Угода про обробку даних

Сфера дії та визначення

Юридичні повідомлення та повідомлення щодо захисту даних: legal@ixlabs.ai

У цій DPA «ми», «нас», «наш» і «Обробник» означають IX Labs. «ви», «ваш» і «Замовник» означають організацію або особу, яка оформлює підписку на Сервіс і приймає цю DPA. «сторона» означає будь-кого з нас, а «сторони» – обох.

Наш продукт – Ingy («Сервіс»), Telegram-бот, який створює чернетки дописів для соціальних мереж із посилання на статтю, посилання на відео, завантаженого відео або простих інструкцій. Сервіс повертає одне звичайне текстове повідомлення, готове до копіювання. Публікація виконується вручну. Бот ніколи нічого не публікує в жодному каналі, акаунті чи для жодної аудиторії. Акаунт Замовника – це акаунт користувача в Telegram. Сервіс вивчає «стильовий профіль» для кожного акаунта з власних завершених дописів цього акаунта. Наш вебсайт – ingy.app, а бот – @IngyAppBot.

Ця DPA є самодостатньою. Вона не вимагає від вас читати, приймати чи покладатися на будь-який інший документ, який ми публікуємо, і лишається повністю чинною, якщо будь-який інший наш опублікований документ буде змінено чи відкликано. Там, де ця DPA згадує ваш «Договір підписки», мається на увазі, узагальнено, угода, за якою ви оформлюєте підписку на Сервіс і маєте право ним користуватися, у будь-якій формі, якої вона набуває.

---

1. Навіщо існує ця DPA і коли вона вам потрібна

1.1 Якщо ви використовуєте Сервіс для обробки персональних даних, цілі й засоби обробки яких визначаєте ви – наприклад, якщо ви є маркетинговою агенцією чи компанією, а ваші працівники вносять до Сервісу матеріали клієнтів, контактні дані клієнтів або персональні дані третіх осіб, – ми обробляємо ці персональні дані від вашого імені. Стаття 28 UK GDPR вимагає, щоб такі відносини регулювалися письмовим договором. Ця DPA і є таким договором.

1.2 Якщо ви користуєтеся Сервісом винятково для себе, як фізична особа, для власних особистих чи побутових цілей, ця DPA вам, найімовірніше, не потрібна. Її прийняття попри це вам не зашкодить.

1.3 Ця DPA доповнює ваш Договір підписки і є його частиною. Якщо ця DPA суперечить Договору підписки у питанні обробки персональних даних, переважну силу має ця DPA. З усіх інших питань, включно з комерційними умовами, платежами та обмеженням відповідальності, переважну силу має Договір підписки.

---

2. Як приймається ця DPA (механізм акцепту)

2.1 Ця DPA підписана заздалегідь шляхом публікації. Ми підписали її, опублікувавши. Для набрання цією DPA чинності не потрібно ні підпису, ні зустрічного підпису, ні зустрічного вчинення з боку IX Labs, і ми не надаємо їх у звичайному порядку. Не чекайте на підпис від нас, перш ніж покладатися на цю DPA, – ви вже маєте нашу згоду на неї в цьому документі.

2.2 Ця DPA набирає чинності між вами і нами з настанням ранішої з двох наведених нижче подій.

2.3 Шлях A – автоматичний акцепт. Ця DPA застосовується автоматично, без будь-яких додаткових дій, з моменту, коли ви починаєте використовувати Сервіс для обробки персональних даних від імені інших осіб за обставин, описаних у пункті 1.1. Ваше подальше користування Сервісом означає прийняття цієї DPA.

2.4 Шлях B – примірник із вашим підписом. Якщо ваше внутрішнє управління, ваші власні договори з клієнтами або ваша закупівельна процедура вимагають підписаного документа, ви можете:

1. завантажити цю DPA;
2. заповнити й підписати блок підпису в Додатку A (блок підпису Замовника); і
3. надіслати підписаний примірник на legal@ixlabs.ai.

Після отримання ми зафіксуємо його у звʼязку з вашим акаунтом і, якщо ви попросите про це в тому самому листі, письмово підтвердимо отримання. Таке підтвердження є адміністративним, а не умовою чинності.

2.5 Шлях B не змінює умов. Примірник, підписаний вами й повернутий нам, набирає чинності на умовах цієї опублікованої версії, без змін. Будь-яка поправка, вилучення, вставка, додаток, доповнення, супровідний лист чи умова замовлення на закупівлю, які ви додаєте до повернутого примірника, не мають сили і прямо відхиляються, якщо тільки ми не погодимося на них окремо в документі, підписаному уповноваженою особою IX Labs. Мовчання, відсутність відповіді або продовження надання нами Сервісу не є прийняттям такої зміни.

2.6 Чинною версією цієї DPA є версія, опублікована на ingy.app. Зміни регулюються розділом 18.

---

3. Визначення

3.1 У цій DPA:

• «Застосовне законодавство про захист даних» означає UK GDPR, Data Protection Act 2018, Privacy and Electronic Communications (EC Directive) Regulations 2003, а також, у тій мірі, у якій воно застосовується до обробки стороною за цією DPA, Регламент (ЄС) 2016/679 («EU GDPR»), у кожному випадку зі змінами або в редакції, що замінює їх.
• «UK GDPR» має значення, надане в статті 3(10) Data Protection Act 2018.
• «контролер», «обробник», «субʼєкт даних», «персональні дані», «порушення безпеки персональних даних», «обробка» і «наглядовий орган» мають значення, надані в UK GDPR. «обробляти», «обробляє» та «оброблено» тлумачаться відповідно.
• «Персональні дані Замовника» означають персональні дані, що містяться у Контенті Замовника і обробляються нами від вашого імені за цією DPA. Вони не охоплюють Операційні дані (пункт 4.4).
• «Контент Замовника» означає матеріали, які ви або ваші користувачі подають до Сервісу, – включно з посиланнями на джерела, завантаженими файлами, інструкціями та запитами, – а також результати, створені з них, включно зі створеними чернетками дописів і виведеним стильовим профілем.
• «Операційні дані» означають дані, описані в пункті 4.4, які ми обробляємо як незалежний контролер.
• «Субпідрядник» означає будь-яку третю сторону, залучену нами для обробки Персональних даних Замовника від нашого імені у звʼязку з наданням Сервісу.
• «Обмежене передавання» означає передавання персональних даних до країни чи міжнародної організації за межами Сполученого Королівства (або, якщо застосовується EU GDPR, за межі Європейського економічного простору), не охоплене рішенням чи регламентами про адекватність.
• «UK Addendum» означає International Data Transfer Addendum до Стандартних договірних положень Європейської Комісії, виданий Уповноваженим з інформації згідно зі статтею 119A Data Protection Act 2018, версія B1.0, чинна з 21 березня 2022 року, з подальшими змінами чи в редакції, що її замінює.
• «IDTA» означає International Data Transfer Agreement, виданий Уповноваженим з інформації згідно зі статтею 119A Data Protection Act 2018, з подальшими змінами чи в редакції, що його замінює.
• «EU SCCs» означає стандартні договірні положення, додані до Імплементаційного рішення Комісії (ЄС) 2021/914 від 4 червня 2021 року, з подальшими змінами чи в редакції, що їх замінює.
• «Додаток» означає додаток до цієї DPA. Додатки є частиною цієї DPA.

