Acord privind prelucrarea datelor
1. Părți, domeniu de aplicare și statut
Acest acord stabilește condițiile de prelucrare a datelor între clientul comercial numit într-un acord de servicii OrsunPay („Clientul”) și Orsun Tech OÜ, cod de înregistrare 17418287, Sepapaja tn 6, Lasnamäe linnaosa, Tallinn, Harju maakond, 15551, Estonia („OrsunPay”). Devine obligatoriu numai când este încorporat într-un acord acceptat de ambele părți, cu anexele de prelucrare și securitate completate.
Pentru prelucrarea acoperită aici, Clientul stabilește scopurile și mijloacele esențiale, iar OrsunPay prelucrează datele cu caracter personal în numele Clientului. Dacă Clientul este el însuși persoană împuternicită, trebuie să aibă autorizarea operatorului său pentru a numi OrsunPay. Prelucrarea pentru site-ul propriu OrsunPay, contactele de afaceri și administrarea conturilor este descrisă în notificare de confidențialitate.
„Date cu caracter personal”, „operator”, „persoană împuternicită” și termenii conexi au înțelesurile atribuite de legislația aplicabilă privind protecția datelor, inclusiv GDPR acolo unde se aplică. Acest DPA prevalează asupra condițiilor de servicii contradictorii privind prelucrarea pe care o acoperă; clauzele obligatorii de transfer prevalează acolo unde sunt aplicabile.
2. Descrierea prelucrării
| Element | Domeniul prelucrării |
|---|---|
| Obiect | Date cu caracter personal gestionate prin serviciile de orchestrare a plăților convenite cu Clientul și asistența aferentă. |
| Natura operațiunilor | Primirea, înregistrarea, organizarea, regăsirea, transmiterea și afișarea înregistrărilor; executarea instrucțiunilor de rutare și operare; depanarea; returnarea sau ștergerea datelor. |
| Scopuri | Operarea fluxurilor de plată configurate, schimbul de informații cu furnizorii selectați, menținerea înregistrărilor de tranzacții și webhookuri, furnizarea accesului autorizat și investigarea problemelor serviciului. |
| Persoane vizate | Cumpărătorii Clientului și alți participanți la plăți, precum și utilizatorii sau reprezentanții autorizați ai Clientului, când datele lor sunt prelucrate conform instrucțiunilor sale. |
| Categorii de date | Referințe ale clienților și tranzacțiilor, date de contact dacă sunt furnizate, sume și monede, stări ale plăților și rambursărilor, referințe ale furnizorilor, informații tokenizate sau mascate despre metoda de plată, date tehnice de conexiune și materiale relevante de asistență. Anexa finală trebuie să reflecte integrarea efectivă. |
| Durată și frecvență | Pe durata utilizării serviciului și a perioadei convenite de returnare sau ștergere; prelucrare continuă ori declanșată de evenimente, în funcție de funcțiile utilizate. |
| Date sensibile | Categoriile speciale de date, datele privind infracțiunile și credențialele complete de plată nu intră în această descriere generală, cu excepția cazului în care sunt acoperite expres de un domeniu separat în scris și de controale adecvate. |
3. Instrucțiuni și responsabilitățile Clientului
Acordul de servicii, anexele completate, setările autorizate și cererile API documentate constituie instrucțiunile Clientului. OrsunPay va prelucra datele acoperite numai pe baza acestor instrucțiuni, inclusiv cele privind transferurile, cu excepția cazului în care legea aplicabilă impune altfel. Va informa Clientul despre o cerință legală înainte de prelucrare, cu excepția cazului în care legea interzice notificarea.
Clientul trebuie să furnizeze instrucțiuni legale, informațiile necesare privind confidențialitatea și un temei valid pentru colectarea și prelucrarea solicitate. Trebuie să limiteze datele furnizate la cele necesare serviciului și să mențină permisiuni adecvate ale contului. OrsunPay va informa Clientul dacă apreciază că o instrucțiune încalcă legislația aplicabilă privind protecția datelor și poate suspenda prelucrarea afectată până la rezolvarea problemei.
4. Confidențialitate și securitate
OrsunPay va limita accesul la persoanele autorizate care au nevoie de el pentru prestarea serviciului și se va asigura că acestea sunt supuse obligațiilor de confidențialitate. Va menține măsuri tehnice și organizatorice adecvate naturii datelor și riscurilor prelucrării.
Anexa de securitate trebuie să documenteze controlul accesului, autentificarea, măsurile de criptare, separarea mediilor clienților, jurnalizarea, gestionarea incidentelor, copiile de siguranță și recuperarea, ștergerea și procesul de evaluare a acestor măsuri. Trebuie să distingă controalele implementate de cele planificate și să identifice domeniul aplicabil al serviciului. Simpla publicare a acestui acord nu încorporează nicio certificare de audit sau atestare de securitate.
