Garis Panduan Pemprosesan Data ("Tambah") ini adalah tambahan kepada, dan merupakan sebahagian daripada Perjanjian antara Canva dan Pelanggan dalam Perjanjian yang berkaitan. Pindaan ini terpakai di mana dan sejauh Canva bertindak sebagai Pemproses atau Penyedia Perkhidmatan (mengikut yang berkenaan) bagi Data Peribadi Pelanggan di bawah Perjanjian. Sekiranya berlaku sebarang konflik antara Pindaan ini dan Perjanjian, Pindaan ini akan mengatasi konflik tersebut.

1. Definisi dan Tafsiran

Dalam Tambahan ini, terma-terma berikut akan mempunyai maksud-maksud berikut:

Perjanjian bermaksud Terma Penggunaan Canva atau perjanjian lain antara Canva dan Pelanggan yang mengatur akses dan penggunaan Pelanggan terhadap Perkhidmatan.

"Undang-Undang Privasi yang Berkaitan" bermaksud semua Undang-Undang yang berkaitan dengan pemprosesan Data Peribadi di bawah Perjanjian.

“Canva” bermaksud entiti Canva yang berkaitan dan dikenalpasti dalam Perjanjian yang berkenaan

“Pelanggan” bermaksud entiti atau individu yang dikenalpasti dalam Perjanjian yang berkenaan.

“Subjek Data” bermaksud individu yang dikenal pasti atau boleh dikenal pasti yang Data Peribadinya diproses.

“Undang-Undang Privasi Eropah” bermaksud: (i) Peraturan 2016/679 Parlimen Eropah dan Majlis mengenai perlindungan orang asli berkenaan Pemprosesan Data Peribadi dan pergerakan bebas data tersebut (Peraturan Perlindungan Data Umum) (yang disebut “GDPR EU”); (ii) GDPR EU seperti yang digubal ke dalam undang-undang domestik United Kingdom menurut Seksyen 3 Akta Keluar EU 2018 (yang disebut “UK GDPR”); (iii) Akta Perlindungan Data Persekutuan Switzerland 19 Jun 1992 dan ordinans yang berkaitan (yang disebut “Swiss DPA”); (iv) Arahan EU 2002/58/EC mengenai Privasi dan Komunikasi Elektronik; dan (v) mana-mana undang-undang negara yang dibuat di bawah atau menurut item (i) – (iv); dalam setiap kes yang dipinda, digantikan atau diganti dari semasa ke semasa.

Data Peribadi bermaksud sebarang maklumat yang berkaitan dengan individu yang dikenal pasti atau boleh dikenal pasti atau sebarang maklumat lain yang ditakrifkan sebagai ‘data peribadi’ atau ‘maklumat peribadi’ di bawah Undang-Undang Privasi yang Berkaitan.

Pelanggaran Data Peribadi bermaksud pelanggaran keselamatan Canva yang menyebabkan pemusnahan, kehilangan, pengubahsuaian, pendedahan tanpa kebenaran, atau akses yang tidak sah kepada Data secara tidak sengaja atau melanggar undang-undang.

Hadiah Terhad bermaksud (i) di mana GDPR EU terpakai, pemindahan Data Peribadi dari EEA ke negara di luar EEA yang tidak tertakluk kepada penentuan kecukupan oleh Suruhanjaya Eropah; (ii) di mana GDPR UK terpakai, pemindahan Data Peribadi dari UK ke negara lain yang tidak berdasarkan peraturan kecukupan menurut Seksyen 17A GDPR UK; dan (iii) di mana DPA Swiss terpakai, pemindahan Data Peribadi ke negara di luar Switzerland yang tidak termasuk dalam senarai bidang kuasa yang mencukupi yang diterbitkan oleh Pesuruhjaya Perlindungan Data dan Maklumat Persekutuan Swiss.

