Umowa powierzenia przetwarzania danych

Niniejsza umowa powierzenia przetwarzania danych („Umowa”) określa, jak TicketPa przetwarza dane osobowe w imieniu firm, które z niego korzystają, zgodnie z wymogami art. 28 ogólnego rozporządzenia o ochronie danych (RODO). Jest ona częścią naszego regulaminu, a akceptujesz ją, akceptując regulamin.

Strony tej Umowy

• Ty, czyli firma, która korzysta z TicketPa, jako administrator.
• TicketPa jako podmiot przetwarzający (TicketPa prowadzi: osoba, której wydano zaświadczenie o działalności indywidualnej nr 777726, Wilno, Litwa).

Umowa obejmuje dane osobowe twoich gości i innych osób, które przetwarzamy w twoim imieniu w ramach świadczenia usługi TicketPa („dane gości”). Załącznik 1 opisuje te dane i to, co z nimi robimy. Dane osobowe twoje i członków twojego zespołu obejmuje natomiast nasza polityka prywatności, ponieważ w odniesieniu do tych danych to my jesteśmy administratorem.

Jeśli ta Umowa i regulamin różnią się w kwestiach dotyczących danych osobowych, zastosowanie ma ta Umowa.

Co robimy z danymi gości

Przetwarzamy dane gości wyłącznie w celu świadczenia ci usługi TicketPa i wyłącznie na twoje udokumentowane polecenie. Twoimi poleceniami są regulamin i ta Umowa oraz sposób, w jaki konfigurujesz TicketPa i z niego korzystasz: twoje ustawienia, to, co ty i twój zespół robicie w aplikacji, oraz to, o co prosisz nas na piśmie.

Jeśli uznamy, że polecenie narusza przepisy o ochronie danych, informujemy cię o tym. Jeśli prawo UE lub prawo litewskie wymaga od nas przetwarzania danych gości w inny sposób, informujemy cię o tym wcześniej, chyba że to prawo tego zabrania.

Poufność

Każda osoba po naszej stronie, która ma dostęp do danych gości, jest zobowiązana do zachowania ich w poufności i może z nich korzystać wyłącznie w sposób dozwolony przez tę Umowę.

Bezpieczeństwo

Chronimy dane gości za pomocą środków technicznych i organizacyjnych opisanych w załączniku 2 i w miarę zmian w TicketPa dostosowujemy je do ryzyka. Możemy aktualizować te środki, o ile nie obniży to poziomu ochrony.

Dalsze podmioty przetwarzające

Zgadzasz się, abyśmy korzystali z dalszych podmiotów przetwarzających, czyli dostawców usług wymienionych w załączniku 3, którzy pomagają nam świadczyć usługę TicketPa. Na każdy z nich nakładamy w drodze umowy obowiązki w zakresie ochrony danych co najmniej tak rygorystyczne jak nasze obowiązki wynikające z tej Umowy i pozostajemy wobec ciebie odpowiedzialni za ich pracę.

Co najmniej 30 dni przed dodaniem lub zastąpieniem dalszego podmiotu przetwarzającego informujemy e-mailem właścicieli twojej firmy i aktualizujemy załącznik 3. Jeśli masz uzasadnione powody związane z ochroną danych, aby się sprzeciwić, poinformuj nas o tym w tym terminie. Jeśli nie uda nam się rozwiązać kwestii twojego sprzeciwu, możesz zamknąć konto przed zmianą, a my zwrócimy wszelkie opłaty uiszczone z góry za okres po zamknięciu.

Pomoc dla ciebie

Pomagamy ci w rozsądnym zakresie, biorąc pod uwagę to, co robi TicketPa:

• w obsłudze żądań twoich gości dotyczących wykonywania ich praw wynikających z RODO. Jeśli gość napisze do nas, przekazujemy jego żądanie tobie i sami na nie nie odpowiadamy, chyba że nas o to poprosisz. Wiele żądań możesz obsłużyć samodzielnie w TicketPa; w pozostałych przypadkach, na przykład w celu usunięcia danych gościa, napisz do nas, a zrobimy to za ciebie.
• w wykonywaniu innych twoich obowiązków wynikających z art. 32-36 RODO, takich jak bezpieczeństwo, oceny skutków dla ochrony danych i konsultacje z organem ochrony danych.

Naruszenia ochrony danych osobowych

Jeśli dowiemy się o naruszeniu bezpieczeństwa, które dotyczy danych gości, informujemy cię o tym bez zbędnej zwłoki, a najpóźniej w ciągu 48 godzin. Przekazujemy ci to, co o nim wiemy: co się stało, jakich kategorii danych i w przybliżeniu ilu osób dotyczy, jakie są jego prawdopodobne konsekwencje i co w związku z nim robimy, a w miarę uzyskiwania nowych informacji na bieżąco cię informujemy. Podejmujemy rozsądne kroki, aby opanować naruszenie i ograniczyć jego skutki.

Gdy przestajesz korzystać z TicketPa

Przed zamknięciem konta możesz pobrać swoje rezerwacje, na przykład plik CSV z rezerwacjami w sekcji Reports (Raporty). W ciągu 90 dni od zamknięcia twojej firmy w TicketPa usuwamy dane gości, chyba że prawo UE lub prawo litewskie wymaga od nas zachowania ich części. Następnie w ciągu 30 dni znikają one automatycznie z naszych kopii zapasowych. Na żądanie potwierdzamy usunięcie na piśmie.

