Personuppgiftsbiträdesavtal

Detta personuppgiftsbiträdesavtal följer strukturen i danska Datatilsynets standardavtal för personuppgiftsbiträdesavtal. Det ingås mellan kunden och Veyro när kunden godkänner det i kundpanelen på kunde.veyro.dk eller via en offertlänk. Godkännandet sparas med tidpunkt och version och ersätter underskrift. Vill ni ha en undertecknad kopia, skriv till kontakt@veyro.dk.

Parterna

Personuppgiftsansvarig: det företag som har godkänt avtalet ("kunden").

Personuppgiftsbiträde: Veyro, CVR 46857569, Albert Ibsensvej 28, 2. tv, 4200 Slagelse ("Veyro").

1. Syfte och bakgrund

Veyro levererar webbplatser, webbutiker, beställnings-, order-, lager- och jobbsystem samt hosting, drift, support och utveckling till kunden (huvudavtalet, se våra handels- och abonnemangsvillkor). När kunden lägger in personuppgifter om sina egna kunder, medarbetare eller samarbetspartner i lösningen behandlar Veyro dem för kundens räkning. Avtalet fastställer parternas rättigheter och skyldigheter enligt artikel 28.3 i dataskyddsförordningen (GDPR).

Avtalet gäller så länge Veyro behandlar personuppgifter för kundens räkning. Bilagorna A–D är en del av avtalet. Om huvudavtalet och personuppgiftsbiträdesavtalet strider mot varandra har personuppgiftsbiträdesavtalet företräde när det gäller skyddet av personuppgifter.

2. Kundens rättigheter och skyldigheter

Kunden är personuppgiftsansvarig och ansvarar för att behandlingen har en rättslig grund, att de registrerade har informerats om behandlingen och att instruktionen i avtalet är laglig. Kunden får inte lägga in känsliga uppgifter (GDPR artikel 9), uppgifter om lagöverträdelser (artikel 10) eller danska personnummer (CPR-nummer) i lösningen, om detta inte har avtalats skriftligen med Veyro i förväg.

3. Veyro handlar enligt instruktion

Veyro behandlar endast personuppgifter enligt dokumenterad instruktion från kunden, som framgår av bilagorna A och C eller som kunden senare lämnar skriftligen, om inte EU-rätt eller dansk rätt kräver något annat. I så fall informerar Veyro kunden före behandlingen, om inte lagen förbjuder det. Om Veyro anser att en instruktion strider mot dataskyddsreglerna informerar vi omedelbart kunden.

4. Sekretess

Endast personer som är behöriga hos Veyro och behöver åtkomsten för att leverera tjänsten har tillgång till personuppgifterna. De har tystnadsplikt enligt avtal eller lag. Åtkomsten stängs när den inte längre behövs.

5. Behandlingens säkerhet

Veyro genomför de tekniska och organisatoriska åtgärder som krävs enligt GDPR artikel 32 med hänsyn till risken för de registrerade. De åtgärder som minst har avtalats finns i bilaga C.

6. Användning av underbiträden

• Kunden ger Veyro ett allmänt godkännande att använda underbiträden. De underbiträden som är godkända vid avtalets ingående anges i bilaga B.
• Veyro meddelar planerade tillägg eller byten av underbiträden skriftligen minst 30 dagar i förväg. Kunden kan invända innan dess. Om parterna inte kan hitta en lösning kan kunden säga upp de berörda tjänsterna till den dag ändringen träder i kraft.
• Veyro ålägger underbiträden samma dataskyddsskyldigheter som i detta avtal och ansvarar gentemot kunden för att de följer dem.

7. Överföring till tredjeländer

Överföring av personuppgifter till länder utanför EU/EES sker endast enligt kundens instruktion. Genom detta avtal instruerar kunden de överföringar som anges i bilaga B. De sker med stöd av EU-US Data Privacy Framework när mottagaren är certifierad, och annars EU-kommissionens standardavtalsklausuler.

8. Bistånd till kunden

Veyro hjälper kunden, i den mån det är möjligt och med hänsyn till behandlingens art, att

• besvara registrerades begäran om tillgång, rättelse, radering, begränsning, dataportabilitet och invändning,
• uppfylla kundens skyldigheter avseende säkerhet, incidentanmälan, information till de registrerade, konsekvensbedömningar och samråd med Datatilsynet.

Om Veyro får en begäran direkt från en registrerad vidarebefordrar vi den till kunden utan onödigt dröjsmål. Bistånd utöver det sedvanliga debiteras efter nedlagd tid till Veyros gällande timpris.

9. Information om personuppgiftsincidenter

Veyro informerar kunden utan onödigt dröjsmål och senast 48 timmar efter att ha fått kännedom om en personuppgiftsincident. Informationen innehåller i möjligaste mån de uppgifter kunden behöver för en anmälan till Datatilsynet enligt GDPR artikel 33: vad som har hänt, vilka kategorier och ungefär hur många registrerade och uppgifter det rör sig om, sannolika konsekvenser och vad som har gjorts för att begränsa dem.

10. Radering och återlämning

När behandlingsavtalet upphör raderar Veyro alla personuppgifter som har behandlats för kundens räkning och bekräftar det för kunden, om inte lagen kräver att de bevaras. Kunden kan inom 30 dagar efter upphörandet begära att få uppgifterna utlämnade i ett vanligt format (till exempel CSV) innan de raderas. Säkerhetskopior raderas när deras lagringstid löper ut hos hostingleverantören.

