Tento Dodatok o spracúvaní osobných údajov (ďalej len „DPA“) je súčasťou Obchodných podmienok Sunset Docs medzi zákazníkom a prevádzkovateľom Esteve Castells Calpe, Barcelona, Spain. Uplatňuje sa automaticky vždy, keď Sunset Docs spracúva Osobné údaje zákazníka v mene zákazníka. Samostatne podpísaný DPA má prednosť, ak je s týmto dokumentom vo výslovnom rozpore.
1. Vymedzenie pojmov
GDPR znamená nariadenie (EÚ) 2016/679. Pojmy prevádzkovateľ, sprostredkovateľ, osobné údaje, spracúvanie, dotknutá osoba a porušenie ochrany osobných údajov majú význam uvedený v GDPR. Osobné údaje zákazníka sú osobné údaje odoslané do pracovného priestoru zákazníka alebo v ňom vytvorené, ktoré Sunset Docs spracúva v mene zákazníka.
Právne predpisy o ochrane údajov znamenajú GDPR a akékoľvek iné právne predpisy o ochrane súkromia alebo osobných údajov, ktoré sa vzťahujú na spracúvanie podľa tohto DPA. Pojmy Služba a Zákazník majú význam uvedený v Podmienkach.
2. Roly a rozsah
Zákazník je prevádzkovateľom alebo sprostredkovateľom konajúcim v mene iného prevádzkovateľa. Sunset Docs je sprostredkovateľom alebo ďalším sprostredkovateľom. Každá zmluvná strana plní svoje vlastné povinnosti podľa Právnych predpisov o ochrane údajov.
Ak zákazník koná ako sprostredkovateľ, potvrdzuje, že príslušný prevádzkovateľ schválil jeho pokyny a zapojenie Sunset Docs. Príloha 1 opisuje spracúvanie, na ktoré sa tento DPA vzťahuje.
3. Zdokumentované pokyny
Sunset Docs spracúva Osobné údaje zákazníka iba na základe zdokumentovaných pokynov obsiahnutých v Podmienkach, v tomto DPA, v konfigurácii služby zákazníkom a pri oprávnenom používaní funkcií. Ak právo Únie alebo členského štátu vyžaduje iné spracúvanie, informujeme o tom zákazníka pred spracúvaním, pokiaľ takéto informovanie zákon nezakazuje.
Zákazníka budeme informovať, ak sa domnievame, že pokyn porušuje Právne predpisy o ochrane údajov, a dotknuté spracúvanie môžeme pozastaviť, kým to zmluvné strany nevyriešia.
4. Dôvernosť
Každá osoba, ktorú Sunset Docs oprávnil spracúvať Osobné údaje zákazníka, je viazaná zmluvnou alebo zákonnou povinnosťou mlčanlivosti a prístup dostáva iba vtedy, ak ho potrebuje pre svoju funkciu.
5. Bezpečnosť
Sunset Docs prijíma technické a organizačné opatrenia primerané rizikám spracúvania, pričom zohľadňuje najnovšie poznatky, náklady na vykonanie opatrení a povahu, rozsah, kontext a účely spracúvania. Aktuálne opatrenia sú opísané v Prílohe 2.
Opatrenia môžeme so zmenami služby aktualizovať, ak aktualizácia podstatne neznižuje celkovú ochranu Osobných údajov zákazníka.
6. Ďalší sprostredkovatelia
Zákazník udeľuje všeobecné písomné povolenie pre ďalších sprostredkovateľov uvedených na stránke Ďalší sprostredkovatelia. Pred pridaním alebo nahradením ďalšieho sprostredkovateľa, ktorý bude spracúvať Osobné údaje zákazníka, upovedomíme zákazníka najmenej 30 dní vopred. Zákazník môže počas tejto lehoty namietať z primeraných dôvodov týkajúcich sa ochrany údajov.
