Ta pogodba o obdelavi podatkov je predloga, pripravljena za 1click2open, in jo mora pred zanašanjem nanjo pregledati usposobljen pravni svetovalec.
Ta pogodba o obdelavi podatkov (»DPA«) je del Splošnih pogojev med vami (»Stranka«, upravljavec) in 1click2open (»Proofwright«, obdelovalec) ter se uporablja, kadar Proofwright obdeluje osebne podatke v imenu Stranke — na primer podatke o spletnih mestih strank Stranke, ki so vnesena v konzolo. Odraža Article 28 Splošne uredbe EU o varstvu podatkov (GDPR).
1. Vloge in obseg
Stranka je upravljavec (ali obdelovalec, ki deluje za svoje stranke), Proofwright pa je obdelovalec. Vsaka pogodbena stranka bo ravnala v skladu z veljavnim pravom o varstvu podatkov. Predmet, trajanje, narava, namen, vrste podatkov in kategorije posameznikov, na katere se nanašajo osebni podatki, so določeni v Annex I.
2. Obveznosti obdelovalca
Proofwright bo:
- Osebne podatke obdeloval samo po dokumentiranih navodilih Stranke (vključno s tem, kar je določeno v Pogojih in tej DPA), razen če to zahteva zakon, v tem primeru pa bo Stranko obvestil, kjer je to dovoljeno.
- Zagotovil, da so osebe, pooblaščene za obdelavo podatkov, zavezane k zaupnosti.
- Izvajal tehnične in organizacijske ukrepe, določene v Annex II (Art. 32).
- V največji razumno mogoči meri pomagal Stranki pri odzivanju na zahteve posameznikov, na katere se nanašajo osebni podatki, in pri njenih obveznostih iz Arts. 32–36 (varnost, obveščanje o kršitvah, ocene učinka).
- Po izbiri Stranke ob koncu storitev izbrisal ali vrnil osebne podatke in izbrisal obstoječe kopije, razen če hrambo zahteva zakon.
- Dal na voljo informacije, ki so razumno potrebne za dokazovanje skladnosti, in omogočil revizije v skladu z razdelkom 6.
3. Podobdelovalci
Stranka daje splošno pooblastilo, da Proofwright za zagotavljanje Storitve angažira podobdelovalce, navedene v Annex III. Proofwright vsakemu podobdelovalcu naloži obveznosti glede varstva podatkov, ki niso nič manj varovalne kot ta DPA, in ostaja odgovoren za njihovo izvajanje. Proofwright bo pred dodajanjem ali zamenjavo podobdelovalca poslal obvestilo vsaj 30 dni vnaprej (po e-pošti ali na tej strani), v tem času pa lahko Stranka ugovarja iz utemeljenih razlogov varstva podatkov.
4. Varnost
Proofwright vzdržuje tehnične in organizacijske ukrepe, opisane v Annex II, vključno s šifriranjem med prenosom, zgoščenimi poverilnicami, nadzorom dostopa, izolacijo najemnikov, omejevanjem števila zahtevkov, beleženjem dokazov, odpornim proti spreminjanju, in varnostnimi kopijami na oddaljeni lokaciji.
5. Kršitve varstva osebnih podatkov
Proofwright bo Stranko brez nepotrebnega odlašanja, v vsakem primeru pa v 72 urah po seznanitvi, obvestil o kršitvi varstva osebnih podatkov, ki vpliva na podatke Stranke, in ji zagotovil razumno razpoložljive informacije, da bo lahko izpolnila svoje obveznosti.
6. Revizije
Proofwright bo dal na voljo informacije, potrebne za dokazovanje skladnosti, ter ob razumnem predhodnem obvestilu in ob upoštevanju zaupnosti omogočil revizije (vključno z inšpekcijskimi pregledi), ki jih izvede Stranka ali revizor, ki ga pooblasti, in sicer največ enkrat letno, razen če to zahteva nadzorni organ.
7. Mednarodni prenosi
Kadar obdelava vključuje prenos osebnih podatkov zunaj Evropskega gospodarskega prostora, se pogodbeni stranki opirata na standardne pogodbene klavzule Evropske komisije (Decision 2021/914), vključene s sklicevanjem in dopolnjene s podatki v prilogah, in/ali na druge veljavne mehanizme za prenos.
8. Odgovornost in trajanje
Odgovornost vsake pogodbene stranke po tej DPA je predmet omejitev iz Pogojev. Ta DPA ostaja v veljavi, dokler Proofwright obdeluje osebne podatke za Stranko.
Annex I — Podrobnosti obdelave
- Predmet: zagotavljanje Storitve Proofwright za pripravljenost na CRA in dokazovanje.
- Trajanje: obdobje naročnine Stranke in obdobje hrambe, določeno v Politiki zasebnosti.
- Narava in namen: gostovanje, popisovanje, analiza, spremljanje in ustvarjanje dokazov v podporo Strankinemu skrbnemu pregledu (due diligence) za CRA.
- Posamezniki, na katere se nanašajo podatki: osebje Stranke in, kadar Stranka take podatke vnese, osebje njenih končnih strank (npr. skrbniki spletnih mest, varnostni kontakti).
- Kategorije podatkov: imena, poslovni e-poštni naslovi, poverilnice računa, identifikatorji spletnih mest in komponent, naslovi IP ter vsi osebni podatki, prisotni v predloženih SBOM, podpornih sporočilih ali konfiguraciji. Storitev ni namenjena posebnim vrstam podatkov.
Annex II — Tehnični in organizacijski ukrepi
- Šifriranje podatkov med prenosom (TLS); poverilnice shranjene v zgoščeni obliki.
- Stroga izolacija med najemniki; vsako branje in pisanje je omejeno na lastništvo.
- Nadzor dostopa na podlagi vlog in skrbniški dostop po načelu najmanjših pravic.
- Omejevanje števila zahtevkov in zaščita pred zlorabami na avtentikacijskih in javnih končnih točkah.
- Beleženje dokazov, odporno proti spreminjanju in zapečateno z zgoščenimi vrednostmi.
- Neprekinjene varnostne kopije shrambe dokazov na oddaljeni lokaciji z možnostjo obnovitve na določeno časovno točko.
- Spremljanje ranljivosti in kanal za usklajeno razkritje za samo Storitev.
Annex III — Podobdelovalci
- Cloudflare, Inc. — edge, Pages, podatkovna baza D1, varnostna shramba R2 in Access — Združene države / globalni edge.
- The Fly.io Company — gostovanje konzolne aplikacije in shrambe dokazov — Evropska unija.
- Resend — transakcijska e-pošta — Združene države.
- PayPal — obdelava plačil — Evropska unija / Združene države.
Stik
Vprašanja o tej DPA: connect@proofwright.eu.