Acord de prelucrare a datelor

Acest Acord de prelucrare a datelor („APD”) face parte din Termeni și condiții dintre Passport Digital Limited („noi”, persoana împuternicită) și client („dvs.”, operatorul). Se aplică ori de câte ori prelucrăm date cu caracter personal în numele dvs. în furnizarea MyProductPassport și respectă articolul 28 din UK GDPR și, după caz, din GDPR UE. Dacă un partener vă administrează spațiul de lucru și deține contractul dvs., suntem subîmputernicitul acelui partener în aceleași condiții.

1. Detalii privind prelucrarea

• Obiect și durată: furnizarea MyProductPassport către dvs., pe durata contractului și până la ștergerea datelor, așa cum este descris mai jos.
• Natură și scop: găzduirea, stocarea, publicarea, traducerea și afișarea datelor produselor și a pașapoartelor dvs.; producerea statisticilor de vizualizare a pașapoartelor; asistență; și copii de rezervă.
• Acolo unde le folosiți, de asemenea: solicitarea de informații de la furnizorii pe care îi alegeți, păstrarea unui istoric semnat al fiecărui pașaport publicat și conectarea echipei dvs. prin furnizorul dvs. de identitate.
• Persoane vizate: personalul și membrii echipei dvs.; persoanele menționate în datele și documentele produselor dvs.; și persoanele care vizualizează pașapoartele publicate.
• Tipuri de date cu caracter personal: nume, date de contact de afaceri și funcții; orice date cu caracter personal pe care le includeți în datele produselor sau în documente; iar pentru cei care vizualizează pașapoarte, țara, tipul dispozitivului, browserul, sistemul de operare, pagina de proveniență și un identificator codificat al vizitatorului (niciodată adresa IP).
• Când activați serviciile post-vânzare: înregistrarea proprietarilor produselor dvs. și ținerea evidenței garanției lor, transmiterea între dvs. și ei a solicitărilor de service, a răspunsurilor dvs. și a fotografiilor clienților, transferul unui produs de către proprietari și verificarea autenticității unui articol.
• Persoanele vizate, când folosiți serviciile post-vânzare: persoanele care înregistrează unul dintre produsele dvs., vă trimit o solicitare de service, primesc un produs de la proprietarul lui sau verifică autenticitatea unui articol.
• Tipurile de date cu caracter personal despre ele: nume și adresă de e-mail; ce aleg să adauge, cum ar fi telefon, țară, data și locul cumpărării, număr de serie, mesaje și fotografii; dacă au acceptat să primească vești de la dvs., cu textul exact pe care l-au văzut; iar la verificările de autenticitate, țara și un identificator codificat al vizitatorului (niciodată adresa IP).
• Acolo unde solicitați informații furnizorilor: persoanele de contact ale furnizorilor dvs. (nume, adresă de e-mail și companie) și răspunsurile și fișierele pe care le trimit. Acolo unde folosiți autentificarea unică: numele și adresa de e-mail pe care furnizorul dvs. de identitate le transmite pentru fiecare persoană. Istoricul semnat al unui pașaport păstrează fiecare versiune publicată așa cum a fost, inclusiv valorile anterioare ale câmpurilor. Este șters odată cu spațiul dvs. de lucru, iar noi vom elimina versiunile anterioare conform instrucțiunilor dvs. dacă datele cu caracter personal trebuie șterse din acestea.

Serviciul nu este conceput pentru categorii speciale de date (cum ar fi datele privind sănătatea). Vă rugăm să nu le încărcați.

Dvs. decideți ce li se comunică clienților dvs. Fiecare formular și e-mail post-vânzare conține un link către nota dvs. de confidențialitate, iar aceste funcții rămân dezactivate până o adăugați. E-mailurile către clienții dvs. pleacă în numele dvs., cu adresa dvs. de răspuns, prin furnizorul nostru de expediere.

