Угода користувача
Угода про обробку персональних даних
Дата набрання чинності: 18 вересня 2026 року.
Ця Угода про обробку персональних даних (“Угода”) встановлює умови, на яких Elixaris обробляє персональні дані у тих випадках, коли така обробка здійснюється від імені та за Документованими інструкціями клінік, аптек, медичних закладів, спеціалістів та інших бізнес-клієнтів, які укладають з Elixaris договір щодо постачання товарів, використання бізнес-акаунта або отримання інших відповідних послуг (“Бізнес-клієнт”).
Ця Угода є невід’ємною частиною відповідного договору між Elixaris та Бізнес-клієнтом (“Основний договір”) та застосовується з моменту, коли Бізнес-клієнт уклав Основний договір або іншим належним чином погодив застосування цієї Угоди, виключно щодо тих операцій з Персональними даними, у межах яких Бізнес-клієнт виступає Контролером, а Elixaris — Обробником. Метою цієї Угоди є визначення умов, на яких Elixaris обробляє персональні дані від імені Бізнес-клієнта, а також відповідних обов’язків сторін щодо захисту таких даних.
- Визначення
Терміни “персональні дані”, “обробка”, “суб’єкт даних”, “контролер”, “обробник”, “субобробник” та “порушення захисту персональних даних” мають значення, визначене застосовним законодавством про захист персональних даних. Для цілей цієї Угоди термін “Контролер” включає також “володільця персональних даних” у розумінні законодавства України, а термін “Обробник” — “розпорядника персональних даних” у розумінні законодавства України.
“Персональні дані Бізнес-клієнта” означають персональні дані, які Бізнес-клієнт або особа, що діє від його імені, передає, робить доступними або іншим чином доручає обробляти Elixaris та які Elixaris обробляє від імені і за документованими інструкціями Бізнес-клієнта в межах цієї Угоди. “Документовані інструкції” означають інструкції Бізнес-клієнта щодо обробки Персональних даних Бізнес-клієнта, які містяться в Основному договорі, цій Угоді та її додатках або надаються Бізнес-клієнтом у письмовій формі через погоджені сторонами засоби комунікації та приймаються Elixaris до виконання.
“Дані про здоров’я” означають персональні дані, пов’язані з фізичним або психічним здоров’ям фізичної особи, які розкривають інформацію про стан її здоров’я, включаючи, зокрема, інформацію про симптоми, захворювання, діагнози, лікування, медичні висновки, рецепти та приймання лікарських засобів. “Застосовне законодавство про захист даних” означає законодавство, яке застосовується до відповідної обробки, включаючи, де застосовно, Регламент (ЄС) 2016/679 (“GDPR”), національне законодавство держав ЄС/ЄЕЗ, законодавство України про захист персональних даних та інші обов’язкові норми відповідної юрисдикції.
- Набрання чинності та строк дії
Дана Угода застосовується до Бізнес-клієнта з моменту набрання чинності Основним договором або з моменту іншого належного погодження Бізнес-клієнтом застосування цієї Угоди та діє протягом усього періоду, коли Elixaris обробляє Персональні дані Бізнес-клієнта від імені Бізнес-клієнта, включаючи період, необхідний для їх повернення або видалення відповідно до розділу 11 цієї Угоди, якщо інше не вимагається Застосовним законодавством про захист даних або іншим застосовним законодавством.
- Статус і ролі сторін
Якщо Elixaris обробляє Персональні дані Бізнес-клієнта виключно від імені та за Документованими інструкціями Бізнес-клієнта, Бізнес-клієнт виступає Контролером, а Elixaris — Обробником таких персональних даних. Дана Угода не застосовується до обробки, яку Elixaris здійснює як самостійний Контролер для самостійно визначених ним цілей, зокрема для прийняття та виконання замовлення, доставки, виставлення рахунків, бухгалтерського та податкового обліку, виконання законодавчих обов’язків, розгляду претензій, гарантійних питань, запобігання шахрайству та захисту прав Elixaris. У таких випадках кожна сторона самостійно відповідає за виконання своїх обов’язків як Контролера щодо відповідної обробки, включаючи належне інформування суб’єктів даних та визначення правової підстави для обробки, забезпечення реалізації прав суб’єктів даних та виконання інших вимог Застосовного законодавства про захист даних. Якщо щодо окремої Обробки Elixaris виходить за межі Документованих інструкцій Бізнес-клієнта та самостійно визначає цілі й основні засоби такої Обробки, Elixaris виступає Контролером щодо такої Обробки в обсязі, передбаченому Застосовним законодавством про захист даних. Якщо щодо окремої Обробки Сторони спільно визначають її цілі та основні засоби, така Обробка не регулюється цією Угодою як відносини між Контролером та Обробником і, за необхідності, має бути окремо врегульована Сторонами відповідно до Застосовного законодавства про захист даних.
