Acordul privind prelucrarea datelor

Această pagină descrie acordul nostru standard privind prelucrarea datelor, ca să îl puteți analiza înainte de a-l solicita. Ea nu constituie în sine un acord și nu creează obligații. DPA-ul semnat, împreună cu anexele sale, este cel care prevalează, iar acolo unde această pagină diferă de el, DPA-ul semnat are întâietate.

Ori de câte ori construim, găzduim, întreținem sau oferim asistență pentru un sistem care conține date cu caracter personal aparținând dumneavoastră sau utilizatorilor dumneavoastră. Dumneavoastră sunteți operatorul (sau întreprinderea, business); DCI Brands LLC este persoana împuternicită de operator (sau furnizorul de servicii, service provider). DPA-ul face parte din contractul de colaborare. Atunci când sunt implicate informații medicale protejate, se semnează și un Acord de asociat de afaceri, iar pentru acele date clauzele acestuia prevalează.

Tot ceea ce impune articolul 28 alineatul (3) din RGPD, precum și echivalentele din RGPD al Regatului Unit și din FADP elvețiană:

1. Descrierea prelucrării: obiectul, durata, natura și scopul, tipurile de date cu caracter personal și categoriile de persoane vizate, într-o anexă specifică colaborării dumneavoastră.
2. Prelucrarea numai pe baza instrucțiunilor dumneavoastră documentate, inclusiv în ceea ce privește transferurile, și angajamentul nostru de a vă informa dacă considerăm că o instrucțiune încalcă legislația privind protecția datelor.
3. Confidențialitate: toate persoanele pe care le autorizăm să vă prelucreze datele au o obligație scrisă de confidențialitate.
4. Securitate: măsurile tehnice și organizatorice din anexă, care îndeplinesc cerințele articolului 32. Le putem actualiza, cu condiția ca protecția să nu fie redusă în mod semnificativ.
5. Subcontractanți: autorizarea dumneavoastră generală scrisă, transmiterea de către noi, în scris, a unor obligații echivalente către aceștia și răspunderea noastră pentru îndeplinirea obligațiilor lor.
6. Asistență privind drepturile persoanelor vizate: accesul, rectificarea, ștergerea, portabilitatea, restricționarea și opoziția, ținând seama de natura prelucrării.
7. Asistență privind articolele 32-36: securitatea, notificarea încălcărilor de securitate, evaluările impactului asupra protecției datelor și consultarea prealabilă, ținând seama de informațiile de care dispunem.
8. Ștergerea sau returnarea la încheierea colaborării, la alegerea dumneavoastră.
9. Informații și audituri, astfel cum se descrie în secțiunea 8.
10. Clauzele de transfer: clauzele contractuale standard, Actul adițional al Regatului Unit și modificările pentru Elveția, cu anexele completate.
11. Clauzele privind statele SUA: acționăm ca furnizor de servicii sau persoană împuternicită de operator, nu vindem și nu partajăm datele dumneavoastră, nu le păstrăm, utilizăm sau divulgăm în afara relației comerciale directe sau în orice alt scop decât executarea colaborării și nu le combinăm cu date din alte surse.
12. Garanțiile dumneavoastră: că aveți un temei legal, că ați furnizat informările și ați obținut consimțămintele cuvenite utilizatorilor dumneavoastră și că instrucțiunile dumneavoastră sunt legale.

Le prelucrăm numai pe baza instrucțiunilor dumneavoastră documentate și numai pentru a executa colaborarea: construirea, testarea, implementarea, găzduirea, monitorizarea, realizarea copiilor de rezervă și asistența pentru sistem. Nu le folosim în scopuri proprii și nu le vindem.

Nu folosim datele dumneavoastră cu caracter personal pentru a antrena, a ajusta (fine-tune) sau a îmbunătăți vreun model, iar subcontractanții noștri sunt configurați contractual să nu facă nici ei acest lucru. Putem genera statistici agregate privind funcționarea sistemului numai atunci când acestea nu pot fi asociate cu dumneavoastră, cu utilizatorii dumneavoastră sau cu vreo persoană fizică.

