Personuppgiftsbiträdesavtal

Detta DPA reglerar HansaChats behandling av kundens personuppgifter för att tillhandahålla tjänsten. Behandlingens föremål, natur, syfte, datakategorier, registrerade och löptid anges i bilaga 1.

Kunden bestämmer syftena och de väsentliga medlen för behandlingen av arbetsytans innehåll. HansaChat behandlar dessa data på kundens vägnar. Detta DPA omfattar inte personuppgifter som HansaChat behandlar som självständig personuppgiftsansvarig för fakturering, kontoadministration, tjänstens säkerhet, förebyggande av missbruk, supportadministration eller efterlevnad; den behandlingen beskrivs i integritetspolicyen.

HansaChat ska behandla kundens personuppgifter endast på dokumenterade anvisningar från kunden, inklusive tjänsteavtalet, detta DPA, kundens användning och konfiguration av tjänsten samt efterföljande anvisningar som sänds i textform. HansaChat får behandla data när unionsrätt eller medlemsstatlig lagstiftning kräver det och ska informera kunden innan dess, om inte lagen förbjuder sådan underrättelse av viktiga skäl för allmänintresset.

HansaChat ska omedelbart informera kunden om en anvisning enligt dess bedömning bryter mot GDPR eller annan tillämplig unions- eller medlemsstatlig dataskyddslagstiftning och får suspendera den berörda anvisningen tills den har bekräftats eller ändrats.

HansaChat säkerställer att varje person som är behörig att behandla kundens personuppgifter är bunden av sekretess eller en lämplig lagstadgad skyldighet och får åtkomst endast där det är nödvändigt för tjänstens drift, underhåll, felsökning, säkerhet, förebyggande av missbruk, laglig efterlevnad eller kundbegärd support.

Där § 3 i den tyska lagen om dataskydd för telekommunikation och digitala tjänster (TDDDG) är tillämplig skyddar HansaChat även kommunikationernas innehåll och omständigheter som telekommunikationssekretess. HansaChat får inte ta del av mer kunskap än vad som är nödvändigt för att tillhandahålla kommunikationstjänsten eller skydda dess tekniska system, och får använda sådan kunskap för annat ändamål endast där en lag uttryckligen tillåter den användningen i fråga om telekommunikation.

Sekretessförpliktelsen kvarstår efter personens arbetstid och efter att tjänsteavtalet har upphört.

Med hänsyn till den tekniska utvecklingen, genomförandekostnaderna samt behandlingens natur, omfattning, sammanhang och syften ska HansaChat upprätthålla lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 i GDPR. De nuvarande åtgärderna beskrivs i bilaga 2 och på säkerhetssidan.

HansaChat får uppdatera dessa åtgärder i takt med att teknik och risk förändras, förutsatt att den samlade skyddsnivån inte väsentligt sänks under tjänsteavtalet.

Kunden beviljar HansaChat ett allmänt skriftligt tillstånd att använda underbiträdena i bilaga 3. HansaChat ska ålägga varje underbiträde i huvudsak samma dataskyddsförpliktelser, förbli ansvarigt för dess fullgörande enligt detta DPA och hålla listan aktuell.

HansaChat ska ge minst 30 dagars förhandsmeddelande via e-post till kundens kontokontakt eller genom ett tydligt servicemeddelande innan ett underbiträde som behandlar kundens personuppgifter läggs till eller byts ut. En kortare tid kan användas när det behövs för att hantera en akut säkerhets-, juridisk- eller tillgänglighetsrisk; HansaChat ger då meddelande så snart det rimligen är möjligt.

Kunden kan under meddelandetiden göra invändning av skäliga dataskyddsskäl. Parterna ska i god tro arbeta fram en kommersiellt rimlig lösning. Om ingen finns kan kunden säga upp den berörda tjänsten innan det nya underbiträdet inleder behandlingen, utan avgift för den oanvända förbetalda perioden av den berörda tjänsten.

Arbetsytans primära lagring finns i Tyskland. Krypterade säkerhetskopior enligt Restic lagras i Frankfurt och Stockholm. Nätverksleverans och valfria stödfunktioner kan innefatta andra platser enligt bilaga 3.

