CostCare AI • ТОВ «МАЧ ГРУП», код ЄДРПОУ 45164108
Ця Угода про обробку персональних даних (далі - “DPA” або “Угода”) регулює обробку персональних даних Товариством з обмеженою відповідальністю “МАЧ ГРУП”, код ЄДРПОУ 45164108, місцезнаходження: 03040, Україна, м. Київ, вул. Стельмаха, буд. 6/1, приміщення 1, що здійснює діяльність під торговельною маркою CostCare AI (далі - “Компанія” або “Процесор”), від імені клієнта, який використовує програмну платформу CostCare AI та виступає контролером відповідних персональних даних (далі - “Клієнт” або “Контролер”).
Ця Угода є невід’ємною частиною договірних відносин між Компанією та Клієнтом, що регулюються Публічною офертою про надання доступу до програмної платформи CostCare AI та пов’язаних послуг (далі - “Публічна оферта”).
Угода застосовується в тій частині, в якій Компанія обробляє персональні дані від імені Клієнта як процесор відповідно до Регламенту (ЄС) 2016/679 (General Data Protection Regulation - GDPR) та/або іншого застосовного законодавства про захист персональних даних.
1.1. Терміни “персональні дані”, “обробка”, “контролер”, “процесор”, “субпроцесор”, “суб’єкт даних”, “порушення безпеки персональних даних” та інші терміни у сфері захисту персональних даних використовуються у значенні, визначеному GDPR та іншим застосовним законодавством.
1.2. У межах обробки, що регулюється цією Угодою:
1.3. Якщо щодо окремої операції Компанія самостійно визначає цілі та основні засоби обробки персональних даних, Компанія щодо такої операції виступає самостійним контролером. Така обробка регулюється Політикою конфіденційності Компанії та не є обробкою Процесором від імені Клієнта за цією Угодою.
2.1. Компанія обробляє персональні дані від імені Клієнта виключно в обсязі, необхідному для надання доступу до програмної платформи CostCare AI (далі - “Платформа”), функціонування AI-агентів, інтеграцій та надання інших пов’язаних послуг відповідно до Публічної оферти.
2.2. Предмет, характер, цілі та тривалість обробки, категорії суб’єктів даних, категорії персональних даних та основні операції з ними визначені у Додатку № 1 до цієї Угоди.
2.3. Компанія обробляє персональні дані виключно на підставі документованих інструкцій Клієнта, включаючи інструкції щодо міжнародної передачі персональних даних, крім випадків, коли відповідна обробка вимагається законодавством, обов’язковим для Компанії.
Якщо законодавство вимагає здійснення такої обробки незалежно від інструкцій Клієнта, Компанія, якщо це не заборонено законом, повідомляє Клієнта про відповідну вимогу.
2.4. Документованими інструкціями Клієнта можуть вважатися Публічна оферта, ця Угода, налаштування Платформи, вибір Клієнтом відповідного функціоналу та AI-провайдера, команди і запити, надані через Платформу, а також інші погоджені Сторонами письмові або електронні інструкції.
2.5. Якщо Компанія вважає, що інструкція Клієнта порушує GDPR або інше застосовне законодавство про захист персональних даних, Компанія повідомляє про це Клієнта та має право призупинити виконання відповідної інструкції до її уточнення або приведення у відповідність до законодавства.
2.6. Клієнт відповідає за:
3.1. Компанія забезпечує, щоб особи, уповноважені на обробку персональних даних, були зобов’язані дотримуватися конфіденційності.
3.2. Доступ до персональних даних надається лише уповноваженим особам у межах, необхідних для виконання їхніх функцій.
3.3. Компанія вживає належних технічних та організаційних заходів для забезпечення рівня безпеки, що відповідає ризикам обробки, з урахуванням характеру, обсягу, контексту та цілей обробки.
3.4. На дату цієї редакції Компанія, зокрема:
3.5. Компанія має право змінювати та вдосконалювати технічні й організаційні заходи за умови, що такі зміни не призводять до істотного зниження загального рівня захисту персональних даних.
4.1. Платформа дозволяє Клієнту використовувати функціонал штучного інтелекту із залученням підтримуваних Компанією AI-провайдерів, зокрема OpenAI, Anthropic, Google Gemini та DeepSeek.
