Denne databehandleraftale er en del af Sunset Docs' servicevilkår mellem kunden og Esteve Castells Calpe, Barcelona, Spain. Den gælder automatisk, når Sunset Docs behandler kundens personoplysninger på kundens vegne. En separat underskrevet databehandleraftale har forrang, hvor den udtrykkeligt er i strid med dette dokument.
1. Definitioner
GDPR betyder forordning (EU) 2016/679 (databeskyttelsesforordningen). Dataansvarlig, databehandler, personoplysninger, behandling, registreret og brud på persondatasikkerheden har den betydning, der er fastsat i GDPR. Kundens personoplysninger betyder personoplysninger, der indsendes til eller genereres i en kundes arbejdsområde, og som Sunset Docs behandler på kundens vegne.
Databeskyttelseslovgivning betyder GDPR og enhver anden lovgivning om privatliv eller databeskyttelse, der gælder for behandling i henhold til denne databehandleraftale. Tjenesten og kunden har den betydning, der er fastsat i vilkårene.
2. Roller og omfang
Kunden er dataansvarlig eller en databehandler, der handler på vegne af en anden dataansvarlig. Sunset Docs er databehandler eller underdatabehandler. Hver part overholder sine egne forpligtelser i henhold til databeskyttelseslovgivningen.
Når kunden handler som databehandler, bekræfter kunden, at den relevante dataansvarlige har godkendt kundens instrukser og brugen af Sunset Docs. Bilag 1 beskriver den behandling, der er omfattet af denne databehandleraftale.
3. Dokumenterede instrukser
Sunset Docs behandler kun kundens personoplysninger efter dokumenterede instrukser i vilkårene, denne databehandleraftale, kundens konfiguration af tjenesten og autoriseret brug af funktionerne. Hvis EU-retten eller medlemsstaternes nationale ret kræver anden behandling, underretter vi kunden, før behandlingen finder sted, medmindre loven forbyder en sådan underretning.
Vi underretter kunden, hvis vi mener, at en instruks er i strid med databeskyttelseslovgivningen, og vi kan sætte den berørte behandling på pause, mens parterne løser spørgsmålet.
4. Fortrolighed
Alle personer, som Sunset Docs har autoriseret til at behandle kundens personoplysninger, er underlagt en kontraktlig eller lovbestemt tavshedspligt og får kun adgang, når det er nødvendigt for personens rolle.
5. Sikkerhed
Sunset Docs opretholder tekniske og organisatoriske foranstaltninger, der er passende i forhold til risiciene ved behandlingen, under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og behandlingens karakter, omfang, sammenhæng og formål. De aktuelle foranstaltninger er beskrevet i bilag 2.
Vi kan opdatere foranstaltningerne, når tjenesten ændrer sig, forudsat at opdateringen ikke væsentligt forringer den samlede beskyttelse af kundens personoplysninger.
6. Underdatabehandlere
Kunden giver en generel skriftlig godkendelse af de underdatabehandlere, der er angivet på siden Underdatabehandlere. Vi giver mindst 30 dages varsel, før vi tilføjer eller udskifter en underdatabehandler, der skal behandle kundens personoplysninger. Kunden kan inden for denne periode gøre indsigelse af rimelige databeskyttelsesmæssige grunde.
Vi pålægger hver underdatabehandler databeskyttelsesforpligtelser, der giver en i det væsentlige tilsvarende beskyttelse for den relevante behandling. Vi forbliver ansvarlige over for kunden for underdatabehandlerens opfyldelse, som loven kræver. Hvis der ikke findes et rimeligt alternativ efter en gyldig indsigelse, kan kunden opsige den berørte tjeneste og få en forholdsmæssig tilbagebetaling af forudbetalte gebyrer for den ubrugte periode.
7. Anmodninger fra registrerede
Under hensyntagen til behandlingens karakter yder vi rimelig teknisk og organisatorisk bistand med anmodninger om udøvelse af de registreredes rettigheder. Hvis en registreret kontakter os direkte om kundens personoplysninger, videresender vi anmodningen til kunden uden unødig forsinkelse og besvarer den ikke i realiteten, medmindre vi er bemyndiget til det eller forpligtet til det ved lov.
8. Brud på persondatasikkerheden
Vi underretter kunden uden unødig forsinkelse, efter at vi er blevet opmærksomme på et brud på persondatasikkerheden, der berører kundens personoplysninger. Vi giver de oplysninger, der med rimelighed er tilgængelige, om bruddets karakter, de berørte kategorier og omtrentlige antal, de sandsynlige konsekvenser og de foranstaltninger, der er truffet eller foreslået.
Oplysningerne kan gives i etaper. Vi udskyder ikke en første underretning, blot fordi alle detaljer endnu ikke er kendt, og vi yder rimelig bistand med kundens forpligtelser til anmeldelse og underretning.
9. Anden bistand
Under hensyntagen til behandlingens karakter og de oplysninger, vi har til rådighed, yder vi rimelig bistand med sikkerhedsforpligtelser, konsekvensanalyser vedrørende databeskyttelse og forudgående høringer af tilsynsmyndigheder, når de vedrører tjenesten.
10. Internationale overførsler
En overførsel, der er omfattet af begrænsninger, finder kun sted på grundlag af en mekanisme, der er tilladt efter GDPR's kapitel V. Afhængigt af modtageren kan det være en afgørelse om tilstrækkeligt beskyttelsesniveau, databeskyttelsesrammen mellem EU og USA (EU-US Data Privacy Framework), hvis modtageren er certificeret, eller Europa-Kommissionens standardkontraktbestemmelser med supplerende foranstaltninger, hvor det er påkrævet. Oplysninger om leverandørerne offentliggøres på siden Underdatabehandlere.
