Verwerkersovereenkomst

Deze gegevensverwerkingsovereenkomst maakt deel uit van de OrbitPage Voorwaarden en voorwaarden. Het wordt elektronisch afgesloten tussen de rekeninghouder of organisatie die door het OrbitPage-account is geïdentificeerd (de Klant) en Paolo Ronco, die OrbitPage bedient (de Verwerker). Het wordt bindend wanneer de klant de voorwaarden accepteert of eerst persoonlijke gegevens van de klant indient bij een verwerkerfunctie.

Het is alleen van toepassing wanneer de Klant de doeleinden en essentiële verwerkingsmiddelen bepaalt en OrbitPage persoonsgegevens namens de Klant verwerkt. OrbitPage blijft een onafhankelijke controller voor accountbeheer, facturering, servicebeveiliging, fraude- en misbruikpreventie, juridische naleving en eigen website-analyse, zoals uitgelegd in het Privacybeleid.

Consent-gated Google Analytics, PostHog-platform productevenementen, browserfoutentracking, gemaskeerde editor-replay en herkenning van terugkerende klanten zijn de eigen controlleractiviteiten van OrbitPage. PostHog is een verwerker voor die platformdoeleinden, geen subverwerker die is aangewezen om de publieke paginabezoekers van de klant te analyseren. Hun bekendmaking in de providerdirectory verlengt deze DPA niet en staat geen optionele tracking toe zonder de afzonderlijke toestemming van de persoon.

Persoonlijke gegevens van klanten, de verantwoordelijke, de verwerker, de verwerking en het lekken van persoonsgegevens hebben de betekenissen zoals gegeven door Verordening (EU) 2016/679 (AVG).

Als de klant zelf optreedt als verwerker voor een clientcontroller, fungeert OrbitPage als subprocessor voor de relevante gegevens. De klant bevestigt dat hij de door Artikel 28 vereiste vergunning van de controller heeft, zal wettige gedocumenteerde instructies doorgeven en blijft het communicatiepunt voor die controller. Deze DPA autoriseert geen verwerkingsactiviteit buiten de bevoegdheid die door die beheerder is verleend.

OrbitPage verwerkt persoonlijke klantgegevens om de gehoste werkruimte, publicatie, toestemmingscontroles, nieuwsbrief, Shop, boeking, levering, ondersteuning en verbonden functies te bieden die door de klant zijn geselecteerd. De verwerking gaat door gedurende de duur van de dienst en de hieronder beschreven verwijderingsperiodes.

De gedocumenteerde instructies van de klant zijn deze DPA, de voorwaarden, de configuratie en inhoud van de klant, geauthenticeerde dashboard- en API-acties, en schriftelijke ondersteuningsinstructies die consistent zijn met de service. OrbitPage verwerkt Persoonsgegevens van Klanten alleen op die instructies, inclusief internationale overdrachten, tenzij de wetgeving van de Unie of de lidstaat anders vereist. Waar wettelijk toegestaan, zal OrbitPage de klant informeren voordat die vereiste verwerking wordt uitgevoerd.

OrbitPage zal de klant direct informeren als een instructie de toepasselijke gegevensbeschermingswetgeving schendt en kan de betreffende instructie opschorten terwijl de partijen deze verduidelijken.

OrbitPage zal ervoor zorgen dat geautoriseerd personeel persoonsgegevens van de klant alleen verwerkt wanneer dat nodig is voor hun taken en gebonden is aan vertrouwelijkheid; maatregelen handhaven die passen bij het risico onder Artikel 32 AVG; gelijkwaardige gegevensbeschermingsverplichtingen opleggen aan subverwerkers; de klant ondersteunen bij gegevensbetrokkenenrechten, beveiliging, inbreukbeoordeling, DPIA's en voorafgaande consultatie waar de aard van de dienst en beschikbare informatie dat toelaten; gegevens verwijderen of terugsturen zoals uiteengezet in sectie 11; en het maken van gelijkwaardige gegevens; en het maken van gelijkwaardige gegevens. de informatie die nodig is om naleving van Artikel 28 aan te tonen, beschikbaar onder sectie 10.

De klant is verantwoordelijk voor wettige, eerlijke en transparante instructies; kennisgevingen en juridische grondslagen; gegevensnauwkeurigheid en minimalisatie; reageren op betrokkenen; het configureren van retentie, toestemming en ontvangers; en ervoor zorgen dat gebruikers en geselecteerde diensten van derden worden geautoriseerd. De klant mag OrbitPage niet gebruiken om gegevens van speciale categorieën, gegevens over strafbare feiten, grootschalige systematische monitoring of gegevens over kinderen te verwerken zonder een afzonderlijke schriftelijke overeenkomst die bevestigt dat de dienst en waarborgen geschikt zijn.

