Угода про обробку даних

Оновлено: 28 жовтня 2026 · Версія 1.0

1. Сторони та сфера застосування

Цю Угоду про обробку даних («Угода») укладено між:

• Teleport Dynamix, S.L., NIF B21782743, Plaza Sant Felip Neri núm. 2, Pta. 5, 46021 València, Іспанія («CortoCasa», «ми», Обробник); та
• клієнтом, який прийняв Умови надання послуг CortoCasa і від імені якого в Сервісі створено робочий простір («Клієнт», «ви», Контролер).

Ця Угода є частиною Умов надання послуг. Її приймає від імені Клієнта адміністратор, який створює робочий простір, окремим кроком під час створення робочого простору; щодо робочих просторів, створених до публікації цієї Угоди, — адміністратор, коли Сервіс про це попросить. Окремий підпис не потрібен. Якщо вам потрібен примірник, підписаний обома сторонами, для ваших записів, напишіть на privacy@cortocasa.com.

Вона застосовується в усіх випадках, коли ми обробляємо персональні дані від вашого імені, надаючи сервіс CortoCasa («Сервіс»).

Порядок пріоритетності. Розділ 21.1 Умов надання послуг встановлює порядок пріоритетності для всього нашого комплекту документів. Коротко, в тій частині, що стосується цієї Угоди: стандартні договірні положення (SCC) у Додатку IV мають пріоритет над цією Угодою, а ця Угода має пріоритет над Умовами надання послуг і Політикою конфіденційності в питаннях обробки персональних даних.

2. Визначення

Терміни «персональні дані», «обробка», «контролер», «обробник», «субобробник», «суб'єкт даних», «порушення безпеки персональних даних» і «наглядовий орган» мають значення, наведені в Регламенті (ЄС) 2016/679 (Загальному регламенті захисту даних, «GDPR»).

«Застосовне законодавство про захист даних» означає GDPR, Органічний закон Іспанії 3/2018 (LOPDGDD), Директиву 2002/58/ЄС у редакції національного імплементаційного законодавства, а також будь-яке інше законодавство про захист даних, що застосовується до сторони.

«Персональні дані Клієнта» означає персональні дані, які ми обробляємо від вашого імені згідно з Умовами надання послуг, як описано в Додатку I.

3. Ролі сторін

Ви є контролером Персональних даних Клієнта, а ми — вашим обробником. Якщо ви самі є обробником, що діє від імені іншого контролера, ви гарантуєте, що маєте повноваження давати нам вказівки як субобробнику від імені цього контролера, а посилання на ваші обов'язки як контролера застосовуються до вас так, ніби ви були контролером.

Ми є незалежним контролером щодо даних акаунта, даних для виставлення рахунків і даних вебсайту, описаних у розділах 1, 2.1 і 2.2 нашої Політики конфіденційності. Ця Угода до таких даних не застосовується.

Ваші обов'язки. Ви відповідаєте за законність даних, які вносите, за наявність дійсної правової підстави, за надання суб'єктам даних інформації, якої вимагають статті 13 і 14 GDPR, а також за точність і доречність того, що завантажуєте. Зокрема, ви відповідаєте за обмеження даних документів, що посвідчують особу, які ви збираєте, тим обсягом, якого фактично вимагають ваші юридичні обов'язки, — див. розділ 4.3.

4. Вказівки щодо обробки

4.1 Задокументовані вказівки

Ми обробляємо Персональні дані Клієнта лише за вашими задокументованими вказівками, зокрема щодо міжнародного передавання, якщо інше не вимагається правом ЄС або держави-члена; у такому разі ми повідомимо вас про цю вимогу до початку обробки, якщо закон не забороняє цього з важливих міркувань суспільного інтересу.

Вашими вказівками є: (a) ця Угода, (b) Умови надання послуг, (c) ваше налаштування та використання Сервісу через його інтерфейси та задокументовані функції — зокрема підключення об'єкта до онлайн-платформи бронювання, що є вказівкою нам обмінюватися з цією платформою даними про доступність, ціни та бронювання через нашого постачальника підключення каналів, — та (d) будь-яка подальша письмова вказівка, яку ви нам даєте і яку ми приймаємо.