“SCCs” bermaksud lampiran klausa kontrak standard yang dilampirkan kepada Keputusan Suruhanjaya Eropah (EU) 2021/914 bertarikh 4 Jun 2021⁠(dibuka di tab atau tetingkap baharu), seperti yang mungkin dipinda, digantikan atau diganti dari semasa ke semasa.

“Tambah Nota UK” bermaksud Tambahan Pemindahan Data Antarabangsa (versi B1.0) yang dikeluarkan oleh Pejabat Pesuruhjaya Maklumat di bawah s.119(A) Akta Perlindungan Data UK 2018, seperti yang mungkin dipinda, digantikan atau diganti dari semasa ke semasa.

Pengguna

Istilah “Pengawal”, “Pemproses”, “Subjek Data” dan “pemprosesan” mempunyai maksud seperti yang diberikan dalam Undang-Undang Privasi yang Berkaitan atau, jika tidak ditakrifkan di dalamnya, GDPR EU dan GDPR UK (dan “memproses”, “memproses” dan “diproses” akan ditafsirkan dengan sewajarnya) dan istilah “Perniagaan” dan “Penyedia Perkhidmatan” mempunyai maksud seperti yang diberikan dalam CCPA.

Qualsiasi istilah yang digunakan dengan huruf besar tetapi tidak didefinisikan dalam Lampiran ini akan mempunyai makna seperti yang diberikan kepada mereka di bawah Perjanjian.

Pemprosesan Data Peribadi Pelanggan

2.1. Hubungan pihak-pihak: Pelanggan adalah Pengawal atau Perniagaan (mengikut yang berkenaan) bagi Data Peribadi yang digambarkan sebagai “Kategori Data Peribadi” dalam Lampiran 1.B (yang dikenali sebagai “Data Peribadi Pelanggan”) dan Canva akan memproses Data Peribadi Pelanggan hanya sebagai Pemproses atau Penyedia Perkhidmatan (mengikut yang berkenaan) bagi pihak Pelanggan. Canva dan Pelanggan hendaklah mematuhi setiap satu daripada mereka kewajipan masing-masing di bawah Undang-Undang Privasi yang Berkaitan. Di mana konsep Pengawal dan Pemproses tidak secara tegas dipertimbangkan oleh Undang-Undang Privasi yang Berkaitan, kewajipan pihak-pihak berhubung dengan Tambahan ini akan ditafsirkan mengikut Undang-Undang Privasi yang Berkaitan tersebut untuk sejajar sedekat mungkin dengan skop peranan tersebut sambil tetap mematuhi sepenuhnya Undang-Undang Privasi yang Berkaitan tersebut.

2.2. Had limitasi: Canva akan memproses Data Peribadi Pelanggan : (i) untuk menyediakan dan mengekalkan Perkhidmatan (termasuk memantau, mengekalkan dan meningkatkan keselamatan dan keselamatan Perkhidmatan); (ii) untuk melaksanakan tanggungjawabnya di bawah Perjanjian dan Tambahan ini; dan (iii) mengikut arahan terdokumentasi Pelanggan, seperti yang dinyatakan dalam Perjanjian, Tambahan ini, dan/atau dihantar melalui Perkhidmatan (perkara “Tujuan Dibolehkan”). Canva tidak akan menyimpan, menggunakan, mendedahkan atau memproses Data Peribadi Pelanggan untuk apa-apa tujuan selain Tujuan Dibenarkan (termasuk untuk tujuan komersialnya sendiri), kecuali jika dikehendaki oleh undang-undang yang berkenaan dengan Canva. Canva akan segera memberitahu Pelanggan jika ia menyedari bahawa arahan pemprosesan Pelanggan melanggar Undang-Undang Privasi yang Berkaitan tetapi tanpa kewajipan untuk memantau pematuhan Pelanggan terhadap Undang-Undang Privasi yang Berkaitan.