3.1. Обов’язки Бізнес-клієнта Бізнес-клієнт зобов’язується:
● передавати Elixaris лише ті Персональні дані Бізнес-клієнта, які необхідні для погодженого процесу, та забезпечувати, щоб склад і обсяг таких даних були відповідними, адекватними та ненадмірними щодо визначеної мети Обробки;
● забезпечувати наявність належної правової підстави для Обробки Персональних даних Бізнес-клієнта відповідно до Застосовного законодавства про захист даних, включаючи їх збирання та передавання Elixaris для Обробки від імені Бізнес-клієнта;
● належно інформувати суб’єктів даних про обробку їхніх персональних даних та отримувати згоду, якщо саме згода є необхідною правовою підставою, а також забезпечувати виконання інших вимог щодо прозорості Обробки, покладених на Бізнес-клієнта як Контролера;
● забезпечувати точність, достовірність та актуальність Персональних даних Бізнес-клієнта, які передаються Elixaris;
● не передавати Дані про здоров’яабо інші спеціальні категорії персональних даних, якщо це прямо не передбачено окремо погодженим сторонами процесом, відображеним у Додатку 1 до цієї Угоди або іншому письмовому документі Сторін, та якщо Бізнес-клієнт не забезпечив належну правову підставу для такої Обробки й виконання спеціальних вимог Застосовного законодавства про захист даних щодо відповідної категорії даних;
● надавати Elixaris лише законні, чіткі та Документовані інструкції щодо обробки, які відповідають Застосовному законодавству про захист даних та не вимагають від Elixaris здійснення незаконної Обробки; ● забезпечувати належне управління доступом своїх працівників та інших уповноважених осіб до відповідних систем і бізнес-акаунтів, у тому числі своєчасно надавати, змінювати та припиняти відповідні права доступу.
3.2. Обов’язки Elixaris
У межах Обробки Персональних даних Бізнес-клієнта, яку Elixaris здійснює від імені Бізнес-клієнта, Elixaris:
● обробляє Персональні дані Бізнес-клієнта виключно в межах погоджених цілей та обсягу і лише на підставі Документованих інструкцій Бізнес-клієнта, у тому числі щодо міжнародного передавання персональних даних, крім випадків, коли інше прямо вимагається законом. У такому випадку Elixaris, якщо це не заборонено законом, повідомляє Бізнес-клієнта про відповідну законодавчу вимогу до початку такої Обробки;
● не використовує Персональні дані Бізнес-клієнта для власних цілей та не здійснює їх Обробку поза межами Документованих інструкцій Бізнес-клієнта. Створення технічних або резервних копій допускається лише в обсязі, необхідному для виконання Документованих інструкцій, забезпечення безпеки та безперервності роботи систем, резервного копіювання або виконання вимог законодавства;
● забезпечує, щоб особи, які мають доступ до Персональних даних Бізнес-клієнта, були пов’язані зобов’язаннями щодо конфіденційності або відповідним законодавчим обов’язком щодо збереження конфіденційності та отримували доступ лише в обсязі, необхідному для виконання їхніх функцій;
● вживає належних технічних та організаційних заходів захисту відповідно до Додатка 2 та вимог Застосовного законодавства про захист даних з урахуванням характеру, обсягу, контексту і цілей Обробки та відповідних ризиків для прав і свобод суб’єктів даних;
● з урахуванням характеру Обробки та наскільки це можливо шляхом застосування відповідних технічних та організаційних заходів надає Бізнес-клієнту розумну допомогу у виконанні його обов’язків щодо реалізації прав суб’єктів даних відповідно до Застосовного законодавства про захист даних;
● надає розумну допомогу щодо оцінки впливу на захист даних, консультацій з наглядовим органом та виконання інших обов’язків, пов’язаних із безпекою Обробки, реагуванням на порушення захисту персональних даних, оцінкою впливу на захист даних та попередніми консультаціями з компетентним наглядовим органом, з урахуванням характеру Обробки та інформації, доступної Elixaris, якщо така допомога стосується обробки, яку Elixaris здійснює від імені Бізнес-клієнта;
● залучає Субобробників виключно в порядку та на умовах, передбачених розділом 9 цієї Угоди;
● надає Бізнес-клієнту інформацію, необхідну для підтвердження виконання обов’язків Elixaris як Обробника, та забезпечує можливість проведення аудитів у порядку та на умовах, передбачених розділом 10 цієї Угоди;
● після завершення відповідної Обробки повертає або видаляє Персональні дані Бізнес-клієнта відповідно до розділу 11 даної Угоди.
