Veri İşleme Eki

Bu Veri İşleme Eki ("DPA"), SharpSpring Ads'in ayrılmaz bir parçasını oluşturur ve atıfta bulunur. Kullanım Koşulları ( "Kullanım Şartları") ve Hizmet Şartları'nın kabulü üzerine yürürlüğe girer. Bu DPA'da kullanılan terimler, burada belirtilen anlamlara sahip olacaktır. Başka türlü tanımlanmayan büyük harfle yazılmış terimler, Hizmet Koşullarında kendilerine verilen anlamı taşıyacaktır. Aşağıda değiştirilmedikçe, Hizmet Şartlarında belirtilen şartlar tam olarak yürürlükte kalacaktır. Burada belirtilen karşılıklı yükümlülükler göz önünde bulundurulduğunda taraflar, aşağıda belirtilen hüküm ve koşulların Hizmet Şartlarına DPA olarak ekleneceğini kabul ederler.

1. Veri Koruma.

1.1 Tanımlar:

(A) "Kontrolör", "işlemci", "Veri konusu", ve "işleme"; (ve "Süreç") Geçerli Veri Koruma Kanununda verilen anlamlara sahip olacaktır.
(B) "Geçerli Veri Koruma Yasası" şu anlama gelir: (i) 25 Mayıs 2018'den önce, kişisel verilerin işlenmesine ilişkin bireylerin korunması ve bu tür verilerin serbest dolaşımı hakkındaki Avrupa Parlamentosu ve Konsey Direktifi 95/46 / EC; ve (ii) 25 Mayıs 2018 ve sonrasında, Avrupa Parlamentosu ve Konseyi'nin kişisel verilerin işlenmesine ve bu tür verilerin serbest dolaşımına ilişkin gerçek kişilerin korunmasına ilişkin 2016/679 sayılı Yönetmeliği ve 95 sayılı Direktifi yürürlükten kaldıran / 46 / EC (Genel Veri Koruma Yönetmeliği).
(C) "Kişisel veri" kimliği belirli veya belirlenebilir bir gerçek kişiyle ilgili herhangi bir veri anlamına gelir; Tanımlanabilir bir kişi, özellikle bir kimlik numarasına veya fiziksel, fizyolojik, zihinsel, ekonomik, kültürel veya sosyal kimliğine özgü bir veya daha fazla faktöre atıfta bulunularak doğrudan veya dolaylı olarak tanımlanabilen kişidir.

1.2 Tarafların ilişkileri: Sen ( "Kontrolör") SharpSpring Ads'i, Hizmet Koşullarında ve DPA'sında açıklanan Kişisel Verileri işlemek için bir işlemci olarak atamak. Tarafların her biri, bu DPA'ya ve Geçerli Veri Koruma Yasası kapsamında kendisi için geçerli olan tüm yükümlülüklere uyacaktır.

1.3 Yasaklanmış veriler: Herhangi bir özel Kişisel Veri kategorisini işlenmek üzere SharpSpring Reklamlarına ifşa etmeyeceksiniz (ve herhangi bir verinin ifşa edilmesine izin vermeyeceksiniz).

1.4 Amaç sınırlaması: SharpSpring Ads, Kişisel Verileri, Hizmet Koşulları kapsamındaki yükümlülüklerini yerine getirmek için gerektiği şekilde ve / veya kesinlikle belgelenmiş talimatlarınıza uygun olarak bir işlemci olarak işleyecektir ( "İzin Verilen Amaç").

1.5 Uluslararası transferler: SharpSpring Ads, aktarımın Geçerli Veri Koruma Yasasına uygun olmasını sağlamak için gerekli önlemleri almadığı sürece Kişisel Verileri Avrupa Bölgeleri dışına aktarmayacaktır (veya Kişisel Verilerin aktarılmasına izin vermeyecektir). Bu tür önlemler, Kişisel Verilerin, Avrupa Komisyonu'nun kişisel veriler için yeterli koruma sağladığına karar verdiği bir ülkedeki bir alıcıya, Geçerli Veri Koruma Yasası uyarınca bağlayıcı kurumsal kural yetkisini almış bir alıcıya aktarılmasını (bunlarla sınırlı olmamak üzere) içerebilir. AB-ABD Gizlilik Kalkanı sertifika programına katılan bir alıcı veya Avrupa Komisyonu tarafından benimsenen veya onaylanan standart sözleşme hükümlerini uygulayan bir alıcı.

