Sporazum o obdelavi podatkov PhotoRobot (DPA)

Ta dokument predstavlja PhotoRobot Sporazum o obdelavi podatkov: različica 1.0 — PhotoRobot Edition, uni-Robot Ltd., Češka republika.

‍

‍

1. Stranke

Ta pogodba o obdelavi podatkov ("DPA") je sklenjena med:

Krmilnik (stranka)
Posameznik ali pravna oseba, ki je sklenila pogoje uporabe PhotoRobot in uporablja storitev.

in

Procesor:
uni-Robot Ltd.
Vodičkova 710/31
110 00 Praga 1
Češka
ID podjetja: 01478061
DDV ID: CZ01478061
E-pošta: legal@photorobot.com

V nadaljevanju skupaj imenovani "Stranke".

Ta DPA dopolnjuje pogoje uporabe PhotoRobot in velja, kadar PhotoRobot obdeluje osebne podatke v imenu stranke.

‍

‍

2. Vsebina in narava obdelave

PhotoRobot ("Procesor") zagotavlja storitve v oblaku, lokalne programske razširitve, upravljanje vdelane programske opreme in gostiteljsko infrastrukturo, potrebno za obdelavo slik, metapodatkov in sorodnih digitalnih vsebin, ki jih naloži naročnik ("Kontrolor").

Obdelava vključuje:

• Zbirka
• Shranjevanje
• Prenos
• Ekstrakcija metapodatkov
• Sinhronizacija med CL ↔ Cloud
• Gostovanje vsebin, naloženih s strani strank
• ustvarjanje dnevnikov in diagnostike
• Rezervne operacije

Obdelava poteka izključno v imenu kontrolorja, v skladu z njegovimi dokumentiranimi navodili.

‍

‍

3. Trajanje

Ta DPA velja za čas trajanja pogodbenega razmerja med strankama in nato dokler procesor hrani ali obdeluje osebne podatke v imenu upravljavca.

‍

‍

4. Osebni podatki in kategorije subjektov

4.1. Vrste osebnih podatkov

Glede na način uporabe storitve lahko obdelani podatki vključujejo:

• Identifikacijski podatki (ime, priimek, podjetje)
• Kontaktni podatki (e-pošta, telefon)
• Vizualna vsebina (slike, videoposnetki)
• Metapodatki, povezani z naloženo vsebino
• dnevniški podatki, IP naslovi, tehnični identifikatorji
• Podatki na ravni projekta
• Poverilnice (zgoščene), dostopni žetoni

Obdelovalec ne zahteva ali namerno ne obdeluje posebnih kategorij podatkov (člen 9 GDPR).

‍

4.2. Kategorije subjektov podatkov

• Zaposleni pri stranki
• Stranke ali partnerji
• Pooblaščeni uporabniki
• Vsi posamezniki, predstavljeni v vizualni vsebini, ki jo naloži stranka

Stranka je edina odgovorna za zagotavljanje zakonitega zbiranja podatkov od subjektov.

‍

‍

5. Navodila od krmilnika

Procesor obdeluje le osebne podatke:

1. po dokumentiranih navodilih kontrolorja,
2. kot je potrebno za zagotavljanje storitve,
3. za zagotavljanje varnosti, integritete in razpoložljivosti sistemov,
4. kot zahteva zakonodaja EU ali češka.

Če procesor meni, da je ukaz nezakonit, mora obvestiti upravljavca.

‍

‍

6. Zaupnost

Procesor zagotavlja, da vse osebe, pooblaščene za obdelavo osebnih podatkov:

• so podvrženi obveznostim zaupnosti,
• so prejeli ustrezno usposabljanje,
• podatke obdelujejo izključno po navodilih kontrolorja.

‍

‍

7. Podprocesorji

Procesor uporablja določene tretje osebe ("podprocesorje") za podporo storitvi.

‍

7.1. Odobreni podprocesorji

Kontrolor podeljuje splošno pooblastilo procesorju, da sodeluje z naslednjimi kategorijami podprocesorjev:

• Ponudniki oblačne infrastrukture (npr. Google Cloud Platform)
• Ponudniki dostave elektronske pošte
• Ponudniki analitike
• Sistemi za prodajo vozovnic
• Storitve varnostnega nadzora
• Sistemi za varnostno kopiranje in obnovo po nesrečah

Popoln seznam se vzdržuje v seznamu PhotoRobot Sub-Processor List in se lahko posodablja.

