Порядок обробки персональних даних YouTube

Дата набуття чинності: 24 листопада 2020 р. (переглянути попередню версію)

Цим Порядком обробки персональних даних YouTube (надалі, разом з додатками до нього, - "Порядок обробки персональних даних") визначено умови обробки Персональних Даних Користувача. Цей порядок є додатком до договору між Вами (надалі – "Користувач") та Google про користування Вами послугами YouTube (надалі – "Договір"). Такий Договір може бути Умовами надання послуг YouTube або ліцензійним договором на використання контенту, залежно від Користувача. Просимо Вас приділити час та ретельно ознайомитися з цим Порядком обробки персональних даних.

1. Вступ

В цьому Порядку обробки персональних даних викладено договір між сторонами щодо вимог до обробки та забезпечення захисту Персональних Даних Користувача у зв’язку із Європейським Законодавством про Захист Персональних Даних.

2. Визначення термінів та тлумачення 

2.1 В цьому Порядку обробки персональних даних:

"Афілійована Особа", якщо цей термін не визначено в Договорі, означає особу, яка прямо або опосередковано здійснює контроль над особою, перебуває під контролем особи чи обидві перебувають під контролем третьої особи.

"Персональні Дані Користувача" означає аудіо та аудіовізуальний контент, який вивантажується Користувачем на YouTube згідно з умовами Договору та обробку якого здійснює Google від імені Користувача при наданні Google Послуг Розпорядника Персональних Даних.  

"Несанкціоновані Дії щодо Персональних Даних" означає порушення системи захисту інформації Google, що призводить до випадкового або незаконного знищення, втрати, пошкодження, несанкціонованого розголошення або доступу до Персональних Даних Користувача в системах, що перебувають під управлінням або іншим контролем Google. "Несанкціонованими Діями щодо Персональні Даних" не вважаються безуспішні спроби або дії, що не призвели до порушення системи захисту Персональних Даних Користувача, в тому числі безуспішні спроби увійти в систему, перевірки пінга, сканування порта, дії, що викликають відмову в обслуговуванні законних користувачів, та інші спроби порушення системи захисту доступу або систем, об’єднаних в мережу.

"Інструмент для Суб'єктів Персональних Даних" означає інструмент (за наявності), наданий Google суб'єктам персональних даних, який надає Google можливість відповідати напряму та у стандартний спосіб на певні запити від суб'єктів персональних даних щодо Персональних Даних Користувача (наприклад, налаштування Інтернет реклами або додаткова програма для відключення функції збору інформації з браузера при відвіданні сайтів).    

"ЄЕЗ" означає Європейська економічна зона.

"Регламент GDPR ЄС" означає Регламент (EU) 2016/679 Європейського Парламенту і Ради від 27 квітня 2016 року про захист фізичних осіб при обробці персональних даних і про вільне переміщення таких даних та скасування Директиви 95/46/EC.

"Європейське Законодавство про Захист Персональних Даних" означає, залежно від обставин: (a) Регламент GDPR; (b) Федеральний закон про захист персональних даних від 19 червня 1992 року (Швейцарія); (c) Загальний закон Бразилії про захист даних (Закон № 13709/2018); та/або (d) будь-які інші чинні закони або нормативні акти щодо захисту персональних даних, розроблені за зразком Загального регламенту про захист даних. 

“Європейське або національне законодавство” означає, залежно від обставин: (a) законодавство ЄС або держави-члена ЄС (якщо до обробки Персональних даних Користувача застосовується GDPR ЄС) та/або (b) законодавство Великої Британії або частини Великої Британії (якщо до обробки Персональних даних Користувача застосовується GDPR Великої Британії).

“GDPR” означає, залежно від обставин: (a) GDPR ЄС та/або (b) GDPR Великої Британії.

"Google" означає Юридичну Особу Google, що є стороною укладеного Вами Договору.

"Афілійовані з Google Суброзпорядники Персональних Даних" вживається в значенні, наданому цьому терміну в пункті  11.1 "Згода на залучення Суброзпорядника Персональних Даних".

"Юридична Особа Google" означає Google LLC (колишня назва - Google Inc.), Google Ireland Limited, YouTube, LLC або будь-яку іншу Афілійовану Особу компанії Google LLC.

"Сертифікація ISO 27001" означає сертифікацію ISO/IEC 27001:2013 або іншу порівнянну сертифікацію Послуг Розпорядника Персональних Даних.

"Адреса Електронної Пошти для Повідомлень" означає адресу електронної пошти (за наявності), зазначену Користувачем за допомогою інтерфейса користувача Послуг Розпорядника Персональних Даних або інших засобів, наданих Google, для отримання певних повідомлень від Google, що стосуються цього Порядку обробки персональних даних.  

"Послуги Розпорядника Персональних Даних" означає обробку Персональних Даних Користувача відповідно до вимог цього Порядку обробки персональних даних.

"Документація Системи Захисту Персональних Даних" означає сертифікат, виданий за результатами Сертифікації ISO 27001, за наявності, та будь-які інші сертифікати або документація системи захисту, що можуть бути пред’явлені Google стосовно Послуг Розпорядника Персональних Даних.  

"Заходи із Захисту Персональних Даних" вживається в значенні, наданому цьому терміну в пункті 7.1.1 "Заходи Google із захисту персональних даних".

"Стандартні Договірні Положення" означає стандартні договірні положення Європейської Комісії, розміщені за адресою: https://privacy.google.com/businesses/gdprprocessorterms/sccs/, які є стандартними умовами захисту даних для передачі персональних даних розпорядникам, розташованим у третіх країнах, що не забезпечують належного рівня захисту даних відповідно до статті 46 Регламенту GDPR ЄС.

"Суброзпорядники Персональних Даних" означає третіх осіб, яким згідно з цим Порядком обробки персональних даних надано логічний доступ до Персональних Даних Користувачів та право здійснювати їхню обробку для забезпечення надання частини Послуг Розпорядника Персональних Даних та їхньої технічної підтримки.  

“Орган нагляду” означає, залежно від обставин: (a) “Орган нагляду” як визначено в GDPR ЕЄ та/або (b) “Комісар” як визначено в GDPR Великої Британії.

"Сторонні Суброзпорядники Персональних Даних" вживається в значенні, наданому цьому терміну в пункті  11.1 "Згода на залучення Суброзпорядника Персональних Даних".

