Ця Угода про обробку даних (« Угода про обробку даних») є невід’ємною частиною Угоди між ELXAO SASU (« Обробник ») та клієнтом (« Контролер ») та імплементує статтю 28 Регламенту (ЄС) 2016/679 (« GDPR ») та Закон Франції про захист даних (Закон № 78-17 від 6 січня 1978 року з поправками). Вона застосовується щоразу, коли ELXAO обробляє персональні дані від імені Контролера в рамках надання Послуг.
Визначення
Терміни «персональні дані», «обробка», «контролер», «обробник», «субпідрядник з обробки», «суб’єкт даних», «дані спеціальної категорії» та «порушення захисту персональних даних» мають значення, наведені у статті 4 GDPR. Умови Угоди застосовуються до цього DPA, за винятком випадків, коли цей DPA прямо має над ними перевагу.
Предмет, тривалість та характер обробки
| Елемент | Опис |
|---|---|
| Тематика | Надання послуг з маркетингових операцій (вебсайти, SEO, платні медіа, аналітика, CRM/електронна пошта, брендинг, соціальні мережі, локалізація, управління персоналом/заходи) від імені Контролера. |
| Тривалість | Тривалість Угоди, а також періоди зберігання, зазначені нижче. |
| Природа та призначення | Зберігання, організація, аналіз, передача, розміщення та видалення персональних даних, необхідних для надання Послуг. |
| Категорії суб'єктів даних | Кінцеві користувачі, потенційні клієнти, замовники, передплатники, співробітники, постачальники та учасники заходу Контролера. |
| Категорії персональних даних | Ідентифікаційні дані (ім'я, посада), контактні дані (електронна пошта, телефон, поштова адреса), професійні дані (компанія, посада), онлайн-ідентифікатори (IP, файли cookie, ідентифікатори пристроїв), поведінкові дані (кліки, сеанси, конверсії), комерційні дані (замовлення, виставлення рахунків), дані про події (реєстрації, відвідуваність, бейджі, записи). |
| Дані спеціальної категорії | Не обробляється за замовчуванням. Будь-який виняток вимагає письмової інструкції та додаткових запобіжних заходів. |
Ролі та інструкції
Контролер визначає цілі та засоби обробки. ELXAO обробляє персональні дані виключно на підставі документованих інструкцій Контролера, які оформлені Угодою, замовленнями, Угодами про рівень обслуговування (SLA), Політикою конфіденційності Контролера та будь-якими конкретними письмовими інструкціями, надісланими після цього. ELXAO без зайвої затримки повідомить Контролера, якщо вважатиме, що інструкція порушує законодавство про захист даних.
Конфіденційність персоналу
ELXAO гарантує, що кожна особа, уповноважена обробляти персональні дані, зобов'язана зобов'язанням щодо конфіденційності (трудовий договір, договір фрілансера або угода про нерозголошення) та пройшла навчання із захисту персональних даних, що відповідає її посаді.
Заходи безпеки
ELXAO впроваджує відповідні технічні та організаційні заходи (стаття 32 GDPR), зокрема:
- Шифрування TLS 1.2+ під час передачі та шифрування AES-256 у стані спокою для сховищ виробничих даних.
- Контроль доступу на основі ролей з принципом найменших привілеїв; обов'язкова багатофакторна автентифікація для всіх адміністраторів.
- Захищена інфраструктура, розміщена на базі ЄС, з регулярним скануванням на вразливості та оновленням.
- Перевірка коду, управління секретами, безпечний SDLC та розділення середовищ виробництва/програмування.
- Централізоване ведення журналу з захистом цілісності даних; сповіщення про підозрілі події автентифікації та експорту даних.
- Зашифровані, географічно розділені резервні копії з документованими тестами відновлення.
- Процедури адаптації/виведення персоналу з роботи, менеджер паролів, захищені ноутбуки з повним шифруванням диска.
