Това Споразумение за обработване на данни е част от Общите условия на Sunset Docs между клиента и Esteve Castells Calpe, Barcelona, Spain. То се прилага автоматично винаги, когато Sunset Docs обработва Лични данни на клиента от негово име. Отделно подписано споразумение за обработване на данни има предимство, когато изрично противоречи на този документ.
1. Определения
ОРЗД означава Регламент (ЕС) 2016/679. Понятията „администратор“, „обработващ лични данни“, „лични данни“, „обработване“, „субект на данни“ и „нарушение на сигурността на личните данни“ имат значението, дадено им в ОРЗД. „Лични данни на клиента“ означава лични данни, изпратени до или генерирани в работно пространство на клиент, които Sunset Docs обработва от името на клиента.
„Законодателство за защита на данните“ означава ОРЗД и всеки друг закон за неприкосновеността на личния живот или за защитата на данните, приложим към обработването по това Споразумение. „Услугата“ и „Клиентът“ имат значението, дадено им в Общите условия.
2. Роли и обхват
Клиентът е администратор или обработващ лични данни, действащ от името на друг администратор. Sunset Docs е обработващ лични данни или подизпълнител. Всяка страна изпълнява собствените си задължения съгласно Законодателството за защита на данните.
Когато клиентът действа като обработващ лични данни, той потвърждава, че съответният администратор е разрешил неговите указания и ангажирането на Sunset Docs. Приложение 1 описва обработването, обхванато от това Споразумение.
3. Документирани указания
Sunset Docs обработва Лични данни на клиента само по документирани указания, съдържащи се в Общите условия, в това Споразумение, в конфигурацията на услугата от клиента и в оторизираното използване на функциите. Ако правото на ЕС или на държава членка изисква друго обработване, ще уведомим клиента преди обработването, освен ако законът забранява такова уведомяване.
Ще уведомим клиента, ако считаме, че дадено указание нарушава Законодателството за защита на данните, и можем да спрем засегнатото обработване, докато страните решат въпроса.
4. Поверителност
Всяко лице, оправомощено от Sunset Docs да обработва Лични данни на клиента, е обвързано с договорни или законови задължения за поверителност и получава достъп само когато това е необходимо за неговата роля.
5. Сигурност
Sunset Docs поддържа технически и организационни мерки, съответстващи на рисковете от обработването, като отчита достиженията на техническия прогрес, разходите за прилагане и естеството, обхвата, контекста и целите на обработването. Настоящите мерки са описани в Приложение 2.
Можем да актуализираме мерките при промени в услугата, при условие че актуализацията не намалява съществено общата защита на Личните данни на клиента.
6. Подизпълнители
Клиентът дава общо писмено разрешение за подизпълнителите, посочени на страницата „Подизпълнители“. Ще уведомим поне 30 дни предварително, преди да добавим или заменим подизпълнител, който ще обработва Лични данни на клиента. През този срок клиентът може да възрази на разумни основания, свързани със защитата на данните.
Налагаме на всеки подизпълнител задължения за защита на данните, които осигуряват по същество равностойна защита за съответното обработване. Оставаме отговорни пред клиента за изпълнението от страна на подизпълнителя, както изисква законът. Ако след основателно възражение няма разумна алтернатива, клиентът може да прекрати засегнатата услуга и да получи пропорционално възстановяване на предплатените такси за неизползвания период.
7. Искания от субекти на данни
Като отчитаме естеството на обработването, ще оказваме разумно техническо и организационно съдействие при искания за упражняване на правата на субектите на данни. Ако субект на данни се свърже директно с нас относно Лични данни на клиента, ще препратим искането на клиента без неоправдано забавяне и няма да отговаряме по същество, освен ако не сме упълномощени или задължени по закон.
8. Нарушения на сигурността на личните данни
Ще уведомим клиента без неоправдано забавяне, след като узнаем за нарушение на сигурността на личните данни, засягащо Лични данни на клиента. Ще предоставим разумно достъпната информация за естеството на нарушението, засегнатите категории и приблизителния брой, вероятните последици и предприетите или предложените мерки.
Информацията може да се предоставя на етапи. Няма да забавяме първоначалното уведомление само защото все още не са известни всички подробности и ще оказваме разумно съдействие на клиента при изпълнение на задълженията му за уведомяване и съобщаване.
9. Друго съдействие
Като отчитаме естеството на обработването и информацията, с която разполагаме, ще оказваме разумно съдействие при изпълнение на задълженията за сигурност, при оценки на въздействието върху защитата на данните и при предварителни консултации с надзорните органи, когато те се отнасят до Услугата.
10. Международно предаване на данни
Ограничено предаване ще се извършва само въз основа на механизъм, допустим по глава V от ОРЗД. В зависимост от получателя това може да включва решение относно адекватното ниво на защита, Рамката за защита на данните между ЕС и САЩ, когато получателят е сертифициран, или стандартни договорни клаузи на Европейската комисия с допълнителни мерки, когато това се изисква. Данните за доставчиците са публикувани на страницата „Подизпълнители“.
