Acest Acord privind prelucrarea datelor face parte din Termenii și condițiile de utilizare Sunset Docs încheiați între client și Esteve Castells Calpe, Barcelona, Spain. Se aplică automat ori de câte ori Sunset Docs prelucrează Date cu caracter personal ale clientului în numele acestuia. Un DPA semnat separat prevalează atunci când contravine în mod expres prezentului document.
1. Definiții
RGPD înseamnă Regulamentul (UE) 2016/679. Termenii operator, persoană împuternicită de operator, date cu caracter personal, prelucrare, persoană vizată și încălcarea securității datelor cu caracter personal au înțelesul prevăzut în RGPD. Date cu caracter personal ale clientului înseamnă datele cu caracter personal trimise într-un spațiu de lucru al clientului sau generate în cadrul acestuia, pe care Sunset Docs le prelucrează în numele clientului.
Legislația privind protecția datelor înseamnă RGPD și orice altă lege privind viața privată sau protecția datelor aplicabilă prelucrării efectuate în temeiul acestui DPA. Serviciul și Clientul au înțelesul prevăzut în Termeni.
2. Roluri și domeniu de aplicare
Clientul este operatorul sau o persoană împuternicită care acționează pentru un alt operator. Sunset Docs este persoana împuternicită de operator sau subîmputernicitul. Fiecare parte își va îndeplini propriile obligații în temeiul Legislației privind protecția datelor.
Atunci când clientul acționează ca persoană împuternicită, acesta confirmă că operatorul relevant i-a autorizat instrucțiunile și angajarea Sunset Docs. Anexa 1 descrie prelucrarea acoperită de acest DPA.
3. Instrucțiuni documentate
Sunset Docs prelucrează Datele cu caracter personal ale clientului numai pe baza instrucțiunilor documentate cuprinse în Termeni, în acest DPA, în configurația serviciului stabilită de client și în utilizarea autorizată a funcționalităților. Dacă dreptul Uniunii sau dreptul intern al unui stat membru impune o altă prelucrare, vom informa clientul înainte de prelucrare, cu excepția cazului în care legea interzice o astfel de informare.
Vom informa clientul dacă apreciem că o instrucțiune încalcă Legislația privind protecția datelor și putem suspenda prelucrarea afectată până când părțile soluționează situația.
4. Confidențialitate
Fiecare persoană autorizată de Sunset Docs să prelucreze Date cu caracter personal ale clientului are obligații contractuale sau legale de confidențialitate și primește acces numai în măsura în care rolul său o impune.
5. Securitate
Sunset Docs menține măsuri tehnice și organizatorice adecvate riscurilor prelucrării, ținând seama de stadiul actual al dezvoltării, de costurile implementării și de natura, domeniul de aplicare, contextul și scopurile prelucrării. Măsurile actuale sunt descrise în Anexa 2.
Putem actualiza măsurile pe măsură ce serviciul se schimbă, cu condiția ca actualizarea să nu reducă în mod semnificativ nivelul general de protecție a Datelor cu caracter personal ale clientului.
6. Subîmputerniciți
Clientul acordă o autorizare generală scrisă pentru subîmputerniciții indicați pe pagina Subîmputerniciți. Vom trimite o notificare cu cel puțin 30 de zile înainte de a adăuga sau înlocui un subîmputernicit care va prelucra Date cu caracter personal ale clientului. Clientul poate obiecta în această perioadă din motive rezonabile legate de protecția datelor.
Impunem fiecărui subîmputernicit obligații privind protecția datelor care oferă o protecție în esență echivalentă pentru prelucrarea respectivă. Rămânem răspunzători față de client pentru îndeplinirea obligațiilor de către subîmputernicit, în condițiile prevăzute de lege. Dacă, după o obiecție valabilă, nu există nicio alternativă rezonabilă, clientul poate rezilia serviciul afectat și poate primi rambursarea proporțională a sumelor plătite în avans pentru perioada neutilizată.
7. Cererile persoanelor vizate
Ținând seama de natura prelucrării, vom oferi asistență tehnică și organizatorică rezonabilă pentru cererile de exercitare a drepturilor persoanelor vizate. Dacă o persoană vizată ne contactează direct în legătură cu Date cu caracter personal ale clientului, vom transmite cererea clientului fără întârzieri nejustificate și nu vom răspunde pe fond decât dacă suntem autorizați sau obligați de lege.
8. Încălcări ale securității datelor cu caracter personal
Vom notifica clientul fără întârzieri nejustificate după ce luăm cunoștință de o încălcare a securității datelor cu caracter personal care afectează Date cu caracter personal ale clientului. Vom furniza informațiile disponibile în mod rezonabil privind natura încălcării, categoriile și numărul aproximativ al celor afectați, consecințele probabile și măsurile luate sau propuse.
Informațiile pot fi furnizate în etape. Nu vom amâna o notificare inițială doar pentru că nu sunt încă cunoscute toate detaliile și vom oferi asistență rezonabilă pentru obligațiile clientului de notificare și de informare.
9. Alte forme de asistență
Ținând seama de natura prelucrării și de informațiile de care dispunem, vom oferi asistență rezonabilă privind obligațiile de securitate, evaluările impactului asupra protecției datelor și consultările prealabile cu autoritățile de supraveghere, atunci când acestea se referă la Serviciu.
10. Transferuri internaționale
Un transfer restricționat va avea loc numai în temeiul unui mecanism permis de capitolul V din RGPD. În funcție de destinatar, acesta poate include o decizie privind caracterul adecvat, Cadrul UE-SUA privind protecția datelor, dacă destinatarul este certificat, sau clauzele contractuale standard ale Comisiei Europene, cu măsuri suplimentare acolo unde este necesar. Detaliile despre furnizori sunt publicate pe pagina Subîmputerniciți.