5. Subîmputerniciți
OrsunPay poate numi subîmputerniciți numai cu autorizarea prealabilă, specifică sau generală, în scris a Clientului. Anexa finală autorizată va identifica entitatea juridică, funcția și locațiile relevante de prelucrare. Documentul registrul furnizorilor este o informație de sprijin și include furnizori ai site-ului și aranjamente în curs de analiză; simpla includere nu reprezintă autorizarea Clientului.
În cazul autorizării generale, OrsunPay va furniza o notificare prealabilă în scris privind adăugările sau înlocuirile intenționate și va permite Clientului o oportunitate reală de a se opune din motive de protecție a datelor înainte de începerea noii prelucrări. Anexa semnată trebuie să precizeze termenul notificării, canalul de livrare și procedura de soluționare. Dacă obiecția nu poate fi soluționată, părțile vor conveni o alternativă legală sau vor încheia serviciul afectat conform contractului.
OrsunPay va impune prin contract fiecărui subîmputernicit obligațiile aplicabile de protecție a datelor și rămâne responsabil pentru îndeplinirea acestora de către subîmputernicit, conform legii.
6. Asistență și încălcări ale securității datelor
Ținând cont de prelucrare și de informațiile disponibile, OrsunPay va sprijini Clientul în solicitările privind drepturile persoanelor, obligațiile de securitate, evaluările de impact și consultările cu autoritățile competente. Dacă primește o solicitare privind datele Clientului, va notifica Clientul și nu va răspunde pe fond decât la instrucțiunea acestuia sau dacă legea o impune.
OrsunPay va notifica Clientul fără întârzieri nejustificate după ce ia cunoștință de o încălcare a securității datelor cu caracter personal care afectează datele acoperite. Informațiile disponibile vor descrie incidentul, datele și persoanele afectate, consecințele probabile, măsurile de limitare și un contact pentru urmărire. Informațiile pot fi furnizate în etape pe măsură ce investigația avansează. OrsunPay va coopera la răspunsul Clientului; Clientul rămâne responsabil pentru notificările care îi revin legal.
7. Transferuri internaționale
Înainte ca prelucrarea să implice un transfer supus restricțiilor, părțile trebuie să identifice exportatorul, importatorul, destinațiile și mecanismul adecvat de transfer. După caz, acesta include o decizie de adecvare aplicabilă sau clauze contractuale standard completate cu modulul corect, anexele și măsurile suplimentare. Cerințele Regatului Unit sau Elveției trebuie tratate când sunt aplicabile.
Un link către DPA-ul unui furnizor nu completează în sine documentația de transfer a Clientului. Anexa semnată trebuie să includă aranjamentele efective, inclusiv accesul de la distanță și transferurile ulterioare.
8. Returnare, ștergere și păstrare
La finalul prelucrării, OrsunPay va returna sau șterge, la alegerea Clientului, datele cu caracter personal acoperite și va șterge copiile rămase, cu excepția cazului în care legea aplicabilă impune păstrarea. Părțile trebuie să convină în anexa de prelucrare formatul exportului, procesul de solicitare, termenul de finalizare și expirarea copiilor de siguranță.
Când păstrarea este obligatorie legal, OrsunPay va identifica cerința acolo unde este permis, va limita datele păstrate la acel scop și le va șterge când obligația încetează. Copiile de siguranță aflate în așteptarea expirării programate trebuie să rămână protejate și indisponibile pentru utilizarea obișnuită. OrsunPay va furniza la cerere confirmarea finalizării.
9. Informații și audituri
OrsunPay va pune la dispoziție informațiile necesare pentru a demonstra respectarea obligațiilor sale de persoană împuternicită și va permite și sprijini auditurile, inclusiv inspecțiile Clientului sau auditorului mandatat de acesta. Părțile vor coordona un preaviz rezonabil, confidențialitatea și măsurile de protejare a informațiilor altor clienți. Aranjamentele practice nu trebuie să împiedice un audit cerut de lege sau de o autoritate competentă.
10. Completarea acordului
Înainte de semnare, părțile trebuie să completeze categoriile de date specifice serviciului, locațiile de prelucrare, subîmputerniciții aprobați, documentele de transfer, măsurile de securitate, aranjamentele de păstrare și returnare, contactele de notificare și procedura de schimbare a furnizorilor. Dispozițiile privind răspunderea și legea aplicabilă urmează acordul de servicii semnat, în măsura permisă de lege; nimic din prezentul acord nu elimină drepturile legale ale persoanei. Întrebările privind contractul și DPA-ul pot fi trimise prin Contact.