Kasunduan sa pagproseso ng datos (Artikulo 28 ng GDPR)

1. Mga partido at paksa

1.1 Ang controller ay ang Gumagamit (mula rito ay “Kliyente”), at ang processor ay ang iBeekeeper UG (haftungsbeschränkt), Lessingstraße 4, 15345 Altlandsberg, Alemanya (mula rito ay “iBeekeeper”).

1.2 Pinoproseso ng iBeekeeper ang personal na datos sa ngalan ng Kliyente, hangga't iniimbak ito ng Kliyente sa Serbisyo sa loob ng saklaw ng kontrata sa paggamit (AGB). Tagal: ang termino ng kontrata sa paggamit, dagdag ang mga palugit ayon sa Seksyon 9.

2. Uri, layunin at saklaw

3. Mga tagubilin

Pinoproseso lamang ng iBeekeeper ang datos ayon sa dokumentadong tagubilin ng Kliyente. Ang mga tagubilin ay ganap na itinakda sa kontrata sa paggamit at sa mga setting at function ng Serbisyo na ginagamit ng Kliyente. Nagbibigay siya ng karagdagang tagubilin sa nakasulat na anyo sa service@ibeekeeper.de. Kung itinuturing ng iBeekeeper na labag sa batas ang isang tagubilin, agad itong ipinapaalam ng iBeekeeper sa Kliyente (Art. 28(3), ikatlong pangungusap, GDPR).

4. Pagiging kumpidensyal

Gumagamit lamang ang iBeekeeper ng mga taong nangako ng pagiging kumpidensyal o saklaw ng legal na obligasyon ng paglilihim.

5. Mga teknikal at pang-organisasyong hakbang

Isinasagawa ng iBeekeeper ang mga hakbang ayon sa Art. 32 GDPR na inilalarawan sa Annex 1 at iniaangkop ang mga ito sa kasalukuyang antas ng teknolohiya nang hindi binababa ang antas ng proteksyon.

6. Mga sub-processor

6.1 Inaaprubahan ng Kliyente ang mga sub-processor na nakalista sa Annex 2.

6.2 Ipinapaalam ng iBeekeeper sa Kliyente sa nakasulat na anyo nang hindi bababa sa 30 araw bago nito ang bawat binabalak na pagdaragdag o pagpapalit. Maaaring tumutol ang Kliyente sa loob ng palugit na ito dahil sa mabigat na dahilang may kinalaman sa proteksyon ng datos. Kung hindi magkasundo ang mga partido, maaaring kanselahin ng Kliyente ang kontrata sa paggamit sa petsa ng pagbabago.

6.3 Ipinapataw ng iBeekeeper sa bawat sub-processor, sa pamamagitan ng kontrata, ang parehong mga obligasyon sa proteksyon ng datos.

7. Suporta sa Kliyente

Sinusuportahan ng iBeekeeper ang Kliyente sa pamamagitan ng angkop na mga hakbang sa pagsagot sa mga kahilingan ng mga apektadong tao (Art. 12 hanggang 22 GDPR), lalo na sa pamamagitan ng mga function ng Serbisyo para sa export, pagbabago at pagbura, gayundin sa mga obligasyon ayon sa Art. 32 hanggang 36 GDPR. Kung direktang lumapit sa iBeekeeper ang isang apektadong tao, ipinapasa ng iBeekeeper ang kahilingan sa Kliyente.

8. Mga paglabag sa proteksyon ng personal na datos

Agad na iniuulat ng iBeekeeper sa Kliyente ang isang paglabag sa proteksyon ng datos na pinoproseso sa ngalan niya, hangga't maaari sa loob ng 48 oras mula nang malaman ito, kasama ang impormasyon ayon sa Art. 33(3) GDPR, hangga't alam ito.