1.6 İşlemenin gizliliği: SharpSpring Ads, Kişisel Verileri işleme yetkisi verdiği herhangi bir kişinin (SharpSpring Ads personeli, aracıları ve alt yüklenicileri dahil) "Yetkili kişi") sıkı bir gizlilik yükümlülüğüne (ister sözleşmeye bağlı bir görev ister yasal bir yükümlülük olsun) tabi olacak ve bu tür bir gizlilik yükümlülüğü altında olmayan hiç kimsenin Kişisel Verileri işlemesine izin vermeyecektir.

1.7 Güvenlik: SharpSpring Ads, Kişisel Verileri (i) yanlışlıkla veya yasadışı imhadan ve (ii) Kişisel Verilerin kaybolması, değiştirilmesi, yetkisiz ifşası veya bunlara erişim (a "Güvenlik Olayı").

1.8 Taşeronluk: SharpSpring Ads'in üçüncü taraf alt işlemcilerle Kişisel Verileri İzin Verilen Amaç için işlemesi için izin vermiş olursunuz: (i) SharpSpring Ads, talep üzerine size sağlanacak ve ayrıntılarla güncelleyeceği alt işlemcilerinin güncel bir listesini tutar. bir alt işlemcinin atanmasından veya değiştirilmesinden makul bir süre önce önerilen herhangi bir değişiklik; (ii) SharpSpring Ads, Kişisel Verileri Geçerli Veri Koruma Yasası ve bu DPA'nın gerektirdiği standarda göre korumasını gerektiren herhangi bir alt işlemciye veri koruma şartları uygular; ve (iii) SharpSpring Ads, alt işlemcisinin bir eylemi, hatası veya ihmalinden kaynaklanan bu hükmün herhangi bir ihlalinden sorumlu olmaya devam eder. Onaylı alt işlemcilerin bir listesi eklenmiştir Çizelge A. SharpSpring Ads'in atanmasından veya değiştirilmesinden önce bir alt işlemcinin atanmasına veya değiştirilmesine, söz konusu itirazın veri korumayla ilgili makul gerekçelere dayanması koşuluyla itiraz edebilirsiniz. Böyle bir durumda, SharpSpring Reklamları alt işlemciyi atamayacak veya değiştirmeyecektir veya bu mümkün değilse, 30 gün yazılı olarak Hizmet Koşullarını (askıya alma veya fesih öncesinde tarafınızdan yapılan herhangi bir ücrete halel getirmeksizin) askıya alabilir veya feshedebilirsiniz. SharpSpring Reklamlarına bildirim.

1.9 İşbirliği ve veri konularının hakları: SharpSpring Ads, aşağıdakilere yanıt verebilmeniz için (masrafları size ait olmak üzere) size makul ve zamanında tüm yardımı (uygun teknik ve organizasyonel önlemler dahil olmak üzere) sağlayacaktır: (i) Uygulanabilir Veriler kapsamındaki herhangi bir haklarından herhangi birini kullanmak için herhangi bir talep Koruma Yasası (uygun olduğu şekilde erişim, düzeltme, itiraz, silme ve veri taşınabilirliği hakları dahil); ve (ii) Kişisel Verilerin işlenmesiyle bağlantılı olarak bir veri öznesi, düzenleyici veya başka bir üçüncü taraftan alınan diğer her türlü yazışma, soruşturma veya şikayet. Bu tür herhangi bir talep, yazışma, soruşturma veya şikayetin doğrudan SharpSpring Reklamlarına yapılması durumunda, SharpSpring Reklamları derhal aynı konuyla ilgili tüm ayrıntıları sağlayarak sizi bilgilendirecektir.

1.10 Veri Koruma Etki Değerlendirmesi: SharpSpring Ads, Geçerli Veri Koruma Yasası kapsamında yürütmeniz gerekebilecek herhangi bir veri koruma etki değerlendirmesi ile bağlantılı olarak size (masrafları size ait olmak üzere) makul bir işbirliği sağlayacaktır.