- Плани забезпечення безперервності бізнесу та реагування на інциденти переглядаються принаймні щорічно.
Субобробка
Контролер надає ELXAO загальний дозвіл на залучення субпідрядників з обробки даних для виконання певних видів діяльності з обробки (хостинг, доставка електронної пошти, аналітика, рекламні платформи, інструменти підтримки клієнтів, платформи управління подіями). ELXAO веде актуальний список субпідрядників з обробки даних, доступний за запитом на [email protected] , і надасть попереднє повідомлення про будь-яке заплановане додавання або заміну щонайменше за тридцять (30) днів, протягом яких Контролер може заперечувати з обґрунтованих підстав для захисту даних. ELXAO покладає на кожного субпідрядника з обробки даних зобов'язання щодо захисту даних, не менш захисні, ніж ті, що викладені в цій Угоді про обробку даних.
Міжнародні перекази
Персональні дані обробляються переважно в межах Європейської економічної зони (ЄЕЗ). Якщо обробка передбачає передачу за межі ЄЕЗ до країни без рішення про адекватність, ELXAO покладається на відповідні гарантії згідно зі статтею 46 GDPR, головним чином на Стандартні договірні положення (SCC) Європейської комісії від 4 червня 2021 року, доповнені будь-якими додатковими заходами, що вимагаються оцінкою впливу передачі.
Допомога контролеру
ELXAO допомагає Контролеру, за допомогою відповідних технічних та організаційних заходів, у виконанні його зобов'язань щодо реагування на запити суб'єктів даних (статті 12–22 GDPR) та у забезпеченні дотримання статей 32–36 GDPR (безпека, повідомлення про порушення, DPIA, попередні консультації). Стандартна допомога включена до Послуг; суттєва робота, що перевищує один (1) Робочий день на запит, може бути оплачена за чинними професійними тарифами ELXAO після письмового повідомлення.
Витік персональних даних
ELXAO повідомляє Контролера без зайвої затримки та в будь-якому випадку протягом сімдесяти двох (72) годин після того, як йому стало відомо про порушення захисту персональних даних, що впливає на дані Контролера. Повідомлення містить характер порушення, категорії та приблизні обсяги порушення, ймовірні наслідки та вжиті або запропоновані заходи для його усунення.
Аудити
ELXAO надає Контролеру, на обґрунтований запит та не частіше одного разу на рік (за винятком випадків порушення), інформацію, необхідну для демонстрації дотримання цієї Угоди про обробки даних (DPA), включаючи звіти типу ISO 27001 / SOC 2 від субпідрядників, якщо такі є. Аудит на місці може проводитися Контролером або взаємно схваленим стороннім аудитором, зобов'язаним дотримуватися конфіденційності, за рахунок Контролера, з обґрунтованим попереднім повідомленням та в робочий час, таким чином, щоб не створювати необґрунтованих перешкод для діяльності ELXAO.
Повернення або видалення даних
Після розірвання Угоди, ELXAO, на вибір Контролера, висловлений протягом тридцяти (30) днів, або поверне всі персональні дані у структурованому, загальновживаному та машинозчитуваному форматі, або видалить їх з усіх виробничих та операційних систем. Резервні копії видаляються за стандартним циклом ротації (до дев'яноста (90) днів) і можуть зберігатися довше цього періоду лише у випадках, передбачених чинним законодавством, і в такому разі вони залишаються предметом зобов'язань щодо безпеки та конфіденційності, передбачених цією Угодою про обробки даних.
Відповідальність
Положення про відповідальність Угоди про основну угоду (MSA) застосовуються до претензій, що виникають згідно з цим DPA. Кожна сторона залишається відповідальною перед суб'єктами даних та наглядовими органами відповідно до статті 82 GDPR.
Контакти
З будь-якими питаннями, запитами чи повідомленнями щодо захисту даних згідно з цією Угодою про захист даних звертайтеся до ELXAO за адресою [email protected] .