Umowa o przetwarzaniu danych

FARENIO EKOSYSTEM

(GDPR artykuł 28)

1. STRONY

Niniejsza Umowa o przetwarzaniu danych („DPA”) stanowi część stosunku umownego pomiędzy

GQ VENTURES SAS

Nazwa handlowa: FARENIO („Przetwarzający”) i Klient, Gospodarz, Zarządca obiektu, Agencja, Klient korporacyjny lub inna organizacja korzystająca z Platformy FARENIO („Administrator”).

2. CEL

Niniejszy DPA reguluje przetwarzanie Danych Osobowych przez FARENIO w imieniu Administratora.

Spełnia wymagania:

• Rozporządzenie (EU) 2016/679 (GDPR)
• Francuska ustawa o ochronie danych
• Wielka Brytania GDPR (w stosownych przypadkach)
• Inne obowiązujące przepisy dotyczące prywatności.

3. DEFINICJE

O ile nie określono inaczej, terminy mają znaczenie podane pod GDPR.

W tym:

• Kontroler
• Edytor
• Podmiot danych
• Dane osobowe
• Przetwarzanie
• Podprocesor
• Naruszenie danych osobowych
• Organ Nadzorczy

4. PRZEDMIOT

FARENIO przetwarza dane osobowe wyłącznie w celu:

• SaaS usług
• Usługi targowe
• PMS integracji
• Operacje na nieruchomościach
• Zarządzanie obrotami
• Koordynacja dostawców
• Automatyzacja przepływu pracy
• Wsparcie klienta

5. CZAS TRWANIA

Przetwarzanie będzie kontynuowane wyłącznie przez okres niezbędny do świadczenia Usług, chyba że prawo wymaga dłuższego przechowywania.

6. CHARAKTER PRZETWARZANIA

Przetwarzanie może obejmować:

Kolekcja

Nagranie

Organizacja

Strukturyzacja

Składowanie

Wyszukiwanie

Konsultacja

Używać

Przenoszenie

Wyrównanie

Ograniczenie

Usunięcie

Zniszczenie

7. OBOWIĄZKI POSTĘPOWANIA

FARENIO powinien:

Przetwarzaj dane wyłącznie według udokumentowanych instrukcji.

Zachowaj poufność.

Wdrożyć odpowiednie zabezpieczenia.

Pomóż Kontrolerowi.

Powiadamiaj o naruszeniach ochrony danych osobowych.

W stosownych przypadkach usuń lub zwróć dane.

Zezwalaj na audyty na rozsądnych warunkach.

Prowadź dokumentację przetwarzania.

8. POUFNOŚĆ

FARENIO zapewni, że każdy pracownik, kontrahent i osoba upoważniona

przetwarzanie danych osobowych:

• jest związany obowiązkami zachowania poufności;
• przechodzi odpowiednie szkolenie w zakresie prywatności;
• ma dostęp wyłącznie do danych niezbędnych do autoryzowanych celów.

9. BEZPIECZEŃSTWO

FARENIO wdroży odpowiednie środki techniczne i organizacyjne (TOM).

Załącznik B.

10. PODPROCEDURA0RS

FARENIO może wyznaczyć Podwykonawców przetwarzania.

Załącznik C.

FARENIO powinien:

Pozostań odpowiedzialny za ich przestrzeganie.

Wymagaj umów zgodnych z GDPR.

Powiadamiaj o istotnych zmianach.

11. TRANSFERY MIĘDZYNARODOWE

Jeżeli Dane Osobowe opuszczają EOG,

FARENIO zastosuje odpowiednie zabezpieczenia, w tym:

Standardowe klauzule umowne

Decyzje stwierdzające adekwatność

Inne zgodne z prawem mechanizmy transferu.

Załącznik D.

12. POMOC

FARENIO będzie pomagać Administratorowi w zakresie:

Żądania dostępu

Żądania usunięcia

Prośby o sprostowanie

Ruchliwość

Ograniczenie

Zastrzeżenia

Oceny skutków

Zapytania regulacyjne

13. NARUSZENIA DANYCH OSOBOWYCH

FARENIO powiadomi Administratora bez zbędnej zwłoki po powzięciu wiadomości o stwierdzonym Naruszeniu Danych Osobowych.

Załącznik F.

14. ZWROT I USUWANIE DANYCH

Po zakończeniu

FARENIO powinien:

Usuń lub zwróć dane osobowe, chyba że ich przechowywanie jest wymagane przez prawo.

