Pogodba o obdelavi osebnih podatkov za cerkve v tujini

Cerkev, ki storitev uporablja zunaj Republike Koreje (v nadaljnjem besedilu: cerkev), in družba Wesleysoft (v nadaljnjem besedilu: družba) se glede obdelave, ki jo družba v imenu cerkve izvaja na osebnih podatkih, ki jih cerkev vnaša v Wesley Gyojeok (웨슬리 교적), Wesley Jaejeong (웨슬리 재정) in Wesley Simbang Plus (웨슬리 심방플러스) (v nadaljnjem besedilu: storitev), dogovorita, kot sledi. Ta pogodba se uporablja skupaj s pogoji uporabe družbe, njeno politiko zasebnosti in »Dodatkom k politiki zasebnosti za cerkve v tujini« (v nadaljnjem besedilu: dodatek). Če se ti dokumenti glede obdelave osebnih podatkov razlikujejo, ima prednost ta pogodba.

1. člen (Vloge)

1. V zvezi z osebnimi podatki, ki jih cerkev vnaša v storitev, cerkev določa namene in sredstva obdelave (upravljavec), družba pa podatke obdeluje v imenu cerkve (obdelovalec).
2. Cerkev je odgovorna za to, da sta zbiranje osebnih podatkov in njihovo vnašanje v storitev skladna s predpisi države cerkve, ter obvešča člane o obdelavi in pridobi njihovo privolitev, kadar je ta potrebna.

2. člen (Podrobnosti obdelave)

Predmet in trajanje, narava in namen obdelave, vrsta osebnih podatkov in kategorije posameznikov, na katere se nanašajo osebni podatki, so določeni v Prilogi 1.

3. člen (Obdelava po navodilih cerkve)

1. Družba obdeluje osebne podatke samo po dokumentiranih navodilih cerkve. Uporaba funkcij in izbira nastavitev s strani cerkve na zaslonih storitve se štejeta za navodila cerkve.
2. Družba osebnih podatkov ne obdeluje za noben drug namen kot za zagotavljanje storitve, razen če to od nje zahtevajo predpisi. Kadar predpisi zahtevajo obdelavo, družba o tem pred obdelavo obvesti cerkev, razen če predpisi to prepovedujejo.
3. Če družba meni, da navodilo cerkve krši predpise o varstvu podatkov, o tem brez nepotrebnega odlašanja obvesti cerkev.

4. člen (Zaupnost)

Družba krog oseb, ki lahko obdelujejo osebne podatke, omeji na nujno potrebni minimum in zagotovi, da so zavezane k zaupnosti. Ta obveznost velja tudi po koncu njihovega dela.

5. člen (Varnostni ukrepi)

Družba sprejme tehnične in organizacijske ukrepe, ki ustrezajo tveganjem za osebne podatke, kot so določeni v Prilogi 2. Družba lahko te ukrepe spreminja v skladu s tehnološkim razvojem, vendar ne bo znižala ravni varstva.

6. člen (Ločevanje po cerkvah)

Družba hrani podatke cerkve ločeno od podatkov drugih cerkva in zagotavlja, da uporabniki drugih cerkva podatkov cerkve ne morejo videti.

7. člen (Vključitev drugih obdelovalcev)

1. Cerkev družbo pooblašča za vključitev drugih obdelovalcev, navedenih v Prilogi 3.
2. Če namerava družba dodati ali zamenjati drugega obdelovalca, o tem obvesti cerkev najmanj 30 dni vnaprej, cerkev pa lahko v tem roku iz utemeljenih razlogov ugovarja. Če družba ugovora ne sprejme, lahko cerkev pogodbo o storitvi odpove brez pogodbene kazni.
3. Družba vsakemu drugemu obdelovalcu s pogodbo naloži obveznosti varstva podatkov na enaki ravni kot v tej pogodbi in ostane odgovorna cerkvi, če drugi obdelovalec teh obveznosti ne izpolni.

8. člen (Pomoč pri uresničevanju pravic posameznikov, na katere se nanašajo osebni podatki)

1. Kadar člani ali drugi posamezniki, na katere se nanašajo osebni podatki, uveljavljajo pravice, kot so pravica do dostopa, popravka, izbrisa, omejitve obdelave ali prenosljivosti podatkov, družba zagotovi funkcije storitve in sodelovanje, ki jih cerkev potrebuje za odziv.
2. Če posameznik, na katerega se nanašajo osebni podatki, zahtevo naslovi neposredno na družbo, jo družba brez nepotrebnega odlašanja posreduje cerkvi in se nanjo brez navodil cerkve ne odzove neposredno.

