Договор за обработване на данни

Настоящият DPA се сключва между Клиента (администратор) и Qreportly LLC, дружество с ограничена отговорност от Уайоминг със седалище 30 N Gould St Ste R, Sheridan, WY 82801, USA (обработващ), за лични данни, обработвани във вътрешния канал, включително сигнали, последващи съобщения, прикачени файлове, метаданни на случая и свързани записи на работното пространство ("Данни на канала").

За администраторски акаунти, фактуриране, поддръжка и собствения уебсайт на Доставчика Доставчикът действа като администратор съгласно Политиката за поверителност. Тези дейности като администратор са извън обхвата на този DPA.

Ако Клиентът самият е обработващ за друг администратор, той гарантира, че е упълномощен да назначи Доставчика като подизпълнител.

Предмет: предоставяне на вътрешния канал QReportly като софтуер като услуга.

Характер: хостинг, съхранение, предаване, показване, търсене, експорт, архивиране и изтриване на Данните на канала според конфигурацията на Клиента.

Цел: да позволи на Клиента да оперира поверителен вътрешен канал съгласно Директива (ЕС) 2019/1937 и приложимото национално транспониращо право. Доставчикът не определя целите на обработването на Данните на канала и не предоставя правни съвети по отделни сигнали.

Срок: периодът на абонамента, плюс период на съхранение, конфигуриран от Клиента, плюс ограничен разумен срок за изтриване или връщане след прекратяване.

Данните на канала могат да се отнасят до лица, подаващи сигнали, лица, споменати в сигналите, свидетели, определеното лице и друг персонал на Клиента, който използва таблото, както и всякакви други лица, чиито данни Клиентът или подателят включва.

Данните на канала могат да включват самоличност и контакти (ако са предоставени), описания, категории нарушения, статус на случая, съобщения, прикачени файлове и технически идентификатори, зададени от Платформата (например код за проследяване). Доставчикът не изисква подателят да създаде акаунт или да разкрие самоличността си.

Могат да включват специални категории (чл. 9 GDPR) или данни за престъпления (чл. 10 GDPR), ако подателят или Клиентът ги включат. Доставчикът не ги изисква като условие за ползване. Клиентът като администратор отговаря за законосъобразността на включването.

Обработващият обработва Данните на канала само по документирани указания на Клиента, освен ако правото на Съюза или на държава членка го задължава. В този случай информира Клиента преди обработването, освен ако законът забранява това поради важни съображения от обществен интерес.

Документираните указания включват този DPA, Общите условия, Политиката за поверителност, настройките, конфигурирани от Клиента в Платформата, и други писмени указания, които са законосъобразни и съвместими с услугата.

Обработващият незабавно информира Клиента, ако по негово мнение указание нарушава GDPR или други разпоредби за защита на данните. Търговският абонаментен договор сам по себе си не е основанието по чл. 6(1)(б) GDPR за данни на сигнализиращи или споменати лица; Клиентът като администратор определя приложимите основания по чл. 6, 9 и 10.

Обработващият гарантира, че лицата, оправомощени да обработват Данните на канала, са поели задължение за поверителност или са обвързани с подходящо законово задължение за тайна, и че достъпът е ограничен до персонала, който се нуждае от него за услугата, сигурността, поддръжката или правни задължения.

Като се вземат предвид състоянието на техниката, разходите, естеството, обхватът, контекстът и целите, както и рисковете за субектите, Обработващият прилага подходящи технически и организационни мерки по чл. 32 GDPR, включително криптиране при пренос (TLS), контрол на достъпа въз основа на роли, логическа изолация на работните пространства, криптирани резервни копия на основните продукционни данни, хоствани в Европейския съюз, мониторинг на сигурността и процес за реакция при инциденти.

Обработващият понастоящем не предлага клиентско криптиране от край до край на текстовете на сигналите: оправомощени потребители на Клиента със съответната роля могат да достъпват съдържанието на случая в таблото. Подробности за купувачи се публикуват в Центъра за сигурност и доверие. Никоя мярка не гарантира абсолютна сигурност.

QReportly понастоящем не предоставя криптиране от край до край за текста на подадените сигнали.

Клиентът дава общо писмено разрешение Обработващият да ангажира подизпълнители за предоставяне на услугата.

Текущият списък е публикуван на публичната страница с подизпълнители на този сайт. Обработващият налага на всеки подизпълнител задължения за защита на данните, съществено еквивалентни на тези в този DPA. Обработващият остава отговорен към Клиента за изпълнението на тези задължения от подизпълнителя.

Обработващият уведомява за планирани добавяния или замени — чрез актуализиране на публичния списък и, при съществени промени, засягащи Данните на канала, по имейл или известие в таблото — навреме Клиентът да възрази преди новият подизпълнител да обработва Данните на канала. Ако Клиентът възрази на разумни основания по GDPR и няма алтернатива, Клиентът може да прекрати засегнатите услуги.

Трябва да се разграничат две отношения на трансфер; те не са взаимозаменяеми.