“GDPR Великої Британії” означає GDPR ЄС із поправками, внесеними відповідно до законодавства Великої Британії та Закону Великої Британії про Євпопейський Союз (Відкликання) 2018 року, якщо він діє

2.2 Терміни "володілець персональних даних", "суб'єкт персональних даних", "персональні дані", "обробка" та "розпорядник персональних даних" при використанні в цьому Порядку обробки персональних даних вживаються в значеннях, наданих їм у Регламенті GDPR, а терміни “імпортер персональних даних” та “експортер персональних даних” – в значеннях, наданих їм у Стандартних Договірних Положеннях.

2.3 Посилання на нормативно-правову базу, закон або інший нормативно-правовий акт є посиланням на його останню чинну редакцію з урахуванням всіх внесених до нього змін.

2.4 Якщо цей Порядок обробки персональних даних перекладено на будь-яку іншу мову, та існує розбіжність між текстом його англомовної версії і текстом перекладеної версії, то текст англомовної версії превалює.

3. Строк цього Порядку обробки персональних даних

Строк (надалі – "Строк") цього Порядку обробки персональних даних та надання компанією Google Послуг Розпорядника Персональних Даних починається 25 травня 2018 року (або в дату підписання Договору, якщо це дата після 25 травня 2018 року) (надалі – "Дата Набрання Чинності Порядком") та закінчується з моменту видалення Google всіх Персональних Даних Користувача в порядку, передбаченому в цьому Порядку обробки персональних даних.  

4. Застосування цього Порядку обробки персональних даних

4.1        Застосування Європейського Законодавства про Захист Персональних Даних. Цей Порядок обробки персональних даних застосовується тільки у випадках, коли на обробку Персональних Даних Користувача поширюється Європейське Законодавство про Захист Персональних Даних, в тому числі якщо:  

(a) обробка здійснюється в контексті діяльності установи Користувача в ЄЕЗ або у Великій Британії; та/або

(b) Персональні дані Користувача є персональними даними, що стосуються суб’єктів персональних даних, які перебувають на території ЄЕЗ або Великої Британії, та обробка здійснюється у зв’язку з пропонуванням їм товарів або послуг або моніторингу їхньої поведінки на території ЄЕЗ або Великої Британії.

5. Обробка персональних даних 

5.1 Функції та дотримання законодавства; Надання права на обробку.

5.1.1 Обов'язки розпорядника та володільця персональних даних

(a) Цим Порядком обробки персональних даних визначено предмет та порядок обробки Персональних Даних Користувача;

(b) Google є розпорядником Персональних Даних Користувача згідно із Законодавством про Захист Персональних Даних;

(c) Користувач, залежно від обставин, є володільцем або розпорядником Персональних Даних Користувача згідно із Законодавством про Захист Персональних Даних; та

(d) кожна зі сторін буде дотримуватися обов’язків, покладених на неї згідно із Законодавством про Захист Персональних Даних щодо обробки Персональних Даних Користувача.

5.1.2 Надання стороннім володільцем права обробляти персональні дані. У випадках, коли Користувач є розпорядником персональних даних, Користувач гарантує Google, що розпорядження, доручення та дії Користувача стосовно Персональних Даних Користувача, в тому числі ним залучення Google в якості іншого розпорядника персональних даних, були санкціоновані відповідним володільцем персональних даних.    

5.2 Доручення Користувача. Користувач доручає Google здійснювати обробку Персональних Даних Користувача тільки відповідно до чинного законодавства та цього Порядку обробки персональних даних: (а) для надання Послуг Розпорядника Персональних Даних та їхньої технічної підтримки; (b) в обсязі, визначеному в результаті використання Користувачем Послуг Розпорядника Персональних Даних (в тому числі в налаштуваннях та інших функціях Послуг Розпорядника Персональних Даних), та їхньої технічної підтримки; та (с) в обсязі, визначеному у формі Договору, в тому числі цьому Порядку обробки персональних даних.

5.3        Дотримання умов доручення компанією Google. Google буде дотримуватися умов доручення, зазначеного в пункті 5.2 "Доручення Користувача" (в тому числі щодо поширення персональних даних), крім випадків, коли Європейське або національне законодавство, яке поширюється на Google, вимагає іншої обробки Персональних даних Користувача компанією Google, про що Google повідомить Користувача (якщо будь-яке таке законодавство не забороняє це Google на важливих підставах в інтересах суспільства або держави).

6. Видалення персональних даних 

6.1 Видалення протягом Строку. 

6.1.1 Послуги Розпорядника Персональних Даних з функцією видалення. Протягом Строку, у випадку якщо:

(a) функції системи Послуг Розпорядника Персональних Даних передбачають для Користувача можливість видалення Персональних Даних Користувача;

(b) Користувач використає Послуги Розпорядника Персональних Даних для видалення певних Персональних Даних Користувача; та

(c) видалені Персональні Дані Користувача не можуть бути відновлені Користувачем (наприклад, з "кошика"),

Google видалить такі Персональні Дані Користувача зі своїх систем в найкоротші практично можливі терміни, якщо Європейське або національне законодавство не вимагає їхнього збереження.

6.1.2 Послуги Розпорядника Персональних Даних без функції видалення. Протягом Строку, у випадку якщо функції системи Послуг Розпорядника Персональних Даних не передбачають для Користувача можливість видалення Персональних Даних Користувача, Google виконає будь-який обґрунтований запит Користувача про забезпечення їхнього видалення, якщо це можливо, беручи до уваги особливості та функціональні можливості системи Послуг Розпорядника Персональних Даних, і якщо Європейське або національне законодавство не вимагає їхнього збереження. Google може стягувати плату (виходячи з обґрунтованих витрат Google) за видалення персональних даних на підставі цього пункту 6.1.2 "Послуги Розпорядника Персональних Даних без функції видалення". Google надасть Користувачу додаткову інформацію про вартість такої послуги та базу її розрахунку до видалення персональних даних.

6.2 Видалення після закінчення строку Договору. З моменту закінчення строку або розірвання Договору Користувач доручає Google видалити всі Персональні Дані Користувача (в тому числі існуючі копії) з систем Google згідно з вимогами чинного законодавства. Google виконає таке доручення в найкоротші практично можливі терміни, крім випадків якщо: (і) Європейське або національне законодавство вимагає їхнього збереження; або (іі) Договір замінений новим договором або умовами між Користувачем та Google, що визначає умови користування Користувачем послугами YouTube, і Користувач підтверджує, що обробка Персональних Даних Користувача (в тому числі існуючих копій, вже вивантажених на Сервіс YouTube) повинна продовжуватися відповідно до цього Порядку обробки персональних даних.

