Personuppgiftsbiträdesavtal

Den här sidan beskriver vårt standardavtal för personuppgiftsbiträden så att du kan granska det innan du begär det. Sidan är inte i sig ett avtal och skapar inga skyldigheter. Det undertecknade PUB-avtalet, med dess bilagor, är det som gäller, och där denna sida avviker från det har det undertecknade PUB-avtalet företräde.

Närhelst vi bygger, driftar, underhåller eller ger support för ett system som innehåller personuppgifter som tillhör dig eller dina användare. Du är personuppgiftsansvarig (eller verksamhet, business); DCI Brands LLC är personuppgiftsbiträde (eller tjänsteleverantör, service provider). PUB-avtalet utgör en del av uppdragsavtalet. Där skyddad hälsoinformation berörs undertecknas även ett Business Associate Agreement, och för den informationen har dess villkor företräde.

Allt som artikel 28.3 i dataskyddsförordningen (GDPR) kräver, och motsvarigheterna enligt den brittiska dataskyddsförordningen (UK GDPR) och den schweiziska federala lagen om dataskydd (FADP):

1. Beskrivningen av behandlingen: föremål, varaktighet, art och ändamål, typer av personuppgifter och kategorier av registrerade, i en bilaga som är specifik för ditt uppdrag.
2. Behandling endast enligt dina dokumenterade instruktioner, inklusive vid överföringar, och vårt åtagande att meddela dig om vi anser att en instruktion strider mot dataskyddslagstiftningen.
3. Sekretess: alla som vi ger behörighet att behandla dina uppgifter är bundna av en skriftlig sekretessförpliktelse.
4. Säkerhet: de tekniska och organisatoriska åtgärderna i bilagan, som uppfyller artikel 32. Vi kan uppdatera dem förutsatt att skyddet inte väsentligt minskar.
5. Underbiträden: ditt allmänna skriftliga tillstånd, vår skriftliga vidareförmedling av motsvarande skyldigheter och vårt ansvar för deras fullgörande.
6. Bistånd med de registrerades rättigheter: tillgång, rättelse, radering, dataportabilitet, begränsning och invändning, med beaktande av behandlingens art.
7. Bistånd med artiklarna 32–36: säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömningar avseende dataskydd och förhandssamråd, med beaktande av vad vi känner till.
8. Radering eller återlämnande vid uppdragets slut, efter ditt val.
9. Information och granskningar, så som beskrivs i avsnitt 8.
10. Överföringsvillkor: standardavtalsklausulerna, det brittiska tillägget och de schweiziska ändringarna, med ifyllda bilagor.
11. Villkor enligt delstatlig lag i USA: vi agerar som tjänsteleverantör eller personuppgiftsbiträde, vi säljer eller delar inte dina uppgifter, vi behåller, använder eller lämnar inte ut dem utanför den direkta affärsrelationen eller för något annat ändamål än att utföra uppdraget, och vi kombinerar dem inte med uppgifter från andra källor.
12. Dina garantier: att du har en rättslig grund, har lämnat den information och inhämtat de samtycken som dina användare har rätt till, och att dina instruktioner är lagliga.

Vi behandlar dem endast enligt dina dokumenterade instruktioner och endast för att leverera uppdraget: bygga, testa, driftsätta, drifta, övervaka, säkerhetskopiera och ge support för systemet. Vi använder dem inte för våra egna ändamål och vi säljer dem inte.

Vi använder inte dina personuppgifter för att träna, finjustera eller förbättra någon modell, och våra underbiträden är avtalsmässigt konfigurerade att inte heller göra det. Vi får ta fram sammanställd statistik om systemets drift endast där den inte kan kopplas till dig, dina användare eller någon enskild person.

Vi använder underbiträden endast där uppdraget kräver dem, enligt skriftliga villkor som ger minst samma skydd som PUB-avtalet, och vi förblir ansvariga för vad de gör. Kategorier: molninfrastruktur i den region som din offert anger, leverans av transaktionsmejl samt leverantörer av tal, språk och modeller där en funktion kräver en sådan och offerten anger den. Det undertecknade PUB-avtalet anger de specifika leverantörerna för ditt uppdrag.

Vi meddelar 30 dagar i förväg innan vi lägger till ett underbiträde. Du kan invända inom den perioden av rimliga dataskyddsskäl, vi samarbetar med dig i god tro, och om vi inte kan lösa det får var och en av parterna säga upp den berörda tjänsten mot proportionell återbetalning av förbetalda oanvända avgifter. Detta är den enda påföljden. Lokala och nätverksisolerade leveranser tar helt bort underbiträdet för infrastruktur.

Levererade system har de åtgärder som anges i säkerhetsbilagan: som minimum kryptering vid överföring och i vila, rollbaserad åtkomstkontroll, strukturerad granskningsloggning och säker radering av temporära filer. Personalens åtkomst är begränsad till namngivna personer som behöver den och loggas. Reglerade uppdrag lägger till de kontroller som anges i din bilaga.

Vi underrättar dig utan onödigt dröjsmål efter att vi har fått kännedom om en personuppgiftsincident som påverkar dina uppgifter, och under alla omständigheter inom 72 timmar efter att vi har fått kännedom om den. Underrättelsen anger vad vi vet, vad vi har gjort och vad vi rekommenderar; en första underrättelse kan vara preliminär och vi kompletterar den i takt med att vi får veta mer. Vi rapporterar inte misslyckade åtkomstförsök, skanningar eller pingar, och en underrättelse innebär inte ett medgivande av fel eller ansvar.

Vi hjälper dig att besvara begäranden om tillgång, rättelse, radering och dataportabilitet inom den tid som lagen ger dig.

Granskningar inleds med dokument. På begäran, en gång under varje period om 12 månader, tillhandahåller vi vår säkerhetsdokumentation, vår bilaga om åtgärder och ett ifyllt säkerhetsfrågeformulär. Om detta verkligen är otillräckligt, eller efter en bekräftad incident som påverkar dina uppgifter, eller om en tillsynsmyndighet kräver det, får du granska oss med 30 dagars skriftligt varsel, en gång under varje period om 12 månader, under kontorstid, på din bekostnad, under sekretess, utan att störa vår verksamhet eller andra kunders uppgifter och med en granskare som inte är vår konkurrent.

Produktionsdata i vila stannar i den region som anges i din offert. Administrativ åtkomst från andra platser, och varje oundviklig överföring från EES, Storbritannien eller Schweiz, omfattas av standardavtalsklausulerna och de tillämpliga tilläggen.

Vi återlämnar eller raderar dina personuppgifter, efter ditt val, och intygar raderingen. Kopior i krypterade säkerhetskopior raderas enligt den ordinarie säkerhetskopieringscykeln och förblir skyddade fram till dess. Vi behåller endast det som lagen kräver att vi behåller.

Skriv till constantine@vavusai.com och ange din offertreferens. Vi skickar det för underskrift tillsammans med uppdragsavtalet. Vi granskar ditt eget PUB-avtal och undertecknar det där dess villkor i allt väsentligt överensstämmer med våra; annars har vårt företräde.