1. Parter och omfattning

Detta personuppgiftsbiträdesavtal ("DPA") ingås mellan kunden ("Personuppgiftsansvarig") och Armin Zaribaf, Libero professionista, momsregistreringsnummer IT16634531004, Viale Giacomo Aicardi 8, 00177 Roma (RM), Italia ("Personuppgiftsbiträde") och utgör en del av användarvillkoren. Det reglerar Personuppgiftsbiträdets behandling av personuppgifter för Personuppgiftsansvarigs räkning i enlighet med artikel 28 i förordning (EU) 2016/679 ("GDPR"). Vid motstridigheter mellan Personuppgiftsansvarig och Personuppgiftsbiträde har detta DPA företräde avseende personuppgifter.

2. Föremål, varaktighet, art och ändamål

Personuppgiftsbiträdet tillhandahåller en plattform för samtyckeshantering: den visar en samtyckesbanner på Personuppgiftsansvarigs webbplatser, registrerar samtyckesbeslut från Personuppgiftsansvarigs webbplatsbesökare och gör dessa register tillgängliga för Personuppgiftsansvarig som bevis på samtycke. Behandlingen pågår under Personuppgiftsansvarigs prenumerationsperiod samt under den lagringsperiod som beskrivs i klausul 8.

3. Kategorier av registrerade och personuppgifter

De registrerade är besökare på Personuppgiftsansvarigs webbplatser. För varje samtyckeshändelse registrerar Personuppgiftsbiträdet: en pseudonym samtyckesidentifierare, samtyckesbeslutet per ändamål, land och region härlett från besökarens IP-adress, webbplatsdomänen, en maskerad hänvisningsadress (referrer), eventuell IAB TCF-sträng samt tidpunkten för händelsen.

Samtyckesposter innehåller inte besökarnas IP-adresser eller user-agent-strängar. IP-adresser används för hastighetsbegränsning (rate limiting) och geolokalisering, inklusive en extern reservlösning som anges på /subprocessors. Diagnostik för infrastruktur och underbiträden kan behandla metadata för förfrågningar i enlighet med deras tillämpliga lagringsvillkor. Samtyckesposternas schema samlar inte in särskilda kategorier av personuppgifter enligt artikel 9 i GDPR.

4. Personuppgiftsbiträdets skyldigheter

Endast behandla personuppgifter i enlighet med Personuppgiftsansvarigs dokumenterade instruktioner, inklusive avseende internationella överföringar, såvida inte annat krävs enligt unionsrätten eller medlemsstaternas nationella rätt.
Säkerställa att personer med behörighet att behandla personuppgifterna har åtagit sig att iaktta tystnadsplikt.
Vidta de tekniska och organisatoriska åtgärder som beskrivs i klausul 6.
Med beaktande av behandlingens art och den information som är tillgänglig för Personuppgiftsbiträdet, bistå Personuppgiftsansvarig genom lämpliga tekniska och organisatoriska åtgärder vid besvarande av förfrågningar från de registrerade, samt med dennes skyldigheter enligt artiklarna 32 till 36 i GDPR. Personuppgiftsansvarig kan tillgodose de flesta sådana förfrågningar på egen hand med hjälp av export- och raderingsverktygen i kontrollpanelen; om assistansen sträcker sig utöver dessa verktyg kan Personuppgiftsbiträdet debitera enligt sina vid tidpunkten gällande priser för konsulttjänster.
Göra den information tillgänglig som krävs för att visa efterlevnad och möjliggöra granskningar enligt beskrivningen i klausul 9.

5. Underbiträden

Personuppgiftsansvarig ger ett allmänt skriftligt tillstånd för Personuppgiftsbiträdet att anlita underbiträden. Den aktuella listan publiceras på /subprocessors. Personuppgiftsbiträdet uppdaterar sidan minst trettio (30) dagar innan ett nytt underbiträde påbörjar behandling. Meddelanden om ändringar är tillgängliga på begäran via dataskyddskontakten i klausul 13; automatiska prenumerationer på aviseringar planeras och är för närvarande inte tillgängliga. Personuppgiftsansvarig kan invända inom denna period på rimliga, dokumenterade dataskyddsgrunder. Om parterna inte kan lösa invändningen är Personuppgiftsansvarigs enda och exklusiva gottgörelse att säga upp den berörda tjänsten genom skriftligt meddelande, med en proportionell (pro rata) återbetalning av förskottsbetalade avgifter för den outnyttjade avtalsperioden. Utebliven invändning inom aviseringsperioden anses som ett godkännande. Varje underbiträde är bundet av dataskyddsförpliktelser som inte är mindre skyddande än de i detta DPA.

6. Säkerhetsåtgärder

TLS skyddar publika tjänsteanslutningar. Verifiering av interna TLS-certifikat för databaser, autentiserad Redis TLS och leverantörskonfiguration för vilande data (at-rest) planeras; dessa kontroller bekräftas inte genom detta avtal.
Rollbaserad åtkomstkontroll, med behörigheter avgränsade per team och per banner, samt minsta behörighets-separation (least privilege) mellan support- och operatörsroller.
Uppgiftsminimering i samtyckesposter: besökares IP-adresser och user-agent-strängar lagras inte i dessa poster; diagnostik för infrastruktur och underbiträden hålls åtskild.
Revisionsloggning av utvalda team- och faktureringsåtgärder i enlighet med en fastställd lagringspolicy; omfattande loggning för plattformsadministratörer planeras.
Verktyg för säkerhetskopiering och återställningsverifiering av databaser samt övervakad felrapportering. Kvartalsvisa dokumenterade återställningstester och kryptering av säkerhetskopierade artefakter planeras; en aktuell framgångsrik återställning fastställs inte genom detta avtal.

