Auftragsverarbeitungsvertrag (DPA)

1. Einleitung

Diese Datenverarbeitungsvereinbarung ("DPA") Ist Teil der Vereinbarung zwischen:

• Kunde — Das Unternehmen oder die Person, die sich für eine ArtInStack Creator-Konto und stimmt unseren Nutzungsbedingungen (“Du,” “Verantwortlicher", Wo zutreffend); und
• ArtInStack (“Wir,” “US,” “Auftragsverarbeiter", Wo zutreffend),

Kollektiv die "Parteien.”

Der DPA Gilt, wenn wir verarbeiten Persönliche Daten In Ihrem Namen in Verbindung mit den Diensten - zum Beispiel, wenn Sie die Plattform nutzen, um eine öffentliche Website zu hosten, eine Kundenportal, Produkte verkaufen an Endkunden, Speichern Kunde/Projekt Informationen, oder ausführen Erhaltung / Feld Umfragen und Beweismerkmale.

Wenn wir personenbezogene Daten für unsere eigenen Zwecke verarbeiten (z.B. Ihre Kontoabrechnung, Marketing an Du, Produktanalyse auf unserer Marketing-Website oder Compliance als Plattformbetreiber), wir agieren als unabhängige Verantwortlicher Und unsere Datenschutzpolitik Gilt - nicht dies DPA.

2. Definitionen

Großgeschriebene Begriffe, die hier nicht definiert sind, haben die Bedeutung in den Bedingungen oder dem geltenden Datenschutzrecht.

• "Anwendbare Datenschutzgesetze" Mittel GDPR, UK GDPR, Und ähnliche Gesetze, die für die Verarbeitung personenbezogener Daten im Rahmen dieser DPA.
• "Persönliche Daten" Bezeichnet Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
• "Endkunde" Bezeichnet eine natürliche Person, die Ihre Website besucht, Ihr Kundenportal nutzt oder über die Dienste bei Ihnen kauft.
• "Unterauftragsverarbeiter" Bedeutet einen Dritten, den wir beauftragen, personenbezogene Daten in Ihrem Namen zu verarbeiten.
• "Dienstleistungen" Bedeutet die ArtInStack Produkte, die in den Bedingungen und der Dokumentation beschrieben sind.

3. Rollen und Umfang

3.1 Wenn dies DPA Gilt (Auftragsrolle)

Wir handeln als Auftragsverarbeiter (Oder Dienstleister Unter CCPA/CPRA) Wenn wir personenbezogene Daten verarbeiten Auf Ihre Anweisungen Durch die Dienste, einschließlich:

Du bist der Verantwortlicher Für diese Verarbeitung, es sei denn, Sie handeln als Auftragsverarbeiter für eine andere Partei (z. B. Agentur), in welchem Fall Sie garantieren, dass Sie befugt sind, uns als Unterauftragsverarbeiter zu benennen.

3.2 Wenn wir Controller sind

Wir sind Verantwortlicher Für: Kontoregistrierung und Authentifizierung; Abonnementabrechnung an Du; Betrugsprävention auf der Plattform; Produktverbesserung auf der Grundlage aggregierter/de-identifizierter Daten; und Einhaltung gesetzlicher Vorschriften im Zusammenhang mit Unser Betrieb der Plattform. Siehe die Datenschutzpolitik.

4. Einzelheiten zur Verarbeitung

Betreff: Bereitstellung der Creative-Business-Plattform (Websites, Portfolios, Lieferung, Handel, Kurse, Team-Tools und optionale Konservierungs- / Feldfunktionen).

Dauer: Für die Laufzeit Ihres Kontos plus Aufbewahrungsfristen in Abschnitt 12.

Art und Zweck: Speicherung, Organisation, Abruf, Übertragung, Anzeige, Backup, Sicherheit, Zahlungserleichterung, Fulfillment-Routing, Kartenanzeige und Geocodierung wie konfiguriert, Verpackung von Erhaltungsumfragen und optionaler Registrierungsexport auf Ihre Anweisungen und Support, wie in Ihrem Konto konfiguriert.

Kategorien von betroffenen Personen: Endkunden, Ihre Kunden, in den Medien dargestellte Motive (sofern identifizierbar), Außendienstmitarbeiter und Mitarbeiter, die Sie einladen, und Ihre autorisierten Benutzer.