3.2 Посилання на закон або його положення охоплюють цей закон або положення зі змінами, доповненнями чи в новій редакції.

---

4. Ролі сторін

4.1 Ви є контролером. Ви є контролером Персональних даних Замовника. Ви визначаєте цілі й засоби їх обробки. Ви вирішуєте, що потрапляє до Сервісу.

4.2 Ми є обробником. Ми є обробником Персональних даних Замовника і обробляємо їх лише так, як описано в пункті 5.

4.3 Ваші обовʼязки як контролера. Ви гарантуєте й зобовʼязуєтеся, що:

• (a) ви маєте дійсну правову підставу за статтею 6 UK GDPR (а якщо задіяно дані особливих категорій або дані про кримінальні правопорушення – дійсну умову за статтею 9 чи статтею 10) для кожної мети, з якою подаєте Персональні дані Замовника до Сервісу;
• (b) ви надали всі повідомлення й отримали всі згоди, дозволи та повноваження, потрібні для того, щоб ми і наші Субпідрядники обробляли Персональні дані Замовника так, як передбачено цією DPA;
• (c) ви маєте право подавати кожне джерело, яке подаєте, і подавати його зміст до Сервісу;
• (d) ваші вказівки нам не вимагають від нас чи наших Субпідрядників порушувати Застосовне законодавство про захист даних; і
• (e) ви провели будь-яку оцінку, потрібну від вас як контролера, включно з оцінкою впливу на захист даних.

4.4 ВИНЯТОК – ми є незалежним контролером щодо власних операційних даних. Окремо від нашої ролі обробника і на додаток до неї ми діємо як незалежний контролер щодо наведеного нижче («Операційні дані»), і ця DPA до них не застосовується:

• (a) дані акаунта – ідентифікатори Telegram і записи акаунта, потрібні нам для створення, ідентифікації, автентифікації та адміністрування акаунта, і запис про тариф акаунта;
• (b) платіжні та фінансові дані – записи про підписку, тариф, транзакції, рахунки, повернення коштів, чарджбеки, податки й бухгалтерський облік, а також записи, які ми зобовʼязані вести за законом;
• (c) дані безпеки та протидії зловживанням – журнали, записи про доступ, записи про обмеження частоти запитів і лімітів, а також записи, створені під час виявлення, розслідування та запобігання шахрайству, зловживанням, інцидентам безпеки й порушенням наших правил допустимого використання;
• (d) дані про роботу сервісу й телеметрію – технічні журнали, записи про помилки та діагностику, метрики безвідмовної роботи й продуктивності, а також агрегована продуктова аналітика щодо користування Сервісом, яка не містить змісту Контенту Замовника;
• (e) ділові контактні дані – контактні дані ваших працівників, використовувані для адміністрування відносин, відповідей на звернення до підтримки, надсилання службових повідомлень і ведення акаунта; і
• (f) агрегована та знеособлена статистика, отримана з роботи Сервісу, яка не ідентифікує і не може обґрунтовано бути використана для ідентифікації жодного субʼєкта даних.

Ми обробляємо Операційні дані для власних законних ділових цілей: експлуатації, захисту, підтримки, тарифікації та вдосконалення Сервісу, а також виконання наших юридичних обовʼязків. Як контролер Операційних даних ми несемо за них пряму відповідальність за Застосовним законодавством про захист даних. Для уникнення сумнівів, пункт 6 (заборона використання для розробки моделей) застосовується до Контенту Замовника і Персональних даних Замовника, а підпункти (d) і (f) вище не дають нам права використовувати Контент Замовника для розробки моделей.

4.5 Окремі контролери. Якщо третя сторона, залучена до надання Сервісу, діє як окремий і незалежний контролер сама по собі – зокрема Creem (Armitage Labs OÜ) як продавець за договором (Merchant of Record) для платежів і Telegram як платформа обміну повідомленнями, через яку надається Сервіс, – вона не є нашим Субпідрядником щодо такої обробки, і ми не відповідаємо за її обробку як контролера. Див. Додаток 3.

4.6 Відсутність спільного контролю. Ніщо в цій DPA не робить сторони спільними контролерами у розумінні статті 26 UK GDPR.

---

5. Обробка за задокументованими вказівками

5.1 Ми оброблятимемо Персональні дані Замовника лише за вашими задокументованими вказівками, зокрема щодо Обмежених передавань, окрім випадків, коли інше вимагається законом, дії якого ми підпорядковані. Якщо закон вимагає від нас іншої обробки, ми повідомимо вас про цю юридичну вимогу до початку обробки, якщо тільки цей закон не забороняє нам це робити з важливих міркувань суспільного інтересу.

5.2 Що є задокументованими вказівками. Вашими задокументованими вказівками є, і обмежуються ними:

• (a) ваш Договір підписки;
• (b) ця DPA, включно з її Додатками;
• (c) ваше користування та користування ваших користувачів Сервісом через його звичайну функціональність – кожне посилання на джерело, завантаження, запит та інструкція, подані через Сервіс, є вказівкою обробити персональні дані, які вони містять, з метою створення запитаного результату; і
• (d) будь-яка подальша письмова вказівка, яку ви нам даєте і яку ми приймаємо в письмовій формі.

