Субпроцесори

Відповідно до ст. 28(2) і (4) GDPR  •  ТОВ "ДатаПрайм" (46215708)  •  Мова оригіналу: англійська  •  Переклади цього документа іншими мовами надаються для зручності. Англійський текст є автентичною версією і має переважну силу для цілей тлумачення. Водночас, якщо переклад відхиляється від англійського тексту, ми не посилатимемось на таку розбіжність на шкоду Замовникові.

1. Загальні положення

У цьому документі «Lingverra» означає ТОВ "ДатаПрайм" (реєстраційний номер 46215708) — компанію, яка надає сервіс Lingverra; «Lingverra» є комерційним позначенням, під яким компанія надає послугу.

Для надання послуги перекладу ТОВ "ДатаПрайм" залучає перелічених нижче субоператорів (сторонні компанії, які обробляють персональні дані від нашого імені). Субоператори, які обробляють дані за нашою вказівкою (хостинг, переклад за допомогою ШІ), пов'язані договорами про обробку даних відповідно до ст. 28 GDPR. Постачальник платіжних послуг (розділ 4) діє як незалежний контролер щодо платіжної операції і не є субоператором у розумінні ст. 28; його наведено тут задля прозорості. Обробка змісту документів (зокрема переклад за допомогою ШІ) відбувається виключно в межах Європейського економічного простору. Єдине передавання за межі ЄЕП стосується платіжної операції: воно ґрунтується на ст. 49(1)(b) GDPR (див. розділ 4), оскільки банк-еквайр є незалежним контролером, а не оператором, що діє за нашою вказівкою. Жоден із цих сервісів не отримує змісту документів. Для користувачів сервісу платіжна операція — єдина передача за межі ЄЕП. Дані отримувачів наших рекламних листів (які не є користувачами сервісу) передаються Pingen GmbH у Швейцарії на підставі рішення Європейської комісії про адекватність (ст. 45 GDPR); див. розділ 3.

Зовнішні сервіси відстеження помилок, продуктивності чи аналітики не використовуються. Не використовуються зовнішні CRM, сервіси чату підтримки чи маркетингової автоматизації. Увесь моніторинг здійснюється на власній інфраструктурі.

2. Переклад за допомогою ШІ

Для надання послуги перекладу вміст завантаженого документа (зображення/PDF та видобутий із нього текст) обробляється мовною моделлю «Claude» через канал у межах ЄС. Використовуваний канал — Opper (Швеція), шлюз, через який модель працює на Amazon Bedrock у ЄС/ЄЕП; Amazon Web Services (регіон Франкфурт) і Google Cloud Platform (юрисдикційна кінцева точка ЄС) законтрактовані як запасні канали в межах ЄС. Викликаються лише маршрути моделі в ЄС, а запит, який було б оброблено поза ЄЕП, відхиляється, а не використовується; вміст документа й саме машинне опрацювання залишаються в межах Європейського економічного простору. Це опрацювання є невід’ємною та необхідною частиною послуги; без нього переклад надати неможливо. Завантажуючи документ на переклад, Замовник доручає таке опрацювання і надає на нього згоду. Вміст не використовується для навчання моделей.

Субпроцесор	Мета	Розташування	Правова підстава
Opper Technology AB Стокгольм, Швеція — платформа в ЄС/ЄЕП; обробка моделлю на Amazon Bedrock у ЄС/ЄЕП	Шлюз до мовної моделі «Claude» для перекладу змісту документа за допомогою ШІ — використовуваний канал. Зміст обробляється в межах ЄЕП і не використовується для навчання моделей. Opper не зберігає копій запитів (zero-day retention); наша власна перевірка видаляє будь-яку копію, яка все ж була б записана. На Amazon Bedrock вхідні дані й відповіді використовуваних моделей Claude не зберігаються і не передаються розробнику моделі (AWS: zero operator access).	ЄС/ЄЕП	Ст. 28 GDPR — Договір про обробку даних Opper (DPA). Обробка відбувається в межах ЄЕП; передавання змісту документа до третьої країни не здійснюється. Конкретне актуальне місце обробки в межах ЄС/ЄЕП повідомимо на запит. Opper DPA
Amazon Web Services EMEA SARL 38 avenue John F. Kennedy, L-1855 Люксембург — регіон обробки: Франкфурт, Німеччина (eu-central-1)	Розміщення мовної моделі «Claude» (через Amazon Bedrock) для перекладу змісту документа за допомогою ШІ — законтрактований запасний канал. Зміст обробляється лише тимчасово для створення перекладу, обробка відбувається виключно в межах ЄЕП, і зміст не використовується для навчання моделей. Для використовуваних моделей Claude Amazon Bedrock не зберігає вхідні дані й відповіді та не передає їх розробнику моделі.	Німеччина (ЄС/ЄЕП)	Ст. 28 GDPR — Доповнення про обробку даних AWS (GDPR DPA). Обробка відбувається в межах ЄЕП (Франкфурт); передавання змісту документа до третьої країни не здійснюється. AWS GDPR Center
Google Cloud EMEA Limited Velasco, Clanwilliam Place, Dublin 2, D02 FP82, Ірландія — обробка через юрисдикційну кінцеву точку ЄС (мультирегіон ЄС)	Розміщення мовної моделі «Claude» (через Google Cloud Platform — Vertex AI) для перекладу за допомогою ШІ — законтрактований запасний канал. Зміст обробляється лише тимчасово для створення перекладу, обробка відбувається виключно в межах ЄЕП (юрисдикційна кінцева точка ЄС утримує саме машинне опрацювання в межах держав — членів ЄС), і зміст не використовується для навчання моделей.	Ірландія (ЄС/ЄЕП)	Ст. 28 GDPR — Доповнення про обробку даних Google Cloud (CDPA). Обробка відбувається в межах ЄЕП (юрисдикційна кінцева точка ЄС); передавання змісту документа до третьої країни не здійснюється. Google Cloud DPA

