Acordul de Procesare a Datelor PhotoRobot (DPA)

Acest document reprezintă Acordul de Procesare a Datelor PhotoRobot: Versiunea 1.0 — Ediția PhotoRobot, uni-Robot Ltd., Republica Cehă.

‍

‍

1. Partide

Acest Acord de Prelucrare a Datelor ("DPA") este încheiat între:

Controlor (Client)
Persoana fizică sau entitatea juridică care a încheiat Termenii de Utilizare PhotoRobot și folosește Serviciul.

și

Procesor:
uni-Robot Ltd.
Vodičkova 710/31
110 00 Praga 1
Republica Cehă
ID-ul companiei: 01478061
ID TVA: CZ01478061
Email: legal@photorobot.com

De acum înainte, denumiți colectiv "Părțile".

Acest DPA completează Termenii de Utilizare PhotoRobot și se aplică atunci când PhotoRobot procesează date personale în numele Clientului.

‍

‍

2. Subiect și natura procesării

PhotoRobot ("Procesor") oferă servicii bazate pe cloud, extensii software locale, management firmware și infrastructură de găzduire necesare pentru procesarea imaginilor, metadatelor și conținutului digital aferent încărcat de Client ("Controlor").

Procesarea include:

• Colecție
• Depozitare
• Transmisie
• Extragerea metadatelor
• sincronizarea între CL ↔ Cloud
• găzduirea conținutului încărcat de clienți
• Crearea jurnalelor și diagnosticării
• Operațiuni de rezervă

Prelucrarea se efectuează strict în numele Controllerului, conform instrucțiunilor sale documentate.

‍

‍

3. Durata

Acest DPA rămâne în vigoare pe durata relației contractuale dintre părți și ulterior atât timp cât Procesatorul stochează sau procesează orice date personale în numele Controllerului.

‍

‍

4. Date personale și categorii de subiecte ale datelor

4.1. Tipuri de date personale

În funcție de modul în care este utilizat Serviciul, datele procesate pot include:

• Date de identificare (nume, nume de familie, companie)
• Date de contact (email, telefon)
• Conținut vizual (imagini, videoclipuri)
• Metadate asociate cu conținutul încărcat
• date de jurnal, adrese IP, identificatori tehnici
• Date la nivel de proiect
• Acreditări (hash-uite), jetoane de acces

Procesorul nu solicită și nu procesează intenționat categorii speciale de date (Art. 9 GDPR).

‍

4.2. Categorii de subiecte de date

• Angajații clienților
• Clienții sau partenerii clienților
• Utilizatori autorizați
• Orice persoane prezentate în conținut vizual încărcat de Client

Clientul este singurul responsabil pentru asigurarea colectării legale a datelor de la persoanele afectate.

‍

‍

5. Instrucțiuni de la Controller

Procesorul procesează doar date personale:

1. conform instrucțiunilor documentate ale Controlorului,
2. după cum este necesar pentru a oferi serviciul,
3. pentru a asigura securitatea, integritatea și disponibilitatea sistemelor,
4. conform cerințelor legislației UE sau cehe.

Dacă Procesatorul consideră o instrucțiune ilegală, Procesatorul trebuie să notifice Controlorul.

‍

‍

6. Confidențialitate

Procesatorul asigură că toate persoanele autorizate să proceseze date personale:

• sunt supuse obligațiilor de confidențialitate,
• au primit pregătirea corespunzătoare,
• procesează datele exclusiv sub instrucțiunile Controllerului.

‍

‍

7. Subprocesoare

Procesatorul folosește anumite terțe părți ("Sub-Procesori") pentru a susține Serviciul.

‍

7.1. Subprocesoare aprobate

Controlerul acordă autorizație generală pentru ca Procesorul să se angajeze în următoarele categorii de Subprocesoare:

• Furnizori de infrastructură cloud (de exemplu, Google Cloud Platform)
• Furnizori de livrare a emailului
• Furnizori de analiză
• Sisteme de ticketing
• Servicii de monitorizare a securității
• Sisteme de backup și recuperare în caz de dezastru

O listă completă este menținută în PhotoRobot Sub-Processor List și poate fi actualizată.