4.2. Вибір доступного AI-провайдера здійснюється Клієнтом відповідно до функціоналу та налаштувань Платформи.
4.3. Для формування відповіді AI-агента відповідному AI-провайдеру через API можуть передаватися персональні дані та інша інформація, необхідні для виконання конкретного запиту, включаючи зміст повідомлень, релевантну історію взаємодії, контекст, а також інформацію з файлів, документів або інших джерел, доступ до яких надано Клієнтом, якщо така інформація необхідна для формування відповіді.
4.4. Компанія не використовує персональні дані, що обробляються від імені Клієнта, для навчання або донавчання власних моделей штучного інтелекту.
При залученні сторонніх AI-провайдерів Компанія використовує відповідні API та конфігурації в межах умов, призначених для обробки даних без їх використання для навчання або донавчання загальнодоступних моделей, у межах, передбачених умовами відповідного постачальника.
4.5. Компанія не надає стороннім AI-провайдерам самостійного права використовувати дані Клієнта для власних цілей навчання або донавчання моделей.
4.6. Умови обробки та зберігання інформації відповідним стороннім AI-провайдером визначаються умовами використання відповідного API, налаштуваннями, що застосовуються Компанією, та застосовним законодавством.
5.1. Клієнт надає Компанії загальний дозвіл на залучення субпроцесорів, необхідних для надання Платформи та пов’язаних послуг.
5.2. Актуальний перелік субпроцесорів, яких Компанія може залучати до обробки персональних даних від імені Клієнта, їх функції та інша релевантна інформація щодо такої обробки визначаються в окремому Переліку субпроцесорів (Subprocessor List), який підтримується Компанією в актуальному стані та доступний Клієнту в електронній формі та/або на вебсайті Компанії.
5.3. Компанія повідомляє Клієнта про заплановане залучення нового субпроцесора або заміну чинного субпроцесора до початку обробки персональних даних таким новим субпроцесором шляхом оновлення актуального Переліку субпроцесорів на вебсайті Компанії та/або направлення повідомлення на електронну адресу Клієнта. Клієнт має право протягом 10 календарних днів з моменту отримання або оприлюднення відповідного повідомлення висловити обґрунтовані заперечення, пов’язані із захистом персональних даних. Сторони добросовісно співпрацюють з метою врегулювання таких заперечень.
5.4. На субпроцесора покладаються договірні зобов’язання щодо захисту персональних даних, які забезпечують належний рівень захисту відповідно до характеру послуг та вимог застосовного законодавства.
5.5. Якщо субпроцесор не виконує свої зобов’язання щодо захисту персональних даних, Компанія залишається відповідальною перед Клієнтом за виконання відповідних обов’язків субпроцесора в межах, передбачених застосовним законодавством.
5.6. PayPro Global використовується у зв’язку з прийманням та обробкою платежів як Merchant of Record. Компанія не отримує та не зберігає номери платіжних карток, CVV/CVC, ім’я держателя картки або інші повні платіжні реквізити, які користувач надає безпосередньо відповідному платіжному постачальнику. Статус PayPro Global щодо конкретної обробки визначається відповідно до характеру відповідної операції та застосовних умов PayPro Global.
6.1. Основна серверна інфраструктура, що використовується Компанією для роботи Платформи, розміщується в регіоні AWS Frankfurt, Німеччина, eu-central-1.
6.2. Резервні копії клієнтських даних також зберігаються на інфраструктурі, розміщеній у Frankfurt, Німеччина.
6.3. Використання окремих AI-провайдерів та інших субпроцесорів може передбачати обробку або передачу персональних даних за межами Європейської економічної зони.
6.4. Якщо для відповідної передачі GDPR вимагає застосування спеціального механізму міжнародної передачі, Компанія забезпечує застосування відповідного механізму згідно з Главою V GDPR, включаючи, залежно від обставин, рішення про адекватність, Standard Contractual Clauses (SCCs), затверджені Європейською Комісією, та/або інший механізм, дозволений застосовним законодавством.
6.5. На обґрунтований запит Клієнта Компанія надає інформацію про застосовний механізм міжнародної передачі в межах, необхідних для підтвердження дотримання застосовного законодавства.