11. Revision och tillsyn

Veyro tillhandahåller alla uppgifter som behövs för att visa att avtalet och GDPR artikel 28 följs. Kunden kan en gång om året få en skriftlig redogörelse för Veyros säkerhetsåtgärder. Om kunden önskar fysisk tillsyn eller revision av en oberoende tredje part avtalas tidpunkt och omfattning i förväg, och kunden betalar kostnaderna. Datatilsynet har alltid tillgång enligt lag.

12. Övriga förhållanden

Parternas ansvar enligt detta avtal följer huvudavtalets regler om ansvar och ansvarsbegränsning i den mån det är förenligt med GDPR artikel 82. Veyro kan ändra avtalet enligt samma regler som handelsvillkoren, men aldrig så att skyddet av personuppgifterna försämras.

13. Ikraftträdande och upphörande

Avtalet träder i kraft när kunden har godkänt det och gäller så länge Veyro behandlar personuppgifter för kundens räkning. Avtalet kan inte sägas upp separat så länge huvudavtalet gäller. Parterna kan när som helst omförhandla avtalet om lagstiftningen eller behandlingen ändras.

14. Kontaktpersoner

Veyro: kontakt@veyro.dk, telefon +45 61 66 39 31. Kunden: den e-postadress kunden är registrerad med i kundpanelen. Parterna meddelar varandra om kontaktpersonen ändras.

Bilaga A: Uppgifter om behandlingen

Syfte: att leverera huvudavtalets tjänster till kunden, det vill säga hosting, drift, underhåll, support, felrättning och vidareutveckling av kundens webbplats, webbutik och beställnings-, order-, lager- och jobbsystem, inklusive utskick av e-post från lösningen.

Behandlingens art: lagring, organisering, hämtning, visning, ändring, utskick och radering av uppgifter i lösningen. Veyro ser uppgifterna endast när det är nödvändigt för att leverera tjänsten, till exempel vid support och felrättning.

Kategorier av registrerade:

• kundens egna kunder och deras kontaktpersoner (till exempel beställare och mottagare av beställningar)
• kundens medarbetare och användare av lösningen
• kontaktpersoner hos kundens leverantörer och samarbetspartner
• besökare på kundens webbplats och personer som fyller i formulär där

Typer av personuppgifter (vanliga uppgifter, GDPR artikel 6):

• namn, företagsnamn, CVR-nummer, adress, leveransadress, e-post och telefonnummer
• order, beställningar, kvitton, jobb, arbetsadresser, anteckningar och meddelanden
• användarkonton, roller och loggade åtgärder (vem som gjorde vad och när)
• medarbetares registrerade timmar och de timpriser kunden själv lägger in
• tekniska uppgifter som IP-adress i samband med säkerhet och skydd mot missbruk

Varaktighet: så länge huvudavtalet gäller och därefter fram till radering enligt punkt 10.

Bilaga B: Underbiträden

Vid avtalets ingående är följande underbiträden godkända:

• Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Hosting av webbplatser och system, databas, filer och skydd mot angrepp. Data kan behandlas i Cloudflares datacenter inom och utanför EU/EES.
• Resend (Plus Five Five, Inc.), USA. Utskick av e-post från lösningen, till exempel orderbekräftelser, inloggningslänkar och varningar.
• Google Cloud EMEA Limited, Irland (Google Workspace). Veyros e-post, om kunden skickar personuppgifter till oss, till exempel i samband med support.

Den aktuella listan finns alltid på denna sida.

Bilaga C: Instruktion och säkerhet

C.1 Behandlingens föremål och instruktion: Veyro behandlar personuppgifterna för att leverera tjänsterna i bilaga A och endast enligt kundens instruktion. Kundens användning och inställningar av lösningen utgör en del av instruktionen.

C.2 Säkerhet: Veyro har minst följande åtgärder:

• all trafik krypteras med HTTPS (TLS)
• varje kund har en egen databas så att kunders data inte blandas
• inloggning sker med personliga konton; inloggningslänkar, engångskoder och sessioner sparas endast som hashvärden
• roller begränsar vad den enskilda användaren kan se och ändra
• skydd mot förfalskade formulär, missbruk och för många försök (rate-limiting)
• åtkomst till hosting, databas och kod är begränsad till Veyros behöriga personer
• databasen kan återställas till en tidigare tidpunkt via hostingleverantörens återställningsfunktion
• hemliga nycklar lagras krypterat hos hostingleverantören och aldrig i koden
• säkerhetsuppdateringar installeras löpande

C.3 Bistånd: Veyro bistår enligt punkterna 8 och 9 med de åtgärder som anges i C.2. Kunden kan själv rätta och radera de flesta uppgifterna i lösningen.

C.4 Lagring och radering: Uppgifterna lagras så länge huvudavtalet gäller eller tills kunden själv raderar dem. Vid upphörande gäller punkt 10.

C.5 Plats: Behandlingen sker hos Veyro i Danmark och hos underbiträdena i bilaga B.

C.6 Överföring till tredjeländer: se punkt 7 och bilaga B. Andra överföringar kräver kundens skriftliga instruktion.

C.7 Tillsyn över underbiträden: Veyro utövar tillsyn genom att granska underbiträdenas personuppgiftsbiträdesavtal, säkerhetsdokumentation och revisionsrapporter (till exempel SOC 2 eller ISO 27001) när de uppdateras.

Bilaga D: Parternas reglering av övriga förhållanden

Bistånd enligt punkt 8 och tillsyn enligt punkt 11 som går utöver det sedvanliga debiteras efter nedlagd tid. Övriga förhållanden regleras av huvudavtalet.