Duomenų apdorojimo sutartis (DPA)

1. Apibrėžimai

Šioje DPS sąvokos „asmens duomenys“, „tvarkymas“, „tvarkytojas“, „tvarkytojas“, „duomenų subjektas“, „asmens duomenų pažeidimas“ ir „priežiūros institucija“ turi BDAR pateiktas reikšmes. Be to:

• „Sutartis“ reiškia paslaugų teikimo sąlygas, bet kokią užsakymo formą ir šią DPS kartu.
• „Kliento duomenys“ – tai asmens duomenys, kuriuos Klientas arba jo įgalioti vartotojai pateikia Paslaugai arba kurie yra generuojami Paslaugoje, įskaitant galutinio kliento užsakymo duomenis.
• „Paslauga“ reiškia OrderSilo COD užsakymų valdymo platformą, prietaisų skydelį, API ir susijusias paslaugas.
• „Pagalbinis duomenų tvarkytojas“ reiškia bet kurią trečiąją šalį, kurią „OrderSilo“ įpareigoja apdoroti Kliento duomenis, kad galėtų teikti Paslaugą.

2. Šalių vaidmenys

Kliento duomenims, susijusiems su Kliento galutiniais klientais (vardai, telefonų numeriai, pristatymo adresai, užsakymo detalės ir susiję laukai, pateikti per Kliento nukreipimo puslapius, parduotuvių vitrinas ar integracijas), Klientas veikia kaip duomenų valdytojas, o „OrderSilo“ veikia kaip duomenų tvarkytojas, apdorodamas tuos duomenis tik pagal dokumentais pagrįstus Kliento nurodymus teikti Paslaugą.

Paskyros ir darbo srities duomenims, susijusiems su paties Kliento personalu (sąskaitų savininkais, komandos nariais, atsiskaitymo kontaktais), OrderSilo paprastai veikia kaip nepriklausomas duomenų valdytojas, kaip aprašyta mūsų privatumo politikoje, išskyrus atvejus, kai šalys raštu susitaria kitaip.

Ši DTA taikoma tik tiek, kiek „OrderSilo“ tvarko asmens duomenis kaip tvarkytojas Kliento vardu.

3. Kliento nurodymai

„OrderSilo“ tvarkys Kliento duomenis tik pagal dokumentais pagrįstus Kliento nurodymus, įskaitant nustatytas Sutartyje, kaip Kliento sukonfigūravo Paslaugoje (pavyzdžiui, domenai, sukčiavimo taisyklės ir kurjerio nustatymai), ir kai tai būtina, kad būtų laikomasi ES ar valstybės narės teisės aktų, nebent toks įstatymas draudžia atskleisti.

Klientas yra atsakingas už savo nurodymų teisėtumą ir už tai, kad jis turėtų galiojantį teisinį pagrindą ir, jei reikia, atitinkamus galutinių klientų pranešimus ir sutikimus teikti savo duomenis Paslaugai.

Jei OrderSilo manys, kad nurodymas pažeidžia BDAR ar kitą taikomą duomenų apsaugos įstatymą, mes nedelsdami informuosime Klientą.

4. Personalo konfidencialumas

„OrderSilo“ užtikrina, kad darbuotojai, įgalioti tvarkyti Kliento duomenis, būtų saistomi atitinkamų konfidencialumo įsipareigojimų, tiek sutartinių, tiek įstatymų nustatytų, ir gautų mokymą, atitinkantį jų vaidmenį tvarkant asmens duomenis.