Ці вказівки включають підготовку агрегованої статистики за результатами використання Сервісу згідно з розділом 7.1 Умов надання послуг. Ми виконуємо це як ваш обробник; анонімні показники, отримані в результаті, перебувають поза сферою дії цієї Угоди, оскільки вони більше не є персональними даними.

4.2 Незаконні вказівки

Ми без затримки повідомимо вас, якщо, на нашу думку, вказівка порушує Застосовне законодавство про захист даних. Ми можемо призупинити виконання відповідної вказівки, доки її не буде відкликано, змінено або підтверджено, і таке призупинення не є порушенням Умов надання послуг.

4.3 Документи, що посвідчують особу, та проїзні документи — спеціальні умови

Ви можете використовувати Сервіс для фіксації даних мандрівників, які ви зобов'язані зберігати, зокрема згідно з Real Decreto 933/2021 в Іспанії. До цих даних застосовується таке:

• Поля даних, а не зображення. Сервіс фіксує обов'язкові поля даних без зображення документа і не потребує зображення для жодної зі своїх функцій.
• Зображення є необов'язковими та вимкнені за замовчуванням. Завантаження зображень документів — це функція, вимкнена для кожного робочого простору, доки її не ввімкне один із ваших адміністраторів. Її ввімкнення є вашою задокументованою вказівкою обробляти зображення документів; ви підтверджуєте, що маєте правову підставу для кожного зображення, яке вирішите завантажити та зберігати, що ви розглянули, чи є його зберігання необхідним, і що вам відомо, що іспанський наглядовий орган вважає зберігання копій документів, що посвідчують особу, надмірним, якщо достатньо зафіксувати обов'язкові дані.
• Зображення видаляються автоматично. Кожне зображення видаляється через 30 днів після дати виїзду за бронюванням, до якого воно належить, або раніше, якщо ви видалите його чи зітрете дані гостя. Зображення ніколи не розміщуються за посиланням, яке можна відкрити без входу до Сервісу.
• Ми не використовуватимемо дані документів для жодної іншої мети, крім надання Сервісу, не надсилатимемо їх жодному постачальнику ШІ і не здійснюватимемо щодо них біометричної обробки чи розпізнавання облич.
• Ви не повинні вводити до Сервісу повні номери платіжних карток, коди перевірки картки (CVV) або дані особливих категорій персональних даних за статтею 9 GDPR, за винятком — щодо останніх — випадків, коли ви заздалегідь повідомили нас і ми письмово погодилися.

4.4 Обов'язки щодо зберігання, встановлені законом

Якщо запис є частиною встановленого законом реєстру, який ви зобов'язані вести, — наприклад, реєстру мандрівників (Real Decreto 933/2021), який в Іспанії має зберігатися протягом трьох років від завершення проживання, — його зберігання протягом усього строку є вашим обов'язком як контролера і має пріоритет над запитом суб'єкта даних на видалення згідно зі статтею 17(3)(b) GDPR. Ви відповідаєте за те, щоб не видаляти такі записи до спливу строку їх зберігання.

Щоб допомогти вам виконати цей обов'язок разом зі статтею 32 LOPDGDD, інструмент стирання даних гостя в Сервісі дає змогу заблокувати поля реєстру замість їх видалення. Заблоковані дані прибираються з екранів Сервісу, їх може відкрити лише адміністратор, який фіксує запит органу влади, для якого вони потрібні, і вони автоматично знищуються у встановлену вами дату — за замовчуванням через три роки після завершення проживання. Вибір між стиранням і блокуванням, а також дата, є вашим рішенням як контролера.

5. Строк дії

Ця Угода набирає чинності, коли її прийнято для вашого робочого простору згідно з розділом 1, і діє, доки ми обробляємо Персональні дані Клієнта від вашого імені. Розділи 6, 11, 12, 13, 16 і Додаток IV залишаються чинними після її припинення, доки ми зберігаємо будь-які Персональні дані Клієнта.

6. Конфіденційність

Ми забезпечуємо, щоб кожна особа, уповноважена обробляти Персональні дані Клієнта, була пов'язана належним зобов'язанням щодо конфіденційності — договірним або встановленим законом, — яке діє й після завершення її співпраці з нами. Доступ надається за принципом найменших привілеїв і лише працівникам, яким він потрібен для виконання їхніх функцій, і невідкладно припиняється, коли така потреба зникає.

