Договір про обробку персональних даних та Політика безпеки TablePlay Включаючи перелік субпідрядників з обробки даних, технічні та організаційні заходи, відповідальне розкриття інформації та заяву про доступність

TablePlay by Jimani Jimani B.V. Albert Plesmanweg 122, 4462 GC Goes KvK 91644453 - Btw NL865722729B01 support@tableplay.online

Версія 1.0 Останнє оновлення: 10 липня 2026 р.

Примітка щодо юридичного контролю Цей документ підготовлено для комерційного використання компанією TablePlay. Просимо забезпечити періодичний юридичний контроль остаточної публікації, міжнародного застосування, актуальних постачальників, технічної організації та специфічних для країн правил.

Зміст Частина A - Договір про обробку персональних даних Додаток 1 - Субпідрядники з обробки даних Додаток 2 - Технічні та організаційні заходи Частина B - Безпека та узгоджене розкриття вразливостей (Coordinated Vulnerability Disclosure) Частина C - Заява про доступність

Договір про обробку персональних даних та Політика безпеки TablePlay

Сторінка 2 з 10

Частина A - Договір про обробку персональних даних Стаття 1 - Сторони Цей договір про обробку персональних даних діє між корпоративним клієнтом TablePlay як Контролером даних та Jimani B.V., що діє під назвою TablePlay by Jimani, Albert Plesmanweg 122, 4462 GC Goes, KvK 91644453, як Обробником даних. Сторони спільно позначаються як Сторони.

Стаття 2 - Застосовність та укладення Цей договір діє в тій мірі, в якій TablePlay обробляє персональні дані за дорученням та в інтересах Клієнта, і є невід'ємною частиною основного договору. Він виникає шляхом електронного прийняття, підписання або фактичного використання Послуги. Для обробок, щодо яких TablePlay самостійно визначає цілі та засоби, TablePlay є контролером даних, і застосовується Заява про конфіденційність. У разі суперечності щодо обробки в інтересах Клієнта цей Договір про обробку персональних даних має перевагу над Загальними умовами.

Стаття 3 - Предмет, тривалість та характер TablePlay обробляє персональні дані для функціональностей, пов'язаних з ресторанами, а саме: ігор, столів, QR-кодів, результатів, таблиць лідерів, панелей управління та підтримки. Обробка триває протягом строку дії основного договору та обмежений період після нього для видалення, повернення, ротації резервних копій, виконання законодавчих зобов'язань та правового захисту. Обробка може включати збирання, фіксацію, впорядкування, структурування, зберігання, ознайомлення, розрахунок, поєднання в межах ресторанного контексту, показ, передачу, обмеження, видалення та анонімізацію.

Стаття 4 - Цілі • Прив'язка QR-кодів до ресторану та столу. • Запуск та проведення ігрових сесій. • Обробка тимчасових прізвиськ, вибору гри, відповідей, результатів та підсумків. • Забезпечення ігор «стіл проти столу» та тимчасових таблиць лідерів. • Показ статистики, пов'язаної з рестораном. • Запобігання дублюванню, шахрайським або технічно недійсним сесіям. • Технічна підтримка, безпека, безперервність та відновлення. • Видалення або анонімізація після завершення строків зберігання.

Стаття 5 - Категорії суб'єктів даних • Гості та гравці Клієнта. • Контактні особи, користувачі, працівники та допоміжний персонал Клієнта. • Особи, які фігурують у зверненні до служби підтримки.

Стаття 6 - Категорії персональних даних • Тимчасове прізвисько, номер столу або унікальний ID столу та ID ресторану чи локації. • ID ігрової сесії, обрана гра, режим гри, відповіді, дії, результат, підсумок та рейтинг. • Дата, час та тимчасове налаштування мови. • Технічні дані сесії, IP-адреси, браузера та пристрою, якщо такі наявні в журналах безпеки.

