Угода про обробку даних

Ця Угода про обробку даних («УОД») регулює обробку персональних даних Оператором від імені Замовника в ході надання Сервісу. Її складено на виконання статті 28 GDPR.

Сторони та ролі. Замовник є володільцем. Оператор, Volent, є розпорядником. «Volent» або «Сервіс» — хостингова служба управління проєктами. «Користувач» — фізична особа, яка користується робочим простором. «Робочий простір» — окремий орендар, доступний за власним піддоменом. «Дані Замовника» — усе, що Замовник або його Користувачі розміщують у Робочому просторі.

Ця УОД не застосовується там, де Оператор діє як володілець, — щодо даних облікового запису та даних публічних сторінок сайту, які регулюються Політикою конфіденційності.

1. Предмет, тривалість, характер і мета обробки

Предмет. Обробка Даних Замовника Оператором з метою надання Сервісу Замовнику.

Тривалість. Доки існує Робочий простір Замовника, а після цього — лише в обсязі, описаному в розділі 9.

Характер і мета. Розміщення, зберігання, структурування, пошук, передавання, відображення та видалення Даних Замовника в обсязі, потрібному для роботи багатоорендного трекера проєктів і задач: дошки, беклоги, спринти, робочі елементи, коментарі, командний чат і вкладені файли; надсилання транзакційних та сповіщувальних листів, якщо пошту налаштовано; а також, якщо їх увімкнено, інтеграція з репозиторіями та необов'язкова функція генерації тексту штучним інтелектом. Мета обмежується наданням Сервісу і не охоплює жодної самостійної мети Оператора.

Відгук Оператору. Повідомлення, яке Користувач надсилає Оператору із Сервісу, разом із доданими до нього даними облікового запису й Робочого простору, є власними даними Оператора й описане в Політиці конфіденційності. Якщо Користувач додасть до такого повідомлення Дані Замовника, Оператор використовує їх лише для відповіді на це повідомлення, зберігає не довше за саме повідомлення, а в усьому іншому поводиться з ними згідно з цією УОД.

Категорії суб'єктів даних. Користувачі Замовника та будь-яка фізична особа, чиї персональні дані Замовник або його Користувачі розміщують у Даних Замовника, — наприклад колеги, підрядники, клієнти чи інші особи, згадані в робочому елементі, коментарі, повідомленні чату або вкладенні.

Категорії персональних даних. Ідентифікаційні та контактні дані Користувачів (адреса електронної пошти, відображуване ім'я, URL зображення аватара, мова інтерфейсу, часовий пояс, хеш пароля); записи автентифікації, зокрема рядок user-agent браузера, що зберігається в записі «запам'ятати мене»; а також будь-які персональні дані, що містяться в Даних Замовника, зміст яких визначає Замовник, а не Оператор.

Сервіс не потребує особливих категорій персональних даних за статтею 9 GDPR. Замовник не повинен розміщувати в Даних Замовника дані особливих категорій або дані про кримінальні правопорушення, доки не погодить з Оператором додаткових умов у письмовій формі.

2. Обробка за задокументованими вказівками

Оператор обробляє Дані Замовника виключно за задокументованими вказівками Замовника, зокрема щодо передавання до третьої країни, крім випадків, коли цього вимагає право Союзу чи держави-члена або право України; у такому разі Оператор повідомляє Замовника про цю правову вимогу до початку обробки, якщо таке право не забороняє надавати таку інформацію з важливих причин суспільного інтересу.

Задокументовані вказівки Замовника складаються з: цієї УОД; Умов надання послуг; налаштувань, які обирають Замовник та його адміністратори в Сервісі; а також використання функцій Сервісу Замовником та його Користувачами. Використання Сервісу і є вказівкою.

Оператор невідкладно повідомляє Замовника, якщо, на думку Оператора, вказівка порушує GDPR або інше застосовне законодавство про захист даних. Оператор може призупинити виконання такої вказівки, доки її не буде підтверджено, змінено або відкликано.

3. Конфіденційність

Оператор забезпечує, щоб особи, уповноважені обробляти Дані Замовника, були зв'язані обов'язком конфіденційності — договірним або встановленим законом — і щоб доступ обмежувався тим, що особі потрібно для виконання її завдання. Якщо Оператор залучає помічника або підрядника з доступом до Даних Замовника, така особа перед наданням доступу приймає рівнозначний письмовий обов'язок конфіденційності.

