数据处理协议

1.1。 “个人数据”是指与已识别或可识别的自然人有关的任何信息。

1.2。 “控制者”是指确定处理个人数据的目的和方式的服务客户。

1.3。 “处理者”是指 LLC Dva PiEr，它代表控制者处理个人数据。

1.4。 “处理”是指对个人数据执行的任何操作，包括收集、存储、使用、转移或删除。

1.5。 “子处理者”是指处理者聘请的协助处理个人数据的任何第三方。

2.1。处理方仅应在提供 4Pay.online 服务所需且由控制方书面记录的情况下处理个人数据。

2.2。数据主体类别：数据通过服务传输的控制者的员工、客户和交易对手。

2.3。个人数据类别：联系方式、身份数据、支付交易数据和技术标识符。

3.1。除非适用法律要求，否则仅根据控制者的书面指示处理个人数据。

3.2。确保有权处理个人数据的人员受到保密义务的约束。

3.3。根据 32 GDPR 条和适用法律实施适当的技术和组织安全措施。

3.4。协助控制者响应数据主体行使其权利的请求。

3.5。根据控制者的指示，在服务终止时删除或返还所有个人数据。

3.6。提供证明遵守本 DPA 所需的所有信息。

4.1。控制者负责处理数据主体请求（访问、更正、删除、可移植性、反对）。

4.2。如果处理者直接收到数据主体的请求，则应立即通知控制者。

4.3。处理者应提供合理的技术援助，以使控制者能够履行数据主体权利。

4.4。处理方协助的响应时间：在控制方提出请求后的 5 个工作日内。

5.1。控制者授予处理者一般授权，以根据本 DPA 中的条件聘用分处理者。

5.2。处理者应对分处理者施加与本 DPA 中规定的相同的数据保护义务。

5.3。处理者应在合理的提前通知下将子处理者的任何预期变更通知控制者。

6.1。处理器对传输中和静态的数据进行加密、访问控制和定期安全评估。

6.2。支付卡数据 (CHD/SAD) 仅通过 PCI DSS 认证的基础设施进行处理。交易完成后，不会存储 CHD/SAD。

6.3。对个人数据的访问受到必要了解的限制，并受到严格的身份验证控制。

7.1。处理者应在意识到影响控制者数据的个人数据泄露后不迟于 72 小时通知控制者，不得无故拖延。

7.2。通知应包括：违规的性质、受影响的数据主体和记录的类别和大致数量、可能的后果以及采取的措施。

7.3。根据法律要求，控制者负责通知监管机构和受影响的数据主体。

8.1。只有在采取充分的保障措施（例如标准合同条款、充分性决定）的情况下，个人数据才可以转移到 EEA 之外。

8.2。处理者应根据要求向控制者提供有关传输机制的信息。

9.1。本DPA在服务协议有效期内持续有效，并在其期满或终止时自动终止。

9.2。本DPA受服务协议适用的法律管辖。 DPA 查询请联系：support@4pay.online。