Ta pogodba o obdelavi podatkov (» DPA «) je sestavni del pogodbe med ELXAO SASU (» obdelovalec «) in stranko (» upravljavec «) ter izvaja 28. člen Uredbe (EU) 2016/679 (» GDPR «) in francoski zakon o varstvu podatkov (Loi št. 78-17 z dne 6. januarja 1978, kakor je bil spremenjen). Velja vedno, ko ELXAO obdeluje osebne podatke v imenu upravljavca med zagotavljanjem storitev.
Definicije
Izrazi »osebni podatki«, »obdelava«, »upravljavec«, »obdelovalec«, »podobdelovalec«, »posameznik, na katerega se nanašajo osebni podatki«, »podatki posebne kategorije« in »kršitev varnosti osebnih podatkov« imajo pomen, določen v 4. členu GDPR. Določila Sporazuma veljajo za ta DPA, razen če jih ta DPA izrecno razveljavlja.
Predmet, trajanje in narava obdelave
| Predmet | Opis |
|---|---|
| Predmet | Zagotavljanje storitev trženjskih operacij (spletna mesta, SEO, plačljivi mediji, analitika, CRM/e-pošta, blagovna znamka, družbeni mediji, lokalizacija, upravljanje projektov/dogodki) v imenu upravljavca. |
| Trajanje | Trajanje sodelovanja, vključno z obdobji hrambe, določenimi spodaj. |
| Narava in namen | Shranjevanje, organizacija, analiza, prenos, gostovanje in brisanje osebnih podatkov, kot je potrebno za zagotavljanje storitev. |
| Kategorije posameznikov, na katere se nanašajo osebni podatki, | Končni uporabniki upravljavca, potencialne stranke, stranke, naročniki, zaposleni, dobavitelji in udeleženci dogodkov. |
| Kategorije osebnih podatkov | Identifikacijski podatki (ime, naziv), kontaktni podatki (e-pošta, telefon, poštni naslov), profesionalni podatki (podjetje, delovno mesto), spletni identifikatorji (IP, piškotki, ID-ji naprav), vedenjski podatki (kliki, seje, konverzije), komercialni podatki (naročila, obračunavanje), podatki o dogodkih (registracije, udeležba, značke, posnetki). |
| Podatki posebne kategorije | Se ne obdeluje privzeto. Vsaka izjema zahteva pisno navodilo in dodatne zaščitne ukrepe. |
Vloge in navodila
Upravljavec določi namene in sredstva obdelave. ELXAO obdeluje osebne podatke izključno na podlagi dokumentiranih navodil upravljavca, ki so formalizirana s pogodbo, naročili, sporazumi o ravni storitev (SLA), politiko zasebnosti upravljavca in vsemi posebnimi pisnimi navodili, poslanimi pozneje. ELXAO bo upravljavca brez nepotrebnega odlašanja obvestil, če bo menil, da navodilo krši zakonodajo o varstvu podatkov.
Zaupnost osebja
ELXAO zagotavlja, da je vsak posameznik, pooblaščen za obdelavo osebnih podatkov, zavezan izvršljivi obveznosti zaupnosti (pogodba o zaposlitvi, pogodba o samostojnem delu ali sporazum o nerazkrivanju podatkov) in da je bil deležen usposabljanja o varstvu osebnih podatkov, ki ustreza njegovi vlogi.
Varnostni ukrepi
ELXAO izvaja ustrezne tehnične in organizacijske ukrepe (člen 32 GDPR), vključno z:
- Šifriranje TLS 1.2+ med prenosom in šifriranje AES-256 v stanju mirovanja za produkcijske shrambe podatkov.
- Nadzor dostopa na podlagi vlog z načelom najmanjših privilegijev; obvezna večfaktorska avtentikacija za vse skrbnike.
- Okrepljena infrastruktura, ki jo gosti EU, z rednim pregledovanjem ranljivosti in posodabljanjem popravkov.
- Pregled kode, upravljanje skrivnosti, varno upravljanje s kodo SDLC in ločevanje produkcijskih/pripravljalnih okolij.
- Centralizirano, integritetno zaščiteno beleženje; opozarjanje na sumljive dogodke preverjanja pristnosti in izvoza podatkov.
- Šifrirane, geografsko ločene varnostne kopije z dokumentiranimi testi obnovitve.
- Postopki uvajanja/izvajanja osebja, upravitelj gesel, varni prenosniki s šifriranjem celotnega diska.