De klant moet account-, SMTP-, API- en connected-service inloggegevens beschermen, minimaal noodzakelijke toegang verlenen en OrbitPage snel op de hoogte stellen van vermoedelijke compromittering. De klant blijft verantwoordelijk voor de onafhankelijke aanbieders die hij selecteert, waaronder zijn SMTP-, analyse-, toestemmingsbeheer-, boekings-, formulier- en ingebedde contentaanbieders.

OrbitPage past de maatregelen in bijlage II toe en kan ze bijwerken naarmate technologie en risico's veranderen, mits de algehele bescherming van persoonlijke klantgegevens niet wezenlijk wordt verminderd. Geen enkele maatregel creëert een uptime-, recovery-time of recovery-point garantie, tenzij een aparte ondertekende service-level agreement er expliciet een vermeldt.

Rekening houdend met de aard van de verwerking zal OrbitPage beschikbare zelfbedieningstools en redelijke hulp bieden voor toegang, correctie, export, beperking, bezwaar en verwijderingsverzoeken. Als OrbitPage een verzoek ontvangt dat voornamelijk betrekking heeft op persoonlijke gegevens van de klant, zal het de verzoeker doorverwijzen naar de klant of het verzoek doorsturen waar het wettelijk en redelijkerwijs herkenbaar is, en zal het niet namens de klant reageren tenzij dat wordt geïnstrueerd of wettelijk verplicht is.

OrbitPage zal redelijkerwijs beschikbare informatie bieden om te helpen met de artikelen 32 tot en met 36 van de AVG. Werk dat op maat gemaakte ontwikkeling, uitgebreide opvraging of professionele diensten van derden vereist, kan worden gefactureerd tegen een overeengekomen redelijk tarief, tenzij dit wordt veroorzaakt door de schending van deze DPA door OrbitPage.

OrbitPage zal de klant zonder onnodige vertraging op de hoogte stellen nadat hij op de hoogte is van een datalek die de persoonlijke gegevens van de klant treft. Zodra er informatie beschikbaar komt, zal de kennisgeving de aard van het datalek, de getroffen gegevens en personen waar bekend zijn, waarschijnlijke gevolgen, mitigatie en een contactpunt beschrijven. OrbitPage kan informatie in fasen verstrekken en zal redelijke stappen ondernemen om het incident in te dammen, te onderzoeken en te herstellen. Kennisgeving is geen erkenning van schuld.

De klant geeft algemene schriftelijke toestemming aan de aanbieders die als subprocessors zijn geïdentificeerd voor de geselecteerde processorfuncties op de pagina Subprocessors, die is opgenomen als Annex III. OrbitPage blijft verantwoordelijk voor de uitvoering van de toepasselijke verwerkertaken en zal hen binden aan gegevensbeschermingsverplichtingen die bij de dienst passen.

OrbitPage zal de klant actief informeren via het accountcontact of een in-service notice voordat een geautoriseerde subprocessor wordt toegevoegd of vervangen. De kennisgeving identificeert de getroffen verwerking en biedt een redelijke gelegenheid om bezwaar te maken op grond van gegevensbescherming; Het simpelweg wijzigen van een websitelijst is niet het volledige kennisgevingsproces. De klant kan bezwaar maken op gedocumenteerde gegevensbeschermingsgronden vóór de aangekondigde wijziging. De partijen zullen een redelijke oplossing zoeken; als er geen beschikbaar is, kan de klant stoppen met het gebruik van de getroffen functie of de betaalde dienst beëindigen.

Aanbieders die uitsluitend worden gebruikt voor OrbitPage onafhankelijke controllerdoeleinden en externe diensten die onafhankelijk door de klant zijn geselecteerd en gecontracteerd, zijn niet geautoriseerd als subverwerkers alleen omdat ze in de providerdirectory voorkomen. Een rol van aanbieder volgt de daadwerkelijke dienst en instructies in plaats van de marketingnaam.

Wanneer persoonsgegevens van klanten buiten de EEA worden overgedragen aan een land zonder een toepasselijke toereikendheidsbeslissing, zal OrbitPage een wettig overdrachtsmechanisme gebruiken, waaronder de standaard contractuele clausules van de Europese Commissie van 2021 waar passend, en aanvullende maatregelen die vereist zijn door de overdrachtsbeoordeling. Huidige locaties en waarborgen van providers worden beschreven op de pagina Subprocessors.

Er wordt een overdrachtsmechanisme gekozen voor de daadwerkelijke exporteur, importeur en dienst. Waar van toepassing, gebruiken processor-naar-processor overdrachten de relevante SCC-module en de vereiste aanvullende maatregelen; Gegevens uit het VK of Zwitserland vereisen de toepasselijke lokale waarborgen. Op verzoek verstrekt OrbitPage relevante informatie over overdrachtswaarborgen, onder voorbehoud van wettelijke vertrouwelijkheidsbescherming. Deze DPA is op zichzelf geen volledig zelfstandige SCC-bijlage of een verklaring dat elke bestemming een beslissing over toereikendheid heeft.

