მონაცემთა დამუშავების დანართი

1. მხარეები, მოქმედების სფერო და უპირატესობა

მონაცემთა დამუშავების ეს დანართი („დანართი“) იდება შენ, AFFIX-ის კლიენტს („დამმუშავებელი“) და შპს AFFIX SERVICE-ს, საიდენტიფიკაციო კოდი 400431868, საიდენტიფიკაციო კოდით 400431868 საქართველოს საჯარო რეესტრში (napr.gov.ge) მითითებული იურიდიული მისამართი („AFFIX“ ან „უფლებამოსილი პირი“) შორის. ის წესებისა და პირობების ნაწილია და მოქმედებს, სანამ AFFIX შენი სახელით პერსონალურ მონაცემებს ამუშავებს.

ის მოიცავს პერსონალურ მონაცემებს, რომლებსაც AFFIX შენთვის ამუშავებს, როცა ჰოსტინგს უწევს შენს საიტს, მაღაზიას, ფორმებს, ჯავშნებს, მყიდველების ანგარიშებსა და ელფოსტას, ამუშავებს AI Studio-ს შენს ან შენ მიერ დაკავშირებულ საიტზე და ასინქრონებს დაკავშირებულ Shopify მაღაზიას („კლიენტის პერსონალური მონაცემები“). მონაცემებს შენ შესახებ, როგორც ჩვენი კლიენტის (ანგარიში, ბილინგი), AFFIX ამუშავებს როგორც დამმუშავებელი, კონფიდენციალურობის პოლიტიკის მიხედვით.

თუ ეს დანართი წესებს ეწინააღმდეგება, უპირატესობა დანართს აქვს. თუ ქვემოთ ჩართული სტანდარტული სახელშეკრულებო პირობები გამოიყენება და ეწინააღმდეგება ამ დანართს, უპირატესობა სტანდარტულ სახელშეკრულებო პირობებს აქვს.

2. დამუშავების დეტალები

• საგანი და ხასიათი: შენი საიტისა და მომსახურებების ჰოსტინგი, შენახვა, ჩვენება, გადაცემა, სარეზერვო ასლები, ელფოსტის მიწოდება, AI-ით რედაქტირება და მხარდაჭერა.
• მიზანი: შენ მიერ შეკვეთილი AFFIX-ის მომსახურებების მიწოდება შენი მითითებით.
• ვადა: შენი მომსახურებების ვადა, დამატებით ნაწილში „წაშლა და დაბრუნება“ მითითებული წაშლის ვადები.
• მონაცემთა სუბიექტები: შენი საიტის ვიზიტორები, შენი მყიდველები და პოტენციური მყიდველები, ვინც შენს ფორმებს ავსებს, ჯავშნის, გამოიწერს ან განაცხადს აგზავნის, შენი ელფოსტის ადრესატები და შენი თანამშრომლები, რომლებსაც საიტზე წვდომა აქვთ.
• მონაცემთა კატეგორიები: საიდენტიფიკაციო და საკონტაქტო მონაცემები (სახელი, ელფოსტა, ტელეფონი, მისამართი), შეკვეთის, ჯავშნისა და მიწოდების მონაცემები, ანგარიშის მონაცემები, შეტყობინებები და ფორმების შინაარსი, ატვირთული ფაილები, ტექნიკური მონაცემები (IP მისამართი, ბრაუზერი, ქუქი-ფაილის იდენტიფიკატორები) და ნებისმიერი სხვა მონაცემი, რომლის შეგროვებასაც გადაწყვეტ.
• განსაკუთრებული კატეგორიები: მხოლოდ თუ მათ აგროვებ (მაგალითად რეცეპტები აფთიაქის შაბლონში). სამართლებრივ საფუძველზე და იმაზე, რომ დამატებითი დაცვის ზომების საჭიროების შესახებ გვაცნობო, პასუხისმგებელი შენ ხარ.

