Adendum pemprosesan data

1. Peranan dan skop

Adendum ini membentuk sebahagian daripada Terma perkhidmatan. Pelanggan ialah pengawal dan THEFOCUS LTD ialah pemproses bagi data peribadi yang diproses dalam ruang kerja pelanggan, dalam akaun pengiklanan, pengurus teg dan analitik Pelanggan, dan dalam eksport CRM yang diberikan kepada kami ("Data Peribadi Pelanggan"). Lampiran 1 menerangkan pemprosesan tersebut. Jika Pelanggan sendiri ialah pemproses bagi pengawal lain, kami bertindak sebagai subpemprosesnya atas terma yang sama.

Adendum ini memenuhi Perkara 28 UK GDPR dan, jika terpakai, Perkara 28 EU GDPR serta peruntukan pemproses dalam undang-undang perlindungan data lain di pasaran yang kami liputi.

2. Kewajipan kami sebagai pemproses

• Memproses Data Peribadi Pelanggan hanya atas arahan Pelanggan yang didokumenkan, termasuk kontrak dan penggunaan aplikasi oleh Pelanggan, melainkan undang-undang menghendaki sebaliknya. Dalam keadaan itu, kami memaklumkan Pelanggan sebelum pemprosesan melainkan undang-undang melarangnya. Kami memaklumkan Pelanggan jika kami percaya sesuatu arahan melanggar undang-undang perlindungan data.
• Memastikan setiap orang yang diberi kuasa untuk memprosesnya terikat dengan kerahsiaan.
• Menerapkan langkah teknikal dan organisasi dalam Lampiran 2.
• Menggunakan subpemproses hanya seperti yang dinyatakan dalam seksyen 3.
• Membantu Pelanggan, dengan mengambil kira sifat pemprosesan, berkenaan permintaan subjek data dan kewajipannya mengenai keselamatan, pemberitahuan pelanggaran, penilaian impak dan rundingan awal dengan pengawal selia.
• Memaklumkan Pelanggan tanpa kelewatan yang tidak wajar, dan dalam tempoh 48 jam, selepas mengetahui tentang pelanggaran data peribadi yang menjejaskan Data Peribadi Pelanggan, dengan maklumat yang diperlukan oleh Pelanggan untuk memenuhi kewajipan pelaporannya sendiri.
• Pada akhir perkhidmatan, memadam atau memulangkan Data Peribadi Pelanggan mengikut pilihan Pelanggan dalam tempoh 30 hari dan memadam salinan sedia ada, melainkan undang-undang menghendaki kami menyimpannya.
• Menyediakan maklumat yang diperlukan untuk menunjukkan pematuhan dan membenarkan audit oleh Pelanggan atau juruaudit yang dilantiknya, dengan notis 30 hari, tertakluk pada kerahsiaan dan tidak lebih daripada sekali setahun melainkan pelanggaran atau pengawal selia menghendakinya.

3. Subpemproses

Pelanggan memberikan kebenaran am kepada subpemproses yang diterangkan di halaman Subpemproses kami; senarai nama semasa tersedia dalam papan pemuka pelanggan dan atas permintaan. Kami memberikan notis sekurang-kurangnya 30 hari tentang subpemproses baharu melalui aplikasi. Pelanggan boleh membantah atas alasan perlindungan data yang munasabah; jika kami tidak dapat menyelesaikan bantahan itu, Pelanggan boleh menamatkan perkhidmatan yang terjejas tanpa penalti. Kami mengenakan terma perlindungan data ke atas setiap subpemproses yang tidak kurang perlindungannya berbanding adendum ini dan kekal bertanggungjawab atas prestasinya.

4. Pemindahan antarabangsa

Kami memindahkan Data Peribadi Pelanggan ke luar UK hanya di bawah peraturan kecukupan UK, UK Extension to the EU-US Data Privacy Framework, ICO International Data Transfer Agreement atau UK Addendum to the EU Standard Contractual Clauses.

Jika Pelanggan berada di EEA, pemindahan kepada kami bergantung pada keputusan kecukupan Suruhanjaya Eropah bagi United Kingdom; jika keputusan itu tidak lagi terpakai, EU Standard Contractual Clauses (modul dua, atau modul tiga jika Pelanggan ialah pemproses) diperbadankan melalui rujukan, dengan Ireland sebagai undang-undang yang mengawal dan forum bagi klausa tersebut sahaja. Jika Pelanggan berada di Switzerland, klausa yang sama terpakai dengan pindaan Switzerland. Bagi pasaran lain, kami menandatangani terma pemindahan yang dikehendaki oleh undang-undang Pelanggan, seperti kontrak standard di bawah KVKK Türkiye atau PIPL China, atas permintaan.

5. Data kategori khas dan penyasaran sensitif

Pelanggan tidak boleh memuat naik data kategori khas (contohnya data kesihatan), data kesalahan jenayah atau data kanak-kanak ke dalam aplikasi, dan tidak boleh mengarahkan penyasaran berdasarkan ciri sensitif.

6. Liabiliti dan tempoh

Liabiliti di bawah adendum ini tertakluk pada had dalam Terma perkhidmatan. Adendum ini berkuat kuasa selagi kami memproses Data Peribadi Pelanggan.

Lampiran 1: Penerangan pemprosesan

• Perkara pokok dan tempoh: penyampaian perkhidmatan bagi tempoh kontrak dan tempoh keluar 30 hari.
• Sifat dan tujuan: perancangan dan operasi kempen, isyarat pengoptimuman masa nyata kepada kempen Pelanggan, konfigurasi pengukuran dan penjejakan, pelaporan dan sokongan.
• Subjek data: pengguna kakitangan Pelanggan, serta bakal pelanggan dan pelanggannya seperti yang diwakili dalam data pengiklanan, analitik dan CRM.
• Kategori data: nama dan butiran hubungan perniagaan pengguna Pelanggan; pengecam dalam talian, data hubungan yang dicincang yang digunakan untuk padanan penukaran platform, metrik kempen agregat dan peringkat prospek CRM.
• Penyimpanan: seperti yang dinyatakan dalam Notis privasi dan seksyen 2.

Lampiran 2: Langkah teknikal dan organisasi

• Pengesahan berbilang faktor mandatori untuk semua akaun, dengan kod pemulihan sekali guna yang disimpan hanya sebagai cincangan.
• Akses kakitangan berasaskan peranan dan keistimewaan minimum, disemak apabila peranan berubah.
• Pengasingan antara ruang kerja pelanggan yang dikuatkuasakan dalam aplikasi dan di lapisan pangkalan data.
• Penyulitan semasa transit dengan TLS semasa dan penyulitan semasa rehat untuk pangkalan data, fail dan sandaran.
• Penyampaian perkhidmatan yang teragih dan disulitkan merentas lebih daripada 125 negara.
• Log audit tambah sahaja untuk tindakan berkaitan keselamatan.
• Tiada penyimpanan kata laluan akaun pengiklanan; akses hanya melalui kebenaran pengguna atau rakan kongsi platform.
• Webhook dan pengingesan data yang ditandatangani dan dilindungi daripada main semula.
• Imbasan rahsia automatik dan ujian sebelum setiap keluaran.
• Prosedur tindak balas insiden dengan peningkatan dan pemberitahuan pelanggan yang ditetapkan.