Každému ďalšiemu sprostredkovateľovi ukladáme povinnosti v oblasti ochrany údajov, ktoré poskytujú v podstate rovnocennú ochranu pre príslušné spracúvanie. Voči zákazníkovi zostávame zodpovední za plnenie povinností ďalšieho sprostredkovateľa v rozsahu, ktorý vyžaduje zákon. Ak po oprávnenej námietke nie je k dispozícii primeraná alternatíva, zákazník môže dotknutú službu ukončiť a dostane pomerne vrátené vopred zaplatené poplatky za nevyužité obdobie.
7. Žiadosti dotknutých osôb
So zreteľom na povahu spracúvania poskytneme primeranú technickú a organizačnú pomoc pri vybavovaní žiadostí o uplatnenie práv dotknutých osôb. Ak nás dotknutá osoba kontaktuje priamo v súvislosti s Osobnými údajmi zákazníka, postúpime žiadosť zákazníkovi bez zbytočného odkladu a vecne na ňu neodpovieme, pokiaľ na to nebudeme oprávnení alebo povinní podľa zákona.
8. Porušenia ochrany osobných údajov
Po tom, ako sa dozvieme o porušení ochrany osobných údajov, ktoré sa týka Osobných údajov zákazníka, upovedomíme zákazníka bez zbytočného odkladu. Poskytneme informácie, ktoré sú primerane dostupné, o povahe porušenia, dotknutých kategóriách a približnom počte, pravdepodobných následkoch a prijatých alebo navrhovaných opatreniach.
Informácie sa môžu poskytovať postupne. Prvotné oznámenie neodložíme len preto, že ešte nie sú známe všetky podrobnosti, a poskytneme primeranú pomoc pri plnení povinností zákazníka týkajúcich sa oznamovania a informovania.
9. Ďalšia pomoc
So zreteľom na povahu spracúvania a informácie, ktoré máme k dispozícii, poskytneme primeranú pomoc pri plnení povinností v oblasti bezpečnosti, posúdení vplyvu na ochranu údajov a predchádzajúcich konzultáciách s dozornými orgánmi, ak sa týkajú Služby.
10. Medzinárodné prenosy
Obmedzený prenos sa uskutoční iba na základe mechanizmu povoleného kapitolou V GDPR. V závislosti od príjemcu to môže zahŕňať rozhodnutie o primeranosti, rámec ochrany údajov medzi EÚ a USA, ak je príjemca certifikovaný, alebo štandardné zmluvné doložky Európskej komisie s doplňujúcimi opatreniami, ak sú potrebné. Údaje o poskytovateľoch sú zverejnené na stránke Ďalší sprostredkovatelia.
11. Informácie a audity
Poskytneme informácie primerane potrebné na preukázanie súladu s článkom 28 GDPR vrátane odpovedí na primerané písomné bezpečnostné otázky. Zákazník môže vykonať audit súladu najviac raz za 12 mesiacov, s oznámením najmenej 30 dní vopred, počas pracovnej doby, na vlastné náklady a za podmienok mlčanlivosti, bez narušenia služby a bez prístupu k údajom iného zákazníka.
Obmedzenia frekvencie a oznámenia sa neuplatňujú po podozrení z porušenia, pri dôveryhodných dôkazoch o podstatnom nesúlade alebo na žiadosť dozorného orgánu. Pred auditom na mieste by sa mala použiť kontrola dokumentácie, ak môže žiadosť primerane uspokojiť.
12. Vrátenie a vymazanie
Nastavený harmonogram vymazania je trvalým zdokumentovaným pokynom a zrušením predplatného sa nepredlžuje. Zákazník môže údaje vymazať skôr. Pred ukončením spracúvania môže zákazník získať originály, pri ktorých vlastník povolil sťahovanie, alebo požiadať o primeraný export aktívnych Osobných údajov zákazníka na úrovni služby.
Po ukončení spracúvania nám zákazník môže dať pokyn aktívne Osobné údaje zákazníka vrátiť a vymazať alebo ich vymazať bez vrátenia, pokiaľ právo Únie alebo členského štátu nevyžaduje ich uchovávanie. Ak zákazník nedá iný pokyn, existujúce harmonogramy vymazania pokračujú. Zvyšky v šifrovaných zálohách databázy zaniknú do 30 dní a až do vymazania zostávajú chránené.
