Соглашение об обработке данных

Это Соглашение об обработке данных является частью OrbitPage Условия и положения. Он заключается электронно между владельцем счета или организацией, идентифицированной аккаунтом OrbitPage (Клиент), и Paolo Ronco, управляющим OrbitPage (Процессор). Она становится обязательной, когда клиент принимает условия или впервые отправляет персональные данные клиента в функцию процессора.

Она применяется только в тех случаях, когда Клиент определяет цели и основные средства обработки, а OrbitPage обрабатывает персональные данные от имени Клиента. OrbitPage остаётся независимым контролёром по администрированию аккаунтов, выставлению счетов, безопасности сервисов, предотвращению мошенничества и злоупотреблений, соблюдению законодательства и собственной аналитике сайта, как объясняется в Политика конфиденциальности.

Согласованные Google Analytics, события на платформе PostHog, отслеживание ошибок браузера, повторение редактора с масками и распознавание возвращающихся клиентов — это собственные функции контроллера OrbitPage. PostHog — это процессор для этих платформенных целей, а не субпроцессор, назначенный для анализа посетителей публичных страниц Клиента. Их раскрытие в каталоге поставщиков не распространяет этот DPA и не разрешает дополнительное отслеживание без отдельного согласия человека.

Утечка персональных данных клиента, контроллер, процессор, обработка и утечка персональных данных имеют значения, заданные Регламентом (ЕС) 2016/679 (GDPR).

Если сам Клиент выступает в роли процессора для клиентского контроллера, то OrbitPage выступает его подпроцессором для соответствующих данных. Заказчик подтверждает, что обладает разрешением диспетчера, требуемым по статье 28, передаст законно задокументированные инструкции и остаётся точкой связи для этого контролера. Данный DPA не разрешает обработку операций за пределами полномочий, предоставленных этим контролёром.

OrbitPage обрабатывает персональные данные клиентов для предоставления размещенного рабочего пространства, публикаций, контроля согласия, рассылки, магазина, бронирования, доставки, поддержки и связанных функций, выбранных клиентом. Обработка продолжается в течение срока службы и описанных ниже периодов удаления.

Задокументированные инструкции Клиента включают это DPA, Условия, конфигурацию и содержимое Клиента, аутентифицированные действия Dashboard и API, а также письменные инструкции по поддержке, соответствующие сервису. OrbitPage будет обрабатывать персональные данные клиента только по этим инструкциям, включая международные переводы, если законы Союза или государства-членов не требуют иного. Если это разрешено законом, OrbitPage уведомляет Клиента до необходимой обработки.

OrbitPage незамедлительно уведомит Клиента, если инструкция нарушает применимое законодательство о защите данных, и может приостановить затронутую инструкцию, пока стороны её не уточнят.

OrbitPage будет обеспечивать, чтобы уполномоченный персонал обрабатывал персональные данные клиента только в соответствии с их обязанностями и соблюдает конфиденциальность; будет соблюдать меры, соответствующие риску согласно статье 32 GDPR; возлагать аналогичные обязанности по защите данных на субпроцессоров; оказывать помощь Клиенту с правами субъектов данных, вопросами безопасности, оценкой утечек, DPIA и предварительной консультацией, если характер услуг и доступная информация позволяют; удаляет или возвращает данные в соответствии с разделом 11; и информация, необходимая для подтверждения соблюдения статьи 28, доступная в разделе 10.

Клиент несёт ответственность за законные, справедливые и прозрачные инструкции, уведомления и правовые базы; точность и минимизацию данных; реагирование субъектам данных; настройку сохранения, согласия и получателей; а также за обеспечение авторизации своих пользователей и выбранных сторонних сервисов. Клиент не должен использовать OrbitPage для обработки данных специальной категории, данных по уголовным преступлениям, масштабного систематического мониторинга или данных о детях без отдельного письменного соглашения, подтверждающего соответствие услуги и мер безопасности.