Якщо Elixaris вважає, що Документована інструкція Бізнес-клієнта порушує Застосовне законодавство про захист даних, Elixaris повідомляє про це Бізнес-клієнта без невиправданої затримки та може призупинити виконання такої інструкції до її уточнення або приведення у відповідність до Застосовного законодавства про захист даних.
- Предмет, характер і межі обробки
Elixaris обробляє Персональні дані Бізнес-клієнта від імені Бізнес-клієнта лише для цілей і в обсязі, необхідних для виконання Документованих інструкцій Бізнес-клієнта та надання функціоналу, для якого відповідно до Основного договору, цієї Угоди Elixaris виступає Обробником персональних даних. Детальна інформація про предмет, тривалість, характер і цілі Обробки, категорії суб’єктів даних, категорії персональних даних, одержувачів та строки зберігання наведена у Додатку 1. Elixaris не має права змінювати визначені Бізнес-клієнтом цілі Обробки або самостійно визначати нові цілі Обробки Персональних даних Бізнес-клієнта, крім випадків, коли така Обробка прямо вимагається застосовним законодавством. Обробка та передавання Даних про здоров’я не належать до стандартного обсягу Обробки за цією Угодою та допускаються лише в межах окремо погодженого Сторонами процесу, відображеного у Додатку 1 або іншому письмовому документі Сторін, після визначення ролей Сторін, мети та обсягу такої Обробки, належної правової підстави, а якщо застосовується GDPR — також відповідної умови для Обробки спеціальних категорій персональних даних згідно зі статтею 9 GDPR, та впровадження необхідних технічних і організаційних заходів захисту. Бізнес-клієнт не повинен передавати Elixaris Персональні дані Бізнес-клієнта, які не передбачені погодженим процесом Обробки, зокрема Дані про здоров’я або інші спеціальні категорії персональних даних, якщо їх Обробка не була попередньо окремо погоджена Сторонами відповідно до цієї Угоди. 5. Права суб’єктів даних і запити Бізнес-клієнт як Контролер відповідає за розгляд запитів суб’єктів даних щодо реалізації їхніх прав відповідно до Застосовного законодавства про захист даних щодо Персональних даних Бізнес-клієнта, які Elixaris обробляє від його імені. Якщо Elixaris отримує такий запит безпосередньо, Elixaris без невиправданої затримки передає його Бізнес-клієнту та, з урахуванням характеру Обробки і наскільки це можливо за допомогою належних технічних та організаційних заходів, надає Бізнес-клієнту допомогу, необхідну для виконання його обов’язків щодо відповідного запиту суб’єкта даних. Elixaris не відповідає на такий запит по суті від імені Бізнес-клієнта без його Документованої інструкції, крім випадків, коли надання відповіді прямо вимагається від Elixaris Застосовним законодавством про захист даних. Бізнес-клієнт зобов’язаний своєчасно надавати Elixaris інформацію та Документовані інструкції, необхідні для виконання запиту суб’єкта даних у строки, встановлені Застосовним законодавством про захист даних. Якщо запит стосується персональних даних та обробки, яку Elixaris здійснює як самостійний Контролер, Elixaris розглядає його самостійно відповідно до Застосовного законодавства про захист даних та власного Повідомлення про обробку персональних даних. Якщо один запит стосується одночасно Обробки, яку Elixaris здійснює як Обробник, та Обробки, яку Elixaris здійснює як самостійний Контролер, кожна Сторона відповідає за ту частину запиту, яка стосується Обробки в межах її відповідної ролі. 6. Конфіденційність Elixaris зберігає конфіденційність Персональних даних Бізнес-клієнта, які обробляються від імені Бізнес-клієнта, та забезпечує, щоб працівники, підрядники та інші особи, уповноважені Elixaris на Обробку таких даних, які мають доступ до Персональних даних Бізнес-клієнта, були пов’язані належними зобов’язаннями щодо конфіденційності або відповідним передбаченим законом обов’язком щодо збереження конфіденційності та отримували доступ до таких даних лише в обсязі, необхідному для виконання їхніх функцій.. Elixaris не розкриває Персональні дані Бізнес-клієнта третім особам, крім випадків, передбачених цією Угодою, Основним договором, Документованими інструкціями Бізнес-клієнта або вимогами закону. Особи, уповноважені Elixaris на Обробку Персональних даних Бізнес-клієнта, здійснюють таку Обробку лише відповідно до Документованих інструкцій Бізнес-клієнта, переданих їм через Elixaris, та не мають права використовувати такі дані для власних цілей, крім випадків, прямо передбачених застосовним законодавством. 