7.1. З урахуванням характеру обробки Компанія, наскільки це можливо, сприяє Клієнту у виконанні його обов’язків щодо реалізації прав суб’єктів даних.
7.2. Якщо Компанія отримує запит суб’єкта даних щодо персональних даних, які обробляються виключно від імені Клієнта, Компанія без невиправданої затримки передає такий запит Клієнту, якщо інше не вимагається застосовним законодавством.
7.3. Компанія не приймає самостійного рішення щодо задоволення або відмови у задоволенні такого запиту, крім випадків, передбачених документованими інструкціями Клієнта або законодавством.
7.4. З урахуванням характеру обробки та доступної Компанії інформації Компанія надає Клієнту розумне сприяння щодо виконання обов’язків, передбачених статтями 32-36 GDPR, включаючи забезпечення безпеки, реагування на порушення безпеки персональних даних, проведення DPIA та взаємодію з компетентними наглядовими органами.
8.1. У разі виявлення порушення безпеки персональних даних, що обробляються від імені Клієнта, Компанія повідомляє Клієнта без невиправданої затримки після того, як Компанії стало відомо про таке порушення.
8.2. У межах інформації, доступної Компанії, повідомлення містить, де це можливо:
8.3. Якщо на момент первинного повідомлення неможливо точно встановити всі дані або всіх суб’єктів, яких стосується порушення, Компанія надає інформацію, доступну на відповідний момент, та доповнює її після отримання додаткової інформації.
8.4. Повідомлення про порушення саме по собі не є визнанням Компанією вини або відповідальності.
9.1. Компанія зберігає персональні дані протягом строку, необхідного для надання послуг Клієнту, виконання його документованих інструкцій та дотримання вимог застосовного законодавства.
9.2. На належний запит Клієнта Компанія забезпечує технічну можливість експорту персональних даних Клієнта в межах доступного функціоналу та технічних можливостей Платформи.
9.3. На належний запит Клієнта персональні дані видаляються з основної робочої бази без невиправданої затримки після виконання та технічного опрацювання такого запиту, якщо їх подальше зберігання не вимагається законодавством.
9.4. Резервні копії створюються щоденно та зберігаються в інфраструктурі у Frankfurt, Німеччина.
9.5. Після видалення даних з основної робочої бази їх копії можуть тимчасово залишатися у резервних копіях до завершення стандартного циклу їх ротації, але не більше 30 календарних днів. Протягом такого періоду дані в резервних копіях не використовуються для звичайної операційної діяльності та залишаються захищеними відповідно до цієї Угоди.
9.6. Після припинення надання послуг та за вибором Клієнта Компанія видаляє або повертає персональні дані, що обробляються від імені Клієнта, та видаляє наявні копії, якщо законодавство не вимагає їх подальшого зберігання. Дані, що залишаються у резервних копіях після видалення з основної робочої бази, видаляються в межах стандартного циклу ротації резервних копій, який не перевищує 30 календарних днів, та протягом цього періоду не використовуються для звичайної операційної діяльності.
10.1. Компанія надає Клієнту інформацію, обґрунтовано необхідну для підтвердження виконання обов’язків Процесора відповідно до статті 28 GDPR.
10.2. У випадках та в межах, передбачених застосовним законодавством, Компанія дозволяє проведення аудиту Клієнтом або незалежним аудитором, уповноваженим Клієнтом.
10.3. Аудит проводиться:
10.4. Якщо необхідну відповідність можна підтвердити за допомогою документації, описів заходів безпеки, звітів, сертифікатів або інших належних матеріалів, такі матеріали можуть бути використані замість окремої перевірки на місці, якщо це не обмежує обов’язкових прав Клієнта.
11.1. Кожна Сторона відповідає за виконання обов’язків, покладених на неї GDPR, іншим застосовним законодавством та цією Угодою.
11.2. Клієнт відповідає за законність персональних даних, переданих Компанії, наявність належних правових підстав для їх обробки та законність наданих Компанії інструкцій.
11.3. Якщо інше не передбачено імперативними нормами застосовного законодавства, обмеження відповідальності, встановлені Публічною офертою, застосовуються також до вимог, що виникають у зв’язку з цією Угодою.
11.4. Жодне положення цієї Угоди не виключає та не обмежує відповідальність у випадках, коли таке виключення або обмеження заборонене застосовним законодавством.