Setakat Canva memproses Data Peribadi Pelanggan dalam skop Undang-Undang Privasi Negeri AS: Canva tidak akan (i) ‘menjual’, ‘berkongsi’ atau ‘memproses untuk tujuan pengiklanan bertarget’ Data Peribadi Pelanggan seperti yang ditakrifkan dalam Undang-Undang Privasi Negeri AS yang berkenaan; atau (ii) menggabungkan Data Peribadi Pelanggan dengan data peribadi yang diterima Canva daripada atau bagi pihak orang lain, atau dikumpulkan daripada interaksi Canva sendiri dengan Subjek Data, kecuali dibenarkan di bawah Perjanjian dan Undang-Undang Privasi yang Berkenaan. Pelanggan berhak, selepas diberi notis, untuk mengambil langkah-langkah munasabah untuk: (i) memastikan Canva memproses Data Peribadi Pelanggan mengikut undang-undang privasi yang berkenaan; dan (ii) menghentikan dan membetulkan penggunaan Data Peribadi Pelanggan yang tidak dibenarkan, termasuk sebarang penggunaan Data Peribadi Pelanggan yang tidak secara jelas diberi kuasa dalam Perjanjian atau Tambahan ini. Para pihak mengakui bahawa pemindahan Data Peribadi Pelanggan oleh Pelanggan kepada Canva bukanlah 'penjualan' Data Peribadi Pelanggan dalam maksud Undang-Undang Privasi yang Berkaitan dan Canva tidak memberikan sebarang pertimbangan wang atau lain-lain yang berharga kepada Pelanggan sebagai pertukaran untuk Data Peribadi Pelanggan. Canva mengesahkan bahawa ia memahami kewajibannya di bawah Tambahan ini (termasuk tanpa had sekatan-sekatan dalam Seksyen 2.2), dan bahawa ia akan mematuhinya.

2.3. Pemindahan antarabangsa: Sejauh mana Canva memindahkan Data Peribadi Pelanggan (atau membenarkan Data Peribadi Pelanggan dipindahkan) ke negara selain daripada negara di mana Data Peribadi Pelanggan pertama kali dikumpulkan, ia hendaklah terlebih dahulu mengambil langkah-langkah yang perlu untuk memastikan bahawa pemindahan tersebut dilakukan mengikut Undang-Undang Privasi yang Berkenaan. Langkah-langkah tersebut mungkin termasuk (tanpa had) memindahkan Data Peribadi Pelanggan kepada penerima yang telah melaksanakan klausa kontrak standard yang diterima pakai oleh Suruhanjaya Eropah, Setiausaha Negara UK atau Pejabat Pesuruhjaya Maklumat atau Badan Perlindungan Data Brazil (mengikut kes), atau memindahkan Data Peribadi Pelanggan kepada penerima yang telah melaksanakan kontrak dengan Canva yang memastikan Data Peribadi Pelanggan akan dilindungi mengikut piawaian yang dikehendaki oleh Undang-Undang Privasi yang Berkaitan. Canva juga akan melindungi Data Peribadi Pelanggan dengan cara yang secara keseluruhan menyediakan perlindungan yang setara dengan negara di mana Data Peribadi Pelanggan pertama kali dikumpulkan.

2.4. Clauses contractuelles types : Dans la mesure où le transfert de Données Personnelles du Client vers Canva implique un Transfert Restreint, les SCC seront incorporés par référence et constitueront une partie intégrante de cet Addendum, le Client étant désigné comme « exportateur de données » et Canva comme « importateur de données ». Bagi tujuan SCCs: (i) terma modul dua (pengawal kepada pemproses) akan digunakan dan terma modul satu, tiga dan empat akan dipadamkan sepenuhnya; (ii) dalam Klausa 9, Pilihan 2 akan digunakan; (iii) dalam Klausa 11, bahasa pilihan akan dipadamkan; (iv) dalam Klausa 17, Pilihan 1 akan digunakan dan SCCs akan dikawal oleh undang-undang Ireland; (v) dalam Klausa 18(b), pertikaian akan diselesaikan di mahkamah Ireland; (vi) Lampiran SCCs akan diisi dengan maklumat yang dinyatakan dalam Lampiran kepada DPA ini; dan (vii) jika dan sejauh mana SCCs bertentangan dengan mana-mana peruntukan Perjanjian (termasuk DPA ini), SCCs akan mengatasi sejauh pertentangan tersebut.