Arten von personenbezogenen Daten: Kontaktdaten, Kennungen, Bestell- und Lieferdaten, Nutzung/Protokolle im Zusammenhang mit Identitäten, von Ihnen hochgeladene Inhalte, von Ihnen eingegebene Beobachtungs- und Umfragemetadaten sowie technische Metadaten (einschließlich EXIF/Standort, wo vorhanden und nicht durch Ihre Einstellungen redigiert).

Besondere Kategorien: Die Dienstleistungen sind Nicht entworfen Für Sie, um Daten in besonderen Kategorien (Gesundheit, Biometrie usw.) zu sammeln. Sie dürfen solche Daten nicht hochladen, es sei denn, Sie haben eine rechtmäßige Grundlage und angemessene Sicherheitsvorkehrungen; wir überwachen nicht aktiv Inhalte für Kategorien. Der Standort empfindlicher Arten ist operativ sensibel und wird durch Ihre Einstellungen gesteuert; er wird nicht als GDPR Sonderkategorie nur, weil sie sich auf Wildtiere bezieht.

5. Ihre Verantwortlichkeiten (Controller)

Sie stimmen zu:

1. Rechtmäßige Grundlage – Stellen Sie eine gültige Rechtsgrundlage (oder die Zustimmung des Endkunden, falls erforderlich) für alle personenbezogenen Daten sicher, die Sie an die Dienste übermitteln.
2. Transparenz – Geben Sie Endkunden einen Datenschutzhinweis, der Ihre Praktiken und unsere Rolle genau beschreibt.
3. Anweisung - Konfigurieren Sie die Dienste (Sichtbarkeit, Portale, Checkout, geografische Einstellungen, Cookies, Konservierung, Veröffentlichung / Redaktion) in Übereinstimmung mit Ihren Richtlinien. Ihre Nutzung von Kontoeinstellungen und veröffentlichten Inhalten stellt Dokumentierte Anweisungen Sofern wir nichts anderes schriftlich vereinbaren.
4. Exaktheit — Halten Sie personenbezogene Daten korrekt und relevant.
5. Rechteanfragen — Reagieren Sie auf Endkundenanfragen (Zugriff, Löschung usw.) für Daten, die Sie kontrollieren; wir helfen Ihnen pro Abschnitt 10.
6. Sicherheit - Behalten Sie starke Anmeldeinformationen bei, beschränken Sie den Zugriff auf das Team und informieren Sie uns unverzüglich über vermutete Verstöße, die Ihr Konto betreffen.

6. Unsere Verpflichtungen (Verarbeiter)

Wir werden:

1. Prozess nur auf Anweisungen - Verarbeiten Sie personenbezogene Daten nur auf Ihre dokumentierten Anweisungen gemäß Abschnitt 5, sofern dies nicht gesetzlich vorgeschrieben ist (in diesem Fall werden wir Sie informieren, sofern dies nicht verboten ist).
2. Vertraulichkeit — Stellen Sie sicher, dass das Personal, das zur Verarbeitung personenbezogener Daten berechtigt ist, an die Vertraulichkeit gebunden ist.
3. Sicherheit — Umsetzung geeigneter technischer und organisatorischer Maßnahmen (siehe Abschnitt 8).
4. Unterauftragsverarbeiter — Verwenden Sie Unterauftragsverarbeiter nur, wie in Abschnitt 7.
5. Hilfestellung - Angemessene Unterstützung bei Datenschutz-Auswirkungsbewertungen und Konsultationen mit Aufsichtsbehörden, falls erforderlich, unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen.
6. Löschung/Rückgabe — Bei Kündigung oder Ihrer schriftlichen Anfrage löschen oder zurückgeben Sie personenbezogene Daten gemäß Abschnitt 12, Vorbehaltlich der rechtlichen Aufbewahrung.
7. Prüfungsinformationen — Bereitstellung von Informationen, die erforderlich sind, um die Einhaltung der Vorschriften zu demonstrieren und Audits zu ermöglichen, die in Abschnitt 11.

7. Unterauftragsverarbeiter

7.1 Autorisierung

Sie bieten Allgemeine Genehmigung Für uns, um Unterauftragsverarbeiter zu engagieren, die auf unserer Liste der Subprozessoren. Wir bleiben für die Erfüllung der Datenschutzverpflichtungen der Unterauftragsverarbeiter verantwortlich.

7.2 Änderungen

Wir werden eine aktuelle Liste der Unterauftragsverarbeiter führen und über wesentliche Änderungen informieren, wie auf dieser Seite beschrieben (in der Regel 30 Tage Bevor ein neuer Unterauftragsverarbeiter Ihre Endkundendaten verarbeitet). Sie können aus zumutbaren Gründen im Zusammenhang mit dem Datenschutz widersprechen, indem Sie sich an [email protected] Innerhalb der Kündigungsfrist. Wenn wir dem Einwand nicht stattgegeben werden können, können Sie die betroffenen Dienste oder Ihr Konto als einziges Mittel kündigen.

