1. მხარეები და მოქმედების სფერო

1.1. ეს მონაცემთა დამუშავების ხელშეკრულება („DPA“) იდება ვეტმენის მომხმარებელ ორგანიზაციას, როგორც დამუშავებისთვის პასუხისმგებელ პირს, და შპს ტელვოს, ს/ნ 205218334, როგორც დამუშავებაზე უფლებამოსილ პირს, შორის.

1.2. DPA მომსახურების პირობების განუყოფელი ნაწილია და ვრცელდება პერსონალურ მონაცემზე, რომელსაც შპს ტელვო ორგანიზაციის სახელით ამუშავებს ვეტმენის მომსახურების გასაწევად.

1.3. იმ დამუშავებაზე, რომლის მიზნებსა და საშუალებებს შპს ტელვო თავად განსაზღვრავს — მათ შორის ანგარიშის ადმინისტრირება, უსაფრთხოება, ბილინგი და მხარდაჭერა — შპს ტელვო არის პასუხისმგებელი პირი და მოქმედებს კონფიდენციალურობის პოლიტიკის შესაბამისად.

1.4. ტერმინებს აქვს საქართველოს „პერსონალურ მონაცემთა დაცვის შესახებ“ კანონით განსაზღვრული მნიშვნელობა. მხარეები იცავენ მათზე მოქმედ მონაცემთა დაცვის კანონმდებლობას.

2. ორგანიზაციის დავალება

2.1. ორგანიზაცია შპს ტელვოს ავალებს მონაცემის დამუშავებას მხოლოდ მომსახურების პირობების, ამ DPA-ს, ორგანიზაციის მიერ პლატფორმაში შესრულებული მოქმედებისა და დამატებითი წერილობითი მითითების ფარგლებში.

2.2. დამუშავების საგანი, ხანგრძლივობა, ხასიათი, მიზნები, სუბიექტები და მონაცემთა კატეგორიები აღწერილია დანართ A-ში.

2.3. თუ დავალება აშკარად ეწინააღმდეგება მოქმედ კანონმდებლობას, შპს ტელვო ამის შესახებ აცნობებს ორგანიზაციას და შესაბამის მოქმედებას აჩერებს, გარდა კანონით სავალდებულო შემთხვევისა.

3. შპს ტელვოს ვალდებულებები

3.1. შპს ტელვო:

• ამუშავებს მონაცემს მხოლოდ დოკუმენტირებული დავალებით და განსხვავებული საკუთარი მიზნისთვის არ იყენებს;
• უზრუნველყოფს, რომ მონაცემზე დაშვებული პირები მოქმედებდნენ სამუშაო საჭიროების ფარგლებში და ჰქონდეთ კონფიდენციალურობის ვალდებულება;
• იყენებს დანართ B-ში აღწერილ რისკის შესაბამის ტექნიკურ და ორგანიზაციულ ზომებს;
• ორგანიზაციას, მის ხელთ არსებული ინფორმაციისა და მომსახურების ხასიათის გათვალისწინებით, გონივრულად ეხმარება სუბიექტის მოთხოვნებზე, უსაფრთხოებაზე, ინციდენტზე და საჭირო შეფასებაზე რეაგირებაში;
• ორგანიზაციას აწვდის ამ DPA-ს შესრულების დასადასტურებლად გონივრულად საჭირო ინფორმაციას;
• ხელშეკრულების დასრულებისას მოქმედებს მე-8 მუხლის შესაბამისად.

3.2. შპს ტელვო არ ყიდის ორგანიზაციის მონაცემს, არ იყენებს მას ქცევითი რეკლამისთვის და სხვა ორგანიზაციისთვის არ ხდის ხელმისაწვდომს.

4. ორგანიზაციის ვალდებულებები

4.1. ორგანიზაცია უზრუნველყოფს, რომ:

• დამუშავებას და შპს ტელვოსთვის მონაცემის გადაცემას აქვს კანონიერი საფუძველი;
• სუბიექტს მიეწოდება კანონით მოთხოვნილი ინფორმაცია და მიღებულია თანხმობა, როცა ის საჭიროა;
• დავალება არის კანონიერი, კონკრეტული და მომსახურებისთვის აუცილებელი;
• მომხმარებლებს ენიჭებათ მხოლოდ საჭირო წვდომა, ხოლო გაზიარების ბმულები და გარე კონსულტანტები სათანადოდ კონტროლდება;
• შეტანილი მონაცემი არის შესაბამისი, ზუსტი და შეძლებისდაგვარად განახლებული;
• არ შეიტანება ადამიანის განსაკუთრებული კატეგორიის მონაცემი, თუ ამის აუცილებლობა, კანონიერი საფუძველი და დაცვის სათანადო ზომები არ არსებობს.

4.2. ორგანიზაცია პასუხისმგებელია პლატფორმიდან გაგზავნილი SMS-ისა და ელფოსტის შინაარსსა და სამართლებრივ საფუძველზე, მათ შორის პირდაპირი მარკეტინგის წესების დაცვაზე.

