This Data Processing Addendum (the “DPA”) is entered into by and between Quantum PM LLP (the “Quantum”) and You, the User as defined in the Agreement (the “User”). This DPA is incorporated by reference into the Quantum’s Terms and Conditions (the “Agreement”) available at https://www.qpm.ai/terms.html which govern the use of the service provided by Quantum.

This DPA consists of Standard Contractual Clauses (the “SCC”) and other provisions, including its applicable Annexes (the “Annex”), and replaces any previously applicable data processing and security terms. In the event of any conflict between the provisions of this DPA and the provisions of the Agreement, the provisions of this DPA shall prevail over the conflicting provisions of the Agreement.

Quantum and the User are also referred to individually as a “Party” and collectively as the “Parties”.

1. Definitions
   
   
   Unless otherwise set out below, each capitalized term in this DPA shall have the meaning set out in the Agreement, and the following capitalized terms used in this DPA shall be defined as follows:
   1. “Authorised Affiliate” means any of the User’s Team member(s), as defined by the Agreement, who is invited by the User, has accepted the terms and conditions of the Agreement and is entitled to use the services under the Agreement.
   2. “Controller” has the meaning given in the GDPR.
   3. “Data Protection Laws” means all applicable laws, regulations, and other legal or regulatory requirements in any jurisdiction relating to privacy, data protection, security, or the Processing of personal data, including without limitation (i) the General Data Protection Regulation, Regulation (EU) 2016/679 (the “GDPR”), (ii) in respect of the United Kingdom, the Data Protection Act 2018 (the ”UK DPA 2018”) and the GDPR as saved into United Kingdom law by virtue of section 3 of the United Kingdom's European Union (Withdrawal) Act 2018 (the “UK GDPR”).
   4. “Data Subject” has the meaning given in the GDPR.
   5. “European Economic Area” or “EEA” means the Member States of the European Union together with Iceland, Norway, Liechtenstein.
   6. “Personal Data” means the personal data as defined in the GDPR and described in ANNEX II, and any other personal data that Quantum Processes on behalf of the User in connection with Quantum’s provision of the services under the Agreement.
   7. “Processing” has the meaning given in the GDPR, and “Process” will be interpreted accordingly.
   8. “Processor” has the meaning given in the GDPR.
   9. “Sensitive Data” means Personal Data that is protected under special legislation and requires unique treatment under relevant Data Protection Laws. Sensitive Data may include information about racial or ethnic origin, political opinions, religious or philosophical beliefs, trade-union membership, genetic data, biometric data for the purpose of uniquely identifying a natural person, data concerning health or sex life, or sexual orientation.
   10. “Standard Contractual Clauses” means (i) where the GDPR applies, the standard contractual clauses annexed to the European Commission's Implementing Decision 2021/914 of 4 June 2021 on standard contractual clauses for the transfer of personal data to third countries pursuant to Regulation (EU) 2016/679 of the European Parliament and of the European Council (available as of June 2021 https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj), (the “EU SCCs”); (ii) where the UK GDPR applies, the applicable standard data protection clauses adopted pursuant to Article 46(2)(c) or (d) of the UK GDPR including the standard data protection clauses issued by the commissioner under section 119A(1) of the UK DPA 2018 as revised from time to time (the “UK Addendum”)
   11. “Subprocessor” means any third party that carries out specific Processing activities of Personal Data under the instruction of Quantum.
   12. “Supervisory Authority” has the meaning given in the Regulation.
2. Purpose and scope
   
   The purpose of this DPA is to ensure compliance with Data Protection Laws on the protection of natural persons with regard to the Processing of Personal Data and on the free movement of such data. This DPA applies to the Processing of Personal Data as specified hereof and in relevant Annexes. All Annexes to this DPA shall form an integral part of it. This DPA is without prejudice to obligations to which the User is subject by virtue of Data Protection Laws.
3. Roles of the Parties
   
   The Parties agree that while Processing Personal Data on behalf of the User, Quantum is the Processor of such Personal Data and the User is the Controller of Personal Data. Hereinafter the terms “Processor” and “Controller” refer to Quantum and the User respectively.
4. User’s obligations and responsibilities
   
   While using the services and providing instructions to Quantum, the User shall comply with relevant Data Protection Laws, provisions of the Agreement and this DPA. Without prejudice to the generality of the foregoing, the User shall be solely responsible for:
   1. the accuracy, quality, and legality of the Personal Data and the means by which Personal Data was obtained by the User;
   2. ensuring its compliance with all necessary transparency and lawfulness requirements under applicable Data Protection Laws for the collection and use of Personal Data, including obtaining any necessary consents and authorizations;
   3. having the right to transfer to Quantum the Personal Data and/or to provide Quantum with access to the Personal Data;
   4. instructions provided to Quantum regarding the Processing of Personal Data and their compliance with Data Protection Laws and other applicable legislation;
   5. obtaining necessary consents from the relevant Data Subject where Quantum, while Processing Personal Data on behalf of the Controller, is required to send email to that Data Subject.
5. User’s instructions
   
   Quantum shall Process Personal Data only on documented instructions from the Controller, unless otherwise required by the relevant legislation to which Quantum is subject. In this case, Quantum shall inform the Controller of that legal requirement before Processing, unless the law prohibits this on important grounds of public interest. Subsequent instructions may also be given by the Controller throughout the duration of the Processing of Personal Data. These instructions shall always be documented. The Parties agree that this DPA, the Agreement, and the User’s usage of the service in accordance with the Agreement shall constitute complete instructions from the User to Quantum regarding the Processing of Personal Data. Notwithstanding the foregoing, while using the services under the Agreement, the User may provide additional instructions regarding the Processing of Personal Data that shall be consistent with the Agreement, Data Protection Laws, the nature and lawful use of the services.
   