15. PRAWA DO AUDYTU

Administrator może przeprowadzać uzasadnione audyty.

Audyty powinny:

Bądź proporcjonalny.

Chroń poufne informacje.

Unikaj zakłóceń.

Należy powiadomić z rozsądnym wyprzedzeniem.

16. ODPOWIEDZIALNOŚĆ

Odpowiedzialność reguluje:

GDPR

Porozumienie SaaS

CGU/CGV

Obowiązujące prawo.

17. PRAWO WŁAŚCIWE

Prawo francuskie.

18. AKCEPTACJA

Korzystanie z Platformy oznacza akceptację niniejszego DPA.

ZAŁĄCZNIK A

OPIS CZYNNOŚCI PRZETWARZANIA

Cel przetwarzania

FARENIO przetwarza Dane Osobowe w celu:

• Rejestracja użytkownika
• Weryfikacja tożsamości
• SaaS dostawa
• Usługi targowe
• Operacje na nieruchomościach
• Sprzątanie obrotowe
• PMS Synchronizacja
• Zarządzanie dostawcami
• AI Planowanie
• AI Ceny
• AI Wysyłka
• Obsługa klienta
• Rozliczenia
• Zapobieganie oszustwom
• DAC7 Raportowanie
• Zgodność AML/KYC
• Analityka
• Monitorowanie bezpieczeństwa

Kategorie Danych Osobowych

Dane identyfikacyjne

Dane kontaktowe

Dane właściwości

Dane rezerwacji

Dane gościa

Informacje o płatnościach

Informacje biznesowe

Informacje o urządzeniu

Dane dotyczące użytkowania

Dane lokalizacyjne (jeśli jest to dozwolone)

Zapisy komunikacji

Prośby o wsparcie

Zdjęcia przesłane przez dostawców

Raporty z inspekcji

Wygenerowane dane operacyjne

Kategorie osób, których dane dotyczą

Zastępy niebieskie

Zarządzający Nieruchomościami

Goście

Sprzątaczki

Firmy sprzątające

Sprzedawcy

Wzmacniacz

Pracownicy

Wykonawcy

Odwiedzający witrynę

Potencjalni klienci

Kontakty wsparcia

Podstawa prawna

Artykuł 6 ust. 1 lit. a)

Zgoda

Artykuł 6 ust. 1 lit. b)

Umowa

Artykuł 6 ust. 1 lit. c)

Obowiązek prawny

Artykuł 6 ust. 1 lit. f)

Uzasadnione interesy

Artykuł 9, w stosownych przypadkach.

Operacje przetwarzania

Kolekcja

Nagranie

Składowanie

Wyszukiwanie

Organizacja

Analiza

Dopasowanie

Synchronizacja

Raportowanie

Usunięcie

Anonimizacja

ZAŁĄCZNIK B

ŚRODKI TECHNICZNE I ORGANIZACYJNE (TOM)

FARENIO wdraża środki bezpieczeństwa obejmujące:

Zarządzanie

Program zarządzania prywatnością

Polityka Bezpieczeństwa Informacji

Oceny ryzyka

Przeglądy roczne

Kontrola dostępu

Dostęp oparty na rolach

Najmniejszy przywilej

Uwierzytelnianie wieloskładnikowe

Zasady dotyczące haseł

Monitorowanie dostępu uprzywilejowanego

Bezpieczeństwo infrastruktury

Szyfrowanie w trakcie przesyłania (TLS)

