Tämä tietojenkäsittelysopimus on 1click2open:lle laadittu malli, ja pätevän oikeudellisen neuvonantajan tulisi tarkastaa se ennen kuin luotat siihen.
Tämä tietojenkäsittelysopimus ("DPA") on osa käyttöehtoja, jotka on solmittu sinun ("asiakas", rekisterinpitäjä) ja 1click2open:n ("Proofwright", käsittelijä) välillä, ja sitä sovelletaan silloin, kun Proofwright käsittelee henkilötietoja asiakkaan puolesta — esimerkiksi tietoja asiakkaan omista asiakassivustoista, jotka on tuotu konsoliin. Se ilmentää EU:n yleisen tietosuoja-asetuksen (GDPR) Article 28 -artiklaa.
1. Roolit ja soveltamisala
Asiakas on rekisterinpitäjä (tai käsittelijä, joka toimii omien asiakkaidensa puolesta) ja Proofwright on käsittelijä. Kumpikin osapuoli noudattaa sovellettavaa tietosuojalainsäädäntöä. Käsittelyn kohde, kesto, luonne, tarkoitus, tietotyypit ja rekisteröityjen ryhmät on esitetty Annex I -liitteessä.
2. Käsittelijän velvollisuudet
Proofwright sitoutuu:
- Käsittelemään henkilötietoja ainoastaan asiakkaan dokumentoitujen ohjeiden mukaisesti (mukaan lukien ehdoissa ja tässä DPA:ssa esitetyt ohjeet), ellei laki sitä edellytä, jolloin se ilmoittaa asiasta asiakkaalle silloin, kun se on sallittua.
- Varmistamaan, että henkilöt, joilla on oikeus käsitellä tietoja, ovat sitoutuneet salassapitoon.
- Toteuttamaan Annex II -liitteessä esitetyt tekniset ja organisatoriset toimenpiteet (Art. 32).
- Avustamaan asiakasta kohtuullisin mahdollisin keinoin rekisteröityjen pyyntöihin vastaamisessa sekä sen Arts. 32–36 mukaisten velvoitteiden (tietoturva, tietoturvaloukkauksesta ilmoittaminen, vaikutustenarvioinnit) täyttämisessä.
- Asiakkaan valinnan mukaan poistamaan tai palauttamaan henkilötiedot palvelun päättyessä ja poistamaan olemassa olevat kopiot, ellei laki edellytä niiden säilyttämistä.
- Asettamaan saataville kohtuudella tarpeelliset tiedot vaatimustenmukaisuuden osoittamiseksi ja mahdollistamaan kohdan 6 mukaiset auditoinnit.
3. Alikäsittelijät
Asiakas antaa yleisen valtuutuksen sille, että Proofwright käyttää Annex III -liitteessä lueteltuja alikäsittelijöitä palvelun tarjoamiseksi. Proofwright asettaa kullekin alikäsittelijälle tietosuojavelvoitteet, jotka ovat vähintään yhtä suojaavia kuin tässä DPA:ssa, ja vastaa niiden suorituksesta. Proofwright ilmoittaa vähintään 30 päivää etukäteen (sähköpostitse tai tällä sivulla) ennen alikäsittelijän lisäämistä tai vaihtamista, minä aikana asiakas voi vastustaa sitä perustelluin tietosuojaan liittyvin syin.
4. Tietoturva
Proofwright ylläpitää Annex II -liitteessä kuvattuja teknisiä ja organisatorisia toimenpiteitä, joihin kuuluvat tiedonsiirron salaus, tiivistetyt tunnukset, pääsynvalvonta, asiakaskohtainen eristys (tenant isolation), pyyntömäärän rajoitus, peukaloinnin paljastava näytön kirjaus ja toimipisteen ulkopuoliset varmuuskopiot.
