Hierdie Dataverwerkingsooreenkoms (die “DPA”) vorm 'n integrale deel van die Ooreenkoms tussen ELXAO SASU (die “Verwerker”) en die kliënt (die “Verantwoordelike”) en gee uitvoering aan Artikel 28 van Regulasie (EU) 2016/679 (die “GDPR”) en die Franse Wet op Databeskerming (Loi n° 78-17 van 6 Januarie 1978 soos gewysig). Dit geld wanneer ELXAO persoonlike data namens die Verantwoordelike verwerk in die loop van die lewering van die Dienste.
Definisies
Die terme "persoonlike data", "verwerking", "beheerder", "verwerker", "sub-verwerker", "datasubjek", "spesiale kategorie data" en "persoonlike data-skending" het die betekenisse wat in Artikel 4 van die GDPR gegee word. Die bepalings van die Ooreenkoms is op hierdie DPA van toepassing, behalwe waar hierdie DPA dit uitdruklik ignoreer.
Onderwerp, duur en aard van verwerking
| Item | Beskrywing |
|---|---|
| Onderwerp | Verskaffing van bemarkingsbedrywighede (webwerwe, SEO, betaalde media, analise, CRM/e-pos, handelsmerk, sosiale media, lokalisering, PM/gebeurtenisse) namens die Beheerder. |
| Duur | Duur van die Verlowing, plus die retensieperiodes hieronder uiteengesit. |
| Natuur en doel | Berging, organisasie, ontleding, oordrag, huisvesting en uitvee van persoonlike data soos vereis om die Dienste te lewer. |
| Kategorieë van datasubjekte | Beheerder se eindgebruikers, vooruitsigte, kliënte, intekenare, werknemers, verskaffers en gebeurtenisbywoners. |
| Kategorieë van persoonlike data | Identifikasiedata (naam, titel), kontakdata (e-pos, telefoon, posadres), professionele data (maatskappy, rol), aanlyn identifiseerders (IP, koekies, toestel-ID's), gedragsdata (klikke, sessies, omskakelings), kommersiële data (bestellings, faktuur), gebeurtenisdata (registrasies, bywoning, kentekens, opnames). |
| Spesiale kategorie data | Word nie by verstek verwerk nie. Enige uitsondering vereis 'n skriftelike instruksie en bykomende voorsorgmaatreëls. |
Rolle en instruksies
Die Beheerder bepaal die doeleindes en metodes van verwerking. ELXAO verwerk persoonlike data uitsluitlik volgens die Beheerder se gedokumenteerde instruksies, wat geformaliseer word deur die Ooreenkoms, die bestellings, die SLA's, die Privaatheidsbeleid van die Beheerder en enige spesifieke skriftelike instruksies wat daarna gestuur word. ELXAO sal die Beheerder sonder onnodige vertraging in kennis stel indien dit 'n opdrag oorweeg om databeskermingswetgewing te oortree.
Vertroulikheid van personeel
ELXAO verseker dat elke individu wat gemagtig is om persoonlike data te verwerk gebonde is aan 'n afdwingbare vertroulikheidsverpligting (dienskontrak, vryskutkontrak of NDA) en opleiding ontvang het in persoonlike-databeskerming wat geskik is vir hul rol.
Veiligheidsmaatreëls
ELXAO implementeer toepaslike tegniese en organisatoriese maatreëls (Artikel 32 GDPR), insluitend:
- TLS 1.2+-enkripsie in transito en AES-256-enkripsie in rus vir produksiedatawinkels.
- Rolgebaseerde toegangsbeheer met die beginsel van minste voorreg; verpligte multi-faktor verifikasie vir alle administrateurs.
- Verharde infrastruktuur wat deur die EU aangebied word met gereelde skandering en pleister van kwesbaarheid.
- Kode hersiening, geheime bestuur, veilige SDLC en skeiding van produksie / opvoering omgewings.
- Gesentraliseerde, integriteit-beskermde houtkappery; waarskuwing oor verdagte stawing en data-uitvoer gebeure.
- Geënkripteerde, geografies geskei rugsteun met gedokumenteerde hersteltoetse.
- Personeel aanboord/afboordprosedures, wagwoordbestuurder, veilige skootrekenaars met volskyf-enkripsie.