Разом вони становлять повний обсяг задокументованих вказівок. Ми не зобовʼязані діяти за вказівкою, переданою в будь-який інший спосіб.

5.3 Додаткові вказівки. Ми не зобовʼязані діяти за вказівкою, що виходить за межі Сервісу в тому вигляді, у якому він надається на той час, що вимагає змін у Сервісі або що спричинила б для нас суттєві витрати чи зусилля. Якщо ми погодимося діяти за такою вказівкою, ми можемо стягнути з вас наші розумні витрати на це, і ми повідомимо вам очікувану суму до початку робіт.

5.4 Незаконні вказівки. Ми повідомимо вас, якщо, на нашу думку, вказівка порушує Застосовне законодавство про захист даних. Ми можемо призупинити її виконання, доки її не буде змінено, підтверджено чи відкликано. Повідомлення вам не робить нас відповідальними за перевірку законності ваших вказівок загалом – це лишається вашою відповідальністю як контролера.

5.5 Дані особливих категорій і дані високого ризику. Сервіс не призначений для, і ви не повинні подавати до нього, персональних даних особливих категорій (стаття 9 UK GDPR), даних про кримінальні правопорушення (стаття 10 UK GDPR), персональних даних дітей, державних ідентифікаторів, номерів фінансових рахунків чи платіжних карток, даних про здоровʼя або персональних даних, розкриття яких створило б значний ризик шкоди для субʼєкта даних. Якщо ви подаєте такі дані, ви робите це на власний ризик і за умови, що відповідаєте за них; технічні та організаційні заходи в Додатку 2 розраховані на контент, призначений для публікації, а не на категорії високого ризику.

---

6. Заборона використання вашого контенту для розробки чи навчання моделей

6.1 Зобовʼязання. Там, де застосовується ця DPA, ми не використовуватимемо ваш Контент Замовника чи Персональні дані Замовника для розробки, навчання, донавчання, оцінювання чи іншого вдосконалення будь-якої моделі машинного навчання чи штучного інтелекту – ні нашої, ні чиєїсь іще. Ми не використовуватимемо їх для жодної власної мети.

6.2 Чому. За цією DPA ми діємо як ваш обробник. Обробник може обробляти персональні дані лише за задокументованими вказівками контролера і для цілей, визначених контролером. Перепрофілювання вашого контенту для нашої власної розробки моделей зробило б нас контролером цих даних для такої мети, і ми цього не робимо.

6.3 Обсяг дозволеної мети. Ми використовуємо Контент Замовника виключно для того, щоб (a) надавати вам Сервіс – тобто створювати запитаний результат і підтримувати стильовий профіль кожного акаунта, який дає результат голосом ваших користувачів; (b) забезпечувати безпеку й підтримку Сервісу; і (c) виконувати вимоги закону.

6.4 Стильовий профіль. Стильовий профіль кожного акаунта виводиться з власних завершених дописів цього акаунта і використовується лише для цього акаунта. Він не обʼєднується з іншими, не поширюється між акаунтами і не використовується як навчальний матеріал для жодної загальної моделі.

6.5 Операційне зобовʼязання. Операційно акаунти, охоплені цією DPA, виключаються з розробки моделей. Ми підтримуватимемо внутрішні засоби контролю, потрібні для реалізації цього пункту, зокрема позначатимемо акаунти, охоплені цією DPA, щоб їхній контент виключався з будь-якого набору даних, використовуваного для розробки чи оцінювання моделей.

6.6 Субпідрядники. Ми не дозволятимемо жодному Субпідряднику використовувати Персональні дані Замовника для навчання чи вдосконалення власних моделей і використовуватимемо доступні нам параметри конфігурації в кожного Субпідрядника, щоб це забезпечити. Якщо механізмом досягнення цього є умови Субпідрядника, нашим обовʼязком є забезпечити й підтримувати таку конфігурацію.

6.7 Ніщо в цьому пункті не обмежує нашого використання агрегованої, знеособленої статистики, що підпадає під пункт 4.4(f), яка не містить Контенту Замовника і не може бути використана для ідентифікації жодного субʼєкта даних чи відтворення будь-якого Контенту Замовника.

---

7. Конфіденційність

7.1 Ми поводитимемося з Персональними даними Замовника як з конфіденційними і не розкриватимемо їх, окрім випадків, дозволених цією DPA або вимаганих законом.

7.2 Ми забезпечимо, щоб кожна особа, уповноважена нами обробляти Персональні дані Замовника:

• (a) була звʼязана обовʼязком конфіденційності – договірним чи законним, – що зберігається після завершення її залучення;
• (b) обробляла Персональні дані Замовника лише за нашими вказівками і лише в обсязі, потрібному для її ролі; і
• (c) отримала належні настанови щодо своїх обовʼязків із захисту даних.

7.3 Якщо ми будемо змушені законом, судовим наказом чи компетентним органом розкрити Персональні дані Замовника, ми, якщо це не заборонено законом, повідомимо вас до розкриття, щоб ви могли домагатися захисних заходів, і розкриємо лише те, що зобовʼязані розкрити за законом.

---

8. Безпека

8.1 Ми впровадимо й підтримуватимемо належні технічні та організаційні заходи для забезпечення рівня безпеки, відповідного ризику, з урахуванням рівня розвитку технологій, витрат на впровадження, а також характеру, обсягу, контексту й цілей обробки, як цього вимагає стаття 32 UK GDPR.

8.2 Наявні у нас заходи викладено в Додатку 2. Додаток 2 є точним описом заходів, наявних станом на дату набрання чинності цією версією, і є повним викладом наших зобовʼязань щодо безпеки. Жодна заява щодо безпеки поза Додатком 2 не є частиною цієї DPA.

8.3 Ми можемо час від часу оновлювати заходи в Додатку 2 за умови, що оновлені заходи суттєво не знижують загального рівня безпеки.