7. Безпека

Ми впроваджуємо та підтримуємо технічні й організаційні заходи, викладені в Додатку II, з урахуванням сучасного рівня техніки, витрат на впровадження, характеру, обсягу, контексту та цілей обробки, а також ризику для прав і свобод фізичних осіб.

Ми можемо час від часу оновлювати заходи в Додатку II за умови, що рівень захисту суттєво не знижується. Суттєві зміни ми публікуватимемо щонайменше за 30 днів до їх запровадження.

Ви відповідаєте за безпеку на своєму боці: вибір належних ролей для своєї команди, захист облікових даних, припинення доступу працівників, які пішли, а також рішення про те, що і як довго зберігати в Сервісі.

8. Субобробники

8.1 Загальний дозвіл

Ви надаєте нам загальний письмовий дозвіл залучати субобробників. Залучених субобробників перелічено в Додатку III до цієї Угоди, який є авторитетним переліком і публікується разом із нею.

8.2 Зміни та ваше право на заперечення

Перш ніж новий або замінний субобробник почне обробляти Персональні дані Клієнта, ми повідомимо вас щонайменше за 30 днів електронною поштою та в Додатку III. Цей строк відраховується до початку обробки, а не до моменту укладення договору з постачальником чи його оцінки.

Якщо постачальника доводиться замінити терміново — наприклад, у разі його збою, припинення ним надання послуги або інциденту безпеки, — ми повідомимо вас настільки заздалегідь, наскільки дозволяють обставини, пояснимо, чому неможливо було дотриматися звичайного строку, і ваше право на заперечення згідно з цим розділом при цьому не обмежується.

Ви можете заперечити з обґрунтованих, задокументованих міркувань захисту даних протягом цього строку. Ми сумлінно співпрацюватимемо з вами, щоб знайти рішення, — зміну налаштувань, альтернативного постачальника або вимкнення відповідної функції. Якщо жодне з них не є прийнятним, ви можете припинити дію відповідної частини Сервісу без штрафних санкцій і отримати пропорційне повернення передплачених коштів за невикористаний період. Таке припинення є вашим єдиним засобом правового захисту в разі заперечення.

8.3 Наша відповідальність

Ми покладаємо на кожного субобробника письмовим договором зобов'язання щодо захисту даних, не менш захисні, ніж ті, що містяться в цій Угоді. Ми залишаємося повністю відповідальними перед вами за виконання обов'язків кожним субобробником, як вимагає стаття 28(4) GDPR. Якщо субобробник залучає власних субобробників, та сама вимога поширюється далі ланцюгом.

Якщо субобробник зберігає копію Персональних даних Клієнта, яку Сервіс не може безпосередньо видалити чи анонімізувати, — наразі це бронювання, що зберігає наш постачальник підключення каналів, який сам видаляє їх через 180 днів після виїзду, — ми самі передаємо вашу вказівку щодо стирання цьому субобробнику, коли ви стираєте дані гостя в Сервісі, контролюємо її виконання до завершення і на запит підтверджуємо вам результат.

9. Допомога у забезпеченні прав суб'єктів даних

З урахуванням характеру обробки ми допомагаємо вам належними технічними й організаційними заходами — насамперед власними функціями Сервісу для пошуку, виправлення, видалення та стирання даних гостя, а також експортом, який ми надаємо на запит, — виконувати ваш обов'язок відповідати на запити згідно з главою III GDPR.

Функції видалення та стирання даних гостя залишаються доступними в Сервісі, а експорт — доступним на запит, навіть коли робочий простір перебуває в режимі лише для читання після скасування або несплати, протягом періоду, описаного в розділі 12 цієї Угоди, щоб завершення підписки не заважало вам виконати запит на видалення чи доступ.

Якщо суб'єкт даних звертається безпосередньо до нас щодо Персональних даних Клієнта, ми не відповідатимемо по суті. Ми перешлемо запит вам протягом 3 робочих днів і повідомимо суб'єкта даних, що зробили це. Якщо вам потрібна допомога понад власні функції Сервісу, ми надамо розумну допомогу; за допомогу непропорційного обсягу ми можемо стягувати плату за нашими чинними на той момент тарифами, попередньо повідомивши вас. Експорт згідно з розділом 12 завжди є безоплатним.

