Acord de Processament de Dades PhotoRobot (DPA)

Aquest document representa l'Acord de Processament de Dades PhotoRobot: Versió 1.0 — PhotoRobot Edition, uni-Robot Ltd., República Txeca.

‍

‍

1. Partits

Aquest Acord de Tractament de Dades ("DPA") s'estableix entre:

Controlador (Client)
La persona física o jurídica que ha subscrit els Termes de Servei de PhotoRobot i utilitza el Servici.

i

Processador:
uni-Robot Ltd.
Vodičkova 710/31
110 00 Praga 1
República Txeca
ID de l'empresa: 01478061
ID d'IVA: CZ01478061
Correu electrònic: legal@photorobot.com

D'ara endavant, col·lectivament anomenats les "Parts".

Aquesta DPA complementa els Termes de Servei de PhotoRobot i s'aplica quan PhotoRobot processa dades personals en nom del Client.

‍

‍

2. Matèria i naturalesa del processament

PhotoRobot ("Processador") proporciona serveis basats en el núvol, extensions de programari locals, gestió de firmware i infraestructura d'allotjament necessària per processar imatges, metadades i contingut digital relacionat pujat pel Client ("Controller").

El processament inclou:

• Col·lecció
• Emmagatzematge
• Transmissió
• Extracció de metadades
• sincronització entre CL ↔ Cloud
• allotjament de contingut pujat pels clients
• Creació de registres i diagnòstics
• Operacions de suport

El tractament es realitza estrictament en nom del Responsable, d'acord amb les seves instruccions documentades.

‍

‍

3. Durada

Aquest DPA roman vigent durant tota la durada de la relació contractual entre les Parts, i a partir d'aleshores mentre el Processador emmagatzemi o processi qualsevol dada personal en nom del Responsable.

‍

‍

4. Dades personals i categories de subjectes de dades

4.1. Tipus de dades personals

Depenent de com s'utilitzi el Servei, les dades processades poden incloure:

• Dades d'identificació (nom, cognom, empresa)
• Dades de contacte (correu electrònic, telèfon)
• Contingut visual (imatges, vídeos)
• Metadades associades al contingut pujat
• dades de registre, adreces IP, identificadors tècnics
• Dades a nivell de projecte
• Credencials (amb hash), tokens d'accés

El processador no requereix ni processa intencionadament categories especials de dades (Art. 9 GDPR).

‍

4.2. Categories de subjectes de dades

• Empleats del client
• Clients o socis del client
• Usuaris autoritzats
• Qualsevol persona presentada en contingut visual pujat pel Client

El client és l'únic responsable d'assegurar la recollida legal de dades dels subjectes de les dades.

‍

‍

5. Instruccions del Controlador

El processador processa només dades personals:

1. segons les instruccions documentades del Controlador,
2. segons sigui necessari per proporcionar el Servici,
3. per garantir la seguretat, integritat i disponibilitat dels sistemes,
4. segons exigeixi la legislació de la UE o la de Txequia.

Si el Processador considera que una instrucció és il·legal, ha de notificar-ho al Responsable.

‍

‍

6. Confidencialitat

El Processador assegura que totes les persones autoritzades a processar dades personals:

• estan subjectes a obligacions de confidencialitat,
• han rebut la formació adequada,
• processar les dades únicament sota instruccions del Responsable.

‍

‍

7. Subprocessadors

El processador utilitza certs tercers ("Subprocessadors") per donar suport al Servici.

‍

7.1. Subprocessadors aprovats

El Controlador atorga autorització general perquè el Processador s'impliqui en les següents categories de Subprocessadors:

• Proveïdors d'infraestructura de núvol (per exemple, Google Cloud Platform)
• Proveïdors de lliurament de correu electrònic
• Proveïdors d'analítica
• Sistemes de venda de bitllets
• Serveis de monitoratge de seguretat
• Sistemes de còpia de seguretat i recuperació davant desastres

Es manté una llista completa a la Llista de Subprocessadors PhotoRobot i es pot actualitzar.