7. Безпека персональних даних Elixaris застосовує належні технічні та організаційні заходи, що забезпечують рівень захисту, відповідний ризику, з урахуванням сучасного рівня розвитку технологій, витрат на впровадження, характеру, обсягу, контексту і цілей Обробки, а також імовірності та серйозності ризиків для прав і свобод суб’єктів даних. Основні заходи наведені у Додатку 2. Elixaris може змінювати та вдосконалювати заходи безпеки за умови, що загальний рівень захисту не буде істотно знижений. Залежно від характеру та ризиків конкретної Обробки такі заходи включають, де це доцільно та застосовно: псевдонімізацію та шифрування персональних даних; забезпечення постійної конфіденційності, цілісності, доступності та стійкості систем і сервісів Обробки; можливість своєчасного відновлення доступності персональних даних та доступу до них після фізичного або технічного інциденту; а також регулярне тестування, оцінювання та перевірку ефективності технічних і організаційних заходів захисту. Під час визначення належного рівня безпеки Elixaris враховує, зокрема, ризики випадкового або незаконного знищення, втрати, зміни, несанкціонованого розкриття Персональних даних Бізнес-клієнта або доступу до них. Elixaris регулярно переглядає застосовувані технічні та організаційні заходи та, за необхідності, оновлює їх з урахуванням зміни ризиків, технологій, характеру Обробки та використовуваної інфраструктури. 8. Порушення захисту персональних даних Якщо Elixaris стає відомо про Порушення захисту персональних даних, що стосується Персональних даних Бізнес-клієнта, Elixaris повідомляє Бізнес-клієнта без невиправданої затримки після того, як йому стало відомо про таке Порушення захисту персональних даних. Якщо встановлено, що Порушення захисту персональних даних стосується Персональних даних Бізнес-клієнта, Elixaris, де це практично можливо, надає попереднє повідомлення протягом 24 годин з моменту встановлення такої обставини. Якщо на момент первинного повідомлення вся необхідна інформація ще недоступна, Elixaris надає її поетапно без невиправданої подальшої затримки у міру її отримання. Повідомлення містить настільки повну інформацію, наскільки вона доступна Elixaris на відповідний момент, зокрема інформацію про характер порушення, категорії та, де це можливо, приблизну кількість відповідних суб’єктів даних, категорії та приблизну кількість відповідних записів Персональних даних Бізнес-клієнта, ймовірні наслідки Порушення захисту персональних даних, вжиті або заплановані заходи для усунення Порушення захисту персональних даних та, де це можливо, мінімізації його можливих негативних наслідків, та контактну особу для подальшої взаємодії. Elixaris документує Порушення захисту персональних даних, що стосуються Персональних даних Бізнес-клієнта, включаючи відомі обставини такого порушення, його наслідки та вжиті заходи, в обсязі, необхідному відповідно до Застосовного законодавства про захист даних. Elixaris надає необхідну з урахуванням характеру Обробки та доступної Elixaris інформації допомогу Бізнес-клієнту у виконанні його обов’язків щодо повідомлення компетентного наглядового органу або суб’єктів даних, якщо відповідний обов’язок покладений на Бізнес-клієнта як контролера. Elixaris не здійснює повідомлення компетентного наглядового органу або суб’єктів даних від імені Бізнес-клієнта без відповідної Документованої інструкції Бізнес-клієнта, крім випадків, коли такий обов’язок прямо покладений на Elixaris застосовним законодавством. 