10. Допомога з оцінками впливу та попередніми консультаціями

З урахуванням характеру обробки та доступної нам інформації ми надаємо розумну допомогу у виконанні ваших обов'язків за статтями 32–36 GDPR, зокрема щодо оцінки впливу на захист даних і попередніх консультацій із наглядовим органом.

На запит ми надаємо інформацію про Сервіс, потрібну вам для оцінки впливу: опис обробки в Додатку I, заходи в Додатку II, а також інформацію про субобробників і передавання в Додатку III. Чи потрібна оцінка впливу згідно зі статтею 35 GDPR для вашого використання Сервісу і що вона повинна містити, визначаєте ви як контролер.

11. Порушення безпеки персональних даних

Ми повідомляємо вас про порушення безпеки персональних даних, що зачіпає Персональні дані Клієнта, без зайвої затримки і в будь-якому разі протягом 72 годин після того, як нам стало про нього відомо.

Повідомлення міститиме, наскільки це відомо на той момент: характер порушення, категорії та приблизну кількість відповідних суб'єктів даних і записів; ймовірні наслідки; вжиті або запропоновані заходи для усунення порушення та пом'якшення його наслідків; а також контактну особу для отримання додаткової інформації. Ми не відкладатимемо перше повідомлення заради завершення розслідування і надаватимемо оновлення в міру надходження нових відомостей.

Ми допомагаємо вам виконувати власні обов'язки за статтями 33 і 34 GDPR, зокрема надаючи інформацію, потрібну вам для повідомлення наглядового органу чи постраждалих осіб. Повідомлення наглядового органу та суб'єктів даних залишається вашим рішенням і вашим обов'язком як контролера.

Наше повідомлення не є визнанням вини чи відповідальності.

12. Видалення та повернення даних

Після припинення надання Сервісу ми, на ваш вибір, видаляємо або повертаємо всі Персональні дані Клієнта і видаляємо наявні копії, якщо право ЄС або держави-члена не вимагає від нас їх зберігати.

На практиці це відбувається так:

• Експорт. Ми надаємо експорт ваших даних на запит у будь-який час протягом підписки та протягом усього наступного періоду в режимі лише для читання, безоплатно, у структурованому, загальновживаному та машинозчитуваному форматі — зазвичай протягом 5 робочих днів і в будь-якому разі протягом 30 днів після запиту. Див. розділ 18 Умов надання послуг.
• Видалення після завершення підписки. Коли оплачений період завершується без продовження, робочий простір переходить у режим лише для читання на 90 днів, а потім видаляється разом з усіма Персональними даними Клієнта в ньому. Ми повідомляємо ваших адміністраторів, коли він переходить у режим лише для читання, і ще раз — щонайменше за 14 днів і за 3 дні до дати видалення.
• Видалення на запит. Адміністратор може будь-коли попросити нас видалити робочий простір — із Сервісу або написавши на support@cortocasa.com, — і ми зробимо це без зайвої затримки і в будь-якому разі протягом одного місяця.
• Стирання даних гостя. Коли ви стираєте дані гостя в Сервісі, дані, що його ідентифікують, негайно видаляються або, якщо ви так вирішите, блокуються згідно з розділом 4.4. Копії, які зберігає субобробник, опрацьовуються згідно з розділом 8.3.
• Резервні копії. Зашифровані резервні копії зберігаються в ковзному вікні 7 днів у тому ж регіоні, тож видалені дані можуть залишатися в резервних копіях до семи днів, доки строк їх зберігання не спливе.
• Встановлені законом реєстри. Якщо ви зобов'язані зберігати записи протягом установленого законом строку, запит на експорт до видалення є вашим обов'язком — див. розділ 4.4.

На запит ми письмово підтвердимо видалення.

13. Аудит та інформація

Ми надаємо вам інформацію, необхідну для підтвердження дотримання статті 28 GDPR, а також уможливлюємо аудити, зокрема інспекції, які проводите ви або уповноважений вами аудитор, і сприяємо їм.

Насамперед ми виконуємо це, надаючи на запит: цю Угоду та додатки до неї; нашу документацію з безпеки; відповіді на обґрунтований опитувальник із безпеки; а також будь-який звіт стороннього аудиту чи сертифікат, який ми маємо.

