Prezentul Acord privind prelucrarea datelor (denumit în continuare „DPA”) face parte integrantă din Acordul dintre ELXAO SASU (denumit în continuare „Prelucrător”) și clientul (denumit în continuare „Operatorul”) și pune în aplicare articolul 28 din Regulamentul (UE) 2016/679 (denumit în continuare „RGPD”) și a Legii franceze privind protecția datelor (Legea nr. 78-17 din 6 ianuarie 1978, cu modificările ulterioare). Acesta se aplică ori de câte ori ELXAO prelucrează date cu caracter personal în numele operatorului în cadrul prestării serviciilor.
Definiții
Termenii „date cu caracter personal”, „prelucrare”, „operator”, „persoană împuternicită de operator”, „sub-operator”, „persoană vizată”, „date din categorii speciale” și „încălcare a securității datelor cu caracter personal” au semnificațiile prevăzute la articolul 4 din RGPD. Dispozițiile Acordului se aplică prezentului DPA, cu excepția cazurilor în care prezentul DPA le prevalează în mod expres.
Obiectul, durata și natura prelucrării
| Element | Descriere |
|---|---|
| Subiectul | Furnizarea de servicii de operațiuni de marketing (site-uri web, SEO, publicitate plătită, analize, CRM/e-mail, branding, rețele sociale, localizare, management de proiect/evenimente) în numele operatorului de date. |
| Durata | Durata contractului, la care se adaugă perioadele de păstrare prevăzute mai jos. |
| Natura și scopul | Stocarea, organizarea, analiza, transferul, găzduirea și ștergerea datelor cu caracter personal, în măsura necesară pentru furnizarea Serviciilor. |
| Categorii de persoane vizate | Utilizatorii finali, potențialii clienți, clienții, abonații, angajații, furnizorii și participanții la evenimente ai operatorului. |
| Categorii de date cu caracter personal | Date de identificare (nume, titlu), date de contact (e-mail, număr de telefon, adresă poștală), date profesionale (companie, funcție), identificatori online (IP, cookie-uri, ID-uri de dispozitiv), date comportamentale (clicuri, sesiuni, conversii), date comerciale (comenzi, facturare), date privind evenimentele (înregistrări, prezență, ecusoane, înregistrări). |
| Date din categorii speciale | Nu se procesează în mod implicit. Orice excepție necesită o instrucțiune scrisă și măsuri de siguranță suplimentare. |
Roluri și instrucțiuni
Operatorul stabilește scopurile și mijloacele prelucrării. ELXAO prelucrează datele cu caracter personal exclusiv în conformitate cu instrucțiunile documentate ale Operatorului, care sunt formalizate prin Acord, ordine, SLA-uri, Politica de confidențialitate a Operatorului și orice instrucțiuni scrise specifice transmise ulterior. ELXAO va informa operatorul fără întârziere dacă consideră că o instrucțiune încalcă legislația privind protecția datelor.
Confidențialitatea datelor privind personalul
ELXAO garantează că fiecare persoană autorizată să prelucreze date cu caracter personal este supusă unei obligații de confidențialitate executorii (contract de muncă, contract de colaborare sau acord de confidențialitate) și a beneficiat de o formare în domeniul protecției datelor cu caracter personal, adecvată funcției pe care o îndeplinește.
Măsuri de securitate
ELXAO pune în aplicare măsuri tehnice și organizatorice adecvate (articolul 32 din RGPD), printre care:
- Criptare TLS 1.2+ în timpul transmiterii și criptare AES-256 în stocare pentru bazele de date din mediul de producție.
- Controlul accesului bazat pe roluri, conform principiului privilegiului minim; autentificare multifactorială obligatorie pentru toți administratorii.
- Infrastructură securizată, găzduită de UE, cu scanări periodice pentru detectarea vulnerabilităților și aplicarea de patch-uri.
- Revizuirea codului, gestionarea informațiilor confidențiale, ciclul de viață al dezvoltării software-ului (SDLC) securizat și separarea mediilor de producție și de testare.
- Jurnalizare centralizată, cu integritate protejată; generarea de alerte în cazul unor evenimente suspecte legate de autentificare și exportul de date.
- Copii de rezervă criptate, stocate în locații geografice separate, însoțite de teste de restaurare documentate.
- Proceduri de integrare și plecare a personalului, manager de parole, laptopuri securizate cu criptare completă a discului.