Клиент должен защищать учетные данные, SMTP, API и подключённые сервисы, предоставлять минимальный доступ и оперативно уведомлять OrbitPage о подозрении на компрометацию. Клиент остаётся ответственным за независимых поставщиков, которых он выбирает, включая SMTP, аналитику, управление согласием, бронирование, формы и встроенный контент.

OrbitPage применяет меры, изложенные в Приложении II, и может обновлять их по мере изменения технологий и рисков, при условии, что общая защита персональных данных клиентов не будет существенно снижена. Ни одна мера не гарантирует время работы, времени восстановления или точки восстановления, если только отдельное подписанное соглашение об уровне обслуживания не указано это прямо.

Учитывая особенности обработки, OrbitPage предоставит доступные инструменты самообслуживания и разумную помощь в вопросах доступа, исправления, экспорта, ограничений, возражений и запросов на удаление. Если OrbitPage получает запрос, относящийся преимущественно к личным данным клиента, он направит запросчика к Клиенту или передаст запрос там, где это законно и разумно идентифицировано, и не отвечает от имени Клиента без указания или юридически требования

OrbitPage предоставит достаточно доступную информацию для помощи в реализации статей 32–36 GDPR. Работы, требующие индивидуальной разработки, обширного поиска или профессиональных услуг третьих лиц, могут оплачиваться по согласованной разумной ставке, если не вызваны нарушением OrbitPage этого DPA

OrbitPage уведомляет Клиента без излишней задержки после того, как узнает о утечке личных данных, затрагивающей личные данные Клиента. По мере поступления информации уведомление будет описывать характер утечки, затронутые данные и людей, где это известно, вероятные последствия, меры смягчения и контактную точку. OrbitPage может предоставлять информацию поэтапно и предпринять разумные меры для сдерживания, расследования и устранения происшествия. Уведомление не является признанием вины.

Клиент даёт общее письменное разрешение для поставщиков, идентифицированных как субпроцессоры, для выбранных функций процессора на странице субпроцессоров, которая включена в Приложение III. OrbitPage остаётся ответственной за выполнение соответствующих процессорных обязанностей и будет связывать их с обязательствами по защите данных, соответствующими сервису.

OrbitPage будет активно информировать клиента через контакт аккаунта или уведомление о работе перед добавлением или заменой авторизованного субпроцессора. Уведомление указывает затронутую обработку и предоставляет разумную возможность возразить по причинам защиты данных; Просто изменение списка сайта — это не вся процедура уведомления. Клиент может возразить по задокументированным основаниям защиты данных до объявленного изменения. Стороны будут искать разумное решение; если ничего недоступно, клиент может прекратить использование затронутой функции или прекратить затронутую платную услугу.

Провайдеры, используемые исключительно для целей независимого контролера OrbitPage, а также внешние сервисы, независимо выбранные и заключённые Клиентом, не являются авторизованными субпроцессорами только потому, что они представлены в каталоге провайдеров. Роль провайдера следует фактическим услугам и инструкциям, а не маркетинговому названию.

Если персональные данные клиента передаются за пределы ЕЭЗ в страну без применимого решения об адекватности, OrbitPage будет использовать законный механизм передачи, включая стандартные договорные положения Европейской комиссии 2021 года, где это уместно, а также дополнительные меры, требуемые при оценке передачи. Текущие расположения провайдеров и меры защиты описаны на странице Субпроцессоры.

фактического экспортера, импортера и сервиса выбирается механизм передачи. При необходимости, передачи между процессорами используют соответствующий модуль SCC и необходимые дополнительные меры; Данные Великобритании или Швейцарии требуют соответствующих местных мер безопасности. По запросу OrbitPage предоставляет соответствующую информацию о мерах защиты передачи с учётом законной конфиденциальности. Этот DPA сам по себе не является завершенным самостоятельным приложением к SCC или свидетельством того, что у каждого пункта назначения есть решение о адекватности.

