Дополнение к обработке данных

Этот Дополнительный документ по обработке данных Shoprocket ("Дополнение") изменяет Условия и положения Shoprocket ("Соглашение"), заключенные между вами ("Вы") и Shoprocket LTD (номер компании 12656598, зарегистрированной в Англии и Уэльсе по адресу: 20-22 Wenlock Road, London, NG 17U). Если у вас есть отдельное Соглашение об уровне обслуживания (SLA) с Shoprocket, ссылки на Соглашение означают это SLA. Это Дополнение подлежит применению и включено в Соглашение. Любой термин с заглавной буквы, не определенный здесь, имеет значение, указанное в Соглашении.

Определения

• Настройки аккаунта: Конфигурации вашего аккаунта Shoprocket (включая безопасность), которые позволяют вам управлять тем, как Shoprocket обрабатывает Персональные данные.

• Коммерческие цели: Услуги, определенные в Соглашении.

• Данные аккаунта клиента: Персональные данные о ваших отношениях с Shoprocket (например, уполномоченные контакты, данные для выставления счетов), а также информация, которую Shoprocket собирает для управления аккаунтом, проверки личности или выполнения юридических требований.

• Данные об использовании клиентом: Данные об использовании, обрабатываемые Shoprocket в связи с вашим использованием Услуг (например, журналы, метрики производительности, данные для предотвращения злоупотреблений).

• Законодательство о защите данных: Включает CCPA, GDPR ЕС, Федеральный закон Швейцарии о защите данных, GDPR Великобритании, DPA 2018 и PECR 2003, с последующими изменениями. Термины (например, "Контроллер данных", "Обработчик данных") следуют GDPR ЕС.

• ЕЭП: Европейская экономическая зона.

• EU SCCs: Стандартные контрактные положения согласно Решению Комиссии 2021/914.

• Передача вне ЕЭП: Передача Персональных данных (по GDPR ЕС) за пределы ЕЭП без решения о адекватности согласно статье 45 GDPR ЕС.

• Передача вне Великобритании: Передача Персональных данных (по GDPR Великобритании) за пределы Великобритании без решения о адекватности со стороны государственного секретаря Великобритании.

• Поставщик услуг: Как определено в CCPA.

• Услуги: Инструменты Shoprocket для создания/управления интернет-магазинами ("Магазин Shoprocket"), обработки продуктов, платежей, доставки, маркетинга и любых других инструментов или услуг, которые может предложить Shoprocket.

• Аккаунт Shoprocket: Ваш аккаунт, предоставляющий доступ к Услугам, включая Настройки аккаунта, по адресу https://www.shoprocket.io.

• Политика конфиденциальности Shoprocket: Уведомление по адресу https://shoprocket.io/privacy, с последующими изменениями.

• Магазин Shoprocket: Ваш сайт электронной коммерции, размещенный или поддерживаемый Shoprocket.

• Данные специальной категории: Как определено в статьях 4(13), 4(14), 4(15) и 9 GDPR ЕС/Великобритании (в зависимости от ситуации).

• Стандартные контрактные положения (SCCs): EU SCCs и UK SCCs, в зависимости от актуальности.

• UK SCCs: EU SCCs, измененные Дополнением IDTA ICO Великобритании.

• Мы/Нас/Наш: Shoprocket LTD (включая "Shoprocket" и "Shoprocket.io").

• Вы/Ваш: Договорная сторона, указанная в Соглашении.

Инструкции клиента

Это Дополнение и Соглашение (включая инструкции в ваших Настройках аккаунта) составляют Документированные инструкции о том, как Shoprocket обрабатывает Персональные данные. Shoprocket будет обрабатывать Персональные данные только в соответствии с инструкциями. Дополнительные инструкции за пределами этих условий требуют предварительного письменного согласия (и могут повлечь за собой дополнительные сборы).

Shoprocket может прекратить действие этого Дополнения и Соглашения, если ваши инструкции противоречат Законодательству о защите данных или отклоняются от согласованных инструкций. Учитывая характер обработки, Shoprocket в целом не может судить, нарушают ли ваши инструкции закон; если оно сформирует такое мнение, оно уведомит вас, и вы можете изменить или отозвать инструкции.