3. შენი მითითებები

AFFIX კლიენტის პერსონალურ მონაცემებს ამუშავებს მხოლოდ შენი დოკუმენტირებული მითითებით. შენი სრული მითითებებია წესები, ეს დანართი და მომსახურებაში შენ მიერ არჩეული პარამეტრები და შესრულებული მოქმედებები. AFFIX მონაცემებს ასევე ამუშავებს, როცა ამას კანონი მოითხოვს; ამის შესახებ წინასწარ გაცნობებს, თუ კანონი ამას არ კრძალავს.

AFFIX გაცნობებს, თუ მიიჩნევს, რომ მითითება მონაცემთა დაცვის კანონმდებლობას არღვევს.

შენ მიერ მითითებული დამუშავების კანონიერებაზე პასუხისმგებელი შენ ხარ: სამართლებრივ საფუძველზე, საკუთარ კონფიდენციალურობის პოლიტიკაზე (AFFIX გთავაზობს ნაგულისხმევს, რომლის შევსებაც შეგიძლია), ქუქი-ფაილების ბანერის პარამეტრებზე და შენ მიერ ჩართულ ხელსაწყოებსა და ინტეგრაციებზე. გადახდის, SMS და სხვა პროვაიდერები, რომლებსაც საკუთარი ანგარიშებით აკავშირებ, შენი პროვაიდერები არიან და არა AFFIX-ის ქვე-უფლებამოსილი პირები.

4. კონფიდენციალურობა და უსაფრთხოება

AFFIX უზრუნველყოფს, რომ კლიენტის პერსონალური მონაცემების დამუშავებაზე უფლებამოსილი პირები კონფიდენციალურობის ვალდებულებით იყვნენ შეზღუდულნი და მათზე წვდომა მხოლოდ მომსახურების მისაწოდებლად ან მხარდასაჭერად ჰქონდეთ.

AFFIX იყენებს შესაბამის ტექნიკურ და ორგანიზაციულ ზომებს, მათ შორის:

• გადაცემისას დაშიფვრა (HTTPS/TLS) და საიდუმლოებების, ტოკენებისა და წვდომის მონაცემების დაშიფრული შენახვა;
• ჰოსტინგი ევროკავშირის მონაცემთა ცენტრებში (Hetzner, გერმანია), მონაცემთა ცენტრის ოპერატორის ფიზიკური წვდომის კონტროლით;
• კლიენტების საიტების გამიჯვნა, მინიმალური საჭირო წვდომა, თანამშრომლების ორსაფეხურიანი ავტორიზაცია და მგრძნობიარე მონაცემებზე წვდომის აღრიცხვა;
• რეგულარული სარეზერვო ასლები და მათი აღდგენის შესაძლებლობა, ხელმისაწვდომობის მონიტორინგი და უსაფრთხოების განახლებები;
• შეტევებისგან დაცვა Cloudflare-ით, მოთხოვნების ლიმიტებითა და ბოტებისგან შემოწმებით;
• ინციდენტების მართვისა და ამ ზომების გადახედვის პროცესი.

5. ქვე-უფლებამოსილი პირები

AFFIX-ს აძლევ ზოგად ნებართვას, ჩართოს ქვე-უფლებამოსილი პირები. მიმდინარე სია მოცემულია კონფიდენციალურობის პოლიტიკაში, ნაწილში „ვის ვუზიარებთ“: Hetzner Online GmbH (ჰოსტინგი, ევროკავშირი), Cloudflare, Inc. (DNS, მიწოდება და დაცვა), Anthropic, PBC (AI Studio), Twilio Inc. (SMS, მხოლოდ თუ საკუთარი პროვაიდერი არ დაგიკავშირებია) და DomainNameAPI (შენ მიერ რეგისტრირებული დომენები).

AFFIX თითოეულ ქვე-უფლებამოსილ პირს აკისრებს მონაცემთა დაცვის ვალდებულებებს, რომლებიც ამ დანართზე ნაკლებად დამცავი არ არის, და შენ წინაშე პასუხს აგებს მათ საქმიანობაზე.