7. Забезпечення захисту персональних даних

7.1 Заходи із Захисту Персональних Даних та допомога Google.

7.1.1 Заходи Google із Захисту Персональних Даних. Google запровадить та буде підтримувати інженерно-технічні та організаційні заходи, засоби і методи захисту Персональних Даних Користувача від випадкового або незаконного знищення, втрати, пошкодження, несанкціонованого розголошення або доступу, описані в Додатку 2 (надалі - "Заходи із Захисту Персональних Даних"). Google має право час від часу оновлювати або змінювати Заходи із Захисту Персональних Даних, за умови що такі оновлення та зміни не призведуть до зниження рівня загального захисту Послуг Розпорядника Персональних Даних.

7.1.2 Забезпечення захисту персоналом Google.  Google забезпечуватиме, щоб всі особи, яким надано право здійснювати обробку Персональних Даних Користувача, взяли на себе обов’язок зі збереження конфіденційності або щоб на них поширювалися зобов'язання зі збереження конфіденційності, передбачені законодавством.    

7.1.3 Допомога Google в забезпеченні захисту персональних даних.  Google буде (з урахуванням специфіки обробки Персональних Даних Користувача та інформації, що є в розпорядженні Google) допомагати Користувачу в забезпеченні додержання зобов'язань Користувача із захисту персональних даних та у випадку несанкціонованих дій щодо персональних даних, в тому числі (якщо вони на нього поширюються) зобов'язань, покладених на Користувача відповідно до статей 32 – 34 (включно) Регламенту GDPR, шляхом:

(a) запровадження та підтримки Заходів із Захисту Персональних Даних відповідно до пункту 7.1.1 "Заходи Google із Захисту Персональних Даних";

(b) виконання умов пункту 7.2 "Несанкціоновані Дії щодо Персональних Даних"; та

(c) надання Користувачу Документації Системи Захисту Персональних Даних відповідно до пункту 7.5.1 "Перевірка Документації Системи Захисту Персональних Даних" та інформації, що міститься в цьому Порядку обробки персональних даних.

7.2 Несанкціоновані Дії щодо Персональних Даних. 

7.2.1 Повідомлення про несанкціоновані дії. Якщо Google стане відомо про Несанкціоновані Дії щодо Персональних Даних, Google: (а) невідкладно та без необґрунтованої затримки повідомить Користувача про Несанкціоновані Дії щодо Персональних Даних; та (b) невідкладно вживе розумні заходи для мінімізації шкоди та захисту Персональних Даних Користувача.      

7.2.2 Відомості про Несанкціоновані Дії щодо Персональних Даних. В повідомленні, наданому відповідно до пункту 7.2.1 "Повідомлення про несанкціоновані дії" повинні зазначатися, якщо це можливо, відомості про Несанкціоновані Дії щодо Персональних Даних, в тому числі заходи, вжиті для мінімізації потенційних ризиків, та заходи, які Google рекомендує вжити Користувачу у зв’язку із Несанкціонованими Діями щодо Персональних Даних.

7.2.3 Вручення повідомлення.  Google буде вручати свої повідомлення про Несанкціоновані Дії щодо Персональних Даних на Адресу Електронної Пошти для Повідомлень або за допомогою іншого засобу прямої комунікації (наприклад, телефоном або шляхом особистої зустрічі). Користувач вживе всі розумні заходи для надання Адреси Електронної Пошти для Повідомлень та забезпечення актуальності та дійсності Адреси Електронної Пошти для Повідомлень.    

7.2.4 Повідомлення третіх осіб.  Користувач самостійно відповідає за дотримання вимог законодавства щодо повідомлення про несанкціоновані дії, які поширюються на Користувача, та виконання обов’язків із повідомлення третіх осіб, що стосуються будь-яких Несанкціонованих Дій щодо Персональних Даних.  

7.2.5 Повідомлення не означає визнання Google своєї вини.  Повідомлення Google про Несанкціоновані Дії щодо Персональних Даних або вжиття дій у зв’язку з ними, як передбачено пунктом 7.2 "Несанкціоновані Дії щодо Персональних Даних", не буде тлумачитися як визнання Google своєї вини або відповідальності за Несанкціоновані Дії щодо Персональних Даних.

7.3 Обов'язки Користувача із забезпечення захисту персональних даних та оцінка рівня захисту

7.3.1 Обов'язки Користувача із забезпечення захисту персональних даних.  Без зменшення обов’язків Google згідно з пунктом 7.1 "Заходи із Захисту Персональних Даних та допомога Google" та пунктом 7.2 "Несанкціоновані Дії щодо Персональних Даних":

(a) Користувач відповідає за використання ним Послуг Розпорядника Персональних Даних, в тому числі шляхом:

(i) належного використання Послуг Розпорядника Персональних Даних для забезпечення рівня захисту, адекватного ризикам, пов’язаним із Персональними Даними Користувача; та

(ii) забезпечення захисту засобів та інформації для автентифікації для доступу до облікового запису, захисту систем та пристроїв, які Користувач використовує для отримання доступу до Послуг Розпорядника Персональних Даних; та

(b) Google не має зобов'язань із захисту Персональних Даних Користувача, які Користувач зберігає або передає за межі систем Google та її Суброзпорядників Персональних Даних.

7.3.2 Оцінка рівня захисту Користувачем.  Користувач підтверджує та погоджується, що (з урахуванням рівня розвитку технологій, вартості впровадження та характеру, обсягу, контексту та цілей обробки Персональних Даних Користувача, а також ризиків для фізичних осіб) Заходи із Захисту Персональних Даних, що запроваджені та підтримуються Google, описані в пункті 7.1.1  "Заходи Google із Захисту Персональних Даних", забезпечують рівень захисту, адекватний ризикам, пов’язаним із Персональними Даними Користувача.

7.4 Сертифікація Системи Захисту Персональних Даних. Для періодичної оцінки та допомоги в забезпеченні збереження ефективності Заходів із Захисту Персональних Даних Google може отримати Сертифікацію ISO 27001.

7.5 Перевірки та аудит дотримання зобов'язань.

7.5.1 Перевірка Документації Системи Захисту Персональних Даних.  Для підтвердження дотримання Google своїх зобов'язань за цим Порядком обробки персональних даних Google надасть Користувачу Документацію Системи Захисту Персональних Даних для перевірки.

