Acord de Prelucrare a Datelor (DPA)

1. Definiții

În sensul prezentului DPA, termenii „date cu caracter personal”, „prelucrare”, „operator”, „împuternicit”, „persoană vizată”, „încălcare a securității datelor cu caracter personal” și „autoritate de supraveghere” au sensurile date de GDPR. În plus:

• „Acord” înseamnă Termenii și Condițiile, orice formular de comandă și prezentul DPA, împreună.
• „Date Client” înseamnă datele cu caracter personal pe care Clientul sau utilizatorii săi autorizați le transmit Serviciului, sau care sunt generate în cadrul acestuia, inclusiv datele de comandă ale clienților finali.
• „Serviciul” înseamnă platforma OrderSilo de gestionare a comenzilor COD, panoul de administrare, API-urile și serviciile conexe.
• „Sub-împuternicit” înseamnă orice terț angajat de OrderSilo pentru a prelucra Date Client în vederea furnizării Serviciului.

2. Rolurile părților

Pentru Datele Client referitoare la clienții finali ai Clientului (nume, numere de telefon, adrese de livrare, detalii comandă și alte câmpuri transmise prin paginile de destinație, magazinele sau integrările Clientului), Clientul acționează ca operator de date, iar OrderSilo acționează ca împuternicit, prelucrând aceste date exclusiv conform instrucțiunilor documentate ale Clientului, pentru furnizarea Serviciului.

Pentru datele de cont și de spațiu de lucru referitoare la personalul propriu al Clientului (titulari de cont, membri ai echipei, persoane de contact pentru facturare), OrderSilo acționează în general ca operator independent, conform Politicii de Confidențialitate, cu excepția cazului în care părțile convin altfel în scris.

Prezentul DPA se aplică numai în măsura în care OrderSilo prelucrează date cu caracter personal în calitate de împuternicit în numele Clientului.

3. Instrucțiunile Clientului

OrderSilo va prelucra Datele Client numai conform instrucțiunilor documentate ale Clientului, inclusiv cele prevăzute în Acord, cele configurate de Client în Serviciu (de exemplu domenii, reguli de fraudă și setări curier), și după cum este necesar pentru respectarea legislației UE sau a statelor membre, exceptând cazul în care o astfel de legislație interzice divulgarea.

Clientul este responsabil pentru legalitatea instrucțiunilor sale și pentru asigurarea unui temei legal valid și, unde este necesar, a notificărilor și consimțămintelor adecvate din partea clienților săi finali pentru transmiterea datelor către Serviciu.

Dacă OrderSilo consideră că o instrucțiune încalcă GDPR sau altă legislație aplicabilă privind protecția datelor, vom informa Clientul fără întârzieri nejustificate.

4. Confidențialitatea personalului

OrderSilo se asigură că personalul autorizat să prelucreze Date Client este legat de obligații de confidențialitate adecvate, contractuale sau legale, și beneficiază de instruire corespunzătoare rolului său în manipularea datelor cu caracter personal.

5. Securitatea prelucrării

Ținând cont de stadiul tehnologiei, costurile implementării, natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de riscurile pentru persoanele vizate, OrderSilo implementează măsuri tehnice și organizatorice adecvate, inclusiv:

• Criptarea datelor cu caracter personal în tranzit, folosind TLS modern.
• Izolarea între spațiile de lucru ale clienților, aplicată la nivel de infrastructură și bază de date.
• Controale de acces care restricționează accesul personalului la Datele Client, pe baza principiului necesității de a cunoaște.
• Verificarea criptografică (semnare HMAC) a datelor de comandă transmise prin API-ul nostru și prin integrările cu tag de script.
• Jurnalizarea și monitorizarea activităților semnificative din sistem și din cont.
• Revizuirea periodică a practicilor de securitate, conform Anexei 2 la prezentul DPA.
• O Politică de Răspuns la Incidente documentată, care reglementează detectarea, limitarea și notificarea incidentelor de securitate.

6. Sub-împuterniciți

Clientul autorizează OrderSilo să angajeze Sub-împuterniciți pentru furnizarea Serviciului, inclusiv furnizori de găzduire, e-mail, analiză și infrastructură de plăți. Un rezumat al categoriilor este prevăzut în Anexa 3.

OrderSilo impune fiecărui Sub-împuternicit obligații de protecție a datelor similare celor din prezentul DPA, prin acorduri scrise conforme cu art. 28 alin. (4) GDPR.

OrderSilo rămâne responsabil față de Client pentru îndeplinirea de către Sub-împuternicit a obligațiilor sale de protecție a datelor.

