Anexo de procesamiento de datos

Este Apéndice de procesamiento de datos ("DPA") se hace referencia en, y forma una parte integral de, SharpSpring Ads's Términos de Servicio (la "Términos de servicio") y entra en vigor tras la aceptación de los Términos de servicio. Los términos utilizados en este DPA tendrán los significados aquí establecidos. Los términos en mayúscula que no se definan de otra manera tendrán el significado que se les da en los Términos de servicio. Salvo que se modifique a continuación, los términos establecidos en los Términos de servicio permanecerán en pleno vigor y efecto. En consideración de las obligaciones mutuas establecidas en este documento, las partes acuerdan que los términos y condiciones establecidos a continuación se agregarán como un DPA a los Términos de servicio.

1. Protección de datos.

1.1 Definiciones:

(A) "controlador", "procesador", "Sujeto de datos"y "tratamiento"; (y "proceso") tendrá el significado que se le da en la Ley de Protección de Datos Aplicable.
(B) "Ley de protección de datos aplicable" significará: (i) antes del 25 de mayo de 2018, la Directiva 95/46 / CE del Parlamento Europeo y del Consejo sobre la protección de las personas con respecto al tratamiento de datos personales y sobre la libre circulación de dichos datos; y (ii) a partir del 25 de mayo de 2018, el Reglamento 2016/679 del Parlamento Europeo y del Consejo sobre la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de dichos datos, y por el que se deroga la Directiva 95 / 46 / EC (Reglamento general de protección de datos).
(C) "Información personal" significará cualquier dato relacionado con una persona física individual identificada o identificable; una persona identificable es aquella que puede ser identificada, directa o indirectamente, en particular por referencia a un número de identificación oa uno o más factores específicos de su identidad física, fisiológica, mental, económica, cultural o social.

1.2 Relación de las partes: Tú el "controlador") designará a SharpSpring Ads como procesador para procesar los Datos personales descritos en los Términos de servicio y su DPA. Cada parte deberá cumplir con este DPA y cualquier obligación que le corresponda en virtud de la Ley de Protección de Datos Aplicable.

1.3 Datos prohibidos: No revelará (y no permitirá que ningún sujeto de datos divulgue) ninguna categoría especial de Datos personales a SharpSpring Ads para su procesamiento.

1.4 Limitación de la finalidad: SharpSpring Ads procesará los Datos personales como procesador según sea necesario para cumplir con sus obligaciones bajo los Términos de servicio y / o estrictamente de acuerdo con sus instrucciones documentadas (el "Propósito permitido").

1.5 Transferencias internacionales: SharpSpring Ads no transferirá Datos Personales (ni permitirá que se transfieran Datos Personales) fuera de los Territorios Europeos a menos que tome las medidas necesarias para garantizar que la transferencia cumpla con la Ley de Protección de Datos Aplicable. Dichas medidas pueden incluir (sin limitación) la transferencia de los datos personales a un destinatario en un país que la Comisión Europea ha decidido que proporciona la protección adecuada para los datos personales, a un destinatario que ha logrado la autorización de normas corporativas vinculantes de acuerdo con la ley de protección de datos aplicable, a un destinatario que participa en el programa de certificación EU-US Privacy Shield, o un destinatario que ha ejecutado cláusulas contractuales estándar adoptadas o aprobadas por la Comisión Europea.

1.6 Confidencialidad del procesamiento: SharpSpring Ads se asegurará de que cualquier persona que autorice a procesar Datos personales (incluido el personal, agentes y subcontratistas de SharpSpring Ads) (un "Persona autorizada") estará sujeta a un estricto deber de confidencialidad (ya sea un deber contractual o un deber legal), y no permitirá que ninguna persona procese Datos Personales que no esté bajo dicho deber de confidencialidad.

1.7 Seguridad: SharpSpring Ads implementará las medidas técnicas y organizativas apropiadas para proteger los Datos personales (i) de la destrucción accidental o ilegal, y (ii) la pérdida, alteración, divulgación no autorizada o acceso a los Datos personales (a "Incidente de seguridad").

