Угода про обробку даних (DPA)
Останнє оновлення: 2026-10-23
Субобробники page last updated: 2026-10-23
Ця Угода про обробку даних визначає умови, за яких ми обробляємо персональні дані від вашого імені.
Ця Угода про обробку даних (Угода) окреслює зобов'язання та умови, за яких Petitions.com Group Oy (Постачальник Послуг) обробляє персональні дані від імені автора петиції (Автор Петиції або Контролер Даних) при наданні послуг хостингу онлайн-петицій (Послуги).
Зміна умов
Ми залишаємо за собою право змінювати або модифікувати ці Умови в будь-який час без попереднього повідомлення.
Визначення та Ролі
- Постачальник послуг: Petitions.com (Petitions.com Group Oy), діючи як Оброблювач даних, обробляє персональні дані від імені Контролера даних у міру необхідності для надання Послуг.
- Контролер даних: Автор петиції, який визначає цілі та засоби обробки персональних даних, зібраних від підписантів їхньої петиції. Як автор петиції, розміщеної на Petitions.com, ви розглядаєтеся як Контролер даних. Ви визначаєте зміст петиції, що запитується від підписантів, мету обробки їхніх персональних даних та тривалість зберігання персональних даних. Petitions.com надає онлайн-платформу для створення та розміщення петицій, що полегшує вашу роль Контролера даних з автономією формувати збір і використання даних петиції відповідно до ваших цілей та юридичних зобов'язань.
Обсяг обробки
Постачальник послуг оброблятиме персональні дані виключно на підставі вказівок Контролера даних і лише настільки, наскільки це необхідно для надання Послуг, якщо інше не вимагається правом Союзу або держави-члена, якому підпорядковується Постачальник послуг. У такому разі Постачальник послуг повідомить Контролера даних про таку правову вимогу до початку обробки, якщо тільки цей закон не забороняє цього з важливих підстав суспільного інтересу. Обсяг діяльності з обробки обмежується хостингом, управлінням та сприянням онлайн-петиціям.
Як Обробник даних, Постачальник послуг не видаляє дані підписів з власної ініціативи. Every erasure of signature data is carried out on the documented instructions of the Data Controller, whether given specifically or in advance through this Agreement.
Прийняття Контролером даних цієї Угоди є задокументованими вказівками Контролера даних для Постачальника послуг, зокрема щодо процедур обробки запитів підписантів на видалення, описаних нижче, а також будь-яких інструментів самообслуговування, які Постачальник послуг надає підписантам від імені Контролера даних.
Підрахунок і списки підписів
Щоб розміщувати та публічно демонструвати петицію, Постачальник послуг підраховує підписи та показує ці дані в Сервісі: загальну кількість підписів, кількість підписів за певний період часу та кількість підписів, зібраних на кожному вебсайті Сервісу. Ці підрахунки також використовуються для ранжування та відображення публічних петицій, наприклад найпідписаніших петицій на сайті або в країні, зазначеній Автором петиції. До рейтингу за кількістю підписів потрапляють лише петиції, які мають щонайменше п’ять підписів.
Ці підрахунки є анонімною статистикою, яка не дає змоги ідентифікувати жодного підписанта. Вони не базуються на країні, місті чи інших даних, які підписанти вказують у формі підпису. Такі дані публікуються в узагальненому вигляді лише якщо Автор петиції вирішує оприлюднити розподіл підписів за місцем на сторінці статистики петиції, де місця з менш ніж п’ятьма підписами об’єднуються.
Прийняття Контролером даних цієї Угоди є задокументованою вказівкою для такої обробки.
Захист даних
Постачальник послуг зобов’язується впроваджувати технічні та організаційні заходи для забезпечення безпеки персональних даних від несанкціонованого доступу, втрати або пошкодження.
Заборонений збір даних
Заборонено вимагати від підписантів особисті ідентифікаційні номери (такі як номери національних ідентифікаторів).
Субобробники
Постачальник послуг може залучати субпроцесорів для надання Послуг. Постачальник послуг забезпечить, щоб субпроцесори дотримувалися зобов’язань щодо захисту даних відповідно до цієї Угоди про обробку даних. You acknowledge and agree that the Service Provider retains the discretion to select and replace subprocessors as needed to provide the Services efficiently.
