Tietojenkäsittelyliite

Tämä tietojenkäsittelyliite (”DPA”) on osa käyttöehtoja, jotka on tehty sinun (”Asiakas”, rekisterinpitäjä) ja Empire Luxury International Corporationin (DBA Neuro Empire) (”NeuroCRM”, käsittelijä) välillä, ja se sääntelee asiakassisällön sisältämien henkilötietojen käsittelyä. Jos tietosuoja-asioissa ilmenee ristiriita, tämä DPA on etusijalla käyttöehtoihin nähden.

1. Roolit ja soveltamisala

Asiakassisällön osalta Asiakas on rekisterinpitäjä (tai omien asiakkaidensa puolesta toimiva käsittelijä) ja NeuroCRM on käsittelijä (tai alikäsittelijä). NeuroCRM käsittelee asiakassisältöä vain Palvelun tuottamiseksi ja Asiakkaan dokumentoitujen ohjeiden mukaisesti, joihin sisältyvät käyttöehdot, tämä DPA ja Palvelun ominaisuuksien käyttö. NeuroCRM toimii itsenäisenä rekisterinpitäjänä vain niiden rajattujen tili-, laskutus- ja turvallisuustietojen osalta, jotka on kuvattu tietosuojakäytännössä.

2. Käsittelyn yksityiskohdat

Kohde: NeuroCRM-Palvelun tuottaminen. Kesto: Asiakkaan tilauksen voimassaoloaika sekä mahdollinen alasajojakso. Luonne ja tarkoitus: isännöinti-, tallennus- ja käsittelytoimet, jotka ovat tarpeen Palvelun tuottamiseksi Asiakkaan määrittämällä tavalla. Rekisteröityjen ryhmät: Asiakkaan kontaktit, liidit, asiakkaat, henkilöstö ja muut yksityishenkilöt, joiden tietoja Asiakas syöttää. Henkilötietojen ryhmät: Asiakkaan määrittämät, tyypillisesti tunniste- ja yhteystiedot, liiketoimintatiedot ja viestintä; Asiakas ei saa syöttää erityisiin ryhmiin kuuluvia tietoja, ellei siitä ole sovittu kirjallisesti.

3. Asiakkaan ohjeet ja vaatimustenmukaisuus

NeuroCRM käsittelee asiakassisältöä vain dokumentoitujen ohjeiden mukaisesti, siirrot mukaan lukien, ellei sovellettava laki muuta edellytä (jolloin NeuroCRM ilmoittaa siitä Asiakkaalle, ellei se ole kiellettyä). NeuroCRM ilmoittaa Asiakkaalle, jos sen näkemyksen mukaan jokin ohje rikkoo sovellettavaa tietosuojalainsäädäntöä. Asiakas vastaa asiakassisällön lainmukaisuudesta sekä kaikista vaadituista ilmoituksista ja suostumuksista.

4. Henkilöstön salassapito

NeuroCRM varmistaa, että asiakassisällön käsittelyyn valtuutettua henkilöstöä sitovat salassapitovelvoitteet ja että he käsittelevät tietoja vain ohjeiden mukaisesti.

5. Turvatoimet

NeuroCRM toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet riskiä vastaavan turvallisuustason varmistamiseksi, mukaan lukien salaus tiedonsiirron aikana ja pääsytunnusten salaus levossa, vuokralaisten looginen erottelu, pääsynvalvonta ja lokitus, vikasietoisuus ja varmuuskopiointi sekä säännöllinen tarkastelu. Yhteenveto on saatavilla pyynnöstä ja tietosuojakäytännössä.

6. Alikäsittelijät

Asiakas antaa yleisen valtuutuksen NeuroCRM:lle alikäsittelijöiden käyttämiseen. Ajantasainen luettelo on osoitteessa /legal/subprocessors. NeuroCRM asettaa kullekin alikäsittelijälle tietosuojavelvoitteet, jotka eivät ole vähemmän suojaavia kuin tämä DPA, ja vastaa edelleen niiden suoriutumisesta. NeuroCRM antaa vähintään 30 päivän ennakkoilmoituksen jokaisesta uudesta tai korvaavasta alikäsittelijästä; Asiakas voi vastustaa sitä perustelluilla tietosuojaperusteilla, ja jos osapuolet eivät pysty ratkaisemaan vastustusta, Asiakas voi irtisanoa kyseisen Palvelun ja saada hyvityksen ennakkoon maksetuista käyttämättömistä maksuista.

7. Rekisteröityjen pyynnöt ja avustaminen

Käsittelyn luonne huomioon ottaen NeuroCRM avustaa Asiakasta asianmukaisin toimenpitein ja kaupallisesti kohtuullisessa määrin vastaamaan rekisteröityjen pyyntöihin sekä täyttämään velvoitteensa, jotka koskevat tietoturvaa, tietoturvaloukkauksista ilmoittamista, tietosuojaa koskevia vaikutustenarviointeja ja ennakkokuulemista. Jos NeuroCRM saa pyynnön suoraan rekisteröidyltä, se välittää sen Asiakkaalle eikä vastaa siihen muutoin kuin ohjeiden mukaisesti tai lain edellyttämällä tavalla.