Pemindahan 2.4.a.UK: Berkaitan dengan Data Peribadi Pelanggan yang dilindungi oleh GDPR UK, SCC seperti yang digabungkan di bawah Seksyen 2.4 akan digunakan dengan pengubahsuaian berikut: (i) SCC akan dipinda seperti yang ditetapkan oleh Tambahan UK, yang akan digabungkan dengan rujukan; (ii) Jadual 1 hingga 3 dalam Bahagian 1 Tambahan UK akan dianggap lengkap menggunakan maklumat yang terkandung dalam Lampiran DPA ini; (iii) Jadual 4 dalam Bahagian 1 Tambahan UK akan dianggap lengkap dengan memilih

2.4.b. Pemindahan Swiss: Berkenaan dengan Data Peribadi Pelanggan yang dilindungi oleh DPA Swiss, SCC seperti yang digabungkan di bawah Seksyen 2.4 akan digunakan dengan pengubahsuaian berikut: (i) rujukan kepada "Peraturan (EU) 2016/679" akan ditafsirkan sebagai rujukan kepada DPA Swiss; (ii) rujukan kepada "EU," "Kesatuan," dan "Negara Anggota" akan digantikan dengan "Switzerland"; (iv) rujukan kepada "pihak berkuasa pengawasan yang berkenaan" dan "mahkamah berkenaan" akan ditafsirkan sebagai rujukan kepada "Komisioner Perlindungan Data dan Maklumat Persekutuan Swiss" dan "mahkamah Swiss yang berkenaan"; dan (v) SCC akan dikawal selia oleh undang-undang Switzerland dan pertikaian akan diselesaikan di hadapan mahkamah Swiss yang berkenaan.

2.5. Kerahsiaan pemprosesan: Canva hendaklah memastikan bahawa mana-mana individu yang diberi kuasa untuk memproses Data Peribadi Pelanggan (termasuk kakitangan Canva, ejen dan kontraktor) (sebagai "Orang Yang Diberi Kuasa") akan tertakluk kepada kewajipan kerahsiaan yang ketat (sama ada kewajipan kontrak atau kewajipan statutori). Canva akan memastikan bahawa semua Orang Yang Dibenarkan memproses Data hanya sebagaimana yang diperlukan untuk Tujuan Yang Dibenarkan.

2.6. Keselamatan: Canva akan melaksanakan langkah-langkah teknikal dan organisasi yang sesuai untuk melindungi Data Peribadi Pelanggan daripada kemusnahan, kehilangan, pengubahsuaian, pendedahan tanpa kebenaran, akses kepada Data Peribadi Pelanggan secara tidak sengaja atau dengan niat jahat seperti yang diterangkan dalam Lampiran 2 (“Langkah-langkah Teknikal dan Organisasi”). Pelanggan mengakui bahawa Canva mungkin mengemas kini atau meminda Langkah Teknikal dan Organisasi dari semasa ke semasa dengan menerbitkannya di pautan https://www.canva.com/policies/technical-and-organisational-measures/, dengan syarat bahawa kemas kini dan pengubahsuaian sedemikian tidak menyebabkan penurunan tahap keselamatan secara keseluruhan.