4. Безпека обробки (стаття 32)

Оператор впроваджує технічні та організаційні заходи, викладені в Додатку 2, з урахуванням рівня розвитку техніки, витрат на впровадження, характеру, обсягу, контексту та цілей обробки, а також ризику для суб'єктів даних.

Заходи в Додатку 2 є вичерпним переліком того, що впроваджено. Жодних інших заходів із цього переліку виводити не слід, і зокрема: Оператор не отримував жодної сертифікації, жодного звіту SOC 2, жодного сертифіката ISO 27001 і жодного звіту про тестування на проникнення третьою стороною та не має кодексу поведінки, схваленого за статтею 40 GDPR. Будь-яке твердження про протилежне Оператором не робиться.

Оператор може оновлювати ці заходи з часом за умови, що рівень захисту не знижується.

5. Суброзпорядники

Замовник надає Оператору загальний письмовий дозвіл залучати суброзпорядників. Суброзпорядники, дозволені станом на дату набрання чинності цією УОД:

Об'єктним сховищем для вкладених файлів керує Оператор, і тому воно не є суброзпорядником. Якщо Оператор перенесе його до керованого постачальника, такий постачальник є суброзпорядником, і до нього застосовується наведена нижче процедура змін.

Два постачальники, що фігурують у Сервісі, суброзпорядниками не є. Anthropic: коли Робочий простір запускає агентів штучного інтелекту, він робить це у власному акаунті Замовника в Anthropic і з власним ключем API, за власною угодою Замовника з Anthropic. Тому Anthropic діє в інтересах Замовника, а не Оператора; Оператор надсилає їй Дані Замовника лише за вказівкою Замовника — через користування цією функцією, — а за свою угоду з Anthropic, зокрема за місце обробки даних, відповідає Замовник. Якщо Оператор колись сам надасть акаунт чи ключ, Anthropic стане суброзпорядником, і до неї застосовуватиметься наведена нижче процедура змін. Постачальник платежів, який виступає Merchant of Record згідно з Умовами надання послуг, продає від власного імені та зберігає власні записи про покупку; він не обробляє Дані Замовника від імені Оператора.

Оператор покладає на кожного суброзпорядника договором обов'язки щодо захисту даних, не менш захисні, ніж передбачені цією УОД, і залишається повністю відповідальним перед Замовником за виконання обов'язків кожним суброзпорядником.

Зміни. Оператор повідомляє Замовника про будь-яке заплановане додавання або заміну суброзпорядника не пізніше ніж за 30 днів до того, як такий суброзпорядник почне обробляти Дані Замовника, — електронним листом на контактну адресу адміністратора Замовника або повідомленням у Сервісі. Замовник може заперечити з обґрунтованих підстав захисту даних протягом цих 30 днів. Якщо заперечення не вдається врегулювати, Замовник може припинити відповідну частину Сервісу та цю УОД без штрафних наслідків, і до відповідних Даних Замовника застосовується розділ 9.

6. Сприяння у виконанні запитів суб'єктів даних

З урахуванням характеру обробки Оператор сприяє Замовнику належними технічними та організаційними заходами, наскільки це можливо, у виконанні обов'язку Замовника відповідати на запити щодо реалізації прав суб'єктів даних за главою III GDPR.

Чесний стан речей щодо того, як це працює:

• Функції самостійного експорту немає. Видалення облікового запису — самообслуговуване: Користувач може видалити власний обліковий запис (Мій профіль → Видалення акаунта). Стирання виконується автоматично через один місяць після підтвердження запиту Користувачем — у межах строку за ст. 12(3), а не після нього; упродовж цього строку обліковий запис заблоковано, а Користувач може скасувати запит. Сервіс також скасовує стирання, і нічого не стирається, якщо на той момент Користувач і далі володіє Робочим простором, у якому працюють інші Користувачі, або є його єдиним адміністратором — Користувачеві надсилають лист із причиною, і він може подати запит знову, коли причину усунуто. Після виконання воно стирає його ідентичність і знеособлює записи про членство, а створений ним вміст залишається в Робочому просторі. Доступ, копію, виправлення, обмеження, перенесення даних, заперечення і будь-яке видалення понад це Оператор виконує вручну на підставі звернення на support@volent.net.
• Адміністратор Замовника вже може самостійно вилучити Користувача з Робочого простору, що припиняє доступ цього Користувача та знеособлює його адресу електронної пошти у відповідному записі. Адміністратори також можуть редагувати та видаляти робочі елементи, коментарі, повідомлення чату та вкладення в межах Робочого простору через звичайний інтерфейс.
• Якщо суб'єкт даних звертається безпосередньо до Оператора щодо Даних Замовника, Оператор не відповідає по суті запиту, а без невиправданої затримки передає його Замовнику, якщо тільки закон не зобов'язує відповісти.