1.11 Güvenlik olayları: Bir Güvenlik Olayının farkına vardıktan sonra, SharpSpring Ads sizi gecikmeksizin bilgilendirecek ve veri ihlali raporlama yükümlülüklerini yerine getirebilmeniz için ihtiyaç duyabileceğiniz tüm bilgileri ve işbirliğini sağlayacaktır. ) Geçerli Veri Koruma Yasası. SharpSpring Ads, Güvenlik Olayının etkilerini gidermek veya hafifletmek için gerekli tüm önlemleri ve eylemleri ayrıca alacak ve sizi Güvenlik Olayı ile ilgili tüm gelişmeler hakkında güncel tutacaktır.

1.12 Kişisel Verilerin silinmesi veya iade edilmesi: Hizmet Koşullarının feshedilmesi veya sona ermesi üzerine, SharpSpring Reklamları (sizin seçiminize göre) sahip olduğu veya kontrolündeki tüm Kişisel Verileri (işleme için üçüncü bir tarafa verilen Kişisel Veriler dahil olmak üzere) imha edecek veya size iade edecektir. Bu gereklilik, SharpSpring Ads'in Kişisel Verilerin bir kısmını veya tamamını saklaması için herhangi bir AB (veya herhangi bir AB Üye Devleti) yasasının gerektirdiği ölçüde geçerli olmayacaktır; bu durumda, SharpSpring Ads Kişisel Verileri daha fazla işlemden ayıracak ve koruyacaktır. böyle bir yasanın gerektirdiği kapsam dışında.

1.13 Denetim: SharpSpring Ads, size (veya atadığınız üçüncü taraf denetçilerine) SharpSpring Ads'in bu DPA'ya uygunluğunu denetleme izni verecek ve sizin (veya üçüncü taraf denetçilerinizin) bu tür bir denetimi gerçekleştirmesi için makul olarak gerekli tüm bilgileri, sistemleri ve personeli size sunacaktır. SharpSpring Ads, sizin (veya üçüncü taraf denetçilerinizin) denetleme niyetinizi makul bir süre önceden bildirmeniz, normal iş saatleri içinde denetlemenizi gerçekleştirmeniz ve tüm makul önlemleri almanız koşuluyla, bu denetimin gerçekleştirilmesi amacıyla tesislerine girebileceğinizi kabul eder. SharpSpring Ads'in işlemlerinde gereksiz kesintileri önlemek için. (İ) Yetkili bir veri koruma otoritesinin talimatının gerektirmesi ve gerektirmesi dışında, herhangi bir 12 takvim ayı içinde denetim haklarınızı birden fazla kez kullanmayacaksınız; veya (ii) bir Güvenlik Olayı nedeniyle daha ileri bir denetimin gerekli olduğuna inanıyorsanız.

Çizelge A: Standart Sözleşme Maddelerine Ek 1

Veri aktarıcı

Hizmet Koşulları kapsamında hizmet alan verileri dışa aktaran kişi sizsiniz.

Veri alıcısı

Veri alıcısı, Hizmet Şartları kapsamında hizmetler sunan ve müşterilerinin reklam bütçelerini ve gelirlerini ölçmeyi, yönetmeyi ve optimize etmeyi amaçlayan bir hizmet internet üzerinden erişilebilen reklam analizi sağlayıcısı bir yazılımdır.

Veri konuları

Aktarılan Kişisel Veriler, aşağıdaki veri konusu kategorileri ile ilgilidir: (i) veri aktarıcısının web sitesine erişen ve / veya veri aktarıcısının çevrimiçi hizmetlerini kullanan internet kullanıcıları; (ii) SharpSpring Ads uygulamasının yetkili kullanıcıları; ve / veya (iii) veri aktarıcısının olası ve mevcut müşterileri.

Veri kategorileri

Aktarılan Kişisel Veriler şunları içerir: (i) Sipariş Kimliği; (ii) Ürün Kimliği; (iii) Para Birimi Kodu; (iv) Ürün Kategorisi; (v) Ürün Birim Fiyatı; (vi) Dönüşüm Türü; (vii) Kullanıcı aracısı; (viii) Başvuruda bulunma; ve (ix) Yerinde davranış (sayfa tıklamaları).

SharpSpring Reklamları uygulaması kullanıcıları için, aktarılan Kişisel Veriler aşağıdakileri içerebilir: (i) E-posta adresi; (ii) ad ve soyadı; (iii) telefon numarası; (iv) istihdam posta adresi; (v) kredi kartı bilgileri; ve (vi) banka detayları.

