Anhang zur Datenverarbeitung

Dieses Addendum zur Datenverarbeitung („DPA“) wird in SharpSpring Ads erwähnt und ist ein wesentlicher Bestandteil von SharpSpring Ads Nutzungsbedingungen (Das "Nutzungsbedingungen") und wird mit Annahme der Nutzungsbedingungen wirksam. Die in dieser Datenschutzbehörde verwendeten Begriffe haben die hier angegebenen Bedeutungen. Großgeschriebene Begriffe, die nicht anders definiert sind, haben die in den Nutzungsbedingungen angegebene Bedeutung. Sofern nachstehend nichts geändert wird, bleiben die in den Nutzungsbedingungen festgelegten Bedingungen in vollem Umfang in Kraft und wirksam. In Anbetracht der hierin dargelegten gegenseitigen Verpflichtungen vereinbaren die Parteien hiermit, dass die nachstehend aufgeführten Bedingungen als Datenschutzbehörde zu den Nutzungsbedingungen hinzugefügt werden.

1. Datenschutz.

1.1 Definitionen:

(A) "Regler", "Prozessor", "Betroffene Person" und "wird bearbeitet";; (und "Prozess") haben die im anwendbaren Datenschutzgesetz angegebenen Bedeutungen.
(B) "Anwendbares Datenschutzgesetz" bedeutet: (i) vor dem 25. Mai 2018 die Richtlinie 95/46 / EG des Europäischen Parlaments und des Rates zum Schutz des Einzelnen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr; und (ii) am und nach dem 25. Mai 2018 die Verordnung 2016/679 des Europäischen Parlaments und des Rates über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und über den freien Verkehr dieser Daten sowie die Aufhebung der Richtlinie 95 / 46 / EG (Allgemeine Datenschutzverordnung).
(C) "Persönliche Daten" bezeichnet alle Daten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; Eine identifizierbare Person ist eine Person, die direkt oder indirekt identifiziert werden kann, insbesondere anhand einer Identifikationsnummer oder eines oder mehrerer Faktoren, die für ihre physische, physiologische, mentale, wirtschaftliche, kulturelle oder soziale Identität spezifisch sind.

1.2 Beziehung der Parteien: Du der "Regler") ernennt SharpSpring Ads zum Verarbeiter für die Verarbeitung der in den Nutzungsbedingungen und seiner Datenschutzbehörde beschriebenen personenbezogenen Daten. Jede Partei hat diese Datenschutzbehörde und alle Verpflichtungen einzuhalten, die nach dem anwendbaren Datenschutzgesetz für sie gelten.

1.3 Verbotene Daten: Sie dürfen keine speziellen Kategorien personenbezogener Daten an SharpSpring Ads zur Verarbeitung weitergeben (und keine Daten offenlegen).

1.4 Zweckbegrenzung: SharpSpring Ads verarbeitet die personenbezogenen Daten als Verarbeiter, wenn dies zur Erfüllung seiner Verpflichtungen gemäß den Nutzungsbedingungen und / oder streng in Übereinstimmung mit Ihren dokumentierten Anweisungen erforderlich ist (die "Zulässiger Zweck").

1.5 Internationale Transfers: SharpSpring Ads darf keine personenbezogenen Daten außerhalb der europäischen Gebiete übertragen (und auch nicht zulassen, dass personenbezogene Daten übertragen werden), es sei denn, es werden die erforderlichen Maßnahmen getroffen, um sicherzustellen, dass die Übertragung den geltenden Datenschutzgesetzen entspricht. Zu diesen Maßnahmen kann (ohne Einschränkung) die Übermittlung der personenbezogenen Daten an einen Empfänger in einem Land gehören, von dem die Europäische Kommission beschlossen hat, dass er einen angemessenen Schutz für personenbezogene Daten bietet, an einen Empfänger, der eine verbindliche Genehmigung nach den geltenden Datenschutzbestimmungen erhalten hat ein Empfänger, der am EU-US Privacy Shield-Zertifizierungsprogramm teilnimmt, oder ein Empfänger, der Standardvertragsklauseln ausgeführt hat, die von der Europäischen Kommission angenommen oder genehmigt wurden.