7.5.2 Права Користувача на проведення аудиту.

(a) Google буде дозволяти Користувачу або незалежному аудитору, залученому Користувачем, проводити аудит (в тому числі обстеження) для підтвердження дотримання Google своїх зобов'язань за цим Порядком обробки персональних даних згідно з пунктом 7.5.3 "Додаткові комерційні умови для проведення аудиту". Google буде сприяти такому аудиту, як передбачено в пункті 7.4 "Сертифікація Системи Захисту Персональних Даних" та цьому пункті 7.5 "Перевірки та аудит дотримання зобов'язань".

(b) Якщо Стандартні Договірні Положення застосовуються на підставі пункту 10.2 (Передача персональних даних), Google буде дозволяти Користувачу або незалежному аудитору, залученому Користувачем, проводити аудити відповідно до Стандартних Договірних Положень та згідно з пунктом 7.5.3 (Додаткові комерційні умови для проведення аудиту).

(с) Користувач також може проводити аудит для підтвердження дотримання Google своїх зобов'язань за цим Порядком обробки персональних даних шляхом перевірки сертифікату, виданого за результатами Сертифікації ISO 27001 (в якому зазначено результати аудиту, проведеного незалежним аудитором), за наявності такого сертифікату на момент запиту Користувача.

7.5.3 Додаткові комерційні умови для проведення аудиту.  

(a) Користувач направляє запит про проведення аудиту на підставі пункту 7.5.2(a) або 7.5.2(b), звернувшись до Google способом, передбаченим в пункті 12.1 "Звернення до Google".

(b) Після отримання Google запиту на підставі пункту 7.5.3(a) Google та Користувач попередньо обговорять та узгодять прийнятну дату початку, обсяг та тривалість аудиту, а також засоби контролю захисту інформації та конфіденційності під час аудиту, передбаченого пунктом 7.5.2(a) або 7.5.2(b).

(c) Google має право стягувати плату (виходячи з обґрунтованих витрат Google) за будь-який аудит, передбачений пунктом 7.5.2(a) або 7.5.2(b). Google надасть Користувачу додаткову інформацію про вартість такої послуги та базу її розрахунку до проведення такого аудиту. Користувач самостійно відповідає за оплату послуг незалежного аудитора, залученого Користувачем для проведення такого аудиту.

(d) Google може заявити заперечення проти незалежного аудитора, залученого Користувачем для проведення аудиту, передбаченого пунктом 7.5.2(a) або 7.5.2(b), якщо аудитор, на обґрунтовану думку Google, не є належно кваліфікованим або незалежним, є конкурентом Google або на інших підставах очевидно не прийнятним. У випадку такого заперечення Google Користувач повинен залучити іншого аудитора або провести аудит самостійно.

(e) Цей Порядок обробки персональних даних не вимагає від Google розкривати Користувачу або його незалежному аудитору або надавати його незалежному аудитору доступ до:

(i) будь-яких даних будь-якого іншого замовника Юридичної Особи Google;

(ii) внутрішньої облікової або фінансової інформації Юридичної Особи Google;

(iii) комерційних секретів Юридичної Особи Google;

(iv) будь-якої інформації, яка, на обґрунтовану думку Google, могла б: (А) піддати ризику безпеку систем або приміщень Юридичної Особи Google; або (В) призвести до порушення Юридичною Особою Google зобов’язань, покладених на неї Законодавством про Захист Персональних Даних, або своїх зобов’язань із забезпечення захисту та/або збереження в таємниці інформації перед Користувачем або будь-якою третьою особою; або

(v) будь-якої інформації, доступ до якої Користувач або його незалежний аудитор вимагає на підставах, не пов’язаних із добросовісним виконанням зобов’язань Користувача за Законодавством про Захист Персональних Даних.

7.5.4 Відсутність змін до Стандартних Договірних Положень. Якщо Стандартні Договірні Положення застосовуються на підставі пункту 10.2 (Передача персональних даних), жодне положення цього пункту 7.5  (Перевірки та аудит дотримання зобов’язань) не змінює чи модифікує будь-які права та обов’язки Користувача або Юридичної Особи Google згідно зі Стандартними Договірними Положеннями.

8. Оцінка наслідків та консультації

Google буде надавати Користувачу сприяння (з урахуванням характеру обробки та інформації, що є в розпорядженні Google) в забезпеченні дотримання зобов’язань Користувача з оцінки наслідків для захисту персональних даних та проведення попередніх консультацій, в тому числі (за необхідності) зобов’язань Користувача, передбачених статтями 35 та 36 Регламенту GDPR, шляхом:

(a) надання Документації Системи Захисту Персональних Даних відповідно до пункту 7.5.1 "Перевірка Документації Системи Захисту Персональних Даних";

(b) надання інформації, що міститься в цьому Порядку обробки персональних даних; та

(c) надання або іншої передачі в розпорядження, відповідно до стандартної практики Google, інших матеріалів про характер Послуг Розпорядника Персональних Даних та обробки Персональних Даних Користувача (наприклад, матеріалів центру обслуговування користувачів).

9. Права суб’єктів персональних даних

9.1 Відповідь на запити суб'єктів персональних даних. Якщо Google отримає запит від суб'єкта персональних даних щодо Персональних Даних Користувача, то Google:

(a) якщо запит направлений з використанням Інструменту для Суб'єктів Персональних Даних, відповість напряму на запит суб'єкта персональних даних відповідно до стандартних функцій такого Інструменту для Суб'єктів Персональних Даних; або

(b) якщо запит направлений без використання Інструменту для Суб'єктів Персональних Даних, повідомить суб'єкту персональних даних про необхідність направлення його запиту Користувачу і Користувач буде відповідати за надання відповіді на такий запит.

9.2 Сприяння Google у виконанні запитів суб'єктів персональних даних.  Google буде надавати Користувачу сприяння (з урахуванням характеру обробки Персональних Даних Користувача та, у випадках, коли вона застосовується, статті 11 Регламенту GDPR) у виконанні обов’язку Користувача з надання відповіді на запити суб'єктів персональних даних, в тому числі (за необхідності) обов’язку Користувача з виконання запитів про реалізацію прав суб'єктів персональних даних, передбачених розділом ІІІ Регламенту GDPR, шляхом:

(a) забезпечення функціональних можливостей в Послугах Розпорядника Персональних Даних;

(b) виконання зобов’язань, передбачених в пункті 9.1 "Відповідь на запити суб'єктів персональних даних"; та

(c) надання доступу до Інструменту для Суб'єктів Персональних Даних, якщо він може бути використаний для Послуг Розпорядника Персональних Даних.