9. Субобробники Бізнес-клієнт надає Elixaris загальний попередній дозвіл на залучення Субобробників для здійснення окремих операцій з Обробки Персональних даних Бізнес-клієнта від імені Бізнес-клієнта на умовах цього розділу. Перед залученням Субобробника Elixaris вживає належних заходів для перевірки того, що відповідний Субобробник надає достатні гарантії впровадження належних технічних та організаційних заходів і здійснюватиме Обробку відповідно до вимог цієї Угоди та Застосовного законодавства про захист даних. Актуальний перелік Субобробників розміщується на Сайті за адресою [посилання] та містить щонайменше найменування Субобробника, характер або мету залучення та місце Обробки персональних даних. Elixaris повідомляє Бізнес-клієнта про заплановане залучення нового Субобробника або заміну наявного не пізніше ніж за 30 календарних днів до такого залучення або заміни за допомогою електронного повідомлення, повідомлення у бізнес-акаунті або іншого погодженого Сторонами засобу комунікації, що дозволяє Бізнес-клієнту своєчасно ознайомитися зі зміною та реалізувати право на заперечення, якщо інший строк не обумовлений терміновими вимогами безпеки чи законодавства. У такому винятковому випадку Elixaris повідомляє Бізнес-клієнта про відповідну зміну настільки завчасно, наскільки це практично можливо, або без невиправданої затримки після її здійснення, якщо попереднє повідомлення було неможливим. Бізнес-клієнт може протягом цього строку заявити письмове та обґрунтоване заперечення, пов’язане виключно з ризиками для захисту Персональних даних Бізнес-клієнта або невідповідністю відповідного Субобробника Застосовному законодавству про захист даних. Сторони добросовісно намагатимуться усунути причину заперечення або погодити обґрунтовано доступну альтернативу. Якщо прийнятне рішення не буде знайдено, Бізнес-клієнт може припинити відповідну послугу або Основний договір лише в частині послуг, для надання яких залучення відповідного Субобробника є необхідним, без штрафу. Elixaris забезпечує, щоб кожний Субобробник був залучений на підставі письмового договору або іншого юридично обов’язкового документа та був пов’язаний зобов’язаннями щодо захисту персональних даних, які є не менш захисними та, у відповідному обсязі, передбачають ті самі обов’язки щодо захисту даних, що покладені на Elixaris за цією Угодою, зокрема щодо конфіденційності, безпеки, Обробки за Документованими інструкціями, реагування на Порушення захисту персональних даних, сприяння реалізації прав суб’єктів даних, видалення або повернення даних та міжнародного передавання персональних даних. Elixaris залишається відповідальним перед Бізнес-клієнтом за виконання Субобробником обов’язків щодо захисту Персональних даних Бізнес-клієнта в обсязі, передбаченому Застосовним законодавством про захист даних. Якщо залучення Субобробника передбачає міжнародне передавання Персональних даних Бізнес-клієнта, Elixaris забезпечує виконання вимог розділу 12 цієї Угоди до початку такого передавання. 10. Аудит і підтвердження відповідності На обґрунтований запит Бізнес-клієнта Elixaris надає Бізнес-клієнту інформацію, достатню для підтвердження виконання цієї Угоди та обов’язків Elixaris як Обробника відповідно до Застосовного законодавства про захист даних, зокрема через опитувальник щодо безпеки, наявні сертифікати, звіти незалежних аудиторів або інші доречні матеріали. Якщо така інформація обґрунтовано є недостатньою, Бізнес-клієнт може провести аудит самостійно або із залученням незалежного аудитора, уповноваженого Бізнес-клієнтом, не частіше одного разу на 12 місяців, крім випадків Порушення захисту персональних даних або обґрунтованої підозри щодо істотного порушення цієї Угоди чи Застосовного законодавства про захист даних, а також якщо проведення аудиту вимагається компетентним наглядовим органом або застосовним законодавством. Аудит проводиться з письмовим повідомленням щонайменше за 30 календарних днів до запланованої дати аудиту, у робочий час, без необґрунтованого втручання в операційну діяльність Elixaris та з дотриманням конфіденційності. Вимога щодо строку попереднього повідомлення