Data Processing Agreement (DPA)
Редакція від 20 червня 2026 року.
Цей Договір про обробку персональних даних (далі — «DPA») є невід'ємною частиною Ліцензійного договору (публічної оферти) SmartyParcel (далі — «Договір»). Він визначає, як SmartyParcel обробляє персональні дані, які Клієнт передає в Сервіс або які Сервіс отримує з підключених Клієнтом магазинів, облікових записів перевізників та інших сервісів.
DPA набирає чинності для Клієнта одночасно з акцептом Договору і діє, поки SmartyParcel обробляє такі дані. Окремого підписання DPA не потрібно. У разі розбіжностей між Договором і DPA щодо обробки персональних даних застосовуються положення DPA.
1. Сторони та терміни
1.1. SmartyParcel — ФОП Бабінець К. М., що надає доступ до Сервісу SmartyParcel на умовах Договору. Реквізити наведено в розділі «Реквізити» Договору.
1.2. Клієнт — фізична особа, ФОП або юридична особа, яка акцептувала Договір і використовує Сервіс у своїй господарській діяльності.
1.3. Дані Клієнта — персональні дані, які SmartyParcel обробляє від імені Клієнта під час надання Сервісу: дані замовлень, покупців, одержувачів і відправників, а також інші дані, перелічені в Додатку 1.
1.4. Підключений сервіс — інтернет-магазин або платформа електронної комерції (зокрема WooCommerce, Shopify), обліковий запис перевізника, SMS-сервіс чи інший сторонній сервіс, який Клієнт підключає до Сервісу.
1.5. Субпідрядник — третя особа, яку SmartyParcel залучає для обробки Даних Клієнта від свого імені (хостинг, зберігання, електронна пошта тощо). Перелік наведено в Додатку 2.
1.6. Законодавство про захист даних — Закон України «Про захист персональних даних», а також Регламент (ЄС) 2016/679 (GDPR) та інші закони у випадках, коли вони застосовуються до обробки.
2. Ролі сторін і предмет обробки
2.1. Щодо Даних Клієнта Клієнт є володільцем персональних даних (controller): він самостійно визначає мету обробки, склад даних і те, які сервіси підключати. SmartyParcel є розпорядником (processor) і обробляє Дані Клієнта лише від імені Клієнта та в межах його інструкцій.
2.2. Щодо даних облікових записів Клієнта та його користувачів, платіжних даних, звернень до підтримки, даних відвідувачів сайту та телеметрії плагінів SmartyParcel діє як самостійний володілець відповідно до Політики конфіденційності. Цей DPA до таких даних не застосовується.
2.3. Мета обробки Даних Клієнта — надання Сервісу: синхронізація замовлень і товарів, розрахунок вартості доставки, створення відправлень та етикеток, трекінг, сповіщення одержувачів, звітність і технічна підтримка. SmartyParcel не використовує Дані Клієнта для власних цілей, не продає їх і не використовує для реклами. Знеособлена агрегована статистика використовується відповідно до п. 8.3 Договору.
2.4. Характер обробки, категорії суб'єктів і даних наведено в Додатку 1.
3. Інструкції Клієнта
3.1. Інструкціями Клієнта щодо обробки є: Договір і цей DPA; дії Клієнта в Сервісі та через API; налаштування облікового запису; а також письмові вказівки Клієнта, надіслані на адресу підтримки.
3.2. Зокрема, підключення Клієнтом магазину чи іншого сервісу — встановлення плагіна, видача ключів API, встановлення застосунку з наданням дозволів на доступ — є інструкцією Клієнта отримувати із цього сервісу замовлення, товари та пов'язані з ними персональні дані в обсязі, необхідному для роботи Сервісу. Створення відправлення є інструкцією передати дані відправлення обраному перевізнику.
3.3. SmartyParcel повідомляє Клієнта, якщо, на його думку, інструкція порушує законодавство про захист даних. SmartyParcel може не виконувати таку інструкцію до її уточнення.
3.4. Обсяг даних, що надходять із підключених сервісів, визначається дозволами, які Клієнт надав під час підключення. Клієнт може в будь-який момент обмежити або припинити доступ, відключивши інтеграцію або видаливши плагін чи застосунок.
4. Обов'язки Клієнта
4.1. Клієнт гарантує, що має законні підстави для збирання персональних даних своїх покупців і одержувачів та для їх передачі SmartyParcel, зокрема у зв'язку з виконанням договору купівлі-продажу та доставки товару.