‍

7.2. Obvestilo o spremembah

Procesor mora o vseh načrtovanih spremembah podprocesorjev obvestiti kontrolorja vsaj 15 dni vnaprej, kar mu omogoča ugovor na utemeljenih temeljih.

‍

‍

8. Mednarodni prenosi podatkov

Kjer so podprocesorji ali infrastruktura locirani zunaj EEA, procesor zagotavlja:

• uporaba standardnih pogodbenih klavzul (SCC 2021),
• dopolnilne tehnične in organizacijske varovalke,
• zmanjšan dostop in šifriranje,
• revizije skladnosti s strani osnovnega ponudnika.

Google Cloud Platform nudi:

• ISO 27001, ISO 27017, ISO 27018
• SOC poročila 1/2/3
• Dokumentacija skladnosti z GDPR

Podrobnosti so na voljo na https://cloud.google.com/security.

‍

‍

9. Varnostni ukrepi

Procesor mora izvajati industrijske standardne tehnične in organizacijske ukrepe (TOM), vključno z:

‍

9.1. Tehnični ukrepi

• TLS šifriranje podatkov med prenosom
• varno shranjevanje z šifriranimi dostopnimi žetoni
• Izolirana procesna okolja
• Zgoščevanje gesel
• Omejitve hitrosti in sistemi za zaznavanje vdorov
• Večplastna požarna pregrada
• fizična varnost podatkovnih centrov (prek Google Cloud)

‍

9.2. Organizacijski ukrepi

• Nadzor dostopa na osnovi vloge
• Beleženje in spremljanje dostopa
• Notranje politike za ravnanje s podatki
• Obveznosti zaupnosti zaposlenih
• Občasno varnostno usposabljanje
• Upravljanje tveganj dobaviteljev

Celoten seznam TOM-ov je na voljo na zahtevo.

‍

‍

10. Pravice subjektov podatkov

Procesor pomaga krmilniku pri odzivanju na:

• Zahteve za dostop
• Popravek
• izbris
• Omejitev
• Prenosljivost podatkov
• Ugovori

Procesor mora brez nepotrebnega zamika posredovati vsako neposredno zahtevo subjekta podatkov kontrolorju.

‍

‍

11. Obvestilo o vdoru v podatke

V primeru kršitve osebnih podatkov mora obdelovalec obvestiti upravljavca:

• brez nepotrebnega odlašanja,
• vključno z vsemi informacijami, ki jih zahteva člen 33 GDPR,
• in redno posodabljati do zaključka sanacije.

Kontrolor ostaja odgovoren za obveščanje organov in prizadetih oseb.

‍

‍

12. Brisanje ali vrnitev podatkov

Ob prekinitvi pogodbe:

• Procesor izbriše podatke o stranki po 30 dneh,
• razen če kontrolor ne naroči drugače,
• razen kadar je zadrževanje zahtevano po zakonu.

Varnostne kopije se prepišejo med njihovim običajnim življenjskim ciklom.

‍

‍

13. Revizije

Kontrolor ima pravico:

• prejmete dokumentacijo, ki dokazuje skladnost z GDPR
• zahteva poročilo o TOM-ih
• izvajati razumne revizije, omejene na enkrat letno
• zanašajo se na certifikate tretjih oseb (ISO/SOC poročila Google Cloud)

Revizije ne smejo ogroziti varnosti ali motiti delovanja.

‍

‍

14. Odgovornost

Odgovornost strank sledi pogojem uporabe.
Procesor je odgovoren le za kršitve, ki jih povzroči sam zaradi kršitev obveznosti GDPR.

‍

‍

15. Veljavno pravo in pristojnosti

Ta DPA urejajo zakoni Češke republike.

Spore rešujejo sodišča v Pragi na Češkem.

‍

‍

16. Standardne pogodbene klavzule (SCC)

Kjer je potrebno, se SCC 2021 (Modul 2: Krmilnik → procesor ) uporablja kot priloga k temu DPA.

PhotoRobot:

• vključuje SCC po referenci,
• vključuje vse obvezne klavzule,
• izvaja dopolnilne tehnične ukrepe
• zagotavlja skladnost pri prenosih na podprocesorje zunaj EGP.

SCC je mogoče v celoti zagotoviti na zahtevo.

‍

‍

17. Stik

uni-Robot Ltd.
Vodičkova 710/31
110 00 Praga 1
Češka

E-pošta: legal@photorobot.com

‍