2.7. Subprocessing: Pelanggan memberi kuasa kepada Canva untuk melibatkan Pemproses pihak ketiga ("Subpemproses") untuk memproses Data Peribadi Pelanggan bagi Tujuan yang Dibenarkan dengan syarat bahawa:

Canva memberikan notis awal yang munasabah sekurang-kurangnya 30 hari sebelum penambahan atau penggantian Subprocessor yang dicadangkan dengan menyiarkan butiran dihttps://www.canva.com/policies/subprocessors/⁠(dibuka di tab atau tetingkap baharu), dan akan menyediakan Pelanggan dengan mekanisme untuk menerima pemberitahuan mengenai Subprosesor baharu bagi membolehkan Pelanggan mengemukakan sebarang keberatan yang munasabah, atas alasan perlindungan data, berkaitan dengan perlindungan Data Peribadi Pelanggan. Pelanggan hendaklah memberitahu Canva, di privacy@canva.com, dengan menerangkan keberatannya dalam masa 10 hari dari pemberitahuan. Setelah menerima bantahan sedemikian, jika Canva secara munasabah mampu menyediakan Perkhidmatan kepada Pelanggan mengikut Perjanjian tanpa menggunakan Subprosesor yang dibantah dan memutuskan untuk berbuat demikian mengikut budi bicara mereka, maka Pelanggan tidak akan mempunyai hak selanjutnya di bawah peruntukan ini berkenaan penggunaan Subprosesor yang dicadangkan. Sekiranya Canva, atas budi bicara mutlaknya, memerlukan penggunaan Subprocessor dan tidak dapat memenuhi keberatan Pelanggan berkenaan penggunaan Subprocessor baharu atau pengganti yang dicadangkan, maka Pelanggan boleh menamatkan Borang Pesanan yang berkenaan berkuat kuasa pada tarikh Canva mula menggunakan Subprocessor baharu atau pengganti tersebut hanya berkaitan dengan Perkhidmatan yang akan menggunakan Subprocessor baharu untuk pemprosesan Data Peribadi Pelanggan;

(b) Canva mengenakan syarat perlindungan data ke atas mana-mana Subprosesor yang dilibatkan yang memastikan standard perlindungan yang hampir sama seperti yang disediakan di bawah Lampiran ini dan Canva kekal bertanggungjawab sepenuhnya terhadap sebarang pelanggaran Lampiran ini yang disebabkan oleh tindakan, kesilapan atau kelalaian Subprosesornya.

Subprocesadores semasa Canva dikenalpasti di https://www.canva.com/policies/subprocessors/. Bagi tujuan Klausa 9(c) daripada SCCs, Pelanggan mengakui bahawa Canva mungkin dilarang daripada mendedahkan perjanjian Subprocessor kepada Pelanggan disebabkan oleh kewajipan kerahsiaan. Di mana Canva tidak dapat mendedahkan perjanjian Subprocessor kepada Pelanggan, Canva hendaklah menyediakan semua maklumat (secara sulit) yang boleh difikirkannya secara munasabah berkaitan dengan perjanjian tersebut.

2.8. Kerjasama dan Hak Subjek Data: Canva akan memberikan semua bantuan yang munasabah dan tepat waktu kepada Pelanggan untuk membolehkan Pelanggan membalas: (i) sebarang permintaan daripada Subjek Data untuk melaksanakan mana-mana hak mereka di bawah Undang-Undang Privasi yang Berkaitan (termasuk hak akses, pembetulan, keberatan, penghapusan dan pemindahan data, seperti yang berkenaan); dan (ii) sebarang surat-menyurat, pertanyaan atau aduan lain yang diterima daripada Subjek Data, pengawal selia atau pihak ketiga lain berkaitan dengan pemprosesan Data Peribadi Pelanggan oleh Canva, kecuali dilarang oleh Undang-Undang Privasi yang Berkaitan. Sekiranya sebarang permintaan, surat-menyurat, pertanyaan atau aduan dibuat secara langsung kepada Canva, Canva hendaklah segera memaklumkan Pelanggan dengan maklumat lengkap mengenai perkara tersebut.