Op redelijk schriftelijk verzoek zal OrbitPage informatie verstrekken die nodig is om naleving van deze DPA aan te tonen, zoals relevante beleidslijnen, voorwaarden van aanbieders, beveiligingssamenvattingen en antwoorden op een proportionele vragenlijst. Niet vaker dan één keer per twaalf maanden, tenzij een inbreuk, een autoriteitsverzoek of een geloofwaardige materiële niet-naleving meer rechtvaardigt, mag de klant een audit aanvragen door een onafhankelijke, gekwalificeerde auditor die aan vertrouwelijkheid gebonden is.

Audits vereisen een redelijke voorafgaande kennisgeving, moeten verstoring voorkomen en mogen geen gegevens, beveiligingsgeheimen of vertrouwelijk materiaal van een andere klant blootleggen. De klant draagt zijn auditkosten, tenzij de audit een materiële overtreding door OrbitPage vaststelt. Neem contact op met contact@orbitpage.com om dit proces te starten.

Tijdens de serviceperiode kan de klant ondersteunde werkruimtegegevens ophalen via de beschikbare export- en back-upfuncties. Op verzoek vóór de afsluiting van het account zal OrbitPage redelijke hulp bieden bij een beschikbare export. Wanneer de klant het account verwijdert of de dienst eindigt, verwijdert OrbitPage persoonlijke klantgegevens uit actieve systemen volgens het Privacybeleid, tenzij de klant om teruggave vraagt vóór verwijdering of de toepasselijke wet behoud vereist.

Back-ups van providers en onveranderlijke beveiligingsrecords blijven beschermd en verlopen volgens hun gecontroleerde schema's. Gegevens die worden bewaard voor wetgeving, fraudepreventie, geschillen of juridische claims worden geïsoleerd van het gebruikelijke product en verwijderd zodra dat doel eindigt. Op verzoek van de klant zal OrbitPage de voltooiing van het toepasselijke verwijderingsproces van het actieve systeem bevestigen.

De klant kan aan het einde van verwerking kiezen voor retour of verwijdering van persoonlijke gegevens van de klant, onder voorbehoud van toepasselijke wettelijke retentie. Beschermde disaster-recovery-kopieën volgen de back-uplevenscyclus zoals bekendgemaakt in het Privacybeleid en mogen niet voor niet-gerelateerde doeleinden worden gebruikt. Een restauratie moet openstaande verwijderingseisen behouden.

Indien deze DPA in strijd is met de voorwaarden voor de verwerking van persoonlijke klantgegevens, geldt deze DPA. De voorwaarden regelen alle andere zaken, waaronder aansprakelijkheid, betaling, opschorting, toepasselijke wetgeving en geschillen, zonder rechten of aansprakelijkheid te beperken die wettelijk niet kunnen worden beperkt onder het gegevensbeschermingsrecht.

Deze DPA blijft effectief zolang OrbitPage persoonlijke klantgegevens verwerkt. Updates volgen het wijzigingsproces in de Voorwaarden en zullen de verplichte bescherming van Artikel 28 niet wezenlijk verminderen. Gegevensbeschermingsmeldingen en verzoeken kunnen worden verzonden via de pagina contact of naar contact@orbitpage.com.

• HTTPS/TLS voor ondersteunde data in transit en door de provider beheerde bescherming voor opgeslagen servicegegevens.
• Firebase-authenticatie, geverifieerde identiteiten waar nodig, ledemaatschapscontroles van huurders, rolgebaseerde rechten en server-side autorisatie.
• Server-side geheimen, eenrichtings-hashing van API-inloggegevens en encryptie van door klanten geleverde SMTP-wachtwoorden.
• Tenant-scoped records, gevalideerde publicatiepaden, opslag van privéobjecten voor beschermde bestanden en tijdsgebonden leveringsinloggegevens.
• Snelheidslimieten, App Check of gelijkwaardige verzoek-attestatie waar geconfigureerd, misbruikcontroles, moderatiewaarborgen en operationele logging.
• Revisiegeschiedenis, beheerde back-ups waar geconfigureerd, implementatiecontroles, incidentprocedures en gecontroleerde credentialrotatie.
• Dataminimalisatie, begrensde AI-context, beperkte providergegevens en verwijder-/exportcontroles zoals beschreven in het Privacybeleid.
• Personeelsgeheim, toegang tot de minste-privilege provider en beoordeling van subprocessors die passen bij hun rol.

De huidige lijst, doel, datascope en leveranciersdocumentatie worden bijgehouden op de pagina Subprocessors. Door de klant geselecteerde SMTP-, analytics-, toestemmings-, boekings-, formulier- en embed-aanbieders worden beheerd door de klant en worden niet door OrbitPage aangewezen als platformsubprocessors voor die door de klant geselecteerde toepassingen.