این توافقنامه پردازش داده‌ها (" DPA ") بخش جدایی‌ناپذیری از توافقنامه بین ELXAO SASU (" پردازنده ") و مشتری (" کنترل‌کننده ") را تشکیل می‌دهد و ماده ۲۸ آیین‌نامه (EU) 2016/679 (" GDPR ") و قانون حفاظت از داده‌های فرانسه (Loi n° 78-17 از ۶ ژانویه ۱۹۷۸ با اصلاحات) را اجرا می‌کند. این توافقنامه هر زمان که ELXAO داده‌های شخصی را از طرف کنترل‌کننده در جریان ارائه خدمات پردازش می‌کند، اعمال می‌شود.
تعاریف
اصطلاحات «داده‌های شخصی»، «پردازش»، «کنترل‌کننده»، «پردازنده»، «زیرپردازنده»، «موضوع داده»، «داده‌های دسته‌بندی ویژه» و «نقض داده‌های شخصی» معانی مندرج در ماده ۴ GDPR را دارند. شرایط این توافقنامه در مورد این DPA اعمال می‌شود، مگر اینکه این DPA صراحتاً آنها را لغو کند.
موضوع، مدت و ماهیت پردازش
| مورد | توضیحات |
|---|---|
| موضوع مورد بحث | ارائه خدمات عملیات بازاریابی (وب‌سایت‌ها، سئو، رسانه‌های پولی، تجزیه و تحلیل، CRM/ایمیل، برندسازی، رسانه‌های اجتماعی، بومی‌سازی، مدیریت ارتباط با مشتری/رویدادها) از طرف کنترل‌کننده. |
| مدت زمان | مدت زمان قرارداد، به علاوه دوره‌های نگهداری که در زیر ذکر شده است. |
| ماهیت و هدف | ذخیره سازی، سازماندهی، تجزیه و تحلیل، انتقال، میزبانی و حذف اطلاعات شخصی در صورت نیاز برای ارائه خدمات. |
| دسته بندی موضوعات داده | کاربران نهایی، مشتریان بالقوه، مشتریان، مشترکین، کارمندان، تأمین‌کنندگان و شرکت‌کنندگان در رویدادِ کنترل‌کننده. |
| دسته بندی های داده های شخصی | داده‌های شناسایی (نام، عنوان)، داده‌های تماس (ایمیل، تلفن، آدرس پستی)، داده‌های حرفه‌ای (شرکت، نقش)، شناسه‌های آنلاین (IP، کوکی‌ها، شناسه‌های دستگاه)، داده‌های رفتاری (کلیک‌ها، جلسات، تبدیل‌ها)، داده‌های تجاری (سفارش‌ها، صورتحساب)، داده‌های رویداد (ثبت‌نام‌ها، حضور، نشان‌ها، ضبط‌ها). |
| داده‌های دسته‌بندی ویژه | به طور پیش‌فرض پردازش نمی‌شود. هرگونه استثنا نیاز به دستورالعمل کتبی و اقدامات حفاظتی اضافی دارد. |
نقش‌ها و دستورالعمل‌ها
کنترل‌کننده اهداف و روش‌های پردازش را تعیین می‌کند. ELXAO داده‌های شخصی را منحصراً بر اساس دستورالعمل‌های مستند کنترل‌کننده پردازش می‌کند، که توسط توافقنامه، دستورات، SLAها، سیاست حفظ حریم خصوصی کنترل‌کننده و هرگونه دستورالعمل کتبی خاص ارسال شده پس از آن رسمیت یافته‌اند. ELXAO در صورت مشاهده هرگونه دستورالعملی مبنی بر نقض قانون حفاظت از داده‌ها، بدون تأخیر بی‌مورد به کنترل‌کننده اطلاع خواهد داد.
محرمانگی پرسنل
ELXAO تضمین می‌کند که هر فرد مجاز به پردازش داده‌های شخصی، ملزم به رعایت یک تعهد محرمانگی قابل اجرا (قرارداد استخدام، قرارداد فریلنسری یا NDA) است و آموزش‌های لازم در زمینه حفاظت از داده‌های شخصی متناسب با نقش خود را دریافت کرده است.
اقدامات امنیتی
ELXAO اقدامات فنی و سازمانی مناسبی را اجرا می‌کند (ماده ۳۲ GDPR)، از جمله:
- رمزگذاری TLS 1.2+ در حین انتقال و رمزگذاری AES-256 در حالت سکون برای داده‌های عملیاتی.
- کنترل دسترسی مبتنی بر نقش با اصل حداقل امتیاز؛ احراز هویت چند عاملی اجباری برای همه مدیران.
- زیرساخت مستحکم و میزبانی‌شده توسط اتحادیه اروپا با اسکن و وصله‌گذاری منظم آسیب‌پذیری‌ها.
- بررسی کد، مدیریت اسرار، SDLC امن و جداسازی محیط‌های تولید/مرحله‌بندی.
- ثبت وقایع متمرکز و محافظت‌شده با یکپارچگی؛ هشدار در مورد احراز هویت مشکوک و رویدادهای صادرات داده‌ها.
- پشتیبان‌گیری‌های رمزگذاری‌شده و تفکیک‌شده از نظر جغرافیایی به همراه تست‌های بازیابی مستند.
