Informacje prawne
Umowa o przetwarzaniu danych
Zapoznaj się z przetwarzaniem danych klienta objętym umową DPA Configurix. Poproś o umowę i harmonogramy przetwarzania dla swojego wdrożenia.
Zaktualizowano:
Na tej stronie opisano tematy dotyczące przetwarzania, które należy rozwiązać w programie Configurix. Wiążąca umowa o przetwarzaniu danych określa faktycznego klienta i usługodawcę, uzgodnione instrukcje i harmonogramy wdrożenia. Zawrzyj odpowiednią pisemną umowę, zanim dane osobowe będą przetwarzane w imieniu Twojej firmy.
Twoja umowa i obowiązki
Jeżeli klient określa, dlaczego i w jaki sposób wykorzystywane są jego dane osobowe, pełni on rolę administratora. Jeżeli firma Configurix przetwarza te dane w imieniu klienta, obowiązki podmiotu przetwarzającego są określone w obowiązującej umowie i prawie. Role zależą od faktycznego przetwarzania.
Uzgodniony organ ochrony danych rejestruje prawa i obowiązki administratora oraz obowiązki podmiotu przetwarzającego. Należy ją czytać razem z umową serwisową i jej harmonogramami przetwarzania.
Zakres i czas trwania usługi
Configurix specjalizuje się w złożonych produktach i tworzy niestandardowe konfiguratory oraz oprogramowanie biznesowe. Wdrożenie może łączyć wybór produktów i ceny z ofertami, CRM i kwalifikacją potencjalnych klientów, kalendarzami i spotkaniami, materiałami/BOM, zadaniami, zamówieniami, fakturowaniem lub uzgodnionymi integracjami.
Dokumentuj faktycznie zawarte funkcje i przetwarzanie, ich cel, okres przetwarzania i instrukcje klienta. Skorzystaj z poniższych szczegółów, aby przygotować harmonogram wdrożenia.
| Szczegóły do uzgodnienia | Co udokumentować |
|---|---|
| Usługa i cel | Funkcje oprogramowania, operacje przetwarzania i cele biznesowe objęte umową. |
| Czas trwania | Okres świadczenia usługi, okres przetwarzania i ustalenia dotyczące zakończenia świadczenia usługi. |
| Ludzie i dane | Dane osoby i faktycznie wykorzystane pola danych osobowych. |
| Systemy i lokalizacje | Hosting, przechowywanie, kraje dostępu, podwykonawcy przetwarzania i połączone systemy. |
| Bezpieczeństwo i przechowywanie | Obowiązujące środki techniczne i organizacyjne, ustalenia dotyczące przechowywania i usuwania. |
| Instrukcje i kontakty | Autoryzowane instrukcje, odpowiedzialne kontakty i obsługa incydentów/wniosków. |
Osoby i dane osobowe
Zakres może obejmować pracowników klienta korzystających z oprogramowania, klientów końcowych, kontakty biznesowe oraz uczestników projektów. Zidentyfikuj odpowiednie grupy i pola w umowie.
Dokumentacja produktowa i handlowa wchodzi w zakres danych osobowych, jeżeli identyfikuje osobę możliwą do zidentyfikowania lub odnosi się do niej. Ogranicz dane do potrzeb uzgodnionej usługi.
- Dane kontaktowe i konto, takie jak imię i nazwisko, służbowy adres e-mail, telefon i adres projektu
- Konfiguracja, wycena, spotkanie, zamówienie lub szczegóły faktury powiązane z konkretną osobą
- Wiadomości, dokumenty i informacje pomocnicze zawierające dane osobowe
- Dane techniczne, takie jak adresy IP, aktywność na koncie i odpowiednie logi
Instrukcje i poufność
Przetwarzanie w imieniu Klienta odbywa się zgodnie z jego udokumentowanymi instrukcjami, w tym instrukcjami dotyczącymi przelewów, chyba że obowiązujące prawo stanowi inaczej. Zapisz, kto może wydawać instrukcje i jak postępować z instrukcjami sprzecznymi z przepisami o ochronie danych.
Umowa musi uwzględniać poufność osób upoważnionych do przetwarzania danych, dostęp niezbędny do ich pracy oraz możliwość realizacji przez administratora praw umownych.
Środki techniczne i organizacyjne
Uzgodnij środki odpowiednie do danych, ryzyka i architektury zgodnie z art. 32 RODO, jeśli ma to zastosowanie. Określ kontrolę i obowiązki dla rzeczywistego wdrożenia, zamiast zakładać, że każda implementacja ma identyczne ustawienia.