12.1. Ця Угода набирає чинності одночасно з Публічною офертою або з моменту, коли Компанія вперше починає обробляти персональні дані від імені Клієнта, залежно від того, яка подія настане раніше.
12.2. Угода діє протягом усього періоду, протягом якого Компанія обробляє персональні дані від імені Клієнта.
12.3. У разі суперечності між цією Угодою та Публічною офертою щодо обробки персональних даних від імені Клієнта переважну силу має ця Угода. Щодо інших питань застосовується Публічна оферта.
12.4. До цієї Угоди застосовується право України, якщо інше не випливає з імперативних норм застосовного законодавства.
Якщо до відповідної обробки застосовується GDPR або інше обов’язкове законодавство про захист персональних даних, ця Угода тлумачиться та застосовується таким чином, щоб забезпечити дотримання відповідних обов’язкових вимог.
12.5. Порядок внесення змін, електронної взаємодії, вирішення спорів та інші питання, не врегульовані цією Угодою, визначаються Публічною офертою та застосовним законодавством.
12.6. Якщо ця Угода укладена або оприлюднена кількома мовами, пріоритет мовної версії визначається відповідно до Публічної оферти.
ТОВ “МАЧ ГРУП”
Код ЄДРПОУ: 45164108
Адреса: 03040, Україна, м. Київ, вул. Стельмаха, буд. 6/1, приміщення 1
Торгова марка: CostCare AI
Email: wahtel@costcare.ai
Телефон: +380 67 565 27 27
Цей Додаток № 1 є невід’ємною частиною DPA.
Обробка Компанією персональних даних від імені Клієнта у зв’язку з наданням доступу до Платформи CostCare AI, створенням та функціонуванням AI-агентів, використанням інтеграцій та наданням пов’язаних послуг.
Обробка здійснюється протягом строку надання послуг Клієнту та протягом періоду, необхідного для належного повернення або видалення даних, завершення циклу резервного копіювання та виконання обов’язкових вимог законодавства.
Обробка здійснюється для:
Обробка може включати отримання, запис, систематизацію, структурування, зберігання, перегляд, використання, пошук, аналіз, передачу, надання доступу, автоматизовану обробку, обробку із застосуванням AI, експорт, обмеження, видалення та знищення даних.
Залежно від використання Платформи Клієнтом персональні дані можуть стосуватися:
Залежно від налаштувань та способу використання Платформи можуть оброблятися:
Платформа не призначена спеціально для обробки спеціальних категорій персональних даних, визначених статтею 9 GDPR, або даних про судимості та кримінальні правопорушення, визначених статтею 10 GDPR.
Клієнт не повинен передавати такі дані через Платформу, якщо це не є необхідним для погодженого використання Платформи та Клієнт не забезпечив належну правову підставу, гарантії та виконання інших вимог застосовного законодавства.
Основна серверна інфраструктура та клієнтські дані розміщуються в регіоні AWS Frankfurt, Німеччина, eu-central-1.
Резервні копії також зберігаються на серверній інфраструктурі у Frankfurt, Німеччина.
Передача даних окремим AI-провайдерам та іншим постачальникам може здійснюватися відповідно до вибраного Клієнтом функціоналу та умов цієї Угоди.
Компанія застосовує, зокрема:
Клієнт може обрати підтримуваного AI-провайдера, зокрема OpenAI, Anthropic, Google Gemini або DeepSeek.
Взаємодія з такими провайдерами здійснюється через API.
Для формування відповіді може передаватися інформація, необхідна для виконання конкретного запиту, включаючи релевантну історію взаємодії, повідомлення, документи, файли та інший контекст, до якого Клієнт надав доступ.
Компанія не використовує дані Клієнта для навчання або донавчання власних моделей штучного інтелекту та не надає стороннім AI-провайдерам право використовувати такі дані для навчання або донавчання їх загальнодоступних моделей для власних цілей.
На належний запит Клієнта дані видаляються з основної робочої бази без невиправданої затримки після технічного опрацювання запиту.
Дані, що залишилися в резервних копіях, остаточно видаляються в межах стандартного циклу ротації резервних копій, який не перевищує 30 календарних днів.
До остаточного видалення такі дані залишаються захищеними та не використовуються для звичайної операційної діяльності.