Niniejsza umowa powierzenia przetwarzania danych stanowi część Warunków KeyInOut, gdy organizacja klienta wykorzystuje KeyInOut do przetwarzania danych osobowych, dla których klient jest administratorem. KeyInOut jest prowadzony przez Alexander Arfs w Szwecji.
01Strony i role
Organizacja klienta korzystająca z przestrzeni roboczej KeyInOut jest Administratorem. Alexander Arfs, Szwecja, prowadzący KeyInOut, jest Podmiotem przetwarzającym dane osobowe klienta przetwarzane w imieniu Administratora. Kontakt w sprawach prywatności: privacy@keyinout.com.
02Zakres i instrukcje
Podmiot przetwarzający będzie przetwarzał dane osobowe klienta wyłącznie na udokumentowane polecenie Administratora, w tym polecenia wyrażone przez sposób korzystania i konfiguracji KeyInOut przez Administratora, oraz tylko w zakresie koniecznym do świadczenia, zabezpieczenia, utrzymania i wspierania usługi, chyba że przetwarzanie jest wymagane prawem UE lub państwa członkowskiego. Jeśli prawo na to zezwala, Podmiot przetwarzający poinformuje Administratora przed przetwarzaniem wymaganym takim prawem.
Jeśli Podmiot przetwarzający uzna, że instrukcja narusza właściwe przepisy o ochronie danych, poinformuje Administratora i może zawiesić objęte nią przetwarzanie do czasu rozwiązania problemu.
03Szczegóły przetwarzania
- Przedmiot
- Świadczenie usługi KeyInOut do zarządzania fizycznymi kluczami.
- Czas trwania
- Przez okres korzystania z KeyInOut przez klienta oraz ograniczony czas potrzebny do wykonania obowiązków związanych z usunięciem/zwrotem danych.
- Charakter i cel
- Hosting, przechowywanie, organizowanie, pobieranie, wyświetlanie, eksportowanie, wysyłanie skonfigurowanych powiadomień e-mail oraz inne przetwarzanie danych potrzebnych do zarządzania kluczami, posiadaczami, lokalizacjami, użytkownikami i aktywnością.
- Osoby, których dane dotyczą
- Użytkownicy klienta, pracownicy, wykonawcy, posiadacze kluczy i inne osoby, których dane klient zdecyduje się wprowadzić.
- Dane osobowe
- Imiona i nazwiska, służbowe/kontaktowe adresy e-mail, podane numery telefonów, role/status kont, relacje posiadacz–klucz, historia wydań/zwrotów, terminy, notatki, rekordy audytu i powiązane metadane operacyjne.
- Szczególne kategorie
- KeyInOut nie jest przeznaczony do danych osobowych szczególnych kategorii. Klienci nie powinni wprowadzać takich danych, chyba że niezależnie ustalili, że jest to zgodne z prawem i konieczne.
04Poufność
Podmiot przetwarzający zapewni, aby osoby upoważnione do przetwarzania danych osobowych klienta podlegały odpowiedniemu obowiązkowi poufności i uzyskiwały dostęp do danych wyłącznie w zakresie potrzebnym do wykonywania upoważnionych obowiązków.
05Bezpieczeństwo
Uwzględniając stan wiedzy technicznej, koszty wdrożenia, charakter i zakres przetwarzania oraz odpowiednie ryzyka, Podmiot przetwarzający będzie utrzymywał odpowiednie środki techniczne i organizacyjne. Obecne środki obejmują kontrolę dostępu ograniczoną do tenant'a/przestrzeni, uprawnienia oparte na rolach, HTTPS, bezpieczne haszowanie haseł, wzmocnione sesje, ochronę CSRF, przygotowane zapytania do bazy danych, niejawne identyfikatory QR, publiczne strony QR z minimalizacją danych oraz logowanie administracyjne/aktywności tam, gdzie zostało wdrożone. Aktualny przegląd bezpieczeństwa jest dostępny na stronie Bezpieczeństwo.
06Dalsze podmioty przetwarzające
Administrator udziela ogólnego pisemnego upoważnienia Podmiotowi przetwarzającemu do korzystania z dalszych podmiotów przetwarzających niezbędnych do działania KeyInOut, zgodnie z art. 28 RODO. Podmiot przetwarzający nałoży na dalsze podmioty przetwarzające obowiązki ochrony danych zasadniczo równoważne wymaganym dla danego przetwarzania i pozostaje odpowiedzialny za swoje obowiązki wynikające z niniejszej DPA.