1.6 Vertraulichkeit der Verarbeitung: SharpSpring Ads stellt sicher, dass jede Person, die zur Verarbeitung personenbezogener Daten berechtigt ist (einschließlich der Mitarbeiter, Vertreter und Subunternehmer von SharpSpring Ads) (an "Berechtigte Person") unterliegen einer strengen Vertraulichkeitspflicht (ob vertragliche oder gesetzliche Pflicht) und gestatten niemandem, personenbezogene Daten zu verarbeiten, die keiner solchen Vertraulichkeitspflicht unterliegen.

1.7 Sicherheit: SharpSpring Ads muss geeignete technische und organisatorische Maßnahmen ergreifen, um die personenbezogenen Daten zu schützen (i) vor versehentlicher oder rechtswidriger Zerstörung und (ii) Verlust, Änderung, unbefugte Offenlegung oder Zugriff auf die personenbezogenen Daten (a) "Sicherheitsvorfall").

1.8 Vergabe von Unteraufträgen: Sie stimmen zu, dass SharpSpring Ads Subprozessoren von Drittanbietern mit der Verarbeitung personenbezogener Daten für den zulässigen Zweck beauftragt, vorausgesetzt: (i) SharpSpring Ads führt eine aktuelle Liste seiner Subprozessoren, die Ihnen auf Anfrage zur Verfügung gestellt werden, und aktualisiert diese mit Einzelheiten von jeder vorgeschlagenen Änderung eine angemessene Zeit vor der Ernennung oder Ersetzung eines Subprozessors; (ii) SharpSpring Ads legt Datenschutzbestimmungen für jeden von ihm ernannten Subprozessor fest, der den Schutz der personenbezogenen Daten gemäß dem vom anwendbaren Datenschutzgesetz und dieser Datenschutzbehörde geforderten Standard vorschreibt. und (iii) SharpSpring Ads haftet weiterhin für Verstöße gegen diese Bestimmung, die durch eine Handlung, einen Fehler oder eine Unterlassung seines Subprozessors verursacht werden. Eine Liste der zugelassenen Subprozessoren ist beigefügt Zeitplan A. Sie können der Ernennung oder Ersetzung eines Subprozessors durch SharpSpring Ads vor dessen Ernennung oder Ersetzung widersprechen, sofern dieser Widerspruch auf angemessenen datenschutzrechtlichen Gründen beruht. In diesem Fall wird SharpSpring Ads den Subprozessor entweder nicht ernennen oder ersetzen oder, falls dies nicht möglich ist, die Nutzungsbedingungen (unbeschadet etwaiger Gebühren, die Ihnen vor der Suspendierung oder Kündigung entstehen) innerhalb von 30 Tagen schriftlich aussetzen oder kündigen Hinweis für SharpSpring-Anzeigen.

1.9 Kooperations- und Rechte der betroffenen Personen: SharpSpring Ads bietet Ihnen (auf Ihre Kosten) alle angemessenen und zeitnahen Hilfestellungen (einschließlich geeigneter technischer und organisatorischer Maßnahmen), damit Sie auf Folgendes reagieren können: (i) jede Anfrage einer betroffenen Person zur Ausübung ihrer Rechte aus anwendbaren Daten Schutzgesetz (einschließlich seiner Rechte auf Zugang, Berichtigung, Widerspruch, Löschung und Datenübertragbarkeit, soweit zutreffend); und (ii) jede andere Korrespondenz, Anfrage oder Beschwerde, die von einer betroffenen Person, einer Aufsichtsbehörde oder einem anderen Dritten im Zusammenhang mit der Verarbeitung personenbezogener Daten erhalten wurde. Für den Fall, dass eine solche Anfrage, Korrespondenz, Anfrage oder Beschwerde direkt an SharpSpring Ads gerichtet wird, werden Sie von SharpSpring Ads unverzüglich über alle Einzelheiten informiert.

1.10 Folgenabschätzung zum Datenschutz: SharpSpring Ads bietet Ihnen (auf Ihre Kosten) eine angemessene Zusammenarbeit im Zusammenhang mit Datenschutz-Folgenabschätzungen, die Sie möglicherweise nach geltendem Datenschutzgesetz durchführen müssen.

