Acord de Prelucrare a Datelor (DPA)

Acest Acord de Prelucrare a Datelor („DPA”) completează contractul dintre Client și ZEBRABYTE LIMITED („ZebraByte”) și se aplică atunci când ZebraByte prelucrează Date cu Caracter Personal în numele Clientului în legătură cu serviciile contractate. DPA-ul este conceput pentru cerințele aplicabile relației operator–persoană împuternicită, inclusiv articolul 28 UK GDPR și, unde este aplicabil, articolul 28 GDPR UE.

1. Rolurile părților

În măsura în care Clientul stabilește scopurile și mijloacele prelucrării, Clientul este operator (Controller), iar ZebraByte este persoană împuternicită de operator (Processor). Dacă Clientul acționează el însuși ca persoană împuternicită pentru un terț, ZebraByte poate acționa ca sub-persoană împuternicită, iar obligațiile relevante se aplică în mod corespunzător.

Pentru datele pe care ZebraByte le prelucrează în scopuri proprii — de exemplu administrarea contului comercial, facturare, securitatea propriului serviciu sau îndeplinirea obligațiilor legale — ZebraByte poate acționa separat ca operator, conform Politicii de confidențialitate.

2. Instrucțiuni documentate

ZebraByte prelucrează Datele cu Caracter Personal numai pe baza instrucțiunilor documentate ale Clientului, inclusiv în ceea ce privește transferurile internaționale, cu excepția cazului în care prelucrarea este impusă de lege. Configurarea și utilizarea serviciului, comenzile, contractul, tichetele de suport și instrucțiunile transmise în scris constituie instrucțiuni documentate.

Dacă ZebraByte consideră că o instrucțiune încalcă legislația aplicabilă privind protecția datelor, va informa Clientul fără întârzieri nejustificate și poate suspenda executarea instrucțiunii până la clarificare.

3. Persoane autorizate și confidențialitate

ZebraByte limitează accesul la Datele cu Caracter Personal la persoanele care au nevoie de acces pentru furnizarea, securizarea sau suportul serviciilor. Persoanele autorizate sunt supuse unor obligații adecvate de confidențialitate, contractuale sau legale, și primesc acces conform principiului least privilege.

4. Securitatea prelucrării

ZebraByte menține măsuri tehnice și organizatorice adecvate riscului, ținând cont de natura serviciului, stadiul tehnicii, costurile implementării și natura, domeniul, contextul și scopurile prelucrării. Măsurile pot include, după caz:

• controlul identității și accesului, MFA și separarea privilegiilor;
• criptarea datelor în tranzit și, unde serviciul o permite, la stocare;
• logging, monitorizare, alertare și procese de incident response;
• gestionarea vulnerabilităților, patching și hardening;
• segregarea logică a clienților și limitarea accesului administrativ;
• backup și mecanisme de restaurare pentru serviciile care includ aceste funcții;
• revizuirea periodică a eficacității controalelor relevante.

Configurațiile și responsabilitățile care rămân sub controlul Clientului fac parte din modelul de responsabilitate partajată și trebuie administrate de Client în mod corespunzător.

5. Sub-persoane împuternicite

Clientul acordă ZebraByte o autorizare generală pentru utilizarea sub-persoanelor împuternicite necesare furnizării serviciilor. ZebraByte va impune acestora obligații de protecție a datelor care oferă un nivel de protecție substanțial echivalent pentru activitățile subcontractate și rămâne responsabilă față de Client pentru îndeplinirea obligațiilor lor, conform legii aplicabile.

ZebraByte va pune la dispoziție informații privind sub-persoanele împuternicite relevante și va comunica modificările într-un mod care permite Clientului să ridice o obiecție justificată din motive de protecție a datelor. Dacă părțile nu pot rezolva o obiecție rezonabilă, acestea vor analiza o alternativă tehnică sau încetarea componentei afectate, conform contractului.

6. Transferuri internaționale

Dacă Datele cu Caracter Personal sunt transferate într-o țară pentru care nu există o decizie de adecvare aplicabilă, ZebraByte va utiliza un mecanism legal de transfer adecvat situației, cum ar fi clauzele contractuale standard aplicabile, UK IDTA sau UK Addendum, împreună cu măsuri suplimentare atunci când evaluarea transferului le impune.