- Načrti za neprekinjeno poslovanje in odzivanje na incidente se pregledujejo vsaj letno.
Podprocesiranje
Upravljavec podeljuje družbi ELXAO splošno pooblastilo za uporabo podobdelovalcev za izvajanje določenih dejavnosti obdelave (gostovanje, dostava e-pošte, analitika, oglaševalske platforme, orodja za podporo strankam, platforme za upravljanje dogodkov). ELXAO vzdržuje posodobljen seznam podobdelovalcev, ki je na voljo na zahtevo na [email protected] , in bo o vsaki nameravani dodani ali zamenjani osebi posredoval vsaj trideset (30) dni vnaprej, pri čemer lahko upravljavec ugovarja iz utemeljenih razlogov za varstvo podatkov. ELXAO vsakemu podobdelovalcu nalaga obveznosti varstva podatkov, ki niso nič manj zaščitne od tistih, določenih v tej DPA.
Mednarodni prenosi
Osebni podatki se obdelujejo predvsem znotraj Evropskega gospodarskega prostora (EGP). Kadar obdelava vključuje prenos izven EGP v državo brez sklepa o ustreznosti, se ELXAO zanaša na ustrezne zaščitne ukrepe v skladu s členom 46 GDPR, predvsem na standardne pogodbene klavzule Evropske komisije z dne 4. junija 2021, dopolnjene z vsemi dodatnimi ukrepi, ki jih zahteva ocena učinka prenosa.
Pomoč upravljavcu
ELXAO pomaga upravljavcu z ustreznimi tehničnimi in organizacijskimi ukrepi pri izpolnjevanju njegovih obveznosti glede odzivanja na zahteve posameznikov, na katere se nanašajo osebni podatki (členi 12–22 GDPR) in pri zagotavljanju skladnosti s členi 32–36 GDPR (varnost, obveščanje o kršitvah, DPIA, predhodno posvetovanje). Standardna pomoč je vključena v storitve; obsežno delo, ki presega en (1) delovni dan na zahtevo, se lahko po pisnem obvestilu zaračuna po takrat veljavnih profesionalnih tarifah ELXAO.
Kršitev osebnih podatkov
ELXAO obvesti upravljavca brez nepotrebnega odlašanja in v vsakem primeru v dvainsedemdesetih (72) urah po tem, ko izve za kršitev osebnih podatkov, ki vpliva na podatke upravljavca. Obvestilo vključuje naravo kršitve, kategorije in približne količine prizadetih podatkov, verjetne posledice ter sprejete ali predlagane ukrepe za njeno odpravo.
Revizije
ELXAO upravljavcu na razumno zahtevo in največ enkrat letno (razen po kršitvi) da na voljo informacije, potrebne za dokazovanje skladnosti s tem sporazumom o obdelavi podatkov, vključno s poročili podobdelovalcev tipa ISO 27001 / SOC 2, kadar so na voljo. Revizije na kraju samem lahko izvaja upravljavec ali medsebojno odobreni revizor tretje osebe, ki je zavezan k zaupnosti, na stroške upravljavca, z razumnim predhodnim obvestilom in med delovnim časom, na način, ki nerazumno ne moti poslovanja ELXAO.
Vračilo ali izbris podatkov
Po prenehanju pogodbe bo ELXAO na izbiro upravljavca, izraženo v tridesetih (30) dneh, bodisi vrnil vse osebne podatke v strukturirani, pogosto uporabljeni in strojno berljivi obliki bodisi jih izbrisal iz vseh produkcijskih in operativnih sistemov. Varnostne kopije se brišejo v standardnem ciklu rotacije (do devetdeset (90) dni) in se lahko hranijo dlje od tega obdobja le, če to zahteva veljavna zakonodaja, v tem primeru pa zanje še naprej veljajo obveznosti glede varnosti in zaupnosti iz te DPA.
Odgovornost
Določbe o odgovornosti MSA veljajo za zahtevke, ki izhajajo iz te DPA. Vsaka stranka je še vedno odgovorna posameznikom, na katere se nanašajo osebni podatki, in nadzornim organom v skladu s členom 82 GDPR.
Kontakt
Za vsa vprašanja, zahteve ali obvestila v zvezi z varstvom podatkov v skladu s tem sporazumom o varstvu podatkov se obrnite na ELXAO na naslov [email protected] .