Обработка данных

1. Обработка Shoprocket

   • Обработчик данных/Поставщик услуг: За исключением Данных аккаунта клиента и Данных об использовании клиентом, Shoprocket обрабатывает Персональные данные (по GDPR ЕС/Великобритании) или личную информацию (по CCPA) от вашего имени.

   • Независимый контроллер данных: Shoprocket является Контроллером данных для Персональных данных, собранных непосредственно от клиентов Магазина и для Данных аккаунта клиента или Данных об использовании клиентом.

2. Хранение

   • Персональные данные хранятся на:

     1. Серверах AWS в Ирландии (или других регионах ЕЭП),

     2. Серверах Hetzner в Нюрнберге/Фалькенштейне (Германия).

3. Объем и цель

   • Shoprocket обрабатывает Персональные данные только в той мере, в какой это необходимо для Коммерческих целей, указанных вами (в соответствии с приобретенными Услугами), и в соответствии с Законодательством о защите данных.

   • Если это требуется по закону обрабатывать иначе, Shoprocket уведомит вас, если это не запрещено законом.

   • Shoprocket быстро выполняет ваши письменные инструкции по изменению, передаче или удалению Персональных данных или останавливает несанкционированную обработку.

   • Shoprocket сохраняет конфиденциальность Персональных данных, если раскрытие не авторизовано или юридически требуется.

   • Shoprocket помогает вам выполнять ваши обязательства по соблюдению (например, запросы субъектов данных, DPIA) без дополнительных затрат.

   • Shoprocket уведомляет вас о правовых изменениях, которые могут повлиять на Соглашение или это Дополнение.

4. Shoprocket как независимый контроллер данных

   • Что касается Данных аккаунта клиента и Данных об использовании клиентом, Shoprocket не является совместным контроллером, но обрабатывает эти данные для управления своими отношениями с вами, предотвращения мошенничества/инцидентов безопасности, выполнения юридических обязательств и т.д., в соответствии с Политикой конфиденциальности Shoprocket.

5. CCPA

   • За исключением Данных аккаунта клиента и Данных об использовании клиентом, Shoprocket является вашим Поставщиком услуг в соответствии с CCPA; он не будет "продавать" такую личную информацию и использует ее только для выполнения Услуг или в соответствии с разрешениями закона.

6. Дополнения

   • Вы можете интегрировать сторонние дополнения ("Дополнения") на отдельных EULA с каждым издателем. Shoprocket передает необходимые Персональные данные Издателю Дополнения, но не несет ответственность за их обработку. Текущие Дополнения, рекламируемые Shoprocket, включают:

     • Amazon, eBay, Facebook Marketplace, Google Shopping, Instagram Shopping: Мультиканальное выполнение и синхронизация.

     • Affirm, Afterpay, Alipay, Apple Pay, Click to Pay, GrabPay, GooglePay, iDEAL, Klarna, Microsoft Pay, PayPal, P24, Sofort, Stripe, WeChat Pay: Интеграции платежей, поддерживающие различные методы/валюты.

     • Zapier: Автоматизирует передачу данных/рабочие процессы между Shoprocket и другими приложениями.

   • Если у Shoprocket и у вас есть SCCs, ваша инструкция по интеграции Дополнений считается согласием на передачу Персональных данных этим Издателям Дополнений, если это требуется SCCs.

7. Ваши обязанности

   • Вы являетесь Контролером данных для любых Персональных данных, собранных или обработанных Shoprocket от вашего имени.

   • Вы несете ответственность за выполнение требований уведомлений/согласий и обеспечение соблюдения Законодательства о защите данных.

Типы Персональных данных и цели обработки

• Объект: Персональные данные, которые вы загружаете в Услуги, включая ваш аккаунт Shoprocket или Магазин.

• Срок: Определяется вами (до тех пор, пока вы не приостановите/расторгнете подписку на Shoprocket или соответствующие интеграции).

• Цель: Предоставление Услуг по вашей инструкции (например, управление вашим Магазином/Аккаунтом Shoprocket).

