Käesolev andmetöötlusleping (“DPA”) moodustab lahutamatu osa lepingust ettevõtte ELXAO SASU (“Volitatud töötleja”) ja kliendi (“Vastutav töötleja”) vahel ning rakendab määruse (EL) 2016/679 (“GDPR”) artiklit 28 ja Prantsuse andmekaitseseadust (6. jaanuari 1978. aasta seadus nr 78-17, muudetud kujul). See kehtib alati, kui ELXAO töötleb teenuste osutamise käigus isikuandmeid vastutava töötleja nimel.
Definitsioonid
Mõisted "isikuandmed", "töötlemine", "vastutav töötleja", "töötleja", "alltöötleja", "andmesubjekt", "erikategooria andmed" ja "isikuandmetega seotud rikkumine" omavad GDPR-i artiklis 4 toodud tähendusi. Lepingu tingimused kehtivad selle andmekaitselepingu suhtes, välja arvatud juhul, kui käesolev DPA neid sõnaselgelt tühistab.
Töötlemise teema, kestus ja laad
| Toode | Kirjeldus |
|---|---|
| Teema | Turundustoimingute teenuste (veebisaidid, SEO, tasuline meedia, analüüs, CRM/e-post, bränding, sotsiaalmeedia, lokaliseerimine, PM/sündmused) pakkumine vastutava töötleja nimel. |
| Kestus | Töövõtu kestus pluss allpool sätestatud säilitusperioodid. |
| Loodus ja eesmärk | Isikuandmete säilitamine, korraldamine, analüüs, edastamine, majutamine ja kustutamine vastavalt teenuste osutamiseks. |
| Andmesubjektide kategooriad | Kontrolleri lõppkasutajad, potentsiaalsed kliendid, kliendid, tellijad, töötajad, tarnijad ja sündmustel osalejad. |
| Isikuandmete kategooriad | Identifitseerimisandmed (nimi, ametinimetus), kontaktandmed (e-post, telefon, postiaadress), ametialased andmed (ettevõte, roll), võrguidentifikaatorid (IP, küpsised, seadme ID-d), käitumisandmed (klikid, seansid, konversioonid), äriandmed (tellimused, arveldamine), sündmuste andmed (registreerumised, kohalviibimine, märgid, salvestised). |
| Erikategooria andmed | Not processed by default. Iga erand nõuab kirjalikku juhist ja täiendavaid kaitsemeetmeid. |
Rollid ja juhised
Vastutav töötleja määrab töötlemise eesmärgid ja vahendid. ELXAO töötleb isikuandmeid ainult vastutava töötleja dokumenteeritud juhiste alusel, mis on vormistatud Lepingu, tellimuste, SLA-de, vastutava töötleja privaatsuspoliitika ja mis tahes pärast seda saadetud konkreetsete kirjalike juhistega. ELXAO teavitab vastutavat töötlejat põhjendamatu viivituseta, kui ta kaalub juhist andmekaitseseadust rikkuda.
Personali konfidentsiaalsus
ELXAO tagab, et iga isik, kellel on õigus töödelda isikuandmeid, on seotud täitmisele pööratava konfidentsiaalsuskohustusega (tööleping, vabakutseline leping või NDA) ja on läbinud oma rollile vastava isikuandmete kaitse alase koolituse.
Turvameetmed
ELXAO rakendab asjakohaseid tehnilisi ja organisatsioonilisi meetmeid (GDPR artikkel 32), sealhulgas:
- TLS 1.2+ krüpteerimine edastamisel ja AES-256 krüpteerimine tootmisandmete salvestamiseks.
- Rollipõhine juurdepääsukontroll vähimate privileegide põhimõttel; kohustuslik mitmefaktoriline autentimine kõigile administraatoritele.
- Tugevdatud, ELi hostitud infrastruktuur koos regulaarse haavatavuse skannimise ja paikamisega.
- Koodi ülevaatus, saladuste haldamine, turvaline SDLC ja tootmis-/lavastuskeskkondade eraldamine.
- Tsentraliseeritud terviklikkus kaitstud metsaraie; hoiatus kahtlaste autentimise ja andmete ekspordi sündmuste kohta.
- Krüptitud, geograafiliselt eraldatud varukoopiad koos dokumenteeritud taastamistestidega.
- Personali sisse-/väljalülitamise protseduurid, paroolihaldur, turvalised sülearvutid täisketta krüptimisega.
