Atodiad prosesu data

1. Rolau a chwmpas

Mae’r atodiad hwn yn rhan o’r Telerau gwasanaeth. Y Cleient yw’r rheolydd a THEFOCUS LTD yw’r prosesydd ar gyfer data personol a brosesir o fewn gweithle’r cleient, yng nghyfrifon hysbysebu, rheolwyr tagiau a dadansoddeg y Cleient, ac mewn allforion CRM a roddir i ni (“Data Personol y Cleient”). Mae Atodlen 1 yn disgrifio’r prosesu. Lle mae’r Cleient ei hun yn brosesydd ar gyfer rheolydd arall, rydym yn gweithredu fel is-brosesydd iddo ar yr un telerau.

Mae’r atodiad hwn yn bodloni Erthygl 28 o GDPR y DU ac, lle maent yn gymwys, Erthygl 28 o GDPR yr UE a darpariaethau proseswyr cyfreithiau diogelu data eraill yn y marchnadoedd a wasanaethwn.

2. Ein rhwymedigaethau fel prosesydd

• Prosesu Data Personol y Cleient yn unig ar gyfarwyddiadau dogfennedig y Cleient, gan gynnwys y contract a defnydd y Cleient o’r rhaglen, oni bai bod y gyfraith yn mynnu fel arall. Yn yr achos hwnnw rydym yn hysbysu’r Cleient cyn prosesu oni bai bod y gyfraith yn gwahardd hynny. Rydym yn dweud wrth y Cleient os credwn fod cyfarwyddyd yn torri cyfraith diogelu data.
• Sicrhau bod pawb sydd wedi’u hawdurdodi i’w brosesu wedi’u rhwymo gan gyfrinachedd.
• Cymhwyso’r mesurau technegol a threfniadol yn Atodlen 2.
• Defnyddio is-broseswyr dim ond fel y nodir yn adran 3.
• Cynorthwyo’r Cleient, gan ystyried natur y prosesu, gyda cheisiadau gwrthrychau data a chyda’i rwymedigaethau o ran diogelwch, hysbysu am dorri diogelwch, asesiadau effaith ac ymgynghori ymlaen llaw â rheoleiddwyr.
• Hysbysu’r Cleient heb oedi gormodol, ac o fewn 48 awr, ar ôl dod yn ymwybodol o achos o dorri diogelwch data personol sy’n effeithio ar Ddata Personol y Cleient, gyda’r wybodaeth sydd ei hangen ar y Cleient i gyflawni ei ddyletswyddau adrodd ei hun.
• Ar ddiwedd y gwasanaethau, dileu neu ddychwelyd Data Personol y Cleient yn ôl dewis y Cleient o fewn 30 diwrnod a dileu copïau presennol, oni bai bod y gyfraith yn ei gwneud yn ofynnol i ni eu cadw.
• Sicrhau bod y wybodaeth sydd ei hangen i ddangos cydymffurfiaeth ar gael a chaniatáu archwiliadau gan y Cleient neu archwilydd y mae’n ei benodi, ar 30 diwrnod o rybudd, o dan gyfrinachedd a dim mwy nag unwaith y flwyddyn oni bai bod achos o dorri diogelwch neu reoleiddiwr yn mynnu hynny.

3. Is-broseswyr

Mae’r Cleient yn rhoi awdurdodiad cyffredinol i’r is-broseswyr a ddisgrifir ar ein tudalen Is-broseswyr; mae’r rhestr gyfredol a enwir ar gael yn y dangosfwrdd cleientiaid ac ar gais. Rydym yn rhoi o leiaf 30 diwrnod o rybudd o is-brosesydd newydd drwy’r rhaglen. Gall y Cleient wrthwynebu ar sail resymol o ran diogelu data; os na allwn ddatrys y gwrthwynebiad, gall y Cleient derfynu’r gwasanaeth yr effeithir arno heb gosb. Rydym yn gosod telerau diogelu data ar bob is-brosesydd nad ydynt yn llai diogelol na’r atodiad hwn ac rydym yn parhau’n gyfrifol am ei berfformiad.

4. Trosglwyddiadau rhyngwladol

Rydym yn trosglwyddo Data Personol y Cleient y tu allan i’r DU dim ond o dan reoliadau digonolrwydd y DU, Estyniad y DU i’r EU-US Data Privacy Framework, International Data Transfer Agreement yr ICO neu Atodiad y DU i Gymalau Contract Safonol yr UE.

