Denne databehandleraftale (“DPA”) udgør en integreret del af aftalen mellem ELXAO SASU (“Databehandleren”) og kunden (“den Dataansvarlige”) og implementerer artikel 28 i forordning (EU) 2016/679 (“GDPR”) samt den franske databeskyttelseslov (Loi n° 78-17 af 6. januar 1978 som ændret). Den finder anvendelse, når ELXAO behandler personoplysninger på den Dataansvarliges vegne i forbindelse med levering af Tjenesterne.
Definitioner
Udtrykkene "personoplysninger", "behandling", "dataansvarlig", "databehandler", "underdatabehandler", "datasubjekt", "særlig kategori data" og "brud på persondatasikkerhed" har de betydninger, der er givet i artikel 4 i GDPR. Vilkårene i Aftalen gælder for denne DPA, undtagen hvor denne DPA udtrykkeligt tilsidesætter dem.
Genstand, varighed og karakter af behandlingen
| Enhed | Beskrivelse |
|---|---|
| Emne | Levering af marketingoperationstjenester (hjemmesider, SEO, betalte medier, analyser, CRM/e-mail, branding, sociale medier, lokalisering, PM/begivenheder) på den controllers vegne. |
| Varighed | Engagementets varighed plus opbevaringsperioderne angivet nedenfor. |
| Natur & formål | Opbevaring, organisering, analyse, overførsel, hosting og sletning af personlige data efter behov for at levere tjenesterne. |
| Kategorier af registrerede | Controllers slutbrugere, kundeemner, kunder, abonnenter, medarbejdere, leverandører og begivenhedsdeltagere. |
| Kategorier af personlige data | Identifikationsdata (navn, titel), kontaktdata (e-mail, telefon, postadresse), professionelle data (virksomhed, rolle), online identifikatorer (IP, cookies, enheds-id'er), adfærdsdata (klik, sessioner, konverteringer), kommercielle data (ordrer, fakturering), begivenhedsdata (registreringer, deltagelse, badges, optagelser). |
| Særlige kategoridata | Ikke behandlet som standard. Enhver undtagelse kræver en skriftlig instruktion og yderligere sikkerhedsforanstaltninger. |
Roller & instruktioner
Den dataansvarlige bestemmer formålene og midlerne til behandlingen. ELXAO behandler udelukkende personoplysninger i henhold til den dataansvarliges dokumenterede instruktioner, som er formaliseret af aftalen, ordrerne, SLA'erne, den dataansvarliges privatlivspolitik og eventuelle specifikke skriftlige instruktioner sendt derefter. ELXAO vil informere den dataansvarlige uden unødig forsinkelse, hvis den anser for en instruks om at overtræde databeskyttelsesloven.
Personalets fortrolighed
ELXAO sikrer, at enhver person, der er autoriseret til at behandle personoplysninger, er bundet af en håndhævbar fortrolighedsforpligtelse (ansættelseskontrakt, freelancekontrakt eller NDA) og har modtaget træning i beskyttelse af personoplysninger, der passer til deres rolle.
Sikkerhedsforanstaltninger
ELXAO implementerer passende tekniske og organisatoriske foranstaltninger (artikel 32 GDPR), herunder:
- TLS 1.2+-kryptering under overførsel og AES-256-kryptering i hvile til produktionsdatalagre.
- Rollebaseret adgangskontrol med princippet om mindste privilegium; obligatorisk multifaktorgodkendelse for alle administratorer.
- Hærdet, EU-hostet infrastruktur med regelmæssig sårbarhedsscanning og patching.
- Kodegennemgang, hemmelighedshåndtering, sikker SDLC og adskillelse af produktions-/iscenesættelsesmiljøer.
- Centraliseret, integritetsbeskyttet logning; advarsel om mistænkelige godkendelses- og dataeksporthændelser.
- Krypterede, geografisk adskilte sikkerhedskopier med dokumenterede gendannelsestests.
- Personale onboarding/offboarding procedurer, password manager, sikre bærbare computere med fuld disk kryptering.
