Acord privind prelucrarea datelor pentru bisericile din străinătate

Biserica ce utilizează serviciul în afara Republicii Coreea („Biserica”) și Wesleysoft („Societatea”) convin următoarele cu privire la prelucrarea de către Societate, în numele Bisericii, a datelor cu caracter personal pe care Biserica le introduce în Wesley Gyojeok (웨슬리 교적), Wesley Jaejeong (웨슬리 재정) și Wesley Simbang Plus (웨슬리 심방플러스) („Serviciul”). Prezentul Acord se aplică împreună cu Condițiile de utilizare ale Societății, Politica sa de confidențialitate și „Anexa la Politica de confidențialitate pentru bisericile din străinătate” („Anexa”). În cazul în care acestea diferă în privința prelucrării datelor cu caracter personal, prevalează prezentul Acord.

Articolul 1 (Roluri)

1. În ceea ce privește datele cu caracter personal pe care Biserica le introduce în Serviciu, Biserica stabilește scopurile și mijloacele prelucrării (operator), iar Societatea prelucrează datele în numele Bisericii (persoană împuternicită de operator).
2. Biserica răspunde de asigurarea faptului că colectarea datelor cu caracter personal și introducerea lor în Serviciu respectă legislația țării Bisericii, informează membrii cu privire la prelucrare și obține consimțământul acestora atunci când este necesar.

Articolul 2 (Detaliile prelucrării)

Obiectul și durata, natura și scopul prelucrării, tipurile de date cu caracter personal și categoriile de persoane vizate sunt prevăzute în Apendicele 1.

Articolul 3 (Prelucrarea pe baza instrucțiunilor Bisericii)

1. Societatea prelucrează datele cu caracter personal numai pe baza instrucțiunilor documentate ale Bisericii. Utilizarea funcțiilor și alegerea setărilor de către Biserică pe ecranele Serviciului sunt considerate instrucțiuni ale Bisericii.
2. Societatea nu prelucrează datele cu caracter personal în niciun alt scop decât furnizarea Serviciului, cu excepția cazului în care este obligată să facă acest lucru prin lege. În cazul în care legea impune prelucrarea, Societatea informează Biserica înainte de prelucrare, cu excepția cazului în care legea interzice acest lucru.
3. Dacă Societatea consideră că o instrucțiune a Bisericii încalcă legislația privind protecția datelor, aceasta informează Biserica fără întârziere.

Articolul 4 (Confidențialitate)

Societatea limitează la minimul necesar persoanele care pot prelucra date cu caracter personal și se asigură că acestea sunt ținute de o obligație de confidențialitate. Această obligație continuă și după încetarea activității lor.

Articolul 5 (Măsuri de securitate)

Societatea ia măsuri tehnice și organizatorice adecvate riscurilor pentru datele cu caracter personal, astfel cum sunt prevăzute în Apendicele 2. Societatea poate modifica aceste măsuri pe măsura evoluției tehnologiei, dar nu va reduce nivelul de protecție.

Articolul 6 (Separarea pe biserici)

Societatea păstrează datele Bisericii separat de datele altor biserici și se asigură că utilizatorii altor biserici nu pot vedea datele Bisericii.

Articolul 7 (Recurgerea la sub-împuterniciți)

1. Biserica autorizează Societatea să recurgă la sub-împuterniciții enumerați în Apendicele 3.
2. Dacă Societatea intenționează să adauge sau să înlocuiască un sub-împuternicit, aceasta informează Biserica cu cel puțin 30 de zile înainte, iar Biserica poate formula obiecții pe motive întemeiate în acest termen. Dacă Societatea nu acceptă obiecția, Biserica poate rezilia contractul de servicii fără penalități.
3. Societatea impune fiecărui sub-împuternicit, prin contract, obligații de protecție a datelor de același nivel ca cele din prezentul Acord și rămâne răspunzătoare față de Biserică dacă un sub-împuternicit nu își îndeplinește aceste obligații.

Articolul 8 (Asistență privind drepturile persoanelor vizate)

1. Atunci când membrii sau alte persoane vizate își exercită drepturi precum dreptul de acces, de rectificare, de ștergere, de restricționare a prelucrării sau dreptul la portabilitatea datelor, Societatea pune la dispoziție funcțiile Serviciului și cooperarea necesare pentru ca Biserica să poată răspunde.
2. Dacă o persoană vizată adresează o cerere direct Societății, Societatea o transmite fără întârziere Bisericii și nu răspunde direct fără instrucțiuni din partea Bisericii.

