Споразумение за обработване на лични данни (DPA)

1. Предмет и срок

Обработващият лични данни хоства и обработва личните данни, които организацията въвежда в Galla, докато организацията ползва услугата и до изтриването на нейните данни.

2. Обработвани данни

• Субекти на данните: служителите на организацията, гостите и групите, с които са поканени, лицата за контакт на доставчици и спонсори, купувачите на билети и лицата в списъци с чакащи.
• Данни: имена, данни за контакт, отговори, избор на ястия, бележки за диети и алергии (които могат да разкриват данни за здравословното състояние или религиозните убеждения), места, билети и плащания, снимки, съобщения, файлове, заявки за поддръжка и одитният дневник.
• Цел: планиране и провеждане на събитията на организацията чрез Galla и оказване на съдействие на организацията по нейно искане.

3. Задължения на обработващия лични данни

• Да обработва данните само по документирани нареждания на организацията (нейното ползване на Galla и настоящите условия), включително по отношение на предаването на данни, освен ако правото на Европейския съюз или на държава членка не изисква друго, като в този случай уведомява предварително организацията, освен ако това право не го забранява; и да уведомява организацията, ако според него дадено нареждане нарушава законодателството за защита на данните.
• Да гарантира, че всички лица с достъп са поели задължение за поверителност и че служителите на Galla отварят дадена организация само за да ѝ окажат поддръжка, като посочват основание, което собствениците могат да видят в дневника на достъпа.
• Да защитава данните с мерките по раздел 6.
• Да ползва само подизпълнителите по обработването, посочени на страницата с подизпълнители, за които организацията дава общо разрешение. Да обявява добавянето или замяната на подизпълнител на собствениците в управлението и на същата страница 30 дни предварително. Организацията може да направи възражение по основателни съображения, свързани със защитата на данните; ако не бъде намерено решение, тя може да прекрати ползването на услугата преди промяната да влезе в сила, след като изтегли своите данни. Да обвързва всеки подизпълнител със същите задължения и да носи отговорност за него.
• Да съдейства на организацията при отговора на исканията на субектите на данните: експорт и изтриване на данни за гости, формулярите „Вашите данни“ за гости, доставчици и спонсори, и експорт на данните на организацията.
• Да уведомява организацията без неоправдано забавяне и във всеки случай в срок до 48 часа, след като узнае за нарушение на сигурността, засягащо нейните данни, като посочва наличната информация (естество на нарушението, засегнати лица и записи, вероятни последици, предприети мерки, лице за контакт), и да я допълва при получаване на нова информация.
• Да съдейства при оценки на въздействието и предварителни консултации, когато е необходимо, и да води регистър на дейностите по обработване, извършвани за организацията.
• При прекратяване да изтрие данните (организацията може предварително да ги изтегли): те се изтриват 14 дни след искането на собственика и се премахват от резервните копия в срок до още 37 дни. Съхранява се само това, което се изисква по закон, например фактурите.
• Да предоставя на организацията информацията, необходима за доказване на съответствието, и да допуска разумни одити.

4. Задължения на организацията

Организацията има правно основание за събираните от нея данни (а за бележките за диети и алергии — условие по член 9, например изричното съгласие на лицето), информира засегнатите лица, определя кои от служителите ѝ могат да виждат чувствителните бележки и отговаря на исканията на субектите на данните.

5. Предаване на данни

Данните се хостват в Европейския съюз. Подизпълнител може да обработва част от тях извън ЕС само при наличие на гаранция по глава V от ОРЗД: решение относно адекватното ниво на защита, като решението относно Рамката за защита на данните между ЕС и САЩ за сертифициран доставчик, или стандартните договорни клаузи на Европейската комисия. На страницата с подизпълнители е посочена приложимата гаранция за всеки от тях.

6. Технически и организационни мерки

• Записите на всяка организация са разделени чрез защитата на ниво ред (row-level security) в базата данни; ролята на приложението в базата данни не може да я заобиколи.
• Криптиране при пренос (само HTTPS) и при съхранение; бележките за диети и алергии и поверителните данни за достъп на организациите се криптират допълнително от приложението.
• Служителите влизат с втора стъпка за удостоверяване; ролите ограничават кой какво вижда; връзките за гости са случайни, съхраняват се само като хешове и никога не се записват в дневници.
• Промените по гости, отговори, места и плащания се записват в одитен дневник; достъпът за поддръжка се записва в дневник, достъпен за собствениците.
• Ежедневни резервни копия, съхранявани във втори регион в ЕС, възстановяване към определен момент и ежеседмичен тест за възстановяване.
• Наблюдение и сигнали, както и писмена процедура за управление на инциденти.