ქვე-უფლებამოსილი პირის დამატების ან შეცვლის განზრახვის შესახებ AFFIX ელფოსტით მინიმუმ 30 დღით ადრე გაცნობებს. ამ ვადაში შეგიძლია მონაცემთა დაცვასთან დაკავშირებული გონივრული საფუძვლით გააპროტესტო; თუ საკითხს ვერ მოვაგვარებთ, შეგიძლია შეწყვიტო შესაბამისი მომსახურებები და დაგიბრუნდება გამოუყენებელი პერიოდის თანხა.

6. დახმარება

დამუშავების ხასიათის გათვალისწინებით, AFFIX გეხმარება მონაცემთა სუბიექტების მოთხოვნებზე პასუხში (მონაცემების უმეტესობის ნახვა, ექსპორტი, გასწორება და წაშლა შენი საიტის ადმინ პანელშია შესაძლებელი). თუ მონაცემთა სუბიექტი შენი საიტის შესახებ პირდაპირ AFFIX-ს მიმართავს, AFFIX მოთხოვნას შენ გადმოგიგზავნის და თავად არ უპასუხებს, თუ ამას არ სთხოვ.

AFFIX გაწვდის ინფორმაციას, რომელიც გონივრულად გჭირდება მონაცემთა დაცვაზე ზეგავლენის შეფასებისა და საზედამხედველო ორგანოებთან კონსულტაციისთვის.

7. მონაცემთა უსაფრთხოების ინციდენტები

კლიენტის პერსონალურ მონაცემებთან დაკავშირებული ინციდენტის შეტყობისთანავე AFFIX ამის შესახებ გაცნობებს გაუმართლებელი დაყოვნების გარეშე, შესაძლებლობისამებრ 48 საათის განმავლობაში. შეტყობინებაში, რამდენადაც ცნობილია, აღწერილია ინციდენტის ხასიათი, დაზარალებული პირებისა და ჩანაწერების კატეგორიები და მიახლოებითი რაოდენობა, სავარაუდო შედეგები და მიღებული ან დაგეგმილი ზომები. AFFIX იღებს გონივრულ ზომებს ინციდენტის შესაკავებლად და გეხმარება ორგანოებისა და მონაცემთა სუბიექტების ინფორმირებაში.

8. საერთაშორისო გადაცემა

AFFIX საქართველოშია დაფუძნებული და კლიენტის პერსონალურ მონაცემებს ევროკავშირის სერვერებზე ინახავს. ზოგიერთი ქვე-უფლებამოსილი პირი აშშ-სა და სხვა ქვეყნებში მდებარეობს ან იქიდან აქვს მონაცემებზე წვდომა.

თუ ევროკავშირში ან ევროპის ეკონომიკურ ზონაში ხარ დაფუძნებული, ან შენს დამუშავებაზე GDPR ვრცელდება, AFFIX-ისთვის გადაცემაზე ამ დანართში მითითებით ჩართულია ევროკომისიის 2021/914 აღმასრულებელი გადაწყვეტილებით მიღებული სტანდარტული სახელშეკრულებო პირობები (https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj), სადაც შენ ხარ მონაცემთა ექსპორტიორი, AFFIX კი - იმპორტიორი: მეორე მოდული (დამმუშავებლიდან უფლებამოსილ პირზე), ან მესამე მოდული (უფლებამოსილი პირიდან უფლებამოსილ პირზე), თუ თავად უფლებამოსილი პირი ხარ. მათთვის: მე-7 პუნქტი (მიერთება) გამოიყენება; მე-9 პუნქტში გამოიყენება მეორე ვარიანტი (ზოგადი ნებართვა) ზემოთ მითითებული 30-დღიანი შეტყობინებით; მე-11 პუნქტის არჩევითი დებულება არ გამოიყენება; მე-13 პუნქტის მიხედვით კომპეტენტურია შენი დაფუძნების ქვეყნის საზედამხედველო ორგანო, ხოლო თუ ევროკავშირში არ ხარ დაფუძნებული - შენი ევროკავშირის წარმომადგენლის ქვეყნისა; მე-17 პუნქტში გამოიყენება მეორე ვარიანტი, ხოლო თუ ეს სამართალი მესამე პირის სასარგებლო უფლებებს არ უშვებს - ირლანდიის სამართალი; მე-18 პუნქტის მიხედვით - იმ ევროკავშირის წევრი სახელმწიფოს სასამართლოები, სადაც ხარ დაფუძნებული. I დანართს ავსებს ნაწილი „დამუშავების დეტალები“, II დანართს - ნაწილი „კონფიდენციალურობა და უსაფრთხოება“, III დანართს - ქვე-უფლებამოსილი პირების სია.