Ручне сприяння Оператора надається безоплатно для розумного обсягу запитів.

7. Повідомлення про порушення захисту персональних даних

Оператор повідомляє Замовника без невиправданої затримки після того, як йому стало відомо про порушення захисту персональних даних, що зачіпає Дані Замовника, щоб Замовник міг виконати власні обов'язки за статтями 33 і 34 GDPR.

Повідомлення описуватиме — в обсязі, відомому на той момент, і з доповненням у міру надходження нової інформації:

• характер порушення, зокрема, за можливості, категорії та приблизну кількість відповідних суб'єктів даних і записів;
• ймовірні наслідки порушення;
• заходи, вжиті або запропоновані для усунення порушення та пом'якшення його негативних наслідків;
• контактну точку для отримання додаткової інформації.

Оператор не повідомлятиме наглядовий орган або відповідних суб'єктів даних від імені Замовника, якщо Замовник письмово не вкаже йому це зробити.

8. Оцінювання впливу на захист даних і попередні консультації

Оператор сприяє Замовнику в проведенні оцінювання впливу на захист даних за статтею 35 GDPR та в попередніх консультаціях з наглядовим органом за статтею 36 GDPR, з урахуванням характеру обробки та інформації, доступної Оператору.

Таке сприяння є пропорційним масштабу та ресурсам Оператора: воно має форму письмових відповідей про обробку, архітектуру та заходи з Додатка 2, а не підготовки індивідуальної документації з оцінювання.

9. Видалення або повернення Даних Замовника

Після припинення відносин щодо Сервісу Оператор, за вибором Замовника, видаляє або повертає всі Дані Замовника і видаляє наявні копії, якщо тільки право Союзу чи держави-члена або право України не вимагає подальшого зберігання.

• Замовник має повідомити свій вибір — повернення чи видалення — протягом 30 днів після припинення. Якщо вибір не повідомлено протягом цього строку, Оператор видаляє Дані Замовника.
• Якщо обрано повернення, воно виконується Оператором вручну на запит, надісланий на support@volent.net, оскільки продукт не містить інструмента експорту. Оператор надасть Дані Замовника у широковживаному, придатному для машинного зчитування форматі протягом 30 днів з дня запиту.
• Видалення здійснюється протягом 30 днів з дня вказівки Замовника або з дня спливу 30-денного строку на вибір.
• Видалення Робочого простору видаляє Дані Замовника, які він містить. Видалення, підтверджене власником Робочого простору, є вказівкою Замовника за цим розділом: вказівкою є користування Сервісом (розділ 2), а власник, який діє від імені організації, діє в межах повноважень, яких вимагають Умови надання послуг. Видалення починається через 14–15 днів після підтвердження (на початку наступної доби за UTC після 14 повних діб), якщо адміністратор Робочого простору його не скасує; до цього моменту Робочий простір заблоковано для всіх його Користувачів, а адміністраторам надходить лист, коли видалення заплановано і коли його скасовано. Власну копію Даних Замовника Оператор стирає протягом 30 днів після підтвердження; за цей час Оператор також просить видалити або деактивувати об'єкти, створені від імені Робочого простору в суброзпорядників і у власних постачальників Замовника (розділ 5). Об'єкт, який постачальник відмовився або не зміг видалити протягом 7 днів після початку видалення, фіксується за своїм ідентифікатором, без персональних даних, і його названо в листі про завершення, що надходить адміністраторам Робочого простору. Підписку Робочого простору, якщо вона є, скасовують, коли починається видалення. Збережена Оператором копія ключа API, який додав Робочий простір, стирається; сам ключ лишається чинним у його постачальника, доки Замовник не відкличе його там. Надалі Оператор зберігає лише запис про ідентифікатор Робочого простору, дати видалення та будь-які такі невидалені об'єкти — без персональних даних. Стерті дані можуть залишатися на носіях, доки їх не буде перезаписано в ході звичайної роботи; через Сервіс вони вже недоступні.
• Замовник, який хоче отримати Дані Замовника назад, подає запит на повернення до підтвердження видалення. Після початку видалення Оператор повернути Дані Замовника не може, тож Замовник, який ще не отримав запитаного, спершу скасовує видалення; підтверджене видалення, яке не скасовано, має перевагу над запитом на повернення, що очікує виконання.
• Робочий простір, останній учасник якого видалив свій обліковий запис, стирається так само в момент виконання цього видалення — без 14–15-денного очікування. Планові видалення, які Сервіс здійснює під час дії відносин, — це описані в цьому розділі, стирання облікового запису Користувача через один місяць після того, як цей Користувач підтвердив його видалення (розділ 6), 30-денне остаточне видалення робочих елементів із кошика, щоденне очищення записів «запам'ятати мене» зі спливлим строком або відкликаних та 14-денний строк дії запрошень.