не застосовується, якщо інший строк прямо вимагається компетентним наглядовим органом, застосовним законодавством або об’єктивно необхідний у зв’язку з Порушенням захисту персональних даних чи іншим істотним ризиком для Персональних даних Бізнес-клієнта. Аудитор не повинен бути прямим конкурентом Elixaris та повинен бути пов’язаний належними зобов’язаннями щодо конфіденційності. Аудит обмежується системами, процесами та документацією, що безпосередньо стосуються Обробки Персональних даних Бізнес-клієнта за цією Угодою, і не повинен надавати Бізнес-клієнту або його аудитору доступ до даних інших клієнтів Elixaris, конфіденційної інформації, що не стосується предмета аудиту, або інформації, розкриття якої може створити ризик для безпеки систем Elixaris. Elixaris має право застосовувати розумні заходи для захисту такої інформації, за умови що такі заходи не перешкоджають Бізнес-клієнту отримати інформацію, необхідну для перевірки дотримання цієї Угоди та Застосовного законодавства про захист даних. Витрати на аудит несе Бізнес-клієнт, крім випадку, коли аудит підтвердив істотне порушення цієї Угоди або Застосовного законодавства про захист даних з боку Elixaris; у такому випадку розумні витрати на аудит відшкодовує Elixaris. Elixaris веде та, у випадках і протягом строків, передбачених Застосовним законодавством про захист даних, зберігає документацію щодо Обробки Персональних даних Бізнес-клієнта та застосованих технічних і організаційних заходів захисту в обсязі, необхідному для підтвердження виконання цієї Угоди та вимог Застосовного законодавства про захист даних. Elixaris співпрацює з Бізнес-клієнтом у межах аудиту та надає розумно необхідне сприяння для підтвердження дотримання обов’язків Elixaris як Обробника. 11. Зберігання, повернення та видалення даних Після припинення Основного договору або завершення надання послуг, пов’язаних з Обробкою Персональних даних Бізнес-клієнта, від імені Бізнес-клієнта Elixaris, за вибором Бізнес-клієнта, повертає Бізнес-клієнту Персональні дані Бізнес-клієнта та видаляє наявні у Elixaris копії таких даних або видаляє такі дані та всі наявні копії без їх повернення не пізніше ніж протягом 30 календарних днів, якщо їх подальше зберігання не вимагається законом. Бізнес-клієнт повідомляє Elixaris про свій вибір щодо повернення або видалення Персональних даних Бізнес-клієнта до завершення відповідної Обробки або протягом 10 календарних днів після отримання відповідного повідомлення від Elixaris. Якщо Бізнес-клієнт не повідомив про свій вибір у зазначений строк, Elixaris має право видалити Персональні дані Бізнес-клієнта відповідно до цього розділу, якщо їх подальше зберігання не вимагається застосовним законодавством. Якщо застосовне законодавство вимагає подальшого зберігання окремих Персональних даних Бізнес-клієнта, Elixaris зберігає такі дані лише протягом передбаченого законом строку та лише для цілей виконання відповідної законодавчої вимоги, обмежує їх подальшу Обробку і продовжує застосовувати до них вимоги цієї Угоди щодо конфіденційності та безпеки. Elixaris повідомляє Бізнес-клієнта про таку вимогу, якщо це не заборонено застосовним законодавством. Дані у резервних копіях можуть зберігатися до завершення стандартного циклу резервного копіювання та не підлягають негайному видаленню з резервної копії, якщо їх вибіркове видалення є технічно неможливим або потребує непропорційних заходів, за умови, що вони залишаються захищеними, ізольованими від звичайного використання, не використовуються для інших цілей та видаляються відповідно до встановленого циклу. Якщо резервну копію, яка містить такі дані, буде відновлено до завершення строку її зберігання, Elixaris забезпечує повторне застосування відповідного запиту на видалення до відновлених даних. Elixaris забезпечує видалення або, залежно від відповідної Документованої інструкції, повернення Персональних даних Бізнес-клієнта всіма Субобробниками після завершення їхньої участі в обробці, якщо подальше зберігання не вимагається законом. На обґрунтований запит Бізнес-клієнта Elixaris підтверджує завершення повернення та/або видалення Персональних даних Бізнес-клієнта відповідно до цього розділу. Цей розділ застосовується виключно до Персональних даних Бізнес-клієнта, які Elixaris обробляє як Обробник, та не поширюється на персональні дані, які Elixaris правомірно обробляє як самостійний Контролер відповідно до розділу 3 цієї Угоди. 