Nadaljnji prenosi osebnih podatkov

Da bi vam lahko učinkovito zagotavljali naše storitve, se osebni podatki, ki jih posredujete subjektu Shopify, s katerim sklenete pogodbo, prenesejo naslednjim prejemnikom:

• določenim drugim subjektom Shopify in
• skrbno izbranim in zaupanja vrednim podobdelovalcem

V tem razdelku so informacije o tem, kako so urejeni nadaljnji prenosi.

Nadaljnji prenosi osebnih podatkov iz Evropskega gospodarskega prostora (EGP) in Združenega kraljestva (UK)

Shopify International Limited, subjekt, registriran na Irskem, je glavni pogodbeni subjekt družbe Shopify s trgovci v regijah EMEA (Evropa, Bližnji vzhod in Afrika) in LATAM (Latinska Amerika). International Limited deluje tudi kot glavna poslovalnica družbe Shopify za namene Splošne uredbe o varstvu podatkov (GDPR).

GDPR in njegov ekvivalent v Združenem kraljestvu zahtevata, da kadar se osebni podatki delijo s subjektom zunaj EGP-ja in Združenega kraljestva, mora v ciljni državi obstajati v bistvu enakovredna raven varstva. Zato morajo biti takšni mednarodni prenosi zaščiteni z močnimi pravnimi mehanizmi.

Kako Shopify izpolnjuje zahteve uredbe GDPR glede mednarodnih prenosov podatkov

Da bi izpolnil to zahtevo, se Shopify opira na sklep o ustreznosti, ki ga je Evropska komisija sprejela za Kanado, ko Shopify International Limited prenese osebne podatke svojemu v Kanadi registriranemu krovnemu podjetju Shopify Inc. Več informacij o sklepih o ustreznosti.

Poleg tega Shopify uporablja tudi celovite pogodbe o prenosu in obdelavi podatkov (DPA), ki vključujejo najnovejšo različico standardnih pogodbenih klavzul (SCC), ki jih je odobrila Evropska komisija, za urejanje:

• vseh prenosov znotraj skupine Shopify in
• nadaljnjih prenosov našim podobdelovalcem

Skrbno preverjamo naše podobdelovalce in s tem zagotavljamo, da imajo ustrezne tehnične in organizacijske ukrepe za zaščito osebnih podatkov ter izvajajo ustrezne ocene učinka prenosa. Več informacij o klavzulah SCC

Organi za varstvo podatkov v EGP in Združenem kraljestvu obravnavajo sklep o ustreznosti in klavzule SCC kot pravno veljavna in zadostna mehanizma za prenos.

Kot dopolnilni ukrep je Shopify zaprosil tudi za zavezujoča poslovna pravila (BCR), ki bodo dodatno urejala prenose znotraj skupine Shopify. Ta vloga je bila vložena pri glavnem nadzornem organu družbe Shopify za namene uredbe GDPR, irski komisiji za varstvo podatkov. Ta bodo predstavljala dodaten pravni mehanizem za prenos, ki bo zavaroval prenose znotraj naše skupine podjetij. Ta vloga je v zadnji fazi obravnave in pričakujemo, da bo kmalu odobrena.

Nadaljnji prenosi osebnih podatkov iz vseh drugih regij

Določeni zakoni o zasebnosti v jurisdikcijah zunaj EGP in Združenega kraljestva prav tako zahtevajo posebno zaščito pri mednarodnih prenosih osebnih podatkov. Za izpolnjevanje teh zahtev vključujejo sporazumi DPA družbe Shopify, ki urejajo prenose znotraj skupine Shopify, in sporazumi DPA, ki urejajo nadaljnje prenose našim podobdelovalcem, ustrezne zaščitne ukrepe za zagotovitev skladnosti z zakoni o zasebnosti v Kanadi, Združenih državah Amerike (ZDA) in Singapurju, kot je ustrezno. Prav tako te sporazume DPA posodabljamo in vzdržujemo po potrebi.

Lokacije gostovanja podatkov

Shopify dinamično uravnoteža shranjevanje med več regijami platforme Google Cloud Platform, s čimer zagotavlja zanesljivo in razširljivo infrastrukturo, ki lahko obvladuje nepredvidljive količine podatkov v naši celotni zbirki podatkov o trgovcih. Podatke moramo premikati geografsko, da lahko izvajamo naše storitve, za kar imamo vzpostavljene mehanizme, ki so skladni z veljavnimi zakoni in predpisi, vključno z uredbo GDPR.

Shopify zdaj določene osebne podatke trgovcev in strank shranjuje v Evropi (natančneje v EGP, Združenem kraljestvu in/ali Švici), kot sledi:

• Novi trgovci v Evropi samodejno uporabljajo to novo infrastrukturo, kar pomeni, da so podatki njihove trgovine, podatki o naročilih in osebni podatki strank privzeto varno shranjeni v Evropi.
• Vse obstoječe funkcije Shopify bodo delovale še naprej.
• Tudi kadar so osebni podatki strank trgovcev shranjeni v Evropi, se bomo pri obdelavi teh osebnih podatkov opirali na mednarodne prenose podatkov.

Kako Shopify izbira svoje podobdelovalce

V skladu z uredbo GDPR in drugimi veljavnimi zakoni o varstvu podatkov sprejema Shopify pri vključevanju podobdelovalcev vrsto ukrepov dobre prakse:

• Podjetja, s katerimi sodelujemo, izbiramo skrbno.
• Uporabljamo le omejeno število zunanjih ponudnikov storitev.
• Od podobdelovalcev zahtevamo, da podpišejo obsežno pogodbo DPA, ki poleg ustreznih zaščit vključuje tudi standardne pogodbene klavzule (SCC), da zagotovimo skladnost z zakoni o varstvu zasebnosti v Kanadi, ZDA in Singapurju.
• Uporabo svojih podobdelovalcev omejujemo na tehnične storitve: gostovanje v oblaku, beleženje napak, uravnoteženje obremenitve, dostava vsebine, dostava zemljevidov, analiza podatkov in interno beleženje (dnevniške datoteke).
• Prenos poteka stalno in varno.
• Namerno se ne obdelujejo nobene občutljive ali posebne vrste osebnih podatkov, razen po navodilih krmilnika.
• Skrbno pregledujemo programe zasebnosti in varnosti naših podobdelovalcev.

Več informacij o glavnih podobdelovalcih družbe Shopify.