9. Pagbura at pagbabalik

Maaaring i-export at burahin mismo ng Kliyente ang datos anumang oras. Pagkatapos ng kontrata sa paggamit o pagkatapos burahin ang account, binubura ng iBeekeeper ang datos na pinoproseso sa ngalan ng Kliyente ayon sa mga palugit ng AGB (Seksyon 9.7), hangga't walang legal na obligasyong iimbak ito. Binubura ang mga pang-araw-araw na backup pagkalipas ng 30 araw, at ang isang bersyon bawat buwan ng kalendaryo pagkalipas ng 12 buwan. Naka-encrypt ang mga backup at ginagamit lamang para sa pagpapanumbalik; pagkatapos ng pagpapanumbalik, muling binubura ang datos na nabura sa pagitan.

10. Mga katibayan at pagsusuri

Kapag hiniling, ibinibigay ng iBeekeeper sa Kliyente ang impormasyong kailangan upang mapatunayan ang pagsunod sa mga obligasyong ito, at pinapayagan ang mga pagsusuri ng Kliyente o ng isang auditor na inatasan niya at nangako ng paglilihim, matapos ang abiso na may makatwirang palugit, sa oras ng negosyo. Pangunahing ginagawa ang pagpapatunay sa pamamagitan ng mga dokumento at impormasyon.

11. Pananagutan at mga huling probisyon

Para sa pananagutan, umiiral ang Art. 82 GDPR; bukod dito, umiiral ang AGB. Kung may salungatan, ang kasunduang ito ang mangingibabaw sa AGB, hangga't may kinalaman ito sa proteksyon ng personal na datos.

Annex 1: Mga teknikal at pang-organisasyong hakbang

• Pagpasok at pisikal na seguridad: mga server lamang sa mga data center ng OVHcloud, kasosyo sa kontrata ang OVH GmbH, Köln; kontrol sa pagpasok ng OVHcloud ayon sa kasunduan nito sa pagpoproseso ng datos (bersyon mula Oktubre 17, 2025).
• Access: pag-log in gamit ang password, iniimbak lamang ang mga password bilang hash; administrator access sa mga server sa pamamagitan lamang ng SSH key.
• Pag-access sa datos: mga karapatan sa Serbisyo bawat account, pagbabahagi lamang ng Gumagamit; itinatala ang mga administratibong pag-access (admin app, log ng mga aksyon sa kustomer).
• Pagpapasa: transport encryption na TLS para sa lahat ng koneksyon; mga larawan na walang metadata.
• Kontrol sa input: journal ng mga pagbabago para sa aklat ng kita at gastos at sa mga resibong inilabas, imbakang hindi mababago na may checksum.
• Availability: pang-araw-araw na backup ng database at media sa hiwalay na storage (object storage ng OVHcloud sa Alemanya); binubura ang mga pang-araw-araw na backup pagkalipas ng 30 araw, at ang isang bersyon bawat buwan ng kalendaryo pagkalipas ng 12 buwan; naka-encrypt ang mga backup at ginagamit lamang para sa pagpapanumbalik; sinusubukan ang pagpapanumbalik nang hindi bababa sa isang beses bawat taon at dinodokumento ang resulta.
• Paghihiwalay: multi-tenant na pag-iimbak ng datos, mga query bawat account.
• Pagsusuri: mga update sa seguridad ng mga server at dependency, taunang pagsusuri ng mga hakbang.

Annex 2: Mga sub-processor

Gumagamit naman ang OVH GmbH ng mga kumpanya ng OVHcloud group, at para sa suporta at maintenance, ng OVH Hébergement Inc. (Canada) at ng OVH Limited (United Kingdom); ang kasalukuyang listahan ay nasa https://contract.eu.ovhapis.com/1.0/pdf/OVH_Sub_processors-de.pdf.

Hindi mga sub-processor: ang Mollie, Apple at Google (pagbabayad o paghahatid sa sarili nilang ugnayan sa Gumagamit, walang datos na pinoproseso sa ngalan ng Kliyente).