Настоящий Договор об обработке персональных данных (далее — Договор) определяет условия, на которых ФЛП Сердюкова Анна Андреевна (далее — Администрация или Обработчик) обрабатывает персональные данные клиентов и сотрудников Пользователя сервиса PodoCard от его имени и по его поручению при предоставлении Сервиса.
Договор дополняет Условия использования сервиса PodoCard и Политику конфиденциальности, размещенные на сайте https://podocard.com, и применяется вместе с ними. Договор является договором присоединения в понимании статьи 634 Гражданского кодекса Украины. Пользователь присоединяется к Договору (акцептует его), когда принимает Условия использования и вносит в Сервис персональные данные Клиентов Пользователя или Сотрудников Пользователя, в том числе включает прием записей через Страницу онлайн-записи.
Договор составлен в соответствии с Законом Украины «О защите персональных данных» от 01.06.2010 № 2297-VI, а для Пользователей, на которых распространяется Общий регламент по защите данных (ЕС) 2016/679 (GDPR), — также в соответствии со статьей 28 GDPR.
Дата последнего обновления: 29 октября 2026 года.
РАЗДЕЛ 1: ТЕРМИНОЛОГИЯ
В Договоре используются термины Условий использования и Политики конфиденциальности (в том числе «Сервис», «Сайт», «Пользователь», «Клиент Пользователя», «Клиентский профиль», «Функции CRM», «Страница онлайн-записи», «Сотрудник Пользователя»), а также следующие термины:
«Контролер» — Пользователь, являющийся владельцем компании в Сервисе, а если учетное пространство компании ведется для юридического лица или физического лица — предпринимателя, — это лицо. Контролер определяет цели и средства обработки Поручаемых данных и в терминах Закона Украины «О защите персональных данных» является их владельцем.
«Обработчик» — Администрация, которая обрабатывает Поручаемые данные от имени и по поручению Контролера; в терминах Закона Украины «О защите персональных данных» — распорядитель персональных данных.
«Поручаемые данные» — персональные данные Клиентов Пользователя и Сотрудников Пользователя, которые вносят в учетное пространство компании Контролер, Сотрудники Пользователя или сами Клиенты Пользователя через Страницу онлайн-записи и которые Обработчик обрабатывает по поручению Контролера. Их состав приведен в Приложении 1.
«Субъект данных» — физическое лицо, к которому относятся Поручаемые данные.
«Субобработчик» — третье лицо, которое Обработчик привлекает к обработке Поручаемых данных.
«Инцидент» — нарушение безопасности, которое привело к случайному или незаконному уничтожению, утрате, изменению, несанкционированному раскрытию Поручаемых данных или несанкционированному доступу к ним.
«Законодательство о защите данных» — Закон Украины «О защите персональных данных», а также GDPR и иные законы о защите персональных данных, если они распространяются на Контролера.
РАЗДЕЛ 2: ПРЕДМЕТ И СФЕРА ДЕЙСТВИЯ ДОГОВОРА
2.1. Контролер поручает Обработчику, а Обработчик обязуется обрабатывать Поручаемые данные исключительно для предоставления Контролеру Сервиса в соответствии с Условиями использования, его технической поддержки и защиты. Характер и цели обработки, категории данных и Субъектов данных, а также срок обработки указаны в Приложении 1.
2.2. Договор не распространяется на персональные данные, цели и средства обработки которых определяет сама Администрация как владелец (контролер): данные учетных записей Пользователей, в том числе Сотрудников Пользователя как пользователей Сервиса; данные об оплате подписки; техническую информацию, cookies и данные аналитики; данные участников партнерской (реферальной) программы. Их обработка регулируется Политикой конфиденциальности.
2.3. При противоречии между Договором и Условиями использования или Политикой конфиденциальности в части обработки Поручаемых данных применяются положения Договора.
РАЗДЕЛ 3: ОБЯЗАННОСТИ КОНТРОЛЕРА
3.1. Контролер самостоятельно определяет цели обработки Поручаемых данных и отвечает за ее законность, в том числе за:
наличие надлежащего правового основания обработки, включая согласие Клиентов Пользователя на обработку сведений о состоянии здоровья, фотографий и подписей, если такое согласие требуется законодательством;
информирование Субъектов данных о целях, составе и сроках обработки их данных, а также о том, что данные обрабатываются с использованием Сервиса;
достоверность и актуальность вносимых данных и их соответствие целям обработки.
