Personuppgiftsbiträdesavtal för utlandsförsamlingar

Den församling som använder tjänsten utanför Republiken Korea (”Församlingen”) och Wesleysoft (”Företaget”) avtalar följande om Företagets behandling, för Församlingens räkning, av de personuppgifter som Församlingen för in i Wesley Gyojeok (웨슬리 교적), Wesley Jaejeong (웨슬리 재정) och Wesley Simbang Plus (웨슬리 심방플러스) (”Tjänsten”). Detta avtal gäller tillsammans med Företagets användarvillkor, dess integritetspolicy och ”Tillägg till integritetspolicyn för utlandsförsamlingar” (”Tillägget”). Om de skiljer sig åt i fråga om behandlingen av personuppgifter har detta avtal företräde.

Artikel 1 (Roller)

1. När det gäller de personuppgifter som Församlingen för in i Tjänsten bestämmer Församlingen ändamålen och medlen för behandlingen (personuppgiftsansvarig), och Företaget behandlar uppgifterna för Församlingens räkning (personuppgiftsbiträde).
2. Församlingen ansvarar för att insamlingen av personuppgifter och införandet av dem i Tjänsten sker i enlighet med lagstiftningen i Församlingens land, och informerar medlemmarna om behandlingen samt inhämtar deras samtycke när så krävs.

Artikel 2 (Närmare uppgifter om behandlingen)

Behandlingens föremål och varaktighet, art och ändamål, typerna av personuppgifter och kategorierna av registrerade anges i bilaga 1.

Artikel 3 (Behandling enligt Församlingens instruktioner)

1. Företaget behandlar personuppgifter endast på grundval av dokumenterade instruktioner från Församlingen. Församlingens användning av funktioner och val av inställningar i Tjänstens gränssnitt betraktas som Församlingens instruktioner.
2. Företaget behandlar inte personuppgifter för något annat ändamål än att tillhandahålla Tjänsten, om det inte krävs enligt lag. När lagen kräver behandling informerar Företaget Församlingen innan behandlingen sker, såvida inte lagen förbjuder detta.
3. Om Företaget anser att en instruktion från Församlingen strider mot dataskyddslagstiftningen informerar det Församlingen utan dröjsmål.

Artikel 4 (Konfidentialitet)

Företaget begränsar de personer som får behandla personuppgifter till det minsta antal som är nödvändigt och säkerställer att de omfattas av tystnadsplikt. Denna plikt kvarstår även efter att deras arbete har upphört.

Artikel 5 (Säkerhetsåtgärder)

Företaget vidtar tekniska och organisatoriska åtgärder som är lämpliga med hänsyn till riskerna för personuppgifterna, enligt bilaga 2. Företaget får ändra dessa åtgärder i takt med den tekniska utvecklingen, men kommer inte att sänka skyddsnivån.

Artikel 6 (Åtskillnad per församling)

Företaget håller Församlingens uppgifter åtskilda från andra församlingars uppgifter och säkerställer att användare i andra församlingar inte kan se Församlingens uppgifter.

Artikel 7 (Anlitande av underbiträden)

1. Församlingen ger Företaget tillstånd att anlita de underbiträden som anges i bilaga 3.
2. Om Företaget avser att lägga till eller ersätta ett underbiträde informerar det Församlingen minst 30 dagar i förväg, och Församlingen får göra invändningar på skälig grund inom den tiden. Om Företaget inte godtar invändningen får Församlingen säga upp tjänsteavtalet utan påföljd.
3. Företaget ålägger genom avtal varje underbiträde dataskyddsskyldigheter på samma nivå som i detta avtal, och förblir ansvarigt gentemot Församlingen om ett underbiträde inte fullgör dessa skyldigheter.

Artikel 8 (Bistånd i fråga om de registrerades rättigheter)

1. När medlemmar eller andra registrerade utövar rättigheter såsom rätt till tillgång, rättelse, radering, begränsning av behandling eller dataportabilitet tillhandahåller Företaget de funktioner i Tjänsten och det samarbete som behövs för att Församlingen ska kunna besvara begäran.
2. Om en registrerad riktar en begäran direkt till Företaget vidarebefordrar Företaget den utan dröjsmål till Församlingen och besvarar den inte direkt utan Församlingens instruktioner.

