Personuppgiftsbiträdesavtal

1. Definitioner

GDPR avser förordning (EU) 2016/679. Personuppgiftsansvarig, personuppgiftsbiträde, personuppgifter, behandling, registrerad och personuppgiftsincident har den betydelse som anges i GDPR. Kundens personuppgifter avser personuppgifter som skickas in till eller genereras i en kunds arbetsyta och som Sunset Docs behandlar för kundens räkning.

Dataskyddslagstiftning avser GDPR och all annan integritets- eller dataskyddslagstiftning som är tillämplig på behandling enligt detta personuppgiftsbiträdesavtal. Tjänsten och Kunden har den betydelse som anges i villkoren.

2. Roller och omfattning

Kunden är personuppgiftsansvarig eller ett personuppgiftsbiträde som agerar för en annan personuppgiftsansvarig. Sunset Docs är personuppgiftsbiträde eller underbiträde. Varje part fullgör sina egna skyldigheter enligt dataskyddslagstiftningen.

När kunden agerar som personuppgiftsbiträde bekräftar kunden att den berörda personuppgiftsansvarige har godkänt kundens instruktioner och anlitandet av Sunset Docs. Bilaga 1 beskriver den behandling som omfattas av detta personuppgiftsbiträdesavtal.

3. Dokumenterade instruktioner

Sunset Docs behandlar kundens personuppgifter endast enligt dokumenterade instruktioner i villkoren, detta personuppgiftsbiträdesavtal, kundens konfiguration av tjänsten och behörig användning av funktioner. Om unionsrätten eller en medlemsstats nationella rätt kräver annan behandling informerar vi kunden innan behandlingen, om inte lagen förbjuder sådan information.

Vi informerar kunden om vi anser att en instruktion strider mot dataskyddslagstiftningen och får pausa den berörda behandlingen medan parterna löser frågan.

4. Sekretess

Varje person som Sunset Docs har gett behörighet att behandla kundens personuppgifter omfattas av avtalsenlig eller lagstadgad tystnadsplikt och får åtkomst endast när det behövs för personens roll.

5. Säkerhet

Sunset Docs upprätthåller tekniska och organisatoriska åtgärder som är lämpliga med hänsyn till riskerna med behandlingen, med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål. De nuvarande åtgärderna beskrivs i bilaga 2.

Vi får uppdatera åtgärderna när tjänsten förändras, förutsatt att uppdateringen inte väsentligt försämrar det sammantagna skyddet för kundens personuppgifter.

6. Underbiträden

Kunden ger ett allmänt skriftligt tillstånd till de underbiträden som anges på sidan Underbiträden. Vi meddelar minst 30 dagar i förväg innan vi lägger till eller byter ut ett underbiträde som ska behandla kundens personuppgifter. Kunden får invända inom den perioden av rimliga dataskyddsskäl.

Vi ålägger varje underbiträde dataskyddsskyldigheter som ger ett i allt väsentligt likvärdigt skydd för den aktuella behandlingen. Vi förblir ansvariga gentemot kunden för underbiträdets fullgörande i enlighet med vad lagen kräver. Om inget rimligt alternativ finns efter en giltig invändning får kunden säga upp den berörda tjänsten och få en proportionell återbetalning av förskottsbetalda avgifter för den outnyttjade perioden.

7. Begäranden från registrerade

Med beaktande av behandlingens art ger vi rimligt tekniskt och organisatoriskt bistånd vid begäranden om att utöva de registrerades rättigheter. Om en registrerad kontaktar oss direkt om kundens personuppgifter vidarebefordrar vi begäran till kunden utan onödigt dröjsmål och besvarar den inte i sak om vi inte har fått behörighet eller är skyldiga enligt lag.

8. Personuppgiftsincidenter

Vi underrättar kunden utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident som påverkar kundens personuppgifter. Vi lämnar den information som rimligen finns tillgänglig om incidentens art, berörda kategorier och ungefärligt antal, sannolika konsekvenser och vidtagna eller föreslagna åtgärder.

Informationen kan lämnas i omgångar. Vi skjuter inte upp en första underrättelse enbart för att alla detaljer ännu inte är kända, och vi ger rimligt bistånd med kundens skyldigheter att anmäla och informera.

9. Annat bistånd

Med beaktande av behandlingens art och den information som finns tillgänglig för oss ger vi rimligt bistånd med säkerhetsskyldigheter, konsekvensbedömningar avseende dataskydd och förhandssamråd med tillsynsmyndigheter när de gäller tjänsten.

10. Överföringar till tredjeländer

En överföring som omfattas av begränsningar sker endast enligt en mekanism som är tillåten enligt kapitel V i GDPR. Beroende på mottagaren kan detta omfatta ett beslut om adekvat skyddsnivå, ramen för dataskydd mellan EU och USA (EU-US Data Privacy Framework) när mottagaren är certifierad, eller Europeiska kommissionens standardavtalsklausuler med kompletterande åtgärder när det krävs. Uppgifter om leverantörerna publiceras på sidan Underbiträden.