10. Передача персональних даних 

10.1 Місця зберігання та обробки персональних даних.  Google має право, з урахуванням пункту 10.2 "Передача персональних даних", здійснювати зберігання та обробку Персональних Даних Користувача на території Сполучених Штатів Америки та будь-якої іншої країни, в якій Google або будь-який з її Суброзпорядників Персональних Даних має власні об’єкти.

10.2 Передача персональних даних. Якщо зберігання та/або обробка Персональних Даних Користувача включає передачу Персональних Даних Користувача з ЄЕЗ, Швейцарії або Великобританії в будь-яку третю країну, щодо якої відсутнє рішення, яким визнано належність заходів захисту персональних даних у таких країні відповідно до Європейського Законодавства про Захист Персональних Даних:

(a) Користувач (як експортер персональних даних) вважатиметься таким, що уклав Стандартні Договірні Положення із Google LLC (як імпортером персональних даних);

(b) передачі регулюватимуться Стандартними Договірними Положеннями; та

(c) Google забезпечуватиме дотримання зі сторони Google LLC своїх обов’язків, передбачених такими Стандартними Договірними Положеннями, щодо таких передач.

10.3 Інформація про центри обробки даних.  З інформацією про місцезнаходження центрів обробки даних Google можна ознайомитися за адресою: www.google.com/about/datacenters/inside/locations/index.html.  

11. Суброзпорядники Персональних Даних

11.1 Згода на залучення Суброзпорядника Персональних Даних. Користувач прямо погоджується на залучення Афілійованих Осіб Google в якості Суброзпорядників Персональних Даних (надалі - "Афілійовані з Google Суброзпорядники Персональних Даних"). Крім того, Користувач надає загальну згоду на залучення третіх осіб в якості Суброзпорядників Персональних Даних (надалі - "Сторонні Суброзпорядники Персональних Даних"). Якщо Стандартні Договірні Положення застосовуються на підставі пункту 10.2 (Передача персональних даних), вказані вище згоди становлять попередню письмову згоду Користувача на те, що Google LLC може передоручати за договором обробку Персональних Даних Користувача. 

11.2 Інформація про Суброзпорядників Персональних Даних. З інформацією про Суброзпорядників Персональних Даних можна ознайомитися за адресою: privacy.google.com/businesses/subprocessors.

11.3 Вимоги до залучення Суброзпорядника Персональних Даних.  При залученні Суброзпорядника Персональних Даних Google:

(a) забезпечує шляхом укладення письмового договору, щоб:

(i) Суброзпорядник Персональних Даних отримував доступ та використовував Персональні Дані Користувача тільки в обсязі, необхідному для виконання переданих йому зобов’язань, та з дотриманням умов Договору (в тому числі цього Порядку обробки персональних даних) та, якщо це необхідно відповідно до пункту 10.2 (Передача персональних даних), Стандартних Договірних Положень; та

(ii) якщо на обробку Персональних Даних Користувача поширюється Регламент GDPR, то зобов'язання із забезпечення захисту персональних даних, встановлені в статті 28(3) Регламенту GDPR, покладаються на Суброзпорядника Персональних Даних; та

(b) зберігає повну відповідальність за всіма зобов’язаннями, переданими Суброзпоряднику Персональних Даних, а також за всі його дії та бездіяльність.

12. Звернення до Google; облік інформації про обробку

12.1 Звернення до Google.  Користувач може звертатися до Google щодо реалізації своїх прав за цим Порядком обробки персональних даних способами, описаними в https://support.google.com/youtube/answer/2801895 або іншими способами, які можуть бути передбачені Google на відповідний момент.

12.2 Облік Google інформації про обробку.  Користувач підтверджує, що йому відомо про те, що згідно з Регламентом GDPR від Google вимагається: (а) збирати та вести облік певної інформації, в тому числі найменування та контактну інформацію кожного розпорядника та/або володільця персональних даних, за дорученням якого Google діє, а також (за наявності) представника в країні та керівника служби захисту персональних даних такого розпорядника та/або володільця персональних даних; та (b) надавати таку інформацію на запит Органу нагляду.  Відповідно, Користувач, на запит та якщо це вимагається від Користувача, надасть таку інформацію Google за допомогою користувацького інтерфейсу Послуг Розпорядника Персональних Даних або іншими способами, які може бути передбачити Google, та буде використовувати такий користувацький інтерфейс або інші способи для забезпечення того, щоб вся надана інформація залишалася достовірною та актуальною.    

13. Відповідальність

13.1 Обмеження відповідальності. Незважаючи на будь-які інші положення Договору, загальна сукупна відповідальність будь-якої сторони перед іншою стороною за цим Порядком обробки персональних даних або у зв’язку з ним обмежується максимальною грошовою сумою або сумою платежу, якою відповідальність такої сторони обмежена за Договором (для ясності, положення Договору про те, що обмеження відповідальності не поширюється на вимоги на підставі порушення конфіденційності або про відшкодування збитків, не поширюються на вимоги за Договором, що стосуються Законодавства про Захист Персональних Даних). Цей пункт 13 "Відповідальність" не виключає та не обмежує відповідальність будь-якої сторони за: (а) завдання шкоди життю або здоров'ю людей внаслідок її необережності або необережності її працівників, представників або агентів; (b) обман, шахрайство або навмисне введення в оману; або (с) питання, відповідальність за які не може бути виключена або обмежена згідно з чинним законодавством.    

13.2 Відповідальність у разі застосування Стандартних Договірних Положень. Якщо Стандартні Договірні Положення застосовуються на підставі пункту 10.2 (Передача персональних даних), то сукупна відповідальність кожної сторони та її Афілійованих Осіб перед іншою стороною за цим Договором і Стандартними Договірними Положеннями разом або у зв’язку з ними обмежуватиметься згідно з пунктом 13.1 (Обмеження відповідальності). 