9. člen (Kršitve varstva osebnih podatkov)

1. Če družba izve za incident, pri katerem je prišlo ali bi lahko prišlo do uhajanja osebnih podatkov cerkve, o tem obvesti cerkev brez nepotrebnega odlašanja, v vsakem primeru pa v 48 urah po tem, ko je za incident izvedela.
2. Obvestilo vsebuje opis narave in okoliščin incidenta, kategorij in približnega števila zadevnih posameznikov, na katere se nanašajo osebni podatki, ter zadevnih evidenc osebnih podatkov, verjetnih posledic, ukrepov, ki jih je družba sprejela ali jih bo sprejela, in kontaktno osebo. Informacije, ki jih ni mogoče zagotoviti hkrati, se zagotavljajo postopoma, ko postanejo znane.
3. Družba zagotovi informacije in sodelovanje, ki jih cerkev potrebuje, da v skladu s predpisi svoje države uradno obvesti nadzorni organ in obvesti posameznike, na katere se nanašajo osebni podatki.

10. člen (Druga pomoč)

Ob upoštevanju narave obdelave in informacij, ki so družbi na voljo, družba zagotovi informacije, ki jih cerkev potrebuje za izpolnjevanje svojih obveznosti po predpisih svoje države, kot so zagotavljanje varnosti, izvajanje ocen učinka v zvezi z varstvom podatkov in predhodno posvetovanje z nadzornim organom.

11. člen (Kraj hrambe in mednarodni prenosi)

1. Družba hrani podatke cerkve na strežnikih v Republiki Koreji in jih ne prenaša zunaj Republike Koreje, razen v primeru, opisanem v 6. členu dodatka (navigacija do cilja).
2. Za prenose iz države cerkve v Republiko Korejo se uporablja 4. člen dodatka. Če predpisi te države zahtevajo poseben mehanizem, na primer standardna pogodbena določila, ga cerkev in družba vzpostavita skupaj s to pogodbo.

12. člen (Vrnitev in uničenje po prenehanju pogodbe o storitvi)

1. Cerkev lahko svoje podatke prenese s funkcijo izvoza v storitvi pred prenehanjem pogodbe o storitvi in še 90 dni po njenem prenehanju.
2. Po izteku tega roka družba podatke cerkve uniči tako, da jih ni mogoče obnoviti. Če cerkev zahteva takojšnje uničenje, družba podatke uniči brez nepotrebnega odlašanja. Podatki, katerih hrambo zahtevajo predpisi, se hranijo v zahtevanem roku.
3. Podatki, ki ostanejo v varnostnih kopijah, se uničijo po 90 dneh za varnostne kopije na strežnikih družbe in po 1 letu za varnostne kopije na ločeni napravi za shranjevanje, ki jo upravlja družba. Do takrat se ne uporabljajo za noben drug namen kot za obnovitev.
4. Na zahtevo cerkve družba uničenje pisno potrdi.

13. člen (Informacije in revizije)

1. Družba cerkvi zagotovi informacije, potrebne za dokazovanje izpolnjevanja obveznosti iz te pogodbe.
2. Cerkev lahko enkrat letno predloži pisna vprašanja, na katera družba brezplačno odgovori. Če želi cerkev ali revizor, ki ga imenuje cerkev, opraviti revizijo na kraju samem, mora zahtevo podati 30 dni vnaprej, stroške pa krije cerkev. Revizor je zavezan k zaupnosti.

14. člen (Odgovornost)

Cerkev in družba sta vsaka zase odgovorni za škodo, ki jo s kršitvijo te pogodbe ali predpisov povzroči drugi strani. Odgovornost družbe je omejena na skupni znesek pristojbin, ki jih je cerkev plačala v 12 mesecih pred dnem nastanka škode. Ta omejitev se ne uporablja za škodo, ki jo družba povzroči naklepno ali iz hude malomarnosti, ali kadar predpisi omejitve odgovornosti ne dopuščajo.

15. člen (Trajanje)

Ta pogodba velja od dne, ko cerkev, potem ko jo je družba odobrila, sklene pogodbo o storitvi, do izpolnitve obveznosti iz 12. člena po prenehanju pogodbe o storitvi.