OrderSilo va furniza, la cerere, prin hello@ordersilo.app, o listă actualizată și nominală a Sub-împuterniciților și va notifica Clientul cu un preaviz rezonabil despre orice adăugare sau înlocuire de Sub-împuternicit implicat în prelucrarea Datelor Client, permițând Clientului să formuleze obiecții pe motive rezonabile de protecție a datelor. Dacă părțile nu pot rezolva obiecția, Clientul poate încheia partea afectată a Serviciului.

7. Transferuri internaționale de date

OrderSilo stochează și prelucrează Datele Client, în principal, în Spațiul Economic European (SEE) — în prezent, AWS Frankfurt (eu-central-1).

Dacă un Sub-împuternicit sau un serviciu integrat (de exemplu o platformă de publicitate sau analiză activată de Client) implică un transfer de date cu caracter personal în afara SEE, OrderSilo se bazează pe o decizie de adecvare a Comisiei Europene, pe Clauzele Contractuale Standard (2021/914/UE) sau pe alt mecanism legal de transfer, și va pune la dispoziție detalii la cerere.

8. Asistență privind drepturile persoanelor vizate

Ținând cont de natura prelucrării, OrderSilo va oferi Clientului asistență rezonabilă, prin măsuri tehnice și organizatorice adecvate, pentru a permite Clientului să răspundă solicitărilor persoanelor vizate care își exercită drepturile conform GDPR (acces, rectificare, ștergere, restricționare, portabilitate și opoziție).

Dacă o persoană vizată contactează direct OrderSilo cu privire la datele clienților finali controlate de Client, vom transmite solicitarea Clientului fără întârzieri nejustificate și vom oferi asistență rezonabilă.

9. Notificarea încălcării securității datelor cu caracter personal

OrderSilo va notifica Clientul fără întârzieri nejustificate, și în orice caz în termen de 72 de ore de la data la care a luat cunoștință, după confirmarea unei încălcări a securității datelor cu caracter personal care afectează Date Client prelucrate de OrderSilo în calitate de împuternicit.

Notificarea va descrie, în măsura cunoscută la momentul respectiv, natura încălcării, categoriile și numărul aproximativ de persoane vizate și înregistrări afectate, consecințele probabile, precum și măsurile luate sau propuse pentru remedierea încălcării și atenuarea efectelor acesteia.

OrderSilo va oferi cooperare și informații rezonabile pentru a ajuta Clientul să își îndeplinească propriile obligații de notificare conform art. 33 și 34 GDPR.

Pentru a raporta un incident de securitate suspectat, contactați hello@ordersilo.app. Consultați Politica de Răspuns la Incidente pentru detalii suplimentare.

10. Evaluări de impact privind protecția datelor

OrderSilo va furniza, la o solicitare rezonabilă, informații despre Serviciu pentru a sprijini Clientul în realizarea unei evaluări de impact privind protecția datelor (DPIA) sau în consultarea unei autorități de supraveghere, unde o astfel de asistență este impusă de art. 35 și 36 GDPR și este disponibilă în mod rezonabil pentru noi.

11. Audituri și conformitate

OrderSilo va pune la dispoziția Clientului informațiile necesare în mod rezonabil pentru a demonstra conformitatea cu prezentul DPA, inclusiv prin răspunsuri la solicitări scrise rezonabile de informații.

Dacă aceste informații nu sunt suficiente, Clientul (sau un auditor terț independent, convenit de comun acord și legat de confidențialitate) poate efectua un audit al activităților relevante de prelucrare ale OrderSilo, de cel mult o dată la 12 luni, cu excepția cazului unei încălcări a securității datelor sau a unei cerințe de reglementare, sub rezerva unui preaviz scris rezonabil, a unui domeniu de aplicare convenit și a suportării de către Client a propriilor costuri. Auditurile trebuie efectuate în timpul orelor de lucru și nu trebuie să perturbe nejustificat operațiunile OrderSilo sau să compromită confidențialitatea ori securitatea altor clienți.

12. Returnarea și ștergerea Datelor Client

La încetarea sau expirarea Acordului, și la solicitarea scrisă a Clientului transmisă în termen de 30 de zile de la acea dată, OrderSilo va șterge sau, unde este fezabil din punct de vedere tehnic și solicitat, va returna Datele Client prelucrate în numele Clientului, exceptând cazurile în care legea aplicabilă impune păstrarea (de exemplu, înregistrări de facturare, fiscale sau contabile), caz în care OrderSilo va continua să protejeze aceste date conform prezentului DPA pe durata perioadei de păstrare și le va șterge ulterior.

