Цей Додаток про опрацювання даних (DPA) є частиною Умов використання Sunset Docs між клієнтом і Esteve Castells Calpe, Barcelona, Spain. Він застосовується автоматично щоразу, коли Sunset Docs опрацьовує Персональні дані клієнта від імені клієнта. Окремо підписаний DPA має переважну силу там, де він прямо суперечить цьому документу.
1. Визначення
GDPR означає Регламент (ЄС) 2016/679. Терміни «контролер», «оператор», «персональні дані», «опрацювання», «суб'єкт даних» і «порушення захисту персональних даних» мають значення, наведені в GDPR. Персональні дані клієнта означають персональні дані, надіслані до робочого простору клієнта або створені в ньому, які Sunset Docs опрацьовує від імені клієнта.
Законодавство про захист даних означає GDPR та будь-яке інше законодавство про конфіденційність чи захист даних, що застосовується до опрацювання за цим DPA. Терміни «Сервіс» і «Клієнт» мають значення, наведені в Умовах.
2. Ролі та сфера дії
Клієнт є контролером або оператором, який діє від імені іншого контролера. Sunset Docs є оператором або додатковим оператором. Кожна сторона виконує власні обов'язки за Законодавством про захист даних.
Якщо клієнт діє як оператор, він підтверджує, що відповідний контролер дозволив його вказівки та залучення Sunset Docs. Додаток 1 описує опрацювання, на яке поширюється цей DPA.
3. Задокументовані вказівки
Sunset Docs опрацьовує Персональні дані клієнта лише за задокументованими вказівками, що містяться в Умовах, цьому DPA, конфігурації сервісу клієнта та дозволеному використанні функцій. Якщо право ЄС або держави-члена вимагає іншого опрацювання, ми повідомимо клієнта до початку опрацювання, якщо закон не забороняє такого повідомлення.
Ми повідомимо клієнта, якщо вважатимемо, що вказівка порушує Законодавство про захист даних, і можемо призупинити відповідне опрацювання, поки сторони не вирішать питання.
4. Конфіденційність
Кожна особа, яку Sunset Docs уповноважив опрацьовувати Персональні дані клієнта, має договірні або встановлені законом зобов'язання щодо конфіденційності й отримує доступ лише тоді, коли він потрібен для її ролі.
5. Безпека
Sunset Docs підтримує технічні й організаційні заходи, що відповідають ризикам опрацювання, з урахуванням сучасного рівня розвитку, витрат на впровадження, а також характеру, обсягу, контексту й цілей опрацювання. Поточні заходи описано в Додатку 2.
Ми можемо оновлювати заходи в міру змін сервісу за умови, що оновлення суттєво не знижує загального рівня захисту Персональних даних клієнта.
6. Додаткові оператори
Клієнт надає загальний письмовий дозвіл на залучення додаткових операторів, зазначених на сторінці додаткових операторів. Щонайменше за 30 днів до додавання чи заміни додаткового оператора, який опрацьовуватиме Персональні дані клієнта, ми повідомимо про це. Протягом цього строку клієнт може заперечити з обґрунтованих міркувань захисту даних.
Ми покладаємо на кожного додаткового оператора зобов'язання щодо захисту даних, які забезпечують по суті рівноцінний захист для відповідного опрацювання. Ми залишаємося відповідальними перед клієнтом за виконання зобов'язань додатковим оператором, як того вимагає закон. Якщо після обґрунтованого заперечення розумної альтернативи немає, клієнт може припинити користування відповідним сервісом і отримати пропорційне повернення передплати за невикористаний період.
7. Запити суб'єктів даних
З урахуванням характеру опрацювання ми надаватимемо розумне технічне й організаційне сприяння у виконанні запитів щодо здійснення прав суб'єктів даних. Якщо суб'єкт даних звертається безпосередньо до нас щодо Персональних даних клієнта, ми без зайвої затримки переадресуємо запит клієнтові й не відповідатимемо по суті, якщо не матимемо на це дозволу чи юридичного обов'язку.
8. Порушення захисту персональних даних
Ми повідомимо клієнта без зайвої затримки після того, як дізнаємося про порушення захисту персональних даних, що стосується Персональних даних клієнта. Ми надамо обґрунтовано доступну інформацію про характер порушення, категорії та приблизну кількість зачеплених суб'єктів і записів, імовірні наслідки, а також вжиті чи запропоновані заходи.
Інформацію можна надавати поетапно. Ми не затримуватимемо первинне повідомлення лише через те, що ще відомі не всі подробиці, і надамо розумне сприяння у виконанні клієнтом обов'язків щодо нотифікації та повідомлення.
9. Інше сприяння
З урахуванням характеру опрацювання та доступної нам інформації ми надаватимемо розумне сприяння у виконанні обов'язків щодо безпеки, оцінювання впливу на захист даних і попередніх консультацій із наглядовими органами, якщо вони стосуються Сервісу.