3.2. Указания, которые Контролер дает Обработчику, должны соответствовать законодательству о защите данных.
3.3. Контролер назначает Сотрудникам Пользователя роли и филиалы так, чтобы их доступ к данным соответствовал выполняемой работе, и своевременно отключает или удаляет учетные записи Сотрудников Пользователя, прекративших работу. Действия Сотрудников Пользователя в учетном пространстве компании считаются действиями Контролера.
3.4. Контролер обеспечивает защиту паролей и устройств, с которых он и Сотрудники Пользователя входят в Сервис, и отвечает за Поручаемые данные, полученные из Сервиса: выгрузку, PDF-документы, фотографии и другие скачанные файлы.
3.5. Контролер самостоятельно рассматривает обращения Субъектов данных и выполняет их (раздел 7).
РАЗДЕЛ 4: ОБЯЗАННОСТИ ОБРАБОТЧИКА
4.1. Обработчик обрабатывает Поручаемые данные только по документированным указаниям Контролера, в том числе в отношении передачи данных за рубеж (раздел 9), если иное не требуется законодательством, которое распространяется на Обработчика. В таком случае Обработчик до начала обработки сообщает Контролеру об этом требовании, если закон не запрещает такое сообщение.
4.2. Документированными указаниями Контролера являются: Договор и Условия использования; действия Контролера и Сотрудников Пользователя в Сервисе (внесение, изменение и удаление данных, настройки компании и филиалов, включение Функций CRM и Страницы онлайн-записи, отправка документов клиентам); письменные обращения владельца компании в службу поддержки на support@podocard.com, в том числе запрос на выгрузку данных. Иные указания исполняются, если они технически осуществимы в рамках Сервиса и согласованы сторонами.
4.3. Обработчик незамедлительно сообщает Контролеру, если, по его мнению, указание Контролера нарушает законодательство о защите данных.
4.4. Обработчик не использует Поручаемые данные для собственных целей, в том числе маркетинговых, не продает их и не передает третьим лицам, за исключением Субобработчиков (раздел 6) и случаев, предусмотренных законом. Рекламных сообщений Клиентам Пользователя Обработчик не направляет.
4.5. Обработчик допускает к Поручаемым данным только лиц, которым это необходимо для предоставления, поддержки и защиты Сервиса, и обеспечивает, чтобы они обязались соблюдать конфиденциальность или были обязаны соблюдать ее в силу закона. Содержимое Клиентских профилей такие лица просматривают только тогда, когда это необходимо для обработки обращения Пользователя в службу поддержки, устранения технической неисправности или выполнения требований законодательства.
4.6. Обработчик принимает технические и организационные меры для защиты Поручаемых данных (раздел 5 и Приложение 3), содействует Контролеру в выполнении его обязанностей (разделы 7 и 8) и предоставляет информацию, необходимую для подтверждения выполнения Договора (раздел 10).
РАЗДЕЛ 5: БЕЗОПАСНОСТЬ ОБРАБОТКИ
5.1. С учетом характера Поручаемых данных, в том числе сведений о состоянии здоровья, Обработчик применяет меры, указанные в Приложении 3, и поддерживает их уровень в течение срока действия Договора. Обработчик вправе изменять отдельные меры при условии, что общий уровень защиты Поручаемых данных не снижается.
5.2. Часть мер находится под контролем самого Контролера: назначение ролей и филиалов Сотрудникам Пользователя, своевременное отключение их учетных записей, надежные пароли, защита устройств, отключение онлайн-записи для филиала, Сотрудника Пользователя или клиента. Контролер самостоятельно оценивает, достаточны ли меры Обработчика для его обработки.
РАЗДЕЛ 6: СУБОБРАБОТЧИКИ
6.1. Контролер дает Обработчику общее разрешение привлекать Субобработчиков. Действующий перечень Субобработчиков приведен в Приложении 2.
