Набирає чинності: 20 червня 2026 р. — Sparkle5, LLC — Версія 1.0

Договір про обробку даних (DPA)

Цей Договір про обробку даних (далі — «DPA») є невід’ємною частиною Умов надання послуг між Sparkle5, LLC (далі — «Luvu» або «ми») та Вами (далі — «Клієнт» або «Ви») і застосовується в кожному випадку, коли Sparkle5, LLC обробляє персональні дані від Вашого імені у зв’язку із сервісом Luvu. Його укладено з метою дотримання статті 28 GDPR, Закону Великої Британії про захист даних 2018 року (UK Data Protection Act 2018) та рівнозначного законодавства.

1. Визначення термінів

Персональні дані, обробка, контролер, обробник, суб’єкт даних — у значенні, визначеному в GDPR.
Субобробник — будь-яка третя сторона, залучена Luvu для обробки персональних даних від нашого імені у зв’язку із сервісом.
Стандартні договірні положення (SCC) — положення Європейської комісії за Модулем 2 (контролер → обробник) та Модулем 3 (обробник → субобробник) (Рішення Комісії (ЄС) 2021/914).

2. Ролі та сфера застосування

Щодо персональних даних кінцевих користувачів Luvu (продукту — застосунку для знайомств) Sparkle5, LLC є контролером. Щодо будь-яких персональних даних, які Ви (Клієнт) доручаєте нам обробляти від Вашого імені поза межами нашого стандартного продукту (наприклад, за договорами про корпоративну інтеграцію, у рамках white-label розгортань), Sparkle5, LLC діє як обробник, і така обробка регулюється цим DPA.

3. Предмет, строк, характер і мета

Предмет: надання сервісу Luvu — підбір пар, обмін повідомленнями, верифікація особи, виставлення рахунків та допоміжна інфраструктура.
Строк: обробка триває протягом строку дії Умов надання послуг, а після їх припинення дані зберігаються відповідно до графіка зберігання, наведеного в § 7 нашої Політики конфіденційності.
Характер і мета: зберігання, структурування, вилучення, передавання та видалення персональних даних в обсязі, необхідному для надання, функціонування, захисту та вдосконалення сервісу.
Види персональних даних: ідентифікаційні дані, контактні дані, дані профілю, дані особливих категорій відповідно до ст. 9 (сексуальна орієнтація та вподобання, на обробку яких надано явну згоду згідно з § 1 Політики конфіденційності), дані про місцезнаходження, ідентифікатори пристроїв, метадані платежів, вміст (повідомлення, фото, голосові записи), дані про використання та журнали.
Категорії суб’єктів даних: зареєстровані користувачі Luvu.

4. Обов’язки обробника

Діючи як обробник, ми зобов’язуємося:

Обробляти персональні дані лише за документально оформленими вказівками контролера, якщо інше не вимагається законодавством Союзу або держави-члена.
Забезпечувати, щоб особи, уповноважені обробляти персональні дані, були зобов’язані дотримуватися конфіденційності.
Впроваджувати технічні та організаційні заходи, описані в Додатку II.
Залучати субобробників лише за наявності попереднього загального письмового дозволу та на умовах дзеркальних договірних зобов’язань, що забезпечують не менший рівень захисту, ніж цей DPA, — див. § 5 і Додаток I.
З урахуванням характеру обробки допомагати контролеру відповідними технічними та організаційними заходами, наскільки це можливо, у виконанні обов’язку контролера відповідати на запити суб’єктів даних (Глава III GDPR).
Сприяти виконанню обов’язків щодо безпеки, повідомлення про порушення, DPIA та попередніх консультацій згідно зі статтями 32–36 GDPR.
Після припинення видалити або повернути всі персональні дані — Ви також можете будь-коли самостійно експортувати свої дані в розділі Налаштування → Конфіденційність → Експорт даних.
Надавати всю інформацію, необхідну для підтвердження дотримання вимог, а також уможливлювати аудити, зокрема перевірки, що проводяться контролером або іншим аудитором, уповноваженим контролером, і сприяти їх проведенню. Аудити обмежуються одним разом за кожен 12-місячний період, за винятком випадків після інциденту безпеки.

5. Субобробники

Цим Ви надаєте загальний письмовий дозвіл на залучення Luvu субобробників, перелічених у Додатку I. Ми повідомлятимемо Вас про будь-яке заплановане додавання або заміну субобробників за допомогою банера в застосунку та електронного листа на зазначену адресу, надаючи Вам розумний строк (щонайменше 30 днів) для заперечення з обґрунтованих підстав, перш ніж новий субобробник розпочне обробку. Перелік у Додатку I завжди відповідає таблиці субобробників у § 5 Політики конфіденційності.