• Природа обработки: Платформа электронной коммерции Shoprocket (и любые субподрядчики/Издатели Дополнений) могут хранить или обрабатывать Персональные данные.

• Типы Персональных данных: Данные, которые вы загружаете (например, контактная информация, данные клиентов, записи транзакций).

• Субъекты данных: Вы, ваши клиенты, сотрудники, подрядчики, агенты, поставщики или торговые партнёры.

Безопасность обработки данных

Shoprocket будет поддерживать соответствующие технические и организационные меры для защиты Персональных данных от несанкционированной или незаконной обработки, случайной потери или уничтожения в соответствии с статьей 32 GDPR ЕС/Великобритании. Меры включают (по мере необходимости):

• Псевдонимизация/шифрование данных;

• Обеспечение конфиденциальности, целостности, доступности и устойчивости систем;

• Восстановление доступности данных в кратчайшие сроки после инцидентов;

• Регулярное тестирование, оценка и оценка этих мер.

Сотрудники Shoprocket

• Shoprocket обеспечивает, чтобы сотрудники, подрядчики и агенты, обрабатывающие Персональные данные, были обучены, связаны конфиденциальностью и полностью осведомлены о своих обязательствах по защите данных.

Безопасность (переписано)

• Shoprocket постоянно обновляет технические/организационные меры защиты, чтобы предотвратить несанкционированную обработку, включая шифрование, устойчивость систем, восстановимость и тестирование эффективности.

Нарушение Персональных данных

1. Уведомление

   • Shoprocket уведомляет вас в течение 72 часов (и без ненужной задержки), если он узнает о:

     1. Потере/ущербе Персональных данных;

     2. Любой случайной, несанкционированной или незаконной обработке;

     3. Нарушении Персональных данных.

2. Информация

   • Shoprocket предоставляет описание инцидента, затронутые категории/число данных и меры, принятые или предложенные для смягчения последствий.

3. Сотрудничество

   • Shoprocket координирует с вами расследование и не будет информировать третьи стороны без вашего письменного согласия, если это не требуется законом.

4. Расходы

   • Shoprocket покрывает разумные расходы по этим обязательствам, если инцидент возник из-за ваших инструкций, неосторожности или нарушения, в этом случае вы покрываете разумные расходы Shoprocket (включая профессиональных консультантов).

Субподрядчики

Shoprocket в настоящее время использует следующих Субподрядчиков для хостинга/обработки данных, инфраструктурных/сетевых услуг или других сервисных функций:

Вы уполномочиваете Shoprocket использовать вышеуказанных Субподрядчиков и даете общее разрешение для Shoprocket добавлять других ("Уполномоченные Субподрядчики"). Shoprocket предоставит не менее 30 дней уведомления (путем размещения на сайте, по электронной почте или уведомлениями в аккаунте) перед использованием нового Субподрядчика. Вы можете возразить в течение 10 дней с момента уведомления в письменной форме по разумным причинам защиты данных. Если участвует необходимый Субподрядчик и не найден альтернативный в течение 90 дней, вы можете прекратить или расторгнуть соответствующие Услуги (по-прежнему выплачивая любые причитающиеся сборы).

Если вы не возражаете в течение 10 дней, новый Субподрядчик считается одобренным. Когда Shoprocket привлекает Субподрядчика, он:

• Ограничивает доступ только к тому, что необходимо для предоставления или улучшения Услуг;

• Налагает на них те же обязательства по защите данных;

• Остается ответственным за их соблюдение.

Если применимы SCCs, ваше разрешение расценивается как предварительное письменное согласие в соответствии с пунктом 9(c) или соответствующими пунктами UK SCC.

Shoprocket может удалить несущественные коммерческие детали перед тем, как поделиться контрактами на субобработку с вами.

Передача Персональных данных

Shoprocket может передавать Персональные данные за пределы ЕЭП, Великобритании или Швейцарии для предоставления Услуг (например, некоторые Издатели Дополнений/Субподрядчики в США). Если не применяется решение о адекватности, Shoprocket обеспечит соответствующие гарантии в соответствии с Законодательством о защите данных.