10. Аудит і право на інформацію

Оператор надає Замовнику всю інформацію, необхідну для підтвердження дотримання статті 28 GDPR, на письмовий запит, надісланий на support@volent.net, і відповідає протягом 30 днів.

Оператор допускає аудити, зокрема інспекції, які проводить Замовник або уповноважений Замовником аудитор, і сприяє їм. Такі аудити відбуваються на розумних умовах: із письмовим повідомленням щонайменше за 30 днів, не частіше ніж раз на календарний рік, якщо інше не зумовлене порушенням захисту персональних даних або вимогою наглядового органу, у звичайні робочі години, без непропорційного порушення роботи Сервісу та з дотриманням конфіденційності. Аудитор не може бути конкурентом Оператора. Замовник несе власні витрати на аудит.

У першу чергу Оператор може задовольнити запит на аудит наданням письмових відповідей і документації, з огляду на те, що жодної сертифікації чи звіту про аудит третьою стороною не існує.

11. Міжнародні передавання

Оператор не передає Дані Замовника до третьої країни, окрім як описано тут і в Політиці конфіденційності.

Google як постачальник автентифікації та як постачальник Gemini API є одержувачем, заснованим у Сполучених Штатах Америки. Якщо Дані Замовника передаються до Google, передавання здійснюється на стандартній правовій підставі, доступній на момент передавання: на підставі рішення про адекватність за статтею 45 GDPR, якщо таке рішення поширюється на одержувача, інакше — на підставі Стандартних договірних положень Європейської Комісії за статтею 46(2)(c) GDPR разом із гарантіями передавання, які Google оприлюднює для відповідної послуги. Обидва ці суброзпорядники неактивні, доки їх не налаштовано.

Коли Робочий простір запускає агентів штучного інтелекту у власному акаунті Замовника в Anthropic (розділ 5), Дані Замовника, надіслані туди, потрапляють до постачальника, заснованого в Сполучених Штатах Америки, за вказівкою Замовника і за власною угодою Замовника з цим постачальником, яка регулює передавання.

Оператор не має жодної сертифікації і не заявляє про неї. Замовник уповноважує Оператора укладати Стандартні договірні положення із суброзпорядником від імені Замовника, якщо це потрібно для реалізації цієї УОД.

12. Пріоритет положень і прийняття УОД

Ця УОД є частиною договору між Замовником і Оператором. У разі суперечності між цією УОД та Умовами надання послуг з питання захисту персональних даних переважну силу має ця УОД. З усіх інших питань переважну силу мають Умови надання послуг. Якщо ця УОД суперечить Стандартним договірним положенням, переважну силу мають Стандартні договірні положення.

Замовник приймає цю УОД шляхом прийняття Умов надання послуг і використання Сервісу; підпис не вимагається і його не потрібно запитувати. Замовник, якому потрібен підписаний обома сторонами примірник, може запитати його на support@volent.net.

Якщо будь-яке положення цієї УОД є недійсним, решта залишається чинною. Ця УОД регулюється правом України, без шкоди для імперативного застосування GDPR, і юрисдикцію мають суди України.

Версія 1.0. Чинна з 2026-10-02.

13. Додатки

Додаток 1 — Відомості про обробку

Додаток 2 — Технічні та організаційні заходи

Це заходи, які фактично впроваджено. Нічого понад цей перелік не впроваджено і не заявляється.

Пов'язані документи: Умови надання послуг, Політика конфіденційності, Політика щодо cookie і Відомості про постачальника.