   Quantum shall immediately inform the Controller if, in the Quantum’s opinion, instructions given by the Controller infringe Data Protection Laws or other applicable legislation. It is hereby clarified that Quantum has no obligation to assess whether instructions of the Controller infringe any Data Protection Laws.
6. Quantum’s obligations
   1. Compliance with instructions and conflicts of law. Quantum shall Process Personal Data only for the purposes described in this DPA and User’s instructions as described in section 5 hereof. Quantum shall not be responsible for compliance with any Data Protection Laws applicable to User and/or its industry that are not generally applicable to Quantum. In case Quantum become aware of inability and/or prohibition of Processing Personal Data in accordance with User’s instructions due to a legal requirement under any applicable law, Quantum shall (i) within reasonable period of time and to the extent permitted by the applicable law, notify the User of that legal requirement; and (ii) where necessary, cease all Processing (other than merely storing and maintaining the security of the affected Personal Data) until the User issue new instructions that comply with applicable law. If Quantum can not Process Personal Data for above mentioned reasons and that causes failure to provide services under the Agreement, Quantum shall not be liable to User under the Agreement and this DPA.
   2. Duration of Processing. Quantum shall Process Personal Data only for the duration specified in Annex II.
   3. Description of Processing. Quantum Process Personal Data to provide services to the User pursuant to the Agreement and this DPA. The details of the Processing operations, in particular, the categories of Personal Data and the purposes of Processing are specified in Annex II.
   4. Security of Processing. Quantum shall at least implement the technical and organizational measures specified in Annex III to ensure the security of Personal Data. This includes protecting the data against a breach of security leading to accidental or unlawful destruction, loss, alteration, unauthorized disclosure, or access to the data (the “Personal Data Breach”). Notwithstanding any provision to the contrary, Quantum shall be entitled to modify or update the security measures at its sole discretion provided that such modification or update does not result in a material degradation in the protection of Personal Data.
   5. Confidentiality. Quantum shall ensure that persons authorized to Process the Personal Data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality.
7. Sensitive Data
   
   The Parties agree that the services provided under the Agreement are not intended for the Processing of Sensitive Data. In case the Controller wants the Processor to Process Sensitive Data on behalf of the Controller, it must first obtain the Processor’s explicit prior written consent and enter into any additional agreements as may be required.
8. Documentation and compliance
   
   The Parties shall be able to demonstrate compliance with this DPA. Upon the Controller’s 10 (ten) business days prior written request, which shall be no more than once per 12 (twelve) months (except when there are indications of non-compliance), the Processor shall make available to the Controller all information necessary to demonstrate compliance with the obligations that are set out in this DPA, and shall also permit and contribute to audits of the Processing activities covered by this DPA. In deciding on a review or an audit, the Controller may take into account relevant certifications held by the Processor. The Controller may conduct the audit by itself or attract an independent auditor which shall be mutually agreed by the Parties. Audits may also include inspections at the premises or physical facilities of the Processor and shall, where appropriate, be carried out with reasonable notice. Any information relating to audits, inspections and the results therefrom, including the documents reflecting the outcome thereof, shall only be used by the Controller to assess Processor’s compliance with this DPA, and shall not be used for any other purpose or disclosed to any third party without Processor’s prior written approval. In connection with any audit or inspection conducted in accordance with this section 8, the Controller and/or relevant independent auditor must be bound by obligations of confidentiality no less protective than those contained in the Agreement. The Controller and/or relevant independent auditor will not be entitled to receive any data or information pertaining to other users of Processor or any other confidential information of the Processor that is not directly related to the authorized purposes of the audit or inspection.
   
   In the event of an audit or inspections as set forth above, the Controller shall ensure that it and/or relevant independent auditor will not cause (or will minimize, in case it cannot avoid) any damage, injury, or disruption to Processor’s operations, premises, equipment, personnel and business, as applicable, while conducting such audit or inspection.
   
   If and to the extent that the SCC apply, nothing in this section 8 varies or modifies the SCC nor affects any Supervisory Authority’s or Data Subject’s rights under the SCC.
   