8.4 Ваша відповідальність. Ви відповідаєте за безпеку власного середовища, включно з безпекою акаунтів Telegram і пристроїв ваших користувачів, вашими рішеннями про те, хто у вашій організації може користуватися Сервісом, і вашими рішеннями про те, які персональні дані подавати. Доступ до Сервісу здійснюється через акаунти Telegram, які ми не контролюємо і не можемо захистити.

---

9. Субпідрядники

9.1 Загальний дозвіл. Ви надаєте нам загальний дозвіл залучати Субпідрядників для обробки Персональних даних Замовника з урахуванням цього пункту 9.

9.2 Поточні Субпідрядники. Субпідрядників, залучених станом на дату набрання чинності цією версією, перелічено в Додатку 3.

9.3 Наші обовʼязки. Перед залученням Субпідрядника ми проведемо розумну перевірку його спроможності забезпечити рівень захисту, якого вимагає ця DPA. Ми покладемо на кожного Субпідрядника письмовим договором обовʼязки із захисту даних, які по суті є не менш захисними, ніж передбачені цією DPA, у тій мірі, у якій вони застосовні до послуг, які він надає.

9.4 Наша відповідальність за Субпідрядників. Ми лишаємося повністю відповідальними перед вами за виконання кожним Субпідрядником його обовʼязків із захисту даних щодо Персональних даних Замовника, завжди з урахуванням пункту 15 (Відповідальність).

9.5 Зміни та попередження. Ми попередимо вас щонайменше за 30 днів до того, як новий Субпідрядник почне обробляти Персональні дані Замовника, або до заміни чинного. Попередження здійснюється шляхом оновлення Додатка 3, опублікованого на ingy.app, і, якщо ви надали нам адресу електронної пошти для цієї мети, надсиланням листа на цю адресу. Ви відповідаєте за підтримання цієї адреси в актуальному стані й за підписку на будь-який механізм сповіщень, який ми пропонуємо.

9.6 Право заперечити. Ви можете заперечити проти запропонованого нового Субпідрядника або заміни на розумних підставах, повʼязаних із захистом даних, надіславши письмове повідомлення на legal@ixlabs.ai протягом 30-денного строку попередження із зазначенням підстав. Ми добросовісно працюватимемо з вами над врегулюванням заперечення, що може охоплювати пропозицію розумної альтернативи або зміну конфігурації. Якщо ми не зможемо врегулювати його в розумний строк, вашим єдиним і виключним засобом захисту є припинення підписки на відповідну частину Сервісу за письмовим повідомленням, без повернення вже сплачених сум, окрім будь-якого повернення, доступного вам за нашими опублікованими умовами повернення коштів і скасування, чинними на той час, або за застосовним законодавством.

9.7 Термінові зміни. Якщо Субпідрядника потрібно залучити чи замінити терміново для підтримання безпеки або безперервності Сервісу, ми можемо зробити це з таким попередженням, яке є практично можливим, і пункт 9.6 тоді застосовується з дати надання попередження.

---

10. Сприяння у здійсненні прав субʼєктів даних

10.1 З урахуванням характеру обробки ми надаватимемо розумне сприяння належними технічними та організаційними заходами, наскільки це можливо, щоб дати вам змогу виконати ваш обовʼязок відповідати на запити субʼєктів даних щодо здійснення їхніх прав за Главою III UK GDPR.

10.2 Запити, отримані нами. Якщо ми отримаємо запит субʼєкта даних щодо Персональних даних Замовника, ми не відповідатимемо на нього по суті самостійно. Ми невідкладно перешлемо його вам, якщо тільки не зобовʼязані відповісти за законом. Відповідати зобовʼязані ви.

10.3 Що зробимо ми. За вашим письмовим запитом ми, наскільки це можливо й пропорційно з огляду на характер Сервісу, допоможемо вам знайти, надати копію, виправити, обмежити, видалити чи експортувати Персональні дані Замовника, що зберігаються в зазначеному вами акаунті.

10.4 Що маєте надати ви. Ви повинні вказати відповідний акаунт або акаунти. Ми не можемо шукати Контент Замовника по всіх акаунтах за іменем конкретної особи і не зобовʼязані створювати таку можливість.

10.5 Плата. Сприяння за цим пунктом надається безкоштовно для запитів, розумних за кількістю та обсягом. Якщо запити є явно необґрунтованими, надмірними, повторюваними або потребують суттєвих інженерних зусиль чи зусиль поза межами звичайної функціональності Сервісу, ми можемо стягнути наші розумні витрати за чинними на той час професійними ставками. Ми повідомимо вам очікувану суму до понесення витрат і не діятимемо, доки ви не затвердите її письмово.

---

11. Сприяння в DPIA, консультаціях і виконанні статей 32–36

11.1 З урахуванням характеру обробки та наявної в нас інформації ми надаватимемо розумне сприяння у виконанні ваших обовʼязків за статтями 32–36 UK GDPR – безпека обробки, повідомлення про порушення безпеки персональних даних, оцінка впливу на захист даних і попередні консультації з наглядовим органом, – у кожному випадку лише в тій мірі, у якій питання стосується нашої обробки Персональних даних Замовника.

11.2 Таке сприяння зазвичай матиме форму інформації, наведеної в цій DPA та її Додатках, разом із письмовими відповідями на розумні конкретні запитання. Інформація в цій DPA та її Додатках має на меті задовольнити більшу частину будь-якої оцінки, яку ви проводите.

11.3 Пункт 10.5 (Плата) застосовується так само до сприяння за цим пунктом.

---

12. Порушення безпеки персональних даних

12.1 Ми повідомимо вас без невиправданої затримки після того, як нам стане відомо про порушення безпеки персональних даних, що зачіпає Персональні дані Замовника.

12.2 Наше повідомлення міститиме, у відомому нам на той момент обсязі й наскільки ми здатні його надати:

• (a) опис характеру порушення, включно, за можливості, з категоріями та приблизною кількістю відповідних субʼєктів даних і записів;
• (b) імовірні наслідки порушення;
• (c) вжиті або запропоновані заходи щодо усунення порушення, включно, за потреби, із заходами для помʼякшення його можливих несприятливих наслідків; і
• (d) контактну особу, у якої можна отримати додаткову інформацію.

12.3 Якщо ми не можемо надати всю цю інформацію одразу, ми надаватимемо її поетапно в міру надходження, без подальшої невиправданої затримки.