Договір про обробку персональних даних та Політика безпеки TablePlay

Сторінка 3 з 10 • Ім'я та робоча електронна адреса контактної особи та зміст запитів до служби підтримки. • Інші дані, що вводяться в межах узгодженої функціональності. TablePlay не призначено для обробки спеціальних категорій даних, даних про судимість, медичних чи біометричних даних або великих обсягів безпосередньо ідентифікованих профілів гостей. Клієнт не доручає таку обробку без попередньої письмової угоди.

Стаття 7 - Документовані інструкції Основний договір, цей Договір про обробку персональних даних, налаштування клієнтського порталу та правомірні запити до служби підтримки вважаються інструкціями. TablePlay не обробляє дані для інших цілей, за винятком виконання законодавчих зобов'язань, самостійних цілей забезпечення безпеки та правового захисту, або обробки після належної анонімізації. У разі імовірно неправомірної інструкції TablePlay повідомляє про це Клієнта, крім випадків, коли це заборонено законом, і може призупинити виконання. Додаткові масштабні інструкції можуть окремо підлягати оплаті.

Стаття 8 - Обов'язки Клієнта Клієнт гарантує законність, наявність дійсної підстави, інформування Гостей, законність інструкцій, мінімізацію даних, внутрішню безпеку та захист облікових даних. Клієнт несе відповідальність за правильність та якість, не вимагає справжніх імен Гостей та не використовує Ігрові дані для індивідуального маркетингу чи профілювання без самостійної підстави. Про інциденти безпеки та незаконні інструкції повідомляється невідкладно.

Стаття 9 - Конфіденційність Особи, які перебувають під керівництвом TablePlay, отримують доступ виключно в тій мірі, в якій це необхідно, зобов'язані дотримуватися конфіденційності та здійснюють обробку лише відповідно до інструкцій. Це зобов'язання залишається чинним після припинення дії договору. Розкриття третім особам відбувається виключно на підставі цього договору, основного договору або закону.

Стаття 10 - Безпека TablePlay вживає належних технічних та організаційних заходів з урахуванням рівня розвитку техніки, витрат, характеру, обсягу, контексту, мети та ризику. Заходи наведені у Додатку 2 та можуть бути змінені за умови, що загальний рівень захисту суттєво не знижується. Жодна система не може гарантувати абсолютну безпеку.

Стаття 11 - Витоки даних TablePlay інформує Клієнта без необґрунтованої затримки після того, як їй стало відомо про порушення захисту персональних даних, які обробляються від імені Клієнта. Де можливо, надається інформація про характер, системи, категорії даних та суб'єктів даних, наслідки, заходи та контактну інформацію. Інформація може надаватися поетапно. TablePlay проводить розслідування, обмежує наслідки, зберігає відповідні доказові матеріали та здійснює відновлення. Клієнт оцінює наявність законного обов'язку повідомлення, а TablePlay надає розумну підтримку. Повідомлення не є визнанням відповідальності. Роботи, зумовлені обставинами, що належать до сфери відповідальності Клієнта, можуть виконуватися за розумну плату.

Стаття 12 - Запити суб'єктів даних Прямі запити, що стосуються ролі Клієнта, в принципі направляються Клієнту. TablePlay реагує самостійно лише за інструкцією, у своїй власній ролі або у разі законного обов'язку. TablePlay надає розумну підтримку щодо доступу, виправлення, видалення, обмеження обробки, переносимості даних та заперечення.

Оскільки Гості не мають Облікового запису, ідентифікація може бути обмеженою. Можуть бути необхідні дані про ресторан, стіл, дату, час, прізвисько та ігровий контекст. Дані не надаються, якщо недостатньо встановлено, що вони стосуються заявника.

Стаття 13 - Підтримка щодо дотримання вимог TablePlay надає розумну підтримку щодо безпеки, оцінок витоків даних, оцінок впливу на захист даних, попередніх консультацій та необхідної документації. Значна підтримка поза межами стандартної послуги може підлягати оплаті, якщо вона не є наслідком невиконання зобов'язань з боку TablePlay.

