Thỏa thuận xử lý dữ liệu

Thỏa thuận xử lý dữ liệu này ("DPA") là một phần không thể thiếu của Thỏa thuận giữa ELXAO SASU ("Processor") và khách hàng ("Controller") và thực hiện Điều 28 của Quy định (EU) 2016/679 (“GDPR”) và Đạo luật bảo vệ dữ liệu của Pháp (Loi n° 78-17 ngày 6 tháng 1 năm 1978 đã được sửa đổi). Nó áp dụng bất cứ khi nào ELXAO xử lý dữ liệu cá nhân thay mặt cho Bên kiểm soát trong quá trình cung cấp Dịch vụ.

Định nghĩa

Các thuật ngữ “dữ liệu cá nhân”, “xử lý”, “người kiểm soát”, “người xử lý”, “người xử lý phụ”, “chủ thể dữ liệu”, “dữ liệu danh mục đặc biệt” và “vi phạm dữ liệu cá nhân” có ý nghĩa được nêu trong Điều 4 của GDPR. Các điều khoản của Thỏa thuận áp dụng cho DPA này trừ khi DPA này ghi đè rõ ràng các điều khoản đó.

Chủ đề, thời gian và tính chất của quá trình xử lý

Vai trò và hướng dẫn

Bộ điều khiển xác định mục đích và phương tiện xử lý. ELXAO chỉ xử lý dữ liệu cá nhân theo hướng dẫn bằng văn bản của Bên kiểm soát, được chính thức hóa theo Thỏa thuận, lệnh, SLA, Chính sách quyền riêng tư của Bên kiểm soát và mọi hướng dẫn bằng văn bản cụ thể được gửi sau đó. ELXAO sẽ thông báo ngay cho Đơn vị kiểm soát nếu thấy có chỉ thị vi phạm luật bảo vệ dữ liệu.

Bảo mật nhân sự

ELXAO đảm bảo rằng mọi cá nhân được ủy quyền xử lý dữ liệu cá nhân đều bị ràng buộc bởi nghĩa vụ bảo mật có thể thực thi (hợp đồng lao động, hợp đồng tự do hoặc NDA) và đã được đào tạo về bảo vệ dữ liệu cá nhân phù hợp với vai trò của họ.

Các biện pháp an ninh

ELXAO thực hiện các biện pháp kỹ thuật và tổ chức phù hợp (Điều 32 GDPR), bao gồm:

• Mã hóa TLS 1.2+ khi truyền và mã hóa AES-256 ở trạng thái lưu trữ cho các kho lưu trữ dữ liệu sản xuất.
• Kiểm soát truy cập dựa trên vai trò với nguyên tắc đặc quyền tối thiểu; xác thực đa yếu tố bắt buộc đối với tất cả quản trị viên.
• Cơ sở hạ tầng được củng cố, được lưu trữ tại EU với tính năng quét và vá lỗ hổng bảo mật thường xuyên.
• Đánh giá mã, quản lý bí mật, SDLC an toàn và tách biệt môi trường sản xuất/dàn dựng.
• Ghi nhật ký tập trung, được bảo vệ toàn vẹn; cảnh báo về các sự kiện xác thực và xuất dữ liệu đáng ngờ.
• Các bản sao lưu được mã hóa, tách biệt về mặt địa lý với các thử nghiệm khôi phục được ghi lại.
• Quy trình đưa nhân viên vào/ra, quản lý mật khẩu, bảo mật máy tính xách tay bằng mã hóa toàn bộ đĩa.
• Các kế hoạch kinh doanh liên tục và ứng phó với sự cố được xem xét ít nhất hàng năm.

Xử lý phụ

Bên kiểm soát cấp ELXAO quyền chung để thu hút các bộ xử lý phụ thực hiện các hoạt động xử lý cụ thể (lưu trữ, gửi email, phân tích, nền tảng quảng cáo, công cụ hỗ trợ khách hàng, nền tảng quản lý sự kiện). ELXAO duy trì danh sách người xử lý phụ hiện tại, có sẵn theo yêu cầu tại [email protected] và sẽ đưa ra thông báo trước ít nhất ba mươi (30) ngày về bất kỳ sự bổ sung hoặc thay thế dự kiến nào, trong thời gian đó Người kiểm soát có thể phản đối trên cơ sở bảo vệ dữ liệu hợp lý. ELXAO áp đặt cho mỗi nghĩa vụ bảo vệ dữ liệu của mỗi bộ xử lý phụ không kém mức bảo vệ so với những nghĩa vụ được quy định trong DPA này.

