Samningur um vinnslu persónuupplýsinga

Þessi samningur um vinnslu persónuupplýsinga (the "DPA") er órjúfanlegur hluti af samningnum milli ELXAO SASU (the "Vinnsluaðili") og viðskiptavinurinn (sem ber ábyrgð á vinnslunni, "ábyrgðaraðili") og innleiðir 28. grein í reglugerð (ESB) 2016/679 (the "GDPR") og franska persónuverndarlögin (Loi n° 78-17 frá 6. janúar 1978 með breytingum). Þetta gildir hvenær sem ELXAO vinnur persónuupplýsingar fyrir hönd stjórnanda við veitingu þjónustunnar.

Skýringar

Hugtökin "persónuupplýsingar", "meðferð", "ábyrgðaraðili", "vinnsluaðili", "undirvinnsluaðili", "upplýsingarþoli", "upplýsingar um sérstaka flokka" og "öryggisbrestur persónuupplýsinga" hafa þá merkingu sem tilgreind er í 4. gr. GDPR. Skilmálar samningsins gilda um þessa DPA nema þessi DPA kveði skýrt á um annað.

Viðfangsefni, lengd og eðli vinnslunnar

Hlutverk og leiðbeiningar

Viðmælandi ákvarðar tilgang og aðferðir vinnslunnar. ELXAO vinnur persónuupplýsingar eingöngu samkvæmt skráðum fyrirmælum viðmælanda, sem eru fest í Samningnum, pöntunum, þjónustusamningum (SLA), persónuverndarstefnu viðmælanda og öllum sérstökum skriflegum fyrirmælum sem send eru síðar. ELXAO mun tilkynna Vinnsluaðilanum án óþarfar tafar ef það telur að fyrirmælin brjóti í bága við persónuverndarlög.

Trúnaður persónuefnis

ELXAO tryggir að hver einstaklingur sem er heimilaður til að vinna með persónuupplýsingar sé bundinn við framfylgjanlega trúnaðarskyldu (vinnusamningi, verkusamningi eða trúnaðarsamningi) og hafi hlotið þjálfun í persónuvernd sem hentar hlutverki þeirra.

Öryggisráðstafanir

ELXAO innleiðir viðeigandi tæknilegar og skipulagslegar ráðstafanir (32. grein GDPR), þar á meðal:

• TLS 1.2+ dulkóðun í flutningi og AES-256 dulkóðun í hvíld fyrir framleiðslugagnageymslur.
• Aðgangsstýring byggð á hlutverkum með meginreglunni um lágmarksheimildir; skyldubundin fjölþáttaauðkenning fyrir alla stjórnendur.
• Harðgerð innviði hýst í ESB með reglulegri veikleikaskönnun og uppfærslu.
• Kóðaskoðun, leyndarmálastjórnun, öruggur SDLC og aðskilnaður framleiðslu- og prufukeðjaumhverfa.
• Miðlæg og heilleika-vernduð skráning; tilkynningar um grunsamlega auðkenningu og gagnaútflutningsatburði.
• Dulkóðuð, landfræðilega aðskilin afrit með skjalfestum endurheimtarprófum.
• Ferlar við upphaf og lok starfsmanns, lykilorðastjóri, öruggir fartölvur með fullri diskkóðun.
• Áætlanir um viðskipta­samfellu og viðbrögð við atvikum skulu endurskoðaðar að minnsta kosti árlega.

Undirvinnsla

Viðskiptastjórinn veitir ELXAO almenna heimild til að nota undirvinnsluaðila til að framkvæma tilteknar vinnsluaðgerðir (hýsing, póstdreifing, greining, auglýsingapallar, þjónustutól fyrir viðskiptavini, viðburðastjórnunarpallar). ELXAO heldur uppfærðum lista yfir undirliggjandi vinnsluaðila, sem er aðgengilegur eftir beiðni á [email protected], og mun gefa að minnsta kosti þrjátíu (30) daga fyrirvara um allar fyrirhugaðar viðbætur eða skiptingar, á meðan vinnslustjórinn getur mótmælt af málefnalegum ástæðum sem tengjast gagnavernd. ELXAO leggur á hvern undirsöluaðila skyldur um vernd persónuupplýsinga sem eru ekki veikari en þær sem kveðið er á um í þessari persónuverndarsamningi.

