اتفاقية معالجة البيانات — DPA
تكمل هذه الاتفاقية العقد عندما تعالج UESE ITALIA S.p.A. بيانات شخصية لحساب عميل أعمال بصفتها معالجًا وفق المادة 28 من GDPR. ولا تنطبق على المعالجة التي تعمل فيها UESE كمسؤول مستقل.
1. الأطراف والنطاق والصفة
يكون العميل مسؤول المعالجة، أو المعالج الرئيسي عندما يعمل لحساب طرف ثالث؛ وتكون UESE معالجًا أو معالجًا فرعيًا للمعالجة المشمولة. وتشمل الأنشطة الاستضافة والنقل ومسار التوقيع والتخزين والدعم والأدلة والنسخ الاحتياطية والوظائف التقنية المطلوبة.
2. الموضوع والمدة والطبيعة والأغراض
موضوع المعالجة هو تقديم Firmato طوال العقد وفترات الإعادة أو النسخ الاحتياطي أو الاحتفاظ المسموح بها. وتشمل طبيعتها الجمع والاطلاع والتنظيم والتخزين والنقل والتحويل التقني والتحقق والحذف. وتقتصر الأغراض على اللازمة للخدمة وتعليمات العميل الموثقة.
3. فئات الأشخاص والبيانات
قد تشمل الموظفين والمتعاونين والعملاء والموردين والممثلين والموقعين والعملاء المحتملين وغيرهم ممن ترد بياناتهم في وثائق العميل. وقد تشمل البيانات الهوية والاتصال والدور والتوقيع والبيانات الوصفية والمعلومات التعاقدية وأي بيانات يدخلها العميل. ويحدد العميل ما إذا كان إدراج فئات خاصة أو بيانات جنائية مشروعًا.
4. التعليمات
تعالج UESE البيانات فقط بناء على تعليمات موثقة من العميل، بما في ذلك النقل الدولي، ما لم يفرض القانون خلاف ذلك. وإذا بدا أن تعليمًا يخالف GDPR أو قاعدة واجبة التطبيق، تبلغ UESE العميل في الحدود المسموح بها.
5. السرية
يخضع الأشخاص المخولون بالمعالجة لالتزام مناسب بالسرية، ولا يصلون إلى البيانات إلا بحسب مهامهم ومبدأ الحاجة إلى المعرفة.
6. التدابير التقنية والتنظيمية
تحافظ UESE على تدابير متناسبة مع المخاطر، بحسب الخدمة، ومنها إدارة الهوية والوصول، 2FA للوظائف الحساسة، العزل المنطقي للعملاء، TLS، حماية أو تشفير الأسرار والبيانات عند الملاءمة، النسخ الاحتياطية، التسجيل، تقوية الأنظمة، إدارة الثغرات، تقليل البيانات، الاستمرارية، الاستجابة للحوادث والاختبارات الدورية.
7. المعالجون الفرعيون
يمنح العميل تفويضًا عامًا باستخدام المعالجين الفرعيين اللازمين والمنشورين في قائمة Subprocessors. وتبلغ UESE بالتغييرات المهمة بمهلة معقولة وتسمح باعتراض مسبب قائم على حماية البيانات. وتفرض على المعالج الفرعي التزامات حماية مكافئة جوهريًا للمعالجة المسندة.
8. المساعدة في حقوق أصحاب البيانات
بالنظر إلى طبيعة المعالجة، تساعد UESE العميل بتدابير مناسبة في الاستجابة لطلبات الحقوق. وإذا تلقت طلبًا يتعلق بوضوح ببيانات العميل، تحيله إليه ما لم يحظر القانون ذلك.
9. خرق البيانات الشخصية
تخطر UESE العميل بخرق بيانات مشمول دون تأخير غير مبرر بعد العلم به، مع المعلومات المتاحة عن طبيعته وفئاته وعواقبه المحتملة والتدابير. ويمكن استكمال المعلومات على مراحل. ولا يعد الإخطار إقرارًا بالمسؤولية.
10. DPIA والاستشارات
توفر UESE مساعدة معقولة، بالنظر إلى طبيعة الخدمة والمعلومات المتاحة، فيما يتعلق بتقييمات الأثر والاستشارات المسبقة التي تقع على عاتق العميل.
11. النقل خارج المنطقة الاقتصادية الأوروبية
يستند النقل الدولي إلى آلية وفق الفصل الخامس GDPR، مثل قرار الملاءمة أو البنود التعاقدية القياسية. وعندما تكون UESE مُصدّرًا للبيانات إلى معالج فرعي، تستخدم الوحدة المناسبة والتدابير التكميلية عند الحاجة.
12. الإعادة والحذف
عند انتهاء الخدمات، وبحسب اختيار العميل عندما يسمح الإطار، تعيد UESE البيانات أو تحذفها، مع استثناء النسخ الاحتياطية ذات الدورة المحدودة والأدلة القانونية وأوامر legal hold والالتزامات القانونية. وتظل النسخ المحتفظ بها محمية ومقيدة الوصول.
13. التدقيق والمعلومات
تتيح UESE المعلومات المعقولة اللازمة لإثبات الامتثال للمادة 28. وتُنظم عمليات التدقيق بصورة متناسبة ومن دون تعريض أمن أو بيانات عملاء آخرين للخطر، مع إعطاء الأولوية للوثائق والأدلة والضوابط عن بعد. وتتطلب الزيارات الميدانية إخطارًا معقولًا ما لم يوجد حادث جسيم أو أمر سلطة.
14. المسؤولية والأولوية
تبقى المسؤولية بين الطرفين محكومة بالعقد الرئيسي ضمن حدود GDPR. وعند التعارض بشأن بيانات معالجة لحساب العميل، تسود هذه DPA. ولا تتأثر حقوق أصحاب البيانات أو صلاحيات السلطات.
15. إدارة الإصدارات والأولوية وحفظ الإثبات
تحتفظ Firmato بنسخة الوثيقة التي أتيحت للمستخدم، وعندما ينص مسار التطبيق على ذلك، بدليل الاطلاع أو القبول مع التاريخ والحساب والبيانات التقنية الخاصة بالتدقيق. وقد تستلزم التعديلات الجوهرية إشعارًا أو قبولًا جديدًا. اللغة والدولة عنصران مستقلان: تحدد اللغة النسخة اللغوية، بينما تحدد الدولة الملحق الوطني الواجب التطبيق.