Özel veri kategorileri (uygunsa)

Aktarılan Kişisel Veriler, aşağıdaki özel veri kategorileriyle ilgilidir: Yok.

İşleme operasyonları

Aşağıdaki işleme operasyonları aşağıdaki şekilde geçerlidir:

Veri aktarıcısı, SharpSpring Ads izleme pikseli (çerez) aracılığıyla verileri toplar. Bu çerez, verilerin toplanması için veri alıcısı tarafından veri alıcısının web sitelerine yerleştirilir. Bu veriler, veri aktarıcısı tarafından Dublin İrlanda, Kaliforniya ABD, Virginia ABD ve Singapur'da bulunan veri merkezlerinde saklanır ve işlenir. Veri aktarıcısı tarafından işlenen Kişisel Veriler, İnternet'teki reklam mülklerine teklif vermek için veri alıcısı adına belirli Reklam Borsaları ile paylaşılabilir. Verileri alan taraf, Hizmet Şartları kapsamında aşağıdaki varlıkları alt işlemciler olarak kullanır:

• Salesforce Incorporated - https://www.salesforce.com/company/privacy/full_privacy/
• Marketo Inc. - https://documents.marketo.com/legal/privacy/
• Amazon Web Hizmetleri - https://aws.amazon.com/privacy/

• Google - https://gsuite.google.com/security/ & https://policies.google.com/privacy?hl=en
• Mixpanel - https://mixpanel.com/legal/privacy-policy/
• İnterkom - https://www.intercom.com/terms-and-policies
• Mailgun - https://www.mailgun.com/gdpr
• MongoHQ - https://www.mongodb.com/cloud/compliance
• OpenRedis - https://openredis.com/privacy
• Heroku - https://www.heroku.com/policy/security

Çizelge A: Standart Sözleşme Maddelerine Ek 2

Veri alıcısı tarafından Madde 4 (d) ve 5 (c) (veya ekli belge / mevzuat) uyarınca uygulanan teknik ve organizasyonel güvenlik önlemlerinin açıklaması:

1. Yetkisiz kişilerin, aktarılan verilerin işlendiği veya kullanıldığı veri işleme sistemlerine erişiminin engellenmesi (fiziksel erişim kontrolü):
   1. SharpSpring Ads, ortak yerleşim tesisi ortaklarının fiziksel erişimi önceden yetkilendirme ve resim kimliği olanlara kısıtlamasını gerektirir. SharpSpring Ads'in veri merkezi, SSAE No. 16 denetimli bir Seviye IV Altın tesisinde aynı yerde bulunmaktadır. Sadece SharpSpring Ads tarafından yetkilendirilen kişiler SharpSpring Ads'in ekipmanına erişebilir. SharpSpring Ads, sağlayıcılarının SharpSpring Ads hizmet taleplerinin doğrulanmasını zorunlu kılmasını gerektirir; sağlayıcılar, SharpSpring Ads'ten yazılı talimatlar olmaksızın SharpSpring Ads'in sistemlerine herhangi bir erişim sağlamaya çalışamazlar. Bunun ötesinde, klavyeler, ekranlar ve ağ izleme sistemleri dahil olmak üzere SharpSpring Ads sistemlerine hiçbir harici fiziksel bağlantıya izin verilmez.
2. Veri işleme sistemlerinin izinsiz kullanılması engellenir (mantıksal erişim kontrolü):
   1. Veri işleme sistemlerinin yetkisiz kullanımı engellenmektedir. SharpSpring Ads sunucularına yönetim erişimi, verilerin eğitimli ve yetkili üyeleriyle sınırlıdır
      ithalatçı personeli. SharpSpring Ads uygulamasına yönetim erişimi, veri aktarıcısı tarafından, bilinmesi gereken bir temelde yetkili kişilere sıkı bir şekilde kontrol edilir. Uzaktan yönetim erişimi yalnızca kriptografik olarak güvenli bağlantılar aracılığıyla kullanılabilir.
   2. Veri alıcısı, tüm kurumsal bilgi işlem varlıklarına erişim için güçlü bir parola politikası ve iki faktörlü kimlik doğrulama kullanır. Veri alıcısının kurumsal ağlarına uzaktan erişim, güvenli VPN aracılığıyladır. Veri alıcısı, tüm verileri güvenlik duvarlarının arkasında depolar ve yetkisiz erişimi tespit etmek için gelişmiş uyarı sistemleri kullanır. Veri alıcısının uygulamaları ve kurumsal sistemleri için tüm erişim girişimleri günlüğe kaydedilir.
3. Kişisel veri işleme sistemini kullanma hakkına sahip kişiler, yalnızca erişim haklarına uygun olarak erişme hakkına sahip oldukları ve işlenme veya kullanım sırasında ve saklama sonrasında kişisel verilerin okunamayacağı, kopyalanamayacağı, bu tür verilere erişebilecekleri, yetkisiz olarak değiştirilmiş veya silinmiş (veri erişim kontrolü):
   1. Veri alıcısı, SharpSpring Ads uygulamalarına ve üçüncü taraf müşteri ilişkileri yönetimi yazılımına ("CRM") erişim sağlarken rol tabanlı bir provizyon süreci kullanır. SharpSpring Ads uygulamalarında ve CRM'de yalnızca "bilmesi gereken" temeli olan kişilere müşteri verilerine erişim izni verilir.
   2. Veri alıcısı, tüm personel için sıkı bir arka plan kontrolü süreci ve erişimi iptal etmek için sıkı bir şekilde kontrol edilen bir sonlandırma süreci sürdürür. Kurumsal sistemler için kullanıcı yetkilendirmesi yılda iki kez gözden geçirilir. Veri aktarıcısının müşterileri, SharpSpring Reklam uygulamalarında kullanıcıları için kullanıcı temel hazırlığını kontrol eder.
4. Kişisel veriler, elektronik iletim, taşıma veya depolama ortamında saklama sırasında yetkisiz okunamaz, kopyalanamaz, değiştirilemez veya silinemez ve veri aktarım olanaklarıyla kişisel verilerin hangi kuruluşlara aktarılmasının öngörüldüğünü kontrol etmek ve belirlemek mümkündür. (iletim kontrolü):
   1. Elektronik iletim, taşıma veya saklama sırasında kişisel veriler izin alınmadan okunamaz, kopyalanamaz, değiştirilemez veya kaldırılamaz. SharpSpring Ads uygulamalarındaki tüm kişisel veriler güvenli güvenlik duvarlarının arkasında korunur ve veri depolamaya tüm erişim SharpSpring Ads uygulamalarında ve sunucu günlüklerinde kaydedilir. SharpSpring Ads, herhangi bir yetkisiz erişime karşı uyarılar sağlamak için uyarı yazılımı kullanır. SharpSpring Ads uygulamasına giriş kimlik bilgileri depoda hash edilir ve iletim sırasında şifrelenir.
5. Kişisel verilerin veri işleme sistemlerine girilip girilmediğini, değiştirilip değiştirilmediğini veya buradan çıkarıldığını kontrol etmek ve belirlemek mümkündür. (giriş kontrolü):
   1. Kişisel verilerin işlenip işlenmediğini, bunlara erişilip erişilmediğini veya değiştirilip değiştirilmediğini geriye dönük olarak incelemek ve belirlemek mümkündür. SharpSpring Ads uygulamaları ve CRM sistemleri, verilere ne zaman erişildiğini, değiştirildiğini veya silindiğini belirleyen sağlam günlük kaydı özellikleri içerir. Verileri alan taraf ve müşterileri bu günlükleri düzenli olarak gözden geçirir.
6. Görevlendirilen işleme esas alınarak işlenen kişisel veriler, kesinlikle veri sorumlusunun talimatlarına uygun olarak işlenir. (iş kontrolü):
   1. Verileri alan taraf, kişisel verileri, taraflar arasındaki geçerli hizmetler sözleşmesinde açıklandığı şekilde yalnızca veri aktarıcısının talimatlarına göre işler.
7. Kişisel veriler kazara imha veya kayba karşı korunur (kullanılabilirlik kontrolü):
   1. Verileri alan taraf, kişisel verilerin yanlışlıkla kaybolmasını önlemek için uygun ve düzenli yedekleme prosedürlerini günlük olarak sürdürür. Veriler gün boyunca düzenli aralıklarla yedeklenir ve her eksiksiz veri yedeklemesi 24 saatte bir gerçekleştirilir.