Recurgem la subcontractanți numai atunci când colaborarea are nevoie de ei, în baza unor clauze scrise cel puțin la fel de protectoare ca DPA-ul, și rămânem răspunzători pentru ceea ce fac. Categorii: infrastructură cloud în regiunea indicată în cotația dumneavoastră, livrarea e-mailurilor tranzacționale și furnizori de servicii de vorbire, de limbaj și de modele, atunci când o funcție necesită unul și cotația îl indică. DPA-ul semnat enumeră furnizorii specifici pentru colaborarea dumneavoastră.

Vă notificăm cu 30 de zile înainte de a adăuga unul. Puteți formula obiecții în această perioadă, pe motive rezonabile legate de protecția datelor, vom colabora cu dumneavoastră cu bună-credință, iar dacă nu putem soluționa obiecția, oricare dintre părți poate pune capăt serviciului afectat, cu rambursarea proporțională a tarifelor plătite în avans și neutilizate. Acesta este singurul remediu. Livrările on-premises și izolate de rețea (air-gapped) elimină complet subcontractantul de infrastructură.

Sistemele livrate includ măsurile stabilite în anexa de securitate: cel puțin criptarea în tranzit și în repaus, controlul accesului pe bază de roluri, jurnalizarea structurată de audit și ștergerea securizată a fișierelor temporare. Accesul personalului este limitat la persoane nominalizate care au nevoie de el și este jurnalizat. Colaborările reglementate adaugă controalele menționate în anexa dumneavoastră.

Vă notificăm fără întârzieri nejustificate după ce luăm cunoștință de o încălcare a securității datelor cu caracter personal care vă afectează datele și, în orice caz, în termen de 72 de ore de la data la care am luat cunoștință de aceasta. Notificarea prezintă ceea ce știm, ceea ce am făcut și ceea ce recomandăm; o primă notificare poate fi preliminară, iar noi o completăm pe măsură ce aflăm mai multe. Nu raportăm încercările de acces nereușite, scanările sau comenzile ping, iar o notificare nu reprezintă o recunoaștere a vinei sau a răspunderii.

Vă ajutăm să răspundeți cererilor de acces, rectificare, ștergere și portabilitate în termenul pe care vi-l acordă legea.

Auditurile încep cu documentele. La cerere, o dată în orice perioadă de 12 luni, furnizăm documentația noastră de securitate, anexa noastră privind măsurile și un chestionar de securitate completat. Atunci când acestea sunt cu adevărat insuficiente, după o încălcare confirmată care vă afectează datele sau atunci când o autoritate de supraveghere impune acest lucru, ne puteți audita cu o notificare scrisă prealabilă de 30 de zile, o dată în orice perioadă de 12 luni, în timpul programului de lucru, pe cheltuiala dumneavoastră, sub obligația de confidențialitate, fără a perturba activitatea noastră sau datele altor clienți și cu un auditor care nu este concurentul nostru.

Datele de producție în repaus rămân în regiunea indicată în cotația dumneavoastră. Accesul administrativ din alte locații și orice transfer inevitabil din SEE, din Regatul Unit sau din Elveția sunt acoperite de clauzele contractuale standard și de actele adiționale aplicabile.

Vă returnăm sau ștergem datele cu caracter personal, la alegerea dumneavoastră, și certificăm ștergerea. Copiile din copiile de rezervă criptate sunt șterse în ciclul obișnuit al copiilor de rezervă și rămân protejate până atunci. Păstrăm numai ceea ce legea ne obligă să păstrăm.

Scrieți la constantine@vavusai.com, menționând referința cotației dumneavoastră. Vi-l trimitem spre semnare împreună cu contractul de colaborare. Vom analiza propriul dumneavoastră DPA și îl vom semna atunci când clauzele sale sunt în esență compatibile cu ale noastre; în caz contrar, al nostru prevalează.