7.3 Abwärtsfluss

Wir erzwingen Unterauftragsverarbeitern Datenschutzbestimmungen, die diesen im Wesentlichen ähnlich sind DPA Für Verarbeiter-Verpflichtungen.

8. Sicherheitsmaßnahmen

Wir halten Maßnahmen aufrecht, die dem Risiko angemessen sind, einschließlich, falls zutreffend:

• Verschlüsselung im Transit (TLS) Für Daten, die über öffentliche Netze übertragen werden;
• Zugriffskontrollen und Authentifizierung für Produktionssysteme;
• Logische Trennung von Kundendaten in der Multi-Tenant-Architektur;
• Sicherungs- und Wiederherstellungsverfahren;
• Überwachung und Reaktionsprozesse auf Vorfälle; und
• Lieferantenprüfung für Subprozessoren mit hohem Risiko.

Keine Sicherheit ist perfekt. Sie sind verantwortlich für Anmeldeinformationen, Teamberechtigungen und Konfiguration (z. B. öffentliche vs. private Alben, Portalzugangscodes, geografische Redaktion und Veröffentlichungsoptionen).

Vorfallsmeldung: Wenn wir uns einer Verletzung personenbezogener Daten Auswirkungen auf Ihre Endkundendaten in unserer Obhut als Auftragsverarbeiter, werden wir Sie benachrichtigen Ohne unangemessene Verzögerung Und stellen Sie vernünftigerweise verfügbare Informationen zur Verfügung, um Ihnen zu helfen, Ihren Verpflichtungen nachzukommen. Wir werden Endkunden nicht in Ihrem Namen benachrichtigen, es sei denn, dies ist gesetzlich vorgeschrieben.

9. Internationale Überweisungen

Personenbezogene Daten können in der Vereinigte Staaten Und andere Länder, in denen wir oder Unterauftragsverarbeiter tätig sind. Wenn das geltende Datenschutzrecht Sicherheitsvorkehrungen für Transfers aus dem EWR/Großbritannien/der Schweiz vorschreibt, verlassen wir uns auf:

• Standardvertragsklauseln (EU-Kommission 2021/914, falls zutreffend), eingetragen durch Bezugnahme und wie folgt ergänzt:
  • Modul zwei (Controller zu Prozessor) Gilt für Überweisungen von Ihnen (Verantwortlicher) zu uns (Verarbeiter);
  • Modul drei (Prozessor zu Prozessor) Gilt für Übertragungen von uns an Unterauftragsverarbeiter, falls erforderlich;
• Der britische Nachtrag zur internationalen Datenübertragung (wo UK GDPR Gilt); und
• Ergänzende Maßnahmen, die wir vernünftigerweise umsetzen, wenn dies von den Aufsichtsbehörden erforderlich ist.

[Counsel: attach executed SCC annex or link to downloadable PDF.]

Stripe Und andere Zahlungsanbieter/erfüllungsanbieter Können Daten im Rahmen ihrer eigenen Compliance-Frameworks übertragen, wenn sie als unabhängige Verantwortliche oder Unterauftragsverarbeiter in Zahlungsabläufen handeln.

10. Rechte der betroffenen Person

Wir werden Sie umgehend benachrichtigen Wenn wir eine Anfrage von einem Endkunden erhalten, Rechte gemäß den geltenden Datenschutzgesetzen auszuüben, es sei denn, dies ist gesetzlich verboten.

Sie sind für die Beantwortung verantwortlich. Wir werden Angemessene Unterstützung (Z. B. Export- oder Löschtools im Dashboard oder manuelle Unterstützung für komplexe Anfragen) ohne zusätzliche Gebühr für Standardanfragen oder zu vereinbarten Tarifen für übermäßige oder sich wiederholende Anfragen.

Unser Datenschutzpolitik Beschreibt Rechte für Dein Kontodaten als unser Kunde.

11. Prüfungen

Auf Schriftliche Anfrage Nicht mehr als Einmal pro 12 Monate (Es sei denn, es ist von einer Aufsichtsbehörde erforderlich oder nach einem wesentlichen Sicherheitsvorfall), können Sie Informationen anfordern, um unsere Einhaltung dieser DPA. Wir können dies erfüllen durch:

• Antworten auf einen angemessenen Sicherheitsfragebogen;
• Zusammenfassung von Zertifizierungen von Drittanbietern oder Prüfungsberichten (falls vorhanden); oder
• Ein Vor-Ort- oder Fernaudit im Rahmen einer gegenseitigen Geheimhaltungsvereinbarung, die im Voraus während der Geschäftszeiten geplant und nicht unangemessen störend ist.

