Föremål, varaktighet, art och ändamål Art. 28.3
Creedcon AB (”Biträdet”) behandlar personuppgifter på uppdrag av kunden (”den Ansvarige”) i den utsträckning som krävs för att tillhandahålla Qimbas™: insamling av loggdata från de källor den Ansvarige ansluter, analys av detekteringsregler, integrationer, loggkvalitet och mönster samt framtagning av rapporter och underlag. Behandlingen pågår under avtalstiden för tjänsten.
Typer av personuppgifter och kategorier av registrerade Art. 28.3
Personuppgifter som kan förekomma i säkerhetsloggar: användarnamn och e-postadresser, IP-adresser, enhetsidentifierare, tidpunkter och åtgärder i system, ungefärlig geografisk plats. Kategorier av registrerade: den Ansvariges anställda, konsulter och andra användare av den Ansvariges system, samt i förekommande fall externa parter som kommunicerar med systemen. Den Ansvarige ansvarar för att inte ansluta källor med särskilda kategorier av personuppgifter utan att först ha kommit överens om detta med Biträdet.
Behandling endast enligt dokumenterade instruktioner Art. 28.3 a
Biträdet behandlar personuppgifter endast enligt den Ansvariges dokumenterade instruktioner. Avtalet, tjänstens konfiguration och den Ansvariges val av källor utgör instruktionerna. Om en instruktion enligt Biträdets bedömning strider mot dataskyddslagstiftningen informerar Biträdet omedelbart den Ansvarige.
Konfidentialitet Art. 28.3 b
Personer som arbetar för Biträdet och har tillgång till personuppgifter omfattas av sekretessåtaganden och har tillgång endast i den utsträckning som krävs för arbetet.
Säkerhetsåtgärder Art. 28.3 c, Art. 32
Biträdet vidtar tekniska och organisatoriska åtgärder som står i proportion till risken, däribland:
- isolering av varje kunds data per tenant,
- lagring av data inom EU, och även AI-analysen inom EU när den Ansvarige har valt det,
- kryptering av data under överföring och i vila,
- minsta möjliga behörighet i den appregistrering som den Ansvarige skapar, och inga behörigheter utöver dem tjänsten anger,
- loggning av åtkomst till system som behandlar personuppgifter,
- rutiner för incidenthantering och regelbunden översyn av åtgärderna.
Åtgärderna beskrivs närmare på sidan Säkerhet.
Underbiträden Art. 28.2, 28.4
Den Ansvarige ger ett allmänt skriftligt förhandstillstånd till att Biträdet anlitar underbiträden. Aktuella underbiträden framgår av sidan Underbiträden. Biträdet informerar den Ansvarige om planerade förändringar minst 30 dagar i förväg så att den Ansvarige kan invända. Biträdet ålägger underbiträden samma skyldigheter som i detta avtal och ansvarar fullt ut för deras behandling.
Bistånd med de registrerades rättigheter Art. 28.3 e
Biträdet bistår den Ansvarige genom lämpliga tekniska och organisatoriska åtgärder med att besvara begäranden om utövande av de registrerades rättigheter. Begäranden som kommer direkt till Biträdet vidarebefordras till den Ansvarige utan dröjsmål.
Bistånd med säkerhet, incidenter och konsekvensbedömningar Art. 28.3 f, Art. 33–36
Biträdet underrättar den Ansvarige utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident, och senast 24 timmar därefter, med den information som krävs för den Ansvariges anmälan till tillsynsmyndigheten. Biträdet bistår vid konsekvensbedömningar och förhandssamråd i den utsträckning det rör tjänsten.
Radering eller återlämnande Art. 28.3 g
När tjänsten upphör raderar Biträdet alla personuppgifter eller återlämnar dem till den Ansvarige, enligt den Ansvariges val, senast 30 dagar efter upphörandet. Uppgifter i säkerhetskopior raderas när kopiorna gallras, senast tolv månader efter upphörandet. Fram till dess skyddas de som övrig data i tjänsten och används inte för något annat ändamål; om en säkerhetskopia återställs raderas den tidigare kundens uppgifter på nytt. I övrigt sparas uppgifter bara om lagring krävs enligt unionsrätten eller svensk rätt.
Revision och information Art. 28.3 h
Biträdet ger den Ansvarige tillgång till all information som krävs för att visa att skyldigheterna i detta avtal och i artikel 28 i dataskyddsförordningen fullgörs, och möjliggör och bidrar till granskningar. Granskning sker efter skriftlig begäran med minst 30 dagars varsel, under kontorstid och med hänsyn till att andra kunders data ska hållas isolerade. Kostnader för granskningar utöver en per år bärs av den Ansvarige om inte granskningen visar väsentliga brister.
Överföring till tredjeland Art. 44–49
Personuppgifter lagras inom EU. De överförs utanför EU/EES bara i följande fall, och då med stöd av den överföringsmekanism som anges på sidan Underbiträden:
- AI-modellen i standardinställningen (Anthropic), som kan behandla uppgifter utanför EU/EES. En Ansvarig som väljer behandling inom EU använder i stället en modell som drivs inom EU.
- Microsoft, där tjänsten drivs inom EU, i de begränsade fall då dess personal eller säkerhetsfunktioner når uppgifterna från platser utanför EU/EES, till exempel vid support.
- Cloudflares nätverk, som förmedlar och dekrypterar trafiken till tjänsten i det datacenter som tar emot den, vilket kan ligga utanför EU/EES.
- Enligt den Ansvariges dokumenterade instruktion.
Ändringar av dessa överföringar följer reglerna för underbiträden ovan.
Ansvar och avtalstid
Avtalet gäller så länge Biträdet behandlar personuppgifter för den Ansvarige. Ansvarsbegränsningen i villkoren för Qimbas™ gäller även för detta avtal i den utsträckning lagen tillåter.