Perjanjian Pemprosesan Data ini (" DPA ") merupakan bahagian penting dalam Perjanjian antara ELXAO SASU (" Pemproses ") dan klien (" Pengawal ") dan melaksanakan Perkara 28 Peraturan (EU) 2016/679 (" GDPR ") dan Akta Perlindungan Data Perancis (Loi n° 78-17 bertarikh 6 Januari 1978 sebagaimana yang dipinda). Ia terpakai apabila ELXAO memproses data peribadi bagi pihak Pengawal dalam penyediaan Perkhidmatan.
Definisi
Istilah "data peribadi", "pemprosesan", "pengawal", "pemproses", "subpemproses", "subjek data", "data kategori khas" dan "pelanggaran data peribadi" mempunyai maksud yang diberikan dalam Perkara 4 GDPR. Terma Perjanjian terpakai kepada DPA ini kecuali jika DPA ini mengatasinya secara nyata.
Perkara, tempoh & sifat pemprosesan
| Barang | Penerangan |
|---|---|
| Perkara utama | Penyediaan perkhidmatan operasi pemasaran (laman web, SEO, media berbayar, analitik, CRM/e-mel, penjenamaan, media sosial, penyetempatan, PM/acara) bagi pihak Pengawal. |
| Tempoh | Tempoh Penglibatan, serta tempoh pengekalan yang dinyatakan di bawah. |
| Alam semula jadi & tujuan | Penyimpanan, pengaturan, analisis, pemindahan, pengehosan dan pemadaman data peribadi seperti yang diperlukan untuk menyampaikan Perkhidmatan. |
| Kategori subjek data | Pengguna akhir, bakal pelanggan, pelanggan, pekerja, pembekal dan peserta acara Pengawal. |
| Kategori data peribadi | Data pengenalan (nama, jawatan), data hubungan (e-mel, telefon, alamat pos), data profesional (syarikat, peranan), pengecam dalam talian (IP, kuki, ID peranti), data tingkah laku (klik, sesi, penukaran), data komersial (pesanan, pengebilan), data acara (pendaftaran, kehadiran, lencana, rakaman). |
| Data kategori khas | Tidak diproses secara lalai. Sebarang pengecualian memerlukan arahan bertulis dan perlindungan tambahan. |
Peranan & arahan
Pengawal menentukan tujuan dan cara pemprosesan. ELXAO memproses data peribadi semata-mata berdasarkan arahan yang didokumenkan oleh Pengawal, yang diformalkan oleh Perjanjian, perintah, SLA, Dasar Privasi Pengawal dan sebarang arahan bertulis khusus yang dihantar selepas itu. ELXAO akan memaklumkan Pengawal tanpa berlengah jika ia mempertimbangkan arahan untuk melanggar undang-undang perlindungan data.
Kerahsiaan kakitangan
ELXAO memastikan bahawa setiap individu yang diberi kuasa untuk memproses data peribadi terikat dengan kewajipan kerahsiaan yang boleh dikuatkuasakan (kontrak pekerjaan, kontrak bebas atau NDA) dan telah menerima latihan dalam perlindungan data peribadi yang sesuai dengan peranan mereka.
Langkah-langkah keselamatan
ELXAO melaksanakan langkah-langkah teknikal dan organisasi yang sesuai (Perkara 32 GDPR), termasuk:
- Penyulitan TLS 1.2+ semasa transit dan penyulitan AES-256 semasa rehat untuk stor data pengeluaran.
- Kawalan akses berasaskan peranan dengan prinsip keistimewaan paling minimum; pengesahan berbilang faktor mandatori untuk semua pentadbir.
- Infrastruktur yang dihoskan oleh EU yang diperkukuh dengan pengimbasan dan penampalan kerentanan yang kerap.
- Semakan kod, pengurusan rahsia, SDLC selamat dan pemisahan persekitaran pengeluaran/pementasan.
- Pembalakan berpusat dan dilindungi integriti; memberi amaran tentang pengesahan yang mencurigakan dan peristiwa eksport data.
- Sandaran yang disulitkan dan dipisahkan secara geografi dengan ujian pemulihan yang didokumenkan.
- Prosedur onboarding/offboarding kakitangan, pengurus kata laluan, komputer riba selamat dengan penyulitan cakera penuh.
- Pelan kesinambungan perniagaan dan tindak balas insiden disemak sekurang-kurangnya setiap tahun.
