Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων (η «DPA») αποτελεί αναπόσπαστο μέρος της Σύμβασης μεταξύ της ELXAO SASU (του «Εκτελούντος την Επεξεργασία») και του πελάτη (του «Υπευθύνου Επεξεργασίας») και εφαρμόζει το άρθρο 28 του Κανονισμού (ΕΕ) 2016/679 (του «GDPR») και τον γαλλικό νόμο περί προστασίας δεδομένων (Loi n° 78-17 της 6ης Ιανουαρίου 1978, όπως έχει τροποποιηθεί). Ισχύει κάθε φορά που η ELXAO επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του Υπευθύνου Επεξεργασίας στο πλαίσιο της παροχής των Υπηρεσιών.
Ορισμοί
Οι όροι «δεδομένα προσωπικού χαρακτήρα», «επεξεργασία», «υπεύθυνος επεξεργασίας», «υπεύθυνος επεξεργασίας», «υπό την επεξεργασία», «υποκείμενο δεδομένων», «δεδομένα ειδικής κατηγορίας» και «παραβίαση προσωπικών δεδομένων» έχουν τις έννοιες που δίνονται στο άρθρο 4 του ΓΚΠΔ. Οι όροι της Συμφωνίας ισχύουν για αυτήν την ΑΠΔ, εκτός εάν η παρούσα ΑΠΔ τους υπερισχύει ρητά.
Αντικείμενο, διάρκεια και φύση επεξεργασίας
| Προϊόν | Περιγραφή |
|---|---|
| Περιεχόμενο | Παροχή υπηρεσιών μάρκετινγκ (ιστοσελίδες, SEO, πληρωμένα μέσα, αναλυτικά στοιχεία, CRM/email, επωνυμία, μέσα κοινωνικής δικτύωσης, τοπική προσαρμογή, PM/εκδηλώσεις) για λογαριασμό του υπεύθυνου επεξεργασίας. |
| Διάρκεια | Διάρκεια της δέσμευσης, συν τις περιόδους διατήρησης που ορίζονται παρακάτω. |
| Φύση και σκοπός | Αποθήκευση, οργάνωση, ανάλυση, μεταφορά, φιλοξενία και διαγραφή προσωπικών δεδομένων όπως απαιτείται για την παροχή των Υπηρεσιών. |
| Κατηγορίες υποκειμένων δεδομένων | Τελικοί χρήστες, υποψήφιοι, πελάτες, συνδρομητές, υπάλληλοι, προμηθευτές και συμμετέχοντες στην εκδήλωση του ελεγκτή. |
| Κατηγορίες προσωπικών δεδομένων | Δεδομένα αναγνώρισης (όνομα, τίτλος), δεδομένα επικοινωνίας (email, τηλέφωνο, ταχυδρομική διεύθυνση), επαγγελματικά δεδομένα (εταιρεία, ρόλος), διαδικτυακά αναγνωριστικά (IP, cookie, αναγνωριστικά συσκευών), δεδομένα συμπεριφοράς (κλικ, περίοδοι σύνδεσης, μετατροπές), εμπορικά δεδομένα (παραγγελίες, χρέωση), δεδομένα συμβάντων (εγγραφές, παρουσία, σήματα, ηχογραφήσεις). |
| Στοιχεία ειδικής κατηγορίας | Δεν υποβάλλεται σε επεξεργασία από προεπιλογή. Οποιαδήποτε εξαίρεση απαιτεί γραπτή οδηγία και πρόσθετες διασφαλίσεις. |
Ρόλοι & οδηγίες
Ο υπεύθυνος επεξεργασίας καθορίζει τους σκοπούς και τα μέσα επεξεργασίας. ELXAO επεξεργάζεται προσωπικά δεδομένα αποκλειστικά βάσει των τεκμηριωμένων οδηγιών του Υπεύθυνου Επεξεργασίας, οι οποίες επισημοποιούνται από τη Συμφωνία, τις εντολές, τις SLA, την Πολιτική Απορρήτου του Υπεύθυνου Επεξεργασίας και τυχόν συγκεκριμένες γραπτές οδηγίες που αποστέλλονται στη συνέχεια. ELXAO θα ενημερώσει τον υπεύθυνο επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση εάν θεωρήσει ότι μια οδηγία παραβιάζει τη νομοθεσία περί προστασίας δεδομένων.