11. Informații și audituri
Vom furniza informațiile necesare în mod rezonabil pentru a demonstra respectarea articolului 28 din RGPD, inclusiv răspunsuri la întrebări scrise proporționale privind securitatea. Clientul poate audita conformitatea cel mult o dată la 12 luni, cu o notificare prealabilă de cel puțin 30 de zile, în timpul programului de lucru, pe cheltuiala sa și sub obligație de confidențialitate, fără a perturba serviciul și fără a accesa datele altui client.
Limitele privind frecvența și notificarea nu se aplică după o încălcare suspectată, în prezența unor dovezi credibile de neconformitate semnificativă sau la cererea unei autorități de supraveghere. Analiza documentației ar trebui folosită înaintea unui audit la fața locului atunci când poate satisface în mod rezonabil cererea.
12. Returnare și ștergere
Programul de ștergere configurat este o instrucțiune documentată continuă și nu se prelungește prin anularea abonamentului. Clientul poate șterge datele mai devreme. Înainte de încetarea prelucrării, clientul poate descărca originalele pentru care proprietarul a activat descărcarea sau poate solicita un export rezonabil la nivel de serviciu al Datelor cu caracter personal active ale clientului.
La încetarea prelucrării, clientul ne poate instrui să returnăm și să ștergem Datele cu caracter personal active ale clientului sau să le ștergem fără a le returna, cu excepția cazului în care dreptul Uniunii sau dreptul intern al unui stat membru impune stocarea lor. Dacă clientul nu dă o altă instrucțiune, programele de ștergere existente continuă. Datele reziduale din backupurile criptate ale bazei de date expiră în cel mult 30 de zile și rămân protejate până la ștergere.
Înregistrările minime de ștergere și de audit, fără conținut, pot rămâne timp de 12 luni din motive de securitate și de responsabilitate. La cerere scrisă, vom confirma finalizarea procesului de ștergere aplicabil.
13. Răspundere
Clauzele privind răspunderea din Termeni se aplică acestui DPA. Ele nu limitează drepturile persoanelor vizate, competențele autorităților de supraveghere sau răspunderea pe care Legislația privind protecția datelor nu permite părților să o excludă sau să o limiteze.
14. Durată și ordinea de prioritate
Acest DPA se aplică atât timp cât Sunset Docs prelucrează Date cu caracter personal ale clientului. Pentru aspectele privind protecția datelor, el prevalează asupra Termenilor. Modificările DPA urmează procedura de modificare din Termeni, cu excepția faptului că o modificare impusă de lege poate intra în vigoare mai devreme, cu notificare.
Anexa 1: Detalii privind prelucrarea
Obiectul prelucrării: furnizarea și susținerea serviciului Sunset Docs de primire a documentelor. Durata: durata contractului, la care se adaugă fiecare perioadă de ștergere configurată, orice perioadă de export convenită și ciclul backupurilor protejate.
Natura și scopurile: primirea, validarea, scanarea malware, criptarea, stocarea, previzualizarea, afișarea, notificarea, printarea acolo unde este activată, permiterea descărcării originalelor autorizate de proprietar, auditarea și ștergerea documentelor temporare.
Persoanele vizate: expeditorii documentelor, utilizatorii și personalul clientului, clienții, colaboratorii, furnizorii și alte persoane ale căror informații apar în documentele trimise. Datele cu caracter personal pot include nume, date de contact, date de identificare, informații comerciale, profesionale și financiare, conținutul documentelor, numele fișierelor, adresa de email a expeditorului, metadate, date de securitate derivate din adresa IP și activitatea de acces.
Categoriile speciale de date și datele cu risc ridicat nu sunt avute în vedere și nici autorizate, cu excepția cazului în care s-a convenit separat în scris. Clientul nu trebuie să trimită date ale copiilor, date privind condamnările penale, date complete ale cardurilor de plată, date de autentificare, secrete sau date pe care nu are dreptul legal să le prelucreze.
Anexa 2: Măsuri tehnice și organizatorice
Măsurile includ criptarea la nivelul aplicației a obiectelor documentelor cu AES-256-GCM; chei pentru fiecare document, învelite separat; TLS în tranzit; infrastructură privată; o oglindă R2 privată și criptată; verificări ale accesului la spațiul de lucru; verificare opțională în doi pași cu TOTP; hash-uri de parole Argon2id; sesiuni securizate și protecție CSRF; carantină, validarea conținutului și scanare malware.
Măsurile includ, de asemenea, autorizări de scurtă durată pentru vizualizator; controale restrictive ale cache-ului; căi nepublice pentru obiecte; înregistrarea acțiunilor importante asupra documentelor; perioade definite de păstrare a backupurilor; ștergere programată și manuală; acces restricționat la mediul de producție; obligații de confidențialitate; evaluarea furnizorilor; și proceduri de răspuns la incidente.
Anexa 3: Subîmputerniciți
Subîmputerniciții actuali, scopurile lor, categoriile de date, regiunile de prelucrare și garanțiile pentru transferuri sunt publicate la sunsetdocs.com/subprocessors. Numai furnizorii indicați acolo ca subîmputerniciți fac parte din această anexă în ceea ce privește Datele cu caracter personal ale clientului.
15. Contact
Întrebările, obiecțiile, confirmările de ștergere și exemplarele semnate pot fi solicitate la [email protected].