Стаття 14 - Субобробники Клієнт надає загальну згоду на субобробників, зазначених у Додатку 1. TablePlay може додавати, замінювати або видаляти таких субобробників та веде актуальний електронний перелік. У разі появи нового суттєвого субобробника TablePlay, як правило, повідомляє про це за тридцять днів заздалегідь. Клієнт може протягом цього строку подати обґрунтоване заперечення на підставі конкретних підстав захисту даних. Сторони шукають додаткові гарантії, обмеження або технічну альтернативу. Якщо розумного рішення не існує, Клієнт може припинити дію договору у частині, що безпосередньо стосується цього, до впровадження субобробника. TablePlay покладає на субобробників по суті рівнозначні зобов'язання та залишається відповідальною в тій мірі, в якій це передбачено GDPR.

Стаття 15 - Міжнародна передача даних Персональні дані обробляються, де це можливо, у європейському регіоні. Субобробники або компанії групи можуть бути розташовані за межами ЄЕЗ або мати доступ до даних поза його межами. Де це вимагається, TablePlay використовує рішення про адекватність, стандартні договірні положення, додаткові заходи або інші дійсні механізми. За обґрунтованим запитом надається інформація з урахуванням конфіденційності.

Стаття 16 - Запити органів влади TablePlay надає дані виключно компетентним органам влади у разі законного обов'язку. Де це дозволено, Клієнт попередньо інформується. TablePlay оцінює компетенцію, обсяг та юридичну чинність запиту та обмежує надання даних, де це можливо.

Стаття 17 - Аудити та інформація TablePlay надає розумну інформацію, включаючи документацію з безпеки, аудити, сертифікати, анкети або звіти про підтвердження відповідності. Якщо цього недостатньо, Клієнт може вимагати проведення аудиту максимум один раз на календарний рік з попереднім повідомленням за тридцять днів, у робочі години, незалежним експертом, зобов'язаним дотримуватися конфіденційності, без завдання шкоди безпеці, конфіденційності або іншим клієнтам. Клієнт несе витрати, за винятком випадків, коли встановлено суттєве порушення, що підлягає відшкодуванню. TablePlay може обмежити доступ до вихідного коду, інших даних клієнтів, деталей вразливостей та комерційно чутливої інформації, якщо існує достатня альтернатива.

Стаття 18 - Повернення та видалення Після припинення дії TablePlay видаляє або повертає, на вибір Клієнта та наскільки це технічно та юридично можливо, дані, що обробляються виключно від імені Клієнта. Про вибір повідомляється не пізніше ніж протягом тридцяти днів. За відсутності вибору TablePlay може видалити або анонімізувати дані відповідно до стандартної політики. Резервні копії можуть містити дані максимум протягом одного місяця і використовуються виключно для відновлення.

Договір про обробку даних та Політика безпеки TablePlay

Сторінка 5 з 10

Дані, які потрібні за законом, необхідні для правового захисту, та анонімізовані дані не потрібно видаляти.

Стаття 19 - Відповідальність Положення про відповідальність із Загальних умов застосовуються також. Кожна сторона несе відповідальність за власні зобов'язання щодо приватності. Клієнт звільняє TablePlay від відповідальності за претензії, спричинені незаконними інструкціями, відсутністю правової підстави, недостатньою інформацією, незаконним використанням Ігрових даних або введенням заборонених чутливих даних, наскільки це дозволено законом.

Стаття 20 - Строк дії та припинення Цей Договір про обробку даних припиняється, коли TablePlay більше не обробляє персональні дані від імені Клієнта. Конфіденційність, безпека, видалення, відповідальність та аудити залишаються чинними, наскільки це вимагає їхня природа.

Стаття 21 - Право та спори До цього Договору про обробку даних застосовується нідерландське право. Спори розглядаються відповідно до Загальних умов.

