Tämä tietojenkäsittelysopimus (”DPA”) on erottamaton osa Sopimusta ELXAO SASU:n (”Käsittelijä”) ja asiakkaan (”Rekisterinpitäjä”) välillä, ja se panee täytäntöön asetuksen (EU) 2016/679 28 artiklan (”GDPR”) sekä Ranskan tietosuojalain (laki nro 78-17, 6. tammikuuta 1978, sellaisena kuin se on muutettuna). Sitä sovelletaan aina, kun ELXAO käsittelee henkilötietoja Rekisterinpitäjän puolesta Palvelujen tarjoamisen aikana.
Määritelmät
Termeillä "henkilötiedot", "käsittely", "rekisterinpitäjä", "käsittelijä", "alikäsittelijä", "rekisteröity", "erityisen luokan tiedot" ja "henkilötietojen loukkaus" on GDPR:n artiklassa 4 annetut merkitykset. Sopimuksen ehdot koskevat tätä DPA:ta, paitsi jos tämä tietosuojasopimus nimenomaisesti ohittaa ne.
Käsittelyn aihe, kesto ja luonne
| Tuote | Kuvaus |
|---|---|
| Aihe | Markkinointipalveluiden tarjoaminen (verkkosivustot, SEO, maksullinen media, analytiikka, CRM/sähköposti, brändäys, sosiaalinen media, lokalisointi, PM/tapahtumat) Rekisterinpitäjän puolesta. |
| Kesto | Sitoumuksen kesto sekä alla mainitut säilytysajat. |
| Luonto ja tarkoitus | Henkilötietojen tallentaminen, järjestäminen, analysointi, siirto, isännöinti ja poistaminen Palveluiden toimittamiseksi. |
| Rekisteröityjen luokat | Rekisterinpitäjän loppukäyttäjät, mahdolliset asiakkaat, asiakkaat, tilaajat, työntekijät, toimittajat ja tapahtuman osallistujat. |
| Henkilötietojen luokat | Tunnistetiedot (nimi, titteli), yhteystiedot (sähköposti, puhelin, postiosoite), ammattitiedot (yritys, rooli), online-tunnisteet (IP, evästeet, laitetunnukset), käyttäytymistiedot (napsautukset, istunnot, konversiot), kaupalliset tiedot (tilaukset, laskutus), tapahtumatiedot (rekisteröinnit, läsnäolo, merkit, tallenteet). |
| Erikoisluokan tiedot | Ei ole käsitelty. Kaikki poikkeukset edellyttävät kirjallista ohjetta ja lisäsuojatoimia. |
Roolit ja ohjeet
Rekisterinpitäjä määrittelee käsittelyn tarkoitukset ja keinot. ELXAO käsittelee henkilötietoja vain Rekisterinpitäjän dokumentoitujen ohjeiden mukaisesti, jotka on vahvistettu Sopimuksella, tilauksilla, Palvelutasosopimuksilla, Rekisterinpitäjän tietosuojakäytännöllä ja mahdollisilla sen jälkeen lähetetyillä erityisillä kirjallisilla ohjeilla. ELXAO ilmoittaa rekisterinpitäjälle ilman aiheetonta viivytystä, jos se harkitsee ohjetta rikkoa tietosuojalakia.
Henkilöstön luottamuksellisuus
ELXAO varmistaa, että jokaista henkilöä, joka on valtuutettu käsittelemään henkilötietoja, sitoo täytäntöönpanokelpoinen salassapitovelvollisuus (työsopimus, freelance-sopimus tai NDA) ja että hän on saanut tehtäväänsä sopivan henkilötietojen suojaa koskevan koulutuksen.
Turvatoimet
ELXAO toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet (GDPR artikla 32), mukaan lukien:
- TLS 1.2+ -salaus kuljetuksen aikana ja AES-256-salaus lepotilassa tuotantotietovarastoissa.
- Rooliperusteinen kulunvalvonta vähiten etuoikeuksien periaatteella; pakollinen monitekijätodennus kaikille järjestelmänvalvojille.
- Karkaistu, EU:n isännöimä infrastruktuuri, jossa on säännöllinen haavoittuvuuksien tarkistus ja korjaus.
- Koodin tarkistus, salaisuuksien hallinta, suojattu SDLC ja tuotanto-/lavastusympäristöjen erottaminen.
- Keskitetty, eheyssuojattu kirjaus; hälyttäminen epäilyttävistä todennus- ja tiedonvientitapahtumista.
- Salatut, maantieteellisesti erotetut varmuuskopiot dokumentoiduilla palautustesteillä.
- Henkilöstön aloitus-/offboard-menettelyt, salasananhallinta, suojatut kannettavat tietokoneet koko levyn salauksella.
- Toiminnan jatkuvuus ja häiriöihin reagointisuunnitelmat tarkistetaan vähintään vuosittain.
