Niniejsza Umowa o przetwarzaniu danych („DPA”) stanowi integralną część Umowy pomiędzy ELXAO SASU („Przetwarzający”) a klientem („Administrator”) i wdraża art. 28 Rozporządzenia (UE) 2016/679 („RODO”) oraz francuska ustawa o ochronie danych (Loi nr 78-17 z dnia 6 stycznia 1978 r. z późniejszymi zmianami). Ma ona zastosowanie zawsze, gdy ELXAO przetwarza dane osobowe na zlecenie Administratora w ramach świadczenia Usług.
Definicje
Pojęcia „dane osobowe”, „przetwarzanie”, „administrator”, „procesor”, „podprzetwarzający”, „osoba, której dane dotyczą”, „dane szczególnej kategorii” oraz „naruszenie danych osobowych” mają znaczenie nadane im w art. 4 RODO. Warunki Umowy mają zastosowanie do niniejszej Umowy DPA, chyba że niniejsza Umowa wyraźnie je zastępuje.
Przedmiot, czas trwania i charakter przetwarzania
| Produkt | Opis |
|---|---|
| Tematyka | Świadczenie usług operacji marketingowych (strony internetowe, SEO, media płatne, analityka, CRM/e-mail, branding, media społecznościowe, lokalizacja, PM/wydarzenia) w imieniu Administratora. |
| Czas trwania | Czas trwania Zlecenia plus okresy przechowywania określone poniżej. |
| Natura i cel | Przechowywanie, organizacja, analiza, przekazywanie, hosting i usuwanie danych osobowych wymagane do świadczenia Usług. |
| Kategorie osób, których dane dotyczą | Użytkownicy końcowi, potencjalni, potencjalni, klienci, subskrybenci, pracownicy, dostawcy i uczestnicy wydarzeń administratora. |
| Kategorie danych osobowych | Dane identyfikacyjne (imię i nazwisko, tytuł), dane kontaktowe (e-mail, telefon, adres pocztowy), dane zawodowe (firma, rola), identyfikatory internetowe (IP, pliki cookie, identyfikatory urządzeń), dane behawioralne (kliknięcia, sesje, konwersje), dane handlowe (zamówienia, rozliczenia), dane zdarzeń (rejestracje, frekwencja, plakietki, nagrania). |
| Dane kategorii specjalnej | Domyślnie nie przetwarzane. Każdy wyjątek wymaga pisemnej instrukcji i dodatkowych zabezpieczeń. |
Role i instrukcje
Administrator określa cele i sposoby przetwarzania. ELXAO przetwarza dane osobowe wyłącznie na podstawie udokumentowanych poleceń Administratora, które są sformalizowane w Umowie, zamówieniach, SLA, Polityce Prywatności Administratora oraz wszelkich szczegółowych instrukcjach pisemnych przesyłanych później. ELXAO poinformuje Administratora bez zbędnej zwłoki, jeżeli uzna, że otrzyma pouczenie o naruszeniu przepisów o ochronie danych.
Poufność personelu
ELXAO zapewnia, że każda osoba upoważniona do przetwarzania danych osobowych jest związana możliwym do wyegzekwowania obowiązkiem zachowania poufności (umowa o pracę, umowa zlecenie lub NDA) oraz przeszła szkolenie w zakresie ochrony danych osobowych odpowiednie do jej roli.
Środki bezpieczeństwa
ELXAO wdraża odpowiednie środki techniczne i organizacyjne (art. 32 RODO), w tym:
- Szyfrowanie TLS 1.2+ podczas przesyłania i szyfrowanie AES-256 w stanie spoczynku dla produkcyjnych magazynów danych.
- Kontrola dostępu oparta na rolach z zasadą najmniejszych uprawnień; obowiązkowe uwierzytelnianie wieloskładnikowe dla wszystkich administratorów.
- Wzmocniona infrastruktura hostowana w UE z regularnym skanowaniem pod kątem luk i łataniem.
- Przegląd kodu, zarządzanie sekretami, bezpieczne SDLC i separacja środowisk produkcyjnych/pomostowych.
- Scentralizowane rejestrowanie chronione pod kątem integralności; powiadamianie o podejrzanych zdarzeniach związanych z uwierzytelnianiem i eksportem danych.
- Szyfrowane, rozdzielone geograficznie kopie zapasowe z udokumentowanymi testami przywracania.
- Procedury dołączania/wyłączania personelu, menedżer haseł, bezpieczne laptopy z szyfrowaniem całego dysku.
- Plany ciągłości działania i reagowania na incydenty podlegają przeglądowi co najmniej raz w roku.