‍

7.2. Notificarea modificărilor

Procesorul va notifica Controlerul cu privire la orice modificări intenționate ale Subprocesorilor cu cel puțin 15 zile înainte, permițându-i să se opună pe motive rezonabile.

‍

‍

8. Transferuri internaționale de date

Atunci când subprocesoarele sau infrastructura sunt amplasate în afara EEE, procesorul asigură:

• aplicarea Clauzelor Contractuale Standard (SCC 2021),
• garanții tehnice și organizaționale suplimentare,
• acces și criptare minimizate,
• audituri de conformitate realizate de furnizorul de bază.

Google Cloud Platform oferă:

• ISO 27001, ISO 27017, ISO 27018
• Rapoarte SOC 1/2/3
• Documentația conformității cu GDPR

Detalii disponibile la https://cloud.google.com/security.

‍

‍

9. Măsuri de securitate

Procesatorul trebuie să implementeze măsuri tehnice și organizaționale (TOMs) standard din industrie, inclusiv:

‍

9.1. Măsuri tehnice

• Criptarea TLS a datelor în tranzit
• Stocare securizată cu jetoane de acces criptate
• Medii de procesare izolate
• Hasharea parolelor
• Limite de rată și sisteme de detectare a intruziunilor
• Firewall multi-strat
• securitatea fizică a centrului de date (prin Google Cloud)

‍

9.2. Măsuri organizaționale

• Controlul accesului bazat pe roluri
• Înregistrarea accesului și monitorizarea
• Politici interne pentru gestionarea datelor
• Obligații de confidențialitate a angajaților
• Instruire periodică în securitate
• Managementul riscului furnizorilor

O listă completă a TOM-urilor este disponibilă la cerere.

‍

‍

10. Drepturi pentru persoanele în cauză

Procesorul asistă Controlerul să răspundă la:

• Cereri de acces
• Rectificare
• Ștergere
• Restricție
• Portabilitatea datelor
• Obiecții

Procesatorul va transmite orice cerere directă de la un subiect de date către Responsabil fără întârziere nejustificată.

‍

‍

11. Notificare privind breșa de date

În caz de încălcare a datelor personale, Furnizorul de Proces trebuie să notifice Responsabilul:

• fără întârziere nejustificată,
• inclusiv toate informațiile cerute de Articolul 33 GDPR,
• și să ofere actualizări continue până la finalizarea remedierii.

Controlorul rămâne responsabil pentru notificarea autorităților și a persoanelor afectate.

‍

‍

12. Ștergerea sau returnarea datelor

La încetarea contractului:

• Procesorul șterge datele clienților după 30 de zile,
• dacă nu este instruit altfel de către Controlor,
• cu excepția cazurilor în care reținerea este impusă de lege.

Backup-urile sunt suprascrise pe parcursul ciclului lor normal de viață.

‍

‍

13. Audituri

Controlorul are dreptul să:

• să primească documentație care să dovedească conformitatea cu GDPR
• solicită un raport despre TOM-uri
• efectuează audituri rezonabile, limitate la o dată pe an
• se bazează pe certificări terțe (rapoarte ISO/SOC ale Google Cloud)

Auditurile nu trebuie să pună în pericol securitatea sau să perturbe operațiunile.

‍

‍

14. Răspundere

Răspunderea părților urmează Termenii Serviciului.
Procesatorul este răspunzător doar pentru încălcări cauzate de propria sa încălcare a obligațiilor GDPR.

‍

‍

15. Drept de guvernare și jurisdicție

Acest DPA este guvernat de legile Republicii Cehe.

Disputele vor fi soluționate de instanțele din Praga, Republica Cehă.

‍

‍

16. Clauze contractuale standard (SCC)

Unde este necesar, SCC 2021 (Modulul 2: Controler → Procesor) se aplică ca anexă la acest DPA.

PhotoRobot:

• încorporează SCC prin referință,
• include toate clauzele obligatorii,
• implementează măsuri tehnice suplimentare
• asigură conformitatea pentru transferurile către subprocesatori din afara EEE.

SCC poate fi furnizat integral la cerere.

‍

‍

17. Contact

uni-Robot Ltd.
Vodičkova 710/31
110 00 Praga 1
Republica Cehă

Email: legal@photorobot.com

‍