13. Răspundere

Răspunderea fiecărei părți care decurge din sau este legată de prezentul DPA este supusă limitărilor și exceptărilor de răspundere prevăzute în Termenii și Condițiile. Nimic din prezentul DPA nu exonerează vreo parte de propriile obligații și răspunderi directe conform GDPR.

14. Durată și încetare

Prezentul DPA produce efecte de la data la care Clientul acceptă pentru prima dată Termenii și Condițiile sau semnează un formular de comandă care face trimitere la acesta, și rămâne în vigoare pe toată durata în care OrderSilo prelucrează Date Client în calitate de împuternicit în numele Clientului, indiferent de încetarea Acordului, până la finalizarea acestei prelucrări.

15. Ordinea de prioritate și legea aplicabilă

Prezentul DPA face parte din Termenii și Condițiile și este guvernat de aceștia, inclusiv de dispozițiile privind legea aplicabilă și soluționarea litigiilor. În caz de conflict între prezentul DPA și Termenii și Condițiile cu privire la prelucrarea datelor cu caracter personal, prezentul DPA prevalează.

16. Cum se aplică acest DPA în cazul dumneavoastră

Prezentul DPA se aplică automat tuturor clienților prin trimitere la Termenii și Condițiile și nu necesită o semnătură separată. Dacă organizația dumneavoastră necesită o copie contrasemnată în scopuri interne de conformitate, achiziții sau evaluare a riscului furnizorilor, solicitați una prin hello@ordersilo.app, iar noi vom furniza o versiune semnabilă care reflectă termenii de mai sus.

Anexa 1 — Detalii ale prelucrării

Prezenta Anexă descrie prelucrarea efectuată de OrderSilo în calitate de împuternicit în numele Clientului, conform art. 28 alin. (3) GDPR.

• Obiectul: furnizarea Serviciului OrderSilo de gestionare a comenzilor COD, inclusiv preluarea comenzilor, scorarea fraudei, urmărirea statusului curierului, raportarea și atribuirea publicitară.
• Durata: pe durata Acordului și a perioadei de păstrare descrise în Politica de Confidențialitate, exceptând cazul în care se șterge mai devreme la cererea Clientului.
• Natura și scopul: colectarea, stocarea, organizarea, extragerea, utilizarea și ștergerea Datelor Client pentru operarea Serviciului, inclusiv deduplicarea comenzilor, detectarea fraudei și abuzului, și generarea de rapoarte și analize pentru Client.
• Categorii de persoane vizate: clienții finali ai Clientului care plasează comenzi COD; utilizatorii autorizați și membrii echipei Clientului.
• Categorii de date cu caracter personal: nume, număr de telefon, adresă de livrare, detalii comandă și produs, status comandă ale clientului final și, unde este configurat, indicatori de fraudă, identificatori de clic publicitar și metadate de atribuire; nume, e-mail și rol ale titularului de cont.

Anexa 2 — Măsuri tehnice și organizatorice de securitate

• Criptare în tranzit (TLS) pentru toate datele care circulă între paginile de destinație ale Clientului, Serviciu și browserul Clientului.
• Izolare la nivel de bază de date între spațiile de lucru ale clienților.
• Control al accesului bazat pe roluri, pentru personalul OrderSilo și pentru membrii echipei Clientului în cadrul Serviciului.
• Preluare a comenzilor semnată HMAC, protejată împotriva reluării, și integrare cu tag de script blocată pe domeniu.
• Limitare a ratei și detectare automată a traficului bot / spam.
• Jurnalizare de audit a modificărilor semnificative de cont, comandă și configurare.
• Găzduire în UE (AWS Frankfurt, eu-central-1), cu controale de securitate fizică și de infrastructură la nivel de furnizor.
• Proceduri documentate de răspuns la incidente și de notificare a încălcărilor de securitate a datelor cu caracter personal.
• Revizuire periodică a accesului, configurării și practicilor de securitate.

Anexa 3 — Categorii de sub-împuterniciți

OrderSilo angajează Sub-împuterniciți în următoarele categorii pentru furnizarea Serviciului. O listă actuală și nominală este disponibilă la cerere, prin hello@ordersilo.app.

• Găzduire cloud și infrastructură (regiunea UE).
• Livrare e-mail tranzacțional și de marketing.
• Procesare plăți și facturare (comerciant oficial).
• Analiză site și produs.
• Instrumente de suport clienți și comunicare.