- Forretningskontinuitet og hændelsesresponsplaner revideres mindst årligt.
Underbehandling
Den registeransvarlige giver ELXAO en generel autorisation til at engagere underbehandlere til at udføre specifikke behandlingsaktiviteter (hosting, e-maillevering, analyser, annonceplatforme, kundesupportværktøjer, platforme til eventstyring). ELXAO opretholder en aktuel liste over underdatabehandlere, tilgængelig på anmodning på [email protected], og vil give mindst tredive (30) dages forudgående varsel om enhver påtænkt tilføjelse eller udskiftning, hvorunder den dataansvarlige kan gøre indsigelse af rimelige databeskyttelsesgrunde. ELXAO pålægger hver underdatabehandler databeskyttelsesforpligtelser, der ikke er mindre beskyttende end dem, der er fastsat i denne DPA.
Internationale overførsler
Personoplysninger behandles primært inden for Det Europæiske Økonomiske Samarbejdsområde (EØS). Hvor behandlingen involverer en overførsel uden for EØS til et land uden en beslutning om tilstrækkelighed, er ELXAO afhængig af passende sikkerhedsforanstaltninger i henhold til artikel 46 i GDPR, primært Europa-Kommissionens standardkontraktbestemmelser (SCC'er) af 4. juni 2021, suppleret med eventuelle yderligere foranstaltninger, der kræves af konsekvensanalysen for overførsel.
Assistance til controlleren
ELXAO bistår den dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger med at opfylde sine forpligtelser til at reagere på anmodninger fra registrerede (artikel 12-22 GDPR) og med at sikre overholdelse af artikel 32-36 GDPR (sikkerhed, brudmeddelelse, DPIA, forudgående høring). Standardhjælp er inkluderet i Tjenesterne; væsentligt arbejde ud over én (1) arbejdsdag pr. anmodning kan faktureres til ELXAOs på det tidspunkt gældende professionelle takster efter skriftlig varsel.
Brud på persondatasikkerhed
ELXAO underretter den dataansvarlige uden unødig forsinkelse og under alle omstændigheder inden for tooghalvfjerds (72) timer efter, at man er blevet opmærksom på et brud på persondatasikkerheden, der påvirker den dataansvarliges data. Meddelelsen omfatter arten af bruddet, kategorier og omtrentlige berørte mængder, sandsynlige konsekvenser og de foranstaltninger, der er truffet eller foreslået for at imødegå det.
Revisioner
ELXAO stiller på rimelig anmodning og ikke mere end én gang om året (undtagen efter et brud) de oplysninger, der er nødvendige for at påvise overholdelse af denne DPA, til rådighed for den dataansvarlige, herunder rapporter af typen ISO 27001/SOC 2 fra underdatabehandlere, når de er tilgængelige. Revisioner på stedet kan udføres af den dataansvarlige eller en gensidigt godkendt tredjepartsrevisor bundet af fortrolighed, på den dataansvarliges regning, med rimeligt forudgående varsel og i åbningstiden på en måde, der ikke urimeligt forstyrrer ELXAOs drift.
Returnering eller sletning af data
Ved opsigelse af Aftalen vil ELXAO efter den Dataansvarliges valg udtrykt inden for tredive (30) dage enten returnere alle personlige data i et struktureret, almindeligt anvendt og maskinlæsbart format eller slette dem fra alle produktions- og driftssystemer. Sikkerhedskopier slettes på standardrotationscyklussen (op til halvfems (90) dage) og kan kun opbevares ud over denne periode, hvis det kræves af gældende lovgivning, i hvilket tilfælde de forbliver underlagt sikkerheds- og fortrolighedsforpligtelserne i denne DPA.
Ansvar
Ansvarsbestemmelserne i MSA gælder for krav, der opstår under denne DPA. Hver part forbliver ansvarlig over for registrerede og tilsynsmyndigheder i overensstemmelse med artikel 82 GDPR.
Kontakt
For ethvert databeskyttelsesspørgsmål, anmodning eller meddelelse i henhold til denne DPA, kontakt ELXAO på [email protected].