Podprzetwarzanie
Administrator udziela ELXAO ogólnego upoważnienia do angażowania podwykonawców przetwarzania do wykonywania określonych czynności przetwarzania (hosting, dostarczanie poczty elektronicznej, analityka, platformy reklamowe, narzędzia obsługi klienta, platformy do zarządzania wydarzeniami). ELXAO prowadzi aktualną listę podwykonawców przetwarzania, dostępną na żądanie pod adresem [email protected] i powiadamia z co najmniej trzydziestodniowym (30) wyprzedzeniem o wszelkich planowanych dodaniach lub zamianach, podczas których Administrator może wyrazić sprzeciw z uzasadnionych powodów związanych z ochroną danych. ELXAO nakłada na każdego podwykonawcę przetwarzania obowiązki w zakresie ochrony danych nie mniej ochronne niż te określone w niniejszym dokumencie DPA.
Transfery międzynarodowe
Dane osobowe przetwarzane są przede wszystkim na terenie Europejskiego Obszaru Gospodarczego (EOG). Jeżeli przetwarzanie wiąże się z przekazaniem poza EOG do kraju bez decyzji stwierdzającej odpowiedni stopień ochrony, ELXAO opiera się na odpowiednich zabezpieczeniach zgodnie z art. 46 RODO, głównie na standardowych klauzulach umownych Komisji Europejskiej z dnia 4 czerwca 2021 r., uzupełnionych wszelkimi dodatkowymi środkami wymaganymi na podstawie oceny skutków przeniesienia.
Pomoc dla Kontrolera
ELXAO pomaga Administratorowi, za pomocą odpowiednich środków technicznych i organizacyjnych, w wypełnianiu jego obowiązków w zakresie odpowiadania na żądania osób, których dane dotyczą (art. 12–22 RODO) oraz w zapewnieniu zgodności z art. 32–36 RODO (bezpieczeństwo, powiadomienie o naruszeniu, DPIA, wcześniejsze konsultacje). Standardowa pomoc jest objęta Usługami; znaczna praca trwająca dłużej niż jeden (1) dzień roboczy na żądanie może zostać obciążona opłatą według aktualnych stawek zawodowych ELXAO po pisemnym powiadomieniu.
Naruszenie danych osobowych
ELXAO powiadamia Administratora bez zbędnej zwłoki, a w każdym razie w terminie siedemdziesięciu dwóch (72) godzin od powzięcia wiadomości o naruszeniu ochrony danych osobowych mającym wpływ na dane Administratora. Powiadomienie zawiera charakter naruszenia, kategorie i przybliżoną liczbę naruszeń, prawdopodobne konsekwencje oraz środki podjęte lub proponowane w celu zaradzenia temu naruszeniu.
Audyty
ELXAO udostępnia Administratorowi, na uzasadnioną prośbę i nie częściej niż raz w roku (z wyjątkiem przypadku naruszenia), informacje niezbędne do wykazania zgodności z niniejszą Umową o ochronie danych, w tym raporty typu ISO 27001 / SOC 2 od podwykonawców przetwarzania, jeśli są dostępne. Audyty na miejscu mogą być przeprowadzane przez Administratora lub wzajemnie zatwierdzonego audytora zewnętrznego, zobowiązanego do zachowania poufności, na koszt Administratora, z odpowiednim wyprzedzeniem i w godzinach pracy, w sposób niezakłócający w nieuzasadniony sposób działalności ELXAO.
Zwrot lub usunięcie danych
Po rozwiązaniu Umowy ELXAO, według wyboru Administratora wyrażonego w terminie trzydziestu (30) dni, albo zwróci wszystkie dane osobowe w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego, albo usunie je ze wszystkich systemów produkcyjnych i operacyjnych. Kopie zapasowe są usuwane w standardowym cyklu rotacyjnym (do dziewięćdziesięciu (90) dni) i mogą być przechowywane dłużej niż ten okres tylko wtedy, gdy jest to wymagane przez obowiązujące prawo, w którym to przypadku podlegają wymogom dotyczącym bezpieczeństwa i poufności określonym w niniejszej Umowie Ochrony Danych.
Odpowiedzialność
Do roszczeń wynikających z niniejszej Umowy o ochronie danych mają zastosowanie postanowienia umowy MSA dotyczące odpowiedzialności. Każda ze stron pozostaje odpowiedzialna wobec osób, których dane dotyczą, i organów nadzorczych zgodnie z art. 82 RODO.
Kontakt
W przypadku jakichkolwiek pytań, wniosków lub powiadomień dotyczących ochrony danych na mocy niniejszej Umowy o ochronie danych należy skontaktować się z numerem ELXAO pod adresem [email protected].