- Besigheidskontinuïteit en insident-reaksieplanne word ten minste jaarliks hersien.
Sub-verwerking
Die Beheerder verleen ELXAO 'n algemene magtiging om subverwerkers te betrek vir die uitvoering van spesifieke verwerkingsaktiwiteite (gasheer, e-posaflewering, ontleding, advertensieplatforms, kliëntediensnutsmiddels, geleentheidbestuurplatforms). ELXAO hou 'n huidige lys van subverwerkers by, beskikbaar op aanvraag by [email protected], en sal ten minste dertig (30) dae vooraf kennis gee van enige beoogde byvoeging of vervanging, waartydens die Beheerder op redelike databeskermingsgronde beswaar kan aanteken. ELXAO lê verpligtinge op elke subverwerker databeskerming nie minder beskermend op as dié wat in hierdie DPA uiteengesit word nie.
Internasionale oordragte
Persoonlike data word hoofsaaklik binne die Europese Ekonomiese Ruimte (EER) verwerk. Waar verwerking 'n oordrag buite die EER na 'n land behels sonder 'n toereikendheidsbesluit, maak ELXAO staat op toepaslike voorsorgmaatreëls kragtens artikel 46 GDPR, hoofsaaklik die Europese Kommissie se Standaard Kontraktuele Klousules (SCC's) van 4 Junie 2021, aangevul deur enige bykomende maatreëls wat deur die oordragimpakbeoordeling vereis word.
Bystand aan die Kontroleur
ELXAO help die Beheerder, deur toepaslike tegniese en organisatoriese maatreëls, om sy verpligtinge na te kom om op data-onderwerpversoeke te reageer (Artikel 12–22 GDPR) en om voldoening aan Artikels 32–36 GDPR (sekuriteit, skendingkennisgewing, DPIA, voorafkonsultasie) te verseker. Standaardbystand is by die Dienste ingesluit; aansienlike werk van meer as een (1) Werksdag per versoek kan gefaktureer word teen ELXAO se destyds huidige professionele tariewe na skriftelike kennisgewing.
Persoonlike data-oortreding
ELXAO stel die Beheerder in kennis sonder onnodige vertraging en in elk geval binne twee-en-sewentig (72) uur nadat hy bewus geword het van 'n persoonlike dataskending wat die Beheerder se data raak. Die kennisgewing sluit in die aard van die oortreding, kategorieë en benaderde volumes wat geraak word, waarskynlike gevolge en die maatreëls wat geneem of voorgestel is om dit aan te spreek.
Oudits
ELXAO stel op redelike versoek en nie meer as een keer per jaar (behalwe na 'n oortreding) die inligting wat nodig is om voldoening aan hierdie DPA te demonstreer, beskikbaar aan die Kontroleur, insluitend ISO 27001 / SOC 2 tipe verslae van subverwerkers wanneer beskikbaar. Oudits op die terrein kan uitgevoer word deur die Kontroleur of 'n wedersyds goedgekeurde derdeparty-ouditeur gebonde aan vertroulikheid, op die Kontroleur se koste, met redelike vooraf kennisgewing en gedurende besigheidsure, op 'n wyse wat nie ELXAO se bedrywighede onredelik ontwrig nie.
Terugkeer of verwydering van data
By beëindiging van die Ooreenkoms, sal ELXAO, na die Kontroleur se keuse uitgedruk binne dertig (30) dae, óf alle persoonlike data in 'n gestruktureerde, algemeen gebruikte en masjienleesbare formaat terugstuur, óf dit uit alle produksie- en bedryfstelsels skrap. Rugsteunkopieë word op die standaardrotasiesiklus (tot negentig (90) dae) uitgevee en mag slegs na daardie tydperk behou word waar dit deur toepaslike wetgewing vereis word, in welke geval hulle onderhewig bly aan die sekuriteit- en vertroulikheidsverpligtinge van hierdie DPA.
Aanspreeklikheid
Die aanspreeklikheidsbepalings van die MSR is van toepassing op eise wat ingevolge hierdie DPA ontstaan. Elke party bly aanspreeklik teenoor datasubjekte en toesighoudende owerhede in ooreenstemming met artikel 82 GDPR.
Kontak
Vir enige databeskermingsvraag, versoek of kennisgewing ingevolge hierdie DPA, kontak ELXAO by [email protected].