Споразумение за обработка на данни (DPA)

1. Дефиниции

За целите на този DPA термините „лични данни“, „обработване“, „администратор“, „обработващ“, „субект на данни“, „нарушение на сигурността на личните данни“ и „надзорен орган“ имат значенията, дадени в GDPR. В допълнение:

• „Споразумение“ означава Общите условия, всеки формуляр за поръчка и този DPA заедно.
• „Клиентски данни“ означава лични данни, които Клиентът или негови упълномощени потребители предоставят на или които се генерират в рамките на Услугата, включително данни за поръчка на краен клиент.
• „Услуга“ означава платформата за управление на поръчки OrderSilo COD, таблото за управление, API и свързани услуги.
• „Подобработващ“ означава всяка трета страна, ангажирана от OrderSilo да обработва Клиентски данни, за да предостави Услугата.

2. Роли на страните

За Клиентски данни, свързани с крайни клиенти на Клиента (имена, телефонни номера, адреси за доставка, подробности за поръчката и свързани полета, подадени чрез целевите страници, витрини или интеграции на Клиента), Клиентът действа като администратор на данни, а OrderSilo действа като обработващ данни, като обработва тези данни единствено по документирани инструкции на Клиента за предоставяне на Услугата.

За данни за акаунти и работни пространства, свързани със собствения персонал на Клиента (притежатели на акаунти, членове на екипа, контакти за фактуриране), OrderSilo обикновено действа като независим администратор, както е описано в нашата Политика за поверителност, освен когато страните се договорят писмено за друго.

Този DPA се прилага само доколкото OrderSilo обработва лични данни като обработващ от името на Клиента.

3. Инструкции на клиента

OrderSilo ще обработва Клиентски данни само по документирани инструкции на Клиента, включително както е посочено в Споразумението, както е конфигурирано от Клиента в Услугата (например домейни, правила за измами и настройки за куриер) и както е необходимо за спазване на законодателството на ЕС или на държава-членка, освен ако това право не забранява разкриването.

Клиентът е отговорен за законосъобразността на своите инструкции и за гарантиране, че има валидно правно основание и, когато е необходимо, подходящи известия и съгласие от своите крайни клиенти да предоставят своите данни на Услугата.

Ако OrderSilo смята, че дадена инструкция нарушава GDPR или друг приложим закон за защита на данните, ние ще информираме Клиента без неоправдано забавяне.

4. Конфиденциалност на персонала

OrderSilo гарантира, че персоналът, упълномощен да обработва клиентски данни, е обвързан от подходящи задължения за поверителност, независимо дали са договорни или законови, и получава обучение, подходящо за тяхната роля при обработката на лични данни.

5. Сигурност на обработката

Като взема предвид състоянието на техниката, разходите за внедряване и естеството, обхвата, контекста и целите на обработката, както и риска за субектите на данни, OrderSilo прилага подходящи технически и организационни мерки, включително:

• Криптиране на лични данни при пренос с помощта на модерен TLS.
• Изолация на наемателя между работните пространства на клиента, наложена на ниво инфраструктура и база данни.
• Контрол на достъпа, ограничаващ достъпа на персонала до клиентските данни на принципа „необходимост да се знае“.
• Криптографска проверка (подписване на HMAC) на данните за поръчката, подадени чрез нашия API и интеграции на маркери на скриптове.
• Регистриране и наблюдение на значителна системна и акаунт дейност.
• Редовен преглед на практиките за сигурност, в съответствие с Приложение 2 от това DPA.
• Документирана политика за реагиране при инциденти, управляваща откриването, ограничаването и уведомяването за инциденти със сигурността.

6. Подпроцесори

Клиентът упълномощава OrderSilo да ангажира Подпроцесори за предоставяне на Услугата, включително хостинг, доставка на имейли, анализи и доставчици на платежна инфраструктура. Обобщение на категориите е дадено в приложение 3.

OrderSilo налага задължения за защита на данните на всеки Под-обработващ, които по същество са подобни на тези в този DPA, чрез писмени споразумения в съответствие с член 28 (4) от GDPR.