Трансфер А — Клиент → Qreportly LLC: когато Клиентът (администратор / износител) е подчинен на глава V от GDPR за трансфер към Qreportly LLC (обработващ / вносител, установен в Съединените щати), страните се опират на Модул 2 на стандартните договорни клаузи от Решение за изпълнение (ЕС) 2021/914, допълнени от Допълнението за международен трансфер, публикувано на този сайт. Модул 3 не се използва за Трансфер А.

Продукционната база данни и обектното хранилище за Данните на канала са предназначени за хостване в Европейския съюз. Продукционният регион не е независимо проверен от хранилището на приложението. Хостингът в ЕС сам по себе си не премахва Трансфер А: Qreportly LLC е американски обработващ и може дистанционно да осъществява достъп до Данните на канала за експлоатация, поддръжка, сигурност и техническо обслужване.

Трансфер Б — Qreportly LLC → подизпълнители: когато подизпълнител обработва данни в трета държава без решение за адекватност или глава V изисква инструмент за трансфер, Qreportly LLC (износител / обработващ) използва Модул 3 от Решение (ЕС) 2021/914 с този подизпълнител (вносител / обработващ), доколкото е необходимо. Модул 2 не се използва за Трансфер Б. Текущият списък е на страницата Подизпълнители.

Данните на канала, включително съдържанието на сигналите и прикачените файлове, преминават през хоста на приложението (Vercel, Inc.), защото Next.js приложението обслужва API-тата за сигнали. Този хост не е основното хранилище на текста на сигналите. Транзакционният имейл (Brevo) получава оперативни известия с кодове за проследяване и име на организацията според текущите шаблони; не получава текста на сигнала. Таксуването (Stripe) и опционалното Google вход обработват данни за акаунт, не текста на сигналите.

Qreportly LLC не твърди участие в EU-US Data Privacy Framework. Сертификацията на доставчик не е сертификация на QReportly.

При правно обвързващо искане от публичен орган относно Данните на Клиента QReportly ще следва задълженията по съответния механизъм за трансфер и приложимото право. Доколкото законът позволява, QReportly ще уведоми Клиента, ще ограничи разкриването до правно изискуемото и ще оцени наличните средства за оспорване или стесняване на искането.

Ако разкриването към Клиента е законово забранено, QReportly няма да разкрива информация, която законът забранява да се разкрива.

Като се вземат предвид естеството на обработването и наличната информация, Обработващият съдейства на Клиента при отговор на искания на субекти по глава III GDPR чрез функциите на Платформата и, ако те не са достатъчни, с разумно допълнително съдействие.

Обработващият съдейства на Клиента за спазване на чл. 32–36 GDPR (сигурност, уведомяване за нарушения, оценки на въздействието и предварителна консултация), включително уведомяване на Клиента без неоправдано забавяне след узнаване за нарушение на сигурността, засягащо Данните на канала.

По време на абонамента Клиентът може да експортира Данните на канала чрез функциите на Платформата.

След края на услугите по обработване Обработващият по избор на Клиента изтрива Данните на канала или ги връща и изтрива съществуващите копия, освен ако правото на Съюза или на държава членка изисква съхранение. Настройките за задържане, правните задължения и циклите на ротация на резервните копия могат да забавят пълното изтриване за ограничен период.

Обработващият предоставя на Клиента цялата информация, необходима за доказване на съответствие с чл. 28 GDPR и този DPA, и позволява и съдейства на одити, включително инспекции, извършвани от Клиента или от друг одитор, упълномощен от Клиента.

Одитите изискват разумно предварително писмено уведомление (най-малко 30 дни, освен ако надзорен орган изисква по-кратък срок), задължения за поверителност, най-много един одит на 12 месеца, освен ако потвърдено нарушение или искане на орган обосновава допълнителен одит, и начин, който не нарушава услугата и сигурността на други клиенти.

Обработващият може да удовлетвори искане за одит изцяло или частично с писмени отговори, относими политики и резюмета на независими оценки, ако и когато такива оценки съществуват. Обработващият не претендира ISO, SOC или подобни сертификати, които не притежава.

При конфликт този DPA има предимство пред Общите условия единствено по отношение на обработването на Данните на канала като обработващ.

Отговорността остава според Общите условия, без да се засягат императивните права на субектите или на надзорните органи по GDPR.

Този DPA се урежда от правото на щата Уайоминг, Съединени американски щати; споровете са подсъдни на щатските и федералните съдилища в Sheridan County, Wyoming, освен императивните разпоредби на GDPR и на правото на държавата членка на ЕС, в която е установен Клиентът или в която се намират субектите на данни. Нищо в този DPA не ограничава правата на субекта по GDPR.

Нищо в тези Условия не изключва или ограничава отговорност, право или задължение, които не могат законно да бъдат изключени или ограничени, включително императивните права на субектите на данни и императивните задължения при обработване на лични данни.

Нищо в тези Условия не ограничава правомощията на надзорен орган или правата на субектите на данни съгласно приложимото право.