Список субпроцесорів. (Останнє оновлення: 2026-10-23)
Обов'язки контролера даних
Контролер даних несе відповідальність за забезпечення збору, обробки та оброблення персональних даних відповідно до всіх чинних законів та нормативних актів.
Ідентифікація Контролера Даних
Відповідно до Загального регламенту про захист даних (GDPR), необхідно чітко вказати особу контролера даних. Для авторів петицій, які використовують наш вебсайт, передбачені такі положення:
Індивідуальні автори петицій
Якщо ви, як фізична особа, створюєте петицію, ви повинні вказати своє повне юридичне ім'я. Це є вашою ідентифікацією як контролера даних для цілей GDPR.
Автори організаційних петицій
Якщо петиція створюється від імені організації, має бути вказано повну офіційну назву організації. Крім того, організація повинна призначити та надати контактні дані представника, відповідального за діяльність з обробки даних, такого як Уповноважений із захисту даних (DPO) або подібний.
Права суб'єкта даних
Контролер даних має забезпечити, щоб суб'єкти даних (підписанти петиції) могли реалізувати свої права відповідно до GDPR, такі як право на доступ, виправлення або видалення своїх даних, або подання скарги до наглядового органу.
Обробка запитів підписантів на видалення персональних даних
Ролі відрізняються залежно від того, про які саме дані йдеться. Щодо персональних даних, зібраних через підписи під петицією, Постачальник послуг діє як Обробник даних, а Автор петиції діє як Контролер даних. For the Service Provider's own operational data, such as account information, technical logs, and contact-form messages, the Service Provider acts as an independent Data Controller.
Because the Service Provider acts only on the Data Controller's documented instructions, the procedure below constitutes the Data Controller's standing instruction for handling such requests, authorizing the Service Provider to act without seeking separate approval for each request.
Коли підписант просить Постачальника послуг видалити персональні дані, пов’язані з підписом, Постачальник послуг без невиправданої затримки приховає підпис від публічного перегляду і надасть інформацію про видалення Автору петиції в межах Послуг (наприклад, на оглядовій сторінці з питань захисту даних і через позначку в обліковому записі). Постачальник послуг не зобов’язаний надсилати окремий електронний лист для кожного видалення. Автору петиції надається 14 днів для розгляду запиту та видалення будь-яких копій персональних даних підписанта, які він завантажив, експортував, роздрукував або іншим чином зберіг поза межами Послуг. The Petition Author may object to the erasure only where there is a lawful ground to continue processing the data (for example, the establishment, exercise, or defense of legal claims); a mere preference to retain the signature is not a valid ground. Будь-яке таке заперечення має бути подане шляхом звернення до Постачальника послуг протягом цього строку із зазначенням законної підстави; Постачальник послуг не надає автоматичного способу для Автора петиції скасувати видалення. Якщо Автор петиції не заперечить із таких підстав протягом цього строку, Постачальник послуг остаточно видалить дані підпису з активної бази даних. Постачальник послуг прагне завершити цей процес протягом одномісячного строку, передбаченого GDPR.
The Service Provider may also make available a self-service tool, such as a removal link in signature confirmation messages or on the petition page, allowing signatories to remove their own signature directly. Коли використовується такий інструмент, Постачальник послуг діє від імені Контролера даних відповідно до задокументованих вказівок, викладених у цій Угоді.
Персональні дані можуть зберігатися в резервних копіях для звичайного відновлення протягом обмеженого періоду після видалення з активної бази даних. Такі резервні копії не використовуються для щоденної обробки та перезаписуються в циклічному режимі, після чого дані остаточно видаляються.
Технічні журнали можуть містити персональні дані, такі як IP-адреси або метадані доставки електронної пошти. Ці журнали видаляються протягом 30 днів. Повідомлення з контактної форми можуть зберігатися до 5 років для цілей аудиту, безпеки та врегулювання спорів.
Постачальник послуг веде мінімальний запис про те, що видалення було здійснено, без збереження видалених персональних даних, щоб підтвердити дотримання вимог. This record contains the number of the signature, the petition, who removed it (the signatory, the Petition Author or the Service Provider), a reason chosen from a fixed list and the time, but no name or email address.
In addition, the Service Provider keeps, as an independent Data Controller, a record of each removal containing a code computed from the signatory's email address (not the address itself), the day of the removal and who removed it, but not the petition. It is used only to answer the signatory's later questions about their data and to demonstrate compliance. It is deleted after 14 days, and from backups at most 30 days later.