თუ UK GDPR ვრცელდება, ანალოგიურად გამოიყენება გაერთიანებული სამეფოს ინფორმაციის კომისრის მიერ გამოცემული საერთაშორისო გადაცემის დანართი ევროკავშირის სტანდარტულ სახელშეკრულებო პირობებზე. თუ შვეიცარიის მონაცემთა დაცვის კანონი ვრცელდება, პირობები გამოიყენება მასზე მორგებული მითითებებით და შვეიცარიის საზედამხედველო ორგანოს კომპეტენციით.

თუ საქართველოში ხარ დაფუძნებული, გადაცემა ხდება „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონის 37-ე და 38-ე მუხლების შესაბამისად.

შემდგომი გადაცემისთვის AFFIX იყენებს სტანდარტულ სახელშეკრულებო პირობებს თავის ქვე-უფლებამოსილ პირებთან ან მათ სერტიფიცირებას ევროკავშირი-აშშ მონაცემთა კონფიდენციალურობის ჩარჩოში.

9. ინფორმაცია და აუდიტი

AFFIX მოთხოვნით გაწვდის ინფორმაციას, რომელიც ამ დანართის შესრულების დასადასტურებლად არის საჭირო. თუ ეს საკმარისი არ არის, შეგიძლია AFFIX-ის აუდიტი ჩაატარო თავად ან კონფიდენციალურობის ვალდებულების მქონე დამოუკიდებელი აუდიტორის მეშვეობით, წელიწადში ერთხელ, 30 დღით ადრე გაფრთხილებით, სამუშაო საათებში და მომსახურებისა და სხვა კლიენტების მონაცემების შეფერხების გარეშე; საკუთარ ხარჯებს თავად ფარავ. საზედამხედველო ორგანოს მიერ მოთხოვნილი ან ინციდენტის შემდგომი აუდიტების რაოდენობა შეზღუდული არ არის.

10. წაშლა და დაბრუნება

მომსახურებების დასრულებამდე კლიენტის პერსონალური მონაცემების ექსპორტი შეგიძლია საიტის ადმინ პანელიდან და საფოსტო ყუთებიდან. მომსახურების დასრულების შემდეგ AFFIX კლიენტის პერსონალურ მონაცემებს შლის კონფიდენციალურობის პოლიტიკაში მითითებული ვადებით, სარეზერვო ასლებიდან კი - მათი ჩვეულებრივი როტაციით ჩანაცვლებისას, თუ კანონი მათ შენახვას არ მოითხოვს.

11. პასუხისმგებლობა და ვადა

ამ დანართით თითოეული მხარის პასუხისმგებლობაზე ვრცელდება წესების პასუხისმგებლობის ნაწილი, გარდა იმ შემთხვევისა, როცა სტანდარტული სახელშეკრულებო პირობები ან სავალდებულო კანონი სხვაგვარად ადგენს. დანართი წყდება, როცა AFFIX შენთვის კლიენტის პერსონალურ მონაცემებს აღარ ამუშავებს.

კითხვები ამ დანართზე: [email protected]. თუ შენს ორგანიზაციას ხელმოწერილი ასლი სჭირდება, მოგვწერე და ამ ტექსტს ხელს მოვაწერთ.