11. Information och granskningar

Vi tillhandahåller den information som rimligen behövs för att visa att artikel 28 i GDPR efterlevs, inklusive svar på proportionerliga skriftliga säkerhetsfrågor. Kunden får granska efterlevnaden högst en gång per 12 månader, med minst 30 dagars varsel, under kontorstid, på egen bekostnad och under sekretess, utan att störa tjänsten eller komma åt en annan kunds uppgifter.

Begränsningarna av frekvens och varsel gäller inte efter en misstänkt incident, vid trovärdiga belägg för en väsentlig bristande efterlevnad eller på begäran av en tillsynsmyndighet. Granskning av dokumentation bör användas före en granskning på plats när den rimligen kan tillgodose begäran.

12. Återlämnande och radering

Det inställda raderingsschemat är en fortlöpande dokumenterad instruktion och förlängs inte av att prenumerationen sägs upp. Kunden får radera uppgifter tidigare. Innan behandlingen upphör kan kunden hämta originalfiler för vilka ägaren har aktiverat nedladdning eller begära en rimlig export på tjänstenivå av aktiva personuppgifter som tillhör kunden.

När behandlingen upphör kan kunden instruera oss att återlämna och radera kundens aktiva personuppgifter eller att radera dem utan återlämnande, om inte unionsrätten eller medlemsstaternas nationella rätt kräver lagring. Om kunden inte ger någon annan instruktion fortsätter befintliga raderingsscheman att gälla. Rester i krypterade säkerhetskopior av databasen går ut inom 30 dagar och förblir skyddade tills de raderas.

Minimala raderings- och granskningsposter utan innehåll kan finnas kvar i 12 månader av säkerhets- och ansvarsskäl. På skriftlig begäran bekräftar vi att den tillämpliga raderingsprocessen har slutförts.

13. Ansvar

Ansvarsbestämmelserna i villkoren gäller för detta personuppgiftsbiträdesavtal. De begränsar inte de registrerades rättigheter, tillsynsmyndigheternas befogenheter eller ansvar som dataskyddslagstiftningen inte tillåter parterna att undanta eller begränsa.

14. Giltighetstid och företräde

Detta personuppgiftsbiträdesavtal gäller så länge Sunset Docs behandlar kundens personuppgifter. Det har företräde framför villkoren i dataskyddsfrågor. Ändringar av personuppgiftsbiträdesavtalet följer ändringsprocessen i villkoren, med undantaget att en ändring som krävs enligt lag kan träda i kraft tidigare efter meddelande.

Bilaga 1: Uppgifter om behandlingen

Föremål: tillhandahållande av och support för tjänsten för dokumentmottagning Sunset Docs. Varaktighet: avtalstiden plus varje inställd raderingsperiod, en eventuell överenskommen exportperiod och cykeln för skyddade säkerhetskopior.

Art och ändamål: att ta emot, validera, söka efter skadlig kod i, kryptera, lagra, förhandsvisa, visa, avisera om, skriva ut där det är aktiverat, tillåta nedladdning av original med ägarens godkännande, logga och radera tillfälliga dokument.

Registrerade: avsändare av dokument, kundens användare och personal, klienter, uppdragstagare, leverantörer och andra personer vars uppgifter förekommer i inskickade dokument. Personuppgifter kan omfatta namn, kontaktuppgifter, identifieringsuppgifter, affärsmässiga, yrkesmässiga och ekonomiska uppgifter, dokumentinnehåll, filnamn, avsändarens e-postadress, metadata, säkerhetsuppgifter härledda från IP-adresser och åtkomstaktivitet.

Särskilda kategorier av personuppgifter och uppgifter med hög risk är inte avsedda eller tillåtna om inget annat har avtalats skriftligen. Kunden får inte skicka in uppgifter om barn, uppgifter om fällande domar i brottmål, fullständiga kortuppgifter, inloggningsuppgifter, hemligheter eller uppgifter som kunden inte har laglig rätt att behandla.

Bilaga 2: Tekniska och organisatoriska åtgärder

Åtgärderna omfattar kryptering av dokumentobjekt med AES-256-GCM på applikationsnivå; separat krypterade nycklar per dokument; TLS vid överföring; privat infrastruktur; en privat krypterad spegel i R2; åtkomstkontroller för arbetsytor; frivillig tvåstegsverifiering med TOTP; hashning av lösenord med Argon2id; säkra sessioner och CSRF-skydd; karantän, innehållsvalidering och sökning efter skadlig kod.

Åtgärderna omfattar även kortlivad behörighet i visaren; restriktiva cacheinställningar; icke-publika objektsökvägar; loggning av väsentliga åtgärder på dokument; fastställd lagringstid för säkerhetskopior; schemalagd och manuell radering; begränsad åtkomst till produktionsmiljön; tystnadsplikt; granskning av leverantörer och rutiner för incidenthantering.

Bilaga 3: Underbiträden

Nuvarande underbiträden, deras ändamål, uppgiftskategorier, behandlingsregioner och skyddsåtgärder vid överföring publiceras på sunsetdocs.com/subprocessors. Endast leverantörer som där anges som underbiträden ingår i denna bilaga för kundens personuppgifter.

15. Kontakt

Frågor, invändningar, bekräftelser av radering och undertecknade exemplar kan begäras via [email protected].