1.11 Sicherheitsvorfälle: Sobald SharpSpring Ads Kenntnis von einem Sicherheitsvorfall erlangt, informiert er Sie unverzüglich und stellt alle erforderlichen Informationen und Kooperationen zur Verfügung, die Sie möglicherweise benötigen, um die Verpflichtungen zur Meldung von Datenschutzverletzungen gemäß (und gemäß den von ) Anwendbares Datenschutzgesetz. SharpSpring Ads ergreift ferner alle erforderlichen Maßnahmen und Maßnahmen, um die Auswirkungen des Sicherheitsvorfalls zu beheben oder zu mildern, und hält Sie über alle Entwicklungen im Zusammenhang mit dem Sicherheitsvorfall auf dem Laufenden.

1.12 Löschung oder Rückgabe personenbezogener Daten: Nach Beendigung oder Ablauf der Nutzungsbedingungen zerstört oder gibt SharpSpring Ads (nach Ihrer Wahl) alle personenbezogenen Daten, die sich in seinem Besitz oder unter seiner Kontrolle befinden (einschließlich aller personenbezogenen Daten, die zur Verarbeitung an Dritte vergeben wurden), an Sie zurück oder gibt sie an Sie zurück. Diese Anforderung gilt nicht in dem Umfang, in dem SharpSpring-Anzeigen nach EU-Recht (oder EU-Mitgliedstaaten) verpflichtet sind, einige oder alle personenbezogenen Daten zu speichern. In diesem Fall muss SharpSpring Ads die personenbezogenen Daten isolieren und vor jeglicher weiteren Verarbeitung schützen es sei denn, dies ist gesetzlich vorgeschrieben.

1.13 Prüfung: SharpSpring Ads ermöglicht es Ihnen (oder Ihren ernannten externen Prüfern), die Einhaltung dieser Datenschutzrichtlinie durch SharpSpring Ads zu prüfen, und stellt Ihnen alle Informationen, Systeme und Mitarbeiter zur Verfügung, die für Sie (oder Ihre externen Prüfer) zumutbar sind, um eine solche Prüfung durchzuführen. SharpSpring Ads erkennt an, dass Sie (oder Ihre externen Prüfer) die Räumlichkeiten zum Zwecke der Durchführung dieser Prüfung betreten dürfen, sofern Sie Ihre Absicht zur Prüfung angemessen bekannt geben, Ihre Prüfung während der normalen Geschäftszeiten durchführen und alle angemessenen Maßnahmen ergreifen um unnötige Unterbrechungen des Betriebs von SharpSpring Ads zu vermeiden. Sie werden Ihre Prüfungsrechte in einem Zeitraum von 12 Kalendermonaten nicht mehr als einmal ausüben, außer (i) wenn dies auf Anweisung einer zuständigen Datenschutzbehörde erforderlich ist; oder (ii) Sie glauben, dass aufgrund eines Sicherheitsvorfalls eine weitere Prüfung erforderlich ist.

Anhang A: Anhang 1 zu den Standardvertragsklauseln

Datenexporter

Sie sind der Datenexporteur, der Dienstleistungen gemäß den Nutzungsbedingungen erhält.

Datenimporteur

Der Datenimporteur ist ein Software-as-a-Service-Anbieter für internetfähige Werbeanalysen, der Dienstleistungen gemäß den Nutzungsbedingungen erbringt und darauf abzielt, die Werbebudgets und Einnahmen seiner Kunden zu messen, zu verwalten und zu optimieren.

Datensubjekte

Die übermittelten personenbezogenen Daten betreffen folgende Kategorien von betroffenen Personen: (i) Internetnutzer, die auf die Website des Datenexporteurs zugreifen und / oder die Onlinedienste des Datenexporteurs nutzen; (ii) autorisierte Benutzer der SharpSpring Ads-Anwendung; und / oder (iii) potenzielle und bestehende Kunden des Datenexporteurs.

Kategorien von Daten

Zu den übermittelten personenbezogenen Daten gehören: (i) Bestellnummer; (ii) Produkt-ID; (iii) Währungscode; (iv) Produktkategorie; (v) Produktstückpreis; (vi) Umwandlungstyp; (vii) Benutzeragent; (viii) Bezugsantrag; und (ix) Verhalten vor Ort (Seitenklicks).

Für Benutzer der SharpSpring Ads-Anwendung können die übertragenen personenbezogenen Daten Folgendes umfassen: (i) E-Mail-Adresse; (ii) Vor- und Nachname; (iii) Telefonnummer; (iv) Postanschrift des Arbeitsverhältnisses; (v) Kreditkarteninformationen; und (vi) Bankdaten.