Якщо цього справді недостатньо для підтвердження дотримання вимог, ви можете провести аудит на місці або дистанційно за таких умов: розумне попереднє повідомлення щонайменше за 30 днів; не частіше ніж один раз на будь-який 12-місячний період, за винятком випадків порушення безпеки персональних даних, що зачіпає ваші дані, або вимоги наглядового органу; проведення в робочий час у спосіб, що не порушує необґрунтовано нашу діяльність; аудитор, який не є нашим конкурентом і пов'язаний зобов'язанням щодо конфіденційності; обсяг, обмежений системами та записами, що стосуються обробки ваших даних, — і ніколи не даними іншого клієнта. Ви несете витрати на аудит, якщо він не виявить суттєвого порушення цієї Угоди; у такому разі ми несемо розумні витрати на аудит і на усунення порушення.

14. Міжнародне передавання даних

Персональні дані Клієнта в Сервісі зберігаються в Європейському Союзі (AWS eu-west-1, Ірландія). Бронювання, якими Сервіс обмінюється з підключеними платформами бронювання, також зберігає наш постачальник підключення каналів — компанія, заснована у Сполученому Королівстві, — на інфраструктурі в Європейському Союзі.

Якщо надання Сервісу передбачає передавання Персональних даних Клієнта за межі ЄЕЗ, ми здійснюємо його лише за наявності належної гарантії відповідно до глави V GDPR. Поточні передавання, одержувачі та гарантії наведено в Додатку III, а стандартні договірні положення (SCC) у Додатку IV застосовуються, якщо саме вони є гарантією, на яку ми покладаємося.

Перш ніж розпочати обмежене передавання, ми оцінюємо, чи не перешкоджають закон і практика країни призначення одержувачу виконувати свої обов'язки, і документуємо цю оцінку. На запит ми надаємо вам стислий виклад оцінки та будь-яких застосованих додаткових заходів тією мірою, якою можемо це зробити без розкриття конфіденційної або чутливої з погляду безпеки інформації. Якщо ми дійдемо висновку, що передавання більше не може бути належно захищене, ми повідомимо вас і, якщо жодних додаткових заходів недостатньо, призупинимо його.

Якщо ви зареєстровані за межами ЄЕЗ, ваш власний доступ до Персональних даних Клієнта з вашої країни сам по собі є обмеженим передаванням. До цього потоку застосовується Модуль четвертий стандартних договірних положень (SCC) у Додатку IV.

15. Доступ державних і правоохоронних органів

Якщо ми отримаємо від органу публічної влади запит на Персональні дані Клієнта, ми:

• перевіримо, що запит є дійсним, що орган має відповідну юрисдикцію і що обсяг запиту є пропорційним, а якщо це не так — оскаржимо запит або домагатимемося звуження його обсягу;
• в усіх випадках, коли це дозволяє закон, переадресуємо орган до вас як контролера;
• повідомимо вас до розкриття, якщо це не заборонено законом, — а в разі такої заборони докладемо розумних зусиль, щоб домогтися її скасування, і повідомимо вас, щойно заборону буде знято;
• розкриємо лише мінімум даних, якого вимагає закон, і ніколи — масивами.

Ми не розкриватимемо Персональні дані Клієнта органу влади третьої країни, якщо запит не ґрунтується на чинній міжнародній угоді, як-от договорі про взаємну правову допомогу, або на іншій законній підставі відповідно до статті 48 GDPR. Той самий принцип застосовується до неперсональних даних згідно зі статтею 32 Регламенту (ЄС) 2023/2854.

16. Відповідальність

Обмеження та виключення відповідальності, передбачені розділом 12 Умов надання послуг, — зокрема підвищена межа відповідальності за вимогами щодо захисту даних і конфіденційності, — застосовуються до вимог між сторонами за цією Угодою.

Ніщо в цій Угоді чи в Умовах надання послуг не обмежує відповідальності будь-якої зі сторін перед суб'єктом даних згідно зі статтею 82 GDPR або повноважень наглядового органу накладати адміністративні штрафи. Вимога між нами згідно зі статтею 82(5) GDPR щодо частки компенсації, виплаченої суб'єкту даних, підпадає під підвищену межу відповідальності, передбачену розділом 12 Умов надання послуг, за винятком випадків, коли ті самі збитки підлягають відшкодуванню згідно з розділом 19 Умов надання послуг.

