Šis datu apstrādes līgums (“ DAL ”) ir neatņemama līguma starp ELXAO SASU (“ Apstrādātājs ”) un klientu (“ Pārzinis ”) sastāvdaļa un īsteno Regulas (ES) 2016/679 (“ VDAR ”) 28. pantu un Francijas Datu aizsardzības likumu (1978. gada 6. janvāra Loi nr. 78-17 ar grozījumiem). Tas ir piemērojams ikreiz, kad ELXAO apstrādā personas datus Pārziņa vārdā, sniedzot Pakalpojumus.
Definīcijas
Terminiem “personas dati”, “apstrāde”, “pārzinis”, “apstrādātājs”, “apakšapstrādātājs”, “datu subjekts”, “īpašu kategoriju dati” un “personas datu pārkāpums” ir tāda nozīme, kāda noteikta VDAR 4. pantā. Līguma noteikumi attiecas uz šo DPA, izņemot gadījumus, kad šis DPA tos nepārprotami aizstāj.
Apstrādes priekšmets, ilgums un raksturs
| Prece | Apraksts |
|---|---|
| Priekšmets | Mārketinga operāciju pakalpojumu (tīmekļa vietnes, SEO, maksas mediji, analītika, CRM/e-pasts, zīmola veidošana, sociālie mediji, lokalizācija, PM/pasākumi) sniegšana Pārziņa vārdā. |
| Ilgums | Uzdevuma ilgums, kā arī turpmāk norādītie saglabāšanas periodi. |
| Daba un mērķis | Personas datu glabāšana, organizēšana, analīze, pārsūtīšana, mitināšana un dzēšana, ja tas nepieciešams Pakalpojumu sniegšanai. |
| Datu subjektu kategorijas | Pārziņa galalietotāji, potenciālie klienti, abonenti, darbinieki, piegādātāji un pasākumu apmeklētāji. |
| Personas datu kategorijas | Identifikācijas dati (vārds, amats), kontaktinformācija (e-pasts, tālrunis, pasta adrese), profesionālie dati (uzņēmums, loma), tiešsaistes identifikatori (IP adrese, sīkfaili, ierīču ID), uzvedības dati (klikšķi, sesijas, konversijas), komerciālie dati (pasūtījumi, rēķini), pasākumu dati (reģistrācijas, apmeklējumi, nozīmītes, ieraksti). |
| Īpašas kategorijas dati | Netiek apstrādāts pēc noklusējuma. Jebkuram izņēmumam ir nepieciešams rakstisks norādījums un papildu drošības pasākumi. |
Lomas un norādījumi
Pārzinis nosaka apstrādes mērķus un līdzekļus. ELXAO apstrādā personas datus tikai saskaņā ar Pārziņa dokumentētajiem norādījumiem, kas ir formalizēti ar Līgumu, rīkojumiem, SLA, Pārziņa Privātuma politiku un jebkuriem konkrētiem rakstiskiem norādījumiem, kas nosūtīti pēc tam. ELXAO bez liekas kavēšanās informēs Pārzini, ja uzskatīs, ka norādījums pārkāpj datu aizsardzības tiesību aktus.
Personāla konfidencialitāte
ELXAO nodrošina, ka ikviena persona, kurai ir atļauts apstrādāt personas datus, ir saistīta ar izpildāmu konfidencialitātes pienākumu (darba līgums, ārštata līgums vai konfidencialitātes līgums) un ir saņēmusi apmācību personas datu aizsardzībā atbilstoši savam amatam.
Drošības pasākumi
ELXAO īsteno atbilstošus tehniskos un organizatoriskos pasākumus (VDAR 32. pants), tostarp:
- TLS 1.2+ šifrēšana pārsūtīšanas laikā un AES-256 šifrēšana miera stāvoklī ražošanas datu krātuvēm.
- Uz lomām balstīta piekļuves kontrole ar mazāko privilēģiju principu; obligāta daudzfaktoru autentifikācija visiem administratoriem.
- Nostiprināta, ES mitināta infrastruktūra ar regulāru ievainojamību skenēšanu un ielāpu atjaunināšanu.
- Koda pārskatīšana, noslēpumu pārvaldība, droša SDLC un ražošanas/izstrādes vides atdalīšana.
- Centralizēta, integritātes aizsargāta reģistrēšana; brīdinājumi par aizdomīgiem autentifikācijas un datu eksportēšanas notikumiem.
- Šifrētas, ģeogrāfiski atdalītas dublējumkopijas ar dokumentētām atjaunošanas pārbaudēm.
- Personāla uzņemšanas/atlaišanas procedūras, paroļu pārvaldnieks, droši klēpjdatori ar pilnu diska šifrēšanu.