Minimálne záznamy o vymazaní bez obsahu a auditné záznamy môžu zostať 12 mesiacov na účely bezpečnosti a zodpovednosti. Na písomnú žiadosť potvrdíme dokončenie príslušného procesu vymazania.
13. Zodpovednosť
Na tento DPA sa vzťahujú ustanovenia o zodpovednosti uvedené v Podmienkach. Neobmedzujú práva dotknutých osôb, právomoci dozorných orgánov ani zodpovednosť, ktorú Právne predpisy o ochrane údajov neumožňujú zmluvným stranám vylúčiť alebo obmedziť.
14. Trvanie a prednosť
Tento DPA sa uplatňuje, kým Sunset Docs spracúva Osobné údaje zákazníka. Vo veciach ochrany údajov má prednosť pred Podmienkami. Zmeny DPA sa riadia postupom pre zmeny uvedeným v Podmienkach, s tým, že zmena vyžadovaná zákonom môže nadobudnúť účinnosť skôr, s oznámením.
Príloha 1: Podrobnosti o spracúvaní
Predmet: poskytovanie a podpora služby Sunset Docs na príjem dokumentov. Trvanie: doba trvania zmluvy plus každá nastavená lehota vymazania, prípadná dohodnutá lehota na export a cyklus chránených záloh.
Povaha a účely: prijímanie, validácia, skenovanie škodlivého softvéru, šifrovanie, uchovávanie, vytváranie náhľadov, zobrazovanie, upovedomovanie, tlač, ak je povolená, umožnenie sťahovania originálov schváleného vlastníkom, audit a vymazávanie dočasných dokumentov.
Dotknuté osoby: odosielatelia dokumentov, používatelia a zamestnanci zákazníka, klienti, zmluvní partneri, dodávatelia a ďalšie osoby, ktorých informácie sa nachádzajú v odoslaných dokumentoch. Osobné údaje môžu zahŕňať mená, kontaktné údaje, identifikačné, obchodné, profesijné a finančné informácie, obsah dokumentov, názvy súborov, e-mail odosielateľa, metaúdaje, bezpečnostné údaje odvodené z IP adresy a aktivitu prístupu.
Osobitné kategórie a vysoko rizikové údaje nie sú zamýšľané ani povolené, pokiaľ nie sú samostatne písomne dohodnuté. Zákazník nesmie odosielať údaje detí, údaje o odsúdeniach za trestné činy, úplné údaje platobných kariet, prihlasovacie údaje, tajomstvá ani údaje, na ktorých spracúvanie nemá zákonné oprávnenie.
Príloha 2: Technické a organizačné opatrenia
Opatrenia zahŕňajú šifrovanie objektov dokumentov algoritmom AES-256-GCM na úrovni aplikácie; samostatne zabalené kľúče pre každý dokument; TLS pri prenose; súkromnú infraštruktúru; súkromné šifrované zrkadlo R2; kontroly prístupu k pracovnému priestoru; voliteľné dvojstupňové overenie TOTP; hašovanie hesiel algoritmom Argon2id; zabezpečené relácie a ochranu proti CSRF; karanténu, validáciu obsahu a skenovanie škodlivého softvéru.
Opatrenia zahŕňajú aj krátkodobú autorizáciu prehliadača; reštriktívne nastavenia vyrovnávacej pamäte; neverejné cesty k objektom; zaznamenávanie podstatných úkonov s dokumentmi; stanovené uchovávanie záloh; plánované a manuálne vymazanie; obmedzený prístup k produkčnému prostrediu; povinnosti mlčanlivosti; preverovanie poskytovateľov a postupy reakcie na incidenty.
Príloha 3: Ďalší sprostredkovatelia
Aktuálni ďalší sprostredkovatelia, ich účely, kategórie údajov, regióny spracúvania a záruky pri prenose sú zverejnení na sunsetdocs.com/subprocessors. Súčasťou tejto prílohy pre Osobné údaje zákazníka sú iba poskytovatelia, ktorí sú tam uvedení ako ďalší sprostredkovatelia.
15. Kontakt
Otázky, námietky, potvrdenia o vymazaní a podpísané kópie si môžete vyžiadať na [email protected].