17. Загальні положення

• Зміни. Ми можемо оновлювати цю Угоду з урахуванням змін у законодавстві, у Сервісі чи в наших субобробниках, повідомляючи щонайменше за 30 днів, якщо зміна є суттєвою, або настільки заздалегідь, наскільки дозволяють обставини, якщо закон вимагає змін раніше. Якщо зміна суттєво та негативно впливає на вас і ви її не приймаєте, ви можете припинити дію договору, як передбачено розділом 15 Умов надання послуг. Попередні версії зберігаються в архіві за адресою cortocasa.com/legal/archive/.
• Застосовне право та юрисдикція. Як передбачено розділом 14 Умов надання послуг: право Іспанії та виключна юрисдикція судів Валенсії. Стандартні договірні положення (SCC) у Додатку IV регулюються так, як зазначено в них самих і в Додатку IV.3.
• Відокремлюваність положень. Якщо будь-яке положення є недійсним або таким, що не може бути виконане в примусовому порядку, його змінюють у мінімально необхідному обсязі або вилучають, а решта положень залишається чинною.
• Повідомлення. Нам: privacy@cortocasa.com. Вам: адреса електронної пошти, зазначена у вашому акаунті.

Додаток I — Опис обробки

Структура цього Додатка відповідає Додатку I до стандартних договірних положень (Імплементаційне рішення Комісії (ЄС) 2021/914).

I.A — Сторони

Експортер даних (Контролер): Клієнт, як зазначено в його робочому просторі CortoCasa. Контакт: адреса електронної пошти адміністраторів робочого простору. Діяльність, що стосується передавання: використання Сервісу для ведення операцій короткострокової оренди. Роль: Контролер.

Імпортер даних (Обробник): Teleport Dynamix, S.L., NIF B21782743, Plaza Sant Felip Neri núm. 2, Pta. 5, 46021 València, Іспанія. Контакт: privacy@cortocasa.com. Діяльність, що стосується передавання: надання сервісу CortoCasa для операцій короткострокової оренди. Роль: Обробник.

I.B — Опис передавання

Категорії суб'єктів даних

• Гості об'єктів Клієнта, у деяких випадках — зокрема неповнолітні, які їх супроводжують
• Працівники та співробітники Клієнта (менеджери, прибиральники, адміністратори)
• Технічні контактні особи та постачальники послуг, зафіксовані щодо об'єкта (наприклад, підрядники з обслуговування)

Категорії персональних даних

Чутливі дані. Сервіс не призначений для обробки особливих категорій персональних даних за статтею 9 GDPR, і Клієнт за договором зобов'язаний не вносити їх без попередньої письмової домовленості (розділ 4.3).

Дані документів, що посвідчують особу, не є особливою категорією персональних даних за статтею 9 GDPR. Обмеження, що до них застосовуються, викладено в розділі 4.3, а заходи щодо них — у Додатку II.

Частота передавання: безперервно, протягом строку дії підписки Клієнта.

Характер обробки: збирання, запис, упорядкування, структурування, зберігання, пошук, перегляд, використання, розкриття шляхом передавання субобробникам і платформам бронювання, які підключає Клієнт, обмеження (блокування), стирання та знищення — автоматизованими засобами, з метою забезпечення роботи Сервісу.

Мета: надання програмного забезпечення для операцій короткострокової оренди, що включає бронювання та календар, підключення до онлайн-платформ бронювання, облік передавання ключів, заявки на прибирання та обслуговування, звірку готівки, спілкування з гостями та набори для гостей, звітність і асистента ШІ.

Зберігання: відповідно до налаштувань Клієнта, поки робочий простір активний, з урахуванням автоматичного видалення зображень документів згідно з розділом 4.3 і заблокованих даних реєстру згідно з розділом 4.4; після припинення — період у режимі лише для читання тривалістю 90 днів, а потім видалення, як описано в розділі 12 цієї Угоди та розділі 6 Політики конфіденційності.

Передавання субобробникам: предмет, характер, тривалість і одержувачі — як зазначено в Додатку III.

I.C — Компетентний наглядовий орган

Агентство із захисту даних Іспанії (Agencia Española de Protección de Datos, AEPD), C/ Jorge Juan 6, 28001 Madrid, Іспанія, — як орган держави-члена, в якій зареєстровано Обробника.

Якщо Клієнт зареєстрований в іншій державі-члені, щодо його обробки як контролера компетентним є власний провідний наглядовий орган цього Клієнта.