2.9. Penilaian Impak Perlindungan Data: Canva akan menyediakan Pelanggan dengan semua bantuan yang munasabah dan tepat pada masanya seperti yang diperlukan oleh Pelanggan untuk mematuhi kewajipannya di bawah Undang-Undang Privasi yang Berkaitan untuk menjalankan penilaian impak perlindungan data dan, jika perlu, berunding dengan pihak berkuasa perlindungan data yang berkaitan.

2.10. Pelanggaran Data Peribadi: Setelah menyedari adanya Pelanggaran Data Peribadi, Canva akan memaklumkan Pelanggan tanpa kelewatan yang tidak wajar dan akan menyediakan semua maklumat dan kerjasama yang sewajarnya diperlukan oleh Pelanggan untuk memenuhi kewajiban pelaporan pelanggaran data mereka di bawah (dan sesuai dengan masa yang diperlukan oleh) Undang-Undang Privasi yang Berkaitan. Canva akan mengambil semua langkah dan tindakan yang sewajarnya perlu untuk membetulkan atau mengurangkan kesan Pelanggaran Data Peribadi selagi ia memberi kesan kepada Data Peribadi Pelanggan dan akan memaklumkan Pelanggan tentang semua perkembangan penting berkaitan dengan Pelanggaran Data Peribadi. Pelanggan tidak akan berkomunikasi atau mengeluarkan sebarang notis atau pengakuan tanggungjawab berkenaan sebarang Pelanggaran Data Peribadi yang secara langsung atau tidak langsung mengenal pasti Canva (termasuk dalam sebarang tindakan undang-undang atau dalam sebarang notis kepada pihak berkuasa pengawalseliaan atau Subjek Data yang terjejas) tanpa kelulusan terlebih dahulu daripada Canva, kecuali Pelanggan dipaksa berbuat demikian mengikut undang-undang yang berkenaan. Dalam apa jua keadaan, Pelanggan hendaklah memberi Canva notis bertulis yang munasabah terlebih dahulu mengenai sebarang komunikasi atau penerbitan sedemikian.

2.11. Pembuangan Data Peribadi Pelanggan: Setelah penamatan atau tamat tempoh Perjanjian, Canva akan memusnahkan semua Data Peribadi Pelanggan yang dimilikinya atau dikawal, kecuali jika perlu untuk menyimpan Data Peribadi Pelanggan untuk Tujuan Dibenarkan atau dikehendaki oleh undang-undang yang berkenaan. Dalam apa jua keadaan, Canva akan mengendalikan Data Peribadi Pelanggan dengan piawaian perlindungan yang sama seperti yang dinyatakan dalam Lampiran ini sehingga penghapusan adalah mungkin.

2.12. Audit: Pelanggan mengakui bahawa Canva secara berkala diaudit mengikut piawaian ISO 27001 oleh pihak ketiga yang bebas. Atas permintaan, Canva akan membekalkan salinan ringkasan laporan auditnya kepada Pelanggan, yang laporan tersebut tertakluk kepada peruntukan kerahsiaan dalam Perjanjian. Canva juga akan memberi maklum balas kepada sebarang soalan audit bertulis yang dihantar kepada nya oleh Pelanggan, dengan syarat bahawa Pelanggan tidak akan menggunakan hak ini lebih dari sekali setahun. Pelanggan bersetuju bahawa Pelanggan akan menggunakan haknya di bawah Klausa 8.9 SCC dengan mengarahkan Canva untuk mematuhi langkah pengauditan yang diterangkan dalam Seksyen 2.12 ini.

LAMPIRAN

ANEXO I. A. SENARAI PIHAK-Pihak

Pengeksport data:

Nama: Entiti yang dikenali sebagai "Pelanggan" pada Borang Pesanan atau nama yang dinyatakan dalam akaun Pelanggan.

Alamat: Alamat Penagihan Pelanggan yang dinyatakan dalam Borang Pesanan atau alamat yang dinyatakan dalam akaun Pelanggan.

