Заява про відповідність GDPR

RIADVICE SUARL («RIADVICE», «ми», «нас» або «наш») захищає персональні дані відповідно до Загального регламенту про захист даних (ЄС) 2016/679 («GDPR») та Органічного закону Тунісу № 2004-63 від 27 липня 2004 року про захист персональних даних. Ця заява пояснює, як ми дотримуємося GDPR, коли обробляємо персональні дані від імені наших Клієнтів, які зобов’язання беремо на себе як обробник і як суб’єкти даних можуть реалізувати свої права. Вона використовує визначення наших Умов використання й доповнює нашу Політику конфіденційності, яка охоплює обробку, щодо якої RIADVICE є контролером.

1. Сфера застосування

Ця заява застосовується до Хостингових послуг і до Професійних послуг, у межах яких RIADVICE обробляє персональні дані від імені Клієнта. Якщо Клієнт підписав із RIADVICE угоду про обробку даних, ця угода має переважну силу над цією заявою. Якщо ні, зобов’язання, викладені в розділі 4, застосовуються як умови обробки, яких вимагає стаття 28 GDPR, як передбачено в розділі 5 наших Умов використання.

2. Наші послуги та пов’язані з ними дані

RIADVICE надає послуги хостингу та керовані послуги для BigBlueButton та інших застосунків, якими користуються освітні, державні та комерційні організації. BigBlueButton забезпечує співпрацю в реальному часі за допомогою аудіо, відео, чату, опитувань, спільних нотаток, дошок і демонстрації екрана. Сесії можуть записуватися залежно від політик і налаштувань Клієнта. Наші доповнення конвертують записи у відео, створюють панелі та звіти про відвідуваність і залученість на основі даних сесій і розподіляють зустрічі між кількома серверами. Ми також експлуатуємо для Клієнтів застосунки, як-от синхронізація та спільний доступ до файлів, інтернет-магазини та проміжне програмне забезпечення для розсилок. Захист приватності й безпеки цих даних є головним у нашій роботі, і ми застосовуємо принципи GDPR: законність, справедливість, прозорість, обмеження мети, мінімізацію даних, точність, обмеження зберігання, цілісність, конфіденційність і підзвітність.

3. Ролі

• У більшості випадків контролером є Клієнт, наприклад навчальний заклад, навчальний центр чи компанія. RIADVICE є його обробником.
• Якщо сам Клієнт діє як обробник для іншої організації, наприклад навчальний центр, що обслуговує свого клієнта, RIADVICE діє як його субобробник.
• RIADVICE є контролером лише щодо даних, які вона обробляє для власних цілей, як-от управління обліковими записами Клієнтів, виставлення рахунків і підтримка, як описано в Політиці конфіденційності.

4. Наші зобов’язання як обробника

Коли RIADVICE обробляє персональні дані від імені Клієнта, вона:

• обробляє дані лише за задокументованими інструкціями Клієнта, зокрема щодо міжнародних передач, якщо законодавство, якому підпорядковується RIADVICE, не вимагає іншого; у такому разі вона повідомляє Клієнта до початку обробки, якщо це законодавство цього не забороняє. Умови використання, Форма замовлення та конфігурація, яку Клієнт обирає в сервісі, становлять його інструкції;
• повідомляє Клієнта, якщо, на її думку, інструкція порушує GDPR чи інше законодавство про захист даних;
• забезпечує, щоб особи, уповноважені обробляти дані, були зобов’язані дотримуватися конфіденційності;
• впроваджує заходи безпеки, описані в розділі 8, відповідно до статті 32 GDPR;
• залучає субобробників лише на умовах, викладених у розділі 10;
• з урахуванням характеру обробки допомагає Клієнту відповідати на запити суб’єктів даних;
• допомагає Клієнту забезпечувати виконання його обов’язків щодо безпеки, повідомлення про витоки, оцінки впливу на захист даних і попередніх консультацій, з урахуванням інформації, доступної RIADVICE;
• після завершення надання послуг видаляє або повертає персональні дані на вибір Клієнта, як описано в розділі 13, якщо закон не вимагає їх зберігання;
• надає Клієнту інформацію, необхідну для підтвердження відповідності статті 28 GDPR, і дозволяє проводити аудити та сприяє їм, як описано в розділі 14.

