Datu apstrādes līgums

Šis Datu apstrādes līgums (“DAL”) ir daļa no Pakalpojuma noteikumi starp Passport Digital Limited (“mēs”, apstrādātājs) un klientu (“jūs”, pārzinis). Tas ir piemērojams ikreiz, kad, nodrošinot MyProductPassport, apstrādājam personas datus jūsu vārdā, un atbilst UK GDPR un, ja piemērojams, EU GDPR 28. pantam. Ja jūsu darbvietu pārvalda partneris, kuram ir jūsu līgums, mēs esam šā partnera apakšapstrādātājs ar tiem pašiem noteikumiem.

1. Apstrādes informācija

• Priekšmets un ilgums: MyProductPassport nodrošināšana jums, kamēr ir spēkā līgums un līdz datu dzēšanai, kā aprakstīts tālāk.
• Būtība un mērķis: jūsu produktu datu un pasu mitināšana, glabāšana, publicēšana, tulkošana un attēlošana; pasu skatījumu statistikas sagatavošana; atbalsts; un dublējumi.
• Ja jūs tās izmantojat, arī: informācijas lūgšana jūsu izvēlētajiem piegādātājiem, katras publicētās pases parakstītās vēstures glabāšana un jūsu komandas pieteikšanās, izmantojot jūsu identitātes nodrošinātāju.
• Attiecīgās personas: jūsu darbinieki un komandas locekļi; personas, kas minētas jūsu produktu datos un dokumentos; un personas, kas skata jūsu publicētās pases.
• Personas datu veidi: vārdi, uzņēmuma kontaktinformācija un amati; jebkuri personas dati, ko iekļaujat produktu datos vai dokumentos; un pasu skatītājiem – valsts, ierīces veids, pārlūks, operētājsistēma, novirzošā lapa un kodēts apmeklētāja identifikators (nekad IP adrese).
• Ja ieslēdzat pēcpārdošanu: jūsu produktu īpašnieku reģistrēšana un viņu garantijas datu uzturēšana, servisa pieprasījumu, jūsu atbilžu un klientu fotoattēlu nodošana starp jums un viņiem, iespēja īpašniekiem nodot produktu tālāk un vienības autentiskuma pārbaude.
• Datu subjekti, ja izmantojat pēcpārdošanu: personas, kas reģistrē kādu no jūsu produktiem, sūta jums servisa pieprasījumu, saņem produktu no tā īpašnieka vai pārbauda vienības autentiskumu.
• Viņu personas datu veidi: vārds un e-pasta adrese; ko viņi paši izvēlas pievienot, piemēram, tālruņa numurs, valsts, pirkuma datums un vieta, sērijas numurs, ziņojumi un fotoattēli; vai viņi piekrita saņemt jūsu jaunumus, ar precīzu redzēto formulējumu; un autentiskuma pārbaudēs valsts un kodēts apmeklētāja identifikators (nekad IP adrese).
• Ja lūdzat piegādātājiem informāciju: jūsu piegādātāju kontaktpersonas (vārds, e-pasta adrese un uzņēmums) un viņu nosūtītās atbildes un faili. Ja izmantojat vienoto pieteikšanos: vārds un e-pasta adrese, ko jūsu identitātes nodrošinātājs nosūta par katru personu. Pases parakstītā vēsture glabā katru publicēto versiju tādu, kāda tā bija, ieskaitot agrākās lauku vērtības. Tā tiek dzēsta kopā ar jūsu darbvietu, un mēs pēc jūsu norādījuma noņemsim agrākās versijas, ja no tām ir jādzēš personas dati.

Pakalpojums nav paredzēts īpašu kategoriju datiem (piemēram, veselības datiem). Lūdzu, neaugšupielādējiet tos.

Jūs izlemjat, ko paziņo jūsu klientiem. Saite uz jūsu privātuma paziņojumu ir katrā pēcpārdošanas veidlapā un e-pastā, un šīs funkcijas paliek izslēgtas, līdz to pievienojat. E-pasti jūsu klientiem tiek sūtīti jūsu vārdā, ar jūsu atbildes adresi, caur mūsu sūtīšanas pakalpojumu sniedzēju.