2. Obligațiile noastre

Ne angajăm:

• să prelucrăm datele cu caracter personal doar pe baza instrucțiunilor dvs. documentate, adică acești termeni și utilizarea serviciului de către dvs., cu excepția cazului în care legea impune altceva, caz în care vă vom informa mai întâi, dacă legea nu interzice acest lucru;
• să vă informăm dacă considerăm că o instrucțiune încalcă legislația privind protecția datelor;
• să ne asigurăm că toți cei pe care îi autorizăm să prelucreze datele sunt obligați la confidențialitate;
• să aplicăm măsurile de securitate descrise mai jos;
• să folosim subîmputerniciți doar conform celor de mai jos;
• să vă ajutăm să răspundeți solicitărilor persoanelor care își exercită drepturile;
• să vă ajutăm să vă îndepliniți obligațiile privind securitatea, notificarea încălcărilor, evaluările impactului asupra protecției datelor și consultarea prealabilă, ținând cont de informațiile de care dispunem;
• să ștergem sau să returnăm datele cu caracter personal la încetarea contractului, după cum este descris mai jos;
• să punem la dispoziție informațiile necesare pentru a demonstra respectarea acestor obligații și să permitem audituri, după cum este descris mai jos.

3. Subîmputerniciți

Ne autorizați să folosim acești subîmputerniciți:

• DigitalOcean, prin Cloudways: găzduire, baze de date și copii de rezervă (Londra, Regatul Unit).
• Cloudflare: rețea, securitate și livrare de conținut (rețea globală).
• Brevo (Sendinblue SAS): trimiterea e-mailurilor de serviciu către dvs. și echipa dvs. și, când folosiți serviciile post-vânzare, către clienții dvs. (Franța).
• OpenAI: traducerea automată a textului pașapoartelor publicate și citirea documentelor pe care alegeți să le importați într-un pașaport (Statele Unite).
• Sentry (Functional Software, Inc.): monitorizarea erorilor (Germania, regiune de date UE).
• Microsoft (Microsoft 365): e-mail, pentru corespondența de asistență.

Impunem fiecărui subîmputernicit obligații de protecție a datelor nu mai puțin protectoare decât acest APD și rămânem răspunzători față de dvs. pentru activitatea lor. Vă vom informa despre un nou subîmputernicit prin e-mail sau în aplicație cu cel puțin 30 de zile înainte să înceapă. Puteți obiecta din motive rezonabile de protecție a datelor; dacă nu putem rezolva obiecția, puteți înceta serviciul afectat și vom rambursa taxele plătite pentru orice perioadă de după încetare.

4. Transferuri internaționale

Datele dvs. sunt găzduite în Regatul Unit, pe care Comisia Europeană îl recunoaște ca oferind o protecție adecvată. Acolo unde un subîmputernicit prelucrează date cu caracter personal într-o țară fără decizie privind caracterul adecvat, ne bazăm pe clauzele contractuale standard ale Comisiei Europene împreună cu UK International Data Transfer Addendum sau pe certificarea subîmputernicitului în cadrul EU-US Data Privacy Framework și al extinderii acestuia pentru Regatul Unit.

5. Solicitări ale persoanelor fizice

Serviciul vă permite să vizualizați, să corectați, să exportați și să ștergeți singur datele. Dacă cineva ne contactează în legătură cu date cu caracter personal pe care le controlați dvs., vă vom transmite solicitarea fără întârzieri nejustificate și nu vom răspunde noi înșine decât dacă ne cereți.

Proprietarii produselor înregistrate pot, de asemenea, să renunțe singuri la e-mailurile dvs. de marketing și să își șteargă înregistrarea din pagina de proprietar.

