Denne databehandleravtalen er en del av vilkårene for bruk av Sunset Docs mellom kunden og Esteve Castells Calpe, Barcelona, Spain. Den gjelder automatisk når Sunset Docs behandler kundens personopplysninger på vegne av kunden. En separat signert databehandleravtale går foran ved uttrykkelig motstrid med dette dokumentet.
1. Definisjoner
Med personvernforordningen menes forordning (EU) 2016/679 (GDPR). Behandlingsansvarlig, databehandler, personopplysninger, behandling, registrert og brudd på personopplysningssikkerheten har den betydningen de har i personvernforordningen. Med kundens personopplysninger menes personopplysninger som sendes inn til eller genereres i en kundes arbeidsområde, og som Sunset Docs behandler på vegne av kunden.
Med personvernlovgivningen menes personvernforordningen og annen lovgivning om personvern eller vern av personopplysninger som gjelder for behandling etter denne databehandleravtalen. Tjenesten og kunden har den betydningen som er gitt i vilkårene.
2. Roller og omfang
Kunden er behandlingsansvarlig eller en databehandler som handler på vegne av en annen behandlingsansvarlig. Sunset Docs er databehandler eller underdatabehandler. Hver part skal oppfylle sine egne forpliktelser etter personvernlovgivningen.
Når kunden handler som databehandler, bekrefter kunden at den aktuelle behandlingsansvarlige har godkjent kundens instrukser og bruken av Sunset Docs. Vedlegg 1 beskriver behandlingen som omfattes av denne databehandleravtalen.
3. Dokumenterte instrukser
Sunset Docs behandler kundens personopplysninger bare etter dokumenterte instrukser i vilkårene, denne databehandleravtalen, kundens konfigurasjon av tjenesten og autorisert bruk av funksjonene. Dersom unionsretten eller medlemsstatenes nasjonale rett krever annen behandling, informerer vi kunden før behandlingen, med mindre loven forbyr slik informasjon.
Vi informerer kunden dersom vi mener at en instruks er i strid med personvernlovgivningen, og vi kan sette den berørte behandlingen på pause mens partene løser saken.
4. Konfidensialitet
Alle personer som Sunset Docs har gitt tillatelse til å behandle kundens personopplysninger, har avtalefestet eller lovfestet taushetsplikt og får bare tilgang når det er nødvendig for personens rolle.
5. Sikkerhet
Sunset Docs opprettholder tekniske og organisatoriske tiltak som er egnet for risikoen ved behandlingen, idet det tas hensyn til den tekniske utviklingen, gjennomføringskostnadene og behandlingens art, omfang, formål og sammenhengen den utføres i. Gjeldende tiltak er beskrevet i vedlegg 2.
Vi kan oppdatere tiltakene når tjenesten endres, forutsatt at oppdateringen ikke vesentlig svekker det samlede vernet av kundens personopplysninger.
6. Underdatabehandlere
Kunden gir generell skriftlig godkjenning av underdatabehandlerne som er oppført på siden om underdatabehandlere. Vi varsler minst 30 dager før vi legger til eller erstatter en underdatabehandler som skal behandle kundens personopplysninger. Kunden kan protestere innen denne fristen på rimelig grunnlag knyttet til personvern.
Vi pålegger hver underdatabehandler personvernforpliktelser som gir et vesentlig tilsvarende vern for den aktuelle behandlingen. Vi er fortsatt ansvarlige overfor kunden for underdatabehandlerens oppfyllelse slik loven krever. Hvis det ikke finnes noe rimelig alternativ etter en gyldig protest, kan kunden si opp den berørte tjenesten og få forholdsmessig refusjon av forhåndsbetalte avgifter for perioden som ikke er brukt.
7. Forespørsler fra registrerte
Idet det tas hensyn til behandlingens art, gir vi rimelig teknisk og organisatorisk bistand ved forespørsler om utøvelse av de registrertes rettigheter. Hvis en registrert kontakter oss direkte om kundens personopplysninger, videresender vi forespørselen til kunden uten ugrunnet opphold og svarer ikke på selve saken med mindre vi har fått tillatelse til det eller er rettslig forpliktet.
8. Brudd på personopplysningssikkerheten
Vi varsler kunden uten ugrunnet opphold etter å ha fått kjennskap til et brudd på personopplysningssikkerheten som berører kundens personopplysninger. Vi gir den informasjonen som med rimelighet er tilgjengelig om bruddets art, berørte kategorier og omtrentlig antall, sannsynlige konsekvenser og tiltak som er truffet eller foreslått.
Informasjonen kan gis trinnvis. Vi venter ikke med et første varsel bare fordi ikke alle detaljer er kjent ennå, og vi gir rimelig bistand med kundens plikter til å melde fra og informere.
9. Annen bistand
Idet det tas hensyn til behandlingens art og informasjonen vi har tilgang til, gir vi rimelig bistand med sikkerhetsforpliktelser, vurderinger av personvernkonsekvenser og forhåndsdrøftinger med tilsynsmyndigheter når de gjelder tjenesten.
10. Overføring til andre land
En overføring som er underlagt begrensninger, skjer bare med en mekanisme som er tillatt etter personvernforordningen kapittel V. Avhengig av mottakeren kan dette omfatte en beslutning om tilstrekkelig beskyttelsesnivå, EU-US Data Privacy Framework der mottakeren er sertifisert, eller standard personvernbestemmelser vedtatt av Europakommisjonen med supplerende tiltak der det kreves. Opplysninger om leverandørene er publisert på siden om underdatabehandlere.