   The Parties shall make the information referred to in this section, including the results of any audits or inspections, available to the competent Supervisory Authority/ies on request.
9. Subprocessors
   1. General terms. The Processor has the Controller’s general authorization for the engagement of Subprocessors from an agreed list, which is added as Annex IV to this DPA. The Processor shall specifically inform in writing the Controller of any addition or replacement of Subprocessors at least 14 (fourteen) calendar days in advance, thereby giving the Controller sufficient time to be able to object to such changes prior to the engagement of the concerned Subprocessor(s).
   2. Right to object. The Controller may reasonably object to the Processor’s use of a new or replacement of a Subprocessor. Within 14 (fourteen) calendar days after receipt of the notice regarding addition or replacement of the Subprocessor, the Controller shall submit the objection by notifying the Processor to legal@qpm.ai. In the notification, the Controller shall outline the reasons for its objection. In case the Controller has not objected within the abovementioned period of time and in the described way, the use of the new Subprocessor shall be deemed accepted by the Controller. In the event the Controller notifies the Processor about its objections according to the abovementioned procedure, the Processor shall use reasonable efforts to make available to the Controller a change in the services provided under the Agreement or recommend a commercially reasonable change to the Controller’s configuration or use of the services to avoid Processing of Personal Data by the objected-to new Subprocessor. If the Processor is unable to provide such change within 30 (thirty) calendar days following receipt of the objection, either Party may terminate the Agreement and this DPA without penalty by providing written notice to the other Party. All amounts outstanding under the Agreement before the termination date with respect to the Processing at issue shall be duly paid to the Processor. The Processor may temporarily avoid or cease the Processing of the affected Personal Data and/or suspend access to the services under the Agreement, until a decision regarding the Controller’s objections is made. In case of termination of the Agreement and this DPA according to this section, the Controller shall have no further claims against the Processor due to the termination, including, without limitation, requesting refunds.
   3. Contractual relations with Subprocessors. Where the Processor engages a Subprocessor for carrying out specific Processing activities (on behalf of the Controller), it shall do so by way of a contract which imposes on the Subprocessor, in substance, the same data protection obligations as the ones imposed on the Processor in accordance with this DPA. The Processor shall ensure that the Subprocessor complies with the obligations to which the Processor is subject pursuant to this DPA and Data Protection Regulation. The Processor shall remain responsible to the Controller for the performance by the Subprocessor of its obligations in accordance with its contract with the Processor. The Processor shall notify the Controller of any failure by the Subprocessor to fulfil its contractual obligations.
10. Authorised Affiliate
    1. Relationships between the User and Authorised Affiliate. The Parties acknowledge and agree that, by executing this DPA, the User enters into the DPA on behalf of itself and, as applicable, in the name and on behalf of its Authorised Affiliates, in which case each Authorised Affiliate agrees to be bound by the User’s obligations under this DPA, if and to the extent that Processor Processes Personal Data on the behalf of such Authorised Affiliates, thus qualifying them as the “Controller” with respect to the Personal Data Processed on their behalf. All access to and use of the services by Authorised Affiliates must comply with the terms and conditions of the Agreement and this DPA. Any violation of this DPA by the Authorised Affiliate shall be deemed a violation by the User.
    2. Communication between the User and Authorised Affiliate. The User shall remain responsible for coordinating all communication with the Processor under the Agreement and this DPA and shall be entitled to make and receive any communication in relation to this DPA on behalf of its Authorised Affiliates.
11. International transfers
    1. Transfers from the EEA and the UK to the countries covered by Adequacy Decision. In case the Personal Data is transferred from the EEA, and the United Kingdom (the “UK”) to countries that offer an adequate level of data protection under or pursuant to the adequacy decisions published by the relevant authorities of the EEA and/or the UK as relevant (the “Adequacy Decisions”), as applicable, any further safeguard is not necessary.
    2. Transfers from the EEA and the UK to other countries.
       1. For transfers of Personal Data from the EEA to the other countries that are not covered by the relevant Adequacy Decisions, and such transfers can not be performed through an alternative compliance mechanism recognized by Data Protection Laws, EU SCC terms and conditions shall apply.
       2. For transfers of Personal Data from the UK to the other countries that are not covered by the relevant Adequacy Decisions, and such transfers can not be performed through an alternative compliance mechanism recognized by Data Protection Laws, UK Addendum terms and conditions shall apply.
    3. Transfers from other countries. In the event Personal Data is transferred by and/or on behalf of the Controller to the Processor from any other jurisdiction that requires a specific compliance mechanism for the lawful transfer of such data, the Controller shall notify the Processor of such applicable requirements, and the Parties may seek any necessary modifications to this DPA.
12. Data Subject requests
    
    While receiving any request from the Data Subject, the Processor shall promptly notify the Controller of any request it has received or refer Data Subject to the Controller. To the extent permitted and required by the Data Protection Laws, the Processor shall assist the Controller in fulfilling its obligations to respond to Data Subjects’ requests to exercise their rights, taking into account the nature of the Processing. To the extent legally permitted, the Controller shall be responsible for any costs arising from the Processor’s provision of additional functionality to assist with a Data Subject request.
13. Notification of Personal Data Breach
    
    In the event of a Personal Data Breach concerning data processed by the Processor, the Processor shall notify the Controller without undue delay after the Processor having become aware of the breach. Such notification shall contain, at least:
    1. a description of the nature of the breach (including, where possible, the categories and approximate number of Data Subjects and data records concerned);
    2. the details of a contact point where more information concerning the Personal Data Breach can be obtained;
    3. its likely consequences and the measures taken or proposed to be taken to address the breach, including to mitigate its possible adverse effects.
    