5. Tvarkymo saugumas

Atsižvelgdama į technikos lygį, įgyvendinimo išlaidas ir tvarkymo pobūdį, apimtį, kontekstą ir tikslus, taip pat į riziką duomenų subjektams, „OrderSilo“ įgyvendina tinkamas technines ir organizacines priemones, įskaitant:

• Pervežamų asmens duomenų šifravimas naudojant modernią TLS.
• Nuomininko izoliacija tarp klientų darbo erdvių, vykdoma infrastruktūros ir duomenų bazės lygiu.
• Prieigos kontrolė, apribojanti personalo prieigą prie Kliento duomenų pagal poreikį žinoti.
• Užsakymo duomenų, pateiktų per mūsų API ir scenarijaus žymų integravimą, kriptografinis patvirtinimas (HMAC pasirašymas).
• Svarbios sistemos ir paskyros veiklos registravimas ir stebėjimas.
• Reguliari saugumo praktikos peržiūra, atitinkanti šio DTA 2 priedą.
• Dokumentuota reagavimo į incidentus politika, reglamentuojanti saugumo incidentų aptikimą, izoliavimą ir pranešimą apie juos.

6. Subprocesoriai

Klientas įgalioja „OrderSilo“ pasitelkti antrinius tvarkytojus teikti Paslaugą, įskaitant prieglobos, el. pašto pristatymo, analizės ir mokėjimo infrastruktūros teikėjus. Kategorijų santrauka pateikta 3 priede.

„OrderSilo“ kiekvienam pagalbiniam duomenų tvarkytojui nustato duomenų apsaugos įpareigojimus, kurie iš esmės yra panašūs į šiame DPA nustatytas rašytines sutartis, atitinkančias BDAR 28 straipsnio 4 dalį.

OrderSilo lieka atsakinga Klientui už pagalbinio tvarkytojo duomenų apsaugos įsipareigojimų vykdymą.

„OrderSilo“ pateiks naujausią, pavadintą antrinių tvarkytojų sąrašą, paprašius adresu hello@ordersilo.app, ir iš anksto informuos Klientą apie bet kokį numatomą papildomo tvarkytojo papildymą ar pakeitimą, kuris apima Kliento duomenų apdorojimą, todėl Klientas gali prieštarauti dėl pagrįstų duomenų apsaugos priežasčių. Jei šalys negali išspręsti prieštaravimo, Klientas gali nutraukti paveiktą Paslaugos dalį.

7. Tarptautinis duomenų perdavimas

„OrderSilo“ pirmiausia saugo ir apdoroja klientų duomenis Europos ekonominėje erdvėje (EEE) – šiuo metu AWS Frankfurt (eu-central-1).

Kai pagalbinis tvarkytojas arba integruota paslauga (pvz., reklamos ar analizės platforma, kurią įgalina Klientas) apima asmens duomenų perdavimą už EEE ribų, „OrderSilo“ remiasi Europos Komisijos sprendimu dėl tinkamumo, standartinėmis sutarties sąlygomis (2021/914/ES) arba kitu teisėtu perdavimo mechanizmu ir pateiks išsamią informaciją.

8. Pagalba su duomenų subjekto teisėmis

Atsižvelgdama į tvarkymo pobūdį, OrderSilo teiks Klientui pagrįstą pagalbą, taikydama atitinkamas technines ir organizacines priemones, kad Klientas galėtų atsakyti į duomenų subjektų, kurie naudojasi savo teisėmis pagal BDAR (prieiga, ištaisymas, ištrynimas, apribojimas, perkeliamumas ir prieštaravimas), užklausas.

Jei duomenų subjektas tiesiogiai susisiekia su OrderSilo dėl Kliento valdomų galutinių klientų duomenų, mes nedelsdami perduosime užklausą Klientui ir suteiksime pagrįstą pagalbą.

9. Pranešimas apie asmens duomenų saugumo pažeidimą

„OrderSilo“ nedelsdamas ir bet kuriuo atveju per 72 valandas nuo tada, kai sužinojo apie tai, informuos Klientą, patvirtinęs asmens duomenų pažeidimą, turintį įtakos Kliento duomenims, kuriuos „OrderSilo“ apdoroja kaip tvarkytojas.