Articolul 9 (Încălcări ale securității datelor cu caracter personal)

1. Dacă Societatea ia cunoștință de un incident în care datele cu caracter personal ale Bisericii au făcut obiectul unei scurgeri sau ar fi putut face obiectul unei scurgeri, aceasta notifică Biserica fără întârziere și, în orice caz, în termen de 48 de ore de la momentul în care a luat cunoștință de acesta.
2. Notificarea descrie natura și circumstanțele incidentului, categoriile și numărul aproximativ al persoanelor vizate și al înregistrărilor de date cu caracter personal în cauză, consecințele probabile, măsurile luate sau care urmează să fie luate de Societate, precum și o persoană de contact. Informațiile care nu pot fi furnizate imediat sunt furnizate în etape, pe măsură ce devin cunoscute.
3. Societatea furnizează informațiile și cooperarea necesare pentru ca Biserica să notifice autoritatea de supraveghere și persoanele vizate în temeiul legislației țării sale.

Articolul 10 (Alte forme de asistență)

Ținând seama de natura prelucrării și de informațiile de care dispune, Societatea furnizează informațiile de care Biserica are nevoie pentru a-și îndeplini obligațiile prevăzute de legislația țării sale, cum ar fi asigurarea securității, efectuarea evaluărilor impactului asupra protecției datelor și consultarea prealabilă a autorității de supraveghere.

Articolul 11 (Locul de stocare și transferuri internaționale)

1. Societatea stochează datele Bisericii pe servere situate în Republica Coreea și nu le transferă în afara Republicii Coreea, cu excepția cazului descris la articolul 6 din Anexă (indicații de traseu).
2. Transferurile din țara Bisericii în Republica Coreea se efectuează în conformitate cu articolul 4 din Anexă. În cazul în care legislația țării respective impune un mecanism separat, cum ar fi clauzele contractuale standard, Biserica și Societatea îl instituie împreună cu prezentul Acord.

Articolul 12 (Returnarea și distrugerea după încetarea contractului de servicii)

1. Biserica își poate descărca datele utilizând funcția de export a Serviciului înainte de încetarea contractului de servicii și timp de 90 de zile după încetarea acestuia.
2. După expirarea acestei perioade, Societatea distruge datele Bisericii astfel încât să nu mai poată fi recuperate. Dacă Biserica solicită distrugerea imediată, Societatea distruge datele fără întârziere. Datele a căror păstrare este impusă de lege sunt păstrate pe perioada impusă.
3. Datele rămase în copiile de rezervă sunt distruse după 90 de zile în cazul copiilor de rezervă de pe serverele Societății și după 1 an în cazul copiilor de rezervă de pe un dispozitiv de stocare separat gestionat de Societate. Până atunci, acestea nu sunt utilizate în niciun alt scop decât restaurarea.
4. La cererea Bisericii, Societatea confirmă distrugerea în scris.

Articolul 13 (Informații și audituri)

1. Societatea furnizează Bisericii informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute în prezentul Acord.
2. Biserica poate adresa întrebări în scris o dată pe an, la care Societatea răspunde gratuit. Dacă Biserica sau un auditor desemnat de Biserică dorește să efectueze un audit la fața locului, cererea trebuie formulată cu 30 de zile înainte, iar costurile sunt suportate de Biserică. Auditorul este ținut de o obligație de confidențialitate.

Articolul 14 (Răspundere)

Fiecare dintre Biserică și Societate răspunde față de cealaltă pentru prejudiciile cauzate prin încălcarea de către aceasta a prezentului Acord sau a legii. Răspunderea Societății este limitată la totalul tarifelor plătite de Biserică în cele 12 luni anterioare datei la care s-a produs prejudiciul. Această limită nu se aplică prejudiciilor cauzate cu intenție sau din culpă gravă de către Societate și nici în cazurile în care legea nu permite limitarea răspunderii.

Articolul 15 (Durată)

Prezentul Acord produce efecte de la data la care Biserica, după ce a fost aprobată de Societate, încheie contractul de servicii, până la îndeplinirea obligațiilor prevăzute la articolul 12 după încetarea contractului de servicii.