Додаток II — Технічні та організаційні заходи

Це заходи, які ми застосовуємо згідно зі статтею 32 GDPR. Ми можемо оновлювати їх згідно з розділом 7 за умови, що рівень захисту суттєво не знижується.

II.1 Шифрування

• Увесь трафік між вами та Сервісом шифрується під час передавання через HTTPS.
• Для застосунку примусово застосовується HTTP Strict Transport Security (max-age=31536000; includeSubDomains).
• Дані шифруються під час зберігання в базі даних і в об'єктному сховищі.
• Документи, що посвідчують особу, зберігаються в приватному сховищі, а не за загальнодоступним шляхом. Вони показуються лише користувачам, які увійшли в систему і мають відповідну роль, за посиланнями, строк дії яких спливає протягом години, і ніколи не включаються до повідомлень чи інших посилань, які можна відкрити без входу.
• Паролі зберігаються у вигляді хешу, ніколи — у відкритому вигляді чи з оборотним шифруванням. Нові паролі перевіряються на збіг з відомими скомпрометованими паролями за допомогою запиту за діапазоном, який ніколи не надсилає ні пароль, ні його повний хеш.

II.2 Контроль доступу

• Робочий простір кожного клієнта логічно відокремлений від робочих просторів усіх інших клієнтів, і це відокремлення забезпечується на рівні бази даних.
• У межах кожного робочого простору діє рольовий контроль доступу за ролями, які призначає клієнт.
• Заблоковані дані реєстру мандрівників доступні лише адміністраторам робочого простору, лише із зафіксованою причиною, і кожен доступ реєструється в журналі.
• Доступ наших власних працівників надається за принципом найменших привілеїв, обмежується поіменно визначеними особами і невідкладно припиняється в разі зміни ролі чи звільнення.
• Усі, хто має доступ, пов'язані зобов'язаннями щодо конфіденційності, які діють і після завершення їхньої співпраці з нами.

II.3 Цілісність і контроль змін

• Події застосунку та безпеки реєструються в журналах і зберігаються так довго, як потрібно для виявлення та розслідування інцидентів безпеки.
• Видалення каскадно поширюється на пов'язані записи і прибирає відповідні файли зі сховища.
• Стирання даних гостей, відкриття заблокованих даних і їх автоматичне знищення фіксуються в журналі, який не містить персональних даних гостя.
• Зміни в робочому середовищі проходять через систему контролю версій і перевірку коду.
• Для застосунку встановлено HTTP-заголовки відповіді, що стосуються безпеки.
• Керування ботами та захист від зловживань діють на периферії мережі ще до того, як трафік досягає застосунку.
• Застосунок виключено з індексування пошуковими системами.

II.4 Доступність і стійкість

• Зашифровані резервні копії створюються щодня і зберігаються в ковзному вікні 7 днів у тому ж регіоні.
• Резервні копії зберігаються в межах ЄС, у тому ж регіоні, що й основні дані.
• Сервіс працює на керованій інфраструктурі з резервуванням на рівні постачальника.

II.5 Посилання на набори для гостей

Гість відкриває набір для гостя за посиланням, без акаунта чи пароля, щоб для отримання інформації про заселення йому не довелося реєструватися.

• Адреса посилання містить випадково згенерований ідентифікатор, який не походить із жодних даних бронювання, гостя чи об'єкта.
• Сторінки наборів для гостей виключено з індексування пошуковими системами, і вони не записують жодних аналітичних чи рекламних даних у сховище.
• Ви вирішуєте, що містить набір для гостя, кому і яким каналом надсилається посилання на нього.

II.6 Обробка за допомогою ШІ

• Ми не надсилаємо документи, що посвідчують особу, постачальникам ШІ.
• Дані клієнтів не використовуються для навчання моделей, і наша угода з постачальником ШІ цього не дозволяє.

II.7 Продуктова аналітика

• Аналітика та запис сеансів у застосунку працюють лише для користувачів, які на це погодилися.
• Записи сеансів маскують весь екран, тож жоден текст із робочого простору не фіксується; аналітика отримує шаблони сторінок і псевдонімний ідентифікатор користувача, а не вміст записів.