4.2. Клієнт забезпечує, щоб суб'єкти даних були належно повідомлені про обробку, зокрема в політиці конфіденційності свого магазину, включно з передачею даних сервісам доставки.
4.3. Клієнт відповідає за точність і актуальність Даних Клієнта, які він вносить у Сервіс або які надходять із його магазину.
4.4. Клієнт самостійно розглядає звернення суб'єктів даних (покупців, одержувачів) щодо їхніх даних. Якщо таке звернення надійде до SmartyParcel, ми передамо його Клієнту.
5. Обов'язки SmartyParcel
5.1. SmartyParcel обробляє Дані Клієнта лише відповідно до інструкцій Клієнта, якщо інше не вимагається законом.
5.2. Доступ до Даних Клієнта мають лише особи, яким він потрібен для надання Сервісу і які зобов'язані зберігати конфіденційність.
5.3. SmartyParcel застосовує технічні та організаційні заходи захисту, що відповідають характеру даних і ризикам, зокрема: шифрування даних під час передачі (HTTPS/TLS); розмежування доступу та ключі доступу для співробітників Клієнта; зберігання паролів у хешованому вигляді; журналювання доступу; регулярне резервне копіювання; оновлення програмного забезпечення.
5.4. SmartyParcel повідомляє Клієнта про інцидент безпеки, що призвів до несанкціонованого доступу до Даних Клієнта, їх втрати чи розголошення, без зайвої затримки і за можливості не пізніше ніж через 72 години після того, як дізнався про нього. Повідомлення містить відому на той момент інформацію про характер інциденту, його наслідки та вжиті заходи.
5.5. SmartyParcel у розумних межах допомагає Клієнту виконувати запити суб'єктів даних та обов'язки щодо безпеки, переважно через функції Сервісу: перегляд, редагування, експорт і видалення даних.
5.6. На запит Клієнта SmartyParcel надає інформацію, необхідну для підтвердження дотримання цього DPA.
6. Субпідрядники
6.1. Клієнт надає SmartyParcel загальний дозвіл залучати Субпідрядників для надання Сервісу. Актуальний перелік наведено в Додатку 2.
6.2. SmartyParcel покладає на Субпідрядників обов'язки щодо захисту даних не менш суворі, ніж у цьому DPA, і відповідає перед Клієнтом за їхні дії як за власні.
6.3. Про додавання або заміну Субпідрядника SmartyParcel повідомляє, оновивши Додаток 2 щонайменше за 14 днів до початку обробки. Клієнт може обґрунтовано заперечити проти зміни, написавши на адресу підтримки. Якщо сторони не дойдуть згоди, Клієнт може припинити використання Сервісу.
7. Перевізники та підключені сервіси
7.1. Перевізники (зокрема Нова Пошта, Укрпошта, Rozetka Delivery, Meest, DHL, Nova Global) не є Субпідрядниками SmartyParcel. Вони отримують дані відправлення для надання послуг доставки та обробляють їх як самостійні володільці відповідно до власних правил і політик конфіденційності.
7.2. Це стосується як відправлень через власні договори Клієнта з перевізниками, так і відправлень через договори SmartyParcel з перевізниками. У другому випадку SmartyParcel передає перевізнику лише дані, необхідні для оформлення та доставки відправлення.
7.3. Підключені Клієнтом сервіси (платформа магазину, власні облікові записи Клієнта в SMS-сервісах чи у перевізників) діють на підставі договору Клієнта з ними. SmartyParcel не відповідає за обробку даних такими сервісами.
8. Доступ технічної підтримки
8.1. Під час розгляду звернення Клієнта спеціалісти SmartyParcel можуть переглядати дані його облікового запису, замовлення та відправлення в обсязі, необхідному для вирішення питання. Звернення до підтримки є інструкцією на такий доступ.
8.2. SmartyParcel не переглядає ключі API та облікові дані перевізників, що їх Клієнт вносить у Сервіс, і не використовує їх інакше, ніж для виконання дій, ініційованих Клієнтом.
9. Місце обробки та транскордонна передача
9.1. Місце зберігання Даних Клієнта зазначено в Додатку 2.
