قرارداد پردازش داده‌ها
این ترجمه صرفاً برای سهولت ارائه شده است. در صورت هرگونه مغایرت، نسخهٔ انگلیسی ملاک خواهد بود.
قرارداد پردازشگر داده SNSI
۱. هدف و دامنه
1.1. کنترل‌کننده و پردازشگر توافقی را منعقد کرده‌اند که به موجب آن، پردازشگر خدماتی را به کنترل‌کننده ارائه خواهد داد که مستلزم پردازش داده‌های شخصی است («خدمات»).
1.2. این قرارداد شرایط و ضوابطی را تعیین می‌کند که بر اساس آن، پردازشگر داده‌های شخصی را از طرف کنترل‌کننده و مطابق با قوانین حفاظت از داده‌های قابل اعمال، از جمله مقررات عمومی حفاظت از داده‌ها (EU) 2016/679 («GDPR»)، پردازش خواهد کرد.
۲. تعاریف
2.1. «داده‌های شخصی» به معنای هرگونه اطلاعات مربوط به یک شخص حقیقی شناسایی‌شده یا قابل شناسایی است، چنان‌که در ماده 4 GDPR تعریف شده است.
2.2. «پردازش» به معنای هر عملیات یا مجموعه‌ای از عملیات است که بر روی داده‌های شخصی انجام می‌شود، خواه با وسایل خودکار و خواه بدون آن، چنان‌که در ماده 4 GDPR تعریف شده است.
2.3. «پردازشگر فرعی» به معنای هر شخص ثالثی است که توسط پردازشگر یا از طرف آن برای پردازش داده‌های شخصی تحت این قرارداد منصوب می‌شود.
۳. پردازش داده‌های شخصی
3.1. موضوع: پردازشگر داده‌های شخصی را صرفاً برای ارائهٔ خدمات، به شرح مندرج در قرارداد اصلی خدمات میان طرفین («قرارداد خدمات»)، پردازش خواهد کرد.
3.2. مدت: پردازشگر داده‌های شخصی را تنها تا زمانی که برای انجام خدمات لازم است یا تا خاتمهٔ قرارداد خدمات پردازش خواهد کرد، مگر آنکه قانون به نحو دیگری مقرر کرده باشد.
3.3. ماهیت و هدف: پردازشگر داده‌های شخصی را منحصراً برای اهدافی که کنترل‌کننده تعیین کرده است پردازش خواهد کرد و بدون رضایت کتبی قبلی کنترل‌کننده آن را برای هیچ هدف دیگری پردازش نخواهد کرد.
3.4. دسته‌های موضوعات داده:
- بازدیدکنندگان وب‌سایت (برای مثال، افرادی که در scubasnsi.com گشت‌وگذار می‌کنند)
- کاربران ثبت‌نام‌شده (برای مثال، دانشجویان، مربیان)
- شرکت‌کنندگان در دوره‌ها
- مشتریانی که محصولات یا خدمات خریداری می‌کنند
3.5. انواع داده‌های شخصی:
- داده‌های شناسایی و تماس: نام، نشانی ایمیل، شماره تلفن، نشانی پستی
- داده‌های حساب کاربری: نام کاربری، رمز عبور (یا هش رمز عبور)، ثبت‌نام در دوره‌ها، سابقهٔ گواهینامه‌ها
- داده‌های تراکنش: اطلاعات پرداخت (بسته به سامانه، به استثنای جزئیات کارت اعتباری یا شامل جزئیات محدودی از آن)، سوابق خرید، نشانی صورتحساب
- داده‌های ارتباطی: پیام‌ها یا مکاتباتی که از طریق وب‌سایت یا ایمیل ارسال می‌شوند
- داده‌های فنی: نشانی IP، اطلاعات دستگاه، نوع مرورگر، داده‌های کوکی و گزارش‌های استفاده
۴. تعهدات پردازشگر
4.1. پردازشگر داده‌های شخصی را تنها بر اساس دستورالعمل‌های مستند کنترل‌کننده پردازش خواهد کرد، مگر آنکه قانون اتحادیه یا کشور عضو، او را به انجام آن ملزم کند.
4.2. پردازشگر تضمین خواهد کرد که هر فردی که مجاز به پردازش داده‌های شخصی است، به تعهدات محرمانگی پایبند باشد.
4.3. پردازشگر تدابیر فنی و سازمانی مناسب را برای تأمین سطحی از امنیت متناسب با ریسک اجرا خواهد کرد، از جمله (اما نه محدود به) رمزگذاری، نام‌مستعارسازی و کنترل‌های دسترسی.
4.4. پردازشگر به کنترل‌کننده در پاسخ به درخواست‌های موضوعات داده که حقوق خود را تحت GDPR اعمال می‌کنند یاری خواهد رساند.
4.5. پردازشگر پس از آگاهی از نقض داده‌های شخصی، بدون تأخیر ناموجه به کنترل‌کننده اطلاع خواهد داد و جزئیات کافی را ارائه خواهد کرد تا کنترل‌کننده بتواند به تعهدات قانونی خود عمل کند.