12. Міжнародні передачі Якщо Персональні дані Бізнес-клієнта передаються за межі країни або території, для якої Застосовне законодавство про захист даних встановлює спеціальні вимоги до міжнародної передачі даних, кожна Сторона в межах своєї відповідної ролі забезпечує дотримання вимог, застосовних до такої міжнародної передачі, та застосування передбаченого законом механізму передачі, якщо такий механізм є необхідним. Elixaris здійснює міжнародну передачу Персональних даних Бізнес-клієнта, у тому числі Субобробнику, лише відповідно до Документованих інструкцій Бізнес-клієнта, цієї Угоди та Застосовного законодавства про захист даних, крім випадків, коли відповідна передача прямо вимагається застосовним законодавством. Якщо до передачі застосовується GDPR і персональні дані передаються до третьої країни або міжнародної організації, така передача здійснюється відповідно до Глави V GDPR. Якщо Європейською Комісією прийнято чинне рішення про належний рівень захисту щодо відповідної країни, території, сектору або міжнародної організації, передача може здійснюватися на підставі такого рішення. За відсутності такого рішення Сторони забезпечують застосування належних гарантій, передбачених GDPR, зокрема, якщо це застосовно, Стандартних договірних положень Європейської Комісії щодо міжнародної передачі персональних даних (Standard Contractual Clauses — SCCs), у відповідному модулі. Якщо для відповідної передачі застосовуються SCCs або інший механізм, що цього вимагає, Сторони проводять необхідну оцінку обставин передачі та, за потреби, впроваджують додаткові технічні, організаційні та/або договірні заходи для забезпечення належного рівня захисту Персональних даних Бізнес-клієнта. Якщо до міжнародної передачі застосовується законодавство України, така передача здійснюється відповідно до вимог статті 29 Закону України «Про захист персональних даних», зокрема за умови забезпечення належного рівня захисту персональних даних відповідною державою або за наявності іншої передбаченої законом підстави чи належних гарантій для такої передачі. Залучення Субобробника, яке передбачає міжнародну передачу Персональних даних Бізнес-клієнта, здійснюється одночасно з дотриманням вимог розділів 9 та 12 цієї Угоди. 13. Запити державних органів Якщо Elixaris отримує юридично обов’язковий запит, вимогу, рішення або інший обов’язковий припис державного, судового або іншого компетентного органу щодо Персональних даних Бізнес-клієнта, Elixaris, якщо це не заборонено застосовним законодавством, до розкриття відповідних даних або, якщо попереднє повідомлення неможливе,, без невиправданої затримки повідомляє про такий запит Бізнес-клієнта та, наскільки це дозволено, надає інформацію про орган, що направив запит, його правову підставу, характер і обсяг запитуваних даних. Elixaris перевіряє компетенцію відповідного органу, правову підставу, обов’язковість та обсяг запиту та надає лише ті Персональні дані Бізнес-клієнта та лише в тому обсязі та надає лише ті персональні дані, розкриття яких є юридично обов’язковим. Якщо Elixaris має обґрунтовані підстави вважати, що відповідний запит є незаконним, надмірним або виходить за межі повноважень органу, Elixaris, наскільки це допускається застосовним законодавством та є обґрунтовано можливим, використовує доступні засоби для оскарження такого запиту або обмеження його обсягу до здійснення розкриття. Якщо Elixaris заборонено повідомляти Бізнес-клієнта про відповідний запит, Elixaris, наскільки це допускається законом, докладає розумних зусиль для отримання дозволу на таке повідомлення та повідомляє Бізнес-клієнта без невиправданої затримки після