Pranešime bus aprašytas, kiek tada žinoma, pažeidimo pobūdis, paveiktų duomenų subjektų ir įrašų kategorijos ir apytikslis skaičius, galimos pasekmės ir priemonės, kurių buvo imtasi arba pasiūlytos pažeidimui pašalinti ir jo padariniams sušvelninti.

„OrderSilo“ pateiks pagrįstą bendradarbiavimą ir suteiks informaciją, kad padėtų Klientui įvykdyti savo pranešimo įsipareigojimus pagal BDAR 33 ir 34 straipsnius.

Norėdami pranešti apie įtariamą saugumo incidentą, susisiekite su hello@ordersilo.app. Daugiau informacijos rasite mūsų Reagavimo į incidentus politikoje.

10. Poveikio duomenų apsaugai vertinimai

OrderSilo pateiks pagrįstai prašomą informaciją apie Paslaugą, kad padėtų Klientui atlikti poveikio duomenų apsaugai vertinimą (DPIA) arba konsultuotis su priežiūros institucija, kai tokia pagalba reikalinga pagal BDAR 35 ir 36 straipsnius ir pagrįstai prieinama.

11. Auditas ir atitiktis

„OrderSilo“ suteiks Klientui informaciją, kurios pagrįstai reikia norint įrodyti, kad laikomasi šios DPA, įskaitant atsakymą į pagrįstus rašytinius informacijos prašymus.

Jei tokios informacijos nepakanka, Klientas (arba nepriklausomas, abipusiai sutartas trečiosios šalies auditorius, kuriam taikomas konfidencialumas) gali atlikti atitinkamos OrderSilo duomenų tvarkymo veiklos auditą ne dažniau kaip kartą per 12 mėnesių, nesant asmens duomenų pažeidimo ar teisės aktų reikalavimų, iš anksto raštu įspėjęs, sutarta apimtimi, o Klientas prisiima savo išlaidas. Auditai turi būti atliekami darbo valandomis ir neturi nepagrįstai trikdyti OrderSilo veiklos ar pakenkti kitų klientų konfidencialumui ar saugumui.

12. Kliento duomenų grąžinimas ir ištrynimas

Nutraukus Sutartį arba pasibaigus jos galiojimui ir Klientui per 30 dienų nuo tos datos pateikus raštišką prašymą, „OrderSilo“ ištrins Kliento vardu tvarkytus Kliento duomenis arba, jei techniškai įmanoma ir to prašoma, juos grąžins. Išimtis taikoma tiek, kiek pagal taikomus įstatymus duomenis privaloma saugoti (pavyzdžiui, atsiskaitymo, mokesčių ar apskaitos įrašus); tokiu atveju „OrderSilo“ saugojimo laikotarpiu ir toliau saugos duomenis pagal šią DPA, o jam pasibaigus duomenis ištrins.

13. Atsakomybė

Kiekvienos šalies atsakomybei, kylančiai iš šio DPS arba susijusiai su ja, taikomi Paslaugų teikimo sąlygose nustatyti atsakomybės apribojimai ir išimtys. Jokia šio DTA nuostata neatleidžia nė vienos šalies nuo tiesioginių įsipareigojimų ir atsakomybės pagal BDAR.

14. Terminas ir nutraukimas

Ši DPA įsigalioja tą dieną, kai Klientas pirmą kartą sutinka su Paslaugų teikimo sąlygomis arba įvykdo užsakymo formą, kurioje nurodoma, ir galioja tol, kol OrderSilo tvarko Kliento duomenis kaip tvarkytojas Kliento vardu, nepaisant Sutarties nutraukimo, iki tokio apdorojimo pabaigos.

15. Pirmumo tvarka ir reglamentuojanti teisė

Ši DPA yra paslaugų teikimo sąlygų dalis ir yra reglamentuojama jų, įskaitant jai taikomus įstatymus ir ginčų sprendimo nuostatas. Kilus prieštaravimams tarp šios DAP ir Paslaugų teikimo sąlygų dėl asmens duomenų tvarkymo, ši DTA galioja.