14. Треті особи-вигодонабувачі

14.1 Якщо Афілійована Особа сторони є стороною Стандартних Договірних Положень, що застосовуються на підставі пункту 10.2 (Передача персональних даних), то така Афілійована Особа буде третьою-особою-вигодонабувачем щодо пунктів 6.2 (Видалення після закінчення строку Договору), 7.5 (Перевірки та аудит дотримання зобов'язань), 9.1 (Відповідь на запити суб'єктів персональних даних), 10.2 (Передача персональних даних), 11.1 (Згода на залучення Суброзпорядника Персональних Даних), та 13.2 (Відповідальність у разі застосування Стандартних Договірних Положень). Тією мірою, якою пункт 14 (Треті особи-вигодонабувачі) суперечить або не відповідає будь-якому іншому пункту Договору, буде застосовуватись цей пункт 14 (Треті особи-вигодонабувачі).

15. Наслідки цього Порядку обробки персональних даних

У разі наявності суперечностей або невідповідностей між Стандартними Договірними Положеннями, умовами цього Порядку обробки персональних даних та іншими умовами Договору застосовуватиметься такий порядок пріоритетності цих актів:

(a) Стандартні Договірні Положення;

(b) інші умови цього Порядку обробки персональних даних;

(c) інші умови Договору.

З урахуванням змін, внесених цим Порядком обробки персональних даних, Договір зберігає чинність в повному обсязі.

16. Зміни до цього Порядку обробки персональних даних

16.1 Зміни до Послуг Розпорядника Персональних Даних. Google має право вносити зміни до переліку потенційних Послуг Розпорядника Персональних Даних тільки для:

(a) врахуванням зміни назви послуги;

(b) додавання нової послуги; або

(c) вилучення послуги з переліку у випадку: (і) припинення всіх договорів про надання такої послуги; або (іі) надання Користувачем згоди Google.

16.2 Зміни до Порядку обробки персональних даних. Google має право вносити зміни до цього Порядку обробки персональних даних, якщо зміна:

(a) прямо дозволяється цим Порядком обробки персональних даних, в тому числі, передбачена в пункті 16.1 (Зміни до Послуг Розпорядника Персональних Даних);

(b) необхідна для врахування зміни найменування або форми юридичної особи;

(c) вимагається для дотримання вимог чинного закону, іншого нормативно-правового акту, рішення або постанови суду або методичних рекомендацій, виданих державним або регуляторним органом або установою; або

(d) не призводить до (і) зниження загального рівня захисту Послуг Розпорядника Персональних Даних; (іі) розширення обсягу обробки або зняття обмежень на обробку Персональних Даних Користувача, описаних в пункті 5.3 "Дотримання умов доручення компанією Google"; та (ііі) інших несприятливих наслідків для прав Користувача за цим Порядком обробки персональних даних, згідно з обґрунтованими висновками Google.

16.3 Зміни до Стандартних Договірних Положень. Google може змінити Стандартні Договірні Положення згідно з пунктами 16.2(b) - 16.2(d) (Зміни до Порядку обробки персональних даних) або включити будь-яку нову версію Стандартних Договірних Положень, яка може бути прийнята відповідно до Європейського Законодавства про Захист Персональних Даних, у будь-якому разі лише у спосіб, що не впливає на чинність Стандартних Договірних Положень згідно з Європейським Законодавством про Захист Персональних Даних.

Додаток 1: Предмет та інформація про обробку персональних даних

Предмет

Надання компанією Google Користувачу Послуг Розпорядника Персональних Даних та їхньої технічної підтримки.

Строк обробки

Строк плюс період з моменту закінчення Строку до моменту видалення Google всіх Персональних Даних Користувача в порядку, передбаченому в цьому Порядку обробки персональних даних.

Характер та мета обробки

Google буде здійснювати обробку (в тому числі, якщо це передбачено Послугами Розпорядника Персональних Даних та дорученнями, зазначеними в пункті 5.2 "Доручення Користувача", збір, накопичення, організацію, структурування, зберігання, зміну, вибірку, використання, поширення, об'єднання, видалення та знищення) Персональних Даних Користувача з метою надання Користувачу Послуг Розпорядника Персональних Даних та їхньої технічної підтримки відповідно до цього Порядку обробки персональних даних.

Види персональних даних

Видами персональних даних, що становлять Персональні Дані Користувача, є аудіо та аудіовізуальний контент, який вивантажується Користувачем на YouTube згідно з умовами Договору та обробку якого здійснює Google від імені Користувача в процесі надання компанією Google Користувачу Послуг Розпорядника Персональних Даних.

 Додаток 2: Заходи із Захисту Персональних Даних

Починаючи з Дати Набрання Чинності Порядком Google запровадить та буде підтримувати Заходи із Захисту Персональних Даних, описані в цьому Додатку 2. Google має право час від часу оновлювати або змінювати ці Заходи із Захисту Персональних Даних, за умови що такі оновлення та зміни не призведуть до зниження рівня загального захисту Послуг Розпорядника Персональних Даних.

1.         Безпека центрів обробки даних та мереж

(a) Центри обробки даних.

Інфраструктура. Google експлуатує географічно розподілені центри обробки даних. Google зберігає всі виробничі дані у фізично охоронюваних центрах обробки даних.

Резервування (дублювання) ключових компонентів. Системи інфраструктури спроектовані таким чином, щоб відмова будь-якого елемента не призводила до відмови системи та щоб наслідки очікуваних ризиків середовища були мінімальними. Таке резервування ключових компонентів досягається за рахунок дублювання схем, комутаторів, мереж або інших необхідних вузлів. Послуги Розпорядника Персональних Даних спроектовані таким чином, щоб надати Google можливість виконувати певні види профілактичного та ремонтного обслуговування без зупинки діяльності. Для всього обладнання та споруд для регулювання температурно-вологісного режиму запроваджено задокументовані процедури профілактичного обслуговування з докладним описом процесу та періодичності його проведення згідно зі специфікаціями виробника або внутрішніми специфікаціями. Профілактичне та ремонтне обслуговування обладнання центрів обробки даних планується згідно зі стандартизованим процесом відповідно до задокументованих процедур.