11. Oplysninger og revision
Vi stiller de oplysninger til rådighed, der med rimelighed er nødvendige for at påvise overholdelse af artikel 28 i GDPR, herunder svar på forholdsmæssige skriftlige sikkerhedsspørgsmål. Kunden kan revidere overholdelsen højst én gang hver 12. måned, med mindst 30 dages varsel, inden for normal arbejdstid, for egen regning og under fortrolighed, uden at forstyrre tjenesten eller få adgang til en anden kundes data.
Begrænsningerne for hyppighed og varsel gælder ikke efter et formodet brud, troværdige beviser for væsentlig manglende overholdelse eller en anmodning fra en tilsynsmyndighed. Gennemgang af dokumentation bør anvendes før en revision på stedet, hvor den med rimelighed kan opfylde anmodningen.
12. Tilbagelevering og sletning
Den konfigurerede sletningsplan er en vedvarende dokumenteret instruks og forlænges ikke ved opsigelse af abonnementet. Kunden kan slette data tidligere. Før behandlingen ophører, kan kunden hente originaler, som ejeren har aktiveret download for, eller anmode om en rimelig eksport på tjenesteniveau af aktive personoplysninger fra kunden.
Når behandlingen ophører, kan kunden instruere os i at tilbagelevere og slette aktive personoplysninger fra kunden eller slette dem uden tilbagelevering, medmindre EU-retten eller medlemsstaternes nationale ret kræver opbevaring. Hvis kunden ikke giver en anden instruks, fortsætter de eksisterende sletningsplaner. Rester i krypterede databasebackups udløber inden for 30 dage og forbliver beskyttede indtil sletning.
Minimale registreringer af sletning uden indhold og revisionsspor kan opbevares i 12 måneder af hensyn til sikkerhed og ansvarlighed. På skriftlig anmodning bekræfter vi, at den relevante sletningsproces er gennemført.
13. Ansvar
Ansvarsbestemmelserne i vilkårene gælder for denne databehandleraftale. De begrænser ikke de registreredes rettigheder, tilsynsmyndighedernes beføjelser eller ansvar, som databeskyttelseslovgivningen ikke tillader parterne at udelukke eller begrænse.
14. Varighed og forrang
Denne databehandleraftale gælder, så længe Sunset Docs behandler kundens personoplysninger. Den har forrang for vilkårene i spørgsmål om databeskyttelse. Ændringer af databehandleraftalen følger ændringsproceduren i vilkårene, dog kan en ændring, der kræves ved lov, få virkning tidligere med varsel.
Bilag 1: Oplysninger om behandlingen
Genstand: levering af og support til Sunset Docs' tjeneste til modtagelse af dokumenter. Varighed: aftalens løbetid plus hver konfigureret sletningsperiode, en eventuel aftalt eksportperiode og den beskyttede backupcyklus.
Karakter og formål: modtagelse, validering, malwarescanning, kryptering, opbevaring, generering af forhåndsvisninger, visning, underretning, udskrivning hvor det er aktiveret, download af originaler godkendt af ejeren, logning og sletning af midlertidige dokumenter.
Registrerede: afsendere af dokumenter, kundens brugere og personale, kunder, konsulenter, leverandører og andre personer, hvis oplysninger fremgår af indsendte dokumenter. Personoplysningerne kan omfatte navne, kontaktoplysninger, identifikationsoplysninger, forretningsmæssige, faglige og økonomiske oplysninger, dokumenternes indhold, filnavne, afsenderens e-mail, metadata, sikkerhedsdata afledt af IP-adresser og adgangsaktivitet.
Særlige kategorier af personoplysninger og højrisikodata er hverken tilsigtet eller tilladt, medmindre andet er aftalt skriftligt. Kunden må ikke indsende børns oplysninger, oplysninger om straffedomme, fulde betalingskortoplysninger, loginoplysninger, hemmeligheder eller data, som kunden ikke lovligt har ret til at behandle.
Bilag 2: Tekniske og organisatoriske foranstaltninger
Foranstaltningerne omfatter kryptering af dokumentobjekter med AES-256-GCM på applikationsniveau; separat indkapslede nøgler pr. dokument; TLS under overførsel; privat infrastruktur; et privat krypteret spejl i R2; adgangskontrol til arbejdsområder; valgfri totrinsbekræftelse med TOTP; hashing af adgangskoder med Argon2id; sikre sessioner og CSRF-beskyttelse; karantæne, validering af indhold og malwarescanning.
Foranstaltningerne omfatter også kortvarig autorisation i fremviseren; restriktive cachekontroller; ikke-offentlige objektstier; logning af væsentlige handlinger med dokumenter; fastlagt opbevaring af backups; planlagt og manuel sletning; begrænset adgang til produktionsmiljøet; tavshedspligt; vurdering af leverandører og procedurer for håndtering af hændelser.
Bilag 3: Underdatabehandlere
De aktuelle underdatabehandlere, deres formål, datakategorier, behandlingsregioner og garantier ved overførsler er offentliggjort på sunsetdocs.com/subprocessors. Kun de udbydere, der dér er angivet som underdatabehandlere, indgår i dette bilag for så vidt angår kundens personoplysninger.
15. Kontakt
Spørgsmål, indsigelser, bekræftelser af sletning og underskrevne eksemplarer kan rekvireres på [email protected].