Databehandleraftale

Denne databehandleraftale (Databehandleraftalen) er en del af Servicevilkårene mellem dig og det selskab i GridStudio-koncernen, der er anført på din faktura (vi, os). Den gælder, når vi på dine vegne behandler personoplysninger, der indgår i Kundedata. Begreber med stort begyndelsesbogstav, som ikke er defineret her, har den betydning, der fremgår af Servicevilkårene.

For denne behandling er du dataansvarlig, eller databehandler på vegne af dine egne kunder, og vi er din databehandler. Hver part overholder den databeskyttelseslovgivning, der gælder for den, herunder, hvor det er relevant, EU’s og Storbritanniens generelle forordning om databeskyttelse, den tyrkiske lov om beskyttelse af personoplysninger (KVKK) og De Forenede Arabiske Emiraters lov om beskyttelse af personoplysninger.

Databehandleraftalen omfatter ikke de oplysninger, vi behandler som dataansvarlig til vores egne formål, såsom konto- og faktureringsoplysninger. Den behandling er beskrevet i Privatlivspolitikken.

Hvis der er uoverensstemmelse mellem Databehandleraftalen og resten af Servicevilkårene om behandlingen af personoplysninger, har Databehandleraftalen forrang.

• Genstand og formål: afsendelse og modtagelse af beskeder på de Kanaler, du tilslutter, rapportering af deres status, levering af webhook-hændelser til dig, fakturering og sikring af Tjenesten.
• Varighed: så længe du har en Konto, og derefter indtil oplysningerne er slettet som beskrevet i afsnit 10.
• Behandlingens karakter: modtagelse, lagring, overførsel til Kanaludbydere, logning, visning for dig og sletning.
• Registrerede: de personer, du sender beskeder til og modtager beskeder fra, og alle andre, der nævnes i beskederne.
• Kategorier af oplysninger: identifikatorer såsom telefonnumre, chat-id’er og bruger-id’er på platformene; beskedindhold og de medier, der henvises til; leverings- og læsestatusser; samt de referencer og metadata, du vedhæfter.
• Særlige kategorier: Tjenesten er ikke udformet til særlige kategorier af personoplysninger. Du bestemmer, hvad dine beskeder indeholder, og du må ikke sende sådanne oplysninger, medmindre du har et lovligt grundlag, og Kanaludbyderen tillader det.

Vi behandler kun personoplysningerne efter dokumenteret instruks fra dig. Servicevilkårene, Databehandleraftalen og din brug af API’et og konsollen udgør dine fuldstændige instrukser. Vi underretter dig, hvis en instruks efter vores opfattelse er i strid med databeskyttelseslovgivningen, og vi er ikke forpligtet til at følge en sådan instruks.

Vi kan også behandle oplysningerne, når det kræves i henhold til lovgivning, vi er underlagt. I så fald underretter vi dig forinden, medmindre den pågældende lovgivning forbyder det.

Du er ansvarlig for behandlingens lovlighed: for at der foreligger et retsgrundlag, for de samtykker og underretninger, de registrerede har krav på, og for rigtigheden af de oplysninger, du indsender.

Vi sikrer, at de personer, der er autoriseret til at behandle personoplysningerne, er underlagt tavshedspligt og kun har adgang til oplysningerne i det omfang, deres arbejde kræver det.

Vi gennemfører tekniske og organisatoriske foranstaltninger, der passer til risikoen, og vi kan opdatere dem, så længe beskyttelsesniveauet ikke forringes. På nuværende tidspunkt omfatter de:

• kryptering af data under overførsel med TLS;
• adgangskoder gemt som Argon2id-hashværdier og sessionstokens og API-nøgler gemt udelukkende som hashværdier;
• kryptering i hvile med AES-256-GCM af webhook-signeringshemmeligheder og af de nøgler, der knytter en Konto til leveringsplatformen;
• Kanalernes legitimationsoplysninger, tokens og godkendelseskoder, som sendes videre til leveringsplatformen uden at blive gemt eller logget af gatewayen;
• rollebaseret adgang for medlemmerne af en Konto, API-nøgler begrænset af rettigheder og af IP-adresse, hastighedsbegrænsning og spærring efter gentagne mislykkede loginforsøg;
• logisk adskillelse af hver Kontos data;
• en revisionslog over administrative handlinger, herunder hver gang vores medarbejdere tilgår en Konto for at yde support;
• signerede webhook-leveringer og validering af webhook-adresser mod private netværksområder.

Du giver os en generel godkendelse til at gøre brug af underdatabehandlere. Vi benytter dem på grundlag af en skriftlig kontrakt, der pålægger databeskyttelsesforpligtelser svarende til dem, der fremgår af Databehandleraftalen, og vi forbliver ansvarlige over for dig for deres arbejde.