OrderSilo остава отговорен пред Клиента за изпълнението от страна на Под-обработващия на неговите задължения за защита на данните.

OrderSilo ще предостави актуален, именуван списък на Под-обработващите при поискване чрез hello@ordersilo.app, и ще уведоми Клиента в разумен срок предварително за всяко планирано добавяне или замяна на Под-обработващ, което включва обработка на Клиентски данни, което позволява на Клиента да възрази на разумни основания за защита на данните. Ако страните не могат да разрешат възражението, Клиентът може да прекрати засегнатата част от Услугата.

7. Международни трансфери на данни

OrderSilo основно съхранява и обработва клиентски данни в Европейското икономическо пространство (ЕИП) — понастоящем AWS Frankfurt (eu-central-1).

Когато подпроцесор или интегрирана услуга (например рекламна или аналитична платформа, активирана от Клиента) включва прехвърляне на лични данни извън ЕИП, OrderSilo разчита на решение за адекватност на Европейската комисия, Стандартните договорни клаузи (2021/914/ЕС) или друг законен механизъм за прехвърляне и ще предостави подробности при поискване.

8. Съдействие относно правата на субектите на данни

Като се има предвид естеството на обработката, OrderSilo ще предостави разумна помощ на Клиента чрез подходящи технически и организационни мерки, за да може Клиентът да отговори на искания от субекти на данни, упражняващи правата си съгласно GDPR (достъп, коригиране, изтриване, ограничаване, преносимост и възражение).

Когато субект на данни се свърже директно с OrderSilo по отношение на данни на краен клиент, контролирани от Клиента, ние ще препратим искането към Клиента без неоправдано забавяне и ще предоставим разумна подкрепа.

9. Уведомление за нарушение на сигурността на личните данни

OrderSilo ще уведоми Клиента без неоправдано забавяне и при всички случаи в рамките на 72 часа след узнаването, след потвърждаване на нарушение на сигурността на личните данни, засягащо Данните на клиента, които OrderSilo обработва като обработващ.

Уведомлението ще описва, до известна степен, естеството на нарушението, категориите и приблизителния брой засегнати субекти на данни и записи, вероятните последици и мерките, предприети или предложени за справяне с нарушението и смекчаване на последиците от него.

OrderSilo ще осигури разумно сътрудничество и информация, за да помогне на Клиента да изпълни собствените си задължения за уведомяване съгласно членове 33 и 34 от GDPR.

За да съобщите за подозрителен инцидент със сигурността, свържете се с hello@ordersilo.app. Вижте нашата Политика за реакция при инциденти за повече подробности.

10. Оценки на въздействието върху защитата на данните

OrderSilo ще предостави разумно поискана информация за Услугата, за да помогне на Клиента при извършване на оценка на въздействието върху защитата на данните (DPIA) или при консултация с надзорен орган, когато такава помощ се изисква съгласно членове 35 и 36 от GDPR и е разумно достъпна за нас.

11. Одити и съответствие

OrderSilo ще предостави на Клиента разумно необходима информация, за да демонстрира съответствие с този DPA, включително отговаряйки на разумни писмени искания за информация.

Когато такава информация не е достатъчна, Клиентът (или независим, взаимно съгласуван одитор трета страна, обвързан с поверителност) може да извърши одит на съответните дейности на OrderSilo по обработка на данни, не повече от веднъж на 12-месечен период, при липса на нарушение на сигурността на личните данни или регулаторно изискване, предмет на разумно предварително писмено уведомление, договорен обхват и Клиентът поема собствените си разходи. Одитите трябва да се извършват в работно време и не трябва да прекъсват необосновано операциите на OrderSilo или да компрометират поверителността или сигурността на други клиенти.

12. Връщане и изтриване на Клиентски данни

При прекратяване или изтичане на Споразумението и при писмено искане на Клиента в рамките на 30 дни от тази дата, OrderSilo ще изтрие или, когато е технически осъществимо и поискано, ще върне Клиентските данни, обработени от името на Клиента, освен до степента, в която приложимото законодателство изисква запазване (например фактуриране, данъци или счетоводни записи), в който случай OrderSilo ще продължи да защитава тези данни в съответствие с този DPA за периода на съхранение и ще ги изтрие след това.