Електропостачання. Системи електропостачання центрів обробки даних спроектовані з резервуванням (дублюванням) ключових компонентів та можливістю обслуговування без порушення безперервності діяльності цілодобово 7 днів на тиждень. В більшості випадків основне, а також альтернативне джерело електропостачання, однакової потужності, забезпечують електропостачання критичних елементів інфраструктури центру обробки даних. Резервне електропостачання забезпечується за рахунок різного устаткування, в тому числі джерел безперебійного живлення, які забезпечують постійно надійне електропостачання у випадку обмеження або порушення електропостачання, перенапруги, зниження напруги, виходу показників частоти за допустимі межі в системі централізованого електропостачання. У випадку припинення централізованого електропостачання система резервного електропостачання спроектована на забезпечення тимчасового електропостачання центру обробки даних, на повну потужність, до 10 хвилин, до моменту включення системи дизель-генераторних установок. Дизель-генераторні установки спроможні автоматично запуститися за кілька секунд та забезпечувати достатнє аварійне електропостачання для роботи центру обробки даних на повну потужність, як правило, протягом кількох днів.

Операційні системи серверів. На серверах Google використовуються захищені операційні системи, адаптовані з урахуванням особливих вимог бізнесу до серверів. Дані зберігаються із використанням власних алгоритмів компанії для підсилення рівня захисту та резервування даних. Google застосовує процес перевірки коду задля підвищення захищеності коду, що використовується для надання Послуг Розпорядника Персональних Даних, та підвищення захисту продуктів у виробничих середовищах.

Забезпечення безперервності діяльності. Google здійснює реплікацію даних в кількох системах для захисту від випадкового знищення або втрати. Google розробила та регулярно планує і тестує свої заходи із забезпечення безперервності діяльності / програми відновлення безперервності діяльності в разі настання надзвичайної ситуації.

(b) Мережі та канали передачі даних.

Передача даних. Центри обробки даних, як правило, з’єднані високошвидкісними приватними каналами передачі даних, що забезпечують захищену та швидку передачу даних між центрами обробки даних. Це дозволяє попередити несанкціоноване зчитування, копіювання, зміну або вилучення даних на етапі електронної передачі або транспортування або під час запису в середовище для зберігання даних. Google здійснює передачу даних за допомогою протоколів стандартів Інтернету.

Поверхня зовнішньої атаки. Google використовує кілька рівнів мережевих пристроїв та виявлення вторгнень в систему для захисту своєї поверхні зовнішньої атаки. Google бере до уваги потенційні вектори атаки та вбудовує належні спеціально побудовані технології в свої системи, що мають вихід в Інтернет.

Виявлення вторгнень. Виявлення вторгнень в систему необхідне для того, щоб зрозуміти поточні спроби порушення захисту та надати адекватну інформацію для вжиття належних дій у випадку інциденту. Система виявлення вторгнень Google включає:

1. суворий контроль за розміром та складом компонентів поверхні атаки Google шляхом використання профілактичних заходів

2. застосування інтелектуальних елементів керування з метою виявлення вторгнень в точках вводу даних; та

3. застосування технологій, які автоматично виправляють певні небезпечні ситуації.

Реакція на інциденти. Google здійснює моніторинг різних телекомунікаційних каналів на виникнення інцидентів в сфері безпеки і персонал Google, відповідальний за забезпечення безпеки, без затримки відреагує на інциденти, про які йому стає відомо.

Технології шифрування. Google надає можливість шифрування по протоколу HTTPS (також іменується з'єднання SSL або TLS). Сервери Google підтримують обмін інформацією з ефемерними криптографічними ключами по протоколу Діффі-Хеллмана на еліптичних кривих, підписаними RSA та ECDSA. Ці методи досконалої прямої секретності (perfect forward secrecy, PFS) дозволяють захистити трафік та мінімізувати наслідки компрометації ключа або злому шифру.

2.         Контроль доступу та забезпечення безпеки на об’єктах 

(a) Забезпечення безпеки на об’єктах.

Служба безпеки центрів обробки даних. Центри обробки даних Google мають на об’єктах службу безпеки, що відповідає за всі функції із забезпечення фізичної охорони центрів обробки даних цілодобово 7 днів на тиждень. Персонал служби безпеки на об’єктах здійснює моніторинг камер автономної системи охоронного відеоспостереження та всіх систем тривожної сигналізації. Персонал служби безпеки на об’єктах регулярно здійснює внутрішнє та зовнішнє патрулювання центра обробки даних.

Процедури контролю доступу до центрів обробки даних. Google використовує формальні процедури контролю доступу для надання фізичного доступу до центрів обробки даних. Центри обробки даних розміщені в приміщеннях, для пропуску до яких необхідний електронний ключ-картка, із тривожними сигналізаціями, що під’єднані до системи служби безпеки приміщення. Всі, хто заходять до центрів обробки даних, повинні ідентифікувати себе, а також пред’явити документ, що посвідчує особу, службі безпеки. Тільки авторизовані працівники, підрядники та відвідувачі мають право на доступ до центрів обробки даних. Тільки авторизованим працівникам та підрядникам дозволяється подавати запит про видачу електронного ключа-картки для доступу до цих приміщень. Запити про видачу електронного ключа-картки для доступу до центрів обробки даних подаються завчасно та в письмовій формі за погодженням з безпосереднім керівником особи, що звертається із запитом, та директором центру обробки даних. Всі інші особи, що потребують тимчасовий пропуск до центрів обробки даних, повинні: (і) попередньо отримати дозвіл керівників центру обробки даних на відвідання конкретного центру обробки даних та внутрішніх зон; (іі) записатися в журналі служби безпеки; та (ііі) назвати номер запису про надання доступу до центру обробки даних, який ідентифікує особу як таку, що отримала дозвіл на доступ.

Засоби забезпечення безпеки на об’єктах центрів обробки даних. Центри обробки даних Google застосовують систему контролю доступу з використанням електронних ключів-карток та біометричних даних, що з’єднана з тривожною сигналізацією. Система контролю доступу здійснює моніторинг та запис електронного ключа-картки кожної особи та моменту, коли вони входять в двері периметру, зони відвантаження та приймання та інші критично важливі зони. Несанкціонована діяльність та відмови в наданні доступу реєструються системою контролю доступу та належно розслідуються. Санкціонований доступ до виробничих приміщень та центрів обробки даних обмежується залежно від призначення зони та посадових обов’язків особи. Протипожежні двері центрів обробки даних оснащені сигналізацією. Камери автономної системи охоронного відеоспостереження функціонують як всередині, так і ззовні центрів обробки даних. Камери розміщені таким чином, щоб вести спостереження за стратегічними зонами, в тому числі, зокрема, периметром, дверима до будівлі центру обробки даних та зонами відвантаження та приймання. Персонал служби безпеки на об’єктах відповідає за обладнання для моніторингу, запису та управління автономною системою охоронного відеоспостереження. На території центрів обробки даних обладнання автономної системи охоронного відеоспостереження з’єднується захищеними кабельними лініями. Камери ведуть запис на об’єкті з використанням цифрових пристроїв відеозапису цілодобово 7 днів на тиждень. Записи системи відеоспостереження зберігаються не менше 7 днів залежно від типу діяльності.