9.2. Дані можуть передаватися за межі країни перебування Клієнта, якщо це випливає з інструкцій Клієнта (наприклад, міжнародне відправлення через DHL чи Nova Global) або з розташування Субпідрядників. У таких випадках SmartyParcel вживає розумних заходів, щоб передача відбувалася відповідно до законодавства про захист даних.
10. Строк зберігання, повернення та видалення даних
10.1. Під час дії Договору SmartyParcel зберігає Дані Клієнта, поки вони потрібні для надання Сервісу (зокрема для історії відправлень, трекінгу та звітності), або до їх видалення Клієнтом.
10.2. Після припинення Договору або видалення облікового запису Клієнт має 3 місяці, щоб експортувати свої дані. По закінченні цього строку SmartyParcel видаляє Дані Клієнта, якщо закон не вимагає їх зберігати. Клієнт може попросити видалити дані раніше, написавши на адресу підтримки.
10.3. Для магазинів на Shopify діють правила платформи: після того як Клієнт видалив застосунок і Shopify надіслав запит на видалення даних магазину, SmartyParcel видаляє дані цього магазину не пізніше ніж через 30 днів. Запити Shopify щодо даних окремих покупців (надання або видалення) виконуються в той самий строк.
10.4. Дані в резервних копіях видаляються в порядку звичайної ротації резервних копій і до видалення залишаються захищеними та не використовуються.
11. Відповідальність і зміни DPA
11.1. Відповідальність сторін за цим DPA визначається Договором, включно з його обмеженнями відповідальності.
11.2. SmartyParcel може змінювати цей DPA в порядку, передбаченому Договором для зміни його умов. Зміни Додатку 2 здійснюються відповідно до п. 6.3.
11.3. З усіх питань щодо цього DPA пишіть на support@smartyparcel.com.
Додаток 1. Опис обробки
| Параметр | Опис |
|---|---|
| Суб'єкти даних | Покупці магазину Клієнта; одержувачі та відправники відправлень; контактні особи Клієнта, дані яких вказано у відправленнях |
| Категорії даних | ПІБ; номер телефону; email; адреса доставки, відділення чи поштомат; дані замовлення (номер, товари, сума, спосіб оплати та доставки, коментарі); дані відправлення (номер ТТН, перевізник, вага, габарити, оголошена вартість, сума накладеного платежу); статуси та історія трекінгу; дані митних декларацій для міжнародних відправлень; тексти SMS та email-сповіщень одержувачам |
| Джерела даних | Плагін SmartyParcel для WooCommerce; застосунок SmartyParcel для Shopify; API SmartyParcel; ручне введення та імпорт файлів у Сервісі; API перевізників (статуси відправлень) |
| Дії з даними | Отримання, зберігання, відображення в інтерфейсі, зміна за вказівкою Клієнта, передача перевізникам і підключеним сервісам, оновлення статусів у магазині Клієнта, формування етикеток і звітів, видалення |
| Мета | Надання Сервісу Клієнту відповідно до Договору (п. 2.3 DPA) |
| Частота | Безперервно, протягом строку дії Договору |
| Строк зберігання | Відповідно до розділу 10 DPA |
Додаток 2. Субпідрядники та одержувачі даних
Субпідрядники SmartyParcel — обробляють дані від імені SmartyParcel:
| Субпідрядник | Призначення | Місце обробки |
|---|---|---|
| Hetzner Online GmbH | Хостинг Сервісу, бази даних, резервні копії | Німеччина (ЄС) |
| Amazon Web Services (AWS) | Хостинг і зберігання даних; надсилання системних листів через Amazon SES | Німеччина (ЄС) |
| eSputnik | Надсилання листів і сповіщень | Україна |
| HelpCrunch | Чат технічної підтримки, листування з Клієнтом | Німеччина (ЄС) |
Перевізники — самостійні володільці даних (розділ 7 DPA), отримують дані лише щодо відправлень, які Клієнт оформлює через них: Нова Пошта, Укрпошта, Rozetka Delivery, Meest, DHL, Nova Global, а також інші перевізники, що з'являться в списку підтримуваних перевізників.
Підключені Клієнтом сервіси — працюють за договором Клієнта з ними (п. 7.3 DPA): WooCommerce, Shopify, SMS-сервіси TurboSMS та SMSfly та інші інтеграції, які Клієнт активував у Сервісі.
Останнє оновлення Додатку 2: 25 жовтня 2026 року.