Допомога, що виходить за межі того, що RIADVICE надає у межах стандартної послуги, може оплачуватися за її чинними ставками, якщо потреба в ній не виникла внаслідок порушення з боку RIADVICE.

5. Правова підстава та згода

Як контролер, Клієнт визначає правову підставу обробки згідно зі статтею 6 GDPR, наприклад виконання договору, юридичний обов’язок, виконання завдання в суспільних інтересах, законні інтереси чи згоду, а також, за потреби, умову згідно зі статтею 9 GDPR. Якщо потрібна згода, наприклад для деяких записів, Клієнт отримує її, як правило, через свою систему управління навчанням або іншу клієнтську платформу. Клієнт також повідомляє учасників перед записом сесії. BigBlueButton показує учасникам, коли сесія записується.

6. Категорії даних і суб’єктів даних

Залежно від послуги та того, як Клієнт нею користується, до суб’єктів даних належать працівники, викладачі, студенти, слухачі, учасники, гості та контактні особи Клієнта. Дані можуть включати:

• ідентифікаційні дані, як-от імена, імена користувачів, адреси електронної пошти та ідентифікатори користувачів, що передаються платформою Клієнта;
• дані про участь, як-от час приєднання та виходу, час виступів, час увімкнення вебкамери та демонстрації екрана, активність у чаті, відповіді на опитування та реакції;
• вміст, яким діляться під час сесій, як-от аудіо, відео, повідомлення в чаті, презентації, нотатки, позначки на дошці та записи;
• файли, документи та повідомлення, що зберігаються в застосунках, які експлуатуються для Клієнта;
• технічні дані, як-от IP-адреси, типи браузерів і операційних систем, а також журнали з’єднань.

Клієнт не повинен використовувати послуги для обробки особливих категорій персональних даних чи даних про судимості, якщо він не має для цього правової підстави і, якщо потрібні спеціальні заходи, не повідомив про це RIADVICE заздалегідь.

7. Зберігання

Строки зберігання визначає Клієнт як контролер. Записи та дані зустрічей автоматично видаляються після закінчення строків зберігання, налаштованих для платформи Клієнта або зазначених у Формі замовлення, якщо Клієнт не попросить іншого або закон не вимагає їх зберігання. Технічні журнали зберігаються лише стільки, скільки потрібно для роботи та захисту сервісу.

8. Заходи безпеки

RIADVICE застосовує технічні та організаційні заходи, що відповідають ризику, зокрема:

• шифрування даних під час передавання та шифрування конфіденційних даних;
• засоби контролю доступу, механізми автентифікації та доступ, обмежений уповноваженими працівниками за принципом службової необхідності;
• розмежування середовищ і даних Клієнтів, якщо це передбачено архітектурою сервісу;
• регулярні оновлення та виправлення безпеки;
• моніторинг систем і сервісів;
• резервне копіювання та процедури відновлення;
• зобов’язання щодо конфіденційності та навчання працівників з питань захисту даних і GDPR.

9. Витоки персональних даних

RIADVICE повідомляє Клієнта без невиправданої затримки після того, як їй стає відомо про витік персональних даних, що стосується даних Клієнта. Повідомлення описує, наскільки така інформація наявна, характер витоку, категорії та приблизну кількість суб’єктів даних і записів, яких він стосується, ймовірні наслідки та вжиті або запропоновані заходи. Надалі RIADVICE надає додаткову інформацію в міру її появи й допомагає Клієнту виконати власний обов’язок повідомити наглядовий орган і, якщо потрібно, суб’єктів даних.