2. Mūsu pienākumi

Mēs apņemamies:

• apstrādāt personas datus tikai saskaņā ar jūsu dokumentētiem norādījumiem, kas ir šie noteikumi un jūsu pakalpojuma izmantošana, ja vien likums neprasa citādi; šādā gadījumā mēs jūs par to vispirms informēsim, ja vien likums to neaizliedz;
• informēt jūs, ja uzskatām, ka norādījums pārkāpj datu aizsardzības tiesību aktus;
• nodrošināt, ka ikvienu, ko pilnvarojam apstrādāt datus, saista konfidencialitāte;
• piemērot tālāk aprakstītos drošības pasākumus;
• izmantot apakšapstrādātājus tikai tā, kā norādīts tālāk;
• palīdzēsim jums atbildēt uz pieprasījumiem no personām, kas izmanto savas tiesības;
• palīdzēsim jums izpildīt pienākumus saistībā ar drošību, paziņošanu par pārkāpumiem, novērtējumiem par ietekmi uz datu aizsardzību un iepriekšēju apspriešanos, ņemot vērā mums pieejamo informāciju;
• dzēst vai atdot personas datus līguma beigās, kā aprakstīts tālāk;
• darīt pieejamu informāciju, kas vajadzīga, lai pierādītu šo pienākumu izpildi, un atļaut auditus, kā aprakstīts tālāk.

3. Apakšapstrādātāji

Jūs pilnvarojat mūs izmantot šos apakšapstrādātājus:

• DigitalOcean ar Cloudways starpniecību: mitināšana, datubāzes un dublējumi (Londona, Apvienotā Karaliste).
• Cloudflare: tīkls, drošība un satura piegāde (globāls tīkls).
• Brevo (Sendinblue SAS): pakalpojuma e-pastu sūtīšana jums un jūsu komandai un, ja izmantojat pēcpārdošanu, jūsu klientiem (Francija).
• OpenAI: publicēto pasu teksta automātiska tulkošana un to dokumentu lasīšana, kurus izvēlaties importēt pasē (Amerikas Savienotās Valstis).
• Sentry (Functional Software, Inc.): kļūdu uzraudzība (Vācija, ES datu reģions).
• Microsoft (Microsoft 365): e-pasts atbalsta sarakstei.

Katram apakšapstrādātājam uzliekam datu aizsardzības pienākumus, kas nav mazāk aizsargājoši kā šis DAL, un paliekam atbildīgi jūsu priekšā par to darbu. Par jaunu apakšapstrādātāju informēsim jūs pa e-pastu vai lietotnē vismaz 30 dienas pirms tā darbības sākuma. Varat iebilst pamatotu datu aizsardzības iemeslu dēļ; ja nevaram iebildumu atrisināt, varat izbeigt skarto pakalpojumu, un mēs atmaksāsim maksu par periodu pēc tā beigām.

4. Starptautiska datu nosūtīšana

Jūsu dati tiek mitināti Apvienotajā Karalistē, kuru Eiropas Komisija atzīst par tādu, kas nodrošina pietiekamu aizsardzību. Ja apakšapstrādātājs apstrādā personas datus valstī bez lēmuma par aizsardzības līmeņa pietiekamību, mēs paļaujamies uz Eiropas Komisijas standarta līguma klauzulām kopā ar UK International Data Transfer Addendum vai uz apakšapstrādātāja sertifikāciju saskaņā ar ES un ASV Datu privātuma regulējumu un tā Apvienotās Karalistes paplašinājumu.

5. Fizisku personu pieprasījumi

Pakalpojums ļauj jums pašiem skatīt, labot, eksportēt un dzēst datus. Ja kāds sazinās ar mums par jūsu pārziņā esošiem personas datiem, mēs bez nepamatotas kavēšanās pārsūtīsim pieprasījumu jums un paši uz to neatbildēsim, ja vien jūs to nelūgsiet.

Reģistrēto produktu īpašnieki paši var arī atteikties no jūsu mārketinga e-pastiem un dzēst savu reģistrāciju savā īpašnieka lapā.

