Ftehim dwar l-ipproċessar tad-data

1. Partijiet u suġġett

Dan il-ftehim huwa konkluż bejn il-klijent bħala kontrollur u EAS International, Klybeckstr. 141, 4057 Basel, Schweiz bħala proċessur (il-Fornitur). Rappreżentant tal-Fornitur fl-UE skont l-Art. 27 tal-GDPR: Urs Zimmermann, Eichacker 2, 79418 Schliengen, Germany.

Is-suġġett tiegħu huwa l-ipproċessar ta' data personali li l-klijent idaħħal f'Batteriepass Online jew jiġbor permezz tiegħu. In-natura, l-iskop, it-tipi ta' data u l-kategoriji ta' suġġetti tad-data huma deskritti fl-Anness 1. Il-ftehim japplika għat-tul tal-kuntratt tas-servizz inkluża l-fażi ta' qari biss skont it-taqsima 8 tat-Termini.

2. Struzzjonijiet

Il-Fornitur jipproċessa d-data esklużivament fl-ambitu tal-kuntratt tas-servizz u fuq struzzjonijiet dokumentati tal-klijent. Il-klijent joħroġ struzzjonijiet billi juża l-funzjonijiet tas-software (bħall-pubblikazzjoni ta' passaport, l-assenjazzjoni ta' livelli ta' aċċess, il-bgħit ta' talba lil fornitur, l-esportazzjoni, it-tħassir) u f'forma testwali lil info@batteriepass-online.eu. Struzzjonijiet lil hinn mill-ambitu miftiehem jiġu ttrattati bħala talbiet għal bidla u jistgħu jitħallsu separatament.

Jekk il-Fornitur iqis struzzjoni bħala illegali, jinforma lill-klijent mingħajr dewmien u jista' jissospendi l-eżekuzzjoni sal-konferma.

Li l-kontenut tal-passaport isir disponibbli għall-pubbliku, għal persuni b'interess leġittimu u għall-awtoritajiet isir skont ir-Regolament (UE) 2023/1542 fil-konfigurazzjoni magħżula mill-klijent u jitqies bħala struzzjoni tal-klijent.

3. Obbligi tal-Fornitur

• Kunfidenzjalità: il-persuni kollha involuti fl-ipproċessar huma marbuta bil-kunfidenzjalità. Id-data tal-klijent tiġi aċċessata biss fejn meħtieġ għat-tħaddim, l-appoġġ jew is-soluzzjoni ta' problemi.
• Sigurtà: il-Fornitur jimplimenta l-miżuri tekniċi u organizzattivi fl-Anness 3 u jadattahom għall-ogħla livell ta' żvilupp mingħajr ma jnaqqas il-livell ta' protezzjoni.
• Assistenza: il-Fornitur jassisti lill-klijent bil-mezzi tas-software (esportazzjoni, rettifika, tħassir, reġistru tal-aċċess) biex jissodisfa d-drittijiet tas-suġġetti tad-data u fil-valutazzjonijiet tal-impatt fuq il-protezzjoni tad-data u fil-konsultazzjonijiet mal-awtorità superviżorja, sa fejn l-informazzjoni tkun għand il-Fornitur.
• Notifika: il-Fornitur jinnotifika lill-klijent b'ksur ta' data personali li jaffettwa d-data tal-klijent mingħajr dewmien żejjed, l-aktar tard fi żmien 48 siegħa minn meta jsir jaf bih, fl-indirizz tal-email maħżun fil-kont, bl-informazzjoni disponibbli skont l-Art. 33(3) tal-GDPR.
• Talbiet tas-suġġetti tad-data: jekk is-suġġetti tad-data jikkuntattjaw lill-Fornitur direttament, dan jgħaddi t-talba lill-klijent mingħajr risposta sostantiva tiegħu stess, sa fejn it-talba tirrigwarda d-data tal-klijent.
• Evidenza: fuq talba, il-Fornitur jagħmel disponibbli l-informazzjoni meħtieġa biex tintwera l-konformità ma' dan il-ftehim, b'mod partikolari deskrizzjoni tal-miżuri fl-Anness 3 u rapporti dwar inċidenti tas-sigurtà.
• Tħassir: wara t-tmiem tal-ipproċessar il-Fornitur iħassar id-data skont it-taqsima 8 tat-Termini sakemm ma jkunx jeżisti obbligu statutorju taż-żamma. Għall-passaporti tal-batteriji ppubblikati, l-obbligu statutorju li jinżammu disponibbli skont l-Art. 77(8) tar-Regolament (UE) 2023/1542 jgħodd bħala obbligu taż-żamma.

