Договір про обробку персональних даних

Між дитячим садком і 4V3D OÜ, щодо групової послуги Minute Mission. Версія 1.0, 23 вересня 2026 року.

Це український текст договору. Договір опубліковано також англійською та естонською мовами, і саме ці два тексти є обов'язковими. Клієнти в Естонії підписують естонський текст. Якщо цей переклад відрізняється від англійського тексту, вирішальним є англійський текст.

Як укласти цей договір

Двома способами, з однаковим результатом.

• Під час оформлення замовлення. Поставте позначку в полі про те, що ви приймаєте цей договір, версія 1.0. Версія та дата записуються до вашого облікового запису, копію точного тексту, який ви прийняли, ми надсилаємо вам електронною поштою, і він залишається доступним у вашому обліковому записі.
• На папері, якщо вашій організації потрібен підпис. Напишіть нам на info@4v3d.ee, і ми надішлемо той самий текст як документ із таблицею для ваших даних. Підпишіть його електронно (кваліфікованим підписом за eIDAS, через DocuSign, Adobe Sign або вашу національну систему) і надішліть назад. 4V3D OÜ підписує той самий файл і повертає його вам. Договір набирає чинності з моменту пізнішого з двох підписів.

Обробник: 4V3D OÜ, registration number 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Естонія. Представник: Oskar Viil, член правління. Контакт: info@4v3d.ee.

1. Що охоплює цей договір

Дитячий садок (володілець) користується Minute Mission, вебзастосунком, який експлуатує 4V3D OÜ (обробник) і в якому вихователька веде дошку місій та нагород своєї групи. Для цього 4V3D OÜ обробляє персональні дані, описані в Додатку II, від імені дитячого садка та за його вказівками.

Цей договір містить усе, що згідно з Article 28(3) GDPR, а також UK GDPR, має бути письмово погоджено між володільцем і обробником. Він діє незалежно від того, чи заснований дитячий садок у ЄЕЗ або у Сполученому Королівстві.

2. Яке право застосовується до вас

• Дитячий садок у ЄЕЗ. Застосовується GDPR. Розділ 3 також застосовується.
• Дитячий садок у Сполученому Королівстві. Застосовуються UK GDPR і Data Protection Act 2018. Посилання на GDPR нижче читаються як посилання на UK GDPR, посилання на наглядовий орган читаються як посилання на Information Commissioner, а розділ 3 не застосовується.
• Дитячий садок у будь-якій іншій країні. До вас застосовується ваше власне законодавство про захист даних, а ці умови зобов'язують 4V3D OÜ як договір. 4V3D OÜ заснована в Європейському Союзі, тож у будь-якому разі пов'язана вимогами GDPR щодо цієї обробки. Ніщо тут не зменшує права, яке дає вам ваше власне законодавство.

3. Стандартні договірні положення Європейської Комісії

Якщо дитячий садок заснований у ЄЕЗ, сторони застосовують стандартні договірні положення між володільцями та обробниками, наведені в додатку до імплементаційного рішення Комісії Decision (EU) 2021/915, в їхній офіційній англійській редакції. Ці положення є частиною цього договору, а наведені нижче Додатки є додатками до них. Clause 5 (приєднання нових сторін) не застосовується. У Clause 7.7 діє Варіант 2: загальний письмовий дозвіл на залучення субобробників із повідомленням про будь-яку зміну за 30 днів. Якщо положення і цей договір суперечать одне одному, перевагу мають положення.

4. Що зобов'язується робити кожна сторона

4V3D OÜ зобов'язується:

• Обробляти персональні дані лише для надання послуги і лише за задокументованими вказівками дитячого садка, зокрема щодо передавання до третьої країни. Такими вказівками є цей договір і користування послугою з боку дитячого садка. Якщо право ЄС або держави-члена вимагатиме від 4V3D OÜ обробляти дані інакше, вона повідомить про це дитячий садок заздалегідь, якщо тільки таке право цього не забороняє.
• Ніколи не використовувати дані для власних цілей, ніколи їх не продавати, ніколи не використовувати їх для навчання будь-чого і ніколи не показувати їх нікому, крім субобробників, названих у Додатку IV.
• Забезпечити, щоб кожен, хто має доступ, був зобов'язаний зберігати конфіденційність.
• Дотримуватися заходів безпеки з Додатка III і не послаблювати їх.
• Залучати лише субобробників із Додатка IV. 4V3D OÜ може додати або замінити когось із них, письмово повідомивши контактну особу дитячого садка за 30 днів. Дитячий садок може заперечити протягом цих 30 днів; якщо заперечення не вдається врегулювати, дитячий садок може припинити користування послугою, і йому повертають плату за невикористану частину місяця.
• Допомагати дитячому садку відповідати на звернення батьків або працівника. Вихователі та завідувачка вже можуть самі переглядати, виправляти, експортувати й видаляти ці дані в послузі. Якщо звернення натомість надійде до 4V3D OÜ, воно передається контактній особі дитячого садка протягом п'яти робочих днів і не отримує прямої відповіді.
• Допомагати дитячому садку виконувати його обов'язки за Articles 32 to 36 (безпека, повідомлення про порушення, оцінка впливу, попередні консультації), з урахуванням того, що 4V3D OÜ справді відомо.
• Повідомляти контактну особу дитячого садка про порушення захисту персональних даних протягом 24 годин з моменту, коли їй стало про нього відомо, з тим, що відомо на той час, і з рештою в міру встановлення.
• Після завершення послуги видалити дані протягом 30 днів або спершу повернути їх, якщо дитячий садок про це попросить. Із зашифрованих резервних копій вони зникають протягом 90 днів. 4V3D OÜ письмово підтверджує, коли даних уже немає.
• Надавати відомості, потрібні для підтвердження виконання цих обов'язків, і допускати перевірку. На практиці це означає письмові відповіді та документацію на запит. Перевірку на місці або перевірку третьою стороною можна організувати з повідомленням за 30 днів, коштом дитячого садка, не частіше ніж раз на рік, якщо тільки не сталося порушення.
• Негайно повідомляти дитячий садок, якщо вказівка, вочевидь, порушує законодавство про захист даних.

