PhotoRobot Data Verwerkingsooreenkoms (DPA)

Hierdie dokument verteenwoordig die PhotoRobot Data Processing Agreement: Weergawe 1.0 — PhotoRobot Edition, uni-Robot Ltd., Tsjeggiese Republiek.

‍

‍

1. Partye

Hierdie Dataverwerkingsooreenkoms ("DPA") word aangegaan tussen:

Beheerder (Kliënt)
Die individu of regspersoon wat die PhotoRobot Diensvoorwaardes aangegaan het en die Diens gebruik.

en

Verwerker:
uni-Robot Ltd.
Vodičkova 710/31
110 00 Praag 1
Tsjeggiese Reubliek
Maatskappy-ID: 01478061
BTW-ID: CZ01478061
E-pos: legal@photorobot.com

Hierna gesamentlik verwys as die "Partye".

Hierdie DPA vul die PhotoRobot Diensvoorwaardes aan en is van toepassing wanneer PhotoRobot persoonlike data namens die Kliënt verwerk.

‍

‍

2. Onderwerp en Aard van Verwerking

PhotoRobot ("Verwerker") bied wolkgebaseerde dienste, plaaslike sagteware-uitbreidings, firmware-bestuur en gasheerinfrastruktuur wat nodig is om beelde, metadata en verwante digitale inhoud wat deur die Kliënt ("Beheerder") opgelaai word, te verwerk.

Verwerking sluit in:

• Versameling
• Berging
• Oordrag
• Metadata-ekstraksie
• sinchronisasie tussen CL ↔ Cloud
• Hosting van kliënt-opgelaaide inhoud
• Skep van logboeke en diagnostiek
• Rugsteunoperasies

Verwerking word streng namens die Beheerder uitgevoer, volgens hul gedokumenteerde instruksies.

‍

‍

3. Duur

Hierdie DPA bly van krag vir die duur van die kontraktuele verhouding tussen die Partye, en daarna solank die Verwerker enige persoonlike data namens die Beheerder stoor of verwerk.

‍

‍

4. Persoonlike Data & Kategorieë van Datasubjekte

4.1. Tipes Persoonlike Data

Afhangend van hoe die Diens gebruik word, kan verwerkte data insluit:

• Identifikasiedata (naam, van, maatskappy)
• Kontakdata (e-pos, telefoon)
• Visuele inhoud (beelde, video's)
• metadata wat met opgelaaide inhoud geassosieer word
• logdata, IP-adresse, tegniese identifiseerders
• Projekvlakdata
• geloofsbriewe (gehash), toegangstokens

Die verwerker benodig nie of verwerk doelbewus spesiale kategorieë data nie (Art. 9 GDPR).

‍

4.2. Kategorieë van Dataonderwerpe

• Kliënt se werknemers
• Kliënt se kliënte of vennote
• Gemagtigde Gebruikers
• Enige individue wat in visuele inhoud aangebied word wat deur die kliënt opgelaai is

Die kliënt is alleenlik verantwoordelik om wettige insameling van data van datasubjekte te verseker.

‍

‍

5. Instruksies van die Beheerder

Verwerker verwerk slegs persoonlike data:

1. volgens die Beheerder se gedokumenteerde instruksies,
2. soos vereis om die Diens te lewer,
3. om sekuriteit, integriteit en beskikbaarheid van stelsels te verseker,
4. soos vereis deur EU- of Tsjeggiese wetgewing.

As die Verwerker 'n instruksie as onwettig beskou, moet die Verwerker die Beheerder in kennis stel.

‍

‍

6. Vertroulikheid

Verwerker verseker dat alle persone wat gemagtig is om persoonlike data te verwerk:

• onderhewig is aan vertroulikheidsverpligtinge,
• het toepaslike opleiding ontvang,
• verwerk data uitsluitlik onder instruksies van die Beheerder.

‍

‍

7. Subverwerkers

Die verwerker gebruik sekere derde partye ("Subverwerkers") om die Diens te ondersteun.

‍

7.1. Goedgekeurde Subverwerkers

Die Beheerder verleen algemene magtiging aan die Verwerker om die volgende kategorieë Subverwerkers te betrek:

• wolkinfrastruktuurverskaffers (bv. Google Cloud Platform)
• E-posafleweringsverskaffers
• Analitiese verskaffers
• Kaartjiesisteme
• Sekuriteitsmoniteringsdienste
• Rugsteun- en rampherstelstelsels

'n Volledige lys word in die PhotoRobot Subverwerkerlys onderhou en kan opgedateer word.