II.8 Управління

• Ми ведемо реєстр операцій з обробки згідно зі статтею 30(2) GDPR.
• Ми оцінюємо кожне обмежене передавання до його початку і регулярно переглядаємо цю оцінку.
• Ми застосовуємо процедуру реагування на інциденти, що забезпечує виконання зобов'язання щодо повідомлення, передбаченого розділом 11.
• Ми оцінюємо наших субобробників перед їх залученням і регулярно переглядаємо їх залучення.
• Ми застосовуємо письмові процедури щодо експорту, видалення робочих просторів і передавання вказівок щодо стирання субобробникам.
• Запити щодо захисту даних надходять до визначеної контактної особи за адресою privacy@cortocasa.com.

Додаток III — Субобробники

Актуально станом на 28 жовтня 2026. Цей Додаток є авторитетним переліком. Про зміни повідомляється щонайменше за 30 днів згідно з розділом 8.2.

Ланцюг залучення. Не з кожною зазначеною тут стороною ми уклали договір безпосередньо. Supabase надається через Lovable Cloud, Cloudflare розміщується перед застосунком у межах тієї самої домовленості про хостинг, а запити до OpenAI спрямовуються через шлюз ШІ Lovable. Channex використовує власних субобробників для хостингу, доставки електронної пошти, моніторингу помилок і мережевої безпеки, перелічених у його угоді про обробку даних, яку ми надаємо на запит. Якщо сторону залучено іншою стороною, а не нами, обов'язки поширюються на неї через договір цієї сторони, як вимагає розділ 8.3. Незалежно від цього ми залишаємося відповідальними перед вами за кожну сторону в ланцюгу.

Не субобробник. Paddle.com діє як Merchant of Record і є незалежним контролером платіжних даних, які збирає. Він не є нашим субобробником і не обробляє Персональні дані Клієнта від нашого імені. Див. розділ 4.1 Політики конфіденційності.

Не субобробники: платформи бронювання. Booking.com, Airbnb та інші платформи, які ви підключаєте, є вашими власними контрагентами, а не нашими. Ви даєте нам вказівку обмінюватися з ними даними; що вони роблять із цими даними, регулюється вашою угодою з кожною з них.

Поза межами цього Додатка. Hostinger розміщує наш маркетинговий вебсайт; Resend надсилає вашим адміністраторам сповіщення щодо оплати; Google Analytics, Microsoft Clarity і Google Ads вимірюють використання нашого вебсайту та застосунку за згодою користувача. Відповідні дані є нашими власними даними, щодо яких ми є контролером, а не Персональними даними Клієнта, тож згідно з розділом 3 вони перебувають поза сферою дії цієї Угоди. Ці постачальники перелічені в розділі 4 Політики конфіденційності.

Не залучено. Ми не використовуємо WhatsApp Business API і не передаємо дані гостей до Meta. Посилання на набори для гостей і повідомлення надсилаються через відкриття WhatsApp на власному пристрої відправника.

Додаток IV — Стандартні договірні положення

IV.1 Включення

Якщо передавання Персональних даних Клієнта є обмеженим передаванням відповідно до глави V GDPR і рішення про адекватність не застосовується, стандартні договірні положення, затверджені Імплементаційним рішенням Комісії (ЄС) 2021/914 від 4 червня 2021 року, включаються до цієї Угоди шляхом посилання і є її невід'ємною частиною.

IV.2 Який модуль застосовується

IV.3 Обрані варіанти та уточнення

Для кожного включеного модуля:

IV.4 Оцінки впливу передачі

Для кожного обмеженого передавання ми проводимо та документуємо оцінку того, чи не перешкоджають закон і практика країни призначення імпортеру виконувати свої обов'язки, а також того, які додаткові заходи потрібні, як вимагає Положення 14 стандартних договірних положень. Оцінку регулярно переглядають і повторно проводять щоразу, коли нам стає відомо про відповідну зміну в законодавстві чи практиці, і на запит надають компетентному наглядовому органу. Що саме ми надаємо вам, визначено в розділі 14.

IV.5 Інші юрисдикції

Сполучене Королівство та Швейцарія як юрисдикції клієнтів не входять до сфери дії цієї версії. Якщо ми почнемо пропонувати Сервіс клієнтам, зареєстрованим там, цей Додаток буде доповнено відповідно Міжнародним додатком щодо передавання даних Сполученого Королівства (UK International Data Transfer Addendum) і швейцарськими адаптаціями, з повідомленням згідно з розділом 17.