Това Споразумение за обработка на данни („DPA“) представлява неразделна част от Споразумението между ELXAO SASU („Обработващ“) и клиента („Администратор“) и прилага член 28 от Регламента (ЕС) 2016/679 („GDPR“) и френския Закон за защита на данните (Loi № 78-17 от 6 януари 1978 г. с измененията). Прилага се винаги, когато ELXAO обработва лични данни от името на Администратора в хода на предоставяне на Услугите.
Дефиниции
Термините „лични данни“, „обработване“, „администратор“, „обработващ“, „подобработващ“, „субект на данни“, „данни от специална категория“ и „нарушение на сигурността на личните данни“ имат значенията, посочени в член 4 от GDPR. Условията на Споразумението се прилагат към този DPA, освен когато този DPA изрично ги отменя.
Предмет, продължителност и естество на обработката
| Артикул | Описание |
|---|---|
| Предмет | Предоставяне на услуги за маркетингови операции (уебсайтове, SEO, платени медии, анализи, CRM/имейл, брандиране, социални медии, локализация, PM/събития) от името на Администратора. |
| Продължителност | Продължителност на Ангажимента плюс периодите на задържане, посочени по-долу. |
| Същност и цел | Съхранение, организиране, анализ, трансфер, хостинг и изтриване на лични данни, както се изисква за предоставяне на Услугите. |
| Категории субекти на данни | Крайни потребители, потенциални клиенти, абонати, служители, доставчици и посетители на събитието на администратора. |
| Категории лични данни | Идентификационни данни (име, заглавие), данни за контакт (имейл, телефон, пощенски адрес), професионални данни (компания, роля), онлайн идентификатори (IP, бисквитки, идентификатори на устройства), поведенчески данни (кликвания, сесии, реализации), търговски данни (поръчки, фактуриране), данни за събития (регистрации, присъствие, значки, записи). |
| Данни за специална категория | Не се обработва по подразбиране. Всяко изключение изисква писмена инструкция и допълнителни предпазни мерки. |
Роли и инструкции
Администраторът определя целите и средствата за обработка. ELXAO обработва лични данни единствено въз основа на документирани инструкции на Администратора, които са формализирани от Споразумението, поръчките, SLAs, Политиката за поверителност на Администратора и всякакви конкретни писмени инструкции, изпратени след това. ELXAO ще информира Администратора без неоправдано забавяне, ако счита, че дадена инструкция нарушава закона за защита на данните.
Конфиденциалност на персонала
ELXAO гарантира, че всяко лице, упълномощено да обработва лични данни, е обвързано от изпълнимо задължение за поверителност (трудов договор, договор на свободна практика или NDA) и е преминало обучение по защита на личните данни, подходящо за неговата роля.
Мерки за сигурност
ELXAO прилага подходящи технически и организационни мерки (член 32 от GDPR), включително:
- TLS 1.2+ криптиране в транзит и AES-256 криптиране в покой за производствени хранилища на данни.
- Ролеви контрол на достъпа с принципа на най-малката привилегия; задължително многофакторно удостоверяване за всички администратори.
- Подсилена, хоствана в ЕС инфраструктура с редовно сканиране и корекция на уязвимости.
- Преглед на кода, управление на тайни, защитен SDLC и разделяне на среди за производство/постановка.
- Централизирано регистриране със защитена цялост; предупреждение за съмнителни събития за удостоверяване и експортиране на данни.
- Криптирани, географски разделени архиви с документирани тестове за възстановяване.
- Процедури за включване/отписване на персонала, мениджър на пароли, защитени лаптопи с пълно дисково криптиране.
- Непрекъснатостта на бизнеса и плановете за реакция при инциденти се преразглеждат поне веднъж годишно.
Подобработка
Администраторът предоставя на ELXAO общо разрешение за ангажиране на подпроцесори за извършване на специфични дейности по обработка (хостинг, доставка на имейли, анализи, рекламни платформи, инструменти за поддръжка на клиенти, платформи за управление на събития). ELXAO поддържа актуален списък с подобработващи, достъпен при поискване на [email protected], и ще даде най-малко тридесет (30) дни предварително известие за всяко планирано добавяне или замяна, по време на което Администраторът може да възрази на разумни основания за защита на данните. ELXAO налага на всеки подизпълнител задължения за защита на данните, не по-малко защитни от тези, посочени в това DPA.
Международни трансфери
Личните данни се обработват предимно в рамките на Европейското икономическо пространство (ЕИП). Когато обработката включва прехвърляне извън ЕИП към държава без решение за адекватност, ELXAO разчита на подходящи предпазни мерки съгласно член 46 от ОРЗД, главно Стандартните договорни клаузи (СДК) на Европейската комисия от 4 юни 2021 г., допълнени от всички допълнителни мерки, изисквани от оценката на въздействието на прехвърлянето.
Съдействие на контрольора
ELXAO подпомага Администратора чрез подходящи технически и организационни мерки при изпълнение на задълженията му да отговаря на заявки на субекти на данни (членове 12–22 от GDPR) и за осигуряване на съответствие с членове 32–36 от GDPR (сигурност, уведомление за нарушение, DPIA, предварителна консултация). Стандартната помощ е включена в Услугите; значителна работа над един (1) работен ден на заявка може да бъде таксувана по текущите професионални цени на ELXAO след писмено уведомление.
Нарушение на личните данни
ELXAO уведомява Администратора без неоправдано забавяне и при всички случаи в рамките на седемдесет и два (72) часа, след като е узнал за нарушение на сигурността на личните данни, което засяга данните на Администратора. Уведомлението включва естеството на нарушението, категориите и приблизителните засегнати обеми, вероятните последици и мерките, предприети или предложени за справяне с него.
Одити
ELXAO предоставя на Администратора, при разумно искане и не повече от веднъж годишно (освен след нарушение), информацията, необходима за демонстриране на съответствие с този DPA, включително отчети тип ISO 27001 / SOC 2 от подпроцесори, когато има такива. Одитите на място могат да се извършват от Администратора или от взаимно одобрен одитор трета страна, обвързан с поверителност, за сметка на Администратора, с разумно предварително известие и по време на работното време, по начин, който не нарушава необосновано операциите на ELXAO.
Връщане или изтриване на данни
При прекратяване на Споразумението ELXAO, по избор на Администратора, изразен в рамките на тридесет (30) дни, или ще върне всички лични данни в структуриран, често използван и машинно четим формат, или ще ги изтрие от всички производствени и оперативни системи. Резервните копия се изтриват при стандартния цикъл на ротация (до деветдесет (90) дни) и могат да се съхраняват след този период само когато се изисква от приложимото законодателство, в който случай те остават предмет на задълженията за сигурност и поверителност на този DPA.
Отговорност
Разпоредбите за отговорност на MSA се прилагат за искове, произтичащи от това DPA. Всяка страна остава отговорна пред субектите на данни и надзорните органи в съответствие с член 82 от GDPR.
Контакти
За всеки въпрос, искане или известие относно защитата на данните съгласно този DPA, свържете се с ELXAO на [email protected].