6.2. О намерении привлечь нового Субобработчика или заменить действующего Обработчик сообщает, публикуя на Сайте обновленное Приложение 2 с указанием даты, с которой изменение вступает в силу, не позднее чем за 14 (четырнадцать) календарных дней до этой даты.
6.3. До указанной даты Контролер вправе направить на support@podocard.com мотивированное возражение. Если стороны не придут к согласию, Контролер вправе прекратить использование Сервиса до вступления изменения в силу: получить выгрузку данных и удалить учетную запись в порядке раздела 11.
6.4. Если замена Субобработчика срочно необходима для обеспечения безопасности или непрерывности работы Сервиса, Обработчик вправе произвести ее без предварительного уведомления при условии сохранения сопоставимого уровня защиты данных и в кратчайший срок публикует обновленное Приложение 2. Контролер вправе возразить против такой замены в порядке пункта 6.3.
6.5. Обработчик привлекает Субобработчиков только на основании договора, который налагает на них обязанности по защите данных не менее строгие, чем предусмотренные Договором, в той мере, в которой они применимы к услугам Субобработчика, и отвечает перед Контролером за выполнение Субобработчиками таких обязанностей.
РАЗДЕЛ 7: ОБРАЩЕНИЯ СУБЪЕКТОВ ДАННЫХ
7.1. Сервис позволяет Контролеру самостоятельно выполнять обращения Субъектов данных: просматривать, исправлять и удалять данные клиента, его визиты и записи, отключать для клиента онлайн-запись, а также получать копию данных учетного пространства компании (выгрузку) в порядке, установленном Политикой конфиденциальности.
7.2. Если обращение Субъекта данных поступит Обработчику, Обработчик не рассматривает его по существу, а передает владельцу соответствующей компании, если компанию можно установить по сведениям из обращения, и сообщает заявителю, что для реализации своих прав ему следует обратиться к Контролеру.
7.3. Если Контролер не может выполнить обращение средствами Сервиса, Обработчик по запросу владельца компании в разумных пределах содействует его выполнению с учетом характера обработки.
РАЗДЕЛ 8: ИНЦИДЕНТЫ И СОДЕЙСТВИЕ КОНТРОЛЕРУ
8.1. Обработчик уведомляет Контролера об Инциденте незамедлительно, без неоправданной задержки после того, как ему стало о нем известно. Уведомление направляется на адрес электронной почты владельца компании, указанный в учетной записи, и (или) сообщением в Сервисе.
8.2. Уведомление содержит, насколько эти сведения известны Обработчику: описание Инцидента, категории и примерное количество затронутых Субъектов данных и записей, вероятные последствия, принятые и предлагаемые меры, контакт для получения дополнительной информации. Сведения, которые неизвестны на момент уведомления, Обработчик сообщает поэтапно по мере их получения.
8.3. Обработчик незамедлительно принимает разумные меры для устранения Инцидента и уменьшения его последствий и предоставляет Контролеру сведения, необходимые для уведомления надзорного органа и Субъектов данных. Такие уведомления, если они требуются, направляет Контролер.
8.4. С учетом характера обработки и имеющейся у него информации Обработчик содействует Контролеру в оценке воздействия на защиту данных и в предварительной консультации с надзорным органом, если они требуются Контролеру, предоставляя сведения о Сервисе и применяемых мерах защиты.
РАЗДЕЛ 9: МЕСТО ОБРАБОТКИ И ПЕРЕДАЧА ДАННЫХ ЗА РУБЕЖ
9.1. Поручаемые данные хранятся на серверах, расположенных на территории Федеративной Республики Германия, в центрах обработки данных Hetzner Online GmbH (Нюрнберг, Фалькенштайн). Резервные копии базы данных хранятся в отдельном хранилище того же поставщика на территории Германии. Место хранения Поручаемых данных изменяется в порядке раздела 6.
9.2. Обработчик зарегистрирован в Украине. Доступ уполномоченных лиц Обработчика к Поручаемым данным для поддержки, обслуживания и защиты Сервиса может осуществляться за пределами Европейской экономической зоны, в том числе из Украины.
