Duomenų tvarkymo sutartis

Šiame puslapyje aprašoma mūsų standartinė duomenų tvarkymo sutartis, kad galėtumėte ją peržiūrėti prieš jos prašydami. Pats puslapis nėra sutartis ir nesukuria jokių įsipareigojimų. Galioja pasirašyta DTS su jos priedais, o jei šis puslapis nuo jos skiriasi, viršenybę turi pasirašyta DTS.

Kai kuriame, talpiname, prižiūrime ar palaikome sistemą, kurioje yra jums ar jūsų naudotojams priklausančių asmens duomenų. Jūs esate duomenų valdytojas (arba verslo subjektas), o DCI Brands LLC – duomenų tvarkytojas (arba paslaugų teikėjas). DTS yra projekto sutarties dalis. Kai susiję su saugoma sveikatos informacija, taip pat pasirašoma Verslo partnerio sutartis, ir tų duomenų atžvilgiu viršenybę turi jos sąlygos.

Viską, ko reikalauja BDAR 28 straipsnio 3 dalis, ir lygiavertes nuostatas pagal Jungtinės Karalystės BDAR ir Šveicarijos FADP:

1. Tvarkymo aprašymą: dalyką, trukmę, pobūdį ir tikslą, asmens duomenų rūšis ir duomenų subjektų kategorijas – jūsų projektui skirtame priede.
2. Tvarkymą tik pagal jūsų dokumentais įformintus nurodymus, įskaitant perdavimo atvejus, ir mūsų įsipareigojimą jums pranešti, jei manome, kad nurodymas pažeidžia duomenų apsaugos teisę.
3. Konfidencialumą: kiekvienam, kurį įgaliojame tvarkyti jūsų duomenis, taikomas rašytinis konfidencialumo įsipareigojimas.
4. Saugumą: priede nurodytas technines ir organizacines priemones, atitinkančias 32 straipsnį. Galime jas atnaujinti, jei apsauga iš esmės nesumažėja.
5. Pagalbinius duomenų tvarkytojus: jūsų bendrą rašytinį leidimą, mūsų rašytinį lygiaverčių įsipareigojimų perkėlimą jiems ir mūsų atsakomybę už jų veiklą.
6. Pagalbą įgyvendinant duomenų subjektų teises: susipažinimą, ištaisymą, ištrynimą, perkeliamumą, apribojimą ir nesutikimą, atsižvelgiant į tvarkymo pobūdį.
7. Pagalbą vykdant 32–36 straipsnius: saugumas, pranešimas apie pažeidimus, poveikio duomenų apsaugai vertinimai ir išankstinės konsultacijos, atsižvelgiant į tai, ką žinome.
8. Ištrynimą arba grąžinimą projekto pabaigoje – jūsų pasirinkimu.
9. Informaciją ir auditus, kaip aprašyta 8 skyriuje.
10. Perdavimo sąlygas: standartines sutarčių sąlygas, Jungtinės Karalystės priedą ir Šveicarijai taikomus pakeitimus su užpildytais priedais.
11. JAV valstijų sąlygas: veikiame kaip paslaugų teikėjas arba duomenų tvarkytojas, neparduodame jūsų duomenų ir jais nesidalijame, nesaugome, nenaudojame ir neatskleidžiame jų už tiesioginių verslo santykių ribų ar jokiu kitu tikslu nei projekto vykdymas ir nesujungiame jų su duomenimis iš kitų šaltinių.
12. Jūsų garantijas: kad turite teisinį pagrindą, pateikėte informaciją ir gavote sutikimus, kurie privalomi jūsų naudotojams, ir kad jūsų nurodymai yra teisėti.

Juos tvarkome tik pagal jūsų dokumentais įformintus nurodymus ir tik projektui įgyvendinti: sistemai kurti, testuoti, diegti, talpinti, stebėti, atsarginėms kopijoms daryti ir sistemai palaikyti. Nenaudojame jų savo tikslais ir jų neparduodame.

Nenaudojame jūsų asmens duomenų jokiam modeliui mokyti, derinti ar tobulinti, o mūsų pagalbiniai duomenų tvarkytojai sutartimis sukonfigūruoti taip pat to nedaryti. Apibendrintą statistiką apie sistemos veikimą galime rengti tik tada, kai jos negalima susieti su jumis, jūsų naudotojais ar bet kuriuo asmeniu.

