Vinnslusamningur Borga

Hugtök í vinnslusamningi þessum, svo sem persónuupplýsingar, vinnsla, ábyrgðaraðili, vinnsluaðili, undirvinnsluaðili og öryggisbrestur, hafa sömu merkingu og í persónuverndarlöggjöf. Önnur hugtök hafa sömu merkingu og í skilmálum Borga.

Söluaðili er ábyrgðaraðili vinnslu persónuupplýsinga um sína viðskiptavini og greiðendur og ákveður tilgang og aðferðir vinnslunnar. Borga er vinnsluaðili og vinnur persónuupplýsingarnar einungis fyrir hönd söluaðila.

Vinnslusamningurinn tekur ekki til vinnslu sem Borga annast sem ábyrgðaraðili, svo sem vinnslu upplýsinga um notendur söluaðilavefs, áreiðanleikakönnunar og vinnslu sem Borga er skylt að annast samkvæmt lögum. Um slíka vinnslu fer samkvæmt persónuverndarstefnu Borga.

Færsluhirðir vinnur kortaupplýsingar og færsluupplýsingar sem sjálfstæður ábyrgðaraðili á grundvelli samnings síns við söluaðila og er ekki undirvinnsluaðili Borga. Sama gildir um bókhaldskerfi sem söluaðili tengir við Borga, sem vinnur upplýsingar á grundvelli samnings síns við söluaðila.

Tilgangur vinnslunnar er að veita söluaðila þá þjónustu sem lýst er í skilmálum Borga, þar á meðal að taka við greiðslum á hýstri greiðslusíðu og í innfelldu greiðsluflæði, halda utan um viðskiptavini, vistuð greiðslukort og áskriftir, spegla greiðslur yfir í bókhaldskerfi söluaðila og senda tilkynningar og kvittanir.

Flokkar skráðra einstaklinga: greiðendur og viðskiptavinir söluaðila, og tengiliðir sem söluaðili skráir í Borga.

Tegundir persónuupplýsinga: nafn, netfang, símanúmer, heimilisfang, kennitala þar sem hún er nauðsynleg (t.d. vegna sölureiknings eða kröfu í netbanka), færsluupplýsingar, upplýsingar um áskriftir og notkun, tilvísun á vistað greiðslukort (e. token) ásamt síðustu fjórum tölustöfum og gildistíma korts, IP-tala og tæknilegar upplýsingar um tæki greiðanda, og aðrar upplýsingar sem söluaðili skráir, t.d. í lýsigögn (e. metadata).

Borga vinnur ekki viðkvæmar persónuupplýsingar nema söluaðili skrái þær sjálfur, og skal söluaðili ekki gera það nema nauðsyn beri til og lagaheimild sé fyrir hendi.

Vinnslan varir á meðan samstarfssamningur aðila er í gildi og þar til persónuupplýsingum hefur verið eytt eða þeim skilað samkvæmt 11. gr.

Borga vinnur persónuupplýsingar einungis samkvæmt skjalfestum fyrirmælum söluaðila. Skilmálar Borga, vinnslusamningur þessi, stillingar söluaðila í söluaðilavef og kallanir söluaðila á API Borga teljast skjalfest fyrirmæli.

Ef Borga telur að fyrirmæli brjóti gegn persónuverndarlöggjöf skal Borga tilkynna söluaðila um það án tafar.

Borga er heimilt að víkja frá fyrirmælum ef lög gera Borga skylt að vinna persónuupplýsingar með öðrum hætti. Í slíkum tilvikum skal Borga upplýsa söluaðila um lagaskylduna áður en vinnslan fer fram, nema lög banni slíka upplýsingagjöf.

Borga tryggir að starfsmenn og aðrir sem hafa aðgang að persónuupplýsingum fyrir hönd Borga séu bundnir trúnaði og fái einungis aðgang að því marki sem nauðsynlegt er vegna starfa þeirra. Trúnaðarskyldan helst eftir að samstarfssamningi lýkur.

Borga gerir viðeigandi tæknilegar og skipulagslegar ráðstafanir til að tryggja öryggi persónuupplýsinga í samræmi við 32. gr. GDPR, að teknu tilliti til eðlis vinnslunnar og áhættu fyrir réttindi skráðra einstaklinga.

Ráðstafanirnar fela meðal annars í sér: dulkóðuð samskipti (TLS) við öll kerfi Borga; að kortanúmer og öryggisnúmer korta eru slegin inn hjá færsluhirði og berast aldrei Borga; aðskilnað prófunarumhverfis og raunumhverfis; að leynilyklar að API eru geymdir sem tætigildi (e. hash) og aðgangslyklar að bókhaldskerfum dulkóðaðir; og aðgangsstýringu þar sem notendur söluaðilavefs auðkenna sig með Kenni.is.