Εμπιστευτικότητα του προσωπικού
ELXAO διασφαλίζει ότι κάθε άτομο που είναι εξουσιοδοτημένο να επεξεργάζεται δεδομένα προσωπικού χαρακτήρα δεσμεύεται από εκτελεστή υποχρέωση εμπιστευτικότητας (σύμβαση εργασίας, σύμβαση ελεύθερου επαγγελματία ή NDA) και έχει λάβει εκπαίδευση στην προστασία των προσωπικών δεδομένων κατάλληλη για τον ρόλο του.
Μέτρα ασφαλείας
ELXAO εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα (άρθρο 32 ΓΚΠΔ), συμπεριλαμβανομένων:
- Κρυπτογράφηση TLS 1.2+ κατά τη μεταφορά και κρυπτογράφηση AES-256 σε κατάσταση ηρεμίας για χώρους αποθήκευσης δεδομένων παραγωγής.
- Έλεγχος πρόσβασης βάσει ρόλων με την αρχή του ελάχιστου προνομίου. υποχρεωτικός έλεγχος ταυτότητας πολλαπλών παραγόντων για όλους τους διαχειριστές.
- Σκληρυμένη υποδομή που φιλοξενείται στην ΕΕ με τακτική σάρωση και επιδιόρθωση ευπάθειας.
- Αναθεώρηση κώδικα, διαχείριση μυστικών, ασφαλές SDLC και διαχωρισμός περιβαλλόντων παραγωγής/σκηνοθεσίας.
- Κεντρική, προστατευμένη από την ακεραιότητα καταγραφή. ειδοποίηση για ύποπτα συμβάντα ελέγχου ταυτότητας και εξαγωγής δεδομένων.
- Κρυπτογραφημένα, γεωγραφικά διαχωρισμένα αντίγραφα ασφαλείας με τεκμηριωμένες δοκιμές αποκατάστασης.
- Διαδικασίες επιβίβασης/εκχώρησης προσωπικού, διαχείριση κωδικών πρόσβασης, ασφαλείς φορητοί υπολογιστές με κρυπτογράφηση πλήρους δίσκου.
- Τα σχέδια επιχειρησιακής συνέχειας και αντιμετώπισης συμβάντων επανεξετάζονται τουλάχιστον ετησίως.
Υποεπεξεργασία
Ο υπεύθυνος επεξεργασίας χορηγεί ELXAO μια γενική εξουσιοδότηση για τη συμμετοχή υπό-επεξεργαστών για την εκτέλεση συγκεκριμένων δραστηριοτήτων επεξεργασίας (φιλοξενία, παράδοση email, αναλυτικά στοιχεία, πλατφόρμες διαφημίσεων, εργαλεία υποστήριξης πελατών, πλατφόρμες διαχείρισης συμβάντων). Ο ELXAO διατηρεί μια τρέχουσα λίστα υπό-επεξεργαστών, διαθέσιμη κατόπιν αιτήματος στη διεύθυνση [email protected], και θα ειδοποιεί τουλάχιστον τριάντα (30) ημέρες πριν από οποιαδήποτε σκοπούμενη προσθήκη ή αντικατάσταση, κατά τη διάρκεια της οποίας ο υπεύθυνος επεξεργασίας μπορεί να αντιταχθεί για εύλογους λόγους προστασίας δεδομένων. Το ELXAO επιβάλλει σε κάθε υπό-επεξεργαστή υποχρεώσεις προστασίας δεδομένων όχι λιγότερο προστατευτικές από αυτές που ορίζονται στην παρούσα DPA.
Διεθνείς μεταφορές
Τα προσωπικά δεδομένα υποβάλλονται σε επεξεργασία κυρίως εντός του Ευρωπαϊκού Οικονομικού Χώρου (ΕΟΧ). Όταν η επεξεργασία περιλαμβάνει μεταφορά εκτός του ΕΟΧ σε χώρα χωρίς απόφαση επάρκειας, το ELXAO βασίζεται σε κατάλληλες διασφαλίσεις βάσει του άρθρου 46 GDPR, κυρίως των Τυποποιημένων Συμβατικών Ρήτρων (SCCs) της Ευρωπαϊκής Επιτροπής της 4ης Ιουνίου 2021, συμπληρωμένα με τυχόν πρόσθετα μέτρα που απαιτούνται από την εκτίμηση επιπτώσεων της μεταφοράς.