‍

7.2. Notificació de canvis

El Processador ha de notificar al Controlador qualsevol canvi previst als Subprocessadors amb almenys 15 dies d'antelació, permetent que el Controlador s'hi oposi per motius raonables.

‍

‍

8. Transferències internacionals de dades

Quan els subprocessadors o la infraestructura es troben fora de l'EEE, el processador assegura:

• aplicació de les Clàusules Contractuals Estàndard (SCC 2021),
• salvaguardes tècniques i organitzatives complementàries,
• accés i xifrat minimitzats,
• auditories de compliment per part del proveïdor subjacent.

Google Cloud Platform proporciona:

• ISO 27001, ISO 27017, ISO 27018
• Informes SOC 1/2/3
• Documentació de compliment del RGPD

Detalls disponibles a https://cloud.google.com/security.

‍

‍

9. Mesures de seguretat

El processador ha d'implementar mesures tècniques i organitzatives (TOMs) estàndard de la indústria, incloent:

‍

9.1. Mesures tècniques

• Xifrat TLS de dades en trànsit
• Emmagatzematge segur amb tokens d'accés xifrats
• Entorns de processament aïllats
• Hash de contrasenyes
• Límits de velocitat i sistemes de detecció d'intrusions
• Tallafocs multicapa
• Seguretat física del centre de dades (via Google Cloud)

‍

9.2. Mesures organitzatives

• Control d'accés basat en rols
• Registre d'accés i monitoratge
• Polítiques internes per a la gestió de dades
• Obligacions de confidencialitat laboral
• Formació periòdica en seguretat
• Gestió del risc de proveïdors

Una llista completa de TOMs està disponible a petició.

‍

‍

10. Drets dels subjectes de dades

El processador ajuda el controlador a respondre a:

• Sol·licituds d'accés
• Rectificació
• Eliminació
• Restricció
• Portabilitat de dades
• Objeccions

El Processador ha de reenviar qualsevol sol·licitud directa d'un subjecte de dades al Controlador sense demora indeguda.

‍

‍

11. Notificació de filtració de dades

En cas d'una filtració de dades personals, el Responsable ha de notificar al Responsable:

• Sense demora excessiva,
• incloent-hi tota la informació requerida per l'Article 33 del RGPD,
• i proporcionar actualitzacions contínuas fins que la remediació estigui completa.

El controlador continua sent responsable de notificar les autoritats i les persones afectades.

‍

‍

12. Eliminació o retorn de dades

En finalitzar el contracte:

• El processador elimina les dades del client després de 30 dies,
• llevat que el Controlador indiqui el contrari,
• excepte quan la retenció sigui requerida per llei.

Les còpies de seguretat es sobreescriuen durant el seu cicle de vida normal.

‍

‍

13. Auditories

El controlador té dret a:

• obtenir documentació que demostri el compliment del RGPD
• sol·licitar un informe sobre els TOMs
• realitzar auditories raonables, limitades a una vegada l'any
• confiar en certificacions de tercers (informes ISO/SOC de Google Cloud)

Les auditories no han de posar en perill la seguretat ni interrompre les operacions.

‍

‍

14. Responsabilitat

La responsabilitat de les parts segueix els Termes de Servei.
El Processador només és responsable per incompliments causats per la seva pròpia violació de les obligacions del RGPD.

‍

‍

15. Dret regulador i jurisdicció

Aquest DPA està regulat per les lleis de la República Txeca.

Les disputes seran resoltes pels tribunals de Praga, República Txeca.

‍

‍

16. Clàusules contractuals estàndard (SCC)

Quan sigui necessari, el SCC 2021 (Mòdul 2: Controlador → Processador) s'aplica com a annex a aquesta DPA.

PhotoRobot:

• incorpora el SCC per referència,
• inclou totes les clàusules obligatòries,
• implementa mesures tècniques suplementàries
• assegura el compliment de les transferències a subprocessadors fora de l'EEE.

El SCC es pot proporcionar íntegrament si es sol·licita.

‍

‍

17. Contacte

uni-Robot Ltd.
Vodičkova 710/31
110 00 Praga 1
República Txeca

Correu electrònic: legal@photorobot.com

‍