Detta personuppgiftsbiträdesavtal (”DPA”) utgör en integrerad del av avtalet mellan ELXAO SASU (”personuppgiftsbiträdet”) och kunden (”den personuppgiftsansvarige”), och genomför artikel 28 i förordning (EU) 2016/679 (”GDPR”) samt den franska dataskyddslagen (Loi n° 78-17 av den 6 januari 1978, i ändrad lydelse). Det gäller närhelst ELXAO behandlar personuppgifter för den personuppgiftsansvariges räkning i samband med tillhandahållandet av Tjänsterna.
Definitioner
Termerna "personuppgifter", "bearbetning", "registeransvarig", "behandlare", "underdatabehandlare", "den registrerade", "särskilda kategoriuppgifter" och "intrång i personuppgifter" har de betydelser som ges i artikel 4 i GDPR. Villkoren i avtalet gäller för denna DPA utom där denna DPA uttryckligen åsidosätter dem.
Ämne, varaktighet och bearbetningstyp
| Artikel | Beskrivning |
|---|---|
| Ämne | Tillhandahållande av tjänster för marknadsföringsverksamhet (webbplatser, SEO, betalda medier, analys, CRM/e-post, varumärke, sociala medier, lokalisering, PM/evenemang) för den personuppgiftsansvariges räkning. |
| Varaktighet | Engagemangets varaktighet plus de kvarhållningsperioder som anges nedan. |
| Natur & syfte | Lagring, organisation, analys, överföring, värd och radering av personuppgifter som krävs för att leverera tjänsterna. |
| Kategorier av registrerade | Controllers slutanvändare, potentiella kunder, abonnenter, anställda, leverantörer och evenemangsdeltagare. |
| Kategorier av personuppgifter | Identifieringsdata (namn, titel), kontaktdata (e-post, telefon, postadress), yrkesdata (företag, roll), onlineidentifierare (IP, cookies, enhets-ID), beteendedata (klick, sessioner, konverteringar), kommersiella data (order, fakturering), händelsedata (registreringar, närvaro, märken, inspelningar). |
| Specialkategoridata | Bearbetas inte som standard. Alla undantag kräver en skriftlig instruktion och ytterligare säkerhetsåtgärder. |
Roller & instruktioner
Den registeransvarige bestämmer ändamålen och medlen för behandlingen. ELXAO behandlar personuppgifter enbart på den personuppgiftsansvariges dokumenterade instruktioner, vilka formaliseras av avtalet, orderna, SLA:erna, den personuppgiftsansvariges integritetspolicy och eventuella specifika skriftliga instruktioner som skickas därefter. ELXAO kommer att informera den personuppgiftsansvarige utan onödigt dröjsmål om den anser att en instruktion bryter mot dataskyddslagstiftningen.
Sekretess för personalen
ELXAO säkerställer att varje individ som har behörighet att behandla personuppgifter är bunden av en verkställbar sekretessskyldighet (anställningsavtal, frilansavtal eller NDA) och har fått utbildning i personuppgiftsskydd som passar deras roll.
Säkerhetsåtgärder
ELXAO implementerar lämpliga tekniska och organisatoriska åtgärder (artikel 32 GDPR), inklusive:
- TLS 1.2+-kryptering under överföring och AES-256-kryptering i vila för produktionsdatalager.
- Rollbaserad åtkomstkontroll med principen om minsta privilegium; obligatorisk multifaktorautentisering för alla administratörer.
- Härdad, EU-värd infrastruktur med regelbunden sårbarhetsskanning och patchning.
- Kodgranskning, hemlighetshantering, säker SDLC och separation av produktions-/staging-miljöer.
- Centraliserad, integritetsskyddad loggning; varning om misstänkta autentiserings- och dataexporthändelser.
- Krypterade, geografiskt separerade säkerhetskopior med dokumenterade återställningstester.
- Personal ombordstigning/offboardprocedurer, lösenordshanterare, säkra bärbara datorer med heldiskkryptering.