- Talitluspidevuse ja intsidentidele reageerimise plaanid vaadatakse üle vähemalt kord aastas.
Alamtöötlus
Vastutav töötleja annab ELXAO üldise volituse kaasata alamtöötlejaid konkreetsete töötlemistoimingute tegemiseks (hostimine, meilide edastamine, analüüs, reklaamiplatvormid, klienditoe tööriistad, sündmuste haldamise platvormid). ELXAO haldab alamtöötlejate praegust loendit, mis on saadaval nõudmisel aadressil [email protected], ja teatab vähemalt kolmkümmend (30) päeva ette igast kavandatavast lisamisest või asendamisest, mille jooksul vastutav töötleja võib põhjendatud andmekaitsega seotud põhjustel vastuväiteid esitada. ELXAO kehtestab igale alamtöötlejale andmekaitsekohustused, mis ei ole vähem kaitsvad kui käesolevas andmekaitselepingus sätestatud.
Rahvusvahelised ülekanded
Isikuandmeid töödeldakse peamiselt Euroopa Majanduspiirkonna (EMP) piires. Kui töötlemine hõlmab edastamist väljapoole EMP-d riiki ilma piisavuse otsuseta, tugineb ELXAO GDPR artikli 46 kohastele asjakohastele kaitsemeetmetele, peamiselt Euroopa Komisjoni 4. juuni 2021. aasta lepingu tüüptingimustele (SCC), mida täiendavad ülekande mõjuhinnangus nõutavad lisameetmed.
Abi kontrollerile
ELXAO abistab vastutavat töötlejat asjakohaste tehniliste ja korralduslike meetmetega tema kohustuste täitmisel andmesubjekti taotlustele vastamisel (GDPR artiklid 12–22) ja GDPR artiklite 32–36 järgimise tagamisel (turvalisus, rikkumisest teatamine, DPIA, eelnev konsulteerimine). Tavaline abi on teenustes; pärast kirjalikku teatamist võidakse nõuda ühe (1) tööpäevast pikema töö eest arve ELXAO tolleaegsete professionaalsete tariifide alusel.
Isikuandmetega seotud rikkumine
ELXAO teavitab vastutavat töötlejat põhjendamatu viivituseta ja igal juhul seitsmekümne kahe (72) tunni jooksul pärast vastutava töötleja andmeid mõjutavast isikuandmetega seotud rikkumisest teadasaamist. Teatis sisaldab rikkumise olemust, mõjutatud kategooriaid ja ligikaudseid mahtusid, tõenäolisi tagajärgi ning selle kõrvaldamiseks võetud või kavandatud meetmeid.
Auditid
ELXAO teeb vastutavale töötlejale mõistliku taotluse korral ja mitte rohkem kui kord aastas (välja arvatud pärast rikkumist) kättesaadavaks teabe, mis on vajalik, et tõendada vastavust käesolevale DPA-le, sealhulgas ISO 27001 / SOC 2 tüüpi aruanded alltöötlejatelt, kui need on saadaval. Kohapealseid auditeid võib läbi viia vastutav töötleja või vastastikku heakskiidetud kolmandast isikust audiitor, kes on kohustatud järgima konfidentsiaalsust, vastutava töötleja kulul, mõistliku etteteatamisega ja tööajal viisil, mis ei häiri ELXAO tegevust põhjendamatult.
Andmete tagastamine või kustutamine
Lepingu lõpetamisel tagastab ELXAO kolmekümne (30) päeva jooksul vastutava töötleja valikul kõik isikuandmed struktureeritud, üldkasutatavas ja masinloetavas vormingus või kustutab need kõigist tootmis- ja töösüsteemidest. Varukoopiad kustutatakse standardse rotatsioonitsükli jooksul (kuni üheksakümmend (90) päeva) ja neid võib pärast seda perioodi säilitada ainult siis, kui seda nõuavad kohaldatavad seadused. Sel juhul kehtivad nende suhtes käesoleva andmekaitselepingu turva- ja konfidentsiaalsuskohustused.
Vastutus
MSA vastutussätted kehtivad käesolevast DPA-st tulenevatele nõuetele. Kumbki pool vastutab andmesubjektide ja järelevalveasutuste ees vastavalt GDPR-i artiklile 82.
Kontakt
Mis tahes andmekaitsealaste küsimuste, taotluste või teatiste korral käesoleva DPA alusel võtke ühendust ELXAO aadressil [email protected].