Umowa o przetwarzaniu danych (DPA)

1. Вступ

1.1. Ця Угода про обробку даних (далі — «DPA») є додатком до Публічної оферти та регулює обробку персональних даних, що здійснюється ФОП Вдовин Андрій Васильович (далі — «Обробник») від імені Замовника (далі — «Контролер») при наданні послуги Автофікс.

1.2. Ця DPA застосовується виключно до послуги Автофікс, де HTTP-трафік Веб-сайту Замовника обробляється через проксі-сервер Обробника.

2. Визначення

• Персональні дані — будь-яка інформація, що стосується ідентифікованої або такої, яку можна ідентифікувати, фізичної особи.
• Обробка — будь-яка операція з персональними даними.
• Контролер — Замовник, що визначає цілі та засоби обробки персональних даних відвідувачів свого Веб-сайту.
• Обробник — InclusiveWeb (ФОП Вдовин А.В.), що обробляє дані від імені Контролера.
• Суб-обробник — третя особа, залучена Обробником для обробки даних.

3. Предмет обробки

3.1. Що обробляється

При наданні послуги Автофікс проксі-сервер (Cloudflare Workers) обробляє:

• HTTP GET-запити відвідувачів до HTML-сторінок Веб-сайту Замовника
• HTML-відповіді оригінального сервера Замовника (для застосування виправлень доступності)

3.2. Що НЕ обробляється

3.3. Характер обробки

• Потокова обробка (streaming) — HTML обробляється через HTMLRewriter в потоковому режимі, без буферизації повного вмісту сторінки в пам’яті.
• Транзитна обробка — дані проходять через проксі та одразу передаються відвідувачу. Контент сторінок НЕ зберігається.
• Мета обробки — виключно застосування виправлень доступності (модифікація HTML-атрибутів, інжекція CSS/JS).

4. Категорії даних та суб'єктів

4.1. Категорії персональних даних

*Хеші URL зберігаються для виявлення змін на сторінках (не самі URL).

4.2. Суб'єкти даних

Відвідувачі Веб-сайту Замовника, чиї HTTP-запити транзитно проходять через проксі-сервер.

5. Зобов'язання Обробника

Обробник зобов'язується:

• 5.1. Обробляти дані виключно для надання послуги Автофікс та відповідно до інструкцій Контролера.
• 5.2. Не зберігати контент сторінок або персональні дані відвідувачів.

5.3. Забезпечити технічні та організаційні заходи захисту:

• Шифрування при передачі (HTTPS/TLS)
• Обмежений доступ до інфраструктури
• Потокова обробка без буферизації
• Принцип fail-open (при помилці — оригінальна сторінка)

• 5.4. Негайно повідомити Контролера про будь-який інцидент безпеки, що стосується даних.
• 5.5. Після припинення послуги видалити всі правила виправлень та конфігурацію з Cloudflare KV протягом 30 днів.
• 5.6. Надавати Контролеру інформацію, необхідну для демонстрації відповідності.

6. Суб-обробники

6.1. Перелік суб-обробників

6.2. Зміна суб-обробників

Обробник повідомить Контролера про зміну суб-обробників за 30 днів до впровадження. Контролер може заперечити протягом 14 днів.

7. Права суб'єктів даних

7.1. Оскільки Обробник не зберігає персональні дані відвідувачів, запити суб'єктів даних (доступ, видалення, обмеження) направляються до Контролера.

7.2. Обробник сприятиме Контролеру у виконанні таких запитів в межах технічних можливостей.

8. Інциденти безпеки

8.1. Обробник повідомить Контролера про інцидент безпеки протягом 72 годин з моменту виявлення.

8.2. Повідомлення включатиме:

• Характер інциденту
• Категорії та обсяг даних
• Вжиті заходи

9. Термін дії

9.1. Ця DPA діє протягом усього терміну надання послуги Автофікс.

9.2. Після припинення послуги Обробник видаляє всі дані конфігурації протягом 30 днів.

10. Застосовне право

Ця DPA регулюється законодавством України, зокрема Законом України «Про захист персональних даних».

Контактна інформація

Для питань щодо обробки даних: