Ši duomenų tvarkymo sutartis („ DTS “) yra neatsiejama ELXAO SASU („Duomenų tvarkytojas “) ir kliento („Duomenų valdytojas “) sutarties dalis ir įgyvendina Reglamento (ES) 2016/679 („ BDAR “) 28 straipsnį ir Prancūzijos duomenų apsaugos įstatymą (1978 m. sausio 6 d. įstatymas Nr. 78-17 su pakeitimais). Ji taikoma visada, kai ELXAO tvarko asmens duomenis Duomenų valdytojo vardu teikdama Paslaugas.
Apibrėžimai
Sąvokos „asmens duomenys“, „tvarkymas“, „duomenų valdytojas“, „duomenų tvarkytojas“, „subtvarkytojas“, „duomenų subjektas“, „specialios kategorijos duomenys“ ir „asmens duomenų saugumo pažeidimas“ turi BDAR 4 straipsnyje nurodytas reikšmes. Šiai DPS taikomos Sutarties sąlygos, išskyrus atvejus, kai ši DPS jas aiškiai pakeičia.
Tvarkymo dalykas, trukmė ir pobūdis
| Prekė | Aprašymas |
|---|---|
| Dalykas | Rinkodaros operacijų paslaugų (svetainių, SEO, mokamos žiniasklaidos, analizės, CRM / el. pašto, prekės ženklo kūrimo, socialinės žiniasklaidos, lokalizacijos, asmeninių pranešimų / renginių) teikimas Duomenų valdytojo vardu. |
| Trukmė | Užduoties trukmė ir toliau nurodyti saugojimo laikotarpiai. |
| Pobūdis ir tikslas | Asmens duomenų saugojimas, tvarkymas, analizė, perdavimas, talpinimas ir ištrynimas, kai to reikia Paslaugoms teikti. |
| Duomenų subjektų kategorijos | Duomenų valdytojo galutiniai vartotojai, potencialūs klientai, prenumeratoriai, darbuotojai, tiekėjai ir renginių dalyviai. |
| Asmens duomenų kategorijos | Identifikavimo duomenys (vardas, pavardė, pareigos), kontaktiniai duomenys (el. pašto adresas, telefono numeris, pašto adresas), profesiniai duomenys (įmonė, pareigos), internetiniai identifikatoriai (IP adresas, slapukai, įrenginių ID), elgesio duomenys (paspaudimai, sesijos, konversijos), komerciniai duomenys (užsakymai, sąskaitų išrašymas), renginių duomenys (registracijos, lankomumas, ženkleliai, įrašai). |
| Specialios kategorijos duomenys | Neapdorojama pagal numatytuosius nustatymus. Bet kokiai išimtiai reikalingas rašytinis nurodymas ir papildomos apsaugos priemonės. |
Vaidmenys ir instrukcijos
Duomenų valdytojas nustato tvarkymo tikslus ir priemones. ELXAO tvarko asmens duomenis tik pagal Duomenų valdytojo dokumentuotus nurodymus, kurie yra įforminti Sutartimi, įsakymais, SLA, Duomenų valdytojo privatumo politika ir bet kokiais vėliau išsiųstais konkrečiais rašytiniais nurodymais. ELXAO nedelsdama informuos Duomenų valdytoją, jei manys, kad nurodymas pažeidžia duomenų apsaugos įstatymus.
Personalo konfidencialumas
ELXAO užtikrina, kad kiekvienas asmuo, įgaliotas tvarkyti asmens duomenis, būtų saistomas vykdytino konfidencialumo įsipareigojimo (darbo sutarties, laisvai samdomo darbuotojo sutarties arba konfidencialumo susitarimo) ir būtų baigęs savo pareigoms tinkamus asmens duomenų apsaugos mokymus.
Saugumo priemonės
ELXAO įgyvendina tinkamas technines ir organizacines priemones (BDAR 32 straipsnis), įskaitant:
- TLS 1.2+ šifravimas perdavimo metu ir AES-256 šifravimas ramybės būsenoje gamybinėse duomenų saugyklose.
- Prieigos kontrolė pagal vaidmenis, taikant mažiausių privilegijų principą; privalomas daugiafaktorinis autentifikavimas visiems administratoriams.
- Patikima, ES talpinama infrastruktūra su reguliariu pažeidžiamumų skenavimu ir pataisymų diegimu.
- Kodo peržiūra, paslapčių valdymas, saugus SDLC ir gamybos / testavimo aplinkų atskyrimas.
- Centralizuotas, vientisumo užtikrinantis registravimas; įspėjimai apie įtartinus autentifikavimo ir duomenų eksportavimo įvykius.
- Užšifruotos, geografiškai atskirtos atsarginės kopijos su dokumentuotais atkūrimo testais.
- Personalo įdarbinimo / atleidimo procedūros, slaptažodžių tvarkyklė, saugūs nešiojamieji kompiuteriai su viso disko šifravimu.