Articolul 16 (Legea aplicabilă și instanța competentă)

Prezentul Acord este guvernat de legislația Republicii Coreea. Cu toate acestea, dispozițiile legislației privind protecția datelor din țara Bisericii de la care nu se poate deroga prin acord, precum și competențele autorității de supraveghere din țara respectivă, continuă să se aplice. Litigiile referitoare la prezentul Acord sunt de competența instanței în a cărei rază teritorială se află adresa Societății.

Articolul 17 (Limba și încheierea)

1. Versiunea în limba coreeană a prezentului Acord este originalul autentic. În cazul în care o traducere diferă de aceasta, prevalează originalul în limba coreeană, cu excepția cazului în care legislația țării Bisericii prevede altfel.
2. Prezentul Acord se încheie în momentul în care Biserica selectează „Sunt de acord” (동의) pentru prezentul Acord pe ecran. Societatea păstrează o evidență în acest sens și furnizează un exemplar semnat la cererea Bisericii.

Apendicele 1 — Detaliile prelucrării

Obiect	Datele membrilor și evidențele financiare pe care Biserica le introduce în Serviciu
Categorii de persoane vizate	Membrii și familiile acestora, persoanele nou venite și vizitatorii, donatorii, personalul bisericii și utilizatorii Serviciului
Tipuri de date cu caracter personal	Elementele de la articolul 2 din Politica de confidențialitate și de la articolul 3 din Anexă — numele (numele de familie și prenumele în caractere latine), sexul, data nașterii (opțional), datele de contact, adresa, fotografia, funcția în biserică, districtul (subdiviziune a comunității) și grupa de clasă, categoria de membru, evidențele privind botezul și confirmarea, slujirile și ocupația, relațiile de familie, prezența, evidențele vizitelor și cererile de rugăciune, notele de îngrijire pastorală, evidențele ofrandelor, evidențele consimțământului privind datele cu caracter personal și informațiile despre donatori pentru chitanțele de donații din țara respectivă
Categorii speciale de date	Calitatea de membru al bisericii și evidențele vieții religioase (date care dezvăluie convingerile religioase); date privind sănătatea pe care Biserica le introduce în notele de îngrijire pastorală
Natura și scopul	Furnizarea Serviciului — stocare, consultare, modificare, tipărire, export, copiere de rezervă, trimitere de e-mailuri și redactarea unor proiecte de texte pentru vizite (nu se transmite nicio informație care identifică un membru)
Durata	Durata contractului de servicii și 90 de zile după încetarea acestuia (copii de rezervă: articolul 12 alineatul (3) — 90 de zile pe servere, 1 an pe dispozitivul de stocare separat)

Apendicele 2 — Măsuri de securitate

• Criptarea în tranzit (HTTPS)
• Stocarea parolelor exclusiv printr-o metodă ireversibilă
• Separarea datelor pe biserici — o barieră pentru fiecare biserică în baza de date, astfel încât datele altor biserici să nu poată fi citite
• Permisiuni bazate pe roluri și păstrarea jurnalelor de acces
• Firewall — sunt deschise numai porturile necesare pentru accesul web și accesul administrativ; baza de date nu poate fi accesată din afara serverului
• Software antimalware — actualizarea automată a semnăturilor și scanări zilnice
• Copii de rezervă periodice — zilnic pe server, copiate pe un dispozitiv de stocare separat gestionat de Societate (servere 90 de zile, dispozitiv de stocare separat 1 an)

Apendicele 3 — Sub-împuterniciți (toți stabiliți în Republica Coreea și efectuând prelucrarea acolo)

Sub-împuternicit	Activitate
YourIT Co., Ltd.	Furnizarea de servere și spațiu de stocare; stocarea datelor
NHN Cloud Corp.	Trimiterea de e-mailuri (nu se trimit mesaje text către numere de telefon mobil din afara Coreei)
Upstage Co., Ltd.	Redactarea unor proiecte de texte de predică în Wesley Simbang Plus (nu se transmite nicio informație care identifică un membru)
Toss Payments Co., Ltd.	Procesarea plăților tarifelor (Bisericile din Străinătate plătesc în prezent prin transfer bancar)