Βοήθεια στον Ελεγκτή
ELXAO βοηθά τον υπεύθυνο επεξεργασίας, με κατάλληλα τεχνικά και οργανωτικά μέτρα, στην εκπλήρωση των υποχρεώσεών του να ανταποκρίνεται σε αιτήματα που αφορούν τα δεδομένα (άρθρα 12–22 GDPR) και στη διασφάλιση της συμμόρφωσης με τα άρθρα 32–36 GDPR (ασφάλεια, ειδοποίηση παραβίασης, DPIA, προηγούμενη διαβούλευση). Η τυπική βοήθεια περιλαμβάνεται στις Υπηρεσίες. Ουσιαστική εργασία που υπερβαίνει τη μία (1) Εργάσιμη Ημέρα ανά αίτημα μπορεί να χρεωθεί με τις τρέχουσες επαγγελματικές τιμές ELXAO μετά από γραπτή ειδοποίηση.
Παραβίαση προσωπικών δεδομένων
ELXAO ειδοποιεί τον υπεύθυνο επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός εβδομήντα δύο (72) ωρών αφότου έλαβε γνώση παραβίασης προσωπικών δεδομένων που επηρεάζει τα δεδομένα του Υπεύθυνου επεξεργασίας. Η κοινοποίηση περιλαμβάνει τη φύση της παραβίασης, τις κατηγορίες και τους κατά προσέγγιση όγκους που επηρεάζονται, τις πιθανές συνέπειες και τα μέτρα που λαμβάνονται ή προτείνονται για την αντιμετώπισή της.
Έλεγχοι
ELXAO θέτει στη διάθεση του υπεύθυνου επεξεργασίας, κατόπιν εύλογου αιτήματος και όχι περισσότερο από μία φορά το χρόνο (εκτός από παράβαση), τις απαραίτητες πληροφορίες για την απόδειξη της συμμόρφωσης με αυτήν την DPA, συμπεριλαμβανομένων των αναφορών τύπου ISO 27001 / SOC 2 από υπό-επεξεργαστές όταν είναι διαθέσιμες. Οι επιτόπιοι έλεγχοι μπορούν να διενεργούνται από τον υπεύθυνο επεξεργασίας ή από αμοιβαία εγκεκριμένο τρίτο ελεγκτή που δεσμεύεται από εμπιστευτικότητα, με έξοδα του υπεύθυνου επεξεργασίας, με εύλογη προηγούμενη ειδοποίηση και κατά τις εργάσιμες ώρες, με τρόπο που να μην διακόπτει αδικαιολόγητα τις λειτουργίες του ELXAO.
Επιστροφή ή διαγραφή δεδομένων
Μετά τη λήξη της Συμφωνίας, ο ELXAO, κατόπιν επιλογής του υπεύθυνου επεξεργασίας που εκφράζεται εντός τριάντα (30) ημερών, είτε θα επιστρέψει όλα τα προσωπικά δεδομένα σε δομημένη, κοινώς χρησιμοποιούμενη και αναγνώσιμη από μηχανή μορφή, είτε θα τα διαγράψει από όλα τα συστήματα παραγωγής και λειτουργίας. Τα εφεδρικά αντίγραφα διαγράφονται στον τυπικό κύκλο εναλλαγής (έως ενενήντα (90) ημέρες) και μπορούν να διατηρηθούν πέραν αυτής της περιόδου μόνο όπου απαιτείται από την ισχύουσα νομοθεσία, οπότε υπόκεινται στις υποχρεώσεις ασφάλειας και εμπιστευτικότητας της παρούσας ΑΠΔ.
Ευθύνη
Οι διατάξεις περί ευθύνης του MSA ισχύουν για αξιώσεις που προκύπτουν βάσει της παρούσας DPA. Κάθε μέρος παραμένει υπεύθυνο έναντι των υποκειμένων των δεδομένων και των εποπτικών αρχών σύμφωνα με το άρθρο 82 GDPR.
Επικοινωνία
Για οποιαδήποτε ερώτηση, αίτημα ή ειδοποίηση σχετικά με την προστασία δεδομένων βάσει αυτής της DPA, επικοινωνήστε με το ELXAO στο [email protected].