Gjenstand, varighet, art og formål Art. 28 nr. 3
Creedcon AB («Databehandleren») behandler personopplysninger på vegne av kunden («den Behandlingsansvarlige») i den grad det kreves for å levere Qimbas™: innsamling av loggdata fra kildene den Behandlingsansvarlige kobler til, analyse av deteksjonsregler, integrasjoner, loggkvalitet og mønstre, og utarbeidelse av rapporter og dokumentasjon. Behandlingen varer så lenge tjenesteavtalen løper.
Typer personopplysninger og kategorier av registrerte Art. 28 nr. 3
Personopplysninger som kan forekomme i sikkerhetslogger: brukernavn og e-postadresser, IP-adresser, enhetsidentifikatorer, tidspunkter og handlinger i systemer, omtrentlig geografisk posisjon. Kategorier av registrerte: den Behandlingsansvarliges ansatte, konsulenter og andre brukere av den Behandlingsansvarliges systemer, og eventuelt eksterne parter som kommuniserer med systemene. Den Behandlingsansvarlige har ansvar for ikke å koble til kilder med særlige kategorier av personopplysninger uten først å avtale det med Databehandleren.
Behandling bare etter dokumenterte instrukser Art. 28 nr. 3 a
Databehandleren behandler personopplysninger bare etter den Behandlingsansvarliges dokumenterte instrukser. Avtalen, tjenestens konfigurasjon og den Behandlingsansvarliges valg av kilder utgjør instruksene. Databehandleren informerer den Behandlingsansvarlige umiddelbart dersom en instruks etter Databehandlerens vurdering strider mot personvernlovgivningen.
Konfidensialitet Art. 28 nr. 3 b
Personer som arbeider for Databehandleren og har tilgang til personopplysninger, er bundet av taushetsplikt og har tilgang bare i den grad arbeidet krever det.
Sikkerhetstiltak Art. 28 nr. 3 c, art. 32
Databehandleren gjennomfører tekniske og organisatoriske tiltak som står i forhold til risikoen, blant annet:
- isolasjon av hver kundes data per tenant,
- lagring av data innenfor EU, og også KI-analysen innenfor EU når den Behandlingsansvarlige har valgt det,
- kryptering av data under overføring og i ro,
- minste nødvendige tilgang i appregistreringen den Behandlingsansvarlige oppretter, og ingen tilganger utover det tjenesten angir,
- logging av tilgang til systemer som behandler personopplysninger,
- rutiner for hendelseshåndtering og regelmessig gjennomgang av tiltakene.
Tiltakene er nærmere beskrevet på siden Sikkerhet.
Underdatabehandlere Art. 28 nr. 2 og 4
Den Behandlingsansvarlige gir en generell skriftlig forhåndsgodkjenning til at Databehandleren bruker underdatabehandlere. Gjeldende underdatabehandlere fremgår av siden Underdatabehandlere. Databehandleren informerer den Behandlingsansvarlige om planlagte endringer minst 30 dager i forveien, slik at den Behandlingsansvarlige kan protestere. Databehandleren pålegger underdatabehandlerne de samme pliktene som i denne avtalen og er fullt ansvarlig for deres behandling.
Bistand med de registrertes rettigheter Art. 28 nr. 3 e
Databehandleren bistår den Behandlingsansvarlige, med egnede tekniske og organisatoriske tiltak, med å svare på anmodninger fra registrerte som utøver sine rettigheter. Anmodninger som kommer direkte til Databehandleren, videresendes til den Behandlingsansvarlige uten opphold.
Bistand med sikkerhet, avvik og vurderinger av personvernkonsekvenser Art. 28 nr. 3 f, art. 33–36
Databehandleren varsler den Behandlingsansvarlige uten ugrunnet opphold etter å ha fått kjennskap til et brudd på personopplysningssikkerheten, og senest 24 timer etter at bruddet ble kjent, med den informasjonen den Behandlingsansvarlige trenger for å melde bruddet til tilsynsmyndigheten. Databehandleren bistår ved vurderinger av personvernkonsekvenser og forhåndsdrøftinger i den grad de gjelder tjenesten.
Sletting eller tilbakelevering Art. 28 nr. 3 g
Når tjenesten opphører, sletter Databehandleren alle personopplysninger eller leverer dem tilbake til den Behandlingsansvarlige, etter den Behandlingsansvarliges valg, senest 30 dager etter opphøret. Opplysninger i sikkerhetskopier slettes når kopiene utløper, senest tolv måneder etter opphøret. Inntil da beskyttes de på samme måte som øvrige data i tjenesten og brukes ikke til noe annet formål; dersom en sikkerhetskopi gjenopprettes, slettes den tidligere kundens opplysninger på nytt. Ellers lagres opplysninger bare når unionsretten eller svensk rett krever det.
Revisjon og informasjon Art. 28 nr. 3 h
Databehandleren gir den Behandlingsansvarlige tilgang til all informasjon som er nødvendig for å påvise at pliktene etter denne avtalen og GDPR artikkel 28 oppfylles, og muliggjør og bidrar til revisjoner. Revisjon skjer etter skriftlig anmodning med minst 30 dagers varsel, i kontortiden og under hensyn til at andre kunders data skal holdes isolert. Kostnader for revisjoner utover én per år bæres av den Behandlingsansvarlige, med mindre revisjonen avdekker vesentlige mangler.
Overføring til tredjeland Art. 44–49
Personopplysninger lagres innenfor EU. De overføres utenfor EU/EØS bare i disse tilfellene, og da med det overføringsgrunnlaget som er oppgitt på siden Underdatabehandlere:
- KI-modellen i standardoppsettet (Anthropic), som kan behandle opplysninger utenfor EU/EØS. En Behandlingsansvarlig som velger behandling innenfor EU, bruker i stedet en modell som driftes innenfor EU.
- Microsoft, der tjenesten driftes innenfor EU, i de begrensede tilfellene der selskapets ansatte eller sikkerhetsfunksjoner får tilgang til opplysningene fra steder utenfor EU/EØS, for eksempel ved brukerstøtte.
- Cloudflares nettverk, som formidler og dekrypterer trafikken til tjenesten i datasenteret som tar imot den, og som kan ligge utenfor EU/EØS.
- Etter den Behandlingsansvarliges dokumenterte instruks.
Endringer i disse overføringene følger reglene for underdatabehandlere ovenfor.
Ansvar og varighet
Avtalen gjelder så lenge Databehandleren behandler personopplysninger for den Behandlingsansvarlige. Ansvarsbegrensningen i vilkårene for Qimbas™ gjelder også for denne avtalen i den grad loven tillater det.