    Where, and insofar as, it is not possible to provide all this information at the same time, the initial notification shall contain the information then available and further information shall, as it becomes available, subsequently be provided without undue delay.
14. Deletion or return of Personal Data
    
    Following termination of the Agreement and cessation of the services, the Processor shall, at the choice of the Controller that shall be communicated to the Processor in writing, delete all Personal Data processed on behalf of the Controller and certify to the Controller that it has done so, or, return all the Personal Data to the Controller and delete existing copies, unless applicable laws require otherwise. Until the data is deleted or returned, the Processor shall continue to ensure compliance with this DPA.
15. Non-compliance with DPA and termination
    
    Without prejudice to any provisions of Data Protection Laws, in the event that the Processor is in breach of its obligations under this DPA, the Controller may instruct the Processor to suspend the Processing of Personal Data until the latter complies with this DPA or the Agreement is terminated. The Processor shall promptly inform the Controller in case it is unable to comply with this DPA, for whatever reason.
    1. Termination by the Controller. The Controller shall be entitled to terminate the Agreement and this DPA insofar as it concerns the Processing of Personal Data in accordance with this DPA if:
       1. the Processing of Personal Data by the Processor has been suspended by the Controller pursuant to the abovementioned reasons and if compliance with this DPA is not restored within a reasonable time and in any event within 1 (one) month following suspension;
       2. the Processor is in substantial or persistent breach of this DPA or its obligations under Data Protection Laws;
       3. the Processor fails to comply with a binding decision of a competent court or the competent supervisory authority/ies regarding its obligations pursuant to this DPA or to Data Protection Laws.
    2. Termination by the Processor. The Processor shall be entitled to terminate the Agreement and this DPA insofar as it concerns the Processing of Personal Data under this DPA, where after having informed the Controller that its instructions infringe applicable Data Protection Laws, the Controller insists on compliance with the instructions.
16. Data Protection Impact Assessment and Prior Consultation
    
    Taking into account the nature of the Processing and the information available to the Processor, the Processor will provide reasonable assistance to and cooperation with the Controller for the Controller’s performance of any legally required data protection impact assessment of the Processing or proposed Processing of Controller Personal Data involving the Processor, and in consultation with Supervisory Authorities or other regulatory authorities as required, by providing the Controller with any publicly available documentation for the service provided under the Agreement or by complying with section 8 hereof. Additional support for data protection impact assessments or relations with Supervisory Authorities may be available and would require mutual agreement on fees, the scope of the Processor’s involvement, and any other terms that the Parties deem appropriate.
17. Amendments
    
    Upon at least 30 (thirty) calendar days prior written notice to the other Party, either Party may request in writing any amendments to this DPA if they are required as a result of any change in applicable Data Protection Laws to allow the Processing of Personal Data to be made in compliance with such Data Protection Laws. Pursuant to such notice the Parties shall use commercially reasonable efforts to accommodate such required amendments and negotiate in good faith with a view to agreeing and implementing those or alternative amendments designed to address the requirements under applicable Data Protection Law as outlined in the relevant notice as soon as is reasonably practicable. Additionally, the Processor may amend this DPA from time to time without notice, provided that such amendments are not adverse in any material aspect with respect to the Controller’s rights or the Processor’s obligations. In case the Processor makes any material adverse amendments to the Controller’s rights or the Processor’s obligations, the Processor shall notify the Controller by sending an email.

Ця Додаткова угода про обробку даних (“DPA”) укладається між Quantum PM LLP (“Quantum”) та Вами, Користувачем, як визначено в Угоді (“Користувач”). Ця DPA включається до Умов та положень Quantum (“Угода”), доступних за адресою https://www.qpm.ai/terms.html, які регулюють використання послуг, що надаються Quantum.

Ця DPA складається зі Стандартних договірних положень (“SCC”) та інших положень, включаючи відповідні Додатки (“Annex”), і замінює будь-які раніше діючі умови обробки та безпеки даних. У разі конфлікту між положеннями цієї DPA та положеннями Угоди, положення цієї DPA мають перевагу над суперечливими положеннями Угоди.

Quantum та Користувач також згадуються окремо як “Сторона” і разом як “Сторони”.