12.4 Ми повідомимо вас електронною поштою на адресу, повʼязану з вашим акаунтом, а якщо ви письмово надали нам окрему адресу контакту з питань безпеки – також на цю адресу. Ви відповідаєте за точність цих адрес і за їх моніторинг.

12.5 Ваша відповідальність. Ви відповідаєте за рішення про те, чи потрібно повідомляти про порушення наглядовий орган або доводити його до відома субʼєктів даних, і за здійснення такого повідомлення. Ми надамо розумне сприяння згідно з пунктом 11.

12.6 Не є визнанням. Наше повідомлення про порушення безпеки персональних даних чи реагування на нього не є і не повинно трактуватися як визнання нами вини чи відповідальності.

12.7 Ви не повинні робити публічних заяв, які ідентифікують нас у звʼязку з порушенням безпеки персональних даних, без нашої попередньої письмової згоди, окрім випадків, коли цього вимагає закон або наглядовий орган.

---

13. Видалення та повернення Персональних даних Замовника

13.1 Після припинення або спливу строку вашого Договору підписки, або в будь-який раніший момент за вашим письмовим запитом, ми на ваш вибір видалимо або повернемо вам Персональні дані Замовника і видалимо наявні копії.

13.2 Здійснення вибору. Ви маєте повідомити нам, чого саме бажаєте, письмово на legal@ixlabs.ai, протягом 30 днів після припинення або спливу строку. Якщо ви цього не зробите, ми видалимо Персональні дані Замовника. Видалення є остаточним, і після нього ми не можемо відновити видалені дані. Якщо ви хочете зберегти чернетки чи результати, експортуйте або скопіюйте їх до припинення.

13.3 Форма повернення. Якщо ви просите про повернення, ми надамо дані у широковживаному електронному форматі, який здатні обґрунтовано підготувати. Ми можемо стягнути наші розумні витрати, якщо запит потребує зусиль понад звичайну функціональність експорту Сервісу.

13.4 Строки видалення. Ми завершимо видалення протягом 90 днів з пізнішої з дат: припинення або вашої вказівки, з урахуванням пункту 13.5.

13.5 Виняток щодо зберігання. Ми можемо зберігати Персональні дані Замовника в тому обсязі й доти, доки цього вимагає закон, дії якого ми підпорядковані, або доки це необхідно для встановлення, здійснення чи захисту правових вимог. Зокрема:

• (a) ми зберігаємо фінансові та транзакційні записи протягом 6 років, як вимагає законодавство Сполученого Королівства;
• (b) ми можемо зберігати записи, обґрунтовано потрібні для підтвердження дотримання наших власних юридичних обовʼязків; і
• (c) дані у звичайних резервних копіях видаляються відповідно до нашої звичайної ротації резервних копій, а не на вимогу.

Будь-які дані, збережені за цим пунктом, лишаються предметом пунктів 6 (заборона розробки моделей), 7 (конфіденційність) і 8 (безпека) і не оброблятимуться для жодної мети, окрім тієї, задля якої вони зберігаються.

---

14. Права на аудит та інформацію

Цей пункт свідомо конкретний. Він визначає повний обсяг ваших прав на аудит за цією DPA.

14.1 Спершу інформація. Ми надамо вам інформацію, потрібну для підтвердження дотримання обовʼязків за статтею 28 UK GDPR. У першу чергу цей обовʼязок вважається виконаним цією DPA та її Додатками.

14.2 Шлях опитувальника – основний механізм. Ваші права на аудит та інспекцію задовольняються у першу чергу наданням нами письмових відповідей на розумний опитувальник щодо безпеки та захисту даних, надісланий на legal@ixlabs.ai, не частіше ніж раз на 12 місяців. Ми відповімо протягом 30 днів після отримання опитувальника, розумного за обсягом і змістом та релевантного нашій обробці Персональних даних Замовника. Ми не зобовʼязані заповнювати спеціальні опитувальники нерозумного обсягу чи відповідати на запитання, не релевантні нашій обробці Персональних даних Замовника.

14.3 Виїзний аудит або аудит на місці. Виїзний аудит або інспекція понад передбачене пунктом 14.2 може проводитися лише тоді, коли цього вимагає Застосовне законодавство про захист даних або наглядовий орган, що має юрисдикцію щодо вас, і лише за всіх таких умов:

• (a) ви попереджаєте нас щонайменше за 30 днів письмово на legal@ixlabs.ai із зазначенням юридичної вимоги, на яку посилаєтеся;
• (b) аудит проводиться в наші звичайні робочі години, у погоджену дату, і триває не більше одного робочого дня;
• (c) аудит проводиться за ваш рахунок, і ви також відшкодовуєте наші розумні витрати й час нашого персоналу за чинними на той час професійними ставками;
• (d) аудитором є ви або незалежний професійний аудитор, призначений вами, який не є нашим конкурентом, і аудитор підписує з нами зобовʼязання про конфіденційність до початку аудиту на умовах, обґрунтовано прийнятних для нас;
• (e) аудит не охоплює жодного тестування на проникнення, сканування вразливостей, огляду коду чи доступу до нашого вихідного коду, наших систем або нашого робочого середовища і не вимагає від нас розкриття інформації, що належить іншому замовнику, чи його персональних даних, або інформації, охопленої обовʼязком конфіденційності перед третьою стороною чи адвокатською таємницею;
• (f) ви вживаєте всіх розумних заходів, щоб уникнути заподіяння шкоди, ушкоджень чи порушення роботи наших приміщень, обладнання, персоналу й бізнесу; і
• (g) висновки є конфіденційними для сторін і використовуються лише для оцінки дотримання нами цієї DPA.

14.4 Без аудиту під час інциденту. Ми можемо відкласти аудит, якщо аудит у цей час, на нашу розумну думку, зашкодив би нашому реагуванню на триваючий інцидент безпеки, порушення безпеки персональних даних, розслідування чи регуляторне питання, або якщо це створило б суттєвий ризик для безпеки чи доступності Сервісу. Ми запропонуємо іншу дату після врегулювання інциденту.