- Planurile de continuitate a activității și de intervenție în caz de incidente sunt revizuite cel puțin o dată pe an.
Subcontractarea prelucrării
Operatorul acordă ELXAO o autorizație generală de a angaja sub-procesatori pentru desfășurarea unor activități specifice de prelucrare (găzduire web, trimiterea de e-mailuri, analize, platforme publicitare, instrumente de asistență pentru clienți, platforme de gestionare a evenimentelor). ELXAO menține o listă actualizată a sub-procesatorilor, disponibilă la cerere la adresa [email protected], și va notifica cu cel puțin treizeci (30) de zile în avans orice intenție de adăugare sau înlocuire, perioadă în care operatorul poate formula obiecții pe motive rezonabile legate de protecția datelor. ELXAO impune fiecărui sub-procesator obligații de protecție a datelor care să asigure un nivel de protecție cel puțin egal cu cel prevăzut în prezentul DPA.
Transferuri internaționale
Datele cu caracter personal sunt prelucrate în principal în cadrul Spațiului Economic European (SEE). În cazul în care prelucrarea implică un transfer în afara SEE către o țară pentru care nu există o decizie de adecvare, ELXAO se bazează pe garanțiile adecvate prevăzute la articolul 46 din RGPD, în principal pe clauzele contractuale standard (SCC) ale Comisiei Europene din 4 iunie 2021, completate cu orice măsuri suplimentare impuse de evaluarea impactului transferului.
Asistență acordată operatorului de date
ELXAO asistă operatorul, prin măsuri tehnice și organizatorice adecvate, în îndeplinirea obligațiilor sale de a răspunde la solicitările persoanelor vizate (articolele 12–22 din RGPD) și în asigurarea respectării articolelor 32–36 din RGPD (securitate, notificarea încălcărilor, evaluarea de impact privind protecția datelor, consultarea prealabilă). Asistența standard este inclusă în Servicii; activitatea substanțială care depășește o (1) zi lucrătoare per cerere poate fi facturată la tarifele profesionale ale ELXAO în vigoare la momentul respectiv, după o notificare scrisă.
Încălcarea securității datelor cu caracter personal
ELXAO notifică operatorul fără întârziere și, în orice caz, în termen de șaptezeci și două (72) de ore de la constatarea unei încălcări a securității datelor cu caracter personal care afectează datele operatorului. Notificarea include natura încălcării, categoriile și volumele aproximative afectate, consecințele probabile și măsurile luate sau propuse pentru remedierea acesteia.
Audituri
ELXAO pune la dispoziția Operatorului, la cerere rezonabilă și cel mult o dată pe an (cu excepția cazului în care are loc o încălcare), informațiile necesare pentru a demonstra respectarea prezentului Acord privind prelucrarea datelor (DPA), inclusiv rapoarte de tip ISO 27001 / SOC 2 din partea sub-procesatorilor, atunci când acestea sunt disponibile. Auditurile la fața locului pot fi efectuate de către Operator sau de către un auditor terț aprobat de comun acord, care are obligația de confidențialitate, pe cheltuiala Operatorului, cu un preaviz rezonabil și în timpul programului de lucru, într-un mod care să nu perturbe în mod nejustificat activitățile ELXAO.
Returnarea sau ștergerea datelor
La încetarea Acordului, ELXAO va proceda, la alegerea Operatorului exprimată în termen de treizeci (30) de zile, fie la returnarea tuturor datelor cu caracter personal într-un format structurat, utilizat în mod curent și care poate fi citit automat, fie la ștergerea acestora din toate sistemele de producție și operaționale. Copiile de rezervă sunt șterse conform ciclului standard de rotație (de până la nouăzeci (90) de zile) și pot fi păstrate după această perioadă numai în cazul în care acest lucru este impus de legislația aplicabilă, situație în care ele rămân supuse obligațiilor de securitate și confidențialitate prevăzute în prezentul Acord privind prelucrarea datelor.
Răspundere
Dispozițiile privind răspunderea din MSA se aplică pretențiilor care decurg din prezentul DPA. Fiecare parte rămâne răspunzătoare față de persoanele vizate și autoritățile de supraveghere, în conformitate cu articolul 82 din RGPD.
Contact
Pentru orice întrebare, solicitare sau notificare privind protecția datelor în temeiul prezentului acord privind prelucrarea datelor (DPA), contactați ELXAO la adresa [email protected].