Databehandleravtale

Denne databehandleravtalen («DPA») utgjør en integrert del av avtalen mellom ELXAO SASU («Databehandleren») og kunden («den Behandlingsansvarlige») og gjennomfører artikkel 28 i forordning (EU) 2016/679 («GDPR») samt den franske personopplysningsloven (Loi n° 78-17 av 6. januar 1978 med endringer). Den gjelder når ELXAO behandler personopplysninger på vegne av den Behandlingsansvarlige i forbindelse med levering av Tjenestene.

Definisjoner

Begrepene «personopplysninger», «behandling», «ansvarlig», «behandler», «underbehandler», «registrerte», «spesiell kategoridata» og «brudd på personopplysninger» har betydningen gitt i artikkel 4 i GDPR. Vilkårene i avtalen gjelder for denne DPA med mindre denne DPA uttrykkelig overstyrer dem.

Emne, varighet og karakter av behandlingen

Roller og instruksjoner

Den behandlingsansvarlige bestemmer formålene og midlene for behandlingen. ELXAO behandler personopplysninger utelukkende etter behandlingsansvarligs dokumenterte instruksjoner, som er formalisert av avtalen, bestillingene, SLAene, personvernreglene til behandlingsansvarlig og eventuelle spesifikke skriftlige instruksjoner som sendes deretter. ELXAO vil informere behandlingsansvarlig uten unødig forsinkelse dersom den vurderer en instruks om å bryte databeskyttelsesloven.

Konfidensialitet av personell

ELXAO sikrer at hver enkelt person som er autorisert til å behandle personopplysninger er bundet av en håndhevbar konfidensialitetsforpliktelse (arbeidskontrakt, frilanskontrakt eller NDA) og har mottatt opplæring i beskyttelse av personopplysninger som passer til deres rolle.

Sikkerhetstiltak

ELXAO implementerer passende tekniske og organisatoriske tiltak (artikkel 32 GDPR), inkludert:

• TLS 1.2+-kryptering under overføring og AES-256-kryptering i hvile for produksjonsdatalagre.
• Rollebasert tilgangskontroll med prinsippet om minste privilegium; obligatorisk multifaktorautentisering for alle administratorer.
• Herdet, EU-vertsbasert infrastruktur med regelmessig sårbarhetsskanning og oppdatering.
• Kodegjennomgang, hemmelighetshåndtering, sikker SDLC og separasjon av produksjons-/staging-miljøer.
• Sentralisert, integritetsbeskyttet logging; varsler om mistenkelige autentiserings- og dataeksporthendelser.
• Krypterte, geografisk adskilte sikkerhetskopier med dokumenterte gjenopprettingstester.
• Personell onboarding/offboarding prosedyrer, passordbehandling, sikre bærbare datamaskiner med full-disk kryptering.
• Forretningskontinuitet og hendelsesresponsplaner gjennomgås minst årlig.

Underbehandling

Kontrolløren gir ELXAO en generell autorisasjon til å engasjere underbehandlere for utførelse av spesifikke behandlingsaktiviteter (hosting, e-postlevering, analyser, annonseplattformer, kundestøtteverktøy, plattformer for hendelsesadministrasjon). ELXAO opprettholder en gjeldende liste over underbehandlere, tilgjengelig på forespørsel på [email protected], og vil gi minst tretti (30) dagers varsel om ethvert tiltenkt tillegg eller bytte, hvor den behandlingsansvarlige kan protestere på rimelige grunner for databeskyttelse. ELXAO pålegger hver underbehandler databeskyttelsesforpliktelser som ikke er mindre beskyttende enn de som er angitt i denne DPA.

Internasjonale overføringer

Personopplysninger behandles primært innenfor Det europeiske økonomiske samarbeidsområdet (EØS). Når behandlingen involverer en overføring utenfor EØS til et land uten en beslutning om tilstrekkelighet, er ELXAO avhengig av passende sikkerhetstiltak i henhold til artikkel 46 GDPR, hovedsakelig EU-kommisjonens standard kontraktsbestemmelser (SCCs) av 4. juni 2021, supplert med eventuelle tilleggstiltak som kreves av konsekvensanalysen for overføring.

Assistanse til kontrolløren

ELXAO bistår den behandlingsansvarlige, ved hjelp av passende tekniske og organisatoriske tiltak, med å oppfylle sine forpliktelser til å svare på forespørsler fra datasubjekter (artikkel 12–22 GDPR) og med å sikre samsvar med artikkel 32–36 GDPR (sikkerhet, varsling om brudd, DPIA, forhåndskonsultasjon). Standardhjelp er inkludert i tjenestene; betydelig arbeid utover én (1) virkedag per forespørsel kan faktureres til ELXAOs da gjeldende profesjonelle priser etter skriftlig varsel.

Brudd på personopplysninger

ELXAO varsler den behandlingsansvarlige uten unødig forsinkelse og i alle tilfeller innen syttito (72) timer etter å ha blitt oppmerksom på et brudd på personopplysninger som påvirker behandlingsansvarligs data. Varslingen inkluderer arten av bruddet, kategorier og omtrentlige volumer som er berørt, sannsynlige konsekvenser og tiltakene som er tatt eller foreslått for å håndtere det.

Tilsyn

ELXAO gjør tilgjengelig for behandlingsansvarlig, på rimelig forespørsel og ikke mer enn én gang per år (bortsett fra etter et brudd), informasjonen som er nødvendig for å demonstrere samsvar med denne DPA, inkludert ISO 27001 / SOC 2 type rapporter fra underbehandlere når tilgjengelig. Revisjon på stedet kan utføres av behandlingsansvarlig eller en gjensidig godkjent tredjepartsrevisor bundet av konfidensialitet, på behandlingsansvarligs regning, med rimelig forhåndsvarsel og i arbeidstiden, på en måte som ikke urimelig forstyrrer ELXAOs drift.

Retur eller sletting av data

Ved oppsigelse av Avtalen vil ELXAO, etter Behandlingsansvarligs valg uttrykt innen tretti (30) dager, enten returnere alle personopplysninger i et strukturert, vanlig brukt og maskinlesbart format, eller slette dem fra alle produksjons- og driftssystemer. Sikkerhetskopier slettes på standard rotasjonssyklus (opptil nitti (90) dager) og kan beholdes utover denne perioden bare der det kreves av gjeldende lov, i så fall forblir de underlagt sikkerhets- og konfidensialitetsforpliktelsene i denne DPA.

Ansvar

Ansvarsbestemmelsene i MSA gjelder for krav som oppstår under denne DPA. Hver part er fortsatt ansvarlig overfor registrerte og tilsynsmyndigheter i samsvar med artikkel 82 GDPR.

Kontakt

For spørsmål om databeskyttelse, forespørsel eller varsel under denne DPA, kontakt ELXAO på [email protected].