De kategorier af underdatabehandlere, vi bruger til Kundedata, er:

• Hosting og infrastruktur: de udbydere, der hoster vores servere, databaser og sikkerhedskopier;
• Selskaber i GridStudio-koncernen: som driver den leveringsplatform, der er forbundet med Kanaludbyderne, og som understøtter Tjenesten.

Vi underretter ejerne af din Konto, før vi tilføjer eller udskifter en underdatabehandler. Du kan gøre indsigelse med rimelig databeskyttelsesmæssig begrundelse inden for fjorten dage. Hvis vi ikke kan imødekomme indsigelsen, kan du bringe aftalen til ophør, og vi refunderer da den ubrugte saldo i Tegnebogen, som du har betalt for, og den ubrugte del af de ikke-udløbne Pakker, du har købt, beregnet forholdsmæssigt.

Kanaludbydere såsom Meta, Telegram, TikTok, Twilio og andre SMS-udbydere og operatører er ikke vores underdatabehandlere. Du vælger dem, du har din egen aftale med hver af dem, og vi overfører oplysninger til dem efter din instruks. Vores betalingsudbyder og vores udbyder af e-mailudsendelse behandler konto- og faktureringsoplysninger for os som dataansvarlig og modtager ikke Kundedata.

Under hensyntagen til behandlingens karakter bistår vi dig ved hjælp af passende tekniske og organisatoriske foranstaltninger med at besvare anmodninger fra registrerede, der udøver deres rettigheder. Konsollen og API’et giver dig mulighed for at søge efter og hente en modtagers beskeder. Hvis en registreret kontakter os direkte, henviser vi vedkommende til dig og besvarer ikke selv anmodningen, medmindre du beder os om det, eller lovgivningen kræver det.

Vi yder dig også rimelig bistand i forbindelse med konsekvensanalyser vedrørende databeskyttelse, høringer af tilsynsmyndigheder og behandlingssikkerhed, i det omfang disse vedrører Tjenesten, og du ikke selv kan skaffe oplysningerne.

Vi underretter ejerne af din Konto uden unødig forsinkelse, efter at vi er blevet opmærksomme på et brud på persondatasikkerheden, der berører Kundedata. Underretningen beskriver, hvad vi ved om bruddets karakter, de berørte oplysninger, de sandsynlige konsekvenser og de foranstaltninger, der er truffet eller foreslået, og vi supplerer med oplysninger, efterhånden som de foreligger. En underretning er ikke en erkendelse af fejl.

Du giver os instruks om at overføre Kundedata til Kanaludbyderne og til de modtagere, du henvender dig til, uanset hvor de befinder sig. Vi og vores underdatabehandlere kan behandle Kundedata i andre lande end det, hvor du er etableret.

Når databeskyttelseslovgivningen begrænser en overførsel, benytter parterne en overførselsmekanisme, som lovgivningen anerkender. Når de standardkontraktbestemmelser, der er godkendt af Europa-Kommissionen, i givet fald med det britiske tillæg, er påkrævet for en overførsel fra dig til os, er de indarbejdet i Databehandleraftalen ved henvisning med dig som dataeksportør og os som dataimportør og med de nærmere oplysninger om behandlingen, der fremgår af afsnit 2 og 5.

Så længe aftalen består, kan du hente Kundedata via konsollen og API’et. Når aftalen ophører, sletter vi Kundedata inden for en rimelig frist, medmindre lovgivning, vi er underlagt, kræver, at vi opbevarer dem; i så fald behandler vi dem fortroligt og bruger dem ikke til noget andet formål. Efter anmodning, inden Kontoen lukkes, yder vi dig rimelig bistand med at eksportere oplysningerne.

Sikkerhedskopier overskrives i overensstemmelse med vores backupcyklus. Registreringer, som vi har brug for som dataansvarlig, såsom forbrugstotaler til fakturering, opbevares i henhold til Privatlivspolitikken.

Vi stiller de oplysninger til rådighed, der med rimelighed er nødvendige for at påvise, at vi overholder Databehandleraftalen, og vi besvarer skriftlige spørgsmål om vores sikkerhedsforanstaltninger.

Når disse oplysninger ikke er tilstrækkelige til at opfylde et lovkrav, kan du højst én gang inden for en periode på tolv måneder og med tredive dages skriftligt varsel selv foretage en revision eller lade den foretage af en uafhængig revisor, der er underlagt tavshedspligt. Revisionen finder sted inden for normal arbejdstid, må ikke forstyrre Tjenesten eller blotlægge andre kunders data og sker for din regning. Hyppigere revisioner er mulige, når en tilsynsmyndighed kræver det, eller efter et brud på persondatasikkerheden.

Ansvarsbegrænsningerne og ansvarsfraskrivelserne i Servicevilkårene gælder for Databehandleraftalen, medmindre databeskyttelseslovgivningen ikke tillader, at de anvendes på de registreredes rettigheder.

Databehandleraftalen gælder, så længe vi behandler personoplysninger på dine vegne. Hvis du har brug for et underskrevet eksemplar, skal du skrive til support@omnimessage.co.