1.8 Subcontratación: Usted acepta que SharpSpring Ads contrate a subprocesadores externos para procesar Datos personales para el propósito permitido siempre que: (i) SharpSpring Ads mantenga una lista actualizada de sus subprocesadores que se le proporcionará a usted cuando lo solicite, que deberá actualizar con detalles de cualquier cambio propuesto un tiempo razonable antes de nombrar o reemplazar un subprocesador; (ii) SharpSpring Ads impone términos de protección de datos a cualquier subprocesador que designe que requiera que proteja los Datos Personales según el estándar requerido por la Ley de Protección de Datos Aplicable y este DPA; y (iii) SharpSpring Ads sigue siendo responsable de cualquier incumplimiento de esta disposición causado por un acto, error u omisión de su subprocesador. Se adjunta una lista de subprocesadores aprobados Planificar una. Puede objetar el nombramiento o reemplazo de un subprocesador por SharpSpring Ads antes de su nombramiento o reemplazo, siempre que dicha objeción se base en motivos razonables relacionados con la protección de datos. En tal caso, SharpSpring Ads no nombrará ni reemplazará al subprocesador o, si esto no es posible, usted puede suspender o rescindir los Términos de servicio (sin perjuicio de los cargos incurridos por usted antes de la suspensión o rescisión) dentro de los 30 días por escrito. aviso a SharpSpring Ads.

1.9 Cooperación y derechos de los interesados: SharpSpring Ads le brindará toda la asistencia razonable y oportuna (incluso mediante las medidas técnicas y organizativas apropiadas) (a su cargo) para permitirle responder a: (i) cualquier solicitud de un sujeto de datos para ejercer cualquiera de sus derechos según los Datos aplicables Ley de protección (incluidos sus derechos de acceso, corrección, objeción, borrado y portabilidad de datos, según corresponda); y (ii) cualquier otra correspondencia, consulta o queja recibida de un sujeto de datos, regulador u otro tercero en relación con el procesamiento de Datos Personales. En el caso de que dicha solicitud, correspondencia, consulta o queja se realice directamente a SharpSpring Ads, SharpSpring Ads le informará de inmediato proporcionándole todos los detalles de la misma.

1.10 Evaluación de impacto de protección de datos: SharpSpring Ads le brindará una cooperación razonable (a su cargo) en relación con cualquier evaluación de impacto de protección de datos que se le pueda solicitar que realice según la Ley de Protección de Datos Aplicable.

1.11 Incidentes de seguridad: Al tener conocimiento de un Incidente de seguridad, SharpSpring Ads le informará sin demora injustificada y le proporcionará toda la información y cooperación oportuna que pueda necesitar para que pueda cumplir con sus obligaciones de notificación de violación de datos bajo (y de acuerdo con los plazos requeridos por ) Ley de Protección de Datos Aplicable. SharpSpring Ads tomará todas las medidas y acciones necesarias para remediar o mitigar los efectos del Incidente de seguridad y lo mantendrá actualizado sobre todos los desarrollos relacionados con el Incidente de seguridad.

1.12 Eliminación o devolución de datos personales: Tras la terminación o vencimiento de los Términos de servicio, SharpSpring Ads (a su elección) destruirá o le devolverá todos los Datos personales que estén en su posesión o control (incluidos los Datos personales subcontratados a un tercero para su procesamiento). Este requisito no se aplicará en la medida en que SharpSpring Ads esté obligado por cualquier ley de la UE (o cualquier Estado miembro de la UE) a retener algunos o todos los Datos personales, en cuyo caso SharpSpring Ads aislará y protegerá los Datos personales de cualquier procesamiento posterior. excepto en la medida requerida por dicha ley.

1.13 Auditoría: SharpSpring Ads le permitirá a usted (oa sus auditores externos designados) auditar el cumplimiento de SharpSpring Ads con este DPA, y pondrá a su disposición toda la información, los sistemas y el personal razonablemente necesarios para que usted (o sus auditores externos) realice dicha auditoría. SharpSpring Ads reconoce que usted (o sus auditores externos) pueden ingresar a sus instalaciones con el fin de realizar esta auditoría, siempre que proporcione un aviso previo razonable de su intención de auditar, realizar su auditoría durante el horario comercial normal y tomar todas las medidas razonables. para evitar interrupciones innecesarias en las operaciones de SharpSpring Ads. No ejercerá sus derechos de auditoría más de una vez en un período de 12 meses calendario, excepto (i) si así lo requiere la instrucción de una autoridad de protección de datos competente; o (ii) cree que es necesaria una auditoría adicional debido a un Incidente de seguridad.