16. člen (Pravo, ki se uporablja, in pristojnost)

Za to pogodbo se uporablja pravo Republike Koreje. Vendar se še naprej uporabljajo določbe predpisov o varstvu podatkov države cerkve, od katerih ni mogoče odstopiti s sporazumom, in pooblastila nadzornega organa te države. Za spore v zvezi s to pogodbo je pristojno sodišče, ki je krajevno pristojno za naslov družbe.

17. člen (Jezik in sklenitev)

1. Verodostojni izvirnik te pogodbe je korejska različica. Če se prevod od nje razlikuje, ima prednost korejski izvirnik, razen če predpisi države cerkve določajo drugače.
2. Ta pogodba je sklenjena, ko cerkev na zaslonu pri tej pogodbi izbere »Strinjam se« (동의). Družba o tem hrani evidenco in na zahtevo cerkve zagotovi podpisan izvod.

Priloga 1 — Podrobnosti obdelave

Predmet	Podatki o članih in finančne evidence, ki jih cerkev vnaša v storitev
Kategorije posameznikov, na katere se nanašajo osebni podatki	Člani in njihove družine, novi člani in obiskovalci, darovalci, zaposleni v cerkvi in uporabniki storitve
Vrste osebnih podatkov	Postavke iz 2. člena politike zasebnosti in 3. člena dodatka — ime (priimek in ime v latinici), spol, datum rojstva (neobvezno), kontaktni podatki, naslov, fotografija, služba v cerkvi, okoliš (del cerkvene skupnosti) in razredno srečanje, kategorija člana, podatki o krstu in konfirmaciji, službe v cerkvi in poklic, družinska razmerja, prisotnost, zapisi o obiskih in molitveni nameni, opombe o skrbi, evidence darov in nabirk, evidence privolitev v obdelavo osebnih podatkov ter podatki o darovalcih za potrdila o donacijah v tej državi
Posebne vrste podatkov	Dejstvo članstva v cerkvi in zapisi o verskem življenju (podatki, ki razkrivajo versko prepričanje); podatki v zvezi z zdravjem, ki jih cerkev vnese v opombe o skrbi
Narava in namen	Zagotavljanje storitve — shranjevanje, pregledovanje, urejanje, tiskanje, izvoz, varnostno kopiranje, pošiljanje e-poštnih sporočil in priprava osnutkov besedil za obiske (ne posredujejo se nobeni podatki, ki bi identificirali člana)
Trajanje	Trajanje pogodbe o storitvi in 90 dni po njenem prenehanju (varnostne kopije: 3. odstavek 12. člena — 90 dni na strežnikih, 1 leto na ločeni napravi za shranjevanje)

Priloga 2 — Varnostni ukrepi

• Šifriranje pri prenosu (HTTPS)
• Gesla, shranjena izključno z nepovratno metodo
• Ločevanje podatkov po cerkvah — pregrada za vsako cerkev v podatkovni zbirki, tako da podatkov drugih cerkva ni mogoče brati
• Pooblastila na podlagi vlog in hramba dnevnikov dostopa
• Požarni zid — odprta so samo vrata, potrebna za spletni in skrbniški dostop; podatkovna zbirka ni dosegljiva od zunaj strežnika
• Programska oprema za zaščito pred zlonamerno programsko opremo — samodejne posodobitve podpisov in dnevni pregledi
• Redno varnostno kopiranje — dnevno na strežniku, s kopiranjem na ločeno napravo za shranjevanje, ki jo upravlja družba (strežniki 90 dni, ločena naprava za shranjevanje 1 leto)

Priloga 3 — Drugi obdelovalci (vsi s sedežem in obdelavo v Republiki Koreji)

Drugi obdelovalec	Dejavnost
YourIT Co., Ltd.	Zagotavljanje strežnikov in prostora za shranjevanje; hramba podatkov
NHN Cloud Corp.	Pošiljanje e-poštnih sporočil (na mobilne številke zunaj Koreje se kratka sporočila ne pošiljajo)
Upstage Co., Ltd.	Priprava osnutkov pridig v Wesley Simbang Plus (ne posredujejo se nobeni podatki, ki bi identificirali člana)
Toss Payments Co., Ltd.	Obdelava plačil pristojbin (cerkve v tujini trenutno plačujejo z bančnim nakazilom)