14.5 Періодичність. За відсутності порушення безпеки персональних даних, що зачіпає ваші Персональні дані Замовника, або конкретної вимоги, покладеної на вас наглядовим органом, ви можете здійснювати право за пунктом 14.3 не частіше ніж раз на 24 місяці.

14.6 Звіти третіх сторін. Якщо ми маємо атестації, сертифікації чи аудиторські звіти третіх сторін, релевантні Сервісу, ми можемо надати їх на виконання пунктів 14.2 і 14.3. Наразі ми не маємо жодної такої атестації чи сертифікації і не заявляємо, що маємо. Див. Додаток 2.

---

15. Відповідальність

15.1 ЦЕ ВАЖЛИВО. Уся відповідальність кожної сторони, що виникає з цієї DPA або у звʼязку з нею – чи то з договору, делікту (включно з недбалістю), порушення законного обовʼязку, безпідставного збагачення чи іншого, – підпадає під винятки та сукупне обмеження відповідальності, встановлені Договором підписки, і зараховується до них. Сукупне обмеження в Договорі підписки є єдиним, спільним обмеженням, що охоплює відповідальність за Договором підписки і за цією DPA разом. Ця DPA не створює окремої, додаткової чи необмеженої підстави відповідальності, і жодна вимога за цією DPA не може перевищувати це сукупне обмеження або стягуватися понад нього.

15.2 Якщо з будь-якої причини Договір підписки не містить чинного сукупного обмеження відповідальності, наша сукупна відповідальність, що виникає з цієї DPA або у звʼязку з нею, обмежується загальною сумою, сплаченою або належною до сплати вами за Сервіс за 12 місяців, що безпосередньо передували першій події, яка спричинила відповідальність.

15.3 Жодна сторона не відповідає перед іншою за цією DPA за втрату прибутку, втрату доходу, втрату очікуваної економії, втрату бізнесу чи ділової можливості, втрату ділової репутації або будь-які непрямі чи побічні збитки, у кожному випадку хоч би як вони виникли.

15.4 Ніщо в цій DPA не обмежує і не виключає відповідальності будь-якої сторони за смерть чи тілесні ушкодження, спричинені недбалістю, за шахрайство чи шахрайське введення в оману, або за будь-яку іншу відповідальність, яку не можна обмежити чи виключити за законом. Ніщо в цьому пункті 15 не обмежує і не впливає на права субʼєктів даних або повноваження наглядового органу за Застосовним законодавством про захист даних.

15.5 Розподіл між сторонами. Якщо сторона сплачує компенсацію субʼєкту даних або штраф наглядовому органу щодо шкоди, спричиненої обробкою, вона може стягнути з іншої сторони ту частину цієї компенсації чи штрафу, що відповідає частці відповідальності іншої сторони за цю шкоду, завжди з урахуванням пунктів 15.1–15.3.

15.6 Ваше відшкодування. Ви відшкодуєте нам усі вимоги, збитки, штрафи й розумні витрати (включно з розумними юридичними витратами), яких ми зазнаємо внаслідок (a) порушення вами пункту 4.3 чи пункту 5.5, (b) ваших вказівок, щодо яких ми повідомили вас за пунктом 5.4, а ви підтвердили вказівку, або (c) будь-якої вимоги субʼєкта даних чи третьої особи про те, що ви не мали права подавати їхні персональні дані до Сервісу.

---

16. Міжнародні передавання

16.1 Ви уповноважуєте нас і наших Субпідрядників передавати Персональні дані Замовника за межі Сполученого Королівства, коли це необхідно для надання Сервісу, з урахуванням цього пункту 16 і Додатка 3.

16.2 Де зберігаються дані. Персональні дані Замовника у стані спокою зберігаються в Німеччині, у Hetzner Online GmbH. Окремі Субпідрядники, перелічені в Додатку 3, обробляють Персональні дані Замовника у Сполучених Штатах.

16.3 Спершу адекватність. Якщо країна призначення охоплена регламентами Сполученого Королівства про адекватність (або, якщо застосовується EU GDPR, рішенням ЄС про адекватність), передавання здійснюється з опорою на цю адекватність. Станом на дату набрання чинності цією версією передавання до ЄЕЗ, включно з Німеччиною, охоплені регламентами Сполученого Королівства про адекватність.

16.4 Обмежені передавання – Сполучене Королівство. Якщо передавання Персональних даних Замовника, що підпадають під UK GDPR, є Обмеженим передаванням, сторони погоджуються, що:

• (a) EU SCCs інкорпоруються до цієї DPA шляхом посилання і застосовуються зі змінами, внесеними UK Addendum, який також інкорпорується шляхом посилання; або, на наш вибір, коли це доречніше, IDTA інкорпорується шляхом посилання і застосовується замість них; і
• (b) застосовуються такі модулі та опції, якщо ми письмово не повідомимо вас про інше:
  • Модуль другий (контролер – обробник) застосовується, коли ви є контролером, а ми – вашим обробником, що є звичайним випадком за цією DPA;
  • Модуль третій (обробник – обробник) застосовується, коли ви самі є обробником, що діє для власного замовника, а ми – вашим субобробником;
  • у Пункті 7 (docking clause): включено;
  • у Пункті 9(a) (субобробники): застосовується Опція 2, загальний письмовий дозвіл, зі строком попередження 30 днів, узгоджено з пунктом 9.5 цієї DPA;
  • у Пункті 11(a) (засоби захисту): необовʼязкове положення про незалежне вирішення спорів не включається;
  • у Пункті 17 (застосовне право) і Пункті 18(b) (вибір форуму): зі змінами, внесеними UK Addendum, застосовним правом і форумом є право та суди Англії й Уельсу;
  • строк для аудитів за Пунктом 8.6 і періодичність аудитів за EU SCCs встановлюються пунктом 14 цієї DPA в тій мірі, у якій цей пункт не суперечить EU SCCs;
  • Додаток I.A (сторони) заповнюється ідентифікаційними даними, наведеними в цій DPA, а якщо ви підписали – у Додатку A; ви є експортером даних, а ми – імпортером даних;
  • Додаток I.B (опис передавання) заповнюється Додатком 1 цієї DPA;
  • Додаток I.C (компетентний наглядовий орган) – це Information Commissioner's Office;
  • Додаток II (технічні та організаційні заходи) заповнюється Додатком 2 цієї DPA; і
  • Додаток III (субобробники) заповнюється Додатком 3 цієї DPA.