Дитячий садок зобов'язується:

• Забезпечити наявність правової підстави для цієї обробки та поінформованість батьків. 4V3D OÜ не бачить батьків і не може зробити це за вас.
• Обмежувати дані в послузі тим, що описано в Додатку II. Зокрема, не вписуйте в поля вільного тексту прізвище дитини, відомості про здоров'я, оцінку дитини чи будь-що про обставини в родині.
• Підтримувати дані свого облікового запису в актуальному стані та повідомляти 4V3D OÜ про зміну контактної особи.
• Самостійно керувати обліковими записами своїх працівників: закривати доступ виховательці, яка звільняється.

5. Дві речі, які не є обробкою від вашого імені

Кажемо це прямо тут, щоб потім нікому не доводилося здогадуватися.

• Облікові записи працівників. Ім'я, адреса електронної пошти та пароль виховательки або завідувачки потрібні для того, щоб послуга взагалі працювала, і те, як її провадити, вирішує 4V3D OÜ. Для цієї вузької мети 4V3D OÜ є володільцем, а не обробником, і застосовується її власна політика конфіденційності. Усе, що стосується дітей, є обробкою від імені дитячого садка й охоплюється цим договором.
• Оплата послуги. Якщо дитячий садок платить карткою, платіж проводить Stripe Payments Europe Ltd. Stripe отримує платіжну назву, адресу, номер платника ПДВ, адресу електронної пошти та дані картки дитячого садка і жодних даних про дітей. Володільцем цих платіжних даних є 4V3D OÜ. Тому Stripe не є субобробником за цим договором і не наведений у Додатку IV.

6. Строк, застосовне право та відповідальність

Цей договір діє стільки, скільки 4V3D OÜ обробляє дані дитячого садка, і зберігає чинність після завершення послуги до видалення даних.

Застосовується естонське право, і компетентними є суди повіту Гар'ю, якщо тільки дитячий садок не є публічною установою, власні правила якої вимагають застосування її національного права та судів; у такому разі сторони домовляються про це до підписання.

Відповідальність визначається Умовами користування Minute Mission, які цей договір доповнює, а не замінює.

Додаток I. Сторони

Володілець: дитячий садок, який визначається за даними, що він подає під час оформлення замовлення або вписує в підписуваний примірник. Роль: володілець даних дітей, які ведуться на груповій дошці.

Обробник: 4V3D OÜ, registration number 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Естонія. Контакт: Oskar Viil, член правління, info@4v3d.ee. Уповноважену особу з питань захисту даних не призначено, оскільки GDPR тут цього не вимагає.

Кожна сторона може змінити свою контактну особу, письмово повідомивши про це іншу сторону.

Додаток II. Опис обробки

Додаток III. Заходи безпеки

• Дані перебувають у Європейському Союзі. Застосунок і його резервні копії працюють у дата-центрі Hetzner Online GmbH у Гельсінкі, Фінляндія (сертифікація ISO/IEC 27001). Службова пошта надсилається через Scaleway SAS у Франції. Передавання до третьої країни немає.
• Усе, що передається, зашифровано (HTTPS, з чинною Content Security Policy). Паролі ніколи не зберігаються, лише їхній хеш, і токени сесій теж зберігаються як хеш, тож копія бази даних не є набором робочих ключів.
• Кожна група є окремим обліковим записом. Вихователька бачить лише дітей своєї групи. У завідувачки один вхід для її власних груп і немає доступу до чужих.
• Фотографії неможливо завантажити до групового облікового запису, push-сповіщення вимкнено, а картинки дітей обмежені набором малюнків.
• Щоденні зашифровані резервні копії, які зберігаються 14 днів на сервері та 90 днів поза ним. Вони шифруються відкритим ключем, якого сам сервер не має, тож сервер не може прочитати власні копії. Відновлення з копії протестовано.
• Доступ до сервера має лише член правління 4V3D OÜ. Ані працівника, ані підрядника, ані фахівця підтримки з доступом немає.
• Жодної аналітики, жодних рекламних інструментів і жодного відстеження. Єдина регулярна звітність це щоденний підрахунок реєстрацій, активних облікових записів і помилок, у якому немає імен.
• Обмеження частоти спроб під час входу та реєстрації, а також обмеження в 30 днів на те, наскільки заднім числом можна відмітити місію, щоб помилка чи зловживання не могли переписати місяці історії.
• Письмову перевірку безпеки всього вихідного коду проведено двічі зовнішньою моделлю, востаннє 20 вересня 2026 року, і її зауваження закрито.

Додаток IV. Субобробники

Обидві перебувають у Європейському Союзі. Субобробників за межами ЄС немає, і оцінювати міжнародне передавання не потрібно.