قرارداد پردازش داده

1. تعاریف

عبارات با حروف بزرگ که در اینجا تعریف نشده‌اند، معنایی دارند که در GDPR آمده است. «داده‌های شخصی»، «پردازش»، «کنترل‌کننده»، «پردازنده» و «موضوع داده‌ها» معانی ارائه شده در ماده 4 GDPR را دارند.

2. موضوع و مدت

پردازشگر داده های شخصی را از طرف کنترل کننده صرفاً برای ارائه خدمات توضیح داده شده در شرایط خدمات پردازش می کند. این DPA تا زمانی که پردازشگر داده های شخصی کنترل کننده را پردازش می کند اعمال می شود.

3. ماهیت و هدف پردازش

پردازشگر داده‌های شخصی را پردازش می‌کند تا خوانش‌های عرفانی را ارائه دهد، محتوای ارسالی کاربر را ذخیره کند، حساب‌ها را مدیریت کند، پرداخت‌ها را پردازش کند، ایمیل تراکنشی ارسال کند و پلتفرم را راه‌اندازی کند.

4. دسته بندی موضوعات داده ها

داده های شخصی پردازش شده تحت این DPA ممکن است مربوط به موارد زیر باشد:

• دارندگان حساب و کاربران نهایی سرویس
• دریافت کنندگان قرائت یا هدایای مشترک
• مشترکین خبرنامه

5. دسته بندی داده های شخصی

پردازشگر ممکن است دسته های زیر از داده های شخصی را پردازش کند:

• شناسایی نام، آدرس ایمیل، شناسه حساب
• نمایه تاریخ تولد، زمان تولد، محل تولد (در صورت ارائه)
• استفاده تاریخچه خواندن، پیام های چت، تنظیمات برگزیده، زبان
• صورتحساب ایمیل صورت‌حساب، طرح، شناسه‌های ارائه‌دهنده پرداخت (هیچ اطلاعات کارت در سرورهای ما ذخیره نمی‌شود)
• فنی آدرس IP، عامل کاربر، اثر انگشت دستگاه، داده‌های گزارش

6. تعهدات پردازشگر

پردازشگر باید:

• داده های شخصی را فقط بر اساس دستورالعمل های مستند از کنترل کننده پردازش کنید
• اطمینان حاصل کنید که افرادی که مجاز به پردازش داده های شخصی هستند، محرمانه هستند
• اقدامات امنیتی فنی و سازمانی مناسب را اجرا کنید (به بخش 9 مراجعه کنید)
• به کنترل کننده در پاسخ به درخواست های موضوع داده کمک کنید
• کنترل کننده را بدون تأخیر بی مورد از هرگونه نقض داده های شخصی مطلع کنید
• تمام اطلاعات لازم برای نشان دادن انطباق با این DPA را در دسترس قرار دهید

7. پردازشگرهای فرعی

کنترلر به پردازشگر اجازه می دهد تا زیرپردازنده ها را برای ارائه سرویس درگیر کند. پردازشگر تعهدات کتبی حفاظت از داده ها را برای هر فرعی پردازشگر تحمیل خواهد کرد که کمتر از آنچه در این DPA محافظت می شود، مسئول عملکرد آنها باقی می ماند. لیست فعلی زیرپردازنده ها در صورت درخواست از privacy@fortunamatata.com در دسترس است.

8. انتقال داده های بین المللی

در مواردی که داده‌های شخصی به خارج از منطقه اقتصادی اروپا یا بریتانیا منتقل می‌شوند، پردازشگر به تضمین‌های مناسبی مانند بندهای قراردادی استاندارد کمیسیون اروپا (SCC) و الحاقیه بین‌المللی انتقال داده‌های بریتانیا، همراه با هرگونه اقدامات تکمیلی مورد نیاز توسط قانون قابل اجرا تکیه می‌کند.

9. اقدامات امنیتی

پردازنده اقدامات فنی و سازمانی مناسب را اجرا می کند، از جمله:

• رمزگذاری داده های شخصی در حال حمل و نقل (TLS) و در حالت استراحت در صورت لزوم
• کنترل های دسترسی، مجوزهای مبتنی بر نقش، و ثبت حسابرسی
• به روز رسانی منظم امنیتی، نظارت بر وابستگی، و مدیریت آسیب پذیری
• پشتیبان گیری و رویه های بازیابی فاجعه
• آموزش رازداری و امنیت کارکنان

10. حقوق موضوع داده ها

پردازشگر، با در نظر گرفتن ماهیت پردازش، به کنترل کننده با اقدامات فنی و سازمانی مناسب در انجام تعهدات خود برای پاسخ به درخواست‌ها برای اعمال حقوق موضوع داده طبق فصل سوم GDPR کمک خواهد کرد.

11. نقض داده های شخصی

پردازشگر پس از آگاهی از نقض داده های شخصی، کنترل کننده را بدون تأخیر بی مورد مطلع می کند. این اخطار شامل اطلاعات مورد نیاز طبق ماده 33 (3) GDPR تا حد معقولی خواهد بود.

12. حسابرسی

پردازشگر اطلاعات لازم برای نشان دادن انطباق با این DPA را در اختیار کنترل‌کننده قرار می‌دهد و اجازه می‌دهد تا در ممیزی‌ها، از جمله بازرسی‌های انجام‌شده توسط کنترل‌کننده یا حسابرس موظف شده توسط کنترل‌کننده، مشروط به اخطار معقول، محرمانه بودن و محدودیت‌های امنیتی، مشارکت کند.

13. بازگشت یا حذف داده ها

در صورت خاتمه سرویس‌ها، پردازشگر به انتخاب کنترل‌کننده، تمام داده‌های شخصی پردازش‌شده از طرف کنترل‌کننده را حذف یا برمی‌گرداند، مگر اینکه حفظ توسط قانون قابل اجرا الزامی باشد.

14. مسئولیت و قانون حاکم

مسئولیت تحت این DPA منوط به محدودیت های تعیین شده در شرایط خدمات است. این DPA تحت همان قانون شرایط خدمات است.

15. تماس بگیرید

برای سؤال در مورد این DPA یا درخواست لیست فعلی زیرپردازنده ها، با ما در privacy@fortunamatata.com تماس بگیرید.