If a signatory reports that someone else signed with their email address and asks for it, the Service Provider may, as an independent Data Controller, keep the technical details of that signature (such as the IP address, device details and times) for 30 days to 2 years, only for disclosure to the police or another authority on their official request. These details are not made available to the Petition Author.
Обробка запитів підписантів на виправлення
Право на виправлення обробляється так само, як і видалення: як Обробник даних, Постачальник послуг не змінює дані підписів з власної ініціативи, а лише на підставі задокументованих вказівок Контролера даних, включно з будь-яким інструментом самообслуговування, який Постачальник послуг надає підписантам від імені Контролера даних для виправлення власних даних.
Після внесення виправлення актуальний список підписів, що ведеться в межах Послуг, відображає виправлене значення. Відповідно до обов’язку використовувати актуальні дані підписів, Контролер даних повинен покладатися лише на щойно отриману копію та відповідно оновлювати або відкидати будь-які застарілі копії; Постачальник послуг не зобов’язаний повідомляти Контролеру даних попереднє, помилкове значення.
Постачальник послуг може зберігати внутрішній запис про зміну (наприклад, попереднє та нове значення, а також час зміни) для запобігання шахрайству, безпеки та врегулювання спорів. Цей запис за замовчуванням не надається Контролеру даних і зберігається лише стільки, скільки необхідно для цих цілей.
Повідомлення одержувачів
Якщо Контролер даних розкрив дані підписів будь-якому одержувачу, наприклад особі, що ухвалює рішення, або іншій третій стороні, Контролер даних несе відповідальність відповідно до статті 19 GDPR за повідомлення кожного такого одержувача про будь-яке подальше видалення або виправлення цих даних, якщо це не виявиться неможливим або не потребуватиме непропорційних зусиль. Видалення або виправлення даних Постачальником послуг у межах Послуг не звільняє від цього обов’язку щодо копій, якими Контролер даних поділився поза межами Послуг.
Відповідальність та Дотримання Регламенту
Контролер даних повинен бути здатний продемонструвати відповідність GDPR, включно з реагуванням на запити суб'єктів даних щодо їхніх персональних даних.
Політика конфіденційності або Повідомлення
Необхідно надати чітку та доступну політику конфіденційності або повідомлення, в якому описано, як обробляються персональні дані, мету обробки та як суб'єкти даних можуть здійснювати свої права.
Повідомлення про зміни
Автори петицій зобов’язані повідомляти Petitions.com (Petitions.com Group Oy) про будь-які зміни свого статусу як контролера даних або контактних даних представника.
Щорічний огляд обробки даних
Автор петиції зобов'язаний проводити щорічний перегляд для визначення, чи існує ще вагома причина для подальшої обробки персональних даних підписантів. Цей огляд має оцінити необхідність та актуальність даних у зв’язку з метою петиції. Якщо Автор Петиції визначає, що більше немає обґрунтованої причини для продовження обробки даних, він повинен вжити відповідних заходів для припинення обробки та ініціювати видалення даних відповідно до чинного законодавства про захист даних.
Використання актуальних даних підписів
Before the Data Controller discloses signature data to any third party (such as a decision-maker or other recipient of the petition), or otherwise processes the data outside the Services (including contacting signatories by email), the Data Controller must retrieve a fresh copy of the signature list from the Services and use only that current version. Підписанти можуть скористатися правом на видалення будь-коли, і лише актуальний список, що ведеться в межах Послуг, відображає такі видалення. Контролер даних не повинен покладатися на раніше завантажені, експортовані або надруковані копії для цих цілей і має безпечно знищувати застарілі копії.
Зберігання та видалення даних
У разі порушення Контролером даних (автором петиції) будь-яких умов Договору про обробку даних (DPA), включаючи, але не обмежуючись, невиконання щорічного перегляду діяльності з обробки даних або надання обґрунтованого пояснення для подальшої обробки персональних даних підписників, Постачальник послуг залишає за собою право видалити або знищити персональні дані, пов'язані з їхньою петицією.
Обмеження відповідальності
Ні в якому разі загальна відповідальність обробника даних перед контролером даних за всі збитки, втрати та причини дій, чи то за договором, деліктом (включаючи недбалість) або іншим чином, не перевищує загальну суму, сплачену контролером даних обробнику даних за цим договором.
Застосовне законодавство
Ця Угода регулюється законодавством Фінляндії.