11. Информация и одити
Ще предоставяме информацията, разумно необходима за доказване на съответствието с член 28 от ОРЗД, включително отговори на пропорционални писмени въпроси относно сигурността. Клиентът може да извършва одит на съответствието не повече от веднъж на 12 месеца, с предизвестие от поне 30 дни, в работно време, за своя сметка и при условия на поверителност, без да нарушава работата на услугата и без достъп до данни на други клиенти.
Ограниченията за честота и предизвестие не се прилагат след предполагаемо нарушение, при достоверни доказателства за съществено несъответствие или при искане от надзорен орган. Преди одит на място следва да се използва преглед на документацията, когато той може разумно да удовлетвори искането.
12. Връщане и изтриване
Конфигурираният график за изтриване е постоянно документирано указание и не се удължава с прекратяването на абонамента. Клиентът може да изтрие данните по-рано. Преди края на обработването клиентът може да изтегли оригиналите, за които собственикът е разрешил изтегляне, или да поиска разумен експорт на ниво услуга на активните Лични данни на клиента.
При прекратяване на обработването клиентът може да ни укаже да върнем и изтрием активните Лични данни на клиента или да ги изтрием без връщане, освен ако правото на ЕС или на държава членка изисква съхраняването им. Ако клиентът не даде друго указание, съществуващите графици за изтриване продължават. Остатъците в криптираните резервни копия на базата данни изтичат в рамките на 30 дни и остават защитени до изтриването си.
Минималните записи за изтриване и одитните записи без съдържание могат да се пазят 12 месеца за целите на сигурността и отчетността. При писмено искане ще потвърдим приключването на приложимия процес на изтриване.
13. Отговорност
Разпоредбите за отговорност в Общите условия се прилагат към това Споразумение. Те не ограничават правата на субектите на данни, правомощията на надзорните органи или отговорността, която Законодателството за защита на данните не позволява на страните да изключат или ограничат.
14. Срок и предимство
Това Споразумение се прилага, докато Sunset Docs обработва Лични данни на клиента. То има предимство пред Общите условия по въпросите на защитата на данните. Промените в Споразумението следват процедурата за промени в Общите условия, с изключение на промяна, изисквана от закона, която може да влезе в сила по-рано с уведомление.
Приложение 1: Подробности за обработването
Предмет: предоставяне и поддръжка на услугата на Sunset Docs за приемане на документи. Срок: срокът на договора плюс всеки конфигуриран срок до изтриване, всеки договорен срок за експорт и цикъла на защитените резервни копия.
Естество и цели: получаване, валидиране, сканиране за зловреден софтуер, криптиране, съхранение, генериране на прегледи, показване, уведомяване, печат, когато е разрешен, изтегляне на оригинали с разрешение от собственика, одит и изтриване на временни документи.
Субекти на данни: податели на документи, потребители и персонал на клиента, клиенти, изпълнители, доставчици и други лица, чиято информация се съдържа в изпратените документи. Личните данни могат да включват имена, данни за контакт, идентификационни, бизнес, професионални и финансови данни, съдържание на документи, имена на файлове, имейл на подателя, метаданни, данни за сигурност, извлечени от IP адреси, и активност по достъпа.
Специални категории данни и данни с висок риск не са предвидени и не са разрешени, освен ако не е договорено отделно в писмена форма. Клиентът не трябва да изпраща данни на деца, данни за присъди и нарушения, пълни данни за платежни карти, данни за вход, тайни или данни, които няма законно право да обработва.
Приложение 2: Технически и организационни мерки
Мерките включват криптиране на ниво приложение с AES-256-GCM на обектите с документи; отделно обвити ключове за всеки документ; TLS при пренос; частна инфраструктура; частно криптирано огледално хранилище R2; проверки на достъпа до работното пространство; незадължителна двуетапна проверка с TOTP; хеширане на пароли с Argon2id; сигурни сесии и защита от CSRF; карантина, валидиране на съдържанието и сканиране за зловреден софтуер.
Мерките включват също краткотрайно оторизиране за преглед; ограничителни настройки за кеширане; непублични пътища до обектите; записване на съществените действия с документи; определени срокове за съхранение на резервни копия; изтриване по график и ръчно изтриване; ограничен достъп до производствената среда; задължения за поверителност; проверка на доставчиците; и процедури за реагиране при инциденти.
Приложение 3: Подизпълнители
Актуалните подизпълнители, техните цели, категории данни, региони на обработване и гаранции при предаване са публикувани на sunsetdocs.com/subprocessors. Само доставчиците, посочени там като подизпълнители, са част от това Приложение по отношение на Личните данни на клиента.
15. Контакт
Въпроси, възражения, потвърждения за изтриване и подписани екземпляри можете да поискате на [email protected].