Cytundeb Prosesu Data PhotoRobot (DPA)

Mae'r ddogfen hon yn cynrychioli Cytundeb Prosesu Data PhotoRobot: Fersiwn 1.0 - PhotoRobot Edition, uni-Robot Ltd., Gweriniaeth Tsiec.

‍

‍

1. Partïon

Mae'r Cytundeb Prosesu Data ("DPA") hwn yn cael ei wneud rhwng:

Rheolwr (Cwsmer)
Yr endid unigol neu gyfreithiol sydd wedi ymrwymo i Telerau Gwasanaeth PhotoRobot ac sy'n defnyddio'r Gwasanaeth.

ac

Prosesydd:
Uni-Robot Cyf.
Vodičkova 710/31
110 00 Prague 1
Y Weriniaeth Tsiec
ID y Cwmni: 01478061
ID TAW: CZ01478061
Ebost: legal@photorobot.com

Cyfeirir atynt yma wedi hyn gyda'i gilydd fel y "Partïon".

Mae'r DPA hwn yn ategu Telerau Gwasanaeth PhotoRobot ac yn berthnasol pan fydd PhotoRobot yn prosesu data personol ar ran y Cwsmer.

‍

‍

2. Pwnc a Natur y Prosesu

Mae PhotoRobot ("Prosesydd") yn darparu gwasanaethau cwmwl, estyniadau meddalwedd lleol, rheoli cadarnwedd a seilwaith cynnal sy'n ofynnol i brosesu delweddau, metadata, a chynnwys digidol cysylltiedig a uwchlwythwyd gan y Cwsmer ("Rheolydd").

Mae prosesu yn cynnwys:

• Casgliad
• storio
• trosglwyddo
• echdynnu metadata
• cydamseru rhwng CL ↔ Cloud
• cynnal cynnwys wedi'i uwchlwytho gan gwsmeriaid
• creu logiau a diagnosteg
• Gweithrediadau copi wrth gefn

Mae prosesu'n cael ei wneud yn llym ar ran y Rheolwr, yn unol â'u cyfarwyddiadau dogfennol.

‍

‍

3. Hyd

Mae'r DPA hwn yn parhau i fod mewn grym am gyfnod y berthynas gytundebol rhwng y Partïon, ac ar ôl hynny cyhyd â bod y Prosesydd yn storio neu'n prosesu unrhyw ddata personol ar ran y Rheolwr.

‍

‍

4. Data Personol a Chategorïau Pynciau Data

4.1. Mathau o ddata personol

Yn dibynnu ar sut mae'r Gwasanaeth yn cael ei ddefnyddio, gall data wedi'i brosesu gynnwys:

• data adnabod (enw, cyfenw, cwmni)
• data cyswllt (e-bost, ffôn)
• Cynnwys gweledol (delweddau, fideos)
• metadata sy'n gysylltiedig â chynnwys wedi'i uwchlwytho
• data log, cyfeiriadau IP, dynodwyr technegol
• data ar lefel prosiect
• Manylion cyflwyno (hashed), tocynnau mynediad

Nid yw'r prosesydd yn gofyn nac yn prosesu'n fwriadol gategorïau arbennig o ddata (Art. 9 GDPR).

‍

4.2. Categorïau o bynciau data

• Gweithwyr y cwsmer
• Cleientiaid neu bartneriaid y cwsmer
• Defnyddwyr Awdurdodedig
• Unrhyw unigolion a gyflwynir mewn cynnwys gweledol a uwchlwythwyd gan y Cwsmer

Cwsmer yn unig sy'n gyfrifol am sicrhau casglu data yn gyfreithlon gan bynciau data.

‍

‍

5. Cyfarwyddiadau gan y Rheolwr

Mae'r prosesydd yn prosesu data personol yn unig:

1. yn ôl cyfarwyddiadau dogfennol y Rheolwr,
2. fel sy'n ofynnol i ddarparu'r Gwasanaeth,
3. sicrhau diogelwch, uniondeb ac argaeledd systemau,
4. fel sy'n ofynnol gan gyfraith yr UE neu Tsiec.

Os yw'r Prosesydd yn ystyried cyfarwyddyd yn anghyfreithlon, rhaid i'r Prosesydd hysbysu'r Rheolwr.

‍

‍

6. Cyfrinachedd

Mae'r prosesydd yn sicrhau bod pob person sydd wedi'i awdurdodi i brosesu data personol:

• yn ddarostyngedig i rwymedigaethau cyfrinachedd,
• wedi derbyn hyfforddiant priodol,
• prosesu data o dan gyfarwyddiadau gan y Rheolwr yn unig.

‍

‍

7. Is-broseswyr

Mae'r Prosesydd yn defnyddio trydydd partïon penodol ("Is-Broseswyr") i gefnogi'r Gwasanaeth.

‍

7.1. Is-broseswyr cymeradwy

Mae'r Rheolwr yn rhoi awdurdodiad cyffredinol i'r Prosesydd ymgysylltu â'r categorïau canlynol o Is-Broseswyr:

• darparwyr seilwaith cwmwl (ee, Google Cloud Platform)
• darparwyr dosbarthu e-bost
• darparwyr dadansoddeg
• systemau tocynnau
• Gwasanaethau monitro diogelwch
• systemau gwneud copi wrth gefn ac adfer trychineb

Mae rhestr gyflawn yn cael ei chadw yn Rhestr Is-brosesydd PhotoRobot a gellir ei diweddaru.