6. Drošības pasākumi

• Šifrēšana pārsūtīšanā: TLS katrā savienojumā ar HTTP Strict Transport Security.
• Šifrēšana glabāšanā: lietotāju kontos glabātais uzņēmuma reģistrācijas numurs, PVN numurs un tālruņa numurs lietotnē tiek šifrēti; paroles tiek glabātas tikai kā vienvirziena jaucējkodi.
• Piekļuve: uz lomām balstīta piekļuve darbvietās (īpašnieks, administrators, redaktors, skatītājs), neobligāta divfaktoru autentifikācija un ierobežoti pieteikšanās mēģinājumi. Piekļuve ražošanas serveriem ir tikai vārdā nosauktiem administratoriem.
• Reģistrēšana: nozīmīgas darbības tiek reģistrētas ar lietotāju, laiku un IP adresi un tiek glabātas 90 dienas.
• Pases skatītāji: IP adreses nekad netiek glabātas; tikai ar slepenu atslēgu izveidots kodēts identifikators.
• Pēcpārdošana: vienību slēptie kodi, drošo birku atslēgas un privātās saites e-pastos jūsu klientiem tiek šifrētas lietotnē; klientu sūtītie fotoattēli tiek glabāti privāti un rādīti tikai jūsu komandai un klientam, kurš tos nosūtīja.
• Noturība: ikdienas datubāzes dublējumi un Cloudflare aizsardzība pret pakalpojuma atteikuma uzbrukumiem.
• Lietotnes drošība: stingra satura drošības politika (CSP) ar ziņošanu par pārkāpumiem.

7. Personas datu aizsardzības pārkāpumi

Ja uzzināsim par personas datu aizsardzības pārkāpumu, kas skar jūsu datus, mēs:

• informēt jūs bez nepamatotas kavēšanās un jebkurā gadījumā 48 stundu laikā, nosūtot e-pastu jūsu darbvietas īpašniekam;
• sniegsim jums informāciju, kas vajadzīga, lai 72 stundu laikā paziņotu Information Commissioner’s Office vai jūsu uzraudzības iestādei, un to atjaunināsim, kad uzzināsim vairāk;
• sadarboties ar jums pārkāpuma izmeklēšanā un ierobežošanā un dokumentēt, kas notika un ko mēs darījām.

Par iespējamu drošības problēmu varat ziņot mums, rakstot uz [email protected].

8. Auditi

Mēs atbildēsim uz saprātīgiem rakstiskiem jautājumiem par to, kā ievērojam šo DAL. Ja ar to nepietiek, varat veikt revīziju par saviem līdzekļiem:

• ar vismaz 30 dienu rakstisku paziņojumu;
• parastajā darba laikā;
• auditoriem, kurus saista konfidencialitāte;
• ne biežāk kā reizi gadā, ja vien pārkāpums vai regulators nepieprasa vēl vienu.

9. Datu atdošana un dzēšana

Savus datus varat eksportēt jebkurā laikā un līguma beigās pieprasīt pilnu eksportu (skatiet sadaļu “Pāreja pie cita pakalpojumu sniedzēja” mūsu Pakalpojuma noteikumi). Dzēšot kontu, tajā esošie personas dati tiek dzēsti nekavējoties. Ja līgums beidzas citādi, datus dzēšam 30 dienas pēc tā beigām. Rezerves kopijās esošās kopijas tiek pārrakstītas 60 dienu laikā pēc tam. Mēs saglabājam tikai to, ko prasa likums, piemēram, rēķinus, un pēc pieprasījuma rakstiski apstiprinām dzēšanu.

No 2026. gada 26. oktobra bateriju pases paliek pieejamas arī pēc konta dzēšanas, kā aprakstīts Pakalpojuma noteikumos (Regula (ES) 2023/1542, 78. panta e) punkts).

Pēcpārdošanas dati: reģistrācija, ko neviens neapstiprina, tiek dzēsta pēc 30 dienām, bet uzaicinātā jaunā īpašnieka dati tiek dzēsti, tiklīdz nodošana ir pieņemta, atcelta vai beidzies tās derīgums. Īpašnieki paši var dzēst savu reģistrāciju savā īpašnieka lapā, un jūs panelī varat noņemt reģistrāciju vai dzēst servisa pieprasījumu. Citādi šie dati tiek dzēsti kopā ar jūsu darbvietu.

10. Piemērojamie tiesību akti

Šim DAL piemēro Anglijas un Velsas tiesības, tāpat kā mūsu Pakalpojuma noteikumiem. Ja EU GDPR prasa, lai tam piemērotu ES dalībvalsts tiesības, piemēro Īrijas tiesības, un jurisdikcija ir Īrijas tiesām. Ja šis DAL ir pretrunā ar Pakalpojuma noteikumiem, attiecībā uz personas datu apstrādi noteicošais ir šis DAL.

Jautājumi par šo datu apstrādes līgumu: [email protected].