• Передачи вне ЕЭП: Подлежат ЕС SCCs (Модуль Первый для Shoprocket как Контролера, Модуль Второй для Shoprocket как Обработчика). Некоторые положения (например, докинг пункта 7) не применяются; споры подчиняются ирландскому праву/судам.

• Передачи вне Великобритании: Подлежат Дополнению IDTA.

• Передачи из Швейцарии: Аналогично ЕС SCCs, с модификациями для Швейцарского FADP.

• Дополнительные меры:

  • На момент даты этого Дополнения нет официальных запросов правительства на доступ к данным.

  • Если требуется раскрытие ваших данных, Shoprocket уведомит вас (если это не запрещено) и поможет вам принять защитные меры.

  • Shoprocket и вы будете регулярно обсуждать, предоставляют ли законы в стране-импортере эквивалентную защиту или требуют дополнительных мер.

  • Если какой-либо механизм передачи перестает быть действительным или надзорный орган приостанавливает его, Shoprocket может внедрить альтернативные меры или приостановить передачи.

Когда вы утверждаете Субподрядчика/Дополнение за пределами ЕЭП, вы также уполномочиваете Shoprocket подписывать SCCs от вашего имени.

Жалобы, Запросы субъектов данных и права третьих сторон

Shoprocket немедленно предоставит вам любую информацию или помощь, которую вам необходимо:

1. Для выполнения прав субъектов данных (доступ, исправление, удаление, перенос, возражения и т.д.).

2. Для реагирования или соблюдения уведомлений/оценок от регулирующих органов.

Shoprocket уведомляет вас незамедлительно, если получает жалобы или сообщения о обработке, и в течение 14 дней, если получает запрос субъекта данных. Shoprocket помогает в ответах и не будет раскрывать Персональные данные третьим лицам, если этого не требует закон или ваши инструкции.

Срок действия и расторжение

Это Дополнение остается в силе, пока в силе Соглашение, или пока Shoprocket сохраняет любые связанные Персональные данные. Положения, которые должны сохраняться для защиты данных, остаются в силе. Любое существенное нарушение этого DPA является существенным нарушением Соглашения, дающим вам право немедленно расторгнуть без дальнейшей ответственности.

Если изменения в Законодательстве о защите данных мешают одной из сторон выполнять свои обязательства, стороны могут приостановить обработку до достижения соблюдения. Если вопрос не будет разрешен в течение 90 дней, любая сторона может расторгнуть с немедленным вступлением в силу на уведомление.

Возврат и уничтожение данных

• По запросу, Shoprocket предоставляет вам (или третьей стороне, которую вы назначаете письменно) копии или доступ к Персональным данным в формате, который вы указываете (по возможности).

• При расторжении, Shoprocket возвращает или удаляет Персональные данные, если продолжение хранения юридически не требуется. Если удаление невозможно или незаконно, Shoprocket блокирует дальнейшую обработку и продолжает защищать данные.

• сертификация SCC: Если применимы SCCs, Shoprocket сертифицирует удаление в соответствии с пунктом 8.1(d) ЕС SCCs (или UK SCCs) по вашему письменному запросу.

• Если любой закон/нормативный акт требует от Shoprocket хранить определенные данные, он уведомит вас о причинах, сроках, а затем удалит, когда данные больше не потребуется.

• Shoprocket сертифицирует удаление в пределах 30 дней после его завершения.

Записи

Shoprocket хранит подробные, точные, актуальные записи всех процессов обработки Персональных данных (например, меры безопасности, субподрядчики, цели обработки, любые международные передачи). Эти записи должны позволить вам проверить соответствие Shoprocket. Копии предоставляются по запросу.

Гарантии

Shoprocket гарантирует, что:

1. Его сотрудники, подрядчики или агенты, имеющие доступ к Персональным данным, надежны, заслуживают доверия и должным образом обучены.

2. Он будет обрабатывать Персональные данные в полном соответствии с Законодательством о защите данных и сопутствующими законами.

3. У него нет оснований полагать, что закон предотвращает предоставление согласованных Услуг.

4. Учитывая технологии и затраты, он примет соответствующие меры для предотвращения несанкционированной обработки или случайного ущерба/потери, обеспечивая безопасность, пропорциональную риску и чувствительности данных.

Исполнение и изменения