5. Henkilötietojen tietoturvaloukkaukset
Proofwright ilmoittaa asiakkaalle ilman aiheetonta viivytystä ja joka tapauksessa 72 tunnin kuluessa tietoonsa saamisesta asiakkaan tietoja koskevasta henkilötietojen tietoturvaloukkauksesta sekä toimittaa kohtuudella saatavilla olevat tiedot auttaakseen asiakasta täyttämään omat velvoitteensa.
6. Auditoinnit
Proofwright asettaa saataville vaatimustenmukaisuuden osoittamiseksi tarvittavat tiedot ja sallii kohtuullisella ennakkoilmoituksella ja salassapitoa noudattaen asiakkaan tai sen valtuuttaman auditoijan suorittamat auditoinnit (mukaan lukien tarkastukset) enintään kerran vuodessa, ellei valvontaviranomainen sitä edellytä.
7. Kansainväliset tiedonsiirrot
Jos käsittelyyn liittyy henkilötietojen siirtämistä Euroopan talousalueen ulkopuolelle, osapuolet nojautuvat Euroopan komission vakiosopimuslausekkeisiin (Decision 2021/914), jotka sisällytetään viittauksella ja täydennetään liitteiden tiedoilla, ja/tai muihin päteviin siirtomekanismeihin.
8. Vastuu ja voimassaolo
Kummankin osapuolen tämän DPA:n mukaiseen vastuuseen sovelletaan ehdoissa esitettyjä rajoituksia. Tämä DPA on voimassa niin kauan kuin Proofwright käsittelee henkilötietoja asiakkaan puolesta.
Annex I — Käsittelyn tiedot
- Kohde: Proofwrightin CRA-valmius- ja näyttöpalvelun tarjoaminen.
- Kesto: asiakkaan tilauksen voimassaoloaika sekä tietosuojakäytännössä määritelty säilytysaika.
- Luonne ja tarkoitus: hosting, luettelointi, analysointi, valvonta ja näytön tuottaminen asiakkaan CRA-huolellisuusvelvoitteen tueksi.
- Rekisteröidyt: asiakkaan henkilöstö ja, jos asiakas tuo tällaisia tietoja, sen loppuasiakkaiden henkilöstö (esim. sivustojen ylläpitäjät, tietoturvayhteyshenkilöt).
- Tietoryhmät: nimet, työsähköpostiosoitteet, tilitunnukset, sivustojen ja komponenttien tunnisteet, IP-osoitteet sekä kaikki henkilötiedot, joita esiintyy toimitetuissa SBOM:issa, tukiviesteissä tai konfiguraatiossa. Palvelua ei ole tarkoitettu erityisiin henkilötietoryhmiin kuuluville tiedoille.
Annex II — Tekniset ja organisatoriset toimenpiteet
- Tiedonsiirron salaus (TLS); tunnukset tallennetaan tiivistettyinä.
- Tiukka moniasiakasympäristön eristys; jokainen luku ja kirjoitus on omistajuuteen rajattu.
- Roolipohjainen pääsynvalvonta ja vähimpien oikeuksien periaatteella toteutettu hallinnan rajaus.
- Pyyntömäärän rajoitus ja väärinkäytösten esto todennus- ja julkisissa päätepisteissä.
- Peukaloinnin paljastava, hash-sinetöity näytön kirjaus.
- Jatkuvat, toimipisteen ulkopuoliset, ajankohtakohtaiset varmuuskopiot näyttövarastosta.
- Haavoittuvuuksien valvonta ja koordinoidun julkistamisen kanava itse palvelulle.
Annex III — Alikäsittelijät
- Cloudflare, Inc. — edge, Pages, D1-tietokanta, R2-varmuuskopiointitallennus ja Access — Yhdysvallat / maailmanlaajuinen edge.
- The Fly.io Company — konsolisovelluksen ja näyttövaraston hosting — Euroopan unioni.
- Resend — transaktiosähköpostit — Yhdysvallat.
- PayPal — maksujen käsittely — Euroopan unioni / Yhdysvallat.
Yhteystiedot
Tätä DPA:ta koskevat kysymykset: connect@proofwright.eu.