Data Processing Agreement (DPA).

1. Визначення термінів

У цьому DPA терміни «персональні дані», «обробка», «контролер», «процесор», «субпроцесор», «субʼєкт даних» вживаються у значенні GDPR (Регламент (ЄС) 2016/679) та Закону України «Про захист персональних даних».

2. Ролі сторін

Клієнт (підписант або користувач корпоративного акаунта) є контролером персональних даних, що обробляються через Сервіс.

Alvo є процесором — обробляє персональні дані виключно за вказівкою клієнта та для надання Сервісу за Умовами використання.

3. Предмет і обсяг обробки

• Тип персональних даних: ідентифікатори користувачів (email, імена), параметри сесій, аудиторські події, метадані запитів, дані, які клієнт добровільно завантажує в робочий простір.
• Категорії субʼєктів даних: співробітники клієнта, представники, особи, які мають доступ до акаунта клієнта.
• Тривалість: на весь термін активної підписки + 30 днів grace-період для експорту.
• Природа і мета: надання SaaS для підтримки торгових рішень, автентифікація, виставлення рахунків, аудит, технічна підтримка.

4. Обовʼязки Alvo як процесора

• обробляти персональні дані лише за документованими інструкціями клієнта;
• забезпечити конфіденційність персоналу, який має доступ до даних;
• впровадити технічні і організаційні заходи безпеки (розділ 6);
• залучати субпроцесорів лише на умовах, не менш суворих ніж цей DPA;
• допомагати клієнту відповідати на запити субʼєктів даних, на запити органів влади, проводити DPIA;
• повідомляти про порушення безпеки даних протягом 72 годин з моменту виявлення;
• після завершення Сервісу повернути або видалити персональні дані за вибором клієнта.

5. Перелік субпроцесорів

Alvo залучає таких субпроцесорів для надання Сервісу. Клієнт надає загальне погодження на залучення цих субпроцесорів; ми повідомляємо про додавання нових щонайменше за 30 днів до активації — клієнт має право заперечити та припинити Сервіс, якщо заперечення обґрунтовані.

6. Технічні і організаційні заходи безпеки (TOMs)

• TLS 1.2+ для всіх передач даних (alvo.energy / alvo.live через Caddy + Cloudflare DNS);
• Серверна валідація payload-ів через zod-схеми, no-store cache для API-відповідей, rate-limit 120 req/min на маршрут/клієнтський відбиток;
• Захищена ідентифікація через WorkOS (підтримка MFA, SSO, SCIM);
• Хешування секретів API-ключів (SHA-256), soft-delete з revokedAt, lastUsedAt-моніторинг;
• Окремий audit_events лог тенант-скоупом, durable у Postgres;
• Щоденні шифровані бекапи Postgres з ротацією 14 днів і health-monitor алертами при пропуску;
• Принцип найменших привілеїв на droplet (alvo_deploy SSH key, root доступ обмежений);
• RBAC-каркас визначений (ролі owner/trader/analyst/risk/apiClient/auditor + 14 permissions); enforcement активується клієнтським флагом ALVO_RBAC_ENFORCED у фазі production GA.

Розширений security whitepaper надається корпоративним клієнтам за NDA — запит на security@alvo.energy.

7. Міжнародні передачі даних

Основне середовище обробки — European Union (DigitalOcean — Frankfurt (fra1)). Деякі субпроцесори знаходяться у США (WorkOS, Resend) — передача регулюється Standard Contractual Clauses ЄС (модулі контролер-процесор + процесор-субпроцесор) і додатковими технічними заходами (шифрування at-rest + in-transit, мінімізація даних).

Клієнт може отримати копії підписаних SCC за запитом на legal@alvo.energy.

8. Допомога з правами субʼєктів даних

Alvo надає клієнту технічні засоби для відповіді на запити субʼєктів даних: експорт даних через API/UI, видалення акаунта та повʼязаних аудиторських подій після grace-періоду, доступ до структурованих даних у форматах JSON/CSV.

Час відповіді Alvo на запит клієнта про допомогу — до 10 робочих днів. Безпосередньо запити субʼєктів даних спрямовуються до контролера (клієнта).

9. Порушення безпеки персональних даних

Alvo повідомляє клієнта про підтверджене порушення безпеки персональних даних протягом 72 годин з моменту виявлення, з описом природи порушення, категорій і кількості постраждалих субʼєктів даних, заходів реагування і pre-mortem інформації для допомоги клієнту у виконанні його обовʼязків нотифікації перед регулятором.

10. Аудит та звіти

Клієнт має право проводити аудит дотримання цього DPA не частіше одного разу на рік (за виключенням підтверджених інцидентів) з повідомленням за 30 днів. Аудит проводиться за рахунок клієнта і не може порушувати конфіденційність даних інших клієнтів.

За запитом ми надаємо актуальний SOC 2 Type II звіт (запланований до GA), pen-test summary, або інші наявні security-сертифікації.

11. Тривалість, припинення і повернення даних

DPA діє з моменту початку обробки і до повного видалення/повернення даних після завершення Сервісу.

Після припинення Сервісу клієнт має 30 днів для експорту даних. Через 30 днів дані безповоротно видаляються, окрім тих, що мають зберігатися для виконання правових зобовʼязань (бухгалтерські, аудиторські — мінімально необхідний обсяг, термін відповідно до законодавства).

12. Публічні джерела даних (не є субпроцесорами)

Сервіс читає публічні API ринкових даних. Ці джерела НЕ обробляють персональні дані клієнтів — ми лише запитуємо публічні часові ряди. Перелічуємо їх для повної прозорості:

• ENTSO-E Transparency Platform — EU electricity market data (prices, cross-border flows, load, generation)
• OREE (Ринок електричної енергії) — Ukrainian DAM / IDM hourly prices
• UEEX (Українська енергетична біржа) — Ukrainian BCM electricity indexes
• NBU (Національний банк України) — Official UAH/EUR + UAH/USD reference rates
• Open-Meteo — Weather data for load/generation context

13. Контакти DPO та юридичні питання

Privacy / DPO: privacy@alvo.energy

Юридичні питання: legal@alvo.energy

Адреса: {{вулиця, будинок, кв.}}, {{місто}} {{XXXXX}}, Україна.