Borga endurskoðar öryggisráðstafanir reglulega og uppfærir þær eftir því sem tækni og áhætta gefa tilefni til.

Söluaðili veitir Borga almenna heimild til að nýta undirvinnsluaðila, svo sem hýsingaraðila, gagnagrunnsþjónustu, póstþjónustu og villuvöktunarþjónustu. Borga lætur söluaðila í té lista yfir núverandi undirvinnsluaðila sé þess óskað.

Borga tilkynnir söluaðila um fyrirhugaðar breytingar á undirvinnsluaðilum með hæfilegum fyrirvara. Söluaðili getur andmælt breytingu á málefnalegum grundvelli innan fjórtán (14) daga frá tilkynningu. Náist ekki samkomulag getur söluaðili sagt samstarfssamningnum upp án fyrirvara.

Borga gerir skriflegan samning við hvern undirvinnsluaðila sem leggur á hann sambærilegar skyldur um persónuvernd og hvíla á Borga samkvæmt vinnslusamningi þessum. Borga ber ábyrgð gagnvart söluaðila á því að undirvinnsluaðilar uppfylli skyldur sínar.

Borga flytur persónuupplýsingar ekki út fyrir Evrópska efnahagssvæðið (EES) nema viðeigandi verndarráðstafanir séu til staðar samkvæmt V. kafla GDPR, svo sem ákvörðun framkvæmdastjórnar Evrópusambandsins um fullnægjandi vernd eða staðlaðir samningsskilmálar (e. Standard Contractual Clauses).

Borga aðstoðar söluaðila, að teknu tilliti til eðlis vinnslunnar, við að verða við beiðnum skráðra einstaklinga um að neyta réttinda sinna, svo sem um aðgang, leiðréttingu, eyðingu og flutning upplýsinga. Berist Borga slík beiðni beint frá skráðum einstaklingi vísar Borga henni til söluaðila án ótilhlýðilegrar tafar og svarar henni ekki sjálft nema samkvæmt fyrirmælum söluaðila.

Borga aðstoðar söluaðila jafnframt við að uppfylla skyldur sínar samkvæmt 32.–36. gr. GDPR, þar á meðal varðandi öryggi vinnslu, tilkynningar um öryggisbresti, mat á áhrifum á persónuvernd og fyrirframsamráð við Persónuvernd.

Verði Borga vart við öryggisbrest sem varðar persónuupplýsingar sem Borga vinnur fyrir hönd söluaðila, skal Borga tilkynna söluaðila um hann án ótilhlýðilegrar tafar og eigi síðar en fjörutíu og átta (48) klukkustundum eftir að Borga varð hans vart.

Tilkynningin skal, eftir því sem upplýsingar liggja fyrir, lýsa eðli brestsins, flokkum og áætluðum fjölda skráðra einstaklinga og skráninga sem hann varðar, líklegum afleiðingum hans og þeim ráðstöfunum sem Borga hefur gripið til eða hyggst grípa til. Borga veitir frekari upplýsingar jafnóðum og þær liggja fyrir.

Söluaðili ber ábyrgð á að tilkynna Persónuvernd og skráðum einstaklingum um öryggisbrest þegar það er skylt samkvæmt lögum.

Við lok samstarfssamnings eyðir Borga persónuupplýsingum sem unnar eru fyrir hönd söluaðila innan níutíu (90) daga, nema lög krefjist þess að Borga varðveiti þær lengur. Söluaðili getur, áður en samningi lýkur, óskað eftir afriti af upplýsingunum á algengu og tölvulesanlegu sniði.

Upplýsingar sem Borga er skylt að varðveita samkvæmt lögum, til dæmis bókhaldsgögn, eru varðveittar eins lengi og lög krefjast og einungis unnar í þeim tilgangi.

Borga lætur söluaðila í té allar upplýsingar sem nauðsynlegar eru til að sýna fram á að Borga uppfylli skyldur sínar samkvæmt vinnslusamningi þessum.

Söluaðili, eða óháður úttektaraðili á hans vegum sem bundinn er trúnaði, getur framkvæmt úttekt á vinnslu Borga með minnst þrjátíu (30) daga fyrirvara og að jafnaði ekki oftar en einu sinni á ári, nema öryggisbrestur eða fyrirmæli Persónuverndar gefi tilefni til. Söluaðili ber kostnað af úttekt.

Vinnslusamningur þessi gildir á meðan samstarfssamningur aðila er í gildi og þar til vinnslu lýkur samkvæmt 11. gr.

Um ábyrgð aðila, breytingar og ágreining fer samkvæmt skilmálum Borga, að því marki sem persónuverndarlöggjöf leyfir. Sé ósamræmi milli vinnslusamnings þessa og skilmála Borga um vinnslu persónuupplýsinga gengur vinnslusamningurinn framar.