Artikel 9 (Personuppgiftsincidenter)

1. Om Företaget får kännedom om en incident där Församlingens personuppgifter har läckt ut eller kan ha läckt ut underrättar det Församlingen utan dröjsmål och under alla omständigheter inom 48 timmar efter att ha fått kännedom om den.
2. Underrättelsen ska beskriva incidentens art och omständigheter, kategorierna av och det ungefärliga antalet registrerade och poster av personuppgifter som berörs, de sannolika konsekvenserna, de åtgärder som Företaget har vidtagit eller kommer att vidta samt en kontaktperson. Information som inte kan lämnas på en gång lämnas i omgångar allteftersom den blir känd.
3. Företaget tillhandahåller den information och det samarbete som behövs för att Församlingen ska kunna underrätta tillsynsmyndigheten och de registrerade enligt lagstiftningen i dess land.

Artikel 10 (Övrigt bistånd)

Med hänsyn till behandlingens art och den information som Företaget har tillgång till tillhandahåller Företaget den information som Församlingen behöver för att fullgöra sina skyldigheter enligt lagstiftningen i sitt land, såsom att säkerställa säkerheten, genomföra konsekvensbedömningar avseende dataskydd och förhandssamråd med tillsynsmyndigheten.

Artikel 11 (Lagringsplats och internationella överföringar)

1. Företaget lagrar Församlingens uppgifter på servrar i Republiken Korea och överför dem inte utanför Republiken Korea, utom i det fall som beskrivs i artikel 6 i Tillägget (vägbeskrivning).
2. Överföringar från Församlingens land till Republiken Korea sker enligt artikel 4 i Tillägget. Om lagstiftningen i det landet kräver en separat mekanism, såsom standardavtalsklausuler, inför Församlingen och Företaget denna tillsammans med detta avtal.

Artikel 12 (Återlämnande och förstöring efter tjänsteavtalets upphörande)

1. Församlingen kan ladda ned sina uppgifter med Tjänstens exportfunktion innan tjänsteavtalet upphör och under 90 dagar efter att det har upphört.
2. Efter den perioden förstör Företaget Församlingens uppgifter så att de inte kan återställas. Om Församlingen begär omedelbar förstöring förstör Företaget uppgifterna utan dröjsmål. Uppgifter som enligt lag måste bevaras sparas under den tid som krävs.
3. Uppgifter som finns kvar i säkerhetskopior förstörs efter 90 dagar för säkerhetskopior på Företagets servrar och efter 1 år för säkerhetskopior på en separat lagringsenhet som förvaltas av Företaget. Fram till dess används de inte för något annat ändamål än återställning.
4. På Församlingens begäran bekräftar Företaget förstöringen skriftligen.

Artikel 13 (Information och granskningar)

1. Företaget förser Församlingen med den information som behövs för att visa att skyldigheterna i detta avtal efterlevs.
2. Församlingen får en gång per år ställa skriftliga frågor, som Företaget besvarar kostnadsfritt. Om Församlingen eller en granskare som Församlingen har utsett vill genomföra en granskning på plats ska begäran göras 30 dagar i förväg, och kostnaden bärs av Församlingen. Granskaren omfattas av tystnadsplikt.

Artikel 14 (Ansvar)

Församlingen och Företaget ansvarar var för sig för skada som de har orsakat den andra parten genom egen överträdelse av detta avtal eller av lag. Företagets ansvar är begränsat till de sammanlagda avgifter som Församlingen har betalat under de 12 månader som föregår den dag då skadan uppstod. Denna begränsning gäller inte skada som har orsakats genom Företagets uppsåt eller grova oaktsamhet, eller när lagen inte tillåter att ansvaret begränsas.

Artikel 15 (Giltighetstid)

Detta avtal gäller från och med den dag då Församlingen, efter att ha godkänts av Företaget, ingår tjänsteavtalet, till dess att skyldigheterna enligt artikel 12 har fullgjorts efter tjänsteavtalets upphörande.