HansaChat får inte överföra kundens personuppgifter till ett tredjeland eller en internationell organisation, om det inte sker på kundens anvisning, är nödvändigt för att tillhandahålla en aktiverad tjänstefunktion eller krävs enligt lag, och endast när kraven i GDPR kapitel V är uppfyllda. Tillämpliga skyddsåtgärder kan omfatta ett tillräcklighetsbeslut, EU-kommissionens standardavtalsklausuler samt kompletterande tekniska och organisatoriska åtgärder.

Om HansaChat tar emot en förfrågan från en registrerad som rör kundens personuppgifter ska den ombesörja att förfrågan snarast vidarebefordras till kunden och ska inte svara annat än med kundens tillstånd eller om lagen kräver det.

Med hänsyn till behandlingens natur och den tillgängliga informationen ska HansaChat rimligen bistå kunden med registerpersoners rättigheter och med kundens förpliktelser enligt artiklarna 32–36 i GDPR, inklusive säkerhet, bedömning av intrång, konsekvensbedömningar av dataskydd och föregående samråd.

HansaChat ska meddela kunden utan onödigt dröjsmål efter att ha blivit medveten om ett personuppgiftsintrång som berör kundens personuppgifter. Meddelandet ska innehålla den information som HansaChat har tillgång till och som kunden rimligen behöver för sina förpliktelser enligt artiklarna 33 och 34 i GDPR, och ytterligare information kan lämnas i etapper när den blir tillgänglig.

HansaChat ska vidta skäliga åtgärder för att begränsa, utreda, åtgärda och mildra intrånget och ska samarbeta med kunden. Ett meddelande utgör inte ett erkännande av fel eller ansvar.

Enligt kundens val ska HansaChat återlämna eller radera kundens personuppgifter efter att behandlingstjänsterna har upphört och radera befintliga kopior, om inte unionsrätt eller medlemsstatlig lagstiftning kräver kvarhållning. Kunden måste begära återlämning före arbetsytans raderingsdatum; om kunden inte ger någon anvisning väljs radering.

Uppsagda betalda arbetsytor och provperiodsarbetsytor förblir användbara genom den pågående betalda perioden eller provperioden, blir därefter skrivskyddade i 90 dagar och raderas. Radering på ägarens begäran gör arbetsytan skrivskyddad omedelbart och raderar den efter en 30-dagars respitperiod, om den inte avbryts. Demoarbetsytor raderas efter 24 timmar. Kostnadsfria arbetsytor förblir skrivbara och raderas efter 90 dagar utan ett sparat meddelande. Arbetsyetdatabaser och uppladdade objekt tas bort genom tillämplig raderingsprocess; raderade arbetsyetdata åldras ur krypterade säkerhetskopior enligt schemat i bilaga 2.

HansaChat ska tillhandahålla den information som rimligen behövs för att demonstrera efterlevnad av artikel 28 i GDPR och detta DPA. Kunden får revidera den omfattade behandlingen själv eller genom en oberoende, kvalificerad granskare som är bunden av sekretess.

Revisioner bör normalt inledas med tillgänglig dokumentation och fjärrgranskning. Besiktning på plats är möjlig när dokumentationen är otillräcklig eller det finns skäliga indicier på bristande efterlevnad, med skälig förhandsavisering och utan att andra kunder, säkerheten eller företagshemligheter äventyras. Kunden bär de skäliga revisionskostnaderna, om inte en revision påvisar en väsentlig överträdelse från HansaChats sida. Tillsynsmyndigheters befogenheter begränsas inte.

Detta DPA inleds när det blir bindande enligt avsnittet Avtalsstatus och gäller tills HansaChat har raderat alla kundens personuppgifter. Om HansaChat inte kan efterkomma detta DPA ska den ombesörja att snarast informera kunden. Kunden får suspendera behandlingen eller säga upp den berörda tjänsten när en väsentlig överträdelse inte åtgärdas inom en rimlig tid.

Ansvar, tillämplig lag och domstolsplats följer tjänsteavtalet, såvida inte tvingande dataskyddslagstiftning kräver annat. Ingenting i detta DPA begränsar registerpersoners rättigheter eller en behörig tillsynsmyndighets befogenheter.