16.5 Обмежені передавання – ЄС. Якщо передавання Персональних даних Замовника, що підпадають під EU GDPR, є Обмеженим передаванням, EU SCCs інкорпоруються шляхом посилання і застосовуються з тими самими модулями й опціями, що і в пункті 16.4(b), за винятком того, що компетентний наглядовий орган визначається відповідно до Пункту 13 EU SCCs, а застосовним правом і форумом є право та суди Республіки Ірландія.

16.6 Пріоритет. Якщо застосовуються EU SCCs, UK Addendum чи IDTA і між ними та цією DPA виникає суперечність, EU SCCs, UK Addendum чи IDTA мають переважну силу в частині суперечності. Підписання цієї DPA згідно з пунктом 2 або її прийняття згідно з пунктом 2.3 є підписанням і прийняттям інкорпорованих механізмів передавання.

16.7 Подальші передавання Субпідрядниками. Ми забезпечимо наявність належного механізму передавання для кожного Обмеженого передавання Субпідряднику, переліченому в Додатку 3.

16.8 Зміна законодавства. Якщо механізм передавання, на який ми покладаємося, буде визнано недійсним, замінено або він перестане забезпечувати належні гарантії, ми впровадимо альтернативний законний механізм передавання без невиправданої затримки, і цей пункт 16 читатиметься як такий, що посилається на цей механізм.

---

17. Строк дії

17.1 Ця DPA набирає чинності в дату, визначену згідно з пунктом 2, і діє доти, доки ми обробляємо Персональні дані Замовника від вашого імені.

17.2 Пункти 7 (Конфіденційність), 13 (Видалення та повернення), 14 (Аудит), 15 (Відповідальність), 16 (Міжнародні передавання), 19 (Застосовне право) і 20 (Загальні положення), а також визначення, потрібні для їх тлумачення, зберігають чинність після припинення.

---

18. Зміни до цієї DPA

18.1 Ми можемо оновлювати цю DPA, коли це потрібно для відображення змін у Застосовному законодавстві про захист даних, настанов наглядового органу, змін у складі наших Субпідрядників або змін у роботі Сервісу.

18.2 Якщо зміна суттєво зменшує ваші права або наші обовʼязки за цією DPA, ми попередимо вас щонайменше за 30 днів до набрання нею чинності, опублікувавши оновлену версію на ingy.app з новим номером версії та датою набрання чинності і, якщо ви надали нам адресу електронної пошти для повідомлень, надіславши листа. Продовження користування Сервісом після дати набрання чинності означає прийняття. Якщо ви не приймаєте суттєвої зміни, вашим засобом захисту є припинити користування Сервісом і припинити підписку до набрання зміною чинності.

18.3 Оновлення Додатка 3 (Субпідрядники) регулюються пунктами 9.5 і 9.6.

18.4 До відповідної обробки застосовується та версія цієї DPA, яка була чинною на час такої обробки.

---

19. Застосовне право та юрисдикція

19.1 Ця DPA і будь-який спір чи вимога, що виникають з неї або у звʼязку з нею, включно з позадоговірними спорами чи вимогами, регулюються та тлумачаться відповідно до законодавства України.

19.2 Сторони безвідклично погоджуються на виключну юрисдикцію судів України, з урахуванням лише пункту 16, коли інкорпорований механізм передавання передбачає інше.

---

20. Загальні положення

20.1 Повнота угоди щодо обробки. Ця DPA разом із Договором підписки становить усю угоду між сторонами щодо обробки Персональних даних Замовника і замінює будь-яку попередню угоду про обробку даних, додаток про захист даних чи заяву із цього питання.

20.2 Порядок пріоритетності. У разі суперечності порядок пріоритетності такий: (1) інкорпорований механізм передавання за пунктом 16, (2) основний текст цієї DPA, (3) Додатки, (4) Договір підписки – за винятком того, що пункт 1.3 і пункт 15 застосовуються так, як їх викладено.

20.3 Подільність. Якщо будь-яке положення цієї DPA буде визнано недійсним або таким, що не підлягає виконанню, воно відокремлюється, а решта цієї DPA лишається чинною.

20.4 Відсутність відмови від прав. Невикористання або затримка у використанні права за цією DPA не є відмовою від нього.

20.5 Відступлення. Ви не можете відступити чи передати цю DPA без нашої попередньої письмової згоди. Ми можемо відступити цю DPA правонаступнику у звʼязку зі злиттям, придбанням або продажем усіх чи практично всіх наших активів, повідомивши вас.

20.6 Права третіх осіб. Особа, яка не є стороною цієї DPA, не має права за Contracts (Rights of Third Parties) Act 1999 вимагати виконання будь-яких її умов. Це не впливає на права субʼєктів даних за Застосовним законодавством про захист даних або за будь-яким інкорпорованим механізмом передавання.

20.7 Повідомлення. Повідомлення нам за цією DPA слід надсилати на legal@ixlabs.ai або на адресу IX Labs, 27 Old Gloucester Street, London, WC1N 3AX, Велика Британія. Повідомлення вам надсилаються на адресу електронної пошти, повʼязану з вашим акаунтом, або, якщо ви підписали, на адресу, зазначену в Додатку A.

20.8 Примірники та електронний підпис. Ця DPA може бути прийнята в електронній формі і, якщо підписується, може бути підписана в кількох примірниках і електронним підписом, кожен з яких є оригіналом, а всі разом становлять одну угоду.

20.9 Контакт із питань захисту даних. Нашою контактною точкою з усіх питань за цією DPA є legal@ixlabs.ai. Ми не призначали Уповноваженого із захисту даних і, з огляду на характер і масштаб нашої обробки, не зобовʼязані призначати його за статтею 37 UK GDPR.

---

Додаток 1 – Опис обробки

Цей Додаток є частиною цієї DPA і заповнює Додаток I.B EU SCCs, коли вони застосовуються.

1. Предмет обробки

Надання сервісу Ingy: створення чернеток дописів для соціальних мереж із джерел та інструкцій, поданих користувачами Замовника, і підтримання стильового профілю кожного акаунта, виведеного з власних завершених дописів цього акаунта.

