Personuppgiftsbiträdesavtal

Parter och omfattning

Detta avtal ingås mellan kundorganisationen (personuppgiftsansvarig) och ExpertFusion Software and Marketplace L.L.C-FZ, som driver PestLove (personuppgiftsbiträde). Det ingår i användarvillkoren och gäller automatiskt för varje abonnemang, utan underskrift. Vid motstridighet med villkoren om behandling av personuppgifter har detta avtal företräde.

Det omfattar personuppgifter som organisationen och dess användare lägger in eller skapar i PestLove. Företagets egen behandling för konton, fakturering, säkerhet och webbplatsen beskrivs i integritetspolicyn.

Instruktioner och sekretess

Vi behandlar kundens personuppgifter endast enligt organisationens dokumenterade instruktioner — villkoren, detta avtal och organisationens inställningar och användning av tjänsten — om inte lagen kräver annat; i så fall informerar vi organisationen i förväg när det är tillåtet. Vi meddelar organisationen om vi anser att en instruktion strider mot dataskyddslagstiftningen.

Alla som är behöriga att behandla kundens personuppgifter omfattas av sekretess, och åtkomsten är begränsad till vad som behövs för att tillhandahålla, supporta och skydda tjänsten.

Säkerhetsåtgärder

Vi har lämpliga tekniska och organisatoriska åtgärder, bland annat: separation mellan organisationer vid varje begäran och API-anrop; rollbaserade behörigheter och uttrycklig delning mellan organisationer; krypterade anslutningar (TLS); hashade lösenord och begränsade inloggningsförsök; API-token med avgränsad omfattning; operativa granskningsloggar; minsta nödvändiga åtkomst till produktionssystem; versionshanterade och testade releaser; och säkerhetskopior av databaser.

Vi kan uppdatera åtgärderna så länge den samlade skyddsnivån inte sänks.

Underbiträden

Organisationen godkänner följande underbiträden: Vultr (hosting, databaser och fillagring, Amsterdam, Nederländerna; samt vår server för utgående e-post, Madrid, Spanien) och Expo / 650 Industries, Inc. (pushaviseringar i mobilen, USA). Stripe behandlar betalningsuppgifter som självständigt personuppgiftsansvarig.

Vi meddelar via e-post minst 30 dagar innan vi lägger till eller byter ett underbiträde. Organisationen kan invända av rimliga dataskyddsskäl; om invändningen inte kan lösas kan den säga upp den berörda tjänsten och få proportionell återbetalning av förskottsbetalda avgifter. Vi ålägger varje underbiträde motsvarande dataskyddsskyldigheter och förblir ansvariga för dem.

Överföringar till andra länder

Kundens personuppgifter lagras i Nederländerna. När de överförs utanför EES, Storbritannien eller Schweiz — även till företaget i Förenade Arabemiraten och till underbiträden i USA — införlivas Europeiska kommissionens standardavtalsklausuler (beslut 2021/914, modul 2: personuppgiftsansvarig till personuppgiftsbiträde, underkastade irländsk rätt) i detta avtal, tillsammans med det brittiska tillägget för internationella överföringar och de schweiziska anpassningarna i förekommande fall.

Bistånd, personuppgiftsincidenter och granskning

Tjänsten låter organisationen se, rätta, exportera och radera sina data. Vi vidarebefordrar begäranden från registrerade till organisationen och hjälper den att svara, och vi lämnar rimlig information till konsekvensbedömningar avseende dataskydd.

Vi underrättar organisationen utan onödigt dröjsmål, och senast inom 48 timmar efter att vi fått kännedom om den, om en personuppgiftsincident som påverkar dess data, med den information som då finns, och håller den informerad allteftersom vi vet mer.

Vi tillhandahåller den information som behövs för att visa att avtalet följs. Organisationen kan granska vår efterlevnad en gång per år med 30 dagars skriftligt varsel, eller efter en incident, under sekretess och på egen bekostnad.

Återlämnande och radering

Under abonnemanget och i 30 dagar efter att det upphört kan organisationen exportera sina data. Därefter raderar vi kundens personuppgifter från produktionssystemen, och säkerhetskopior tas bort när de löper ut i rotationen, om inte lagen kräver att de sparas. Vi bekräftar raderingen skriftligen på begäran.

Beskrivning av behandlingen

Föremål och ändamål: tillhandahållande av programvaran PestLove för skadedjursbekämpning, livsmedelssäkerhet (HACCP), revisioner, utbildning och laboratoriearbete. Varaktighet: abonnemangsperioden plus exportperioden. Art: hosting, lagring, organisering, visning, överföring via e-post och pushaviseringar, rapportering, export, säkerhetskopiering och radering.

Registrerade: organisationens användare, dess kunder och deras kontaktpersoner, personal vid anläggningar som nämns i registreringar, kursdeltagare och undertecknare. Kategorier av uppgifter: namn, befattningar, kontaktuppgifter i tjänsten, kontoidentifierare, anläggningsadresser, uppdrags-, inspektions- och revisionsregistreringar, mätvärden, foton, signaturer och utbildningsregistreringar. Behandling av känsliga personuppgifter är inte avsedd.

Ansvar enligt detta avtal omfattas av begränsningarna i användarvillkoren, utom när dataskyddslagstiftningen inte tillåter det.