Táto zmluva o spracovaní údajov („ Zmluva o spracovaní údajov“) tvorí neoddeliteľnú súčasť zmluvy medzi spoločnosťou ELXAO SASU („ sprostredkovateľ “) a klientom („ prevádzkovateľ “) a implementuje článok 28 nariadenia (EÚ) 2016/679 („ GDPR “) a francúzsky zákon o ochrane údajov (Loi č. 78-17 zo 6. januára 1978 v znení neskorších predpisov). Uplatňuje sa vždy, keď spoločnosť ELXAO spracúva osobné údaje v mene prevádzkovateľa v rámci poskytovania služieb.
Definície
Pojmy „osobné údaje“, „spracovanie“, „prevádzkovateľ“, „sprostredkovateľ“, „subdodávateľ“, „dotknutá osoba“, „údaje osobitnej kategórie“ a „porušenie ochrany osobných údajov“ majú význam uvedený v článku 4 GDPR. Podmienky Zmluvy sa vzťahujú na túto Dohodu o ochrane údajov, s výnimkou prípadov, keď ich táto Dohoda o ochrane údajov výslovne prevyšuje.
Predmet, trvanie a povaha spracovania
| Položka | Popis |
|---|---|
| Predmet | Poskytovanie marketingových operácií (webové stránky, SEO, platené médiá, analytika, CRM/e-mail, branding, sociálne médiá, lokalizácia, PM/podujatia) v mene prevádzkovateľa. |
| Trvanie | Trvanie zmluvy plus doby uchovávania uvedené nižšie. |
| Povaha a účel | Uchovávanie, organizácia, analýza, prenos, hosťovanie a vymazanie osobných údajov podľa potreby na poskytovanie Služieb. |
| Kategórie dotknutých osôb | Koncoví používatelia, potenciálni zákazníci, zákazníci, predplatitelia, zamestnanci, dodávatelia a účastníci podujatí prevádzkovateľa. |
| Kategórie osobných údajov | Identifikačné údaje (meno, titul), kontaktné údaje (e-mail, telefónne číslo, poštová adresa), profesionálne údaje (spoločnosť, pozícia), online identifikátory (IP adresa, súbory cookie, ID zariadení), behaviorálne údaje (kliknutia, relácie, konverzie), obchodné údaje (objednávky, fakturácia), údaje o udalostiach (registrácie, účasť, odznaky, nahrávky). |
| Údaje o špeciálnej kategórii | Nespracováva sa štandardne. Akákoľvek výnimka vyžaduje písomný pokyn a dodatočné záruky. |
Úlohy a pokyny
Prevádzkovateľ určuje účely a prostriedky spracovania. Spoločnosť ELXAO spracováva osobné údaje výlučne na základe zdokumentovaných pokynov prevádzkovateľa, ktoré sú formalizované v Zmluve, objednávkach, SLA, Zásadách ochrany osobných údajov prevádzkovateľa a akýchkoľvek konkrétnych písomných pokynoch zaslaných následne. Spoločnosť ELXAO bude prevádzkovateľa bez zbytočného odkladu informovať, ak sa domnieva, že pokyn porušuje zákon o ochrane údajov.
Dôvernosť personálu
Spoločnosť ELXAO zabezpečuje, aby každá osoba oprávnená spracúvať osobné údaje bola viazaná vynútiteľnou povinnosťou mlčanlivosti (pracovná zmluva, zmluva na voľnej nohe alebo dohoda o mlčanlivosti) a aby absolvovala školenie v oblasti ochrany osobných údajov zodpovedajúce jej úlohe.
Bezpečnostné opatrenia
Spoločnosť ELXAO implementuje vhodné technické a organizačné opatrenia (článok 32 GDPR) vrátane:
- Šifrovanie TLS 1.2+ počas prenosu a šifrovanie AES-256 v pokoji pre produkčné úložiská dát.
- Riadenie prístupu na základe rolí s princípom minimálnych privilégií; povinné viacfaktorové overovanie pre všetkých administrátorov.
- Zosilnená infraštruktúra hostovaná v EÚ s pravidelným skenovaním zraniteľností a opravami.
- Kontrola kódu, správa tajných údajov, zabezpečený SDLC a oddelenie produkčných/stagingových prostredí.
- Centralizované protokolovanie s ochranou integrity; upozornenia na podozrivé udalosti overovania a exportu údajov.
- Šifrované, geograficky oddelené zálohy so zdokumentovanými testami obnovy.
- Postupy pre nástup/odchod zamestnancov, správca hesiel, zabezpečené notebooky s kompletným šifrovaním disku.