- رویه‌های ورود/خروج پرسنل، مدیریت رمز عبور، لپ‌تاپ‌های ایمن با رمزگذاری کامل دیسک.
- برنامه‌های تداوم کسب‌وکار و واکنش به حوادث حداقل سالانه بررسی شوند.
زیرپردازش
کنترل‌کننده به ELXAO مجوز عمومی می‌دهد تا از زیرپردازنده‌ها برای انجام فعالیت‌های پردازشی خاص (میزبانی، ارسال ایمیل، تجزیه و تحلیل، پلتفرم‌های تبلیغاتی، ابزارهای پشتیبانی مشتری، پلتفرم‌های مدیریت رویداد) استفاده کند. ELXAO فهرست به‌روزی از زیرپردازنده‌ها را نگهداری می‌کند که بنا به درخواست در [email protected] در دسترس است و حداقل سی (30) روز قبل از هرگونه اضافه یا جایگزینی مورد نظر، اطلاع‌رسانی خواهد کرد، که در طی آن کنترل‌کننده می‌تواند به دلایل منطقی حفاظت از داده‌ها اعتراض کند. ELXAO تعهدات حفاظت از داده‌های هر زیرپردازنده را به همان اندازه که در این DPA ذکر شده است، اعمال می‌کند.
نقل و انتقالات بین‌المللی
داده‌های شخصی عمدتاً در منطقه اقتصادی اروپا (EEA) پردازش می‌شوند. در مواردی که پردازش شامل انتقال به خارج از منطقه اقتصادی اروپا به کشوری بدون تصمیم‌گیری در مورد کفایت داده‌ها باشد، ELXAO به اقدامات حفاظتی مناسب تحت ماده ۴۶ GDPR، عمدتاً بندهای قراردادی استاندارد (SCC) کمیسیون اروپا مصوب ۴ ژوئن ۲۰۲۱، به همراه هرگونه اقدام اضافی مورد نیاز ارزیابی تأثیر انتقال، متکی است.
کمک به کنترل کننده
ELXAO با اقدامات فنی و سازمانی مناسب، به کنترل‌کننده در انجام تعهدات خود برای پاسخگویی به درخواست‌های مربوط به داده‌ها (مواد 12 تا 22 GDPR) و تضمین رعایت مواد 32 تا 36 GDPR (امنیت، اطلاع‌رسانی نقض، DPIA، مشاوره قبلی) کمک می‌کند. کمک‌های استاندارد در خدمات گنجانده شده است؛ کار قابل توجهی بیش از یک (1) روز کاری برای هر درخواست ممکن است پس از اطلاع کتبی، با نرخ‌های حرفه‌ای فعلی ELXAO در آن زمان محاسبه شود.
نقض داده‌های شخصی
ELXAO بدون تأخیر بی‌مورد و در هر صورت ظرف هفتاد و دو (72) ساعت پس از آگاهی از نقض اطلاعات شخصی که بر داده‌های کنترل‌کننده تأثیر می‌گذارد، به کنترل‌کننده اطلاع می‌دهد. این اطلاع‌رسانی شامل ماهیت نقض، دسته‌ها و حجم تقریبی تحت تأثیر، پیامدهای احتمالی و اقدامات انجام شده یا پیشنهادی برای رسیدگی به آن است.
حسابرسی‌ها
ELXAO بنا به درخواست معقول و حداکثر سالی یک بار (به جز پس از نقض)، اطلاعات لازم برای اثبات انطباق با این DPA، از جمله گزارش‌های نوع ISO 27001 / SOC 2 از پردازنده‌های فرعی را در صورت وجود، در اختیار کنترل‌کننده قرار می‌دهد. ممیزی‌های در محل ممکن است توسط کنترل‌کننده یا یک حسابرس شخص ثالث مورد تأیید متقابل که ملزم به حفظ محرمانگی است، با هزینه کنترل‌کننده، با اطلاع قبلی معقول و در ساعات کاری، به گونه‌ای انجام شود که به طور غیرمنطقی عملیات ELXAO را مختل نکند.
بازگرداندن یا حذف داده‌ها
پس از فسخ توافقنامه، ELXAO، بنا به انتخاب کنترل‌کننده، ظرف سی (30) روز، یا تمام داده‌های شخصی را در قالبی ساختاریافته، رایج و قابل خواندن توسط ماشین برمی‌گرداند، یا آنها را از تمام سیستم‌های تولیدی و عملیاتی حذف می‌کند. نسخه‌های پشتیبان در چرخه چرخش استاندارد (تا نود (90) روز) حذف می‌شوند و فقط در صورت لزوم طبق قانون قابل اجرا، می‌توانند فراتر از این دوره نگهداری شوند، که در این صورت مشمول تعهدات امنیتی و محرمانگی این DPA باقی می‌مانند.
مسئولیت
مفاد مسئولیت مندرج در MSA در مورد دعاوی ناشی از این DPA اعمال می‌شود. هر یک از طرفین مطابق با ماده ۸۲ GDPR در قبال اشخاص ثالث و مقامات نظارتی مسئول باقی می‌ماند.
تماس
برای هرگونه سوال، درخواست یا اطلاعیه در مورد حفاظت از داده‌ها تحت این DPA، با ELXAO از طریق [email protected] تماس بگیرید.