13. Отговорност

Отговорността на всяка страна, произтичаща от или във връзка с този DPA, е предмет на ограниченията и изключенията на отговорност, посочени в Условията за ползване. Нищо в този DPA не освобождава никоя от страните от нейните собствени преки задължения и отговорност съгласно GDPR.

14. Срок и прекратяване

Настоящото DPA влиза в сила на датата, на която Клиентът за първи път приеме Условията за ползване или изпълни формуляр за поръчка, позоваващ се на него, и остава в сила, докато OrderSilo обработва Клиентски данни като обработващ от името на Клиента, независимо от прекратяването на Споразумението, докато обработката приключи.

15. Ред на предимство и приложим закон

Този DPA е част от и се управлява от Условията за ползване, включително приложимото право и разпоредбите за разрешаване на спорове. В случай на противоречие между този DPA и Условията за ползване по отношение на обработката на лични данни, този DPA има предимство.

16. Как това DPA се прилага за вас

Този DPA се прилага автоматично за всички клиенти чрез препратка към Условията за ползване и не изисква отделен подпис. Ако вашата организация изисква насрещно подписано копие за целите на вътрешно съответствие, доставка или риск от доставчика, поискайте такова чрез hello@ordersilo.app и ние ще предоставим версия с възможност за подпис, отразяваща условията по-горе.

Приложение 1 — Подробности за обработката

Това приложение описва обработката, извършвана от OrderSilo като обработващ от името на клиента, както се изисква от член 28, параграф 3 от GDPR.

• Предмет: предоставяне на услугата за управление на поръчки OrderSilo COD, включително приемане на поръчки, оценяване на измами, проследяване на състоянието на куриера, докладване и приписване на реклами.
• Продължителност: за срока на Споразумението и периода на съхранение, описан в нашата Политика за поверителност, освен ако не бъде изтрит по-рано по искане на Клиента.
• Естество и цел: събиране, съхранение, организиране, извличане, използване и изтриване на Клиентски данни за работа с Услугата, включително дедупликация на поръчки, откриване на измами и злоупотреби и генериране на отчети и анализи за Клиента.
• Категории субекти на данни: Крайни клиенти на Клиента, които правят поръчки с наложен платеж; Оторизирани потребители и членове на екипа на клиента.
• Категории лични данни: име на краен клиент, телефонен номер, адрес за доставка, подробности за поръчката и продукта, статус на поръчката и, където е конфигурирано, индикатори за измама, идентификатори за кликване върху реклами и метаданни за приписване; име, имейл и роля на титуляра на акаунта.

Приложение 2 — Технически и организационни мерки за сигурност

• Криптиране при пренасяне (TLS) за всички данни, движещи се между целевите страници на Клиента, Услугата и браузъра на Клиента.
• Изолация на клиента на ниво база данни между работните пространства на клиента.
• Ролеви контрол на достъпа за персонала на OrderSilo и за членовете на собствения екип на Клиента в рамките на Услугата.
• Подписана от HMAC, защитена от повторно възпроизвеждане поглъщане на поръчка и интеграция на заключен маркер на домейн.
• Ограничаване на скоростта и автоматизирано откриване на бот/спам трафик.
• Одитно регистриране на значителни промени в акаунта, поръчката и конфигурацията.
• Хостинг в ЕС (AWS Frankfurt, eu-central-1) с физически и инфраструктурни контроли за сигурност на ниво доставчик.
• Документирана реакция при инциденти и процедури за уведомяване при нарушаване на лични данни.
• Периодичен преглед на практиките за достъп, конфигурация и сигурност.

Приложение 3 — Категории подпроцесори

OrderSilo ангажира Подпроцесори в следните категории, за да предоставят Услугата. Текущ списък с имена е достъпен при поискване чрез hello@ordersilo.app.

• Облачен хостинг и инфраструктура (регион на ЕС).
• Транзакционна и маркетингова доставка на имейл.
• Обработка на плащания и фактуриране (регистриран търговец).
• Анализ на уебсайтове и продукти.
• Поддръжка на клиенти и инструменти за комуникация.