Chuyển khoản quốc tế

Dữ liệu cá nhân được xử lý chủ yếu trong Khu vực Kinh tế Châu Âu (EEA). Trong trường hợp quá trình xử lý liên quan đến việc chuyển giao bên ngoài EEA đến một quốc gia mà không có quyết định thỏa đáng, ELXAO sẽ dựa vào các biện pháp bảo vệ thích hợp theo Điều 46 GDPR, chủ yếu là các Điều khoản hợp đồng tiêu chuẩn (SCC) của Ủy ban Châu Âu ngày 4 tháng 6 năm 2021, được bổ sung bởi mọi biện pháp bổ sung theo yêu cầu của đánh giá tác động chuyển giao.

Hỗ trợ cho Bộ điều khiển

ELXAO hỗ trợ Bên kiểm soát, bằng các biện pháp kỹ thuật và tổ chức phù hợp, trong việc thực hiện nghĩa vụ của mình nhằm đáp ứng các yêu cầu của chủ thể dữ liệu (Điều 12–22 GDPR) và đảm bảo tuân thủ Điều 32–36 GDPR (bảo mật, thông báo vi phạm, PPIA, tham vấn trước). Hỗ trợ tiêu chuẩn được bao gồm trong Dịch vụ; công việc đáng kể vượt quá một (1) Ngày làm việc cho mỗi yêu cầu có thể được tính phí theo mức lương chuyên nghiệp hiện hành của ELXAO sau khi có thông báo bằng văn bản.

Vi phạm dữ liệu cá nhân

ELXAO thông báo cho Bên kiểm soát mà không chậm trễ quá mức và trong mọi trường hợp trong vòng bảy mươi hai (72) giờ sau khi biết được hành vi vi phạm dữ liệu cá nhân ảnh hưởng đến dữ liệu của Bên kiểm soát. Thông báo bao gồm tính chất của vi phạm, danh mục và khối lượng ước tính bị ảnh hưởng, các hậu quả có thể xảy ra và các biện pháp được thực hiện hoặc đề xuất để giải quyết.

Kiểm toán

ELXAO cung cấp cho Bên kiểm soát, theo yêu cầu hợp lý và không quá một lần mỗi năm (trừ trường hợp vi phạm), thông tin cần thiết để chứng minh sự tuân thủ DPA này, bao gồm các báo cáo loại ISO 27001 / SOC 2 từ các đơn vị xử lý phụ nếu có. Kiểm tra tại chỗ có thể được thực hiện bởi Kiểm soát viên hoặc kiểm toán viên bên thứ ba được hai bên phê duyệt, có ràng buộc về tính bảo mật, do Kiểm soát viên chịu chi phí, có thông báo trước hợp lý và trong giờ làm việc, theo cách không làm gián đoạn hoạt động của ELXAO một cách bất hợp lý.

Trả lại hoặc xóa dữ liệu

Sau khi chấm dứt Thỏa thuận, ELXAO, theo lựa chọn của Bên kiểm soát được thể hiện trong vòng ba mươi (30) ngày, sẽ trả lại tất cả dữ liệu cá nhân ở định dạng có cấu trúc, được sử dụng phổ biến và có thể đọc được bằng máy hoặc xóa dữ liệu đó khỏi tất cả các hệ thống sản xuất và vận hành. Các bản sao dự phòng sẽ bị xóa theo chu kỳ luân chuyển tiêu chuẩn (tối đa chín mươi (90) ngày) và chỉ có thể được giữ lại sau khoảng thời gian đó khi luật hiện hành yêu cầu, trong trường hợp đó, chúng vẫn phải tuân theo nghĩa vụ bảo mật và an ninh của DPA này.

Trách nhiệm pháp lý

Các điều khoản về trách nhiệm pháp lý của MSA áp dụng cho các khiếu nại phát sinh theo DPA này. Mỗi bên vẫn phải chịu trách nhiệm pháp lý với chủ thể dữ liệu và cơ quan giám sát theo Điều 82 GDPR.

Liên hệ

Đối với bất kỳ câu hỏi, yêu cầu hoặc thông báo nào về bảo vệ dữ liệu theo DPA này, hãy liên hệ ELXAO theo địa chỉ [email protected].