По разумному письменному запросу OrbitPage предоставит информацию, необходимую для подтверждения соблюдения этого DPA, такую как соответствующие политики, условия поставщика, сводки по безопасности и ответы на пропорциональную анкету. Не чаще одного раза в двенадцать месяцев, если только нарушение, запрос на полномочия или достоверное несоответствие материалов не оправдывает больше, Клиент может запросить аудит у независимого квалифицированного аудитора, связанного конфиденциальностью.

Аудиты требуют разумного предварительного уведомления, должны избегать сбоев и не могут раскрывать данные другого клиента, секреты безопасности или конфиденциальные материалы. Клиент несёт на себя расходы на аудит, если аудит не выявит существенное нарушение со стороны OrbitPage. Свяжитесь с contact@orbitpage.com для начала этого процесса.

В течение срока обслуживания клиент может получать поддерживаемые данные рабочего пространства через доступные функции экспорта и резервного копирования. По запросу, сделанному до закрытия аккаунта, OrbitPage предоставит разумную помощь с доступным экспортом. Когда Клиент удаляет аккаунт или сервис прекращается, OrbitPage удаляет Персональные данные Клиента из активных систем в соответствии с Политикой конфиденциальности Конфиденциальности, если только Клиент не запрашивает возврат до удаления или если только действующее законодательство не требует сохранения

Резервные копии провайдеров и неизменные записи безопасности остаются защищёнными и истекают по контролируемым графикам. Данные, сохраняемые для закона, предотвращения мошенничества, споров или претензий, изолируются от обычного использования продукта и удаляются после окончания этой цели. По запросу Заказчика OrbitPage подтвердит завершение соответствующего процесса удаления активной системы.

Клиент может выбрать возврат или удаление персональных данных клиента в конце обработки, при условии соблюдения законных условий. Защищённые копии после аварийного восстановления следуют жизненному циклу резервного копирования, указанному в Политике конфиденциальности, и не должны использоваться для других целей. Реставрация должна сохранять невыполненные требования к удалению.

Если этот DPA противоречит Условиям обработки персональных данных клиентов, этот DPA имеет преимущество. Условия регулируют все остальные вопросы, включая ответственность, оплату, приостановку, регулирующее право и споры, не ограничивая права или ответственность, которые не могут быть законно ограничены законодательством о защите данных.

Этот DPA остаётся в силе, пока OrbitPage обрабатывает личные данные клиентов. Обновления следуют процессу изменений в Условиях и существенно не снижают обязательную защиту по статье 28. Уведомления и запросы на защиту данных могут отправляться через страницу контакт или на contact@orbitpage.com.

• HTTPS/TLS для поддерживаемых данных в транзите и управляемой провайдером защиты хранимых сервисных данных.
• Аутентификация Firebase, подтверждение личностей по необходимости, проверка членства в арендаторах, права на основе ролей и серверная авторизация.
• Серверные секреты, односторонний хэш учетных данных API и шифрование паролей SMTP, предоставленных клиентом.
• Записи с ограничением арендаторов, проверенные пути публикации, хранилище частных объектов для защищённых файлов и ограниченные по времени учетные данные для доставки.
• Ограничения тарифов, проверка приложений или аналогичная аттестация запросов при настройке, контроль злоупотреблений, меры защиты модерации и ведение оперативного ведения.
• История ревизий, управляемые резервные копии при настройке, проверки развертывания, процедуры инцидентов и контролируемое ротация учетных данных.
• Минимизация данных, ограниченный контекст ИИ, ограниченные учетные данные провайдера и контроль удаления/экспорта, описанные в Политике конфиденциальности.
• Конфиденциальность персонала, доступ поставщиков с наименьшими привилегиями и проверка субпроцессоров, соответствующих их роли.

Текущий список, цель, объем данных и документация поставщика ведутся на странице Subprocessors. Поставщики SMTP, аналитики, согласия, бронирования, форм и встраивания, выбранные клиентом контролируются Клиентом и не назначаются OrbitPage в качестве субпроцессоров платформы для выбранных Клиентом использований.