Daljnji prijenosi osobnih podataka

Kako bismo vam učinkovito pružili svoje usluge, osobni podaci koje ustupite subjektu Shopify s kojim ste sklopili ugovor prenose se sljedećim primateljima:

• određenim drugim subjektima tvrtke Shopify te
• pažljivo odabranim i pouzdanim podizvršiteljima obrade

Ovaj odjeljak pruža informacije o tome kako su uređeni daljnji prijenosi.

Daljnji prijenosi osobnih podataka iz Europskog gospodarskog prostora (EGP) i Ujedinjenog Kraljevstva (UK)

Shopify International Limited, pravni subjekt registriran u Irskoj, primarni je ugovorni subjekt platforme Shopify za trgovce u regijama EMEA (Europa, Bliski istok i Afrika) i LATAM (Latinska Amerika). International Limited ujedno služi kao glavno poslovno nastanjenje tvrtke Shopify u svrhu Opće uredbe o zaštiti podataka (GDPR).

GDPR i njegov ekvivalent u UK-u zahtijevaju da prilikom dijeljenja osobnih podataka sa subjektom izvan EGP-a i UK-a mora postojati u biti jednakovrijedna razina zaštite u zemlji odredišta. Iz tog razloga, takvi međunarodni prijenosi moraju biti zaštićeni snažnim pravnim mehanizmima.

Kako Shopify ispunjava zahtjeve GDPR-a za međunarodne prijenose podataka

Kako bi ispunio taj zahtjev, Shopify se oslanja na odluku Europske komisije o primjerenosti za Kanadu kada Shopify International Limited prenosi osobne podatke svojoj krovnoj tvrtki Shopify Inc., registriranoj u Kanadi. Saznajte više o odlukama o primjerenosti.

Pored toga, Shopify primjenjuje i opsežne ugovore o prijenosu i obradi podataka (DPA) koji uključuju najnoviju verziju standardnih ugovornih klauzula (SCC) koje je odobrila Europska komisija kako bi se uredili:

• svi prijenosi unutar grupe Shopify te
• daljnji prijenosi našim podizvršiteljima obrade

Pažljivo procjenjujemo svoje podizvršitelje obrade kako bismo osigurali da imaju odgovarajuće tehničke i organizacijske mjere za zaštitu osobnih podataka te provodimo odgovarajuće procjene učinka prijenosa. Saznajte više o standardnim ugovornim klauzulama (SCC)

Tijela za zaštitu podataka u EGP-u i UK-u smatraju i odluku o primjerenosti i standardne ugovorne klauzule (SCC) pravno valjanim i dostatnim mehanizmima za prijenos.

Kao dodatnu mjeru, Shopify je podnio zahtjev i za Obvezujuća korporativna pravila radi daljnjeg uređenja prijenosa unutar grupe Shopify. Taj je zahtjev podnesen vodećem nadzornom tijelu tvrtke Shopify u svrhu GDPR-a, irskom Povjerenstvu za zaštitu podataka. To će biti dodatni pravni mehanizam prijenosa za osiguravanje prijenosa unutar naše grupe poduzeća. U završnoj smo fazi rješavanja ovog zahtjeva i očekujemo da će uskoro biti odobren.

Daljnji prijenosi osobnih podataka iz svih drugih regija

Određeni zakoni o privatnosti u jurisdikcijama izvan EGP-a i UK-a također zahtijevaju specifične oblike zaštite kada su u pitanju međunarodni prijenosi osobnih podataka. Kako bismo ispunili te zahtjeve, ugovori o prijenosu i obradi podataka (DPA) tvrtke Shopify koji uređuju prijenose unutar grupe Shopify te ugovori (DPA) koji uređuju daljnje prijenose našim podizvršiteljima obrade uključuju odgovarajuće oblike zaštite kako bi se osigurala usklađenost sa zakonima o privatnosti u Kanadi, Sjedinjenim Američkim Državama (SAD) i Singapuru, ovisno o primjenjivosti. Također ažuriramo i održavamo te DPA ugovore u skladu sa zahtjevima.

Lokacije za hosting podataka

Shopify dinamički redistribuira pohranu između više regija na platformi Google Cloud Platform kako bismo mogli ponuditi pouzdanu i skalabilnu infrastrukturu koja se može nositi s nepredvidivim opsegom u našoj cjelokupnoj bazi podataka o trgovcima. Kako bismo mogli obavljati svoje usluge, moramo imati mogućnost geografskog premještanja podataka te imamo uspostavljene mehanizme kojima se to ostvaruje u skladu s važećim zakonima i propisima, uključujući GDPR.

Shopify sada pohranjuje određene osobne podatke trgovaca i korisnika u Europi (točnije, u EGP-u, UK-u i/ili Švicarskoj), kako slijedi:

• Novi trgovci u Europi automatski se koriste ovom novom infrastrukturom i sada se podaci o njihovoj trgovini, podaci o narudžbama i osobni podaci njihovih korisnika prema zadanim postavkama pohranjuju i miruju u Europi.
• Sve postojeće značajke platforme Shopify i dalje će raditi.
• Čak i kada su osobni podaci korisnika trgovaca pohranjeni u Europi, oslanjat ćemo se na međunarodne prijenose podataka za obradu tih osobnih podataka.

Kako Shopify odabire svoje podizvršitelje obrade

U skladu s GDPR-om i drugim važećim zakonima o zaštiti podataka, Shopify primjenjuje niz mjera najbolje prakse pri angažiranju podizvršitelja obrade:

• Pažljivo biramo poduzeća s kojima surađujemo.
• Upotrebljavamo samo ograničen broj pružatelja usluga treće strane.
• Inzistiramo na tome da podizvršitelji obrade potpišu sveobuhvatan DPA, koji uz odgovarajuće zaštitne mjere uključuje i SCC-ove kako bi se osigurala usklađenost sa zakonima o privatnosti u Kanadi, SAD-u i Singapuru.
• Upotrebu naših podizvršitelja obrade ograničavamo na tehničke usluge: udomljavanje u oblaku, bilježenje pogrešaka, raspodjelu opterećenja, dostavu sadržaja, dostavu karata, analizu podataka i interno bilježenje (datoteke zapisa).
• Prijenos se odvija kontinuirano i na siguran način.
• Osjetljive ili posebne kategorije osobnih podataka ne obrađuju se namjerno, osim ako to ne naloži voditelj obrade.
• Pažljivo pregledavamo programe privatnosti i sigurnosti naših podizvršitelja obrade.

Saznajte više o osnovnim podizvršiteljima obrade na platformi Shopify.