Spezielle Datenkategorien (falls zutreffend)

Die übertragenen personenbezogenen Daten betreffen die folgenden speziellen Datenkategorien: Keine.

Verarbeitungsvorgänge

Die folgenden Verarbeitungsvorgänge gelten wie folgt:

Der Datenimporter sammelt Daten über das Tracking-Pixel (Cookie) von SharpSpring Ads. Dieses Cookie wird vom Datenimporteur zur Datenerfassung auf den Websites des Datenimporteurs abgelegt. Diese Daten werden vom Datenexporteur in seinen Rechenzentren in Dublin, Irland, Kalifornien, USA, Virginia, USA und Singapur gespeichert und verarbeitet. Die vom Datenimporteur verarbeiteten personenbezogenen Daten können auch im Namen des Datenimporteurs an bestimmte Werbebörsen weitergegeben werden, um auf Werbeeigenschaften im Internet zu bieten. Der Datenimporteur verwendet die folgenden Entitäten als Unterprozessoren gemäß den Nutzungsbedingungen:

• Salesforce Incorporated - https://www.salesforce.com/company/privacy/full_privacy/
• Marketo Inc. - https://documents.marketo.com/legal/privacy/
• Amazon Webservices - https://aws.amazon.com/privacy/

• Google - https://gsuite.google.com/security/ & https://policies.google.com/privacy?hl=en
• Mixpanel - https://mixpanel.com/legal/privacy-policy/
• Gegensprechanlage - https://www.intercom.com/terms-and-policies
• Mailgun - https://www.mailgun.com/gdpr
• MongoHQ - https://www.mongodb.com/cloud/compliance
• OpenRedis - https://openredis.com/privacy
• Heroku - https://www.heroku.com/policy/security

Anhang A: Anhang 2 zu den Standardvertragsklauseln

Beschreibung der vom Datenimporteur gemäß den Abschnitten 4 (d) und 5 (c) (oder des beigefügten Dokuments / der Gesetzgebung) durchgeführten technischen und organisatorischen Sicherheitsmaßnahmen:

1. Unbefugte dürfen nicht auf die Datenverarbeitungssysteme zugreifen, mit denen die übertragenen Daten verarbeitet oder verwendet werden (physische Zugangskontrolle):
   1. Für SharpSpring Ads müssen die Partner der Co-Location-Einrichtung den physischen Zugriff auf diejenigen mit vorheriger Genehmigung und Bildidentifikation beschränken. Das Rechenzentrum von SharpSpring Ads befindet sich in einer von SSAE Nr. 16 geprüften Tier IV Gold-Einrichtung. Nur von SharpSpring Ads autorisierte Personen können auf die Geräte von SharpSpring Ads zugreifen. Für SharpSpring Ads müssen die Anbieter die Überprüfung der SharpSpring Ads-Serviceanfragen erzwingen. Anbieter dürfen ohne schriftliche Anweisungen von SharpSpring Ads nicht versuchen, auf die Systeme von SharpSpring Ads zuzugreifen. Darüber hinaus sind keine externen physischen Verbindungen zu SharpSpring Ads-Systemen zulässig, einschließlich Tastaturen, Anzeigen und Netzwerküberwachungssystemen.
2. Es wird verhindert, dass Datenverarbeitungssysteme ohne Genehmigung verwendet werden (logische Zugriffskontrolle):
   1. Es wird verhindert, dass Datenverarbeitungssysteme ohne Genehmigung verwendet werden. Der administrative Zugriff auf die Server von SharpSpring Ads ist auf geschulte und autorisierte Mitglieder der Daten beschränkt
      Personal des Importeurs. Der administrative Zugriff auf die SharpSpring Ads-Anwendung wird vom Datenimporteur für autorisierte Personen streng kontrolliert, sofern dies erforderlich ist. Der Remotezugriff auf die Verwaltung ist nur über kryptografisch sichere Verbindungen möglich.
   2. Der Datenimporter verwendet eine strenge Kennwortrichtlinie und eine Zwei-Faktor-Authentifizierung für den Zugriff auf alle Computer-Assets des Unternehmens. Der Fernzugriff auf die Unternehmensnetzwerke des Datenimporteurs erfolgt über ein sicheres VPN. Der Datenimporteur speichert alle Daten hinter seinen Firewalls und verwendet fortschrittliche Warnsysteme, um nicht autorisierten Zugriff zu erkennen. Alle Zugriffsversuche werden für die Anwendungen und Unternehmenssysteme des Datenimporters protokolliert.
3. Personen, die zur Nutzung eines Systems zur Verarbeitung personenbezogener Daten berechtigt sind, können nur auf solche Daten zugreifen, auf die sie gemäß ihren Zugriffsrechten zugreifen dürfen. Während der Verarbeitung oder Nutzung und nach der Speicherung können personenbezogene Daten nicht gelesen, kopiert, ohne Genehmigung geändert oder gelöscht werden (Datenzugriffskontrolle):
   1. Der Datenimporteur verwendet einen rollenbasierten Bereitstellungsprozess, wenn er Zugriff auf die SharpSpring Ads-Anwendungen und die Kundenbeziehungsverwaltungssoftware von Drittanbietern (das „CRM“) gewährt. Nur Personen mit einer „Need-to-Know“ -Basis erhalten Zugriff auf Kundendaten in den SharpSpring Ads-Anwendungen und im CRM.
   2. Der Datenimporteur unterhält einen strengen Hintergrundprüfungsprozess für alle Mitarbeiter und einen streng kontrollierten Kündigungsprozess für den Widerruf des Zugriffs. Die Benutzerbereitstellung für Unternehmenssysteme wird zweimal jährlich überprüft. Die Kunden des Datenimporteurs steuern die Benutzerbereitstellung für ihre Benutzer in den SharpSpring Ads-Anwendungen.
4. Personenbezogene Daten können während der elektronischen Übertragung, des Transports oder der Speicherung auf Speichermedien nicht ohne Genehmigung gelesen, kopiert, geändert oder gelöscht werden, und es kann überprüft und festgestellt werden, an welche Stellen die Übermittlung personenbezogener Daten mittels Datenübertragungseinrichtungen vorgesehen ist (Getriebesteuerung):
   1. Personenbezogene Daten dürfen während der elektronischen Übertragung, des Transports oder der Speicherung nicht ohne Genehmigung gelesen, kopiert, geändert oder entfernt werden. Alle persönlichen Daten in den SharpSpring Ads-Anwendungen sind hinter sicheren Firewalls geschützt, und der gesamte Zugriff auf den Datenspeicher wird in den SharpSpring Ads-Anwendungen und in den Serverprotokollen protokolliert. SharpSpring Ads verwendet eine Warnsoftware, um Warnungen für nicht autorisierten Zugriff bereitzustellen. Anmeldeinformationen für die SharpSpring Ads-Anwendung werden im Speicher gehasht und bei der Übertragung verschlüsselt.
5. Es kann überprüft und festgestellt werden, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, geändert oder aus diesen entfernt wurden (Eingabesteuerung):
   1. Es ist möglich, rückwirkend zu prüfen und festzustellen, ob und von wem personenbezogene Daten verarbeitet, abgerufen oder geändert wurden. Die SharpSpring Ads-Anwendungen und CRM-Systeme enthalten robuste Protokollierungsfunktionen, die identifizieren, wann auf Daten zugegriffen, diese geändert oder gelöscht werden. Der Datenimporteur und seine Kunden überprüfen diese Protokolle regelmäßig.
6. Personenbezogene Daten, die auf der Grundlage einer Auftragsverarbeitung verarbeitet werden, werden streng nach den Anweisungen des für die Verarbeitung Verantwortlichen verarbeitet (Jobkontrolle):
   1. Der Datenimporteur verarbeitet personenbezogene Daten nur auf Anweisung des Datenexporteurs, wie im geltenden Dienstleistungsvertrag zwischen den Parteien beschrieben.
7. Personenbezogene Daten sind vor versehentlicher Zerstörung oder Verlust geschützt (Verfügbarkeitskontrolle):
   1. Der Datenimporteur führt täglich geeignete und regelmäßige Sicherungsverfahren durch, um eine versehentliche Zerstörung des Verlusts personenbezogener Daten zu verhindern. Die Daten werden den ganzen Tag über in regelmäßigen Abständen gesichert, und jede vollständige Datensicherung wird alle 24 Stunden durchgeführt.