10. Субобробники

Клієнт надає RIADVICE загальний дозвіл на залучення субобробників. RIADVICE покладає на кожного субобробника письмовим договором зобов’язання щодо захисту даних, рівноцінні викладеним у цій заяві, і залишається відповідальною перед Клієнтом за своїх субобробників. RIADVICE повідомляє про будь-яке заплановане додавання чи заміну субобробника електронною поштою або шляхом оновлення цього переліку до того, як зміна набере чинності, якщо це обґрунтовано можливо. Клієнт може заперечити з обґрунтованих міркувань захисту даних. Якщо сторони не можуть урегулювати заперечення, Клієнт може припинити відповідну послугу.

Субобробники, яких залучено для хостингових і керованих послуг:

Не кожен субобробник залучається для кожної послуги. У Формі замовлення або в конфігурації платформи Клієнта зазначено, де розміщено послугу Клієнта. Перелік субобробників, залучених до конкретної послуги, надається на запит.

11. Міжнародні передачі

RIADVICE заснована в Тунісі, щодо якого немає рішення Європейської комісії про адекватність. Персональні дані, які Клієнт у Європейському Союзі чи Європейській економічній зоні передає RIADVICE, захищені Стандартними договірними положеннями, ухваленими Європейською комісією в Імплементаційному рішенні (ЄС) 2021/914 (модуль другий, від контролера до обробника, або модуль третій, від обробника до обробника), доповненими заходами, описаними в розділі 8. Якщо субобробник обробляє персональні дані за межами Європейського Союзу чи Європейської економічної зони, RIADVICE спирається на рішення про адекватність або на Стандартні договірні положення. Передачі з Тунісу здійснюються на умовах Органічного закону № 2004-63, зокрема з дозволу INPDP, якщо він потрібен.

12. Запити суб’єктів даних

Згідно з GDPR суб’єкти даних мають право на доступ до своїх даних, їх виправлення та видалення, на обмеження обробки чи заперечення проти неї та на перенесення даних. Користувачам хостингової послуги слід спершу звертатися до своєї організації, яка є контролером. Якщо RIADVICE отримує запит безпосередньо, вона без невиправданої затримки пересилає його Клієнту й не відповідає на нього сама, якщо Клієнт її на це не уповноважить. RIADVICE допомагає Клієнту відповісти, наприклад шляхом пошуку, експорту чи видалення даних.

13. Повернення та видалення

Після завершення надання послуг Клієнт може експортувати свої дані, як передбачено в розділі 25 Умов використання. Після цього RIADVICE видаляє персональні дані зі своїх активних систем, а з резервних копій у міру їх перезапису в межах звичайної ротації, якщо закон не вимагає їх зберігання. Дані, що очікують видалення з резервних копій, більше не обробляються, крім як для відновлення системи. На запит RIADVICE письмово підтверджує видалення.

14. Аудити та інформація

RIADVICE відповідає на обґрунтовані письмові запитання та анкети щодо безпеки від Клієнтів стосовно здійснюваної нею обробки. Якщо цієї інформації недостатньо для підтвердження відповідності, Клієнт може провести аудит самостійно або через незалежного аудитора, зобов’язаного дотримуватися конфіденційності, не частіше одного разу на рік, якщо тільки витік персональних даних або запит наглядового органу не виправдовує іншого, з попереднім повідомленням щонайменше за тридцять (30) днів, у робочий час і без порушення роботи послуг чи шкоди безпеці або конфіденційності даних інших клієнтів. Кожна сторона несе власні витрати, якщо аудит не виявить суттєвого порушення з боку RIADVICE.

15. Контактна особа з питань захисту даних

Контактна особа RIADVICE з питань захисту даних наглядає за дотриманням вимог і відповідає на запитання та запити щодо персональних даних за адресою privacy@riadvice.tn.

16. Контакти

Щоб отримати додаткову інформацію про нашу відповідність GDPR чи наші практики щодо конфіденційності, звертайтеся на privacy@riadvice.tn або contact@riadvice.com чи пишіть на адресу: RIADVICE SUARL, Appartement B1, Résidence Ramzi, 2074 Mourouj 5, Ben Arous, Туніс.

Останнє оновлення: 9 жовтня 2026 року