Споразумение за обработване на данни
1. Страни, обхват и статут
Това споразумение определя условията за обработване на данни между бизнес клиента, посочен в договор за услуги на OrsunPay („Клиентът“), и Orsun Tech OÜ, регистрационен код 17418287, Sepapaja tn 6, Lasnamäe linnaosa, Tallinn, Harju maakond, 15551, Estonia („OrsunPay“). То става обвързващо само когато е включено в споразумение, прието от двете страни, с попълнени приложения за обработването и сигурността.
За обхванатото тук обработване Клиентът определя целите и основните средства, а OrsunPay обработва личните данни от името на Клиента. Когато самият Клиент е обработващ, той трябва да има разрешение от своя администратор да назначи OrsunPay. Обработването за собствения уебсайт, бизнес контактите и администрирането на акаунти на OrsunPay е описано в уведомление за поверителност.
„Лични данни“, „администратор“, „обработващ“ и свързаните термини имат значението, определено от приложимото право за защита на данните, включително GDPR, когато е приложим. Това споразумение има предимство пред противоречащи условия за услуги относно обхванатото обработване; задължителните клаузи за предаване на данни имат предимство, когато са приложими.
2. Описание на обработването
| Елемент | Обхват на обработването |
|---|---|
| Предмет | Лични данни, обработвани чрез договорените услуги за оркестрация на плащания на Клиента и свързаната поддръжка. |
| Естество на операциите | Получаване, записване, организиране, извличане, предаване и показване на записи; изпълнение на инструкции за маршрутизиране и операции; отстраняване на проблеми; и връщане или изтриване на данни. |
| Цели | Изпълнение на конфигурирани платежни процеси, обмен на информация с избрани доставчици, поддържане на записи за транзакции и уебхукове, предоставяне на разрешен достъп и разследване на проблеми с услугата. |
| Физически лица | Купувачите на Клиента и други участници в плащанията, както и упълномощените потребители или представители на Клиента, когато данните им се обработват по негови инструкции. |
| Категории данни | Клиентски и транзакционни референции, данни за контакт, когато са предоставени, суми и валути, статуси на плащания и възстановявания, референции на доставчици, токенизирана или маскирана информация за платежни методи, технически данни за връзката и съответни материали за поддръжка. Окончателното приложение трябва да отразява действителната интеграция. |
| Продължителност и честота | По време на използване на услугата и договорения срок за връщане или изтриване; непрекъснато обработване или обработване при събития според използваните функции. |
| Чувствителни данни | Специалните категории данни, данните за престъпления и пълните платежни идентификационни данни са извън това общо описание, освен ако не са изрично обхванати от отделен писмен обхват и подходящи контроли. |
3. Инструкции и отговорности на Клиента
Договорът за услуги, попълнените приложения, разрешените настройки и документираните API заявки съставляват инструкциите на Клиента. OrsunPay ще обработва обхванатите данни само по тези инструкции, включително относно предаванията, освен ако приложимото право не изисква друго. Той ще информира Клиента за законово изискване преди обработването, освен ако законът забранява това уведомяване.
Клиентът трябва да предоставя законосъобразни инструкции, необходимата информация за поверителност и валидно основание за заявеното събиране и обработване. Той трябва да ограничава предоставените данни до необходимото за услугата и да поддържа подходящи права за достъп до акаунта. OrsunPay ще информира Клиента, ако счита, че инструкция нарушава приложимото право за защита на данните, и може да спре засегнатото обработване до решаване на проблема.
4. Поверителност и сигурност
OrsunPay ще ограничава достъпа до упълномощени лица, които се нуждаят от него за изпълнение на услугата, и ще гарантира, че те са обвързани със задължения за поверителност. Той ще поддържа технически и организационни мерки, подходящи за естеството на данните и рисковете от обработването.
Приложението за сигурност трябва да документира контрола на достъпа, удостоверяването, мерките за криптиране, разделянето на клиентските среди, регистрирането, обработването на инциденти, архивирането и възстановяването, изтриването и процеса за оценка на тези мерки. То трябва да разграничава внедрените от планираните контроли и да посочва приложимия обхват на услугата. Самото публикуване на това споразумение не включва никакъв одитен сертификат или удостоверение за сигурност.