Informacje i audyty

Przekazujemy ci informacje niezbędne do wykazania, że przestrzegamy tej Umowy. Ty lub wybrany przez ciebie niezależny audytor zobowiązany do zachowania poufności możecie przeprowadzić u nas audyt zgodności raz w roku albo częściej po naruszeniu lub na wniosek organu ochrony danych. Powiadom nas o tym co najmniej 30 dni wcześniej. Audyty odbywają się na twój koszt, w godzinach pracy i bez dostępu do danych innych firm.

Przekazywanie danych poza Europejski Obszar Gospodarczy

Przekazujemy dane gości poza Europejski Obszar Gospodarczy wyłącznie z zabezpieczeniami wymaganymi przez rozdział V RODO, takimi jak decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony lub standardowe klauzule umowne. Hostinger przechowuje dane gości w Unii Europejskiej, gdzie znajdują się też nasze kopie zapasowe w Cloudflare. Żądania do TicketPa przechodzą jednak przez światową sieć Cloudflare, zwykle przez centrum danych najbliższe osobie korzystającej z TicketPa, które może znajdować się poza Europejskim Obszarem Gospodarczym. Cloudflare, firma amerykańska, posiada certyfikację zgodnie z Ramami ochrony danych UE-USA, a jej umowa z nami zawiera standardowe klauzule umowne.

Twoje obowiązki

Odpowiadasz za to, aby:

• mieć podstawę prawną dla zbieranych danych gości i e-maili, które decydujesz się wysyłać, takich jak prośby o opinię;
• informować gości we własnej informacji o prywatności o tym, jak wykorzystujesz ich dane;
• wydawać nam wyłącznie polecenia zgodne z prawem;
• nie prosić gości o szczególne kategorie danych osobowych, takie jak informacje o zdrowiu, chyba że naprawdę ich potrzebujesz i masz podstawę prawną;
• decydować, kto w twoim zespole może widzieć dane gości, poprzez przypisane role.

Odpowiedzialność i czas obowiązywania

Odpowiedzialność każdej ze stron na podstawie tej Umowy określa regulamin, w zakresie, w jakim pozwalają na to przepisy o ochronie danych. Ta Umowa obowiązuje tak długo, jak przetwarzamy dane gości w twoim imieniu, w tym po zamknięciu twojego konta, aż do usunięcia danych gości.

Załącznik 1: Szczegóły przetwarzania

Załącznik 2: Środki bezpieczeństwa

• Szyfrowanie podczas przesyłania: każda strona i każde żądanie są obsługiwane przez HTTPS.
• Ochrona przed atakami: cały ruch do TicketPa przechodzi przez Cloudflare, gdzie ataki, takie jak zalew żądań, są zatrzymywane, zanim dotrą do serwerów. Połączenie między Cloudflare a serwerami również jest szyfrowane.
• Konta: hasła są przechowywane wyłącznie jako bezpieczne skróty, uwierzytelnianie dwuskładnikowe jest dostępne dla każdego konta, a liczba prób logowania jest ograniczona.
• Szyfrowanie danych poufnych w spoczynku: tajne klucze uwierzytelniania dwuskładnikowego, kody odzyskiwania i tajne klucze sesji płatności są szyfrowane w bazie danych.
• Oddzielenie firm: każdy rekord należy do jednej firmy, a TicketPa przy każdym żądaniu sprawdza, czy zalogowana osoba jest członkiem tej firmy. Automatyczne testy sprawdzają, czy jedna firma nie może uzyskać dostępu do danych innej firmy.
• Role w twojej firmie: właściciele, menedżerowie i prowadzący widzą różne rzeczy. Prowadzący nie widzą raportów ani ustawień płatności.
• Nasz własny dostęp: dostęp do serwerów i panelu administracyjnego mają wyłącznie osoby, które prowadzą TicketPa. Logowanie do serwerów wymaga klucza SSH, ponieważ hasła są wyłączone, a adres, z którego wielokrotnie nie udaje się zalogować, jest automatycznie blokowany.
• Hosting: serwery znajdują się w centrum danych w Unii Europejskiej, za zaporą sieciową, która dopuszcza wyłącznie połączenia potrzebne TicketPa. Aktualizacje zabezpieczeń systemu operacyjnego instalują się automatycznie.
• Kopie zapasowe: co 6 godzin tworzymy kopię zapasową bazy danych w prywatnym, szyfrowanym magazynie w Unii Europejskiej, oddzielonym od serwerów. Każda kopia jest automatycznie usuwana po 30 dniach. Przesłane zdjęcia i loga są codziennie kopiowane w to samo miejsce i przechowywane przez 7 dni.
• Płatności: dane kart obsługuje wyłącznie Stripe, który ma certyfikat PCI DSS. TicketPa przechowuje identyfikatory i kwoty płatności, nigdy numery kart.
• Minimalizacja danych: przesłane zdjęcia i loga są ponownie kodowane, co usuwa ukryte dane, takie jak lokalizacja GPS; zapisy zdarzeń Stripe i nieudane zadania w tle, które mogą zawierać dane gości, są usuwane po 30 dniach; wygasłe zaproszenia są usuwane.

Załącznik 3: Dalsze podmioty przetwarzające

Usługi, które podłączasz samodzielnie. Jeśli włączysz płatności online, dane płatnicze twoich gości trafiają na twoje własne konto Stripe na podstawie twojej umowy ze Stripe. W tym zakresie Stripe nie jest naszym dalszym podmiotem przetwarzającym.

Pytania dotyczące tej Umowy: hello@ticketpa.com.