- Affärskontinuitet och incidentresponsplaner ses över minst årligen.
Delbearbetning
Den registeransvarige beviljar ELXAO ett allmänt tillstånd att anlita underbehandlare för utförandet av specifika bearbetningsaktiviteter (hosting, e-postleverans, analys, annonsplattformar, kundsupportverktyg, plattformar för hantering av händelser). ELXAO upprätthåller en aktuell lista över underbehandlare, tillgänglig på begäran på [email protected], och kommer att meddela minst trettio (30) dagar i förväg om alla avsedda tillägg eller ersättningar, under vilken den personuppgiftsansvarige kan invända på rimliga dataskyddsskäl. ELXAO ålägger varje underbehandlare dataskyddsskyldigheter som inte är mindre skyddande än de som anges i denna DPA.
Internationella överföringar
Personuppgifter behandlas främst inom Europeiska ekonomiska samarbetsområdet (EES). När behandlingen involverar en överföring utanför EES till ett land utan ett beslut om adekvathet, förlitar sig ELXAO på lämpliga skyddsåtgärder enligt artikel 46 GDPR, främst Europeiska kommissionens standardavtalsklausuler (SCC) av den 4 juni 2021, kompletterade med eventuella ytterligare åtgärder som krävs av konsekvensbedömningen för överföringen.
Assistans till kontrollanten
ELXAO hjälper den personuppgiftsansvarige, genom lämpliga tekniska och organisatoriska åtgärder, att uppfylla sina skyldigheter att svara på förfrågningar från registrerade (artiklarna 12–22 GDPR) och att säkerställa efterlevnaden av artiklarna 32–36 GDPR (säkerhet, meddelande om överträdelse, DPIA, förhandskonsultation). Standardhjälp ingår i Tjänsterna; betydande arbete utöver en (1) arbetsdag per begäran kan faktureras till ELXAOs då gällande professionella priser efter skriftligt meddelande.
Brott mot personuppgifter
ELXAO meddelar den personuppgiftsansvarige utan onödigt dröjsmål och i alla händelser inom sjuttiotvå (72) timmar efter att ha blivit medveten om ett personuppgiftsintrång som påverkar den personuppgiftsansvariges data. Anmälan inkluderar typen av överträdelse, kategorier och ungefärliga volymer som påverkas, sannolika konsekvenser och de åtgärder som vidtagits eller föreslagits för att åtgärda det.
Revisioner
ELXAO gör tillgänglig för den personuppgiftsansvarige, på rimlig begäran och högst en gång per år (förutom efter ett brott), den information som är nödvändig för att visa överensstämmelse med denna DPA, inklusive rapporter av typen ISO 27001/SOC 2 från underbehandlare när sådana finns tillgängliga. Revisioner på plats kan utföras av den personuppgiftsansvarige eller en ömsesidigt godkänd tredjepartsrevisor som är bunden av konfidentialitet, på den registeransvariges bekostnad, med rimligt förvarning och under kontorstid, på ett sätt som inte orimligt stör ELXAOs verksamhet.
Returnera eller radera data
Vid uppsägning av avtalet kommer ELXAO, efter den personuppgiftsansvariges val uttryckt inom trettio (30) dagar, antingen returnera alla personuppgifter i ett strukturerat, vanligt förekommande och maskinläsbart format, eller radera dem från alla produktions- och driftsystem. Säkerhetskopior raderas under standardrotationscykeln (upp till nittio (90) dagar) och kan sparas utöver denna period endast om det krävs enligt tillämplig lag, i vilket fall de förblir föremål för säkerhets- och konfidentialitetskraven i denna DPA.
Ansvar
MSA:s ansvarsbestämmelser gäller anspråk som uppstår under denna DPA. Varje part förblir ansvarig gentemot registrerade och tillsynsmyndigheter i enlighet med artikel 82 GDPR.
Kontakt
För alla frågor om dataskydd, begäran eller meddelanden enligt denna DPA, kontakta ELXAO på [email protected].