Databehandleravtale

Denne siden beskriver vår standard databehandleravtale slik at du kan gå gjennom den før du ber om den. Den er ikke i seg selv en avtale og skaper ingen forpliktelser. Det er den inngåtte databehandleravtalen med vedlegg som gjelder, og der denne siden avviker fra den, går den inngåtte databehandleravtalen foran.

Når vi bygger, drifter, vedlikeholder eller gir støtte for et system som inneholder personopplysninger som tilhører deg eller brukerne dine. Du er behandlingsansvarlig (eller «business»); DCI Brands LLC er databehandler (eller «service provider»). Databehandleravtalen er en del av oppdragsavtalen. Der beskyttede helseopplysninger er involvert, signeres også en Business Associate Agreement, og for disse dataene går dens vilkår foran.

Alt som artikkel 28 nr. 3 i personvernforordningen (GDPR) krever, og tilsvarende etter UK GDPR og den sveitsiske FADP:

1. Beskrivelsen av behandlingen: gjenstand, varighet, art og formål, typer personopplysninger og kategorier av registrerte, i et vedlegg som er spesifikt for oppdraget ditt.
2. Behandling bare etter dine dokumenterte instrukser, også for overføringer, og vår forpliktelse til å si fra hvis vi mener at en instruks bryter personvernlovgivningen.
3. Konfidensialitet: Alle vi gir tillatelse til å behandle dataene dine, er bundet av en skriftlig taushetsforpliktelse.
4. Sikkerhet: de tekniske og organisatoriske tiltakene i vedlegget, som oppfyller artikkel 32. Vi kan oppdatere dem forutsatt at beskyttelsen ikke reduseres vesentlig.
5. Underdatabehandlere: din generelle skriftlige tillatelse, vår skriftlige videreføring av tilsvarende forpliktelser og vårt ansvar for deres oppfyllelse.
6. Bistand med de registrertes rettigheter: innsyn, retting, sletting, dataportabilitet, begrensning og protest, idet det tas hensyn til behandlingens art.
7. Bistand med artikkel 32 til 36: sikkerhet, varsling om brudd, vurderinger av personvernkonsekvenser og forhåndsdrøftinger, idet det tas hensyn til det vi vet.
8. Sletting eller tilbakelevering ved oppdragets slutt, etter ditt valg.
9. Informasjon og revisjoner, som beskrevet i punkt 8.
10. Overføringsvilkår: standardavtalevilkårene, det britiske tillegget og de sveitsiske endringene, med utfylte vedlegg.
11. Vilkår for amerikanske delstater: Vi opptrer som tjenesteleverandør («service provider») eller databehandler («processor»), vi selger eller deler ikke dataene dine, vi beholder, bruker eller utleverer dem ikke utenfor det direkte forretningsforholdet eller for noe annet formål enn å utføre oppdraget, og vi kombinerer dem ikke med data fra andre kilder.
12. Dine garantier: at du har et rettslig grunnlag, har gitt den informasjonen og innhentet de samtykkene brukerne dine har krav på, og at instruksene dine er lovlige.

Vi behandler dem bare etter dine dokumenterte instrukser og bare for å levere oppdraget: bygging, testing, utrulling, drift, overvåking, sikkerhetskopiering og støtte for systemet. Vi bruker dem ikke til egne formål, og vi selger dem ikke.

Vi bruker ikke personopplysningene dine til å trene, finjustere eller forbedre noen modell, og underdatabehandlerne våre er gjennom avtale konfigurert slik at de heller ikke gjør det. Vi kan generere aggregert statistikk om driften av systemet bare der den ikke kan knyttes til deg, brukerne dine eller noen enkeltperson.

Vi bruker underdatabehandlere bare der oppdraget krever det, på skriftlige vilkår som er minst like beskyttende som databehandleravtalen, og vi forblir ansvarlige for det de gjør. Kategorier: skyinfrastruktur i regionen som prisforslaget ditt angir, levering av transaksjonsbasert e-post og leverandører av tale, språk og modeller der en funksjon krever det og prisforslaget angir det. Den inngåtte databehandleravtalen lister opp de konkrete leverandørene for oppdraget ditt.

Vi varsler 30 dager i forveien før vi legger til en ny. Du kan protestere innen denne perioden på rimelig grunnlag knyttet til personvern, vi vil samarbeide med deg i god tro, og hvis vi ikke kan løse det, kan hver av partene avslutte den berørte tjenesten med forholdsmessig refusjon av forhåndsbetalte, ubrukte gebyrer. Dette er den eneste beføyelsen. Lokale og fysisk isolerte leveranser fjerner infrastrukturunderdatabehandleren helt.

Leverte systemer leveres med tiltakene som er angitt i sikkerhetsvedlegget: som et minimum kryptering under overføring og ved lagring, rollebasert tilgangskontroll, strukturert revisjonslogging og sikker sletting av midlertidige filer. Tilgang for ansatte er begrenset til navngitte personer som trenger den, og logges. Regulerte oppdrag legger til kontrollene som er angitt i vedlegget ditt.

Vi varsler deg uten ugrunnet opphold etter at vi har blitt kjent med et brudd på personopplysningssikkerheten som berører dataene dine, og under alle omstendigheter innen 72 timer etter at vi har blitt kjent med det. Varselet angir hva vi vet, hva vi har gjort, og hva vi anbefaler; et første varsel kan være foreløpig, og vi supplerer det etter hvert som vi får vite mer. Vi rapporterer ikke mislykkede tilgangsforsøk, skanninger eller ping, og et varsel er ikke en innrømmelse av skyld eller ansvar.

Vi hjelper deg med å besvare forespørsler om innsyn, retting, sletting og dataportabilitet innen fristen loven gir deg.

Revisjoner begynner med dokumenter. På forespørsel, én gang i løpet av en periode på 12 måneder, gir vi vår sikkerhetsdokumentasjon, vedlegget med tiltakene våre og et utfylt spørreskjema om sikkerhet. Der dette reelt sett ikke er tilstrekkelig, etter et bekreftet brudd som berører dataene dine, eller der en tilsynsmyndighet krever det, kan du revidere oss med 30 dagers skriftlig varsel, én gang i løpet av en periode på 12 måneder, i arbeidstiden, for egen regning, under taushetsplikt, uten å forstyrre driften vår eller andre kunders data og med en revisor som ikke er vår konkurrent.

Produksjonsdata som er lagret, forblir i regionen som er angitt i prisforslaget ditt. Administrativ tilgang fra andre steder, og enhver uunngåelig overføring ut av EØS, Storbritannia eller Sveits, er omfattet av standardavtalevilkårene og de gjeldende tilleggene.

Vi leverer tilbake eller sletter personopplysningene dine, etter ditt valg, og bekrefter slettingen. Kopier i krypterte sikkerhetskopier slettes i den ordinære sikkerhetskopisyklusen og forblir beskyttet frem til da. Vi beholder bare det loven krever at vi beholder.

Skriv til constantine@vavusai.com med referansen til prisforslaget ditt. Vi sender den til signering sammen med oppdragsavtalen. Vi går gjennom din egen databehandleravtale og signerer den der vilkårene i den i det vesentlige er i samsvar med våre; ellers går vår foran.