Овај Уговор о обради података („ УОП “) чини саставни део Уговора између ELXAO SASU („ Обрађивач “) и клијента („ Контролер “) и спроводи члан 28 Уредбе (ЕУ) 2016/679 („ GDPR “) и француски Закон о заштити података (Закон бр. 78-17 од 6. јануара 1978. године са изменама и допунама). Примењује се кад год ELXAO обрађује личне податке у име Контролора током пружања Услуга.
Дефиниције
Термини „лични подаци“, „обрада“, „контролор“, „обрађивач“, „подобрађивач“, „субјект података“, „подаци посебне категорије“ и „кршење заштите личних података“ имају значења дата у члану 4 GDPR-а. Одредбе Уговора примењују се на овај Уговор о обради података, осим тамо где их овај Уговор о обради података изричито замењује.
Предмет, трајање и природа обраде
| Ставка | Опис |
|---|---|
| Предмет | Пружање услуга маркетиншких операција (веб странице, SEO, плаћени медији, аналитика, CRM/е-пошта, брендирање, друштвене мреже, локализација, управљање персоналом/догађаји) у име Контролора. |
| Трајање | Трајање ангажмана, плус периоди чувања наведени у наставку. |
| Природа и намена | Чување, организација, анализа, пренос, хостовање и брисање личних података како је потребно за пружање Услуга. |
| Категорије субјеката података | Крајњи корисници контролора, потенцијални купци, купци, претплатници, запослени, добављачи и учесници догађаја. |
| Категорије личних података | Идентификациони подаци (име, титула), контакт подаци (е-пошта, телефон, поштанска адреса), професионални подаци (компанија, улога), онлајн идентификатори (ИП, колачићи, ИД-ови уређаја), подаци о понашању (кликови, сесије, конверзије), комерцијални подаци (поруџбине, наплата), подаци о догађајима (регистрације, присуство, значке, снимци). |
| Подаци посебне категорије | Не обрађује се подразумевано. Сваки изузетак захтева писано упутство и додатне мере заштите. |
Улоге и упутства
Контролор одређује сврхе и средства обраде. ELXAO обрађује личне податке искључиво на основу документованих инструкција Контролора, које су формализоване Уговором, наруџбинама, SLA-овима, Политиком приватности Контролора и свим посебним писаним упутствима послатим након тога. ELXAO ће без непотребног одлагања обавестити Контролора ако сматра да упутство крши закон о заштити података.
Поверљивост особља
ELXAO осигурава да је свака особа овлашћена за обраду личних података везана обавезом поверљивости (уговор о раду, уговор о фриленсерском раду или уговор о неоткривању података) и да је прошла обуку о заштити личних података која одговара њеној улози.
Безбедносне мере
ELXAO спроводи одговарајуће техничке и организационе мере (члан 32 GDPR-а), укључујући:
- TLS 1.2+ шифровање током преноса и AES-256 шифровање у мировању за складишта производних података.
- Контрола приступа заснована на улогама са принципом најмањих привилегија; обавезна вишефакторска аутентификација за све администраторе.
- Ојачана инфраструктура смештена у ЕУ са редовним скенирањем рањивости и исправљањем.
- Преглед кода, управљање тајнама, безбедан SDLC и раздвајање продукционих/припремних окружења.
- Централизовано, интегритетски заштићено евидентирање; упозоравање на сумњиве догађаје аутентификације и извоза података.
- Шифроване, географски одвојене резервне копије са документованим тестовима рестаурације.
- Процедуре за увођење/искључивање особља, менаџер лозинки, безбедни лаптопови са потпуним шифровањем диска.
- Планови за континуитет пословања и реаговање на инциденте се преиспитују најмање једном годишње.
Подобрада
Контролор даје ELXAO опште овлашћење за ангажовање подобрађивача за обављање одређених активности обраде (хостинг, достава е-поште, аналитика, рекламне платформе, алати за корисничку подршку, платформе за управљање догађајима). ELXAO води актуелну листу подобрађивача, доступну на захтев на [email protected] , и даће обавештење о сваком планираном додавању или замени најмање тридесет (30) дана унапред, током чега Контролор може да уложи приговор из разумних разлога заштите података. ELXAO намеће сваком подобрађивачу обавезе заштите података које нису мање заштитне од оних наведених у овом Уговору о обради података.
Међународни трансфери
Лични подаци се обрађују првенствено унутар Европског економског простора (ЕЕА). Тамо где обрада укључује пренос ван ЕЕА у земљу без одлуке о адекватности, ELXAO се ослања на одговарајуће мере заштите у складу са чланом 46 GDPR-а, првенствено на Стандардне уговорне клаузуле (SCC) Европске комисије од 4. јуна 2021. године, допуњене свим додатним мерама које захтева процена утицаја преноса.
Помоћ контролору
ELXAO помаже Контролору, одговарајућим техничким и организационим мерама, у испуњавању његових обавеза да одговори на захтеве субјеката података (чланови 12–22 GDPR-а) и у обезбеђивању усклађености са члановима 32–36 GDPR-а (безбедност, обавештавање о кршењу, DPIA, претходне консултације). Стандардна помоћ је укључена у Услуге; значајан рад који прелази један (1) радни дан по захтеву може се наплатити по важећим професионалним тарифама ELXAO-а након писменог обавештења.
Повреда личних података
ELXAO обавештава Контролора без непотребног одлагања и у сваком случају у року од седамдесет два (72) сата након што сазна за кршење личних података које утиче на податке Контролора. Обавештење укључује природу кршења, категорије и приближне количине погођених података, вероватне последице и предузете или предложене мере за решавање проблема.
Ревизије
ELXAO ставља на располагање Контролору, на разуман захтев и не више од једном годишње (осим након кршења), информације неопходне за доказивање усклађености са овим Уговором о обради података, укључујући извештаје типа ISO 27001 / SOC 2 од подобрађивача када су доступни. Ревизије на лицу места може спроводити Контролор или обострано одобрени ревизор треће стране обавезан поверљивошћу, на трошак Контролора, уз разумно претходно обавештење и током радног времена, на начин који неоправдано не омета пословање ELXAO.
Враћање или брисање података
По раскиду Уговора, ELXAO ће, по избору Контролора израженом у року од тридесет (30) дана, или вратити све личне податке у структурираном, уобичајено коришћеном и машински читљивом формату, или их избрисати из свих производних и оперативних система. Резервне копије се бришу у стандардном циклусу ротације (до деведесет (90) дана) и могу се чувати дуже од тог периода само када је то прописано важећим законом, у ком случају остају подложне обавезама безбедности и поверљивости овог Уговора о обради података.
Одговорност
Одредбе о одговорности СМУ примењују се на потраживања која произилазе из овог Уговора о обради података. Свака страна остаје одговорна према субјектима података и надзорним органима у складу са чланом 82 Опште уредбе о заштити података.
Контакт
За сва питања, захтеве или обавештења у вези са заштитом података у складу са овим Уговором о заштити података, контактирајте ELXAO на [email protected] .