4. Drittijiet tal-awditjar tal-klijent

Il-klijent jista' jivverifika l-konformità ma' dan il-ftehim darba fis-sena u fejn ikun hemm raġuni speċifika. Il-verifika ssir primarjament billi tiġi eżaminata d-dokumentazzjoni, ir-rapporti u l-konfermi tas-sub-proċessuri. Awditjar fuq il-post huwa possibbli wara avviż b'perjodu raġonevoli (mill-inqas 14-il jum) matul il-ħinijiet normali tan-negozju, sakemm ma jipperikolax id-data ta' klijenti oħra. Għal awditjar li jaqbeż wieħed fis-sena jew li ma jkunx ikkawżat minn inċident, il-Fornitur jista' jitlob ħlas għall-isforz li jirriżulta b'rata raġonevoli.

5. Sub-proċessuri

Il-klijent jagħti l-kunsens għall-użu tas-sub-proċessuri elenkati fl-Anness 2. Il-Fornitur jorbothom b'obbligi tal-protezzjoni tad-data ekwivalenti għal dawk miftiehma hawnhekk.

Il-Fornitur jinforma lill-klijent b'bidliet maħsuba (żieda jew sostituzzjoni) mill-inqas 30 jum minn qabel bl-email. Il-klijent jista' joġġezzjona f'dan il-perjodu għal raġunijiet importanti ta' protezzjoni tad-data. F'każ ta' oġġezzjoni, kwalunkwe parti tista' ttemm il-kuntratt tas-servizz b'effett mid-data tal-bidla; it-taqsima 8 tat-Termini tibqa' mhux affettwata.

6. Ipproċessar f'pajjiżi terzi

Id-data tinħażen fuq servers fil-Ġermanja. Il-Fornitur huwa stabbilit fl-Iżvizzera, li għaliha teżisti deċiżjoni ta' adegwatezza tal-Kummissjoni Ewropea; għalhekk l-aċċess mill-Iżvizzera huwa permess. L-ipproċessar f'pajjiżi terzi oħra jsir biss bil-kunsens tal-klijent u abbażi ta' salvagwardji xierqa skont il-Kapitolu V tal-GDPR.

7. Obbligi tal-klijent

Il-klijent huwa responsabbli għal-legalità tal-ipproċessar, b'mod partikolari għall-bażi legali għall-pubblikazzjoni ta' informazzjoni dwar persuni fiżiċi fil-passaporti, biex jinforma lis-suġġetti tad-data u għal-legalità tal-kuntatt mal-fornituri u mal-applikanti. Jassenja l-livelli ta' aċċess u l-għotjiet ta' aċċess taħt ir-responsabbiltà tiegħu stess u jiċċekkja li d-data li ssir aċċessibbli permezz tas-software tikkonforma mar-rekwiżiti legali.

Il-klijent jindika fil-kont indirizz tal-email li jista' jintlaħaq għal kwistjonijiet ta' protezzjoni tad-data u jżommu aġġornat.

8. Responsabbiltà, tul, dispożizzjonijiet finali

It-taqsima 11 tat-Termini tapplika għar-responsabbiltà; l-Art. 82 tal-GDPR jibqa' mhux affettwat. Dan il-ftehim jintemm mal-kuntratt tas-servizz iżda jibqa' fis-seħħ sakemm il-Fornitur iżomm id-data tal-klijent disponibbli skont it-taqsima 8 tat-Termini. Għall-bqija japplikaw id-dispożizzjonijiet finali tat-Termini. F'każ ta' kunflitt bejn dan il-ftehim u t-Termini, dan il-ftehim jipprevali għal kwistjonijiet ta' protezzjoni tad-data.