Anexo A: Apéndice 1 de las Cláusulas contractuales estándar

Exportador de datos

Usted es el exportador de datos que recibe los servicios en virtud de los Términos de servicio.

Importador de datos

El importador de datos es un software como servicio, un proveedor de análisis de publicidad accesible por Internet que proporciona servicios según los Términos de servicio y tiene como objetivo medir, administrar y optimizar los presupuestos e ingresos publicitarios de sus clientes.

Sujetos de datos

Los datos personales transferidos se refieren a las siguientes categorías de interesados: (i) usuarios de Internet que acceden al sitio web del exportador de datos y / o utilizan los servicios en línea del exportador de datos; (ii) usuarios autorizados de la aplicación SharpSpring Ads; y / o (iii) clientes potenciales y existentes del exportador de datos.

Categorías de datos

Los datos personales transferidos incluyen lo siguiente: (i) ID de pedido; (ii) Identificación del producto; (iii) Código de moneda; (iv) Categoría de producto; (v) Precio unitario del producto; (vi) Tipo de conversión; (vii) Agente de usuario; (viii) Solicitud de recomendación; y (ix) comportamiento en el sitio (clics en la página).

Para los usuarios de la aplicación SharpSpring Ads, los datos personales transferidos pueden incluir lo siguiente: (i) dirección de correo electrónico; (ii) nombre y apellido; (iii) número de teléfono; (iv) dirección postal de empleo; (v) información de la tarjeta de crédito; y (vi) datos bancarios.

Categorías especiales de datos (si corresponde)

Los datos personales transferidos se refieren a las siguientes categorías especiales de datos: Ninguno.

Operaciones de procesamiento

Las siguientes operaciones de procesamiento se aplican de la siguiente manera:

El importador de datos recopila datos a través del píxel de seguimiento de SharpSpring Ads (cookie). El importador de datos coloca esta cookie en los sitios web del importador de datos para la recopilación de datos. Estos datos son almacenados y procesados ​​por el exportador de datos en sus centros de datos que se encuentran en Dublín Irlanda, California EE. UU., Virginia EE. UU. Y Singapur. Los datos personales procesados ​​por el importador de datos también se pueden compartir con ciertos intercambios publicitarios en nombre del importador de datos para ofertar por propiedades publicitarias en Internet. El importador de datos utiliza las siguientes entidades como subprocesadores según los Términos de servicio:

• Salesforce Incorporated - https://www.salesforce.com/company/privacy/full_privacy/
• Marketo Inc. - https://documents.marketo.com/legal/privacy/
• Servicios web de Amazon - https://aws.amazon.com/privacy/

• Google - https://gsuite.google.com/security/ & https://policies.google.com/privacy?hl=en
• Mixpanel - https://mixpanel.com/legal/privacy-policy/
• Intercomunicador - https://www.intercom.com/terms-and-policies
• Mailgun - https://www.mailgun.com/gdpr
• MongoHQ - https://www.mongodb.com/cloud/compliance
• OpenRedis - https://openredis.com/privacy
• Heroku - https://www.heroku.com/policy/security

Anexo A: Apéndice 2 de las Cláusulas contractuales estándar

Descripción de las medidas de seguridad técnicas y organizativas implementadas por el importador de datos de acuerdo con las Cláusulas 4 (d) y 5 (c) (o documento / legislación adjunto):