(b) Контроль доступу.

Персонал служби безпеки інфраструктури. Google має та підтримує політику забезпечення безпеки для свого персоналу та вимагає проведення тренінгів з питань забезпечення безпеки в межах навчальної програми для свого персоналу. Персонал служби безпеки інфраструктури Google відповідає за постійний моніторинг інфраструктури Google із забезпечення безпеки, перевірку Послуг Розпорядника Персональних Даних та реагування на інциденти в системі безпеки.

Контроль доступу та управління правами. Для отримання можливості користуватися Послугами Розпорядника Персональних Даних адміністратори та користувачі Користувача повинні пройти процедуру автентифікації в центральній системі автентифікації або шляхом вводу пароля при вході в систему.

Внутрішні процедури та політики контролю доступу до даних – Політика контролю доступу. Внутрішні процедури та політики Google щодо надання доступу до даних спрямовані на попередження отримання неавторизованими особами та/або системами доступу до систем, які використовуються для обробки персональних даних. Google ставить перед собою завдання проектувати свої системи таким чином, щоб: (і) дозволяти тільки авторизованим особам отримувати доступ до даних, на доступ до яких вони уповноважені; та (ii) унеможливлювати несанкціоноване зчитування, копіювання, зміну або вилучення даних на етапі обробки, використання та після запису в середовище зберігання. Системи запрограмовані на виявлення будь-якого незаконного доступу. Google використовує централізовану систему управління доступом для контролю доступу персоналу до виробничих серверів та надає доступ тільки обмеженому числу авторизованого персоналу. LDAP, Kerberos та система власної розробки з використанням сертифікатів SSH призначені для забезпечення Google захищених та гнучких механізмів доступу. Ці механізми призначені для надання тільки санкціонованих прав доступу до хост-вузлів, журналів реєстрації, даних та інформації про конфігурацію. Google вимагає використовувати унікальні ідентифікатори користувача, складні паролі, двофакторну автентифікацію та ретельно контрольовані списки прав доступу для зменшення потенційної загрози несанкціонованого використання облікового запису. Права доступу надаються або змінюються залежно від: посадових обов’язків авторизованого персоналу; якщо це необхідно для виконання доручених завдань; та у випадку службової необхідності. Крім того, права доступу повинні надаватися або змінюватися відповідно до внутрішніх політик Google щодо доступу до даних та тренінгу. Процес схвалення доступу управляється інструментами забезпечення послідовності дій, які зберігають запис про всі зміни. Доступ до систем реєструється для створення "сліду" для аудита та можливості відстеження та контролю. Якщо для автентифікації використовуються паролі (наприклад, для входу в робочу станцію), запроваджена політика щодо паролів принаймні на рівні галузевих стандартів. Такі стандарти передбачають, зокрема, обмеження на повторне використання паролів та достатньо високу складність паролів.

3.         Дані

(a) Зберігання, ізоляція та автентифікація даних.

Google зберігає дані в багатокористувацькому середовищі на власних серверах Google. Дані, архітектура бази даних та системи файлів Послуг Розпорядника Персональних Даних дублюються в географічно віддалених між собою центрах обробки даних. Google здійснює логічну ізоляцію даних кожного користувача. Для всіх Послуг Розпорядника Персональних Даних використовується централізована система автентифікації для підвищення єдиного рівня захисту даних.

(b) Виведені з Експлуатації Диски та вимоги до знищення дисків.

З певними дисками, що містять дані, можуть виникати проблеми продуктивності, помилки або апаратні збої, у зв’язку з чим вони можуть бути виведені з експлуатації (надалі – "Виведений з Експлуатації Диск").  Кожний Виведений з Експлуатації Диск піддається ряду процедур знищення даних (надалі – "Вимоги до Знищення Даних"), перше ніж його буде винесено з приміщень Google для повторного використання або знищення. Інформація на Виведених з Експлуатації Дисках стирається багатоетапним процесом і повне стирання перевіряється як мінімум двома незалежними валідаторами. Результати процесу стирання реєструються із зазначенням серійного номеру Виведеного з Експлуатації Диску для відстеження. Після цього стертий Виведений з Експлуатації Диск передається на склад для повторного використання або використання для інших цілей.  Якщо внаслідок апаратного збою стирання інформації на Виведеному з Експлуатації Диску неможливо, він зберігається в охоронюваному місці до моменту його знищення. Кожний об’єкт регулярно перевіряється на предмет дотримання Вимог до Знищення Даних.

4.         Захист від протизаконних дій персоналу

Від персоналу Google вимагається поводитися з дотриманням вимог компанії щодо конфіденційності, етики бізнесу, цільового використання та професійних стандартів. Google проводить спеціальну перевірку анкетних даних в доцільному обсязі, якщо це дозволяється законодавством та з дотриманням вимог чинного національного трудового законодавства та регуляторних вимог.

Від персоналу вимагається підписати договір про конфіденційність та ознайомитися під розпис і дотримуватися політики Google щодо конфіденційності та захисту персональних даних. Для персоналу провадиться тренінг з питань забезпечення безпеки. Персонал, який працює з Персональними Даними Користувачів, повинен відповідати додатковим вимогам з урахуванням особливостей їхніх обов’язків. Персонал Google не буде здійснювати обробку Персональних Даних Користувачів без дозволу.

5.         Забезпечення захисту Суброзпорядниками Персональних Даних 

Перше ніж залучити Суброзпорядників Персональних Даних, Google проводить аудит практики забезпечення безпеки та захисту Суброзпорядників Персональних Даних, щоб переконатися в тому, що Суброзпорядники Персональних Даних забезпечують рівень безпеки та захисту, достатній для надання їм доступу до персональних даних з урахуванням обсягу послуг, для надання яких вони залучаються. Після оцінки Google ризиків, пов’язаних із Суброзпорядником Персональних Даних, від Суброзпорядника Персональних Даних, з обов’язковим врахуванням вимог, передбачених пунктом 11.3 "Вимоги до залучення Суброзпорядника Персональних Даних", вимагається укласти договори про забезпечення належної безпеки, конфіденційності та захисту.