9.3. Если на Контролера распространяется GDPR и такой доступ является передачей персональных данных в страну, в отношении которой Европейская комиссия не приняла решение о надлежащем уровне защиты, к такой передаче применяются стандартные договорные условия, утвержденные Имплементационным решением Комиссии (ЕС) 2021/914 от 4 июня 2021 года, модуль 2 «от контролера к обработчику» (далее — СДУ). СДУ включаются в Договор посредством ссылки; Контролер выступает в них экспортером данных, Обработчик — импортером данных. Для целей СДУ: пункт 7 не применяется; по пункту 9(a) применяется вариант 2 (общее разрешение) со сроком уведомления, указанным в пункте 6.2 Договора; необязательная формулировка пункта 11(a) не применяется; по пункту 17 применяется право государства — члена ЕС, в котором учрежден Контролер, а если оно не предусматривает прав третьих лиц — выгодоприобретателей, — право Федеративной Республики Германия; по пункту 18 споры рассматриваются судами государства — члена ЕС, в котором учрежден Контролер; приложения I, II и III к СДУ считаются заполненными сведениями Приложений 1, 3 и 2 к Договору соответственно. При противоречии между Договором и СДУ преимущество имеют СДУ.
РАЗДЕЛ 10: ИНФОРМАЦИЯ И ПРОВЕРКИ
10.1. По запросу владельца компании Обработчик предоставляет информацию, необходимую для подтверждения выполнения Договора: описание применяемых мер защиты, перечень Субобработчиков, сведения о сертификации поставщика инфраструктуры и ответы на разумные вопросы Контролера об обработке Поручаемых данных.
10.2. Если такой информации недостаточно или проверки требует надзорный орган, Контролер вправе провести проверку (аудит) обработки Поручаемых данных самостоятельно или с привлечением независимого аудитора, связанного обязательством конфиденциальности. Проверка проводится не чаще одного раза в 12 (двенадцать) месяцев, если она не вызвана Инцидентом или требованием надзорного органа, с уведомлением Обработчика не менее чем за 30 (тридцать) календарных дней, в рабочее время, без доступа к данным других пользователей Сервиса и за счет Контролера. Инфраструктура Субобработчиков проверяется по их отчетам и сертификатам.
РАЗДЕЛ 11: СРОК ДЕЙСТВИЯ, ВОЗВРАТ И УДАЛЕНИЕ ДАННЫХ
11.1. Договор вступает в силу с момента акцепта и действует, пока Обработчик обрабатывает Поручаемые данные Контролера, — до их удаления в соответствии с настоящим разделом.
11.2. Клиенты, визиты и записи календаря, удаленные в Сервисе Контролером или Сотрудниками Пользователя, перемещаются в архив и в течение 30 (тридцати) календарных дней могут быть восстановлены. По истечении этого срока они удаляются автоматически без возможности восстановления вместе с относящимися к ним фотографиями и документами. Записи календаря, по которым внесены оплаты, при этом не удаляются и сохраняются в учетном пространстве компании, а после удаления клиента — без привязки к нему.
11.3. Копия адреса электронной почты и имени Клиента Пользователя из формы на Странице онлайн-записи, сохраненная для отправки напоминаний о визите, удаляется через 30 (тридцать) дней после начала визита.
11.4. До удаления данных владелец компании вправе бесплатно получить копию данных учетного пространства компании (выгрузку). Состав, формат и порядок выгрузки установлены Политикой конфиденциальности.
11.5. Если владелец компании удаляет свою учетную запись, учетное пространство компании и все Поручаемые данные удаляются без возможности восстановления по истечении 7 (семи) календарных дней с момента подтверждения запроса на удаление. До истечения этого срока запрос можно отменить в порядке, установленном Условиями использования.
11.6. Если доступ к Сервису прекратился по окончании пробного или оплаченного периода, а учетная запись не удалена, Поручаемые данные хранятся, чтобы Контролер мог возобновить доступ: 2 (два) месяца с даты окончания пробного периода, если платная подписка не оформлялась, или 2 (два) года с даты окончания последнего оплаченного периода. По истечении этих сроков данные удаляются автоматически без возможности восстановления. Контролер, который не желает такого хранения, вправе в любой момент удалить учетную запись в порядке пункта 11.5.