1. Визначення
   
   
   Якщо не зазначено інше, кожен термін з великої літери в цій DPA матиме значення, встановлене в Угоді, а наступні терміни, що використовуються в цій DPA, будуть визначені наступним чином:
   1. “Уповноважений афілійований партнер” означає будь-якого члена команди Користувача, як визначено в Угоді, який запрошений Користувачем, прийняв умови Угоди та має право використовувати послуги згідно з Угодою.
   2. “Контролер” має значення, надане в GDPR.
   3. “Закони про захист даних” означає всі застосовні закони, нормативні акти та інші правові або регуляторні вимоги в будь-якій юрисдикції, що стосуються конфіденційності, захисту даних, безпеки або обробки персональних даних, включаючи, але не обмежуючись, (i) Загальний регламент про захист даних, Регламент (ЄС) 2016/679 (“GDPR”), (ii) щодо Сполученого Королівства, Закон про захист даних 2018 року (”UK DPA 2018”) та GDPR, як збережено в законодавстві Сполученого Королівства відповідно до розділу 3 Закону про вихід з Європейського Союзу 2018 року (“UK GDPR”).
   4. “Суб'єкт даних” має значення, надане в GDPR.
   5. “Європейська економічна зона” або “EEA” означає держави-члени Європейського Союзу разом з Ісландією, Норвегією та Ліхтенштейном.
   6. “Персональні дані” означає персональні дані, як визначено в GDPR і описано в ДОДАТКУ II, а також будь-які інші персональні дані, які Quantum обробляє від імені Користувача у зв'язку з наданням послуг Quantum згідно з Угодою.
   7. “Обробка” має значення, надане в GDPR, і “Обробляти” буде інтерпретовано відповідно.
   8. “Процесор” має значення, надане в GDPR.
   9. “Чутливі дані” означає персональні дані, які захищені спеціальним законодавством і вимагають особливого поводження відповідно до чинних Законів про захист даних. Чутливі дані можуть включати інформацію про расове або етнічне походження, політичні погляди, релігійні або філософські переконання, членство в профспілках, генетичні дані, біометричні дані з метою унікальної ідентифікації фізичної особи, дані про здоров'я або статеве життя, або сексуальну орієнтацію.
   10. “Стандартні договірні положення” означає (i) де застосовується GDPR, стандартні договірні положення, додані до Виконавчого рішення Європейської Комісії 2021/914 від 4 червня 2021 року щодо стандартних договірних положень для передачі персональних даних третім країнам відповідно до Регламенту (ЄС) 2016/679 Європейського парламенту та Європейської ради (доступно з червня 2021 року за посиланням https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj), (“EU SCCs”); (ii) де застосовується UK GDPR, застосовні стандартні положення про захист даних, прийняті відповідно до статті 46(2)(c) або (d) UK GDPR, включаючи стандартні положення про захист даних, видані комісаром відповідно до статті 119A(1) Закону UK DPA 2018, що час від часу переглядаються (“UK Addendum”).
   11. “Субпроцесор” означає будь-яку третю сторону, яка здійснює конкретні обробки персональних даних за вказівкою Quantum.
   12. “Контролюючий орган” має значення, надане в Регламенті.
2. Мета та сфера застосування
   
   Метою цієї DPA є забезпечення дотримання Законів про захист даних щодо захисту фізичних осіб у зв'язку з обробкою персональних даних та вільним рухом таких даних. Ця DPA застосовується до обробки персональних даних, як зазначено в ній та у відповідних Додатках. Усі Додатки до цієї DPA є її невід'ємною частиною. Ця DPA не впливає на зобов'язання, які підпадають під Закони про захист даних.
3. Ролі Сторін
   
   Сторони погоджуються, що під час обробки персональних даних від імені Користувача, Quantum є Процесором таких персональних даних, а Користувач є Контролером персональних даних. Надалі терміни “Процесор” та “Контролер” стосуються Quantum та Користувача відповідно.
4. Зобов'язання та відповідальність Користувача
   
   Під час використання послуг та надання інструкцій Quantum, Користувач повинен дотримуватися чинних Законів про захист даних, положень Угоди та цієї DPA. Без шкоди для загальності вищевикладеного, Користувач несе одноосібну відповідальність за:
   1. точність, якість і законність персональних даних та засобів, за допомогою яких персональні дані були отримані Користувачем;
   2. забезпечення дотримання всіх необхідних вимог щодо прозорості та законності відповідно до чинних Законів про захист даних для збору та використання персональних даних, включаючи отримання будь-яких необхідних згод та авторизацій;
   3. мати право передавати Quantum персональні дані та/або надавати Quantum доступ до персональних даних;
   4. інструкції, надані Quantum щодо обробки персональних даних та їх відповідність Законам про захист даних та іншим застосовним законодавствам;
   5. отримання необхідних згод від відповідного суб'єкта даних, коли Quantum, під час обробки персональних даних від імені Контролера, необхідно надсилати електронні листи цьому суб'єкту даних.
5. Інструкції Користувача
   
   Quantum повинен обробляти персональні дані лише на підставі документованих інструкцій від Контролера, якщо інше не вимагається чинним законодавством, до якого підпадає Quantum. У такому випадку Quantum повинен повідомити Контролера про цю правову вимогу до обробки, якщо закон не забороняє це з важливих громадських інтересів. Подальші інструкції можуть також надаватися Контролером протягом усього періоду обробки персональних даних. Ці інструкції повинні завжди бути документовані. Сторони погоджуються, що ця DPA, Угода та використання Користувачем послуг відповідно до Угоди повинні складати повні інструкції від Користувача до Quantum щодо обробки персональних даних. Незважаючи на вищевикладене, під час використання послуг відповідно до Угоди, Користувач може надавати додаткові інструкції щодо обробки персональних даних, які повинні бути узгоджені з Угодою, Законами про захист даних, природою та законним використанням послуг.
   