Artikel 16 (Tillämplig lag och behörig domstol)

Detta avtal regleras av lagstiftningen i Republiken Korea. Bestämmelser i dataskyddslagstiftningen i Församlingens land som inte kan frångås genom avtal, och befogenheterna för tillsynsmyndigheten i det landet, fortsätter dock att gälla. Tvister som rör detta avtal prövas av den domstol som är behörig för Företagets adress.

Artikel 17 (Språk och ingående av avtalet)

1. Den koreanska versionen av detta avtal är det gällande originalet. Om en översättning avviker från det har det koreanska originalet företräde, såvida inte lagstiftningen i Församlingens land föreskriver något annat.
2. Detta avtal ingås när Församlingen väljer ”Godkänn” (동의) för detta avtal i gränssnittet. Företaget bevarar en registrering av detta och tillhandahåller ett undertecknat exemplar på Församlingens begäran.

Bilaga 1 — Närmare uppgifter om behandlingen

Föremål	Medlemsuppgifter och ekonomiska uppgifter som Församlingen för in i Tjänsten
Kategorier av registrerade	Medlemmar och deras familjer, nykomlingar och besökare, givare, församlingens personal och användare av Tjänsten
Typer av personuppgifter	Uppgifterna i artikel 2 i integritetspolicyn och artikel 3 i Tillägget — namn (efternamn och förnamn med latinska bokstäver), kön, födelsedatum (frivilligt), kontaktuppgifter, adress, fotografi, ämbete i församlingen, distrikt (indelning av församlingen) och klassmöte, medlemskategori, uppgifter om dop och konfirmation, tjänstgöringsuppdrag och yrke, familjerelationer, närvaro, besöksanteckningar och böneämnen, omsorgsanteckningar, uppgifter om kollekter och gåvor, uppgifter om samtycke avseende personuppgifter samt givaruppgifter för gåvokvitton i det landet
Särskilda kategorier av personuppgifter	Uppgiften om medlemskap i församlingen och uppgifter om det religiösa livet (uppgifter som avslöjar religiös övertygelse); uppgifter om hälsa som Församlingen för in i omsorgsanteckningar
Art och ändamål	Tillhandahållande av Tjänsten — lagring, visning, redigering, utskrift, export, säkerhetskopiering, utskick av e-post och utarbetande av besökstexter (inga uppgifter som identifierar en medlem skickas)
Varaktighet	Tjänsteavtalets löptid och 90 dagar efter att det har upphört (säkerhetskopior: artikel 12.3 — 90 dagar på servrar, 1 år på den separata lagringsenheten)

Bilaga 2 — Säkerhetsåtgärder

• Kryptering vid överföring (HTTPS)
• Lösenord lagras endast med en icke reversibel metod
• Åtskillnad av uppgifter per församling — en spärr för varje församling i databasen så att andra församlingars uppgifter inte kan läsas
• Rollbaserade behörigheter och bevarande av åtkomstloggar
• Brandvägg — endast de portar som behövs för webbåtkomst och administrativ åtkomst är öppna; databasen kan inte nås utanför servern
• Programvara mot skadlig kod — automatisk uppdatering av signaturer och dagliga genomsökningar
• Regelbundna säkerhetskopieringar — dagligen på servern, kopieras till en separat lagringsenhet som förvaltas av Företaget (servrar 90 dagar, separat lagringsenhet 1 år)

Bilaga 3 — Underbiträden (samtliga etablerade och behandlar uppgifter i Republiken Korea)

Underbiträde	Verksamhet
YourIT Co., Ltd.	Tillhandahållande av servrar och lagringsutrymme; lagring av uppgifter
NHN Cloud Corp.	Utskick av e-post (inga sms skickas till mobilnummer utanför Korea)
Upstage Co., Ltd.	Utarbetande av utkast till predikotexter i Wesley Simbang Plus (inga uppgifter som identifierar en medlem skickas)
Toss Payments Co., Ltd.	Hantering av avgiftsbetalningar (Utlandsförsamlingar betalar för närvarande via banköverföring)