11.7. Из резервных копий Поручаемые данные удаляются по мере плановой замены резервных копий. До этого резервные копии защищаются теми же мерами и используются только для восстановления Сервиса после сбоев.
11.8. Если законодательство требует от Обработчика дальнейшего хранения отдельных Поручаемых данных, Обработчик хранит их только в течение установленного срока, обеспечивает их конфиденциальность и не обрабатывает их для иных целей.
РАЗДЕЛ 12: ОТВЕТСТВЕННОСТЬ
12.1. Стороны несут ответственность за нарушение Договора в соответствии с применимым законодательством. Ограничения ответственности, установленные Условиями использования, применяются к Договору в той мере, в которой это допускается законодательством о защите данных, и не ограничивают прав Субъектов данных.
РАЗДЕЛ 13: ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
13.1. Администрация вправе изменять Договор, публикуя новую редакцию на Сайте с указанием даты последнего обновления. Изменения перечня Субобработчиков вносятся в порядке раздела 6. Продолжение использования Сервиса после вступления новой редакции в силу означает согласие с ней. При несогласии Пользователь вправе прекратить использование Сервиса и удалить учетную запись.
13.2. К Договору применяется законодательство Украины с учетом обязательных норм законодательства о защите данных, которое распространяется на Контролера, и раздела 9. Споры разрешаются в порядке, установленном Условиями использования.
13.3. Уведомления Контролеру направляются на адрес электронной почты владельца компании, указанный в учетной записи, или сообщением в Сервисе; Обработчику — на support@podocard.com.
13.4. Недействительность отдельного положения Договора не влечет недействительности остальных его положений.
ПРИЛОЖЕНИЕ 1: ОПИСАНИЕ ОБРАБОТКИ
1. Категории Субъектов данных:
Клиенты Пользователя, в том числе лица, записавшиеся на прием через Страницу онлайн-записи;
Сотрудники Пользователя — в отношении данных, которые вносит в Сервис компания.
2. Категории Поручаемых данных:
данные Клиентов Пользователя: фамилия, имя, отчество, пол, дата рождения, профессия; номер телефона, адрес электронной почты, контакты в Telegram и Instagram; медицинская анкета (сведения о заболеваниях и состояниях, аллергии, размере стопы, заметки); история визитов (описание процедур, отметки на схемах стоп, сведения о корректирующих системах, заметки, фотографии, в том числе до и после процедур); электронные подписи и подписанные документы, в том числе информированные согласия в формате PDF; иные сведения и файлы, которые вносит Контролер;
при использовании Функций CRM: записи на прием (дата и время, филиал, специалист, услуги и их стоимость, статус записи, комментарии), сведения об оплате записей (сумма, способ оплаты, дата) и о взаиморасчетах с клиентами, разрешение клиенту записываться через Страницу онлайн-записи;
при записи через Страницу онлайн-записи: имя, фамилия, номер телефона и адрес электронной почты, указанные в форме, выбранные услуги, специалист, дата и время, а также отметка о согласии на обработку персональных данных (дата и время, IP-адрес, сведения о браузере, версия документа);
данные Сотрудников Пользователя: имя, фамилия, контактные данные, должность, фотография (аватар), роль и филиалы, график работы (рабочие дни и часы, перерывы, выходные), записи клиентов и оказанные услуги, условия оплаты труда (процент от стоимости услуг и (или) ставка), если их задает Контролер, и рассчитанные на их основе суммы вознаграждения.
3. Особые категории данных: сведения о состоянии здоровья Клиентов Пользователя (медицинская анкета, описания процедур, фотографии). Объем их обработки определяет Контролер.
4. Характер обработки: сбор, в том числе через Страницу онлайн-записи; запись, систематизация, хранение и изменение; отображение пользователям учетного пространства компании в соответствии с их ролями и филиалами; формирование PDF-документов, отчетов и расчетов; отправка писем — документов клиенту на его адрес электронной почты, писем о записи и напоминаний о визите Клиентам Пользователя, сообщений о записях через Страницу онлайн-записи владельцу компании, менеджерам и администраторам филиала; показ имени, фамилии, должности и фотографии специалистов на Странице онлайн-записи; защита от злоупотреблений; резервное копирование; выгрузка; удаление.