   Quantum повинен негайно повідомити Контролера, якщо, на думку Quantum, інструкції, надані Контролером, порушують Закони про захист даних або інше застосовне законодавство. Тут зазначається, що Quantum не зобов'язаний оцінювати, чи порушують інструкції Контролера будь-які Закони про захист даних.
6. Обов'язки Quantum
   1. Дотримання інструкцій та конфлікти законодавства. Quantum повинен обробляти персональні дані лише для цілей, описаних у цій DPA, та інструкцій Користувача, як описано в розділі 5 цієї DPA. Quantum не несе відповідальності за дотримання будь-яких Законів про захист даних, застосовних до Користувача та/або його галузі, які не є загальноприйнятими для Quantum. У випадку, якщо Quantum дізнається про неможливість та/або заборону обробки персональних даних відповідно до інструкцій Користувача через правову вимогу згідно з будь-яким чинним законодавством, Quantum повинен (i) протягом розумного періоду часу та наскільки це дозволено чинним законодавством, повідомити Користувача про цю правову вимогу; та (ii) у разі необхідності, припинити всю обробку (крім простого зберігання та підтримки безпеки відповідних персональних даних) до того, як Користувач видасть нові інструкції, що відповідають чинному законодавству. Якщо Quantum не може обробляти персональні дані з вищезазначених причин, і це спричиняє невиконання надання послуг згідно з Угодою, Quantum не несе відповідальності перед Користувачем згідно з Угодою та цією DPA.
   2. Тривалість обробки. Quantum повинен обробляти персональні дані лише протягом періоду, зазначеного в Додатку II.
   3. Опис обробки. Quantum обробляє персональні дані для надання послуг Користувачу відповідно до Угоди та цієї DPA. Деталі операцій обробки, зокрема категорії персональних даних та цілі обробки, зазначені в Додатку II.
   4. Безпека обробки. Quantum повинен як мінімум впроваджувати технічні та організаційні заходи, зазначені в Додатку III, для забезпечення безпеки персональних даних. Це включає захист даних від порушення безпеки, що призводить до випадкового або незаконного знищення, втрати, зміни, несанкціонованого розкриття або доступу до даних (“Порушення персональних даних”). Незважаючи на будь-які положення, що суперечать цьому, Quantum має право змінювати або оновлювати заходи безпеки на власний розсуд за умови, що такі зміни або оновлення не призведуть до суттєвого зниження рівня захисту персональних даних.
   5. Конфіденційність. Quantum повинен забезпечити, щоб особи, уповноважені обробляти персональні дані, зобов'язалися зберігати конфіденційність або знаходяться під відповідним статутним зобов'язанням щодо конфіденційності.
7. Чутливі дані
   
   Сторони погоджуються, що послуги, надані згідно з Угодою, не призначені для обробки чутливих даних. У випадку, якщо Контролер хоче, щоб Процесор обробляв чутливі дані від імені Контролера, він повинен спочатку отримати явну письмову згоду Процесора та укласти будь-які додаткові угоди, які можуть бути необхідні.
8. Документація та дотримання
   
   Сторони повинні мати можливість демонструвати дотримання цієї DPA. На запит Контролера за 10 (десять) робочих днів попереднього письмового повідомлення, який не повинен бути більше одного разу на 12 (дванадцять) місяців (за винятком випадків, коли є вказівки на недотримання), Процесор повинен надати Контролеру всю інформацію, необхідну для демонстрації дотримання зобов'язань, викладених у цій DPA, і також дозволити та сприяти аудитам обробки даних, охоплюваних цією DPA. Під час прийняття рішення щодо проведення огляду або аудиту Контролер може враховувати відповідні сертифікації, надані Процесором. Контролер може проводити аудит самостійно або залучати незалежного аудитора, якого погодять Сторони. Аудити також можуть включати інспекції на території або в фізичних об'єктах Процесора і, де це доречно, проводитимуться з розумним повідомленням. Вся інформація, що стосується аудитів, інспекцій і їх результатів, включаючи документи, що відображають результати, може використовуватися Контролером лише для оцінки відповідності Процесора цій DPA і не повинна використовуватися для інших цілей або передаватися третім сторонам без попередньої письмової згоди Процесора. У зв'язку з будь-яким аудитом або інспекцією, проведеною відповідно до цього розділу 8, Контролер та/або відповідний незалежний аудитор повинні бути зобов'язані дотримуватися зобов'язань щодо конфіденційності, не менш захищених, ніж ті, що містяться в Угоді. Контролер та/або відповідний незалежний аудитор не мають права отримувати будь-які дані або інформацію, що стосується інших користувачів Процесора або будь-яку іншу конфіденційну інформацію Процесора, яка не має безпосереднього відношення до дозволених цілей аудиту або інспекції.
   
   У разі проведення аудиту або інспекції, як зазначено вище, Контролер повинен забезпечити, що він та/або відповідний незалежний аудитор не завдадуть (або мінімізують, якщо це не можна уникнути) будь-яких пошкоджень, травм або перерв у роботі Процесора, його об'єктів, обладнання, персоналу та бізнесу, якщо це застосовно, під час проведення такого аудиту або інспекції.
   
   Якщо та в тій мірі, в якій застосовуються SCC, ніщо в цьому розділі 8 не змінює та не модифікує SCC і не впливає на права наглядаючих органів або суб'єктів даних відповідно до SCC.
   