- Uzņēmējdarbības nepārtrauktības un incidentu reaģēšanas plāni tiek pārskatīti vismaz reizi gadā.
Apakšapstrāde
Pārzinis piešķir ELXAO vispārēju atļauju piesaistīt apakšapstrādātājus konkrētu apstrādes darbību veikšanai (mitināšana, e-pasta piegāde, analītika, reklāmas platformas, klientu atbalsta rīki, pasākumu pārvaldības platformas). ELXAO uztur aktuālu apakšapstrādātāju sarakstu, kas ir pieejams pēc pieprasījuma, rakstot uz [email protected] , un vismaz trīsdesmit (30) dienas iepriekš paziņos par jebkuru paredzēto pievienošanu vai aizstāšanu, kuru laikā Pārzinis var iebilst, pamatojoties uz pamatotiem datu aizsardzības apsvērumiem. ELXAO katram apakšapstrādātājam uzliek datu aizsardzības saistības, kas nav mazāk aizsargājošas kā šajā DPA noteiktās.
Starptautiskie pārskaitījumi
Personas dati galvenokārt tiek apstrādāti Eiropas Ekonomikas zonā (EEZ). Ja apstrāde ietver datu nosūtīšanu ārpus EEZ uz valsti, uz kuru nav pieņemts lēmums par atbilstību, ELXAO izmanto atbilstošus drošības pasākumus saskaņā ar VDAR 46. pantu, galvenokārt Eiropas Komisijas 2021. gada 4. jūnija standarta līguma klauzulas (SCC), ko papildina visi papildu pasākumi, kas nepieciešami nosūtījuma ietekmes novērtējumā.
Palīdzība kontrolierim
ELXAO, izmantojot atbilstošus tehniskus un organizatoriskus pasākumus, palīdz Pārzinim pildīt tā pienākumus atbildēt uz datu subjektu pieprasījumiem (VDAR 12.–22. pants) un nodrošināt atbilstību VDAR 32.–36. pantam (drošība, pārkāpumu paziņošana, ietekmes uz vidi novērtējums, iepriekšēja apspriešanās). Pakalpojumos ir iekļauta standarta palīdzība; par būtisku darbu, kas pārsniedz vienu (1) darba dienu katram pieprasījumam, pēc rakstiska paziņojuma var tikt iekasēta maksa pēc ELXAO spēkā esošajām profesionālajām likmēm.
Personas datu pārkāpums
ELXAO nekavējoties un jebkurā gadījumā septiņdesmit divu (72) stundu laikā pēc tam, kad ir uzzinājis par personas datu pārkāpumu, kas ietekmē Pārziņa datus, paziņo Pārzinim. Paziņojumā ir norādīts pārkāpuma raksturs, kategorijas un aptuvenais skartais apjoms, iespējamās sekas un veiktie vai ierosinātie pasākumi tā novēršanai.
Revīzijas
ELXAO pēc pamatota pieprasījuma un ne biežāk kā reizi gadā (izņemot pēc pārkāpuma) sniedz Pārzinim informāciju, kas nepieciešama, lai pierādītu atbilstību šim DPA, tostarp ISO 27001/SOC 2 tipa ziņojumus no apakšapstrādātājiem, ja tādi ir pieejami. Auditus uz vietas var veikt Pārzinis vai savstarpēji apstiprināts trešās puses auditors, uz kura attiecas konfidencialitātes saistības, uz Pārziņa rēķina, ar saprātīgu iepriekšēju paziņojumu un darba laikā, tādā veidā, kas nepamatoti netraucē ELXAO darbību.
Datu atgriešana vai dzēšana
Pēc Līguma izbeigšanas ELXAO pēc Pārziņa izvēles, kas izteikta trīsdesmit (30) dienu laikā, vai nu atgriezīs visus personas datus strukturētā, plaši izmantotā un mašīnlasāmā formātā, vai arī dzēsīs tos no visām ražošanas un darbības sistēmām. Rezerves kopijas tiek dzēstas standarta rotācijas ciklā (līdz deviņdesmit (90) dienām) un var tikt saglabātas ilgāk par šo periodu tikai tad, ja to pieprasa piemērojamie tiesību akti, un tādā gadījumā uz tām joprojām attiecas šī DPA drošības un konfidencialitātes saistības.
Atbildība
MSA atbildības noteikumi attiecas uz prasībām, kas izriet no šī DPA. Katra puse saglabā atbildību datu subjektu un uzraudzības iestāžu priekšā saskaņā ar VDAR 82. pantu.
Kontaktinformācija
Lai saņemtu jebkādus jautājumus, pieprasījumus vai paziņojumus par datu aizsardzību saskaņā ar šo DPA, sazinieties ar ELXAO, rakstot uz [email protected] .