6. Міжнародна передача даних

Якщо субобробник розташований за межами ЄС/ЄЕЗ, передачу здійснюють на підставі або (i) рішення Європейської комісії про адекватність, або (ii) Стандартних договірних положень за Модулем 3, доповнених за потреби додатковими гарантіями (оцінка впливу передачі, технічне шифрування, договірні обмеження на розкриття даних державним органам). Актуальний перелік транскордонних передач і гарантій, застосованих до кожної з них, наведено в Додатку I.

7. Безпека — стислий виклад Додатка II

Ми впроваджуємо такі технічні та організаційні заходи (ТОЗ):

Шифрування під час передавання: TLS 1.3 з надійними шифрами; HSTS preload.
Шифрування під час зберігання: AES-256 для баз даних, об’єктного сховища та резервних копій.
Контроль доступу: рольовий доступ за принципом мінімальних привілеїв, обмежені в часі адміністраторські сесії, обов’язкова MFA для всіх ролей із доступом до продуктивного середовища.
Мережева ізоляція: продуктивні хости розміщено за WireGuard VPN; публічно доступні лише TLS-ендпоінти.
Журналювання та моніторинг: централізовані структуровані журнали, відстеження помилок, сповіщення про аномалії; необроблені IP-адреси хешуються за SHA-256 перед збереженням, якщо вони використовуються для аналітики або обмеження частоти запитів.
Резервне копіювання: зашифровані щонічні резервні копії бази даних, що зберігаються 30 днів поза основною інфраструктурою (у ЄС).
Управління вразливостями: залежності скануються під час кожної збірки CI; сканування секретів блокує коміти, що містять облікові дані.
Фото- та голосовий вміст: приватні S3 ACL з короткостроковими підписаними URL-адресами (TTL 2 години); жодних необроблених публічних URL-адрес.
Гарантії видалення облікового запису: м’яке видалення з 30-денним пільговим періодом, після чого безповоротне остаточне видалення; фінансові записи зберігаються, якщо цього вимагає закон (10 років).

8. Повідомлення про порушення

У разі фактичного або обґрунтовано підозрюваного порушення безпеки персональних даних, що стосується Ваших даних, ми повідомимо Вас без невиправданої затримки і в будь-якому разі протягом 48 годин, надавши інформацію, передбачену ст. 33(3) GDPR, наскільки вона доступна, і сумлінно співпрацюватимемо з Вами щодо реагування на інцидент і подальших повідомлень.

9. Відповідальність і строк дії

Відповідальність кожної сторони за цим DPA підлягає обмеженням і виключенням, встановленим в основних Умовах надання послуг. Цей DPA набирає чинності з дати набрання чинності, зазначеної вище, і припиняє дію разом з основними Умовами.

Додаток I — Уповноважені субобробники

Цей перелік ідентичний таблиці субобробників у § 5 Політики конфіденційності й оновлюється щоразу, коли субобробника додають, вилучають або змінюють. Актуальний знімок станом на дату набрання чинності, зазначену вище, наведено нижче. Автентичним чинним переліком завжди є версія, доступна за адресою /pages/privacy.

Транскордонні передачі до США та Ізраїлю здійснюються на підставі SCC за Модулем 3, якщо не застосовується рішення про адекватність; для обробників, розташованих у ЄС, SCC не потрібні.

Google LLC — Вхід та ідентифікація (SSO) — США — SCC.
Google LLC — Firebase Cloud Messaging (push-сповіщення) — США — SCC.
Google LLC — Google Play Billing та Developer API (перевірка покупок на Android) — США — SCC.
Google LLC — Maps Static API та Geocoder (повідомлення з геолокацією) — США — SCC.
Apple Inc. — SSO, покупки в застосунку, APNs — США — SCC.
Stripe, Inc. — обробка вебплатежів — США — SCC.
Singular Labs, Inc. — атрибуція встановлень і подій у застосунку — США / Ізраїль — SCC.
Hetzner Online GmbH — об’єктне сховище (фото, голосові записи, зображення в чатах) — Німеччина (ЄС) — SCC не потрібні.
Mailgun Technologies (Sinch) — транзакційна електронна пошта — сервери в ЄС — SCC не потрібні.
SMTP2GO Pty Ltd — транзакційна електронна пошта (резервна) — сервери в ЄС — SCC не потрібні.
Giphy Inc. — пошук GIF-вмісту в повідомленнях — США — SCC.

Додаток II — Технічні та організаційні заходи

Стислий виклад див. у § 7 вище. Повна документація ТОЗ надається корпоративним клієнтам на умовах NDA за запитом на адресу privacy@luvu.plus.

Контакти

Sparkle5, LLC — контакт із питань захисту даних: privacy@luvu.plus.