   Сторони повинні надавати інформацію, зазначену в цьому розділі, включаючи результати будь-яких аудитів або інспекцій, компетентним наглядаючим органам за запитом.
9. Субпроцесори
   1. Загальні умови. Процесор має загальне авторизаційне право Контролера на залучення Субпроцесорів зі списку, який додається як Додаток IV до цієї DPA. Процесор повинен письмово повідомити Контролера про будь-яке додавання або заміну Субпроцесорів щонайменше за 14 (чотирнадцять) календарних днів заздалегідь, надаючи Контролеру достатній час для заперечення щодо таких змін до залучення відповідних Субпроцесорів.
   2. Право на заперечення. Контролер може обґрунтовано заперечити проти використання Процесором нового або заміненого Субпроцесора. Протягом 14 (чотирнадцяти) календарних днів після отримання повідомлення про додавання або заміну Субпроцесора Контролер повинен подати заперечення, повідомивши Процесора за адресою legal@qpm.ai. У повідомленні Контролер повинен зазначити причини свого заперечення. У разі, якщо Контролер не висловив заперечень протягом вищезазначеного періоду та у вказаний спосіб, використання нового Субпроцесора вважається прийнятим Контролером. Якщо Контролер повідомляє Процесора про свої заперечення відповідно до вищезазначеної процедури, Процесор повинен докласти розумних зусиль для надання Контролеру зміни в наданні послуг відповідно до Угоди або запропонувати комерційно розумну зміну конфігурації або використання послуг Контролером, щоб уникнути обробки персональних даних новим Субпроцесором, проти якого висловлено заперечення. Якщо Процесор не може надати таку зміну протягом 30 (тридцяти) календарних днів після отримання заперечення, будь-яка Сторона може припинити Угоду та цю DPA без штрафних санкцій, надіславши письмове повідомлення іншій Стороні. Усі суми, що залишаються несплаченими за Угодою до дати припинення стосовно обробки, яка є предметом суперечки, повинні бути сплачені Процесору. Процесор може тимчасово припинити або припинити обробку відповідних персональних даних та/або призупинити доступ до послуг за Угодою, доки не буде прийнято рішення щодо заперечень Контролера. У разі припинення Угоди та цієї DPA відповідно до цього розділу Контролер не має подальших претензій до Процесора у зв'язку з припиненням, включаючи, але не обмежуючись, запити на повернення коштів.
   3. Договірні відносини з Субпроцесорами. Коли Процесор залучає Субпроцесора для виконання конкретних обробок (від імені Контролера), він повинен це зробити за допомогою договору, який накладає на Субпроцесора, в основному, ті самі зобов'язання щодо захисту даних, які накладені на Процесора згідно з цією DPA. Процесор повинен забезпечити, що Субпроцесор виконує зобов'язання, покладені на Процесора відповідно до цієї DPA та Регламенту про захист даних. Процесор залишається відповідальним перед Контролером за виконання Субпроцесором своїх зобов'язань відповідно до його договору з Процесором. Процесор повинен повідомити Контролера про будь-яке невиконання Субпроцесором своїх договірних зобов'язань.
10. Уповноважений афілійований партнер
    1. Відносини між Користувачем та Уповноваженим афілійованим партнером. Сторони визнають та погоджуються, що, підписуючи цю DPA, Користувач укладає DPA від свого імені та, у разі потреби, від імені своїх Уповноважених афілійованих партнерів, у такому випадку кожен Уповноважений афілійований партнер погоджується дотримуватися зобов'язань Користувача відповідно до цієї DPA, якщо і в тій мірі, в якій Процесор обробляє персональні дані від імені таких Уповноважених афілійованих партнерів, тим самим визнаючи їх "Контролером" щодо персональних даних, оброблюваних від їхнього імені. Весь доступ до послуг і їх використання Уповноваженими афілійованими партнерами повинні відповідати умовам та положенням Угоди та цієї DPA. Будь-яке порушення цієї DPA Уповноваженим афілійованим партнером вважатиметься порушенням Користувачем.
    2. Комунікація між Користувачем та Уповноваженим афілійованим партнером. Користувач залишається відповідальним за координацію всієї комунікації з Процесором згідно з Угодою та цією DPA і має право здійснювати та отримувати будь-яку комунікацію, що стосується цієї DPA, від імені своїх Уповноважених афілійованих партнерів.
11. Міжнародні передачі
    1. Передачі з EEA та Великобританії до країн, які підпадають під Директиву про адекватність. У випадку передачі персональних даних з EEA та Великобританії до країн, які забезпечують адекватний рівень захисту даних відповідно до директив, опублікованих відповідними органами EEA та/або Великобританії (далі — “Директиви про адекватність”), додаткові заходи безпеки не потрібні.
    2. Передачі з EEA та Великобританії до інших країн.
       1. Для передач персональних даних з EEA до інших країн, які не підпадають під відповідні Директиви про адекватність, і такі передачі не можуть бути здійснені через альтернативний механізм відповідності, визнаний Законами про захист даних, застосовуються умови та положення SCC ЄС.
       2. Для передач персональних даних з Великобританії до інших країн, які не підпадають під відповідні Директиви про адекватність, і такі передачі не можуть бути здійснені через альтернативний механізм відповідності, визнаний Законами про захист даних, застосовуються умови та положення UK Addendum.
    3. Передачі з інших країн. У разі передачі персональних даних Контролером та/або від імені Контролера Процесору з будь-якої іншої юрисдикції, яка вимагає певного механізму відповідності для законної передачі таких даних, Контролер повинен повідомити Процесора про такі застосовні вимоги, і Сторони можуть домовитися про необхідні зміни до цієї DPA.
12. Запити суб'єктів даних
    