Pagalbinius duomenų tvarkytojus pasitelkiame tik tada, kai jų reikia projektui, pagal rašytines sąlygas, kurios suteikia ne mažesnę apsaugą nei DTS, ir liekame atsakingi už jų veiksmus. Kategorijos: debesijos infrastruktūra jūsų pasiūlyme nurodytame regione, operacinių el. laiškų pristatymas ir kalbos, kalbos apdorojimo bei modelių paslaugų teikėjai, kai jų reikia funkcijai ir jie nurodyti pasiūlyme. Pasirašytoje DTS išvardyti konkretūs jūsų projekto paslaugų teikėjai.

Prieš pasitelkdami naują pagalbinį duomenų tvarkytoją, apie tai pranešame prieš 30 dienų. Per tą laikotarpį galite pareikšti prieštaravimą dėl pagrįstų duomenų apsaugos priežasčių, mes sąžiningai su jumis bendradarbiausime, o jei negalėsime jo išspręsti, bet kuri šalis gali nutraukti atitinkamą paslaugą, grąžinant proporcingą iš anksto sumokėto nepanaudoto užmokesčio dalį. Tai vienintelė teisių gynimo priemonė. Diegiant vietoje (on-premise) ir izoliuotose (air-gapped) sistemose infrastruktūros pagalbinio duomenų tvarkytojo visiškai nelieka.

Pristatomose sistemose taikomos saugos priede nustatytos priemonės: bent jau šifravimas perdavimo ir saugojimo metu, vaidmenimis grindžiama prieigos kontrolė, struktūrizuotas audito žurnalų registravimas ir saugus laikinųjų failų ištrynimas. Darbuotojų prieiga suteikiama tik įvardytiems asmenims, kuriems jos reikia, ir yra registruojama. Reguliuojamuose projektuose papildomai taikomos jūsų priede nurodytos kontrolės priemonės.

Apie asmens duomenų saugumo pažeidimą, paveikusį jūsų duomenis, pranešame jums be nepagrįsto delsimo po to, kai apie jį sužinome, ir bet kuriuo atveju per 72 valandas nuo tada, kai apie jį sužinome. Pranešime nurodoma, ką žinome, ką padarėme ir ką rekomenduojame; pirmasis pranešimas gali būti preliminarus, ir jį papildome, kai sužinome daugiau. Apie nesėkmingus bandymus gauti prieigą, skenavimus ar ping užklausas nepranešame, o pranešimas nėra kaltės ar atsakomybės pripažinimas.

Padedame jums per teisės aktų jums nustatytą terminą atsakyti į prašymus susipažinti su duomenimis, juos ištaisyti, ištrinti ir perkelti.

Auditas pradedamas nuo dokumentų. Paprašius, ne dažniau kaip kartą per 12 mėnesių, pateikiame savo saugos dokumentaciją, priemonių priedą ir užpildytą saugos klausimyną. Kai to iš tiesų nepakanka, po patvirtinto saugumo pažeidimo, paveikusio jūsų duomenis, arba kai to reikalauja priežiūros institucija, galite atlikti mūsų auditą, apie tai raštu pranešę prieš 30 dienų, ne dažniau kaip kartą per 12 mėnesių, darbo valandomis, savo sąskaita, laikydamiesi konfidencialumo, netrikdydami mūsų veiklos ir kitų klientų duomenų ir pasitelkę auditorių, kuris nėra mūsų konkurentas.

Saugomi gamybiniai duomenys lieka jūsų pasiūlyme nurodytame regione. Administracinei prieigai iš kitų vietų ir bet kokiam neišvengiamam perdavimui už EEE, Jungtinės Karalystės ar Šveicarijos ribų taikomos standartinės sutarčių sąlygos ir taikomi priedai.

Jūsų pasirinkimu grąžiname arba ištriname jūsų asmens duomenis ir patvirtiname ištrynimą. Kopijos šifruotose atsarginėse kopijose ištrinamos pagal įprastą atsarginių kopijų ciklą ir iki tol lieka apsaugotos. Pasiliekame tik tai, ką privalome saugoti pagal teisės aktus.

Rašykite adresu constantine@vavusai.com, nurodydami savo pasiūlymo numerį. Ją atsiunčiame pasirašyti kartu su projekto sutartimi. Peržiūrėsime jūsų pačių DTS ir ją pasirašysime, jei jos sąlygos iš esmės atitinka mūsiškes; kitu atveju viršenybę turi mūsų DTS.