Niniejsza Umowa powierzenia przetwarzania danych („DPA”) została zawarta między Użytkownikiem, posiadaczem konta More.You („Użytkownik”, administrator), a LoadFocus LTD, 4 Grayscroft Road, Londyn SW16 5UP, Wielka Brytania, numer rejestrowy 09554514 („my”, podmiot przetwarzający). Obowiązuje, gdy przetwarzamy dane osobowe w imieniu Użytkownika w ramach Usługi. Spełnia wymogi art. 28 brytyjskiego RODO i unijnego RODO. Użytkownik akceptuje ją wraz z Regulaminem. Nie trzeba niczego podpisywać.
1. Definicje
„Prawo ochrony danych” oznacza brytyjskie RODO, brytyjską ustawę Data Protection Act 2018, unijne RODO oraz inne prawo ochrony danych, które ma zastosowanie do przetwarzania. „Dane osobowe”, „przetwarzanie”, „administrator”, „podmiot przetwarzający”, „osoba, której dane dotyczą” i „naruszenie ochrony danych osobowych” mają znaczenie nadane w tym prawie. „Usługa” ma znaczenie z Regulaminu.
2. Zakres umowy
| Pozycja | Szczegóły |
|---|---|
| Cel | Prowadzenie strony Użytkownika i pokazywanie statystyk, stosowanie reguł dla odbiorców, zapisywanie zamówień złożonych przez stronę oraz wysyłanie zdarzeń wizyt do Meta, gdy Użytkownik połączy jej Conversions API |
| Osoby, których dane dotyczą | Odwiedzający strony Użytkownika oraz osoby, które kupują od Użytkownika lub wspierają go napiwkiem przez jego strony |
| Dane osobowe | Adres IP i ustalony na jego podstawie kraj; urządzenie, przeglądarka i aplikacja; strona i post, z których przyszedł odwiedzający; kliknięcia; a w przypadku kupujących adres e-mail, zakupiony produkt i kwota |
| Szczególne kategorie danych | Brak. Użytkownik nie może prosić odwiedzających przez swoją stronę o dane dotyczące zdrowia, wyznania ani podobne |
| Czas trwania | Dopóki istnieje konto Użytkownika, a potem zgodnie z punktem 9 |
Ta DPA nie obejmuje danych, które wykorzystujemy do własnych celów, takich jak dane konta, rozliczenia, zapobieganie oszustwom i zapisy zamówień przechowywane z mocy prawa. Jesteśmy administratorem tych danych, co wyjaśnia Polityka prywatności.
3. Obowiązki Użytkownika
- Użytkownik decyduje, dlaczego dane jego odwiedzających są przetwarzane, i zapewnia, że ma do tego podstawę prawną.
- Użytkownik informuje swoich odwiedzających i kupujących, jak wykorzystuje ich dane, na przykład we własnej informacji o prywatności, do której prowadzi link na jego stronie.
- Użytkownik uzyskuje zgodę tam, gdzie wymaga tego prawo, na przykład przed połączeniem Conversions API Meta, jeśli prawo obowiązujące tam, gdzie są odwiedzający, wymaga na to zgody.
- Użytkownik wydaje nam wyłącznie zgodne z prawem polecenia. Jego ustawienia w Usłudze są jego poleceniami.
4. Nasze obowiązki
- Przetwarzamy dane osobowe wyłącznie na udokumentowane polecenia Użytkownika, którymi są Regulamin, niniejsza DPA i ustawienia Użytkownika, chyba że prawo wymaga inaczej. Jeśli uznamy, że polecenie narusza prawo, poinformujemy o tym Użytkownika.
- Każda osoba w LoadFocus LTD, która ma dostęp do danych, jest zobowiązana do zachowania ich poufności.
- Chronimy dane środkami opisanymi w punkcie 5.
- Korzystamy z podprocesorów wyłącznie na zasadach z punktu 6.
- Pomagamy Użytkownikowi odpowiadać na wnioski osób, których dane dotyczą (punkt 7), oraz wywiązywać się z obowiązków dotyczących bezpieczeństwa, zawiadomień o naruszeniach i ocen skutków, w zakresie, na jaki pozwala charakter przetwarzania.
- Usuwamy lub zwracamy dane po zakończeniu Usługi (punkt 9).
- Udostępniamy Użytkownikowi informacje potrzebne do wykazania, że spełniamy wymogi art. 28, i dopuszczamy audyty na zasadach z punktu 10.
5. Środki bezpieczeństwa
- Szyfrowanie w transmisji: strony, aplikacja i nasze API są udostępniane przez HTTPS.
- Dostęp: baza danych i magazyn sesji przyjmują połączenia tylko z naszych własnych serwerów i wymagają hasła. Do systemów produkcyjnych mają dostęp tylko pracownicy, którzy potrzebują tego do pracy.
- Klucze tajne: klucze i hasła są przechowywane w AWS Systems Manager Parameter Store, nigdy w naszym kodzie.
- Konta: logowanie przez Google; każde zapisane hasło jest haszowane algorytmem bcrypt; sesje używają bezpiecznych plików cookie HTTP-only.
- Ochrona przed nadużyciami: limity zapytań przy logowaniu i zakładaniu konta oraz kontrole, czy żądania pochodzą z naszej strony.
- Minimalizacja danych: adresy IP kupujących są przechowywane wyłącznie jako skrócony jednokierunkowy hasz; identyfikatory kart z nieudanych płatności są przechowywane do 48 godzin.