- Plány kontinuity podnikania a reakcie na incidenty sa prehodnocujú aspoň raz ročne.
Subspracovanie
Prevádzkovateľ udeľuje spoločnosti ELXAO všeobecné povolenie na zapojenie subdodávateľov na vykonávanie špecifických spracovateľských činností (hosting, doručovanie e-mailov, analytika, reklamné platformy, nástroje zákazníckej podpory, platformy na správu podujatí). Spoločnosť ELXAO vedie aktuálny zoznam subdodávateľov, ktorý je k dispozícii na požiadanie na adrese [email protected] , a poskytne oznámenie o akomkoľvek zamýšľanom doplnení alebo nahradení najmenej tridsať (30) dní vopred, pričom počas tohto obdobia môže prevádzkovateľ namietať z opodstatnených dôvodov ochrany údajov. Spoločnosť ELXAO ukladá každému subdodávateľovi povinnosti ochrany údajov, ktoré nie sú menej ochranné ako tie, ktoré sú stanovené v tejto dohode o ochrane údajov.
Medzinárodné prevody
Osobné údaje sa spracúvajú predovšetkým v rámci Európskeho hospodárskeho priestoru (EHP). Ak spracúvanie zahŕňa prenos mimo EHP do krajiny bez rozhodnutia o primeranosti, spoločnosť ELXAO sa spolieha na primerané záruky podľa článku 46 GDPR, najmä na štandardné zmluvné doložky (SCC) Európskej komisie zo 4. júna 2021, doplnené o akékoľvek ďalšie opatrenia požadované v posúdení vplyvu prenosu.
Pomoc pre kontrolóra
Spoločnosť ELXAO pomáha prevádzkovateľovi prostredníctvom vhodných technických a organizačných opatrení pri plnení jeho povinností reagovať na žiadosti dotknutých osôb (články 12 – 22 GDPR) a pri zabezpečovaní súladu s článkami 32 – 36 GDPR (bezpečnosť, oznámenie o porušení, DPIA, predchádzajúca konzultácia). Štandardná pomoc je zahrnutá v Službách; rozsiahla práca presahujúca jeden (1) pracovný deň na žiadosť môže byť po písomnom oznámení účtovaná podľa aktuálnych profesionálnych sadzieb spoločnosti ELXAO.
Porušenie osobných údajov
Spoločnosť ELXAO informuje prevádzkovateľa bez zbytočného odkladu a v každom prípade do sedemdesiatich dvoch (72) hodín od zistenia porušenia ochrany osobných údajov, ktoré ovplyvňuje údaje prevádzkovateľa. Oznámenie obsahuje povahu porušenia, kategórie a približné objemy dotknutých údajov, pravdepodobné dôsledky a prijaté alebo navrhované opatrenia na jeho riešenie.
Audity
Spoločnosť ELXAO sprístupňuje prevádzkovateľovi na základe odôvodnenej žiadosti a nie viac ako raz ročne (okrem prípadov porušenia) informácie potrebné na preukázanie súladu s touto dohodou o spracovaní údajov vrátane správ typu ISO 27001 / SOC 2 od subdodávateľov, ak sú k dispozícii. Audity na mieste môže vykonávať prevádzkovateľ alebo vzájomne schválený audítor tretej strany viazaný mlčanlivosťou na náklady prevádzkovateľa, s primeraným predchádzajúcim oznámením a počas pracovných hodín spôsobom, ktorý neprimerane nenarúša prevádzku spoločnosti ELXAO.
Vrátenie alebo vymazanie údajov
Po ukončení Zmluvy spoločnosť ELXAO na základe rozhodnutia Prevádzkovateľa vyjadreného do tridsiatich (30) dní buď vráti všetky osobné údaje v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte, alebo ich vymaže zo všetkých produkčných a prevádzkových systémov. Záložné kópie sa vymazávajú v štandardnom rotačnom cykle (do deväťdesiatich (90) dní) a môžu sa uchovávať aj po uplynutí tejto doby, iba ak to vyžadujú platné právne predpisy, pričom v takom prípade naďalej podliehajú záväzkom týkajúcim sa bezpečnosti a dôvernosti podľa tejto DPA.
Zodpovednosť
Ustanovenia o zodpovednosti v MSA sa vzťahujú na nároky vyplývajúce z tohto DPA. Každá strana zostáva zodpovedná voči dotknutým osobám a dozorným orgánom v súlade s článkom 82 GDPR.
Kontakt
V prípade akýchkoľvek otázok, žiadostí alebo oznámení týkajúcich sa ochrany údajov podľa tohto DPA kontaktujte spoločnosť ELXAO na adrese [email protected] .