრუნველყოფს, რომ მონაცემებზე წვდომის მქონე პირები ექვემდებარებოდნენ კონფიდენციალურობის ვალდებულებას და ჰქონდეთ მხოლოდ ფუნქციისთვის აუცილებელი წვდომა.

Processor იყენებს რისკის შესაბამის ტექნიკურ და ორგანიზაციულ ზომებს, მათ შორის workspace isolation/RLS, private storage, TLS, server-side secret management, rate limiting, OTP/token controls, logging, document hashes და წვდომის მინიმიზაციას.

6. ქვე-დამმუშავებლები

Controller ანიჭებს Processor-ს ზოგად წერილობით უფლებამოსილებას გამოიყენოს გამოქვეყნებულ სიაში მითითებული ქვე-დამმუშავებლები მომსახურების აუცილებელი ნაწილებისთვის.

Processor უზრუნველყოფს, რომ ქვე-დამმუშავებელს დაეკისროს მონაცემთა დაცვის არსებითად შესაბამისი ვალდებულებები. არსებითი ახალი ქვე-დამმუშავებლის დამატებისას სია განახლდება და, როცა ცვლილება მნიშვნელოვნად ცვლის რისკს ან დამუშავების მდებარეობას, მოქმედ Controller-ებს გონივრულად წინასწარ ეცნობებათ.

თუ Controller დასაბუთებულად ეწინააღმდეგება ახალ ქვე-დამმუშავებელს მონაცემთა დაცვის რისკის გამო, მხარეები შეეცდებიან ალტერნატივის მოძებნას; თუ პრაქტიკული ალტერნატივა არ არსებობს, შესაბამისი ფუნქცია ან მომსახურება შეიძლება შეწყდეს.

7. საერთაშორისო გადაცემა

Processor არ განახორციელებს საერთაშორისო გადაცემას შესაბამისი სამართლებრივი საფუძვლის გარეშე. საქართველოს adequacy ნუსხის სახელმწიფოში გადაცემა შეიძლება განხორციელდეს მოქმედი კანონით გათვალისწინებული პირობების დაცვით.

თუ მიმღები მდებარეობს ისეთ სახელმწიფოში, რომელიც adequacy ნუსხაში არ შედის, Processor/Controller უზრუნველყოფენ „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონის 37-ე მუხლით გათვალისწინებულ საფუძველს და, როცა ხელშეკრულებით გარანტიებზე დაყრდნობა წინასწარ ნებართვას საჭიროებს, ასეთი გადაცემა არ უნდა დაიწყოს შესაბამისი სახელმწიფო აუდიტის სამსახურის ნებართვის მიღებამდე.

8. მონაცემთა სუბიექტის მოთხოვნები

Processor, მის ხელთ არსებული ინფორმაციისა და ფუნქციონალის ფარგლებში, დაეხმარება Controller-ს მონაცემთა სუბიექტის წვდომის, ასლის, გასწორების, წაშლის, დაბლოკვის, დამუშავების შეწყვეტის და სხვა კანონით გათვალისწინებული მოთხოვნების შესრულებაში.

თუ მოთხოვნა პირდაპირ Processor-თან შევა კლიენტის დოკუმენტში არსებულ მონაცემზე, Processor, გარდა კანონით განსხვავებული მოთხოვნისა, გადაამისამართებს/აცნობებს შესაბამის Controller-ს და თვითნებურად არ შეცვლის Controller-ის მონაცემს.

9. ინციდენტები

Processor აღრიცხავს მის კონტროლქვეშ აღმოჩენილ პერსონალურ მონაცემთა ინციდენტს და შესაბამის Controller-ს აცნობებს დაუყოვნებლივ, ზედმეტი დაყოვნების გარეშე. შეტყობინებაში, ხელმისაწვდომობის მიხედვით, მიეწოდება ინციდენტის დრო/სახე, სავარაუდო კატეგორიები და მოცულობა, შესაძლო შედეგები და მიღებული/დაგეგმილი ზომები.

Processor გონივრულად დაეხმარება Controller-ს სახელმწიფო აუდიტის სამსახურისთვის 72-საათიანი შეტყობინებისა და, საჭიროების შემთხვევაში, მონაცემთა სუბიექტების ინფორმირების ვალდებულებების შესრულებაში.

10. შესაბამისობის ინფორმაცია და აუდიტი

Processor Controller-ს მოთხოვნის საფუძველზე მიაწვდის გონივრულად საჭირო ინფორმაციას ამ DPA-სა და მონაცემთა დაცვის ვალდებულებებთან შესაბამისობის დასადასტურებლად, უსაფრთხოების და სხვა მომხმარებლების კონფიდენციალურობის დარღვევის გარეშე.

Controller-ის audit მოთხოვნა უნდა იყოს პროპორციული, წინასწარ შეთანხმებული და ჩვეულებრივ ეფუძნებოდეს დოკუმენტურ/დისტანციურ შემოწმებას. ადგილზე ან განსაკუთრებული შემოწმება შეიძლება შეთანხმდეს მნიშვნელოვანი ინციდენტის ან დასაბუთებული მაღალი რისკისას.

11. მომსახურების დასრულება, დაბრუნება და წაშლა

მომსახურების შეწყვეტისას Controller-ს შეუძლია მოითხოვოს workspace export. ამის შემდეგ Processor წაშლის ან Controller-ს გადასცემს მის სახელით დამუშავებულ მონაცემებს შეთანხმებული პროცედურით და წაშლის ასლებს, გარდა იმ ნაწილისა, რომლის შენახვაც კანონით სავალდებულოა ან რომელიც დროებით რჩება ტექნიკურ backup retention cycle-ში.

12. პასუხისმგებლობა და მოქმედი სამართალი

თითოეული მხარე პასუხისმგებელია მის მიერ განსაზღვრულ სამართლებრივ ვალდებულებებზე. Controller პასუხისმგებელია მონაცემის შეგროვებისა და Kontroli-სთვის ინსტრუქციის კანონიერებაზე; Processor პასუხისმგებელია მის მიერ მიღებული ინსტრუქციის ფარგლებში უსაფრთხო და კანონიერი დამუშავების უზრუნველყოფაზე.

DPA-ზე ვრცელდება საქართველოს სამართალი და იგი იკითხება მომსახურების პირობებთან ერთად.