Przeglądamy te środki, gdy zmienia się Usługa. Strona o bezpieczeństwie wyjaśnia, jak zgłosić lukę.
6. Podprocesorzy
Użytkownik zezwala nam na korzystanie z tych podprocesorów w odniesieniu do danych objętych niniejszą DPA:
| Podprocesor | Cel | Lokalizacja |
|---|---|---|
| Amazon Web Services, Inc. | Hosting, baza danych i przechowywanie | Stany Zjednoczone (us-east-1) |
| Stripe Payments Europe, Ltd. i Stripe, Inc. | Płatności realizowane przez stronę Użytkownika | Irlandia i Stany Zjednoczone |
| Cloudflare, Inc. | Weryfikacja Turnstile przeciw botom przy płatności | Stany Zjednoczone |
Każdy podprocesor jest związany pisemną umową z postanowieniami o ochronie danych zapewniającymi co najmniej taki sam poziom ochrony jak niniejsza DPA. Pozostajemy za nich odpowiedzialni.
O nowym podprocesorze informujemy Użytkownika e-mailem co najmniej 30 dni przed rozpoczęciem jego pracy. W tym czasie Użytkownik może zgłosić sprzeciw e-mailem, podając powody. Jeśli nie będziemy mogli uwzględnić sprzeciwu, Użytkownik może zamknąć konto, a my zwrócimy opłaty wniesione z góry za niewykorzystany okres.
7. Wnioski osób, których dane dotyczą
Jeśli odwiedzający lub kupujący zwróci się do nas o dostęp do swoich danych, ich poprawienie lub usunięcie, niezwłocznie przekazujemy wniosek Użytkownikowi i sami na niego nie odpowiadamy, chyba że wymaga tego prawo. Użytkownik może napisać na hello@more.you, a pomożemy znaleźć, wyeksportować lub usunąć dane tej osoby.
8. Naruszenia ochrony danych osobowych
Jeśli dowiemy się o naruszeniu ochrony danych osobowych dotyczącym danych objętych niniejszą DPA, informujemy o tym Użytkownika bez zbędnej zwłoki, a w każdym razie w ciągu 48 godzin. Podajemy, co się stało, jakich danych i ilu osób to dotyczy, co z tym robimy i z kim można się skontaktować. Kolejne szczegóły przekazujemy, gdy je poznamy.
9. Usunięcie danych po zakończeniu
Gdy Użytkownik zamknie konto, jego strony przestają być dostępne, a my przestajemy przetwarzać dane w jego imieniu. Usuwamy je w ciągu 90 dni, chyba że prawo wymaga ich zachowania. Przed zamknięciem konta Użytkownik może poprosić nas na hello@more.you o kopię statystyk i zamówień.
10. Informacje i audyty
Na żądanie odpowiadamy na rozsądne pytania na piśmie o tym, jak chronimy dane. Jeśli te odpowiedzi nie wystarczą, by wykazać, że spełniamy wymogi niniejszej DPA, albo gdy zażąda tego organ nadzorczy, Użytkownik może przeprowadzić u nas audyt raz w roku, z 30-dniowym wyprzedzeniem, w godzinach pracy, przez niezależnego audytora związanego obowiązkiem poufności. Koszt audytu ponosi Użytkownik.
11. Transfery międzynarodowe
Mamy siedzibę w Wielkiej Brytanii, a nasze serwery znajdują się w Stanach Zjednoczonych. Gdy dane osobowe z Wielkiej Brytanii lub Europejskiego Obszaru Gospodarczego trafiają do kraju bez decyzji stwierdzającej odpowiedni stopień ochrony, stosujemy mechanizm transferu uznany przez prawo: brytyjskie rozszerzenie EU-US Data Privacy Framework, jeśli odbiorca ma certyfikat, albo unijne standardowe klauzule umowne z brytyjskim aneksem.
Jeśli Użytkownik znajduje się w Europejskim Obszarze Gospodarczym i otrzymujemy od niego dane osobowe, między nim a nami obowiązują unijne standardowe klauzule umowne (moduł 2, od administratora do podmiotu przetwarzającego, lub moduł 3, gdy sam Użytkownik jest podmiotem przetwarzającym) i stanowią część niniejszej DPA. Klauzula 7 nie ma zastosowania, stosuje się opcję 2 klauzuli 9 z terminem powiadomienia z punktu 6, opcjonalne sformułowanie w klauzuli 11 nie ma zastosowania, a klauzule 17 i 18 wybierają prawo i sądy Irlandii. Załącznikami są punkty 2, 5 i 6 niniejszej DPA.
12. Odpowiedzialność, kolejność dokumentów i prawo
Limity odpowiedzialności z Regulaminu stosuje się do niniejszej DPA, chyba że prawo ochrony danych na to nie pozwala. Jeśli niniejsza DPA i Regulamin różnią się w sprawie danych osobowych, obowiązuje DPA. Jeśli standardowe klauzule umowne i niniejsza DPA się różnią, obowiązują klauzule.
Niniejsza DPA podlega temu samemu prawu co Regulamin, chyba że punkt 11 lub prawo ochrony danych stanowi inaczej. Możemy ją zmieniać, by dostosować ją do prawa lub zmian w Usłudze, i poinformujemy Użytkownika e-mailem przed zmianą, która zmniejsza jego ochronę.
13. Kontakt
Pytania o niniejszą DPA: hello@more.you.