Szyfrowanie w stanie spoczynku

Ochrona zapory sieciowej

Segmentacja sieci

Ochrona punktów końcowych

Zarządzanie podatnościami

Zarządzanie poprawkami

Bezpieczeństwo aplikacji

Bezpieczny cykl rozwoju

Przegląd kodu

Skanowanie zależności

Testy penetracyjne

API Uwierzytelnianie

Zarządzanie sesją

Rejestrowanie audytu

Bezpieczeństwo operacyjne

Kopie zapasowe

Odzyskiwanie po awarii

Ciągłość biznesowa

Monitorowanie

Zarządzanie incydentami bezpieczeństwa

Zarządzanie ryzykiem dostawców

Bezpieczeństwo personelu

Umowy o poufności

Sprawdzanie przeszłości, jeśli jest to zgodne z prawem

Szkolenie podnoszące świadomość bezpieczeństwa

Procedury cofania dostępu

ZAŁĄCZNIK C

ZATWIERDZONY PODPROCEDURA REJESTR RS

Usługa Cel Lokalizacja danych

Aplikacja infrastruktury chmurowej

Hosting EU/EOG, jeśli jest dostępny

Procesor płatności Przetwarzanie płatności Zgodnie z infrastrukturą dostawcy

Transakcyjny dostawca poczty e-mail

E-mail EU/Globalny zgodnie z ustaleniami umownymi

Powiadomienia dostawcy SMS na całym świecie z zabezpieczeniami

Obsługa klienta

Bilety wsparcia platformy EU/globalne z zabezpieczeniami

Platforma dostawcy usług analitycznych Analityka zagregowana/pseudonimizowana, jeśli to możliwe

AI Usługodawca AI Funkcje Według zatwierdzonych lokalizacji przetwarzania

Dostawca kopii zapasowych Odzyskiwanie po awarii EU/EOG, jeśli jest to wykonalne

FARENIO będzie prowadzić i aktualizować ten rejestr w miarę dodawania, usuwania lub wymiany dostawców usług.

ZAŁĄCZNIK D

MIĘDZYNARODOWY MECHANIK PRZESYŁANIA DANYCHISMS

Transfery poza EOG opierają się na:

Decyzje stwierdzające odpowiedni stopień ochrony lub standardowe klauzule umowne lub inny zgodny z prawem mechanizm transferu.

Dodatkowe zabezpieczenia mogą obejmować:

Szyfrowanie

Kontrola dostępu

Oceny skutków przeniesienia

Umowne klauzule bezpieczeństwa

Należyta staranność dostawcy

ZAŁĄCZNIK E

HARMONOGRAM PRZECHOWYWANIA DANYCH

Typ danych Typowy okres przechowywania

Dane konta Czas trwania konta + obowiązujący prawny okres przechowywania

Zapisy rezerwacji Zgodnie ze zobowiązaniami prawnymi, podatkowymi i umownymi

Dokumentacja płatnicza Zgodnie z obowiązującymi przepisami księgowymi i podatkowymi

Bilety wsparcia W uzasadnionym zakresie niezbędnym do celów wsparcia i prawnych

AI Logi Ograniczony okres niezbędny do poprawy i bezpieczeństwa usług

Dzienniki audytu Zgodnie z wymogami bezpieczeństwa i zgodności

Zgoda marketingowa Do czasu wycofania lub nie jest już wymagana

Dzienniki bezpieczeństwa Zgodnie z potrzebami w zakresie cyberbezpieczeństwa i reagowania na incydenty

Tam, gdzie to możliwe, dane będą anonimizowane, a nie przechowywane w formie umożliwiającej identyfikację.

ZAŁĄCZNIK F

PROCEDURA REAGOWANIA W PRZYPADKU NARUSZENIA DANYCH OSOBOWYCH

Etap 1

Wykrywanie

Zidentyfikowano incydent.

Rozpoczęto natychmiastowe powstrzymywanie.

Etap 2

Ocena

Określić:

Charakter naruszenia

Kategorie danych

Liczba osób dotkniętych chorobą

Prawdopodobne ryzyko

Etap 3

Powstrzymanie

Odizoluj dotknięte systemy.

Unieważnij naruszone dane uwierzytelniające.

Zapobiegaj dalszemu nieautoryzowanemu dostępowi.

Etap 4

Powiadomienie

Powiadom Administratora bez zbędnej zwłoki.

Jeżeli jest to wymagane prawnie:

Powiadom organ nadzorczy.

Powiadom zainteresowane osoby.

Etap 5

Powrót do zdrowia

Przywróć usługi.

Zweryfikuj bezpieczeństwo.

Systemy monitorujące.

Etap 6

Dokumentacja

Nagrywać:

Oś czasu

Pierwotna przyczyna

Ocena wpływu

Działania korygujące

Wyciągnięte wnioski

Prowadź rejestr naruszeń zgodnie z wymogami odpowiedzialności.

Etap 7

Przegląd po zdarzeniu

Przeprowadź formalną recenzję.

Wdrożyć działania naprawcze.

Zaktualizuj kontrolę bezpieczeństwa.

Przejrzyj zasady i szkolenia personelu.

W razie potrzeby dokonaj przeglądu oceny ryzyka.