    Отримуючи будь-який запит від суб'єкта даних, Процесор повинен негайно повідомити про це Контролера або переадресувати суб'єкта даних до Контролера. У тій мірі, в якій це дозволено та вимагається Законами про захист даних, Процесор повинен сприяти Контролеру у виконанні його зобов'язань відповідати на запити суб'єктів даних щодо реалізації їхніх прав, враховуючи характер обробки. У тій мірі, в якій це законодавчо дозволено, Контролер несе відповідальність за будь-які витрати, що виникають у зв'язку з наданням Процесором додаткових функцій для сприяння запиту суб'єкта даних.
13. Повідомлення про порушення персональних даних
    
    У разі порушення персональних даних, що стосуються даних, оброблюваних Процесором, Процесор повинен повідомити Контролера без зайвої затримки після того, як Процесор дізнався про порушення. Таке повідомлення повинно містити, як мінімум:
    1. опис характеру порушення (включаючи, за можливості, категорії та приблизну кількість суб'єктів даних і записів даних, що стосуються порушення);
    2. контактні дані, де можна отримати більше інформації про порушення персональних даних;
    3. ймовірні наслідки та заходи, вжиті або запропоновані для усунення порушення, включаючи заходи для зменшення його можливих негативних наслідків.
    
    У разі, якщо не можливо надати всю цю інформацію одразу, початкове повідомлення повинно містити наявну на той момент інформацію, а додаткова інформація повинна бути надана без зайвої затримки.
14. Видалення або повернення персональних даних
    
    Після припинення дії Угоди та припинення надання послуг Процесор повинен, за вибором Контролера, який повинен бути повідомлений Процесору письмово, видалити всі персональні дані, оброблені від імені Контролера, та підтвердити Контролеру, що це зроблено, або повернути всі персональні дані Контролеру та видалити наявні копії, якщо інше не вимагається чинним законодавством. До видалення або повернення даних Процесор повинен продовжувати забезпечувати дотримання цієї DPA.
15. Недотримання DPA та припинення
    
    Без шкоди для будь-яких положень Законів про захист даних, у разі порушення Процесором своїх зобов'язань відповідно до цієї DPA, Контролер може інструктувати Процесора призупинити обробку персональних даних до моменту, коли той дотримається цієї DPA або Угода буде припинена. Процесор повинен негайно повідомити Контролера, якщо він не може виконувати цю DPA з будь-якої причини.
    1. Припинення Контролером. Контролер має право припинити Угоду та цю DPA в тій мірі, в якій вона стосується обробки персональних даних відповідно до цієї DPA, якщо:
       1. Обробка персональних даних Процесором була призупинена Контролером з вищезазначених причин, і якщо дотримання цієї DPA не відновлено протягом розумного часу і в будь-якому випадку протягом 1 (одного) місяця після призупинення;
       2. Процесор перебуває в значному або постійному порушенні цієї DPA або своїх зобов'язань відповідно до Законів про захист даних;
       3. Процесор не виконує обов'язкове рішення компетентного суду або компетентного наглядаючого органу/органів щодо своїх зобов'язань відповідно до цієї DPA або Законів про захист даних.
    2. Припинення Процесором. Процесор має право припинити Угоду та цю DPA в тій мірі, в якій вона стосується обробки персональних даних відповідно до цієї DPA, якщо після повідомлення Контролера про те, що його інструкції порушують чинні Закони про захист даних, Контролер наполягає на дотриманні інструкцій.
16. Оцінка впливу на захист даних та попередня консультація
    
    Враховуючи характер обробки та наявну в Процесора інформацію, Процесор надасть розумну допомогу та співпрацю з Контролером для виконання будь-якої законодавчо вимаганої оцінки впливу на захист даних щодо обробки або пропонованої обробки персональних даних Контролера, яка включає Процесора, а також при консультації з наглядаючими органами або іншими регуляторними органами, як того вимагає законодавство, надаючи Контролеру будь-яку публічно доступну документацію для послуг, що надаються згідно з Угодою, або виконуючи розділ 8 цієї угоди. Додаткова підтримка для оцінки впливу на захист даних або відносини з наглядаючими органами можуть бути доступними і вимагатимуть взаємної згоди щодо зборів, обсягу залучення Процесора та будь-яких інших умов, які Сторони вважатимуть за потрібне.
17. Зміни
    
    Принаймні за 30 (тридцять) календарних днів попереднього письмового повідомлення іншій Стороні, будь-яка Сторона може вимагати в письмовій формі будь-які зміни до цієї DPA, якщо вони необхідні в результаті будь-яких змін у застосовних Законах про захист даних, щоб дозволити обробку персональних даних відповідно до таких Законів про захист даних. Відповідно до такого повідомлення, Сторони повинні докласти комерційно розумних зусиль для врахування таких необхідних змін і вести добросовісні переговори з метою погодження та впровадження цих або альтернативних змін, спрямованих на задоволення вимог відповідно до застосовного Закону про захист даних, як зазначено у відповідному повідомленні, якомога швидше. Крім того, Процесор може час від часу вносити зміни до цієї DPA без попереднього повідомлення, за умови, що такі зміни не є суттєво несприятливими з точки зору прав Контролера або зобов'язань Процесора. У разі, якщо Процесор вносить будь-які суттєві несприятливі зміни до прав Контролера або зобов'язань Процесора, Процесор повинен повідомити Контролера, надіславши електронний лист.