Obecny dalszy podmiot przetwarzający infrastrukturę: Simply.com jest wykorzystywany do hostingu/infrastruktury i transakcyjnych usług e-mail. Jeśli zostanie wprowadzony nowy dalszy podmiot przetwarzający, który w istotny sposób przetwarza dane osobowe klienta, KeyInOut zaktualizuje opublikowane informacje i, gdy jest to wymagane, zapewni odpowiednie wcześniejsze powiadomienie, dając Administratorowi możliwość zgłoszenia uzasadnionego sprzeciwu związanego z ochroną danych.
07Transfery międzynarodowe
Podmiot przetwarzający nie będzie świadomie przekazywać danych osobowych klienta poza UE/EOG bez zapewnienia zgodnego z prawem mechanizmu transferu i wymaganych zabezpieczeń. Gdy przetwarzanie przez dalszy podmiot obejmuje ograniczony transfer międzynarodowy, Podmiot przetwarzający zastosuje odpowiedni mechanizm z rozdziału V RODO, zgodnie z zastosowaniem.
08Wnioski osób, których dane dotyczą
Uwzględniając charakter przetwarzania, Podmiot przetwarzający zapewni Administratorowi rozsądną pomoc, poprzez odpowiednie środki techniczne i organizacyjne, tam gdzie to możliwe, w odpowiadaniu na wnioski osób wykonujących swoje prawa z RODO. Jeśli wniosek dotyczący danych osobowych klienta zostanie otrzymany bezpośrednio, Podmiot przetwarzający zwykle skieruje wnioskodawcę do Administratora, chyba że prawo wymaga udzielenia odpowiedzi w inny sposób.
09Incydenty bezpieczeństwa i pomoc w zapewnianiu zgodności
Podmiot przetwarzający powiadomi Administratora bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych dotyczącego danych osobowych klienta i przekaże rozsądnie dostępne informacje, aby pomóc Administratorowi w spełnieniu obowiązków wynikających z art. 32–36 RODO.
Podmiot przetwarzający zapewni również rozsądną pomoc, uwzględniając charakter przetwarzania i dostępne informacje, w zakresie bezpieczeństwa, zgłaszania naruszeń, ocen skutków dla ochrony danych i obowiązków uprzednich konsultacji mających zastosowanie do Administratora.
10Usunięcie i zwrot danych
W trakcie korzystania z usługi właściciele przestrzeni roboczej mogą eksportować dostępne dane przestrzeni roboczej. Po zakończeniu usługi lub usunięciu przestrzeni roboczej Podmiot przetwarzający usunie dane osobowe klienta z aktywnej usługi, chyba że obowiązujące prawo wymaga ich zachowania. Pozostałe kopie mogą tymczasowo znajdować się w technicznych kopiach zapasowych do czasu ich nadpisania lub usunięcia zgodnie z właściwym cyklem kopii zapasowych; w tym okresie pozostaną chronione i niedostępne do zwykłego użytku.
11Informacje i audyty
Podmiot przetwarzający udostępni informacje rozsądnie niezbędne do wykazania zgodności z obowiązkami wynikającymi z art. 28 oraz umożliwi i wesprze rozsądne audyty lub inspekcje prowadzone przez Administratora lub wyznaczonego przez niego audytora. Audyty muszą być proporcjonalne, chronić poufność i bezpieczeństwo innych klientów oraz, w miarę możliwości, najpierw korzystać z dostępnej dokumentacji zamiast inwazyjnych testów.
Strony uzgodnią z wyprzedzeniem rozsądny termin i zakres, chyba że organ nadzorczy lub poważny incydent wymaga pilnego działania.
12Obowiązki Administratora
Administrator odpowiada za zgodność z prawem, rzetelność i przejrzystość swojego przetwarzania; dokładność i niezbędność wprowadzanych danych; podstawy prawne; informacje dla osób, których dane dotyczą; uprawnienia użytkowników oraz instrukcje dla Podmiotu przetwarzającego. Administrator nie może polecać Podmiotowi przetwarzającemu przetwarzania danych osobowych niezgodnie z prawem.
13Pierwszeństwo i zmiany
Niniejsza DPA uzupełnia Warunki korzystania z usługi. W sprawach dotyczących przetwarzania danych osobowych klienta niniejsza DPA ma pierwszeństwo przed sprzecznymi warunkami ogólnymi. Możemy aktualizować DPA, gdy jest to potrzebne do odzwierciedlenia zmian prawa lub usługi; istotne zmiany będą komunikowane w stosownych przypadkach.
14Kontakt
Podmiot przetwarzający: Alexander Arfs, Szwecja, prowadzący KeyInOut. Pytania dotyczące prywatności/DPA: privacy@keyinout.com. Incydenty bezpieczeństwa: security@keyinout.com.