‍

7.2. Kennisgewing van Veranderinge

Die Verwerker moet die Beheerder ten minste 15 dae vooruit in kennis stel van enige beoogde veranderinge aan Subverwerkers, sodat die Beheerder op redelike gronde beswaar kan maak.

‍

‍

8. Internasionale Data-oordragte

Waar Subverwerkers of infrastruktuur buite die EEA geleë is, verseker Verwerker:

• Toepassing van Standaard Kontraktuele Klousules (SCC 2021),
• aanvullende tegniese en organisatoriese waarborge,
• geminimaliseerde toegang en enkripsie,
• Nakomingsouditte deur die onderliggende verskaffer.

Google Cloud Platform bied:

• ISO 27001, ISO 27017, ISO 27018
• SOC 1/2/3 verslae
• GDPR-nakomingsdokumentasie

Besonderhede is beskikbaar by https://cloud.google.com/security.

‍

‍

9. Sekuriteitsmaatreëls

Die verwerker moet industrie-standaard tegniese en organisatoriese maatreëls (TOM's) implementeer, insluitend:

‍

9.1. Tegniese Maatreëls

• TLS-enkripsie van data in oordrag
• Veilige berging met geënkripteerde toegangstokens
• Geïsoleerde verwerkingsomgewings
• Wagwoord-hashing
• Snelheidslimiete en indringingsopsporingsisteme
• Meerlaag-firewalling
• fisiese datacentersekuriteit (via Google Cloud)

‍

9.2. Organisatoriese Maatreëls

• Rolgebaseerde toegangsbeheer
• Toegangslogboek en monitering
• Interne beleide vir datahantering
• Werknemervertroulikheidsverpligtinge
• Periodieke sekuriteitsopleiding
• Verskafferrisikobestuur

'n Volledige lys van TOMs is op versoek beskikbaar.

‍

‍

10. Regte van die Onderwerp van die Data

Verwerker help Beheerder om te reageer op:

• Versoeke om toegang
• Rektifikasie
• Verwydering
• Beperking
• Dataportabiliteit
• Besware

Verwerker moet enige direkte versoek van 'n dataonderwerp sonder onnodige vertraging aan die Beheerder deurstuur.

‍

‍

11. Datalekkennisgewing

In geval van 'n persoonlike datalek, moet die Verwerker die Beheerder in kennis stel:

• Sonder onnodige vertraging,
• insluitend alle inligting wat deur Artikel 33 GDPR vereis word,
• en verskaf deurlopende opdaterings totdat die herstelwerk voltooi is.

Die beheerder bly verantwoordelik om owerhede en betrokke individue in kennis te stel.

‍

‍

12. Verwydering of Terugkeer van Data

By beëindiging van die kontrak:

• Verwerker verwyder Kliëntdata na 30 dae,
• Tensy anders deur die Beheerder aangedui,
• behalwe waar behoud deur die wet vereis word.

Rugsteun word gedurende hul normale lewensiklus oorskryf.

‍

‍

13. Ouditte

Die beheerder het die reg om:

• ontvang dokumentasie wat GDPR-nakoming bewys
• versoek 'n verslag oor TOMs
• Doen redelike ouditte, beperk tot een keer per jaar
• vertrou op derdeparty-sertifiserings (ISO/SOC-verslae van Google Cloud)

Ouditte mag nie sekuriteit in gevaar stel of bedrywighede ontwrig nie.

‍

‍

14. Aanspreeklikheid

Aanspreeklikheid van die Partye volg die Diensvoorwaardes.
Die verwerker is slegs aanspreeklik vir oortredings wat veroorsaak word deur sy eie oortreding van GDPR-verpligtinge.

‍

‍

15. Regulerende Reg & Jurisdiksie

Hierdie DPA word beheer deur die wette van die Tsjeggiese Republiek.

Geskille sal deur die howe in Praag, Tsjeggiese Republiek, opgelos word.

‍

‍

16. Standaard Kontraktuele Klousules (SCC)

Waar nodig, geld die SCC 2021 (Module 2: Beheerder → Verwerker) as 'n bylae tot hierdie DPA.

PhotoRobot:

• inkorporeer SCC deur verwysing,
• sluit alle verpligte klousules in,
• Implementeer aanvullende tegniese maatreëls
• verseker nakoming van oordragte na subverwerkers buite die EEA.

Die SCC kan op versoek volledig voorsien word.

‍

‍

17. Kontak

uni-Robot Ltd.
Vodičkova 710/31
110 00 Praag 1
Tsjeggiese Reubliek

E-pos: legal@photorobot.com

‍