Pogodba o obdelavi podatkov

Ta Pogodba o obdelavi podatkov (»DPA«) je del Pogoji storitve med Passport Digital Limited (»mi«, obdelovalec) in stranko (»vi«, upravljavec). Velja vedno, ko pri zagotavljanju MyProductPassport v vašem imenu obdelujemo osebne podatke, in izpolnjuje člen 28 UK GDPR ter, kjer velja, EU GDPR. Če vaš delovni prostor upravlja partner, ki ima vašo pogodbo, smo pod enakimi pogoji podobdelovalec tega partnerja.

1. Podrobnosti obdelave

• Predmet in trajanje: zagotavljanje storitve MyProductPassport vam, dokler traja pogodba in dokler podatki niso izbrisani, kot je opisano spodaj.
• Narava in namen: gostovanje, shranjevanje, objava, prevajanje in prikaz vaših podatkov o izdelkih in potnih listov; izdelava statistike ogledov potnih listov; podpora; in varnostne kopije.
• Kjer jih uporabljate, tudi: pošiljanje zahtev za podatke dobaviteljem, ki jih izberete, vodenje podpisane zgodovine vsakega objavljenega potnega lista in prijava vaše ekipe prek vašega ponudnika identitete.
• Zadevne osebe: vaše osebje in člani ekipe; osebe, navedene v vaših podatkih o izdelkih in dokumentih; ter osebe, ki si ogledujejo vaše objavljene potne liste.
• Vrste osebnih podatkov: imena, poslovni kontaktni podatki in delovna mesta; vsi osebni podatki, ki jih vključite v podatke o izdelkih ali dokumente; ter za tiste, ki si ogledujejo potne liste, država, vrsta naprave, brskalnik, operacijski sistem, napotitvena stran in kodiran identifikator obiskovalca (nikoli naslov IP).
• Kjer vklopite poprodajne storitve: registracija lastnikov vaših izdelkov in vodenje evidence njihovih garancij, posredovanje servisnih zahtevkov, vaših odgovorov in fotografij vaših strank med vami in njimi, omogočanje lastnikom, da izdelek predajo naprej, ter preverjanje pristnosti kosa.
• Zadevne osebe, kjer uporabljate poprodajne storitve: osebe, ki registrirajo enega od vaših izdelkov, vam pošljejo servisni zahtevek, od lastnika prejmejo izdelek ali preverijo pristnost kosa.
• Vrste osebnih podatkov o njih: ime in e-poštni naslov; kar se odločijo dodati, na primer telefonska številka, država, datum in kraj nakupa, serijska številka, sporočila in fotografije; ali so privolile v prejemanje vaših sporočil, z natančnim besedilom, ki so ga videle; ter pri preverjanju pristnosti država in kodiran identifikator obiskovalca (nikoli naslov IP).
• Kjer dobavitelje zaprosite za podatke: kontaktne osebe vaših dobaviteljev (ime, e-poštni naslov in podjetje) ter odgovori in datoteke, ki jih pošljejo. Kjer uporabljate enotno prijavo: ime in e-poštni naslov, ki ju vaš ponudnik identitete pošlje za vsako osebo. Podpisana zgodovina potnega lista hrani vsako objavljeno različico takšno, kot je bila, vključno s prejšnjimi vrednostmi polj. Izbriše se skupaj z vašim delovnim prostorom, prejšnje različice pa bomo na vaše navodilo odstranili, če je treba iz njih izbrisati osebne podatke.

Storitev ni zasnovana za posebne vrste podatkov (kot so podatki o zdravju). Prosimo, ne nalagajte jih.

Vi odločate, kaj se sporoči vašim strankam. Povezava do vašega obvestila o zasebnosti je v vsakem obrazcu in sporočilu poprodajnih storitev, te funkcije pa ostanejo izklopljene, dokler obvestila ne dodate. Sporočila vašim strankam se pošiljajo v vašem imenu, z vašim naslovom za odgovor, prek našega ponudnika pošiljanja.