Wenn Sie eine Vor-Ort-Prüfung benötigen, die nicht oben abgedeckt ist, tragen Sie die Kosten, es sei denn, wir sind in einem wesentlichen Verstoß.

12. Aufbewahrung und Löschung

Während des Semesters: Wir bewahren personenbezogene Daten auf, die in Ihrem Namen verarbeitet werden, solange Ihr Konto aktiv ist und dies zur Bereitstellung der Dienste erforderlich ist.

Nach Beendigung oder Löschungsanfrage:

• Wir werden Endkunden- und Inhaltsdaten innerhalb von [30–90] Jahre Nach Abschluss der Kontolöschung, mit Ausnahme von Daten, die wir gesetzlich oder für legitime Rechtsansprüche (z. B. Abrechnungsunterlagen, Betrugsprävention) aufbewahren müssen.
• Backups können für einen begrenzten Zeitraum bestehen bleiben, bevor sie überschrieben werden.
• Sie sollten Daten vor dem Löschen mit den verfügbaren Exporttools exportieren.

Rechtliche Hinweise: Wir können Daten aufbewahren, wenn dies gesetzlich oder auf behördliche Anfrage erforderlich ist.

13. Haftung

Haftung, die sich aus dieser DPA Unterliegt der Haftungsbeschränkung Und Entschädigung Bestimmungen in der Nutzungsbedingungen, Außer wenn das geltende Datenschutzgesetz eine solche Beschränkung für den Verarbeiterstrafen oder gesetzlich vorgeschriebene direkte Schäden verbietet.

Die Gesamthaftung jeder Partei im Rahmen dieser DPA Folgt den Bedingungen, es sei denn, eine separate unterzeichnete Unternehmensvereinbarung besagt etwas anderes.

14. CCPA / CPRA (Bedingungen des Dienstleisters)

In dem Maße, in dem die CCPA/CPRA Gilt, wir handeln als Ihr Dienstleister Für personenbezogene Daten, die wir in Ihrem Namen verarbeiten. Wir werden nicht:

• Verkaufen Oregon Anteil Personenbezogene Daten (wie definiert durch CPRA) Für kontextübergreifende Verhaltenswerbung;
• Personenbezogene Daten für andere Zwecke als die Bereitstellung der in den Bedingungen und diesen DPA (Und wie erlaubt von CPRA Für Dienstleister); oder
• Personenbezogene Daten mit Daten aus anderen Quellen kombinieren, außer wie für Dienstleister zulässig.

Sie versichern, dass Sie alle erforderlichen Mitteilung bei Abholung Und Opt-out Rechte der Einwohner Kaliforniens für Ihre eigenen Praktiken.

15. Rangfolge

Wenn es einen Konflikt zwischen diesen DPA Und die Bedingungen in Bezug auf Verarbeitung personenbezogener Daten von Endkunden, Das DPA Kontrollen. Für alle anderen Angelegenheiten haben die Bedingungen die Kontrolle.

A Unterzeichneter Unternehmensvertrag Oder Bestellformular mit benutzerdefinierten Datenschutzbestimmungen über dieses Web DPA Für den unterzeichnenden Kunden.

16. Begriff und Aktualisierungen

Der DPA Ist wirksam auf die Datum des Inkrafttretens Oben und wird fortgesetzt, während Sie die Dienste nutzen. Wir können dies aktualisieren DPA Um rechtliche oder Produktänderungen widerzuspiegeln. Wesentliche Änderungen werden mit einem neuen Datum des Inkrafttretens und, falls erforderlich, einer zusätzlichen Benachrichtigung veröffentlicht. Die fortgesetzte Nutzung nach dem Datum des Inkrafttretens stellt die Annahme dar, sofern dies zulässig ist.

17. Wie man eine signierte Kopie ausführt oder anfordert

• Standardkunden: Die Annahme der Bedingungen beinhaltet dies DPA Durch Referenz.
• Unternehmen / Agentur / EU-Studio-Kunden: Kontakt [email protected] Für ein gegengezeichnetes PDF, eine benutzerdefinierte SCC-Ausstellung oder einen Sicherheitsfragebogen.

ArtInStack

DPA & Privatsphäre: [email protected]