Lampiran Pemrosesan Data

Istilah yang ditulis dengan huruf kapital memiliki makna yang diberikan dalam GDPR. Istilah berikut memiliki makna di bawah ini.

DPA ini berlaku untuk pemrosesan Data Pribadi Pelanggan yang dilakukan oleh upDevTeam LTD atas nama Pelanggan selama penyediaan Layanan.

Para pihak mengakui bahwa, sehubungan dengan pemrosesan tersebut, Pelanggan adalah Pengendali dan upDevTeam LTD adalah Pengolah.

upDevTeam LTD juga memproses data sebagai Pengendali terkait operasional bisnisnya sendiri (penagihan akun, anti-penyalahgunaan, pemasaran). Kebijakan Privasi menjelaskan pemrosesan tersebut.

upDevTeam LTD akan:

Pelanggan memberikan izin kepada upDevTeam LTD untuk melibatkan Sub-pengolah berikut:

Kami akan memberi Pelanggan setidaknya 30 hari pemberitahuan sebelum menambahkan atau mengganti Sub-pengolah dengan memposting perubahan di godeskflow.com/dpa atau mengirim email kepada kontak akun. Jika Pelanggan keberatan dengan alasan perlindungan data, kami akan bekerja dengan itikad baik untuk menemukan solusi; jika tidak ada yang dapat disepakati, Pelanggan dapat menghentikan Layanan yang terpengaruh untuk kenyamanan.

Kami tetap bertanggung jawab kepada Pelanggan atas tindakan dan kelalaian Sub-pengolah kami seolah-olah itu adalah tindakan kami sendiri.

Kami mengimplementasikan dan mempertahankan langkah teknis dan organisasi yang sesuai dengan risiko, termasuk:

Data Pribadi Pelanggan dikelola di EEA. Ketika transfer Data Pribadi Pelanggan ke luar EEA diperlukan (misalnya saat melibatkan Sub-pengolah yang berkantor pusat di AS), para pihak memasukkan Klausul Kontraktual Standar melalui referensi, dengan upDevTeam LTD bertindak sebagai 'pengekspor data' untuk transfer tersebut dan Sub-pengolah sebagai 'pengimpor data'.

Ketika Pelanggan berada di luar EEA dan data pribadi mengalir dari upDevTeam LTD ke Pelanggan, para pihak menggabungkan SCC (Modul 4) untuk transfer yang bersangkutan.

Kami menyelesaikan penilaian dampak transfer untuk setiap Sub-prosesor non-EEA dan menerapkan langkah tambahan (enkripsi, pseudonimisasi) di mana penilaian merekomendasikannya.

Jika kami menerima permintaan dari subjek data sehubungan dengan Data Pribadi Pelanggan, kami tidak akan merespons secara langsung kecuali untuk mengonfirmasi penerimaan dan mengarahkan subjek data kepada Pelanggan. Kami akan meneruskan permintaan kepada Pelanggan tanpa penundaan yang tidak semestinya.

Kami akan memberikan bantuan yang wajar kepada Pelanggan dalam menanggapi permintaan akses, perbaikan, penghapusan, pembatasan, portabilitas, dan keberatan, dengan mempertimbangkan sifat pemrosesan dan informasi yang tersedia bagi kami. Di mana permintaan berlebihan atau jelas tidak berdasar, kami dapat mengenakan biaya yang wajar.

Kami akan memberi tahu Pelanggan tanpa penundaan yang tidak semestinya, dan dalam hal ini dalam waktu 72 jam setelah mengetahui, tentang pelanggaran data pribadi yang mempengaruhi Data Pribadi Pelanggan. Pemberitahuan akan mencakup informasi yang dibutuhkan oleh Pasal 33(3) GDPR sejauh yang diketahui, dengan pembaruan saat penyelidikan berlangsung.

Kami akan bekerja sama dengan Pelanggan untuk mengendalikan, menyelidiki, dan mendokumentasikan pelanggaran, dan tidak akan membuat pernyataan publik tentang hal itu tanpa persetujuan sebelumnya dari Pelanggan kecuali diharuskan oleh hukum.

Kami menyediakan informasi yang diperlukan kepada Pelanggan untuk menunjukkan kepatuhan terhadap Pasal 28 GDPR melalui (a) DPA ini, (b) dokumen putih keamanan yang tersedia berdasarkan permintaan, dan (c) laporan audit pihak ketiga terbaru dari Sub-prosesor yang relevan (mis. laporan SOC 2).

Jika Pelanggan secara wajar percaya bahwa bahan yang disebutkan dalam bagian 10.1 tidak memadai, Pelanggan dapat, atas biaya sendiri dan dengan pemberitahuan tertulis setidaknya 30 hari, mengaudit kepatuhan kami terhadap DPA ini tidak lebih dari sekali per tahun (kecuali dalam kasus pelanggaran material), selama audit (i) dilakukan selama jam kerja normal, (ii) tidak mengganggu operasi kami, (iii) dilakukan oleh auditor independen yang terikat oleh kewajiban kerahasiaan yang sesuai, dan (iv) tidak mencakup akses ke fasilitas atau data pelanggan lainnya.

Laporan audit adalah informasi rahasia dari upDevTeam LTD dan hanya dapat dibagikan kepada regulator dan penasihat hukum di bawah kerahasiaan.

Pada penghentian Layanan, kami akan, atas pilihan Pelanggan dan dalam waktu 30 hari dari tanggal penghentian, mengembalikan semua Data Pribadi Pelanggan dalam format elektronik yang terstruktur atau menghapusnya dengan aman, kecuali sejauh retensi diharuskan oleh hukum UE atau negara bagian.

Salinan cadangan akan dihapus sesuai dengan kebijakan pemulihan cadangan standar kami (saat ini 35 hari). Cadangan tetap dilindungi oleh langkah-langkah keamanan dalam bagian 6 sampai mereka ditimpa.

Tanggung jawab yang timbul di bawah DPA ini diatur oleh bagian pembatasan tanggung jawab dari Ketentuan Layanan.

Di mana Pasal 82 GDPR membagi tanggung jawab antara pengendali bersama, pemroses, dan sub-prosesor, para pihak setuju untuk mengikuti pembagian hukum tersebut.

DPA ini berlaku sejak tanggal Pelanggan menerima Ketentuan Layanan dan berlanjut selama upDevTeam LTD memproses Data Pribadi Pelanggan atas nama Pelanggan, ditambah periode kelangsungan yang diperlukan untuk memenuhi kewajiban di bawah bagian 9, 10, dan 11.

DPA ini diatur oleh hukum Republik Siprus, kecuali bahwa, di mana SCC berlaku, hukum yang mengatur yang diidentifikasi dalam SCC berlaku untuk masalah dalam lingkup SCC.

Pemberitahuan di bawah DPA ini harus dikirim ke info@godeskflow.com (masalah pemrosesan data) dan ke info@godeskflow.com (masalah subjek data dan otoritas pengawas).