припинення відповідної заборони. Elixaris документує отримані запити компетентних органів та здійснені у відповідь розкриття Персональних даних Бізнес-клієнта в обсязі, передбаченому Застосовним законодавством про захист даних, і, якщо це дозволено законом, надає відповідну інформацію Бізнес-клієнту на його обґрунтований запит. Якщо до Обробки застосовується GDPR та запит надходить від судового, адміністративного або іншого органу третьої країни, будь-яка передача або розкриття Персональних даних Бізнес-клієнта здійснюється з урахуванням вимог Глави V GDPR, включаючи статтю 48 GDPR, якщо вона застосовується. 14. Строк дії, пріоритет та інші положення Дана Угода діє протягом строку, протягом якого Elixaris обробляє Персональні дані Бізнес-клієнта, та після припинення Основного договору — у частині положень, які за своєю природою продовжують діяти, зокрема положень щодо конфіденційності, безпеки, повернення та видалення Персональних даних Бізнес-клієнта, відповідальності за Порушення захисту персональних даних та інших положень, виконання яких необхідне після припинення Основного договору. У разі суперечності між цією Угодою та Основним договором щодо Обробки Персональних даних Бізнес-клієнта та захисту персональних даних положення цієї Угоди мають переважну силу в межах такої суперечності. Якщо до відповідної міжнародної передачі застосовуються Стандартні договірні положення Європейської Комісії (SCCs), у разі суперечності між SCCs та цією Угодою або Основним договором положення SCCs мають переважну силу в межах такої суперечності. Якщо Застосовне законодавство про захист даних у відповідній юрисдикції вимагає включення додаткових обов’язкових положень, Сторони погоджуються оформити необхідне доповнення або локальний додаток до цієї Угоди, якщо такі положення не можуть бути належним чином виконані на підставі цієї Угоди без внесення відповідних змін. Elixaris може періодично оновлювати цю Угоду у зв’язку зі змінами Застосовного законодавства про захист даних, способів Обробки, використовуваних сервісів або технічної інфраструктури, за умови що такі зміни не знижують рівень захисту Персональних даних Бізнес-клієнта та не суперечать Застосовному законодавству про захист даних. Актуальна версія Угоди публікується на Сайті із зазначенням дати набрання чинності. Elixaris повідомляє Бізнес-клієнта про істотні зміни цієї Угоди до набрання ними чинності через електронну пошту, бізнес-акаунт або інший погоджений Сторонами засіб комунікації. Якщо відповідна зміна істотно змінює обсяг Обробки, ролі Сторін або права та обов’язки Сторін щодо захисту Персональних даних Бізнес-клієнта та не є прямо необхідною для виконання обов’язкової вимоги законодавства, така зміна застосовується після її належного погодження Сторонами відповідно до Основного договору. Якщо інше прямо не передбачено цією Угодою, відповідним локальним додатком або застосовними SCCs, до цієї Угоди застосовуються положення Основного договору щодо застосовного права та порядку вирішення спорів. Якщо застосовні SCCs встановлюють окремі вимоги щодо застосовного права або компетентного суду, відповідні положення SCCs застосовуються до відносин, які ними регулюються. 15. Контакти З питань, пов’язаних з даною Угодою та захистом персональних даних, Бізнес-клієнт може звернутися до Elixaris за такими контактними даними:
Elixaris:
Електронна пошта:
Адреса:
Додаток 1. Опис погоджених операцій обробки, в яких Elixaris виступає Обробником Цей Додаток застосовується лише до тих операцій Обробки, у межах яких Elixaris фактично діє від імені та за Документованими інструкціями Бізнес-клієнта. Обробка персональних даних, необхідна Elixaris для власних цілей, зокрема виконання замовлення, доставки, бухгалтерського та податкового обліку, гарантійного обслуговування та розгляду претензій, не включається до цього Додатка та здійснюється Elixaris як самостійним Контролером відповідно до розділу 3 Угоди. Обробка № 1. Обробка персональних даних від імені Бізнес-клієнта в межах окремо погодженого Сторонами процесу