Maklumat perhubungan: Nama Perhubungan Utama, Jawatan Perhubungan Utama dan Emel Perhubungan Utama yang dinyatakan dalam Borang Pesanan atau maklumat perhubungan yang dinyatakan dalam akaun Pelanggan.

Kegiatan yang berkaitan dengan data yang dipindahkan di bawah Klausa ini: Pengguna data adalah pelanggan pengimport data dan menggunakan perkhidmatan pengimport data di canva.com untuk mencipta grafik, pembentangan, poster, dokumen dan kandungan visual lain.

Peranan (pengawal/pemproses): Pengawal

Pengimport data:

Nama: Entiti Canva yang dikenalpasti pada Borang Pesanan.

Alamat: Alamat entiti Canva yang dinyatakan dalam Borang Pesanan.

Maklumat Perhubungan: Pasukan Perundangan Privasi Canva, legal@canva.com

Kegiatan yang berkaitan dengan data yang dipindahkan di bawah Klausa ini: Pengimport data mengendalikan platform reka bentuk grafik yang digunakan untuk mencipta grafik, pembentangan, poster, dokumen dan kandungan visual lain.

Peranan (pengawal/pemproses): Prosesor

Lampiran 1.B. DESKRIPSI PEMINDAHAN

Kategori subjek data:

• Pengguna Perkhidmatan berdasarkan Perjanjian antara Canva dan Pelanggan.
• Individu pihak ketiga yang Data Peribadi mereka termasuk dalam Data Peribadi Pelanggan

Kategori data peribadi:

• Data Peribadi yang dihantar oleh Pelanggan atau Pengguna kepada Canva melalui penggunaan Perkhidmatan oleh Pelanggan.

Data sensitif dipindahkan (jika berkenaan) dan had atau langkah berjaga-jaga yang digunakan:

• Canva tidak secara sengaja mengumpul atau memproses sebarang data sensitif. Sebarang data sensitif yang termasuk dalam Data Peribadi Pelanggan atau Penggunaannya oleh Pelanggan ditentukan dan dikawal oleh Pelanggan mengikut budi bicara tunggal mereka, dan akan diproses oleh Canva selaras dengan Lampiran ini.

Frekuensi pemindahan: Berterusan

Jenis pemprosesan: Pemprosesan Data Peribadi Pelanggan untuk Tujuan Dibolehkan bagi menyediakan Perkhidmatan

Tujuan utama pemindahan data dan pemprosesan selanjutnya: Pemprosesan Data Peribadi Pelanggan untuk Tujuan yang Dibenarkan.

Tempoh data peribadi akan disimpan, atau, jika tidak dapat dilakukan, kriteria yang digunakan untuk menentukan tempoh tersebut: Data Peribadi Pelanggan akan disimpan selama yang diperlukan untuk Tujuan yang Dibenarkan.

Lampiran 1.C. Pihak Berkuasa Penyeliaan yang Kompeten

Pihak berkuasa pengawasan bagi Negara Anggota EEA di mana Pelanggan ditubuhkan atau, jika Pelanggan tidak ditubuhkan di EEA, Negara Anggota EEA di mana wakil Pelanggan ditubuhkan atau di mana Pengguna Pelanggan kebanyakannya berada.

LAMPIRAN 2 - LANGKAH-LANGKAH TEKNIKAL DAN ORGANISASI TERMASUK LANGKAH-LANGKAH TEKNIKAL DAN ORGANISASI UNTUK MEMASTIKAN KESELAMATAN DATA

Rujuk kepada Penyataan Langkah Teknikal dan Organisasi⁠(dibuka di tab atau tetingkap baharu).

ANEXO 3 – SENARAI SUB-PROSESOR

Pelanggan telah membenarkan penggunaan sub-pemproses yang dinyatakan di pautan ini https://www.canva.com/policies/subprocessors⁠(dibuka di tab atau tetingkap baharu).

Kemaskini terakhir: 30 Oktober 2025