8. Ilmoitus henkilötietojen tietoturvaloukkauksesta

NeuroCRM ilmoittaa Asiakkaalle ilman aiheetonta viivytystä ja joka tapauksessa 24 tunnin kuluessa siitä, kun se on saanut tietoonsa vahvistetun tai perustellusti epäillyn asiakassisältöä koskevan henkilötietojen tietoturvaloukkauksen, ja toimittaa saatavilla olevat tiedot auttaakseen Asiakasta täyttämään ilmoitusvelvoitteensa, sekä päivittää tietoja tutkinnan edetessä. Tällainen ilmoitus ei ole tunnustus syyllisyydestä tai vastuusta. Sen ratkaiseminen, ilmoitetaanko valvontaviranomaisille tai rekisteröidyille, sekä tällaisten ilmoitusten tekeminen on Asiakkaan vastuulla rekisterinpitäjänä; NeuroCRM tarjoaa kohtuullista yhteistyötä.

9. Kansainväliset siirrot

Kun käsittelyyn liittyy henkilötietojen siirto ETA-alueelta, Yhdistyneestä kuningaskunnasta tai Sveitsistä maahan, jolla ei ole riittävyyspäätöstä, osapuolet sisällyttävät sopimukseen Euroopan komission vakiosopimuslausekkeet (2021/914), moduuli kaksi (rekisterinpitäjältä käsittelijälle), täydennettyinä tämän DPA:n tiedoilla, yhdessä Yhdistyneen kuningaskunnan kansainvälisen tiedonsiirtoliitteen (UK IDTA) ja soveltuvin osin sveitsiläisten mukautusten kanssa; vaihtoehtoisesti NeuroCRM voi tukeutua EU–US Data Privacy Frameworkiin silloin, kun se on sertifioitu. NeuroCRM soveltaa täydentäviä toimenpiteitä tarpeen mukaan. Ristiriitatilanteessa vakiosopimuslausekkeet ovat etusijalla vain siinä määrin kuin se on tarpeen.

10. Venäläinen tietokehä (152-FZ)

Venäjän federaatiossa olevien yksityishenkilöiden henkilötietojen osalta NeuroCRM ylläpitää erillistä venäläistä kehää, jossa ensisijainen tallennus ja säilytys tapahtuvat Venäjällä sijaitsevilla palvelimilla, liittovaltion lain nro 152-FZ mukaisesti, ja käsittelee tällaisia tietoja Asiakkaan ohjeen perusteella 152-FZ-lain 6 artiklan 3 kohdan nojalla. Tämä kehä ja sen tietoturvaloukkausten ilmoitusprosessi (alustava 24 tunnin kuluessa ja tulokset 72 tunnin kuluessa Roskomnadzorille) toimivat GDPR-ketjusta riippumattomasti. Katso henkilötietojen käsittelykäytäntö (Venäjä).

11. Auditointi

NeuroCRM asettaa saataville tiedot, jotka ovat tarpeen tämän DPA:n noudattamisen osoittamiseksi, ja sallii auditoinnit. Häiriöiden minimoimiseksi NeuroCRM voi täyttää auditointipyynnöt toimittamalla voimassa olevia kolmannen osapuolen sertifikaatteja tai raportteja (kuten ISO 27001 tai SOC 2 Type II), kun niitä on saatavilla. Paikan päällä tehtävät tai yksityiskohtaiset auditoinnit rajoittuvat kerran vuodessa tapahtuviksi (lukuun ottamatta tietoturvaloukkauksen jälkeistä tilannetta), edellyttävät vähintään 30 päivän ennakkoilmoitusta, yhteisesti sovittua laajuutta ja salassapitoa, ja ne suoritetaan työaikana ilman kohtuutonta häirintää.

12. Palautus ja poistaminen

Sopimuksen päättyessä NeuroCRM Asiakkaan 30 päivän kuluessa tekemän valinnan mukaisesti joko palauttaa asiakassisällön yleisesti käytetyssä muodossa tai poistaa sen ja pyynnöstä vahvistaa poistamisen kohtuullisessa ajassa, paitsi siltä osin kuin laki edellyttää säilyttämistä. Rutiininomaiset varmuuskopiot ylikirjoitetaan vakiokiertosyklin mukaisesti.

13. Vastuu ja etusija

Kummankin osapuolen tämän DPA:n mukaiseen vastuuseen sovelletaan käyttöehtojen rajoituksia ja poissulkemisia, mukaan lukien korotettu enimmäismäärä tietosuojaloukkausten osalta. Tämä DPA, mukaan lukien siihen sisällytetyt vakiosopimuslausekkeet, on etusijalla käyttöehtojen ristiriitaisiin määräyksiin nähden tietosuoja-asioissa. DPA:han sovelletaan käyttöehtojen Asiakkaaseen sovellettavia lainvalinta- ja riidanratkaisumääräyksiä.