5. ქვე-დამმუშავებლები

5.1. ორგანიზაცია ზოგადად უფლებამოსილებას აძლევს შპს ტელვოს გამოიყენოს ქვე-დამმუშავებლების მოქმედ სიაში მითითებული პირები.

5.2. ქვე-დამმუშავებელს წერილობით ეკისრება მონაცემთა დაცვის არსებითად შესაბამისი ვალდებულებები. შპს ტელვო ორგანიზაციის წინაშე პასუხისმგებელია ქვე-დამმუშავებლის მიერ ამ ვალდებულებების შესრულებაზე კანონითა და მხარეთა ხელშეკრულებით დადგენილ ფარგლებში.

5.3. ორგანიზაცია ამ ხელშეკრულებით იძლევა ზოგად თანხმობას ქვე-დამმუშავებლების ჩართვაზე შემდეგი წესით:

ა) აუცილებელი ქვე-დამმუშავებელი არის მომწოდებელი, რომლის გარეშეც ვეტმენი ვერ იმუშავებს (ჰოსტინგი, ქსელი და უსაფრთხოება, სისტემური ფოსტა, სარეზერვო ასლები), ასევე ასეთი მომწოდებლის შეცვლა. მისი ჩართვა ან შეცვლა ორგანიზაციის წინასწარ შეტყობინებას და დამატებით თანხმობას არ საჭიროებს. შპს ტელვო ქვე-დამმუშავებლების სიას განაახლებს არაუგვიანეს ცვლილების ამოქმედების დღისა. თუ ორგანიზაცია ცვლილებას არ ეთანხმება, მას შეუძლია მომსახურება შეწყვიტოს.

ბ) არჩევითი ფუნქციის ქვე-დამმუშავებელი გამოიყენება მხოლოდ იმ ფუნქციისთვის, რომელსაც ორგანიზაცია თავად ირთავს (მაგალითად, SMS). ფუნქციის ჩართვამდე შპს ტელვო აჩვენებს მომწოდებლის დასახელებას და მიზანს და ითხოვს ორგანიზაციის თანხმობას. ფუნქციის გამორთვის შემდეგ მონაცემი ამ მომწოდებელს აღარ გადაეცემა.

გ) ორივე შემთხვევაში მოქმედებს 5.2-ის მოთხოვნები.

6. სუბიექტის მოთხოვნა

6.1. შპს ტელვო ორგანიზაციის კონტროლის ქვეშ მყოფ მონაცემზე მიღებულ მოთხოვნას ორგანიზაციას გაუმართლებელი დაყოვნების გარეშე გადასცემს და თავად არსებით პასუხს არ გასცემს, თუ ორგანიზაციამ ამის უფლება არ მისცა ან კანონი არ მოითხოვს.

6.2. მომსახურების ხასიათისა და ხელმისაწვდომი ფუნქციების გათვალისწინებით, შპს ტელვო გონივრულად ეხმარება მონაცემის მოძიებაში, ასლის მომზადებაში, შესწორებაში, დაბლოკვაში, შეზღუდვასა და წაშლაში. ზოგი მოთხოვნა შეიძლება ხელით დამუშავებას საჭიროებდეს.

7. უსაფრთხოება და ინციდენტი

7.1. მხარეები იყენებენ მონაცემის კატეგორიის, მოცულობის, მიზნისა და რისკის შესაბამის ზომებს. ორგანიზაცია პასუხისმგებელია საკუთარ მოწყობილობებზე, მომხმარებლებზე და წვდომის კონფიგურაციაზე; შპს ტელვო — პლატფორმის მის კონტროლქვეშ მყოფ ნაწილზე.

7.2. ორგანიზაციის მონაცემზე მოქმედი ან სავარაუდო ინციდენტის აღმოჩენისას შპს ტელვო:

• იწყებს შეფასებას, შეკავებას, აღდგენასა და დოკუმენტირებას;
• ორგანიზაციას აცნობებს გაუმართლებელი დაყოვნების გარეშე;
• ეტაპობრივად აწვდის ხელმისაწვდომ ინფორმაციას ინციდენტის ხასიათზე, მონაცემსა და სუბიექტთა სავარაუდო მოცულობაზე, შესაძლო შედეგებზე, საკონტაქტო პირსა და მიღებულ ან დაგეგმილ ზომებზე.

7.3. ზედამხედველი ორგანოსა და მონაცემთა სუბიექტის ინფორმირების შესახებ გადაწყვეტილებას და შეტყობინებას ასრულებს ორგანიზაცია, როგორც პასუხისმგებელი პირი, თუ კანონით სხვა რამ არ არის დადგენილი. შპს ტელვო მას გონივრულ დახმარებას უწევს.

8. დაბრუნება, წაშლა და ვადა

8.1. DPA მოქმედებს მანამ, სანამ შპს ტელვო ორგანიზაციის სახელით მონაცემს ამუშავებს.

8.2. მომსახურების დასრულებისას ორგანიზაციას შეუძლია მოითხოვოს მისთვის ხელმისაწვდომი მონაცემის დაბრუნებაში გონივრული დახმარება ან მონაცემის წაშლა. მოთხოვნა იგზავნება კონტაქტის გვერდიდან.