‍

7.2. Hysbysu am newidiadau

Rhaid i'r Prosesydd hysbysu'r Rheolwr am unrhyw newidiadau arfaethedig i Is-Broseswyr o leiaf 15 diwrnod ymlaen llaw, gan ganiatáu i'r Rheolwr wrthwynebu ar sail resymol.

‍

‍

8. Trosglwyddiadau Data Rhyngwladol

Pan fo Is-Broseswyr neu seilwaith wedi'u lleoli y tu allan i'r AEE, mae'r Prosesydd yn sicrhau:

• cymhwyso Cymalau Cytundebol Safonol (SCC 2021),
• mesurau diogelu technegol a sefydliadol atodol,
• lleihau mynediad ac amgryptio,
• archwiliadau cydymffurfio gan y darparwr sylfaenol.

Mae Google Cloud Platform yn darparu:

• ISO 27001, ISO 27017, ISO 27018
• Adroddiadau SOC 1/2/3
• Dogfennaeth cydymffurfio GDPR

Manylion ar gael yn https://cloud.google.com/security.

‍

‍

9. Mesurau Diogelwch

Rhaid i'r prosesydd weithredu mesurau technegol a sefydliadol (TOMs) o safon y diwydiant, gan gynnwys:

‍

9.1. Mesurau Technegol

• Amgryptio TLS o ddata wrth ei gludo
• Storio diogel gyda thocynnau mynediad wedi'u hamgryptio
• amgylcheddau prosesu ynysig
• Hash cyfrinair
• terfynau cyfradd a systemau canfod ymyrraeth
• Mur Cadarn Aml-Haen
• diogelwch canolfan ddata gorfforol (trwy Google Cloud)

‍

9.2. Mesurau Sefydliadol

• rheoli mynediad yn seiliedig ar rôl
• Cofnodi mynediad a monitro
• Polisïau mewnol ar gyfer trin data
• rhwymedigaethau cyfrinachedd cyflogeion
• hyfforddiant diogelwch cyfnodol
• rheoli risg gwerthwr

Mae rhestr lawn o TOMs ar gael ar gais.

‍

‍

10. Hawliau Gwrthrych Data

Mae'r Prosesydd yn cynorthwyo'r Rheolydd i ymateb i:

• ceisiadau am fynediad
• cywiro
• dileu
• cyfyngiad
• cludadwyedd data
• Gwrthwynebiadau

Bydd y Prosesydd yn anfon unrhyw gais uniongyrchol gan ddarostyngiad data at y Rheolwr heb oedi diangen.

‍

‍

11. Hysbysiad Torri Data

Mewn achos o dorri data personol, bydd y Prosesydd yn hysbysu'r Rheolwr:

• heb oedi gormodol,
• gan gynnwys yr holl wybodaeth sy'n ofynnol gan Erthygl 33 GDPR,
• a darparu diweddariadau parhaus nes bod y gwaith adfer wedi'i gwblhau.

Mae'r rheolwr yn parhau i fod yn gyfrifol am hysbysu awdurdodau ac unigolion yr effeithir arnynt.

‍

‍

12. Dileu neu Ddychwelyd Data

Ar ôl terfynu'r contract:

• Mae'r prosesydd yn dileu Data Cwsmeriaid ar ôl 30 diwrnod,
• oni bai bod y Rheolwr yn cyfarwyddo fel arall,
• ac eithrio lle mae'n ofynnol cadw yn ôl y gyfraith.

Mae copïau wrth gefn yn cael eu trosysgrifo yn ystod eu cylch bywyd arferol.

‍

‍

13. Archwiliadau

Mae gan y rheolydd yr hawl i:

• derbyn dogfennaeth sy'n profi cydymffurfiaeth GDPR
• gofyn am adroddiad ar TOMs
• perfformio archwiliadau rhesymol, wedi'u cyfyngu i unwaith y flwyddyn
• dibynnu ar ardystiadau trydydd parti (adroddiadau ISO / SOC Google Cloud)

Rhaid i archwiliadau beidio â pheryglu diogelwch neu amharu ar weithrediadau.

‍

‍

14. Atebolrwydd

Mae atebolrwydd y partïon yn dilyn y Telerau Gwasanaeth.
Dim ond am doriadau a achosir gan ei dorri rhwymedigaethau GDPR y mae'r prosesydd yn atebol.

‍

‍

15. Cyfraith Lywodraethol ac Awdurdodaeth

Mae'r DPA hwn yn cael ei lywodraethu gan gyfreithiau'r Weriniaeth Tsiec.

Bydd anghydfodau yn cael eu datrys gan y llysoedd ym Mhrâg, y Weriniaeth Tsiec.

‍

‍

16. Cymalau Cytundebol Safonol (SCC)

Lle bo angen, mae'r SCC 2021 (Modiwl 2: Rheolwr → Prosesydd) yn berthnasol fel atodiad i'r DPA hwn.

PhotoRobot:

• yn ymgorffori SCC trwy gyfeirio,
• yn cynnwys pob cymal gorfodol,
• yn gweithredu mesurau technegol atodol
• sicrhau cydymffurfiaeth ar gyfer trosglwyddiadau i is-broseswyr y tu allan i'r AEE.

Gellir darparu'r SCC yn llawn ar gais.

‍

‍

17. Cysylltu

Uni-Robot Cyf.
Vodičkova 710/31
110 00 Prague 1
Y Weriniaeth Tsiec

Ebost: legal@photorobot.com

‍