Додаток 1 - Субпроцесори Постачальник

Послуга

Можливі дані

Регіон / роль

Supabase

База даних, автентифікація, зберігання та Облікові записи, дані про столи, прізвиська, сесії, бекенд результати та журнали Основний регіон ЄС, якщо налаштовано; ключовий субпроцесор

Vercel

Хостинг, середовище виконання, доставка контенту IP-адреса, та журналювання дані запитів, браузера, пристрою та ЄЕЗ застосунку і, можливо, США; субпроцесор хостингу

Twilio SendGrid

Транзакційна та операційна електронна пошта Ім'я, електронна адреса, дані облікового запису, вміст Міжнародно; електронних листів та статус доставки субпроцесор електронної пошти

OpenAI / інший постачальник ШІ Лише за активованих функцій ШІ

Обмежені дані, необхідні для функції Залежно від конфігурації; потенційний субпроцесор

Stripe

Ділові дані, рахунки-фактури, транзакції та статус оплати Міжнародно; роль відрізняється залежно від обробки

Платежі, фактурування та запобігання шахрайству

Google / Meta / LinkedIn Аналітика та маркетинг за наявності згоди Дані про веб-сайт, пристрій, рекламу та конверсії Міжнародно; зазвичай не субпроцесор для ре

Актуальний перелік надається через веб-сайт або портал клієнта. У разі суттєвого нового субпроцесора застосовується процедура повідомлення та заперечення, зазначена у статті 14. TablePlay не надає ідентифіковані дані гостей постачальнику ШІ для загального навчання моделі, якщо пізніше це не буде явно, законно та прозоро змінено іншим чином.

Додаток 2 - Технічні та організаційні заходи 1. Захист доступу • Унікальні облікові записи користувачів та захищена автентифікація. • Хешовані паролі та обмеження прав керування. • Доступ на основі ролі та необхідності. • Відкликання доступу, коли він більше не потрібен. • Додаткові заходи автентифікації, де це доцільно.

2. Логічне розділення даних • Розділення між бізнес-облікові записами та авторизацією, пов'язаною з орендарем.

Договір про обробку даних та Політика безпеки TablePlay

Сторінка 6 з 10 • Supabase Row Level Security, де це технічно застосовно. • Обмеження доступу до даних інших Клієнтів. • Унікальні ідентифікатори столів.

3. Транспорт та зберігання • Захищені з'єднання HTTPS та TLS. • Захищений зв'язок між браузером, застосунком, бекендом та API. • Зберігання у вибраних хмарних постачальників. • Обмежений доступ співробітників та договірна конфіденційність. • Відсутність зберігання паролів у безпосередньо доступній для читання формі.

4. Доступність, журналювання та відновлення • Резервні копії та засоби відновлення, де це доцільно. • Моніторинг технічних помилок та відповідних спроб входу. • Виявлення та розслідування нетипового використання. • Резервні копії, як правило, максимум один місяць. • Журнали, як правило, максимум один рік, якщо не потрібно довше для інциденту чи спору.

5. Захищена розробка та управління постачальниками • Управління версіями, перевірка коду та контрольоване впровадження, де це доцільно. • Обмеження таємниць та ключів у вихідному коді. • Своєчасні оновлення відповідних компонентів. • Оцінка та усунення виявлених вразливостей. • Відбір професійних постачальників, договірні домовленості та механізми передачі даних.

6. Мінімізація даних та управління інцидентами • Відсутність обов'язкових справжніх імен, електронної пошти або номера телефону для Гостей. • Тимчасові псевдоніми та обмежена видимість таблиці лідерів. • Видалення або анонімізація після завершення строків. • Внутрішній процес escalation, розслідування, реєстрація, оцінка обов'язку повідомлення та заходи з усунення наслідків.

Частина B - Безпека та Координоване Розкриття Вразливостей (Coordinated Vulnerability Disclosure) 1. Мета та адреса для повідомлень TablePlay надає велике значення безпеці веб-сайту, Платформи, інфраструктури та даних. Про можливі технічні вразливості можна конфіденційно повідомити через support@tableplay.online із темою Securitymelding - vertrouwelijk.

2. Зміст повідомлення • Чіткий опис вразливості. • Відповідний домен, endpoint, екран або система.

Сторінка 7 з 10 • Відтворювані кроки та можлива дія. • Обмежені скріншоти або технічні доказові дані. • Використаний браузер, пристрій або середовище. • Контактні дані та за можливості пропозиція щодо захищеного зв'язку.