7. Personuppgiftsincidenter

Personuppgiftsbiträdet ska underrätta Personuppgiftsansvarig utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som påverkar Personuppgiftsansvarigs personuppgifter, och tillhandahålla den information som då rimligen finns tillgänglig så att Personuppgiftsansvarig kan fullgöra sina skyldigheter enligt artiklarna 33 och 34 i GDPR. Informationen kan tillhandahållas i etapper allt eftersom utredningen fortskrider. En underrättelse utgör inte ett erkännande av fel eller skadeståndsansvar.

8. Lagring, återlämnande och radering

Samtyckesposter sparas under den period som definieras i abonnemanget, med förbehåll för ett godkänt administrativt åsidosättande och för närvarande minst tolv månader, i syfte att fungera som bevis på samtycke enligt artikel 7.1 i GDPR. Ändringar av lagringstiden kan begäras via dataskyddskontakten för genomförbarhets- och juridisk prövning; självbetjäningsinställningar för lagring för kunder planeras och är för närvarande inte tillgängliga. Personuppgiftsansvariga kan när som helst exportera sina samtyckesposter från kontrollpanelen och ansvarar för att göra detta före uppsägning. Vid uppsägning kommer Personuppgiftsbiträdet, på Personuppgiftsansvarigs skriftliga begäran gjord inom trettio (30) dagar, att återlämna eller radera personuppgifterna, och i avsaknad av en sådan begäran kan de raderas. Kopior som finns i rutinmässiga säkerhetskopior hanteras via den tillämpliga rotationsprocessen för säkerhetskopiering snarare än omedelbar radering på begäran, och fortsätter att omfattas av detta DPA tills de raderas. Kryptering av säkerhetskopierade artefakter planeras och tillhandahålls för närvarande inte av säkerhetskopieringsskriptet; lagring och utgång för fjärrkopior kräver operativ verifiering. Personuppgiftsbiträdet får behålla data om det krävs enligt unionsrätten eller medlemsstaternas nationella rätt.

9. Granskningar

Personuppgiftsbiträdet ska tillhandahålla den information som krävs för att visa efterlevnad av detta DPA. Personuppgiftsansvarigs rätt till granskning uppfylls i första hand genom Personuppgiftsbiträdets skriftliga svar på ett rimligt säkerhetsfrågeformulär samt genom eventuella tredjepartsrapporter eller certifieringar som Personuppgiftsbiträdet innehar. En granskning på plats eller praktisk revision får endast utföras om detta material verkligen är otillräckligt eller om en tillsynsmyndighet kräver det, med minst trettio (30) dagars skriftligt varsel, högst en gång per tolvmånadersperiod, under kontorstid, utan att störa Personuppgiftsbiträdets verksamhet, av Personuppgiftsansvarig eller en oberoende revisor som inte är en konkurrent till Personuppgiftsbiträdet och som är bunden av tystnadsplikt. Personuppgiftsansvarig står för sina egna och Personuppgiftsbiträdets rimliga kostnader för en sådan granskning.

10. Internationella överföringar

Personuppgifter lagras inom Europeiska unionen. Om ett underbiträde som anges på /subprocessors behandlar uppgifter utanför EES sker överföringen i enlighet med Europeiska kommissionens standardavtalsklausuler eller en annan giltig överföringsmekanism, tillsammans med eventuella kompletterande åtgärder som krävs.

11. Personuppgiftsansvarigs ansvar

Personuppgiftsansvarig avgör vilka personuppgifter som samlas in via Tjänsten och varför. Personuppgiftsansvarig garanterar att den har en giltig rättslig grund för behandlingen, att dess instruktioner – inklusive konfiguration av banner, kategorier och regioner – följer tillämplig dataskyddslagstiftning samt att den har tillhandahållit nödvändig information och inhämtat nödvändiga samtycken som dess egen användning kräver.

Tjänsten är ett verktyg för att registrera och signalera samtycke. Den utgör inte juridisk rådgivning, och Personuppgiftsbiträdet garanterar inte att en viss konfiguration gör att Personuppgiftsansvarig efterlever GDPR, ePrivacy-direktivet eller någon annan lagstiftning. Personuppgiftsansvarig ansvarar för att verifiera att dess konfiguration uppfyller dess egna skyldigheter.

Personuppgiftsansvarig ska hålla Personuppgiftsbiträdet skadeslöst mot krav, böter och kostnader som uppstår till följd av Personuppgiftsansvarigs instruktioner, dess konfiguration av Tjänsten eller dess underlåtenhet att ha en giltig rättslig grund.

12. Ansvar

Vardera parts sammanlagda ansvar som härrör från eller i samband med detta DPA omfattas av de undantag och det sammanlagda ansvarstak som anges i användarvillkoren, och parternas ansvar enligt detta DPA och användarvillkoren räknas samman mot detta enda tak snarare än separat. Inget i denna klausul begränsar ansvar som inte kan begränsas enligt lag, inklusive en registrerads rättigheter enligt artikel 82 i GDPR.

Se användarvillkoren för det tillämpliga taket.

13. Kontakt

Dataskyddsfrågor: [email protected] · Juridik: [email protected]

Personuppgiftsbiträdesavtal