5. Цели обработки: предоставление Контролеру Сервиса и его функций, техническая поддержка Контролера, обеспечение безопасности и непрерывности работы Сервиса, восстановление после сбоев.
6. Срок обработки: в течение срока действия Договора (раздел 11).
ПРИЛОЖЕНИЕ 2: СУБОБРАБОТЧИКИ
Перечень действует с 29 октября 2026 года.
Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Германия) — облачная инфраструктура Сервиса: серверы, база данных, хранилище фотографий и документов, резервные копии. Место обработки — Германия (центры обработки данных в Нюрнберге и Фалькенштайне).
Письма Сервиса, в том числе Клиентам Пользователя, отправляются через собственный почтовый сервер Обработчика. Платежные провайдеры, магазины приложений и аналитические сервисы, указанные в Политике конфиденциальности, Субобработчиками не являются: они получают только данные Пользователя, необходимые для выполнения их функций, и не имеют доступа к Клиентским профилям.
ПРИЛОЖЕНИЕ 3: ТЕХНИЧЕСКИЕ И ОРГАНИЗАЦИОННЫЕ МЕРЫ
1. Размещение. Серверы Сервиса и резервные копии размещены в центрах обработки данных Hetzner Online GmbH на территории Германии. Система управления информационной безопасностью поставщика сертифицирована по международному стандарту ISO/IEC 27001.
2. Защита передачи данных. Обмен данными между мобильным приложением, веб-сайтом и серверами Сервиса осуществляется только по защищенному соединению (HTTPS/TLS).
3. Хранение файлов. Фотографии и документы хранятся в закрытом хранилище и недоступны по постоянным прямым ссылкам: доступ к ним предоставляется приложением по временным ссылкам с ограниченным сроком действия.
4. Доступ к инфраструктуре. База данных недоступна из сети Интернет. Административный доступ к серверам имеет только уполномоченный технический персонал Обработчика с использованием аутентификации по ключам.
5. Учетные записи. Пароли хранятся только в виде криптографических хешей. Доступ к Сервису предоставляется по токенам с ограниченным сроком действия; после сброса пароля ранее выданные токены отзываются. Число попыток входа и ввода кодов подтверждения ограничено.
6. Разграничение доступа. Данные компании доступны только пользователям ее учетного пространства. Объем доступа Сотрудников Пользователя определяется их ролью (владелец, менеджер, администратор, специалист), а при использовании Функций CRM — также филиалами, к которым они привязаны; в частности, специалисту не отображаются контактные данные Клиентов Пользователя. Роли и привязку к филиалам назначают владелец компании и менеджеры.
7. Персонал Обработчика. Лица, допущенные к Поручаемым данным, обязаны соблюдать конфиденциальность и просматривают содержимое Клиентских профилей только в случаях, указанных в пункте 4.5 Договора.
8. Страница онлайн-записи. Количество запросов и заявок ограничивается по IP-адресу, номеру телефона и адресу электронной почты; эти значения используются в виде хешей во временных счетчиках, которые удаляются автоматически по истечении периода ограничения. Ссылка на отмену записи содержит неугадываемый код, в базе данных хранится только его хеш. На Странице онлайн-записи и странице отмены записи пиксель Meta и другие рекламные и аналитические инструменты не используются.
9. Журналы. Ошибки и сбои фиксируются в журналах для контроля работы Сервиса; пароли, токены и коды подтверждения в журналах маскируются.
10. Резервное копирование. Резервные копии базы данных создаются регулярно и хранятся в отдельном хранилище на территории Германии.
11. Удаление. Удаленные клиенты, визиты и записи хранятся в архиве 30 (тридцать) календарных дней, после чего удаляются автоматически; данные учетного пространства компании удаляются автоматически по истечении сроков хранения (раздел 11 Договора).
12. Выгрузка. Копия данных учетного пространства компании выдается только владельцу компании: ссылка на скачивание отправляется только на адрес электронной почты из его учетной записи и действует 7 (семь) календарных дней, после чего архив удаляется с серверов Сервиса.
РЕКВИЗИТЫ
ФЛП Сердюкова Анна Андреевна
ИНН 3117915209
Тел. +380731234011
E-mail: support@podocard.com