1. Se impide que personas no autorizadas accedan a los sistemas de procesamiento de datos con los que se procesan o utilizan los datos transferidos. (control de acceso físico):
   1. SharpSpring Ads requiere que sus socios de instalaciones de coubicación restrinjan el acceso físico a aquellos con autorización previa e identificación con fotografía. El centro de datos de SharpSpring Ads está ubicado en una instalación Gold Tier IV auditada SSAE No. 16. Solo las personas autorizadas por SharpSpring Ads pueden acceder al equipo de SharpSpring Ads. SharpSpring Ads requiere que sus proveedores hagan cumplir la verificación de las solicitudes de servicio de SharpSpring Ads; Los proveedores no pueden intentar obtener ningún tipo de acceso a los sistemas de SharpSpring Ads sin instrucciones escritas de SharpSpring Ads. Más allá de esto, no se permiten conexiones físicas externas a los sistemas SharpSpring Ads, incluidos teclados, pantallas y sistemas de monitoreo de red.
2. Se prohíbe el uso de sistemas de procesamiento de datos sin autorización. (control de acceso lógico):
   1. Se prohíbe el uso de sistemas de procesamiento de datos sin autorización. El acceso administrativo a los servidores de SharpSpring Ads está restringido a miembros capacitados y autorizados de los datos.
      personal del importador. El acceso administrativo a la aplicación SharpSpring Ads está estrictamente controlado por el importador de datos a las personas autorizadas que lo necesiten. El acceso administrativo remoto solo está disponible a través de conexiones criptográficamente seguras.
   2. El importador de datos utiliza una política de contraseña segura y autenticación de dos factores para acceder a todos los activos informáticos corporativos. El acceso remoto a las redes corporativas del importador de datos se realiza a través de una VPN segura. El importador de datos almacena todos los datos detrás de sus firewalls y emplea sistemas de alerta avanzados para detectar el acceso no autorizado. Todos los intentos de acceso se registran para las aplicaciones y los sistemas corporativos del importador de datos.
3. Las personas con derecho a utilizar un sistema de procesamiento de datos personales solo pueden obtener acceso a los datos a los que tienen derecho de acceder de acuerdo con sus derechos de acceso y, en el curso del procesamiento o uso y después del almacenamiento, los datos personales no se pueden leer, copiar, modificado o eliminado sin autorización (control de acceso a datos):
   1. El importador de datos utiliza un proceso de aprovisionamiento basado en roles cuando brinda acceso a las aplicaciones de SharpSpring Ads y su software de administración de relaciones con el cliente de terceros (el "CRM"). Solo las personas con una "necesidad de saber" tienen acceso a los datos del cliente en las aplicaciones de SharpSpring Ads y el CRM.
   2. El importador de datos mantiene un estricto proceso de verificación de antecedentes para todo el personal y un proceso de terminación estrictamente controlado para revocar el acceso. El aprovisionamiento de usuarios para sistemas corporativos se revisa dos veces al año. Los clientes del importador de datos controlan el aprovisionamiento de usuarios para sus usuarios en las aplicaciones de SharpSpring Ads.
4. Los datos personales no pueden leerse, copiarse, modificarse o borrarse sin autorización durante la transmisión electrónica, el transporte o el almacenamiento en soportes de almacenamiento, y es posible verificar y establecer a qué organismos se prevé la transferencia de datos personales mediante instalaciones de transmisión de datos. (control de transmisión):
   1. Los datos personales no se pueden leer, copiar, modificar ni eliminar sin autorización durante la transmisión, el transporte o el almacenamiento electrónicos. Todos los datos personales en las aplicaciones de SharpSpring Ads están protegidos detrás de cortafuegos seguros y todo el acceso al almacenamiento de datos se registra en las aplicaciones de SharpSpring Ads y en los registros del servidor. SharpSpring Ads utiliza un software de alerta para proporcionar alertas de cualquier acceso no autorizado. Las credenciales de inicio de sesión en la aplicación SharpSpring Ads se almacenan con hash y se cifran en la transmisión.
5. Es posible verificar y establecer si y por quién se ingresaron, modificaron o eliminaron datos personales de los sistemas de procesamiento de datos. (control de entrada):
   1. Es posible examinar y establecer retroactivamente si y por quién los datos personales han sido procesados, accedidos o modificados. Las aplicaciones de SharpSpring Ads y los sistemas CRM contienen sólidas funciones de registro que identifican cuándo se accede a los datos, se modifican o se eliminan. El importador de datos y sus clientes revisan estos registros con regularidad.
6. Los datos personales procesados ​​sobre la base del procesamiento encargado se procesan estrictamente de acuerdo con las instrucciones del controlador de datos (control de trabajo):
   1. El importador de datos solo procesa datos personales de acuerdo con las instrucciones del exportador de datos como se describe en el acuerdo de servicios aplicable entre las partes.
7. Los datos personales están protegidos contra la destrucción o pérdida accidental (control de disponibilidad):
   1. El importador de datos mantiene a diario procedimientos de copia de seguridad adecuados y regulares para evitar la destrucción accidental o la pérdida de datos personales. Se realiza una copia de seguridad de los datos a intervalos regulares a lo largo del día y cada copia de seguridad completa de los datos se realiza cada 24 horas.