Data processing addendum

1. Mga tungkulin at saklaw

Bahagi ng Mga tuntunin ng serbisyo ang addendum na ito. Ang Kliyente ang controller at ang THEFOCUS LTD ang processor para sa personal na data na pinoproseso sa loob ng client workspace, sa mga advertising account, tag manager at analytics ng Kliyente, at sa mga CRM export na ibinigay sa amin ("Client Personal Data"). Inilalarawan ng Annex 1 ang pagproseso. Kung ang Kliyente mismo ay processor para sa ibang controller, kumikilos kami bilang sub-processor nito sa parehong mga tuntunin.

Tinutugunan ng addendum na ito ang Article 28 ng UK GDPR at, kung umiiral, ang Article 28 ng EU GDPR at ang mga probisyon tungkol sa processor ng iba pang batas sa proteksyon ng data sa mga merkadong pinagsisilbihan namin.

2. Ang aming mga obligasyon bilang processor

• Iproseso lamang ang Client Personal Data ayon sa dokumentadong tagubilin ng Kliyente, kabilang ang kontrata at ang paggamit ng Kliyente sa application, maliban kung iba ang hinihingi ng batas. Sa ganoong kaso, ipinapaalam namin sa Kliyente bago ang pagproseso maliban kung ipinagbabawal ito ng batas. Sinasabi namin sa Kliyente kung naniniwala kaming lumalabag sa batas sa proteksyon ng data ang isang tagubilin.
• Tiyaking nakatali sa pagiging kumpidensyal ang lahat ng awtorisadong magproseso nito.
• Ilapat ang mga teknikal at pang-organisasyong hakbang sa Annex 2.
• Gumamit lamang ng mga subprocessor ayon sa nakasaad sa section 3.
• Tulungan ang Kliyente, isinasaalang-alang ang uri ng pagproseso, sa mga kahilingan ng data subject at sa mga obligasyon nito sa seguridad, abiso ng paglabag, impact assessment at paunang konsultasyon sa mga regulator.
• Abisuhan ang Kliyente nang walang hindi makatwirang pagkaantala, at sa loob ng 48 oras, matapos malaman ang isang paglabag sa personal na data na nakaaapekto sa Client Personal Data, kasama ang impormasyong kailangan ng Kliyente para matupad ang sarili nitong mga tungkulin sa pag-uulat.
• Sa pagtatapos ng mga serbisyo, burahin o ibalik ang Client Personal Data ayon sa pinili ng Kliyente sa loob ng 30 araw at burahin ang mga umiiral na kopya, maliban kung hinihingi ng batas na itabi namin ang mga ito.
• Gawing available ang impormasyong kailangan para ipakita ang pagsunod at payagan ang mga audit ng Kliyente o ng auditor na itinalaga nito, na may abisong 30 araw, sa ilalim ng pagiging kumpidensyal at hindi hihigit sa isang beses kada taon maliban kung hinihingi ito ng isang paglabag o ng regulator.

3. Mga subprocessor

Nagbibigay ang Kliyente ng pangkalahatang awtorisasyon sa mga subprocessor na inilalarawan sa aming pahina ng Mga subprocessor; available ang kasalukuyang listahan ng mga pangalan sa client dashboard at kapag hiniling. Nagbibigay kami ng abiso na hindi bababa sa 30 araw tungkol sa bagong subprocessor sa pamamagitan ng application. Maaaring tumutol ang Kliyente batay sa makatwirang dahilan sa proteksyon ng data; kung hindi namin malutas ang pagtutol, maaaring tapusin ng Kliyente ang apektadong serbisyo nang walang multa. Nagpapataw kami sa bawat subprocessor ng mga tuntunin sa proteksyon ng data na hindi mas mababa ang proteksyon kaysa sa addendum na ito at nananatili kaming may pananagutan sa pagganap nito.

4. Mga internasyonal na transfer

Inililipat lamang namin ang Client Personal Data sa labas ng UK sa ilalim ng mga UK adequacy regulation, ng UK Extension to the EU-US Data Privacy Framework, ng ICO International Data Transfer Agreement o ng UK Addendum to the EU Standard Contractual Clauses.

Kung nasa EEA ang Kliyente, nakasandig ang mga transfer sa amin sa adequacy decision ng European Commission para sa United Kingdom; kung titigil ang bisa ng desisyong iyon, isinasama sa pamamagitan ng sanggunian ang EU Standard Contractual Clauses (module two, o module three kung processor ang Kliyente), na ang Ireland ang namamahalang batas at forum para lamang sa mga clause na iyon. Kung nasa Switzerland ang Kliyente, umiiral ang parehong mga clause kasama ang mga amyenda ng Switzerland. Para sa ibang merkado, pinipirmahan namin kapag hiniling ang mga tuntunin sa transfer na hinihingi ng batas ng Kliyente, gaya ng mga standard contract sa ilalim ng KVKK ng Türkiye o PIPL ng China.

5. Special category data at sensitibong targeting

Hindi dapat mag-upload ang Kliyente ng special category data (halimbawa, data sa kalusugan), data tungkol sa krimen o data ng mga bata sa application, at hindi ito dapat mag-utos ng targeting batay sa mga sensitibong katangian.

6. Pananagutan at tagal

Sumasailalim ang pananagutan sa ilalim ng addendum na ito sa mga limitasyon sa Mga tuntunin ng serbisyo. Tumatagal ang addendum na ito hangga't nagpoproseso kami ng Client Personal Data.

Annex 1: Paglalarawan ng pagproseso

• Paksa at tagal: paghahatid ng mga serbisyo para sa termino ng kontrata at sa 30-araw na exit period.
• Uri at layunin: pagpaplano at pagpapatakbo ng campaign, mga real-time na optimisation signal sa mga campaign ng Kliyente, configuration ng measurement at tracking, reporting at suporta.
• Mga data subject: ang mga staff user ng Kliyente, at ang mga prospect at customer nito ayon sa kinakatawan sa data ng advertising, analytics at CRM.
• Mga kategorya ng data: mga pangalan at business contact details ng mga user ng Kliyente; mga online identifier, naka-hash na contact data na ginagamit para sa conversion matching ng platform, pinagsama-samang sukatan ng campaign at mga yugto ng lead sa CRM.
• Pagtatabi: ayon sa nakasaad sa Abiso sa privacy at sa section 2.

Annex 2: Mga teknikal at pang-organisasyong hakbang

• Mandatoryong multi-factor authentication para sa lahat ng account, na may mga single-use na recovery code na itinatabi lamang bilang hash.
• Role-based at least-privilege na access para sa staff, na nirerepaso kapag nagbabago ang mga tungkulin.
• Paghihiwalay sa pagitan ng mga client workspace na ipinapatupad sa application at sa database layer.
• Encryption in transit gamit ang kasalukuyang TLS at encryption at rest para sa mga database, file at backup.
• Distributed at encrypted na paghahatid ng serbisyo sa mahigit 125 bansa.
• Append-only na audit log para sa mga aksyong may kaugnayan sa seguridad.
• Walang pagtatabi ng password ng advertising account; access lamang sa pamamagitan ng user o partner permission ng platform.
• Mga signed at replay-protected na webhook at data ingestion.
• Automated na secret scanning at mga test bago ang bawat release.
• Pamamaraan sa pagtugon sa insidente na may tiyak na escalation at abiso sa kliyente.