Anness 1 – Suġġett tal-ipproċessar

• Natura u skop: hosting, ħżin, wiri, esportazzjoni u trażmissjoni tal-kontenut tal-passaporti tal-batteriji u tad-dokumenti relatati; bgħit ta' emails f'isem il-klijent (talbiet lill-fornituri, deċiżjonijiet dwar l-aċċess); reġistrazzjoni tal-aċċess għal kontenut protett; provvista tal-API u tal-webhooks.
• Tipi ta' data: ismijiet, funzjonijiet u dettalji ta' kuntatt ta' persuni ta' kuntatt tal-klijent, tal-fornituri tiegħu u ta' applikanti għal għotjiet ta' aċċess (indirizz tal-email, organizzazzjoni, rwol, skop, dokumenti ta' sostenn); kontenut tal-oqsma tal-passaporti u tad-dokumenti sa fejn ikun fihom informazzjoni dwar persuni fiżiċi (bħall-persuna responsabbli tal-operatur ekonomiku, il-firmatarji tad-dikjarazzjonijiet ta' konformità); reġistri tal-aċċess (indirizz IP imqassar u hashed, user agent, ħin, livell ta' aċċess); data sottomessa mill-klijent lill-API.
• Kategoriji ta' suġġetti tad-data: impjegati u persuni ta' kuntatt tal-klijent, tal-fornituri tiegħu u tas-sħab kummerċjali tiegħu; persuni li jitolbu aċċess għal kontenut protett tal-passaporti (awtoritajiet, operaturi tat-tiswija u tar-riċiklaġġ, xerrejja); viżitaturi ta' paġni pubbliċi tal-passaporti.
• Kategoriji speċjali (Art. 9 GDPR) mhumiex soġġetti għall-ipproċessar; il-klijent ma jdaħħalx data bħal din fis-software.

Anness 2 – Sub-proċessuri

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, il-Ġermanja – servizzi taċ-ċentru tad-data (servers, database, ħżin tad-dokumenti, backups) f'Falkenstein u Nuremberg.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, il-Ġermanja – bgħit ta' emails f'isem il-klijent.
• Stripe Payments Europe Ltd., Dublin, l-Irlanda, tipproċessa d-data tal-ħlas tal-klijent bħala kontrollur indipendenti u mhijiex sub-proċessur għad-data tal-klijent fis-sens ta' dan il-ftehim.

Anness 3 – Miżuri tekniċi u organizzattivi

• Aċċess fiżiku u għas-sistemi: servers f'ċentri tad-data ta' Hetzner iċċertifikati ISO 27001; amministrazzjoni biss permezz ta' SSH ibbażat fuq ċwievet u netwerk privat; id-database ma tistax tintlaħaq mill-internet pubbliku.
• Aċċess għad-data: permessi bbażati fuq ir-rwoli (sid, editur, osservatur) għal kull organizzazzjoni; separazzjoni tal-kerrejja fil-livell tad-database permezz tal-ID tal-organizzazzjoni f'kull mistoqsija; il-livelli ta' aċċess għall-kontenut tal-passaporti (pubbliku, interess leġittimu, awtorità) huma infurzati fuq in-naħa tas-server f'funzjoni waħda tal-filtrar.
• Awtentikazzjoni: passwords bħala hashes scrypt; sessjonijiet b'tokens każwali fid-database, 30 jum; verifika tal-email qabel l-aċċess għall-kitba; limiti fuq it-tentattivi tal-login, tar-reġistrazzjoni u tar-reset; ċwievet tal-API maħżuna biss bħala hashes.
• Trażmissjoni: TLS għall-konnessjonijiet kollha; Content Security Policy; webhooks iffirmati (HMAC) b'sigrieti maħżuna kriptati.
• Integrità: kull pubblikazzjoni ta' passaport toħloq verżjoni b'katina ta' hashes (hash preċedenti); audit log tal-azzjonijiet kollha tal-kitba; xejn ma jitħassar fiżikament qabel ma jiskadu l-perjodi kuntrattwali.
• Disponibbiltà: backup ta' kuljum tad-database u tal-ħżin tad-dokumenti b'żamma ta' mill-inqas 30 jum f'post ieħor; testijiet regolari tar-restawr; monitoraġġ tad-disponibbiltà.
• Separazzjoni: id-data tal-produzzjoni hija separata mill-ambjenti tal-iżvilupp u tat-test; il-passaporti fil-pjan Pilot huma mmarkati bħala data tat-test.
• Organizzazzjoni: minimizzazzjoni tad-data mibnija fis-software (biss l-oqsma meħtieġa għall-passaport); reviżjoni tas-sigurtà għal kull bidla fis-servizz; dokumentazzjoni tal-inċidenti; aġġornamenti regolari tal-komponenti tas-sistema.