3. Дозволені дії • Лише дії, необхідні для встановлення наявності вразливості. • Максимально обмежити вплив та доступ до даних. • Не змінювати, не видаляти та не завантажувати дані третіх осіб. • Не впливати на доступність та зупинитися, як тільки буде достатньо доказів. • Досліджувати виключно системи, які доказово перебувають під управлінням TablePlay.

4. Заборонені дії • Соціальна інженерія, фішинг, фізичні атаки, brute force та credential stuffing. • Захоплення облікових записів, denial-of-service, шкідливе програмне забезпечення або постійний доступ. • Зміна, видалення, копіювання або розкриття даних. • Фактичні маніпуляції з платежами, рахунками, купонами або результатами. • Дослідження зовнішніх постачальників без їхньої згоди. • Обтяжливе автоматизоване сканування. • Розкриття до надання розумного часу для дослідження та усунення. • Вимагання або примушування до оплати шляхом погроз.

5. Реагування та розкриття TablePlay прагне підтвердити отримання протягом п'яти робочих днів, оцінити повідомлення, де необхідно поставити запитання, поінформувати заявника про основні моменти та обмежити підтверджену вразливість якнайшвидше, наскільки це обґрунтовано можливо. Строк усунення залежить від серйозності, складності, постачальників та необхідних тестів. TablePlay не гарантує фіксований строк. Деталі не розкриваються до того, як TablePlay надасть згоду, буде узгоджено обґрунтовану дату або мине принаймні дев'яносто днів без обґрунтованої змістовної відповіді чи спроби усунення. Персональні дані, дані автентифікації та код експлойту не публікуються.

6. Відсутність загальної bugbounty та юридичний підхід TablePlay не застосовує загальну програму bugbounty, і повідомлення не надає права на оплату, замовлення чи публічність. TablePlay може на власний розсуд надати винагороду. TablePlay в принципі не вживатиме юридичних заходів проти дослідника, який діє добросовісно, в межах цієї політики, без шкоди, конфіденційно та без вимагання. Це зобов'язання не діє у випадку явно кримінальних, шкідливих, шахрайських або надмірних дій і не є обов'язковим для третіх осіб чи органів влади.

Сторінка 8 з 10

7. security.txt TablePlay може опублікувати за адресою /.well-known/security.txt технічний файл з адресою для повідомлень, посиланням на політику, мовами, датою закінчення дії та за можливості ключем шифрування. Цей файл потрібно періодично перевіряти та оновлювати.

Частина C - Заява про доступність 1. Амбіція та референційна рамка TablePlay прагне зробити веб-сайт, реєстрацію, клієнтський портал та гостьові гри придатними для використання широким колом користувачів, включаючи осіб з візуальними, слуховими, моторними або когнітивними обмеженнями. Там, де це обґрунтовано можливо, принципи WCAG 2.2 рівня AA використовуються як технічна та змістовна референційна рамка. Це не є гарантією того, що кожен компонент за будь-яких обставин повністю відповідає цим принципам.

2. Поточний статус Повне середовище ще не пройшло незалежний та комплексний аудит. Тому TablePlay на даний момент не заявляє про повну формальну відповідність WCAG 2.2 AA. Можливі обмеження стосуються компонентів гри в реальному часі, обмеження часу, drag-and-drop, анімацій, зовнішніх сторінок оплати чи автентифікації, перекладів, застарілого відображення кольорів та функцій, орієнтованих на дотик.

3. Заходи • Семантичний HTML та придатні для використання позначки, де це доцільно. • Керування клавіатурою основними функціями та видимий фокус. • Достатній контраст і масштабований текст. • Альтернативні тексти для інформативних зображень. • Відсутність істотної інформації, вираженої виключно через колір. • Зрозумілі повідомлення про помилки та узгоджена навігація. • Чіткі кнопки та посилання. • Підтримка поширених браузерів та розмірів екрану. • Обмеження зайвої анімації. • Зрозуміла мова в середовищі гостя. • Автоматизоване та ручне тестування, де це можливо.