3. Інфраструктура та хостинг

Субоператор	Призначення	Розташування	Правова підстава
netcup GmbH Emmy-Noether-Straße 10, 76131 Karlsruhe, Germany	Хостинг серверів; база даних PostgreSQL; сховище сесій Redis; файлове сховище (завантажені документи та переклади); надсилання вихідної електронної пошти (SMTP)	Німеччина (ЄС/ЄЕП) — Нюрнберг	Ст. 28 GDPR — договір про обробку даних відповідно до ст. 28(3) GDPR. Центр обробки даних сертифіковано за ISO 9001, ISO 27001 та ISO 27701. netcup належить до групи Anexia і залучає таких подальших операторів, усі з яких розташовані в межах ЄС: Anexia Holding GmbH (Клагенфурт, Австрія — послуги підтримки та виставлення рахунків); Anexia Cloud Solutions GmbH (Клагенфурт, Австрія) та Anexia Cloud Solutions GmbH (Карлсруе, Німеччина) — інфраструктура центрів обробки даних і персонал. netcup має майданчики в Карлсруе, Нюрнберзі та Відні; усі вони, як і подальші оператори, розташовані в межах ЄС, тож зміст документів не залишає ЄЕП через цей ланцюг.
Pingen GmbH Badenerstrasse 47, 8004 Zürich, Швейцарія	Друк і відправлення рекламних листів. Стосується лише отримувачів цих листів, а не користувачів сервісу; отримує файл листа, зокрема ім’я та поштову адресу отримувача. Подальші субоператори: партнери з друку та поштові оператори країни призначення (перелік: pingen.com або в нас на запит).	Швейцарія — хостинг у Швейцарії	Ст. 28 GDPR — договір про обробку даних. Передача до Швейцарії на підставі рішення Європейської комісії про адекватність (ст. 45 GDPR).

4. Постачальник платіжних послуг (незалежний контролер)

Наведений нижче платіжний провайдер приймає платіж на власній регульованій інфраструктурі, що відповідає PCI, і самостійно визначає засоби такої обробки. Тому щодо платіжної частини він є незалежним контролером, а не нашим субоператором у розумінні ст. 28. Він ніколи не отримує змісту документів.

Субоператор	Призначення	Розташування	Правова підстава
JSC «FUIB» — АТ «Перший Український Міжнародний Банк» (ПУМБ) сервіс інтернет-еквайрингу hutko; ЄДРПОУ 14282829, 04070 Київ, вул. Андріївська, 4, Україна	Платежі картками за пакети кредитів. Картку вводять на власній платіжній сторінці банку, вбудованій в ізольований фрейм. Банк отримує лише суму, наш номер замовлення та опис замовлення — ми не передаємо йому ні імені, ні електронної пошти, ні поштової адреси; номер картки вводять на сторінці банку, і до нас він не потрапляє; до банку не потрапляє зміст документів.	Україна (третя країна, рішення про адекватність відсутнє)	Незалежний контролер щодо платіжної частини за карткою (не субоператор у розумінні ст. 28), під наглядом Національного банку України, діє в межах власної зони відповідальності PCI DSS. Підстава передавання: ст. 49(1)(b) GDPR — необхідність для виконання договору із суб'єктом даних (здійснення ініційованого ним платежу). Банк не є оператором, що діє за нашою вказівкою, тому договір про обробку даних за ст. 28 GDPR тут не укладається.

5. Зміни до цього переліку

Замовників, які уклали Договір про обробку даних (DPA) з ТОВ "ДатаПрайм", повідомляють про будь-яке додавання або заміну субоператора щонайменше за 30 днів наперед, відповідно до розділу 6 DPA. Історія версій надається на запит.

Чинна версія доступна за адресою /legal/subprocessors.

6. Контакти

З питань щодо наших субоператорів або обробки даних:
support@lingverra.com