6. Măsuri de securitate

• Criptare în tranzit: TLS pe fiecare conexiune, cu HTTP Strict Transport Security.
• Criptare în repaus: numărul de înregistrare al companiei, codul de TVA și numărul de telefon stocate în conturile utilizatorilor sunt criptate în aplicație; parolele sunt stocate doar ca hash-uri unidirecționale.
• Acces: acces bazat pe roluri în spațiile de lucru (proprietar, administrator, editor, vizualizator), autentificare cu doi factori opțională și încercări de conectare limitate. Accesul la serverele de producție este restricționat la administratori desemnați nominal.
• Jurnalizare: acțiunile importante sunt înregistrate cu utilizatorul, ora și adresa IP și păstrate 90 de zile.
• Vizitatorii pașapoartelor: adresele IP nu sunt stocate niciodată; doar un identificator codificat creat cu o cheie secretă.
• Post-vânzare: codurile ascunse ale articolelor, cheile etichetelor securizate și linkurile private din e-mailurile către clienții dvs. sunt criptate în aplicație; fotografiile trimise de clienți sunt stocate privat și afișate doar echipei dvs. și clientului care le-a trimis.
• Reziliență: copii de rezervă zilnice ale bazei de date și protecție Cloudflare împotriva atacurilor de tip denial-of-service.
• Securitatea aplicației: o politică strictă de securitate a conținutului (CSP) cu raportarea încălcărilor.

7. Încălcări ale securității datelor cu caracter personal

Dacă aflăm de o încălcare a securității datelor cu caracter personal care vă afectează datele, vom:

• să vă informăm fără întârzieri nejustificate și, în orice caz, în termen de 48 de ore, prin e-mail către proprietarul spațiului dvs. de lucru;
• vă vom oferi informațiile necesare pentru a notifica Information Commissioner’s Office sau autoritatea dvs. de supraveghere în termen de 72 de ore și le vom actualiza pe măsură ce aflăm mai multe;
• să colaborăm cu dvs. pentru investigarea și limitarea încălcării și să consemnăm ce s-a întâmplat și ce am făcut.

Ne puteți raporta o problemă de securitate suspectată la [email protected].

8. Audituri

Vom răspunde la întrebări scrise rezonabile despre respectarea acestui APD. Dacă nu este suficient, puteți efectua un audit, pe cheltuiala dvs.:

• cu un preaviz scris de cel puțin 30 de zile;
• în timpul programului normal de lucru;
• de către auditori obligați la confidențialitate;
• cel mult o dată pe an, cu excepția cazului în care o încălcare sau o autoritate impune încă unul.

9. Returnarea și ștergerea datelor

Vă puteți exporta datele oricând și puteți cere un export complet la încetarea contractului (vedeți „Trecerea la alt furnizor” din Termeni și condiții). Când vă ștergeți contul, datele cu caracter personal din acesta sunt șterse imediat. Dacă contractul se încheie în alt mod, ștergem datele la 30 de zile după încetare. Copiile din backupuri sunt suprascrise în următoarele 60 de zile. Păstrăm doar ce impune legea, cum ar fi facturile, și confirmăm ștergerea în scris dacă ne cereți.

De la 26 octombrie 2026, pașapoartele bateriilor rămân disponibile după ștergerea contului, conform Termenilor și condițiilor (Regulamentul (UE) 2023/1542, articolul 78 litera (e)).

Date post-vânzare: o înregistrare pe care nu o confirmă nimeni este ștearsă după 30 de zile, iar datele unui nou proprietar invitat imediat ce transferul este acceptat, anulat sau expiră. Proprietarii își pot șterge singuri înregistrarea din pagina de proprietar, iar dvs. puteți elimina o înregistrare sau șterge o solicitare de service din panou. În rest, aceste date se șterg odată cu spațiul dvs. de lucru.

10. Legea aplicabilă

Acest APD este guvernat de legea Angliei și Țării Galilor, ca și Termenii și condițiile noastre. Acolo unde GDPR UE impune ca acesta să fie guvernat de legea unui stat membru UE, se aplică legea irlandeză, iar instanțele din Irlanda sunt competente. Dacă acest APD intră în conflict cu Termenii și condițiile, acest APD prevalează în ceea ce privește prelucrarea datelor cu caracter personal.

Întrebări despre acest acord de prelucrare a datelor: [email protected].