۵. تعهدات کنترل‌کننده
5.1. کنترل‌کننده داده‌های شخصی لازم برای انجام خدمات را در اختیار پردازشگر قرار خواهد داد و تضمین خواهد کرد که این ارائه و پردازش مورد نظر قانونی باشد.
5.2. کنترل‌کننده هرگونه دستورالعمل یا الزام خاص در خصوص پردازش داده‌های شخصی را مستند کرده و به پردازشگر اطلاع خواهد داد.
5.3. کنترل‌کننده در مواردی که GDPR الزام می‌کند، سوابق فعالیت‌های پردازشی خود را نگهداری خواهد کرد.
۶. پردازش فرعی
6.1. پردازشگر تنها با رضایت کتبی قبلی کنترل‌کننده می‌تواند پردازشگران فرعی را به کار گیرد.
6.2. پردازشگر تضمین خواهد کرد که هر پردازشگر فرعی به تعهدات قراردادی‌ای پایبند باشد که از نظر حمایتی کمتر از تعهدات مندرج در این قرارداد نباشد.
6.3. پردازشگر در قبال عملکرد هر پردازشگر فرعی، به طور کامل در برابر کنترل‌کننده مسئول باقی خواهد ماند.
۷. انتقال بین‌المللی داده‌ها
7.1. اگر پردازشگر داده‌های شخصی برخاسته از منطقهٔ اقتصادی اروپا («EEA») یا بریتانیا را به کشوری منتقل کند که از سوی کمیسیون اروپا یا مرجع ذی‌ربط به عنوان کشوری با سطح کافی حفاظت از داده‌ها شناخته نشده است، پردازشگر تضمین خواهد کرد که تضمین‌های مناسب (برای مثال، بندهای قراردادی استاندارد) برقرار باشند.
7.2. پردازشگر هرگونه ناتوانی در رعایت تضمین‌های یادشده را فوراً به اطلاع کنترل‌کننده خواهد رساند و در صورتی که رعایت آن‌ها ممکن نباشد، پردازش را متوقف خواهد کرد.
۸. حقوق موضوعات داده
8.1. پردازشگر با به‌کارگیری تدابیر فنی و سازمانی مناسب، کنترل‌کننده را در ایفای تعهدش به پاسخ‌گویی به درخواست‌های موضوعات داده برای اعمال حقوقشان تحت GDPR (برای مثال، دسترسی، اصلاح، پاک‌سازی، محدودسازی پردازش، قابلیت انتقال داده‌ها و اعتراض) یاری خواهد رساند.
۹. بازگرداندن یا حذف داده‌ها
9.1. پس از انقضا یا خاتمهٔ قرارداد خدمات، یا به درخواست کنترل‌کننده، پردازشگر تمامی داده‌های شخصی را فوراً بازگردانده یا به‌طور ایمن حذف خواهد کرد، مگر آنکه قانون نگهداری داده‌ها را به نحو دیگری الزامی کرده باشد.
9.2. در صورت درخواست کنترل‌کننده، پردازشگر گواهی کتبی مبنی بر تأیید حذف ایمن داده‌های شخصی ارائه خواهد کرد.
۱۰. حسابرسی و انطباق
10.1. پردازشگر تمامی اطلاعات لازم برای اثبات انطباق با این قرارداد را در اختیار کنترل‌کننده قرار خواهد داد و امکان انجام حسابرسی‌هایی را که توسط کنترل‌کننده یا حسابرس منصوب وی انجام می‌شود فراهم کرده و در آن‌ها مشارکت خواهد کرد.
10.2. هر حسابرسی باید در فواصل زمانی معقول، با اطلاع قبلی و در ساعات عادی کاری انجام شود، بدون آنکه در عملیات تجاری پردازشگر اختلال ایجاد کند.
۱۱. محدودیت مسئولیت
11.1. مسئولیت هر یک از طرفین که ناشی از این قرارداد یا مرتبط با آن باشد، تابع محدودیت‌ها و استثنائات مسئولیت مورد توافق در قرارداد خدمات خواهد بود، مگر در حدی که قانون قابل اعمال آن را منع کرده باشد.
۱۲. قانون حاکم و صلاحیت قضایی
12.1. این قرارداد تابع قوانین ایالت فلوریدا، ایالات متحده آمریکا است و مطابق با آن‌ها تفسیر خواهد شد.
12.2. هرگونه اختلاف ناشی از این قرارداد در صلاحیت انحصاری دادگاه‌های صالح ایالت فلوریدا، ایالات متحده آمریکا خواهد بود.
۱۳. سایر مقررات
13.1. این قرارداد بخشی از قرارداد خدمات را تشکیل می‌دهد. در صورت تعارض میان این قرارداد و قرارداد خدمات در خصوص حفاظت از داده‌ها، این قرارداد حاکم خواهد بود.
13.2. اگر هر یک از مفاد این قرارداد نامعتبر، غیرقانونی یا غیرقابل اجرا تشخیص داده شود، این امر بر اعتبار سایر مفاد تأثیری نخواهد داشت.
13.3. این قرارداد تنها از طریق سندی کتبی که به امضای هر دو طرف رسیده باشد قابل اصلاح است.