Lle mae’r Cleient yn yr AEE, mae trosglwyddiadau i ni’n dibynnu ar benderfyniad digonolrwydd y Comisiwn Ewropeaidd ar gyfer y Deyrnas Unedig; os bydd y penderfyniad hwnnw’n peidio â bod yn gymwys, caiff Cymalau Contract Safonol yr UE (modiwl dau, neu fodiwl tri lle mae’r Cleient yn brosesydd) eu hymgorffori drwy gyfeiriad, gydag Iwerddon fel y gyfraith lywodraethol a’r fforwm ar gyfer y cymalau hynny yn unig. Lle mae’r Cleient yn y Swistir, mae’r un cymalau’n gymwys gyda’r diwygiadau Swisaidd. Ar gyfer marchnadoedd eraill, rydym yn llofnodi’r telerau trosglwyddo y mae cyfraith y Cleient yn eu mynnu, fel contractau safonol o dan KVKK Türkiye neu PIPL Tsieina, ar gais.

5. Data categori arbennig a thargedu sensitif

Rhaid i’r Cleient beidio ag uwchlwytho data categori arbennig (er enghraifft data iechyd), data troseddau na data plant i’r rhaglen, a rhaid iddo beidio â chyfarwyddo targedu sy’n seiliedig ar nodweddion sensitif.

6. Atebolrwydd a hyd

Mae atebolrwydd o dan yr atodiad hwn yn ddarostyngedig i’r terfynau yn y Telerau gwasanaeth. Mae’r atodiad hwn yn para cyhyd ag y byddwn yn prosesu Data Personol y Cleient.

Atodlen 1: Disgrifiad o’r prosesu

• Pwnc a hyd: darparu’r gwasanaethau am dymor y contract a’r cyfnod ymadael o 30 diwrnod.
• Natur a diben: cynllunio a gweithredu ymgyrchoedd, signalau optimeiddio amser real i ymgyrchoedd y Cleient, ffurfweddu mesur a thracio, adrodd a chymorth.
• Gwrthrychau data: defnyddwyr staff y Cleient, a’i ddarpar gwsmeriaid a’i gwsmeriaid fel y’u cynrychiolir mewn data hysbysebu, dadansoddeg a CRM.
• Categorïau data: enwau a manylion cyswllt busnes defnyddwyr y Cleient; dynodwyr ar-lein, data cyswllt wedi’i stwnsio a ddefnyddir ar gyfer paru trosiadau ar blatfformau, metrigau ymgyrch cyfanredol a chamau darpar gwsmeriaid yn y CRM.
• Cadw: fel y nodir yn yr Hysbysiad preifatrwydd ac adran 2.

Atodlen 2: Mesurau technegol a threfniadol

• Dilysu aml-ffactor gorfodol ar gyfer pob cyfrif, gyda chodau adfer untro wedi’u storio fel stwnsh yn unig.
• Mynediad sy’n seiliedig ar rôl ac ar y fraint leiaf i staff, wedi’i adolygu pan fydd rolau’n newid.
• Ynysu rhwng gweithleoedd cleientiaid wedi’i orfodi yn y rhaglen ac ar haen y gronfa ddata.
• Amgryptio wrth drosglwyddo gyda TLS cyfredol ac amgryptio wrth orffwys ar gyfer cronfeydd data, ffeiliau a chopïau wrth gefn.
• Darparu gwasanaeth dosbarthedig, wedi’i amgryptio ar draws mwy na 125 o wledydd.
• Logiau archwilio atodi-yn-unig ar gyfer camau sy’n berthnasol i ddiogelwch.
• Dim storio cyfrineiriau cyfrifon hysbysebu; mynediad dim ond drwy ganiatadau defnyddiwr neu bartner y platfformau.
• Bachau gwe a mewnlifo data wedi’u llofnodi ac wedi’u diogelu rhag ailchwarae.
• Sganio cyfrinachau awtomataidd a phrofion cyn pob rhyddhad.
• Gweithdrefn ymateb i ddigwyddiadau gydag uwchgyfeirio diffiniedig a hysbysu cleientiaid.