16. Kaip jums taikoma ši DPS

Ši DPA taikoma automatiškai visiems klientams, atsižvelgiant į paslaugų teikimo sąlygas, ir nereikalauja atskiro parašo. Jei jūsų organizacijai reikalinga pasirašyta kopija, kad būtų užtikrinta vidinė atitiktis, pirkimo ar pardavėjo rizika, pateikite užklausą adresu hello@ordersilo.app ir mes pateiksime pasirašytą versiją, atitinkančią anksčiau nurodytas sąlygas.

1 priedas. Informacija apie apdorojimą

Šiame priede aprašomas tvarkymas, kurį „OrderSilo“ atlieka kaip tvarkytojas Kliento vardu, kaip reikalaujama pagal BDAR 28 straipsnio 3 dalį.

• Tema: OrderSilo COD užsakymų valdymo paslaugos teikimas, įskaitant užsakymų priėmimą, sukčiavimo įvertinimą, kurjerio būsenos stebėjimą, ataskaitų teikimą ir reklamos priskyrimą.
• Trukmė: Sutarties galiojimo laikotarpiui ir saugojimo laikotarpiui, aprašytam mūsų Privatumo politikoje, nebent ištrinama anksčiau Kliento prašymu.
• Pobūdis ir tikslas: Kliento duomenų rinkimas, saugojimas, tvarkymas, gavimas, naudojimas ir ištrynimas Paslaugai teikti, įskaitant užsakymų dubliavimo panaikinimą, sukčiavimo ir piktnaudžiavimo aptikimą bei ataskaitų ir analizės kūrimą Klientui.
• Duomenų subjektų kategorijos: Kliento galutiniai klientai, pateikiantys COD užsakymus; Kliento įgalioti vartotojai ir komandos nariai.
• Asmens duomenų kategorijos: galutinio kliento vardas, telefono numeris, pristatymo adresas, užsakymo ir produkto informacija, užsakymo būsena ir, jei sukonfigūruota, sukčiavimo indikatoriai, reklamos paspaudimų identifikatoriai ir priskyrimo metaduomenys; paskyros savininko vardas, el. pašto adresas ir vaidmuo.

2 priedas. Techninės ir organizacinės apsaugos priemonės

• Šifravimas perduodamas (TLS) visiems duomenims, judantiems tarp Kliento nukreipimo puslapių, Paslaugos ir Kliento naršyklės.
• Klientų darbo sričių tarpusavio atskyrimas duomenų bazės lygmeniu.
• Vaidmenimis pagrįsta „OrderSilo“ personalo ir paties Kliento komandos narių prieigos kontrolė Paslaugoje.
• HMAC pasirašytas, nuo pakartojimo apsaugotas užsakymų priėmimas ir domeno užrakintas scenarijaus žymų integravimas.
• Užklausų dažnio ribojimas ir automatinis robotų bei šlamšto srauto aptikimas.
• Auditui tinkamas reikšmingų paskyros, užsakymų ir konfigūracijos pakeitimų registravimas.
• Priegloba ES (AWS Frankfurt, eu-central-1) su teikėjo lygio fizine ir infrastruktūros saugumo kontrole.
• Dokumentuota reagavimo į incidentą ir pranešimo apie asmens duomenų saugumo pažeidimus tvarka.
• Periodinė prieigos, konfigūracijos ir saugos praktikos peržiūra.

3 priedas. Antrinių tvarkytojų kategorijos

„OrderSilo“ paslaugoms teikti pasitelkia toliau nurodytų kategorijų antrinius tvarkytojus. Dabartinį sąrašą galite gauti paprašę adresu hello@ordersilo.app.

• Debesų priegloba ir infrastruktūra (ES regionas).
• Sandorių ir rinkodaros el. pašto pristatymas.
• Mokėjimų apdorojimas ir sąskaitų išrašymas (Merchant of Record).
• Svetainių ir produktų analizė.
• Klientų aptarnavimo ir komunikacijos priemonės.