2. Naše obveznosti

Zavezujemo se:

• osebne podatke obdelovati samo po vaših dokumentiranih navodilih, ki so ti pogoji in vaša uporaba storitve, razen če zakon zahteva drugače; v tem primeru vas bomo o tem najprej obvestili, razen če zakon tega ne prepoveduje;
• vas obvestimo, če menimo, da navodilo krši zakonodajo o varstvu podatkov;
• zagotovili, da je vsakdo, ki ga pooblastimo za obdelavo podatkov, zavezan k zaupnosti;
• uporabljati varnostne ukrepe, opisane spodaj;
• uporabljati podobdelovalce samo, kot je navedeno spodaj;
• vam pomagali odgovarjati na zahteve posameznikov, ki uveljavljajo svoje pravice;
• vam pomagali izpolniti obveznosti glede varnosti, obveščanja o kršitvah, ocen učinka v zvezi z varstvom podatkov in predhodnega posvetovanja, ob upoštevanju informacij, ki so nam na voljo;
• izbrisati ali vrniti osebne podatke ob koncu pogodbe, kot je opisano spodaj;
• dali na voljo informacije, potrebne za dokazovanje izpolnjevanja teh obveznosti, in omogočili revizije, kot je opisano spodaj.

3. Podobdelovalci

Pooblaščate nas za uporabo teh podobdelovalcev:

• DigitalOcean prek Cloudways: gostovanje, podatkovne baze in varnostne kopije (London, Združeno kraljestvo).
• Cloudflare: omrežje, varnost in dostava vsebin (globalno omrežje).
• Brevo (Sendinblue SAS): pošiljanje storitvene e-pošte vam in vaši ekipi ter, kjer uporabljate poprodajne storitve, vašim strankam (Francija).
• OpenAI: samodejno prevajanje besedila objavljenih potnih listov in branje dokumentov, ki jih uvozite v potni list (Združene države).
• Sentry (Functional Software, Inc.): spremljanje napak (Nemčija, podatkovna regija EU).
• Microsoft (Microsoft 365): e-pošta za korespondenco podpore.

Vsakemu podobdelovalcu naložimo obveznosti varstva podatkov, ki niso manj zaščitne od te DPA, in za njihovo delo vam še naprej odgovarjamo. O novem podobdelovalcu vas obvestimo po e-pošti ali v aplikaciji vsaj 30 dni pred začetkom njegovega dela. Ugovarjate lahko iz utemeljenih razlogov varstva podatkov; če ugovora ne moremo rešiti, lahko prizadeto storitev prekinete in vrnemo vam plačila za obdobje po njenem prenehanju.

4. Mednarodni prenosi

Vaši podatki gostujejo v Združenem kraljestvu, za katero Evropska komisija priznava, da zagotavlja ustrezno zaščito. Kadar podobdelovalec obdeluje osebne podatke v državi brez odločitve o ustreznosti, se opiramo na standardne pogodbene klavzule Evropske komisije skupaj z UK International Data Transfer Addendum ali na certifikacijo podobdelovalca v okviru EU-US Data Privacy Framework in njegove razširitve za Združeno kraljestvo.

5. Zahteve posameznikov

Storitev vam omogoča, da podatke sami pregledujete, popravljate, izvažate in brišete. Če nas kdo kontaktira glede osebnih podatkov, ki jih nadzorujete vi, vam zahtevo posredujemo brez nepotrebnega odlašanja in nanjo ne odgovorimo sami, razen če nas prosite.

Lastniki registriranih izdelkov se lahko tudi sami odjavijo od vaših trženjskih sporočil in izbrišejo svojo registracijo na svoji strani lastnika.