11. Informasjon og revisjon
Vi gir den informasjonen som er rimelig nødvendig for å påvise at personvernforordningen artikkel 28 overholdes, herunder svar på forholdsmessige skriftlige sikkerhetsspørsmål. Kunden kan revidere overholdelsen høyst én gang hver 12. måned, med minst 30 dagers varsel, i arbeidstiden, for egen regning og under taushetsplikt, uten å forstyrre tjenesten eller få tilgang til andre kunders data.
Begrensningene for hyppighet og varsel gjelder ikke etter et mistenkt brudd, troverdige bevis på vesentlig manglende overholdelse eller en anmodning fra en tilsynsmyndighet. Gjennomgang av dokumentasjon bør brukes før en revisjon på stedet når den med rimelighet kan dekke behovet.
12. Tilbakelevering og sletting
Den konfigurerte sletteplanen er en løpende dokumentert instruks og forlenges ikke ved oppsigelse av abonnementet. Kunden kan slette data tidligere. Før behandlingen avsluttes, kan kunden hente originaler som eieren har tillatt nedlasting av, eller be om en rimelig eksport på tjenestenivå av aktive personopplysninger fra kunden.
Når behandlingen avsluttes, kan kunden instruere oss om å tilbakelevere og slette aktive personopplysninger fra kunden, eller slette dem uten tilbakelevering, med mindre unionsretten eller medlemsstatenes nasjonale rett krever lagring. Gir kunden ingen annen instruks, fortsetter de eksisterende sletteplanene. Rester i krypterte sikkerhetskopier av databasen utløper innen 30 dager og er beskyttet frem til sletting.
Minimale registreringer av sletting og revisjonsregistreringer uten innhold kan bli liggende i 12 måneder av hensyn til sikkerhet og ansvarlighet. På skriftlig forespørsel bekrefter vi at den aktuelle sletteprosessen er fullført.
13. Ansvar
Ansvarsbestemmelsene i vilkårene gjelder for denne databehandleravtalen. De begrenser ikke de registrertes rettigheter, tilsynsmyndighetenes myndighet eller ansvar som partene ikke kan utelukke eller begrense etter personvernlovgivningen.
14. Varighet og rangordning
Denne databehandleravtalen gjelder så lenge Sunset Docs behandler kundens personopplysninger. Den går foran vilkårene i spørsmål om personvern. Endringer i databehandleravtalen følger endringsprosessen i vilkårene, men en endring som loven krever, kan tre i kraft tidligere etter varsel.
Vedlegg 1: Nærmere om behandlingen
Gjenstand: levering av og støtte for dokumentmottakstjenesten Sunset Docs. Varighet: avtaleperioden pluss hver konfigurerte sletteperiode, en eventuell avtalt eksportperiode og syklusen for beskyttede sikkerhetskopier.
Art og formål: mottak, validering, skanning for skadevare, kryptering, lagring, forhåndsvisning, visning, varsling, utskrift der det er slått på, nedlasting av originaler når eieren har tillatt det, revisjonslogging og sletting av midlertidige dokumenter.
Registrerte: avsendere av dokumenter, kundens brukere og ansatte, kunder, oppdragstakere, leverandører og andre personer som opplysninger om fremgår av innsendte dokumenter. Personopplysningene kan omfatte navn, kontaktopplysninger, identifikasjonsopplysninger, forretnings-, yrkes- og økonomiske opplysninger, dokumentinnhold, filnavn, avsenderens e-postadresse, metadata, sikkerhetsdata utledet fra IP-adresser og tilgangsaktivitet.
Særlige kategorier av personopplysninger og høyrisikodata er ikke tiltenkt eller tillatt med mindre det er særskilt avtalt skriftlig. Kunden skal ikke sende inn opplysninger om barn, opplysninger om straffedommer, fullstendige betalingskortopplysninger, påloggingsinformasjon, hemmeligheter eller data kunden ikke har rettslig adgang til å behandle.
Vedlegg 2: Tekniske og organisatoriske tiltak
Tiltakene omfatter kryptering av dokumentobjekter med AES-256-GCM på applikasjonsnivå; separat innpakkede nøkler per dokument; TLS under overføring; privat infrastruktur; en privat kryptert R2-speiling; tilgangskontroll per arbeidsområde; valgfri totrinnsbekreftelse med TOTP; hashing av passord med Argon2id; sikre økter og CSRF-beskyttelse; karantene, innholdsvalidering og skanning for skadevare.
Tiltakene omfatter også kortvarig autorisasjon for visning; restriktive regler for hurtigbuffer; ikke-offentlige objektstier; logging av vesentlige handlinger på dokumenter; fastsatt lagringstid for sikkerhetskopier; planlagt og manuell sletting; begrenset tilgang til produksjonsmiljøet; taushetsplikt; vurdering av leverandører og prosedyrer for håndtering av hendelser.
Vedlegg 3: Underdatabehandlere
De gjeldende underdatabehandlerne, formålene deres, datakategorier, behandlingsregioner og garantier ved overføring er publisert på sunsetdocs.com/subprocessors. Bare leverandører som der er oppført som underdatabehandlere, inngår i dette vedlegget for kundens personopplysninger.
15. Kontakt
Spørsmål, protester, bekreftelser på sletting og signerte eksemplarer kan bestilles via [email protected].