4. Гри та часовий тиск Деякі гри за своєю природою обмежені в часі. Там, де це технічно та ігрово можливо, TablePlay може пропонувати альтернативні режими гри, розширені часові обмеження, менше руху, візуальні альтернативи звуку та текст або символи поряд з кольором. Не кожен режим гри однаково підходить для кожного користувача. Ресторани заохочуються пропонувати кілька типів гри.

Договір про обробку персональних даних та Політика безпеки TablePlay

Сторінка 9 з 10

5. Відповідальність корпоративного клієнта Клієнт залишається відповідальним за фізичну та операційну доступність Локації, включаючи розміщення QR-кодів, читабельність друкованих матеріалів, альтернативну допомогу, доступність екранів, підтримку персоналом та власний контент. QR-коди розміщуються доступно та видимо, і там, де це обґрунтовано можливо, надається альтернатива для Гостей, які не можуть самостійно сканувати.

6. Повідомлення та альтернативний доступ Проблеми з доступністю можна повідомляти через support@tableplay.online із зазначенням сторінки або гри, пристрою, браузера, допоміжної технології, опису та бажаного рішення. TablePlay прагне надати підтвердження отримання протягом п'яти робочих днів та змістовну відповідь протягом розумного строку. Там, де можливо, може бути запропонована інформація електронною поштою, підтримка, альтернативна інструкція, ручна обробка або інша ігрова можливість.

7. Непропорційне навантаження та вдосконалення Адаптація може бути відкладена, якщо вона технічно нездійсненна, суттєво впливає на безпеку, змінює фундаментальну природу гри, залежить від зовнішнього постачальника або становить непропорційне організаційне чи фінансове навантаження. У такому випадку TablePlay оцінює альтернативу. TablePlay може враховувати доступність у дизайні, тестуванні, пріоритизації, зворотному зв'язку з користувачами та зовнішніх аудитах та оновлювати цю декларацію.

8. Контакти TablePlay by Jimani - Jimani B.V. - Albert Plesmanweg 122 - 4462 GC Goes - Нідерланди - KvK 91644453 - Btw NL865722729B01 - support@tableplay.online.

Договір про обробку персональних даних та Політика безпеки TablePlay

Сторінка 10 з 10

Додатковий перелік субпідрядників з обробки даних Цей перелік субпідрядників з обробки даних є частиною Договору про обробку персональних даних та Політики безпеки TablePlay. Актуальний перелік може змінюватися при зміні постачальників, регіонів або функцій.

Постачальник: Supabase Послуга: база даних, автентифікація, зберігання та backend. Можливі дані: облікові записи, дані столів, псевдоніми, сесії, результати та журнали. Регіон / роль: переважно ЄС-регіон, наскільки налаштовано; основний субпідрядник з обробки даних.

Постачальник: Vercel Послуга: хостинг, середовище виконання, доставка контенту та журналювання. Можливі дані: IP-адреса, дані запитів, браузера, пристрою та застосунку. Регіон / роль: ЄЕЗ та можливо США; хостинг-субпідрядник з обробки даних.

Постачальник: Twilio SendGrid Послуга: транзакційна та операційна електронна пошта. Можливі дані: ім'я, електронна адреса, інформація про облікові записи, вміст та статус доставки. Регіон / роль: міжнародний; субпідрядник з обробки даних для електронної пошти.

Постачальник: OpenAI / інший постачальник AI Послуга: лише при активованих функціях AI. Можливі дані: обмежені дані, необхідні для функції. Регіон / роль: залежить від конфігурації; потенційний субпідрядник з обробки даних. TablePlay не надає ідентифікованих даних гостей постачальнику AI для загального навчання моделі, якщо це пізніше не буде явно, законно та прозоро організовано інакше.

Постачальник: Stripe Послуга: платежі, фактурування та боротьба з шахрайством. Можливі дані: бізнес-дані, рахунки, транзакції та статус оплати. Регіон / роль: міжнародний; роль відрізняється залежно від обробки.

Постачальник: Google / Meta / LinkedIn Послуга: аналітика та маркетинг після надання згоди. Можливі дані: дані веб-сайту, пристрою, реклами та конверсії. Регіон / роль: міжнародний; зазвичай не субпідрядник з обробки даних для ігрових даних ресторанів.