Harmonogram zabezpieczeń powinien obejmować kontrolę dostępu, szyfrowanie, tworzenie kopii zapasowych i przywracanie, dostępność, monitorowanie, obsługę incydentów oraz, w stosownych przypadkach, przegląd/testowanie. Poproś o odpowiednie środki i dowody dotyczące proponowanej usługi.
Podprocesory
Zapisz dostawców przetwarzających dane klientów, ich zadania i obowiązującą procedurę autoryzacji. Zgodnie z art. 28 RODO zaangażowanie podwykonawców przetwarzania wymaga wcześniejszej szczególnej lub ogólnej pisemnej zgody administratora; ogólne zezwolenie obejmuje wcześniejsze powiadomienie i możliwość wyrażenia sprzeciwu wobec proponowanych zmian.
Umowa musi uwzględniać równoważne obowiązki w zakresie ochrony danych spoczywające na podwykonawcach przetwarzania oraz odpowiedzialność podmiotu przetwarzającego za ich wykonanie. Poproś o listę dostawców i procedurę zmiany odpowiednią dla Twojego wdrożenia.
Hosting i transfery międzynarodowe
Określ miejsca przechowywania i kraje, z których można uzyskać dostęp do danych. Lokalizacje zależą od uzgodnionego hostingu, wsparcia i usług powiązanych; poproś o miejsca docelowe rzeczywistego wdrożenia.
Jeżeli mają zastosowanie przepisy RODO dotyczące transferu międzynarodowego, udokumentuj odpowiedni mechanizm przekazywania i zabezpieczenia, takie jak mająca zastosowanie decyzja stwierdzająca odpowiedni stopień ochrony lub zabezpieczenia umowne. Muszą one pasować do faktycznego transferu; sama nazwa dostawcy nie stanowi ustalenia.
Prośby, zdarzenia i pomoc
Organ ochrony danych musi zapewniać pomoc w zakresie wniosków dotyczących praw indywidualnych, obowiązków związanych z bezpieczeństwem, powiadomień o naruszeniach i ocen skutków dla ochrony danych, w stosownych przypadkach, biorąc pod uwagę przetwarzanie i dostępne informacje.
W przypadku naruszenia ochrony danych osobowych mającego wpływ na przetwarzanie w imieniu klienta, podmiot przetwarzający ma obowiązek bez zbędnej zwłoki poinformować administratora. Zapisz w umowie kontakty, eskalację, wymianę informacji i obowiązki w związku z incydentem.
Zwrot, usunięcie i przechowywanie
Po zakończeniu świadczenia usługi uzgodnione ustalenia muszą dotyczyć zwrotu lub usunięcia, według wyboru administratora, łącznie z istniejącymi kopiami, chyba że obowiązujące prawo wymaga przechowywania. Określ format, harmonogram i obowiązki.
Udokumentuj wszelkie wymagania dotyczące przechowywania i sposób obsługi kopii zapasowych. Poproś o ustalenia dotyczące danych Twoich klientów, zamiast zakładać, że przechowywanie dokumentacji zapytań w witrynie ma zastosowanie do Twojego wdrożenia oprogramowania.
Prawa do informacji i audytu
Organ ochrony danych musi udostępnić informacje niezbędne do wykazania odpowiednich obowiązków w zakresie przetwarzania oraz do celów audytów, w tym inspekcji, przeprowadzanych przez administratora lub upoważnionego audytora. Uzgodnij praktyczny proces składania wniosków i dostępu.
Poproś o dokumentację dotyczącą przetwarzania i bezpieczeństwa odpowiednią dla Twojej usługi i zapisz uzgodniony proces przeglądu.
Poproś o zgodę
Skorzystaj z kontaktu regionalnego lub osoby kontaktowej ds. ochrony danych, aby poprosić o podpisaną umowę DPA, omówić klauzule lub uzyskać harmonogramy przetwarzania dla swojej usługi.
- Wskaż swoją firmę i usługę Configurix lub proponowany projekt
- Opisz dane, użytkowników, wymagania hostingowe i systemy, z którymi chcesz się połączyć
- Zapytaj o odpowiedni zakres przetwarzania, środki bezpieczeństwa, dostawców i szczegóły przelewu
Odwiedzający witrynę i zapytania
Przetwarzanie na potrzeby własnej witryny internetowej Configurix, zapytań biznesowych i administracji opisano w polityce prywatności witryny internetowej. Opcjonalne opcje analizy witryny internetowej są niezależne od instrukcji przetwarzania zawartych w DPA klienta.