5. Подизпълнители по обработването
OrsunPay може да назначава подизпълнители по обработването само с предварително конкретно или общо писмено разрешение на Клиента. Окончателното одобрено приложение ще посочва юридическото лице, функцията и съответните места на обработване. Нашият регистър на доставчиците представлява подкрепяща информация и включва доставчици за уебсайта и договорености в процес на преглед; самото включване не представлява разрешение от Клиента.
При общо разрешение OrsunPay ще предоставя предварително писмено уведомление за предвидени добавяния или замени и ще осигурява на Клиента реална възможност да възрази по съображения за защита на данните, преди да започне новото обработване. Подписаното приложение трябва да определя срока за уведомяване, канала за изпращане и процедурата за разрешаване. Ако възражението не може да бъде разрешено, страните ще договорят законосъобразна алтернатива или ще прекратят засегнатата услуга съгласно договора си.
OrsunPay ще налага приложимите задължения за защита на данните на всеки подизпълнител чрез договор и остава отговорен за изпълнението им от подизпълнителя, както изисква законът.
6. Съдействие и нарушения на сигурността на личните данни
Като отчита обработването и наличната информация, OrsunPay ще съдейства на Клиента във връзка с искания за упражняване на права на физически лица, задължения за сигурност, оценки на въздействието и консултации с компетентни органи. Ако получи искане относно данните на Клиента, той ще уведоми Клиента и няма да отговаря по същество, освен по инструкция или когато това се изисква по закон.
OrsunPay ще уведоми Клиента без ненужно забавяне, след като узнае за нарушение на сигурността на личните данни, засягащо обхванатите данни. Наличната информация ще описва инцидента, засегнатите данни и лица, вероятните последици, мерките за ограничаване и контакт за последващи действия. Информацията може да се предоставя поетапно с развитието на разследването. OrsunPay ще съдейства за реакцията на Клиента; Клиентът остава отговорен за уведомленията, за които носи законова отговорност.
7. Международни предавания
Преди обработването да включи предаване, подлежащо на ограничения, страните трябва да определят износителя, вносителя, местоназначенията и подходящия механизъм за предаване. Когато е относимо, това включва приложимо решение относно адекватността или попълнени стандартни договорни клаузи с правилния модул, приложения и допълнителни мерки. Изискванията на Обединеното кралство или Швейцария трябва да бъдат спазени, когато са приложими.
Връзка към споразумение за обработване на данни на доставчик сама по себе си не завършва документацията за предаване на Клиента. Подписаното приложение трябва да включва действителните договорености, включително отдалечения достъп и последващите предавания.
8. Връщане, изтриване и съхранение
След приключване на обработването OrsunPay ще върне или изтрие обхванатите лични данни по избор на Клиента и ще изтрие останалите копия, освен ако приложимото право изисква съхранение. Страните трябва да договорят формата за експорт, процеса за заявяване, срока за изпълнение и срока за изтичане на резервните копия в приложението за обработването.
Когато съхранението се изисква по закон, OrsunPay ще посочи изискването, когато това е разрешено, ще ограничи запазените данни до тази цел и ще ги изтрие, когато задължението отпадне. Резервните копия, очакващи планираното изтичане, трябва да останат защитени и недостъпни за обичайна употреба. При поискване OrsunPay ще предостави потвърждение за изпълнението.
9. Информация и одити
OrsunPay ще предоставя информацията, необходима за доказване на съответствие със задълженията му като обработващ, и ще допуска и подпомага одити, включително проверки от Клиента или упълномощения от него одитор. Страните ще координират разумно предизвестие, поверителност и мерки за защита на информацията на други клиенти. Практическите договорености не трябва да възпрепятстват одит, изискван от закона или от компетентен орган.
10. Завършване на споразумението
Преди подписване страните трябва да попълнят специфичните за услугата категории данни, местата на обработване, одобрените подизпълнители, документите за предаване, мерките за сигурност, договореностите за съхранение и връщане, контактите за уведомяване и процедурата за промяна на доставчици. Разпоредбите за отговорността и приложимото право следват подписания договор за услуги, доколкото това е законосъобразно; нищо тук не отменя законовите права на физическите лица. Запитвания за договора и споразумението за обработване на данни могат да се изпращат чрез Контакт.