10. Міжнародне передавання
Обмежене передавання відбуватиметься лише на підставі механізму, дозволеного главою V GDPR. Залежно від одержувача це може бути рішення про адекватність, Рамкова програма конфіденційності даних ЄС-США (EU-US Data Privacy Framework), якщо одержувач сертифікований, або стандартні договірні положення Європейської Комісії з додатковими заходами, де це потрібно. Відомості про постачальників опубліковано на сторінці додаткових операторів.
11. Інформація та аудити
Ми надаватимемо інформацію, обґрунтовано необхідну для підтвердження дотримання статті 28 GDPR, зокрема відповіді на пропорційні письмові запитання щодо безпеки. Клієнт може перевіряти дотримання вимог не частіше ніж раз на 12 місяців, з попередженням щонайменше за 30 днів, у робочий час, за власний рахунок і на умовах конфіденційності, не порушуючи роботи сервісу й не отримуючи доступу до даних інших клієнтів.
Обмеження щодо частоти й попередження не застосовуються після підозрюваного порушення, за наявності достовірних доказів суттєвої невідповідності або на запит наглядового органу. Перед аудитом на місці слід провести перевірку документації, якщо вона може обґрунтовано задовольнити запит.
12. Повернення та видалення
Налаштований розклад видалення є чинною задокументованою вказівкою і не продовжується через скасування підписки. Клієнт може видалити дані раніше. До завершення опрацювання клієнт може отримати оригінали, для яких власник увімкнув завантаження, або запросити розумний експорт активних Персональних даних клієнта на рівні сервісу.
Після завершення опрацювання клієнт може доручити нам повернути й видалити активні Персональні дані клієнта або видалити їх без повернення, якщо право ЄС чи держави-члена не вимагає їх зберігання. Якщо клієнт не дає інших вказівок, наявні розклади видалення продовжують діяти. Залишки в зашифрованих резервних копіях бази даних зникають протягом 30 днів і залишаються захищеними до видалення.
Мінімальні записи про видалення без вмісту та записи аудиту можуть зберігатися 12 місяців для безпеки та підзвітності. На письмовий запит ми підтвердимо завершення відповідного процесу видалення.
13. Відповідальність
До цього DPA застосовуються положення Умов про відповідальність. Вони не обмежують прав суб'єктів даних, повноважень наглядових органів чи відповідальності, яку Законодавство про захист даних не дозволяє сторонам виключати чи обмежувати.
14. Строк дії та пріоритетність
Цей DPA діє, доки Sunset Docs опрацьовує Персональні дані клієнта. З питань захисту даних він має переважну силу над Умовами. Зміни до DPA вносяться в порядку, встановленому Умовами, за винятком того, що зміна, якої вимагає закон, може набрати чинності раніше з повідомленням.
Додаток 1. Відомості про опрацювання
Предмет: надання та підтримка сервісу приймання документів Sunset Docs. Тривалість: строк дії договору плюс кожен налаштований строк видалення, будь-який погоджений період експорту та захищений цикл резервного копіювання.
Характер і цілі: отримання, перевірка, сканування на шкідливе ПЗ, шифрування, зберігання, створення зображень сторінок, відображення, сповіщення, друк, якщо його ввімкнено, надання дозволених власником завантажень оригіналів, аудит і видалення тимчасових документів.
Суб'єкти даних: відправники документів, користувачі та персонал клієнта, його клієнти, підрядники, постачальники та інші особи, чия інформація міститься в надісланих документах. Персональні дані можуть включати імена, контактну інформацію, ідентифікаційні, ділові, професійні та фінансові дані, вміст документів, назви файлів, електронну адресу відправника, метадані, дані безпеки, отримані з IP-адрес, та історію доступу.
Дані особливих категорій і дані високого ризику не передбачені й не дозволені, якщо інше не погоджено окремо в письмовій формі. Клієнт не повинен надсилати дані дітей, дані про кримінальні судимості, повні дані платіжних карток, облікові дані, секрети чи дані, які він не має законного права опрацьовувати.
Додаток 2. Технічні та організаційні заходи
Заходи включають шифрування об'єктів документів на рівні застосунку за алгоритмом AES-256-GCM; окремо загорнуті ключі для кожного документа; TLS під час передавання; приватну інфраструктуру; приватне зашифроване дзеркало R2; перевірку доступу до робочого простору; необов'язкову двоетапну перевірку TOTP; хешування паролів за допомогою Argon2id; захищені сеанси та захист від CSRF; карантин, перевірку вмісту та сканування на шкідливе ПЗ.
Заходи також включають короткочасну авторизацію переглядача; суворе керування кешуванням; непублічні шляхи об'єктів; журналювання суттєвих дій із документами; визначений строк зберігання резервних копій; видалення за розкладом і вручну; обмежений доступ до робочого середовища; зобов'язання щодо конфіденційності; перевірку постачальників і процедури реагування на інциденти.
Додаток 3. Додаткові оператори
Чинний перелік додаткових операторів, їхні цілі, категорії даних, регіони опрацювання та гарантії передавання опубліковано на sunsetdocs.com/subprocessors. До цього Додатка щодо Персональних даних клієнта належать лише постачальники, зазначені там як додаткові оператори.
15. Контакти
Запитання, заперечення, підтвердження видалення та підписані примірники можна запросити на [email protected].