Alþjóðlegar millifærslur

Persónuupplýsingum er aðallega unnið innan Evrópska efnahagssvæðisins (EES). Þar sem vinnsla felur í sér flutning utan EES til lands sem ekki hefur fengið viðunandi úrskurð, ELXAO byggir á viðeigandi verndarúrræðum samkvæmt 46. gr. GDPR, einkum staðlaðri samningsákvæðum framkvæmdastjórnar Evrópusambandsins (SCC) frá 4. júní 2021, auk annarra viðbótarráðstafana sem krafist er samkvæmt mati á áhrifum flutningsins.

Aðstoð við stýringarstjóra

ELXAO aðstoðar persónuverndarfulltrúann með viðeigandi tæknilegum og skipulagslegum aðgerðum við að uppfylla skyldur sínar til að svara beiðnum skráðra einstaklinga (greinar 12–22 í GDPR) og við að tryggja að farið sé eftir greinum 32–36 í GDPR (öryggi, tilkynning um öryggisbrest, DPIA, forráðaráðgjöf). Staðlað aðstoð er innifalin í þjónustunni; umfangsmikil vinna umfram einn (1) vinnudag á beiðni getur verið rukkuð samkvæmt þáverandi faglegum gjaldskrá ELXAO eftir skriflega tilkynningu.

Öryggisbrest persónuupplýsinga

ELXAO tilkynnir persónuupplýsingastjóranum án óþarfar tafar og í öllum tilvikum innan sjötíu og tveggja (72) klukkustunda frá því að hann varð var við öryggisbrest sem varðar persónuupplýsingar persónuupplýsingastjórans. Tilkynningin inniheldur eðli brestsins, flokka og áætlaða umfang þeirra gagna sem urðu fyrir áhrifum, líklegar afleiðingar og þær aðgerðir sem gripið hefur verið til eða lagðar eru til til að bregðast við honum.

Endurskoðanir

ELXAO gerir Stjórnanda, eftir sanngjarna beiðni og ekki oftar en einu sinni á ári (nema eftir öryggisbrest), aðgengilegar þær upplýsingar sem nauðsynlegar eru til að sýna fram á samræmi við þessa DPA, þar á meðal ISO 27001 / SOC 2-gerðarskýrslur frá undirvinnsluaðilum þegar þær liggja fyrir. Staðarúttektir má framkvæma af Stjórnanda eða sameiginlega samþykktum þriðja aðila endurskoðanda sem bundinn er þagnarskyldu, á kostnað Stjórnanda, með sanngjörnum fyrirvara og á venjulegum vinnutíma, á þann hátt að ekki raski rekstri ELXAO óhóflega.

Endurheimt eða eyðing gagna

Við lok Samningsins mun ELXAO, að vali Stjórnanda sem fram kemur innan þrjátíu (30) daga, annaðhvort skila öllum persónuupplýsingum í uppbyggðu, almennt notaðu og vélrænt lesanlegu sniði eða eyða þeim úr öllum framleiðslu- og rekstrarkerfum. Öryggisafrit eru eytt samkvæmt venjulegu skiptingarskeiði (allt að níutíu (90) dögum) og má geyma þau lengur einungis ef það er krafist samkvæmt gildandi lögum, í því tilviki halda þau áfram að lúta öryggis- og trúnaðarskyldum samkvæmt þessari persónuverndarsamningi.

Ábyrgð

Ábyrgðarreglur MSA gilda um kröfur sem leiða af þessari DPA. Hvor um sig aðili ber áfram ábyrgð gagnvart persónuupplýsingasubjekta og eftirlitsyfirvöldum í samræmi við 82. grein GDPR.

Hafa samband

Fyrir allar spurningar, beiðnir eða tilkynningar um persónuvernd samkvæmt þessari persónuverndarlöggjöf skaltu hafa samband við ELXAO á [email protected].