Acord privind prelucrarea datelor (DPA)

1. Obiect și durată

Persoana împuternicită de operator găzduiește și prelucrează datele cu caracter personal pe care organizația le introduce în Galla, pe toată durata utilizării serviciului de către organizație și până la ștergerea datelor acesteia.

2. Ce date se prelucrează

• Persoane vizate: personalul organizației, invitații și grupurile cu care sunt invitați, persoanele de contact ale furnizorilor și sponsorilor, cumpărătorii de bilete și persoanele înscrise pe listele de așteptare.
• Date: nume, date de contact, răspunsuri, opțiuni de meniu, note privind dietele și alergiile (care pot dezvălui informații despre starea de sănătate sau religie), locuri, bilete și plăți, fotografii, mesaje, fișiere, solicitări de asistență și jurnalul de audit.
• Scop: planificarea și desfășurarea evenimentelor organizației cu ajutorul Galla, precum și acordarea de asistență organizației, la cererea acesteia.

3. Obligațiile persoanei împuternicite de operator

• Să prelucreze datele numai pe baza instrucțiunilor documentate ale organizației (utilizarea de către aceasta a Galla și prezentul acord), inclusiv în ceea ce privește transferurile, cu excepția cazului în care dreptul Uniunii Europene sau dreptul intern al unui stat membru impune altfel, caz în care informează în prealabil organizația, cu excepția situației în care dreptul respectiv interzice acest lucru; și să informeze organizația dacă o instrucțiune pare să încalce legislația privind protecția datelor.
• Să se asigure că toate persoanele care au acces la date s-au angajat să respecte confidențialitatea și că personalul Galla accesează o organizație numai pentru a-i acorda asistență, indicând un motiv pe care proprietarii îl pot consulta în jurnalul de acces.
• Să protejeze datele prin măsurile tehnice și organizatorice prevăzute la secțiunea 6.
• Să recurgă numai la subîmputerniciții enumerați pe pagina de subîmputerniciți, pe care organizația îi autorizează în mod general. Să anunțe proprietarilor, în interfața de administrare și pe pagina respectivă, orice adăugare sau înlocuire cu 30 de zile înainte. Organizația poate formula obiecții întemeiate pe motive rezonabile legate de protecția datelor; dacă nu se găsește o soluție, aceasta poate înceta utilizarea serviciului înainte ca modificarea să producă efecte, după descărcarea datelor sale. Să impună fiecărui subîmputernicit aceleași obligații și să rămână răspunzătoare pentru acesta.
• Să sprijine organizația în soluționarea cererilor persoanelor vizate: exportul și ștergerea datelor invitaților, formularele „Datele dumneavoastră” pentru invitați, furnizori și sponsori, precum și exportul datelor organizației.
• Să informeze organizația fără întârzieri nejustificate, și în cel mult 48 de ore, după ce a luat cunoștință de o încălcare a securității care afectează datele acesteia, comunicând informațiile cunoscute (natura încălcării, persoanele vizate și înregistrările în cauză, consecințele probabile, măsurile luate, o persoană de contact), și să completeze aceste informații pe măsură ce află mai multe.
• Să acorde asistență la evaluările impactului asupra protecției datelor și la consultările prealabile, atunci când este necesar, și să țină o evidență a activităților de prelucrare desfășurate în numele organizației.
• La încetare, să șteargă datele (organizația le poate descărca în prealabil): acestea sunt șterse la 14 zile după solicitarea proprietarului și dispar din copiile de rezervă în cel mult încă 37 de zile. Se păstrează numai ceea ce impune legea, cum ar fi facturile.
• Să pună la dispoziția organizației informațiile necesare pentru a demonstra conformitatea și să permită audituri rezonabile.

4. Obligațiile organizației

Organizația dispune de un temei legal pentru datele pe care le colectează (iar, în cazul notelor privind dietele și alergiile, de o condiție prevăzută la articolul 9, cum ar fi consimțământul explicit al persoanei vizate), informează persoanele vizate, stabilește care membri ai personalului său pot vedea notele sensibile și răspunde cererilor persoanelor vizate.

5. Transferuri

Datele sunt găzduite în Uniunea Europeană. Un subîmputernicit poate prelucra o parte a acestora în afara UE numai pe baza unei garanții prevăzute în capitolul V din RGPD: o decizie privind caracterul adecvat, precum cea privind Cadrul UE-SUA pentru protecția datelor, în cazul unui furnizor certificat, sau clauzele contractuale standard ale Comisiei Europene. Pagina de subîmputerniciți indică garanția aplicabilă fiecăruia.

6. Măsuri tehnice și organizatorice

• Înregistrările fiecărei organizații sunt separate prin securitatea la nivel de rând a bazei de date; rolul aplicației în baza de date nu o poate ocoli.
• Criptare în tranzit (exclusiv HTTPS) și în repaus; notele privind dietele și alergiile, precum și datele secrete ale organizațiilor sunt criptate suplimentar de aplicație.
• Personalul se conectează cu un al doilea pas de autentificare; rolurile limitează cine ce poate vedea; linkurile pentru invitați sunt aleatorii, sunt stocate numai sub formă de hash și nu sunt niciodată înregistrate în jurnale.
• Modificările privind invitații, răspunsurile, locurile și plățile sunt înregistrate într-un jurnal de audit; accesul în scop de asistență este înregistrat într-un jurnal pus la dispoziția proprietarilor.
• Copii de rezervă zilnice păstrate într-o a doua regiune din UE, recuperare la un moment dat și un test de restaurare în fiecare săptămână.
• Monitorizare și alerte, precum și o procedură scrisă de gestionare a incidentelor.