7. Drepturile persoanelor vizate

Ținând cont de natura prelucrării, ZebraByte va asista Clientul prin măsuri tehnice și organizatorice adecvate pentru a răspunde solicitărilor persoanelor vizate. Dacă ZebraByte primește direct o solicitare referitoare la date prelucrate în numele Clientului, o va transmite Clientului fără întârzieri nejustificate și nu va răspunde în numele Clientului decât dacă este autorizată sau obligată prin lege.

8. Asistență pentru conformitate

ZebraByte va furniza asistență rezonabilă, ținând cont de natura prelucrării și de informațiile disponibile, pentru obligațiile Clientului privind securitatea, notificarea încălcărilor, DPIA și consultarea autorităților de supraveghere. Asistența care depășește funcționalitatea normală a serviciului poate fi supusă unor tarife rezonabile convenite în prealabil, dacă solicitarea nu rezultă din încălcarea obligațiilor ZebraByte.

9. Încălcări ale securității datelor

ZebraByte va notifica Clientul fără întârzieri nejustificate după ce ia cunoștință de o încălcare a securității datelor cu caracter personal care afectează date prelucrate în numele Clientului. Pe măsură ce informațiile devin disponibile, notificarea va include detalii rezonabile despre natura incidentului, datele afectate, impactul cunoscut și măsurile de remediere. Notificarea nu constituie recunoașterea unei culpe sau răspunderi.

10. Returnarea și ștergerea datelor

La încetarea serviciilor, la alegerea Clientului și în măsura permisă de funcționalitatea serviciului, ZebraByte va returna sau va șterge Datele cu Caracter Personal prelucrate în numele Clientului, cu excepția datelor pe care legea impune să le păstreze. Copiile reziduale din backup-uri sunt izolate de utilizarea curentă și sunt suprascrise conform ciclului normal de retenție și backup aplicabil serviciului.

11. Dovezi, audit și inspecții

ZebraByte va pune la dispoziția Clientului informațiile rezonabil necesare pentru a demonstra respectarea obligațiilor prevăzute de acest DPA. În mod normal, auditul se bazează mai întâi pe documentație, rapoarte și dovezi de conformitate disponibile. Dacă acestea nu sunt suficiente și legea sau riscul justifică o inspecție suplimentară, părțile vor conveni domeniul, momentul și măsurile de confidențialitate astfel încât auditul să nu compromită securitatea altor clienți.

12. Detaliile prelucrării

Obiect: furnizarea, operarea, securizarea și suportul serviciilor comandate de Client.

Durată: durata contractului, plus perioadele limitate de retenție/backup necesare conform serviciului și legii.

Natura și scopul: găzduire, stocare, transmitere, acces tehnic, suport, monitorizare, securitate, backup, administrare și alte operațiuni necesare serviciului contractat.

Categorii de persoane vizate: pot include angajați, contractori, clienți, utilizatori, vizitatori sau alte persoane ale căror date sunt introduse în serviciu de Client.

Categorii de date: datele sunt stabilite de Client și pot include date de identificare și contact, date de cont, conținut, fișiere, baze de date, identificatori online, loguri și metadate tehnice. Clientul nu va introduce categorii speciale sau date cu risc ridicat dacă serviciul nu este configurat și autorizat pentru o asemenea prelucrare.

13. Prioritate și modificări

Dacă există un conflict între acest DPA și Termenii generali cu privire la prelucrarea datelor în numele Clientului, DPA-ul prevalează. Modificările necesare pentru a reflecta cerințe obligatorii ale legislației privind protecția datelor pot fi implementate cu notificare rezonabilă.

14. Contact pentru protecția datelor

ZEBRABYTE LIMITED · Company No. 15194067 · ICO registration ZB748706
Suite 7165a, 60 Tottenham Court Road, Fitzrovia, London, W1T 2EW, United Kingdom
Legal / privacy: legal@zebrabyte.co.uk