Alikäsittely
Rekisterinpitäjä myöntää ELXAO yleisen valtuutuksen ottaa käyttöön alikäsittelijöitä tiettyjen käsittelytoimintojen suorittamiseen (isännöinti, sähköpostin toimitus, analytiikka, mainosalustat, asiakastukityökalut, tapahtumanhallintaympäristöt). ELXAO ylläpitää ajantasaista luetteloa alikäsittelijöistä, joka on saatavilla pyynnöstä osoitteesta [email protected], ja ilmoittaa vähintään kolmekymmentä (30) päivää etukäteen kaikista suunnitelluista lisäyksistä tai korvauksista, joiden aikana Rekisterinpitäjä voi vastustaa sitä kohtuullisin tietosuojasyin. ELXAO asettaa kullekin alikäsittelijälle tietosuojavelvoitteita, jotka ovat vähintään yhtä suojaavia kuin tässä tietosuojasopimuksessa asetetut.
Kansainväliset siirrot
Henkilötietoja käsitellään ensisijaisesti Euroopan talousalueella (ETA). Jos käsittelyyn liittyy siirto ETA:n ulkopuolelle maahan ilman riittävyyttä koskevaa päätöstä, ELXAO luottaa GDPR:n artiklan 46 mukaisiin asianmukaisiin suojatoimiin, pääasiassa Euroopan komission 4.6.2021 hyväksymiin vakiosopimuslausekkeisiin (SCC), joita täydennetään mahdollisilla siirron vaikutusten arvioinnin edellyttämillä lisätoimenpiteillä.
Apua valvojalle
ELXAO auttaa Rekisterinpitäjää asianmukaisin teknisin ja organisatorisin toimenpitein täyttämään velvollisuutensa vastata rekisteröidyn pyyntöihin (GDPR artiklat 12–22) ja varmistamaan GDPR-artiklojen 32–36 noudattamisen (turvallisuus, tietoturvaloukkausilmoitus, DPIA, ennakkoneuvottelu). Perusapu sisältyy Palveluihin; merkittävä työ, joka ylittää yhden (1) työpäivän pyyntöä kohti, voidaan laskuttaa ELXAO:n kulloinkin voimassa olevan ammattihinnan mukaisesti kirjallisen ilmoituksen jälkeen.
Henkilötietojen loukkaus
ELXAO ilmoittaa Rekisterinpitäjälle ilman aiheetonta viivytystä ja joka tapauksessa seitsemänkymmentäkahden (72) tunnin kuluessa siitä, kun hän on saanut tietoonsa rekisterinpitäjän tietoihin vaikuttavan henkilötietojen tietoturvaloukkauksen. Ilmoitus sisältää rikkomuksen luonteen, luokat ja likimääräiset vaikutusten määrät, todennäköiset seuraukset ja sen korjaamiseksi toteutetut tai ehdotetut toimenpiteet.
Tarkastukset
ELXAO antaa Rekisterinpitäjän saataville kohtuullisesta pyynnöstä ja enintään kerran vuodessa (lukuun ottamatta rikkomusta) tiedot, jotka ovat tarpeen tämän tietosuojalausekkeen noudattamisen osoittamiseksi, mukaan lukien ISO 27001 / SOC 2 -tyyppiset raportit alikäsittelijöiltä, jos niitä on saatavilla. Rekisterinpitäjä tai molemminpuolisesti hyväksymä luottamuksellisuutta sitova ulkopuolinen tarkastaja voi suorittaa paikan päällä suoritettavat tarkastukset Rekisterinpitäjän kustannuksella kohtuullisella ennakkoilmoituksella ja työaikana tavalla, joka ei aiheuta kohtuuttoman häiriöitä ELXAO:n toimintaan.
Tietojen palauttaminen tai poistaminen
Sopimuksen päätyttyä ELXAO Rekisterinpitäjän kolmenkymmenen (30) päivän kuluessa tekemästä valinnasta joko palauttaa kaikki henkilötiedot jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa tai poistaa ne kaikista tuotanto- ja toimintajärjestelmistä. Varmuuskopiot poistetaan normaalin kiertojakson aikana (enintään yhdeksänkymmentä (90) päivää), ja ne voidaan säilyttää tämän ajanjakson jälkeen vain sovellettavan lain niin vaatiessa, jolloin ne ovat edelleen tämän tietosuojalain mukaisten turvallisuus- ja luottamuksellisuusvelvoitteiden alaisia.
Vastuu
MSA:n vastuumääräyksiä sovelletaan tämän tietosuojalain mukaisiin vaateisiin. Jokainen osapuoli on edelleen vastuussa rekisteröidyille ja valvontaviranomaisille GDPR-asetuksen 82 artiklan mukaisesti.
Ota yhteyttä
Jos sinulla on tämän tietosuojalain mukaisia tietosuojakysymyksiä, -pyyntöjä tai -ilmoituksia, ota yhteyttä numeroon ELXAO osoitteessa [email protected].