Sub-pemprosesan
Pengawal memberikan ELXAO kebenaran umum untuk melantik sub-pemproses bagi pelaksanaan aktiviti pemprosesan tertentu (pengehosan, penghantaran e-mel, analitik, platform iklan, alat sokongan pelanggan, platform pengurusan acara). ELXAO mengekalkan senarai sub-pemproses semasa, yang tersedia atas permintaan di [email protected] , dan akan memberikan notis sekurang-kurangnya tiga puluh (30) hari terlebih dahulu tentang sebarang penambahan atau penggantian yang dimaksudkan, yang mana Pengawal boleh membantah atas alasan perlindungan data yang munasabah. ELXAO mengenakan ke atas setiap sub-pemproses kewajipan perlindungan data yang tidak kurang perlindungannya daripada yang dinyatakan dalam DPA ini.
Pemindahan antarabangsa
Data peribadi diproses terutamanya dalam Kawasan Ekonomi Eropah (EEA). Sekiranya pemprosesan melibatkan pemindahan ke luar EEA ke sesebuah negara tanpa keputusan kecukupan, ELXAO bergantung pada perlindungan yang sesuai di bawah Perkara 46 GDPR, terutamanya Klausa Kontrak Standard (SCC) Suruhanjaya Eropah pada 4 Jun 2021, ditambah dengan sebarang langkah tambahan yang diperlukan oleh penilaian impak pemindahan.
Bantuan kepada Pengawal
ELXAO membantu Pengawal, melalui langkah-langkah teknikal dan organisasi yang sesuai, dalam memenuhi kewajipannya untuk bertindak balas terhadap permintaan subjek data (Perkara 12–22 GDPR) dan dalam memastikan pematuhan dengan Perkara 32–36 GDPR (keselamatan, pemberitahuan pelanggaran, DPIA, perundingan terlebih dahulu). Bantuan standard termasuk dalam Perkhidmatan; kerja besar yang melebihi satu (1) Hari Bekerja setiap permintaan boleh dibilkan pada kadar profesional ELXAO semasa selepas notis bertulis.
Pelanggaran data peribadi
ELXAO memaklumkan Pengawal tanpa berlengah dan dalam apa jua keadaan dalam tempoh tujuh puluh dua (72) jam selepas menyedari pelanggaran data peribadi yang menjejaskan data Pengawal. Pemberitahuan tersebut merangkumi sifat pelanggaran, kategori dan anggaran jumlah yang terjejas, kemungkinan akibat dan langkah-langkah yang diambil atau dicadangkan untuk menanganinya.
Audit
ELXAO menyediakan kepada Pengawal, atas permintaan yang munasabah dan tidak lebih daripada sekali setahun (kecuali selepas pelanggaran), maklumat yang diperlukan untuk menunjukkan pematuhan dengan DPA ini, termasuk laporan jenis ISO 27001 / SOC 2 daripada subpemproses apabila tersedia. Audit di tapak boleh dijalankan oleh Pengawal atau juruaudit pihak ketiga yang diluluskan bersama yang terikat dengan kerahsiaan, atas perbelanjaan Pengawal, dengan notis terlebih dahulu yang munasabah dan semasa waktu perniagaan, dengan cara yang tidak mengganggu operasi ELXAO secara tidak munasabah.
Pengembalian atau pemadaman data
Setelah Perjanjian ditamatkan, ELXAO akan, atas pilihan Pengawal yang dinyatakan dalam tempoh tiga puluh (30) hari, sama ada mengembalikan semua data peribadi dalam format berstruktur, biasa digunakan dan boleh dibaca mesin, atau memadamkannya daripada semua sistem pengeluaran dan operasi. Salinan sandaran dipadamkan pada kitaran putaran standard (sehingga sembilan puluh (90) hari) dan boleh disimpan melebihi tempoh tersebut hanya jika dikehendaki oleh undang-undang yang terpakai, yang mana ia kekal tertakluk kepada obligasi keselamatan dan kerahsiaan DPA ini.
Liabiliti
Peruntukan liabiliti MSA terpakai kepada tuntutan yang timbul di bawah DPA ini. Setiap pihak kekal bertanggungjawab kepada subjek data dan pihak berkuasa penyeliaan mengikut Perkara 82 GDPR.
Hubungi
Untuk sebarang pertanyaan, permintaan atau notis perlindungan data di bawah DPA ini, hubungi ELXAO di [email protected] .