8.3. წაშლა სრულდება გონივრულ ვადაში, კანონის, ტექნიკური შესაძლებლობისა და ბექაფის ციკლის გათვალისწინებით. მონაცემი შეიძლება შენარჩუნდეს მხოლოდ მაშინ და იმდენ ხანს, რამდენსაც კანონი მოითხოვს; ამ პერიოდში სხვა მიზნისთვის აღარ მუშავდება.

9. საერთაშორისო გადაცემა

9.1. ძირითადი აპლიკაციის ინფრასტრუქტურა მდებარეობს DigitalOcean-ის ფრანკფურტის რეგიონში, გერმანიაში. სხვა მდებარეობა მითითებულია ქვე-დამმუშავებლების მოქმედ სიაში.

9.2. მონაცემის საქართველოს ფარგლებს გარეთ გადაცემა სრულდება მოქმედი კანონით დაშვებული საფუძვლითა და სათანადო გარანტიებით. თუ კონკრეტული დამატებითი ფუნქციისთვის ასეთი საფუძველი ვერ დასტურდება, ფუნქცია არ უნდა ჩაირთოს ორგანიზაციის მონაცემისთვის.

10. ინფორმაცია და შემოწმება

10.1. ორგანიზაციის წერილობითი მოთხოვნით შპს ტელვო წელიწადში ერთხელ აწვდის DPA-ს შესრულების შესახებ მის ხელთ არსებულ გონივრულ ინფორმაციას. დამატებითი შემოწმება დასაშვებია მნიშვნელოვანი ინციდენტის ან ორგანოს მოთხოვნის შემთხვევაში.

10.2. ადგილზე ან ტექნიკური შემოწმება წინასწარ თანხმდება, არ უნდა არღვევდეს უსაფრთხოებას, სხვა ორგანიზაციის კონფიდენციალურობას ან მომსახურების მუშაობას და შემოიფარგლება შესაბამისი მტკიცებულებით. გარე ხარჯებს ფარავს მომთხოვნი მხარე, თუ შემოწმება არსებით დარღვევას არ გამოავლენს.

11. ცვლილება და უპირატესობა

11.1. DPA-ს არსებითი ცვლილების შესახებ ორგანიზაციას, როგორც წესი, ძალაში შესვლამდე სულ მცირე 30 დღით ადრე ვატყობინებთ და, საჭიროებისას, ახალ მიღებას ვითხოვთ.

11.2. ორგანიზაციის მონაცემის დამუშავების საკითხზე ამ DPA-სა და მომსახურების პირობებს შორის წინააღმდეგობისას უპირატესობა DPA-ს ენიჭება. ქართული ვერსია უპირატესია ინგლისურ თარგმანთან შეუსაბამობისას.

დანართი A — დამუშავების აღწერა

ცხოველის ჯანმრთელობის ჩანაწერი ადამიანის განსაკუთრებული კატეგორიის მონაცემი არ არის. თუ ორგანიზაცია თავისუფალ ტექსტში ან ფაილში ადამიანის განსაკუთრებული კატეგორიის მონაცემს შეიტანს, იგი პასუხისმგებელია შესაბამის აუცილებლობაზე, საფუძველსა და დაცვით ზომებზე.

დანართი B — ტექნიკური და ორგანიზაციული ზომები

მოქმედი ზომები მოიცავს:

• HTTPS-სა და HSTS-ს კავშირის დასაცავად;
• პაროლების ჰეშირებას და ახალი პაროლის სირთულისა და ცნობილი გაჟონვის შემოწმებას;
• ანგარიშისა და IP-ის დონეზე შესვლის წარუმატებელი მცდელობების შეზღუდვას;
• 8-საათიან უმოქმედობის და 24-საათიან აბსოლუტურ სესიის ზღვარს, Secure, HttpOnly და SameSite=Lax სესიის ქუქის პარამეტრებს;
• როლებს, უფლებებს, ორგანიზაციის მიხედვით მოთხოვნის ფილტრაციას და გარე კონსულტანტის შეზღუდულ წვდომას;
• ატვირთული ფაილის გაცემამდე ავტორიზაციისა და ორგანიზაციის შემოწმებას;
• SMTP და SMS კონფიგურაციის საიდუმლოებების AES-256-GCM-ით დაშიფვრას;
• მნიშვნელოვანი ჩაწერების, შესვლის, გაზიარების ბმულის გახსნისა და ადმინისტრატორის იმპერსონაციის აუდიტს;
• ბაზისა და ფაილების ბექაფს და ცვლილებების სატესტო გარემოში შემოწმების პროცესს.

უსაფრთხოების ზომები პერიოდულად გადაიხედება რისკის, ტექნოლოგიისა და მომსახურების ცვლილების შესაბამისად. ეს დანართი არ აცხადებს დანერგილად იმ ზომას, რომელიც მხოლოდ დაგეგმილია.