2. Тривалість обробки

Протягом строку підписки Замовника на Сервіс плюс строки видалення та зберігання, встановлені пунктом 13.

3. Характер обробки

Збирання, отримання, завантаження поданих URL джерел, транскрибування аудіо та відео, вилучення тексту, зберігання, структурування, передавання до постачальників моделей ШІ та від них, генерація тексту результату, виведення й зберігання стильового профілю, показ результату користувачеві в Telegram, видалення та резервне копіювання.

4. Мета обробки

Надання Сервісу Замовнику відповідно до задокументованих вказівок Замовника – а саме створення чернетки допису з поданого джерела чи інструкції у стилі, повʼязаному з акаунтом, – разом із забезпеченням безпеки й підтримки Сервісу та дотриманням вимог закону. Обробка не охоплює використання Контенту Замовника для розробки чи навчання моделей (пункт 6).

5. Типи персональних даних

Сервіс не потребує персональних даних, але персональні дані можуть бути присутні в наведеному нижче, залежно винятково від того, що вирішать подати користувачі Замовника:

Сервіс не призначений для даних особливих категорій, даних про кримінальні правопорушення, даних дітей, даних фінансових рахунків чи державних ідентифікаторів, і Замовник не повинен їх подавати (пункт 5.5).

6. Категорії субʼєктів даних

7. Періодичність передавання

Безперервно, протягом строку підписки, щоразу, коли користувач подає джерело чи інструкцію до Сервісу.

8. Зберігання

Протягом строку підписки, а після цього – відповідно до пункту 13, з урахуванням винятку щодо зберігання за законом у пункті 13.5.

---

Додаток 2 – Технічні та організаційні заходи

Цей Додаток є частиною цієї DPA і заповнює Додаток II EU SCCs, коли вони застосовуються. Він описує заходи, наявні станом на дату набрання чинності цією версією.

1. Шифрування під час передавання

Дані, що передаються між користувачем, Сервісом і нашими Субпідрядниками, захищено під час передавання за допомогою TLS.

2. Місце зберігання даних

Персональні дані Замовника у стані спокою зберігаються на інфраструктурі, наданій Hetzner Online GmbH, розташованій у Німеччині.

3. Контроль доступу

Доступ до систем, що містять Персональні дані Замовника, обмежено уповноваженим персоналом за принципом службової необхідності і зведено до того, що потрібно кожній особі для виконання її ролі. Доступ скасовується, коли він більше не потрібен.

4. Розмежування даних за користувачами

Застосунок забезпечує розмежування даних за користувачами: контент, збережені версії та стильовий профіль кожного акаунта обмежені цим акаунтом і не доступні іншим акаунтам через Сервіс.

5. Ізоляція стильового профілю

Стильовий профіль кожного акаунта виводиться з нього і використовується лише для того акаунта, якому він належить. Він не обʼєднується між акаунтами.

6. Продуктова аналітика

Продуктова аналітика, що збирається про користування Сервісом, не містить контенту користувача – ні матеріалів джерел, ні запитів, ні створених дописів.

7. Конфіденційність персоналу

Персонал, уповноважений обробляти Персональні дані Замовника, звʼязаний обовʼязком конфіденційності, що зберігається після завершення його залучення (пункт 7.2).

8. Контроль над Субпідрядниками

Субпідрядників залучено на письмових умовах, що покладають обовʼязки із захисту даних, по суті не менш захисні, ніж передбачені цією DPA, і налаштовано так, щоб Контент Замовника не використовувався для навчання чи вдосконалення їхніх моделей (пункт 6.6).

9. Видалення

За запитом або після припинення контент акаунта, збережені версії та виведений стильовий профіль видаляються відповідно до пункту 13. Видалення є остаточним.

10. Мінімізація за задумом

Сервіс не вимагає від Замовника подавати персональні дані для своєї роботи і не запитує персональних даних понад ідентифікатори Telegram, потрібні для роботи акаунта.

11. Заходи щодо передавань

Заходи, викладені в цьому Додатку, застосовуються так само до обробки, здійснюваної Субпідрядниками, розташованими за межами Сполученого Королівства, на додаток до механізмів передавання, передбачених пунктом 16.

---

Додаток 3 – Субпідрядники та окремі контролери

Цей Додаток є частиною цієї DPA і заповнює Додаток III EU SCCs, коли вони застосовуються. Він перелічує Субпідрядників, залучених станом на дату набрання чинності цією версією.

Частина A – Субпідрядники

Частина B – Окремі та незалежні контролери

Ці сторони не є нашими Субпідрядниками щодо описаної обробки. Кожна з них сама визначає цілі й засоби такої обробки і несе за неї пряму відповідальність за Застосовним законодавством про захист даних. Її регулюють їхні власні умови та повідомлення про конфіденційність.

Частина C – Передавання

Передавання Субпідрядникам, розташованим у США, є Обмеженими передаваннями і здійснюються за механізмами, визначеними в пункті 16. Обробка в Німеччині та в ЄС охоплена регламентами Сполученого Королівства про адекватність щодо ЄЕЗ станом на дату набрання чинності цією версією.

---

Додаток A – Блок підпису Замовника

Заповнюйте цей Додаток, лише якщо ви користуєтеся Шляхом B за пунктом 2.4. Для набрання цією DPA чинності він не потрібен.

Цю DPA підписано заздалегідь компанією IX Labs шляхом публікації. Зустрічний підпис від IX Labs не потрібен і не надаватиметься. Заповніть блок нижче, підпишіть і надішліть заповнений документ на legal@ixlabs.ai.

Прийнято й погоджено Замовником:

За та від імені IX Labs: підписано заздалегідь шляхом публікації цієї DPA, версія 1.1, чинна з 30 серпня 2026. Подальший підпис не потрібен.

---

IX Labs, 27 Old Gloucester Street, London, WC1N 3AX, Велика Британія. Питання щодо цієї DPA: legal@ixlabs.ai.

---

Контакти

IX Labs
27 Old Gloucester Street, London, WC1N 3AX, Велика Британія
Загальні питання: support@ixlabs.ai
Юридичні повідомлення: legal@ixlabs.ai