6. Varnostni ukrepi

• Šifriranje med prenosom: TLS pri vsaki povezavi, s HTTP Strict Transport Security.
• Šifriranje v mirovanju: matična številka podjetja, ID za DDV in telefonska številka, shranjeni v uporabniških računih, so v aplikaciji šifrirani; gesla se shranjujejo samo kot enosmerni zgoščeni zapisi.
• Dostop: dostop na podlagi vlog v delovnih prostorih (lastnik, skrbnik, urednik, opazovalec), neobvezno dvofaktorsko preverjanje pristnosti in omejeno število poskusov prijave. Dostop do produkcijskih strežnikov je omejen na poimensko določene skrbnike.
• Beleženje: pomembna dejanja se beležijo z uporabnikom, časom in naslovom IP ter hranijo 90 dni.
• Obiskovalci potnih listov: naslovi IP se nikoli ne shranjujejo; le kodiran identifikator, ustvarjen s tajnim ključem.
• Poprodajne storitve: skrite kode kosov, ključi varnih oznak in zasebne povezave v sporočilih vašim strankam so v aplikaciji šifrirani; fotografije, ki jih pošljejo stranke, se hranijo zasebno in so prikazane le vaši ekipi in stranki, ki jih je poslala.
• Odpornost: dnevne varnostne kopije podatkovne baze in zaščita Cloudflare pred napadi za zavrnitev storitve.
• Varnost aplikacije: stroga politika varnosti vsebine (CSP) s poročanjem o kršitvah.

7. Kršitve varstva osebnih podatkov

Če izvemo za kršitev varstva osebnih podatkov, ki vpliva na vaše podatke, bomo:

• vas obvestimo brez nepotrebnega odlašanja, v vsakem primeru pa v 48 urah, po e-pošti lastniku vašega delovnega prostora;
• vam dali informacije, ki jih potrebujete za obvestilo Information Commissioner’s Office ali vašemu nadzornemu organu v 72 urah, in jih dopolnjevali, ko bomo izvedeli več;
• sodelovati z vami pri preiskavi in omejitvi kršitve ter zabeležiti, kaj se je zgodilo in kaj smo storili.

Sum varnostne težave nam lahko sporočite na [email protected].

8. Revizije

Odgovorili bomo na razumna pisna vprašanja o našem spoštovanju te DPA. Če to ne zadošča, lahko na lastne stroške izvedete revizijo:

• s pisnim obvestilom vsaj 30 dni vnaprej;
• med običajnim delovnim časom;
• revizorji, zavezani k zaupnosti;
• največ enkrat letno, razen če kršitev ali regulator zahteva dodatno.

9. Vračilo in izbris podatkov

Svoje podatke lahko kadar koli izvozite in ob prenehanju pogodbe zahtevate celoten izvoz (glejte »Prehod k drugemu ponudniku« v naših Pogoji storitve). Ko izbrišete račun, se osebni podatki v njem takoj izbrišejo. Če pogodba preneha drugače, podatke izbrišemo 30 dni po prenehanju. Kopije v varnostnih kopijah se prepišejo v 60 dneh po tem. Hranimo samo tisto, kar zahteva zakon, na primer račune, in na zahtevo pisno potrdimo izbris.

Od 26. oktobra 2026 potni listi baterij ostanejo na voljo tudi po izbrisu računa, kot je opisano v Pogojih storitve (Uredba (EU) 2023/1542, točka (e) člena 78).

Podatki poprodajnih storitev: registracija, ki je nihče ne potrdi, se izbriše po 30 dneh, podatki povabljenega novega lastnika pa takoj, ko je prenos sprejet, preklican ali poteče. Lastniki lahko svojo registracijo izbrišejo sami na svoji strani lastnika, vi pa lahko na nadzorni plošči odstranite registracijo ali izbrišete servisni zahtevek. Sicer se ti podatki izbrišejo skupaj z vašim delovnim prostorom.

10. Veljavno pravo

Za to DPA se uporablja pravo Anglije in Walesa, tako kot za naše Pogoje storitve. Kjer EU GDPR zahteva, da se zanjo uporablja pravo države članice EU, se uporablja irsko pravo in so pristojna sodišča Irske. Če je ta DPA v nasprotju s Pogoji storitve, ima glede obdelave osebnih podatkov prednost ta DPA.

Vprašanja o tej pogodbi o obdelavi podatkov: [email protected].