- Verslo tęstinumo ir incidentų reagavimo planai peržiūrimi bent kartą per metus.
Subapdorojimas
Duomenų valdytojas suteikia ELXAO bendrąjį leidimą pasitelkti subtvarkytojus konkrečioms tvarkymo veikloms (talpinimui, el. laiškų pristatymui, analitikai, reklamos platformoms, klientų aptarnavimo įrankiams, renginių valdymo platformoms) atlikti. ELXAO tvarko naujausią subtvarkytojų sąrašą, kurį galima gauti paprašius adresu [email protected] , ir apie bet kokį numatomą papildymą ar pakeitimą praneš bent prieš trisdešimt (30) dienų, per šį laiką Duomenų valdytojas gali nesutikti dėl pagrįstų duomenų apsaugos priežasčių. ELXAO kiekvienam subtvarkytojui taiko duomenų apsaugos įpareigojimus, kurie yra ne mažiau apsaugos lygio nei nustatyti šiame DPA.
Tarptautiniai pervedimai
Asmens duomenys daugiausia tvarkomi Europos ekonominėje erdvėje (EEE). Kai tvarkymas apima duomenų perdavimą už EEE ribų į šalį, kurioje nėra priimtas sprendimas dėl tinkamumo, ELXAO remiasi atitinkamomis apsaugos priemonėmis pagal BDAR 46 straipsnį, pirmiausia Europos Komisijos 2021 m. birželio 4 d. standartinėmis sutarčių sąlygomis (SSS), kurias papildo visos papildomos priemonės, kurių reikalaujama atliekant perdavimo poveikio vertinimą.
Pagalba kontrolieriui
ELXAO, taikydama tinkamas technines ir organizacines priemones, padeda Duomenų valdytojui vykdyti jo įsipareigojimus atsakyti į duomenų subjektų prašymus (BDAR 12–22 straipsniai) ir užtikrinti BDAR 32–36 straipsnių (saugumas, pranešimas apie pažeidimus, poveikio duomenų apsaugai vertinimas, išankstinės konsultacijos) laikymąsi. Standartinė pagalba yra įtraukta į Paslaugas; už didelio masto darbą, viršijantį vieną (1) darbo dieną vienam prašymui, po raštiško pranešimo gali būti taikomi tuo metu galiojantys ELXAO profesiniai įkainiai.
Asmens duomenų pažeidimas
ELXAO nedelsdama ir bet kuriuo atveju per septyniasdešimt dvi (72) valandas nuo sužinojimo apie asmens duomenų saugumo pažeidimą, turintį įtakos Duomenų valdytojo duomenims, praneša Duomenų valdytojui. Pranešime nurodomas pažeidimo pobūdis, kategorijos ir apytiksliai paveikti kiekiai, galimos pasekmės ir priemonės, kurių buvo imtasi arba siūloma jam pašalinti.
Auditai
ELXAO, gavęs pagrįstą prašymą ir ne dažniau kaip kartą per metus (išskyrus atvejus, kai įvyksta pažeidimas), pateikia Duomenų valdytojui informaciją, būtiną atitikčiai šiam DPA įrodyti, įskaitant ISO 27001 / SOC 2 tipo ataskaitas iš subtvarkytojų, jei jos yra. Auditus vietoje gali atlikti Duomenų valdytojas arba abipusiai patvirtintas trečiosios šalies auditorius, kuriam taikomi konfidencialumo reikalavimai, Duomenų valdytojo sąskaita, apie tai pranešęs iš anksto ir darbo valandomis taip, kad tai nepagrįstai netrukdytų ELXAO veiklai.
Duomenų grąžinimas arba ištrynimas
Nutraukus Sutartį, ELXAO, Duomenų valdytojo pasirinkimu, išreikštu per trisdešimt (30) dienų, arba grąžins visus asmens duomenis struktūrizuotu, įprastai naudojamu ir kompiuterio skaitomu formatu, arba ištrins juos iš visų gamybos ir operacinių sistemų. Atsarginės kopijos ištrinamos standartiniu rotacijos ciklu (iki devyniasdešimties (90) dienų) ir gali būti saugomos ilgiau nei šis laikotarpis tik tuo atveju, jei to reikalauja galiojantys įstatymai, tokiu atveju joms ir toliau taikomi šios DPA saugumo ir konfidencialumo įsipareigojimai.
Atsakomybė
Pagal šią Duomenų apdorojimo sutartį (DPA) kylantiems ieškiniams taikomos MSA atsakomybės nuostatos. Kiekviena šalis išlieka atsakinga duomenų subjektams ir priežiūros institucijoms pagal BDAR 82 straipsnį.
Kontaktas
Jei turite klausimų, prašymų ar pranešimų apie duomenų apsaugą pagal šią DPA, susisiekite su ELXAO el. paštu [email protected] .