Personuppgiftsbiträdesavtal

Detta personuppgiftsbiträdesavtal (Biträdesavtalet) utgör en del av användarvillkoren mellan dig och det bolag i GridStudio-koncernen som anges på din faktura (vi, oss). Det gäller när vi behandlar personuppgifter som ingår i Kunddata för din räkning. Termer med stor begynnelsebokstav som inte definieras här har den betydelse som anges i användarvillkoren.

För den behandlingen är du personuppgiftsansvarig, eller personuppgiftsbiträde som agerar för dina egna kunder, och vi är ditt personuppgiftsbiträde. Vardera parten följer den dataskyddslagstiftning som gäller för den, däribland, i tillämpliga fall, EU:s och Förenade kungarikets allmänna dataskyddsförordning, den turkiska lagen om skydd av personuppgifter (KVKK) och Förenade Arabemiratens lag om skydd av personuppgifter.

Biträdesavtalet omfattar inte de uppgifter som vi behandlar som personuppgiftsansvarig för våra egna ändamål, såsom konto- och faktureringsuppgifter. Den behandlingen beskrivs i integritetspolicyn.

Om Biträdesavtalet och övriga delar av användarvillkoren strider mot varandra i fråga om behandlingen av personuppgifter har Biträdesavtalet företräde.

• Föremål och ändamål: att skicka och ta emot meddelanden i de Kanaler som du ansluter, rapportera deras status, leverera webhookhändelser till dig, fakturera och hålla Tjänsten säker.
• Varaktighet: så länge du har ett Konto, och därefter till dess att uppgifterna raderas enligt avsnitt 10.
• Behandlingens art: mottagande, lagring, överföring till Kanalleverantörer, loggning, visning för dig och radering.
• Registrerade: de personer som du skickar meddelanden till och tar emot meddelanden från, samt alla andra som nämns i meddelandena.
• Kategorier av uppgifter: identifierare såsom telefonnummer, chatt-ID:n och användar-ID:n på plattformar; meddelandeinnehåll och media som det hänvisas till; leverans- och lässtatus; samt de referenser och metadata som du bifogar.
• Särskilda kategorier: Tjänsten är inte utformad för särskilda kategorier av personuppgifter. Du bestämmer vad dina meddelanden innehåller och får inte skicka sådana uppgifter om du inte har en rättslig grund och Kanalleverantören tillåter det.

Vi behandlar personuppgifterna endast på dokumenterade instruktioner från dig. Användarvillkoren, Biträdesavtalet och din användning av API:et och konsolen utgör dina fullständiga instruktioner. Vi informerar dig om vi anser att en instruktion strider mot dataskyddslagstiftningen, och vi är inte skyldiga att följa en instruktion som gör det.

Vi får också behandla uppgifterna när det krävs enligt en lag som gäller för oss. I så fall informerar vi dig först, om inte den lagen förbjuder det.

Du ansvarar för att behandlingen är laglig: för att det finns en rättslig grund, för de samtycken och den information som de registrerade har rätt till och för att de uppgifter du lämnar är korrekta.

Vi säkerställer att de personer som har behörighet att behandla personuppgifterna omfattas av tystnadsplikt och får tillgång till uppgifterna endast i den utsträckning som deras arbete kräver.

Vi vidtar tekniska och organisatoriska åtgärder som är lämpliga i förhållande till risken, och vi får uppdatera dem så länge skyddsnivån inte sänks. För närvarande omfattar de:

• kryptering av data under överföring med TLS;
• lösenord som lagras som Argon2id-hashar, samt sessionstoken och API-nycklar som lagras endast som hashar;
• kryptering i vila, med AES-256-GCM, av signeringshemligheter för webhookar och av de nycklar som kopplar ett Konto till leveransplattformen;
• autentiseringsuppgifter, token och auktoriseringskoder för Kanaler som skickas vidare till leveransplattformen utan att lagras eller loggas av gatewayen;
• rollbaserad åtkomst för medlemmarna i ett Konto, API-nycklar som begränsas med omfång och IP-adress, anropsgränser och spärr efter upprepade misslyckade inloggningar;
• logisk separering av varje Kontos data;
• en granskningslogg över administrativa åtgärder, inklusive varje tillfälle då vår personal går in i ett Konto för att ge support;
• signerade webhookleveranser och kontroll av webhookadresser mot privata nätverksintervall.

Du ger oss ett allmänt tillstånd att anlita underbiträden. Vi anlitar dem genom ett skriftligt avtal som ålägger dem dataskyddsskyldigheter som motsvarar dem i Biträdesavtalet, och vi förblir ansvariga gentemot dig för deras arbete.

De kategorier av underbiträden som vi använder för Kunddata är:

• Drift och infrastruktur: de leverantörer som driver våra servrar, databaser och säkerhetskopior;
• Bolag i GridStudio-koncernen: som driver den leveransplattform som ansluter till Kanalleverantörerna och som ger support för Tjänsten.

Vi informerar ägarna av ditt Konto innan vi lägger till eller byter ut ett underbiträde. Du får invända på rimliga dataskyddsgrunder inom fjorton dagar. Om vi inte kan lösa invändningen får du säga upp avtalet, och vi återbetalar då det oanvända saldo i Plånboken som du har betalat för och den oanvända delen av ej utgångna Paket som du har köpt, beräknad proportionellt.

Kanalleverantörer, såsom Meta, Telegram, TikTok, Twilio och andra SMS-leverantörer och operatörer, är inte våra underbiträden. Du väljer dem, du har ett eget avtal med var och en av dem, och vi överför uppgifter till dem på dina instruktioner. Vår betalningsförmedlare och vår leverantör av e-postutskick behandlar konto- och faktureringsuppgifter åt oss i vår egenskap av personuppgiftsansvarig och tar inte emot Kunddata.

Med beaktande av behandlingens art hjälper vi dig, genom lämpliga tekniska och organisatoriska åtgärder, att svara på begäranden från registrerade som utövar sina rättigheter. Med konsolen och API:et kan du söka efter och hämta en mottagares meddelanden. Om en registrerad kontaktar oss direkt hänvisar vi personen till dig och besvarar inte själva begäran, om inte du ber oss göra det eller lagen kräver det.

Vi ger dig också rimlig hjälp med konsekvensbedömningar avseende dataskydd, med samråd med tillsynsmyndigheter och med säkerheten i behandlingen, i den mån detta rör Tjänsten och du inte själv kan få fram informationen.

Vi underrättar ägarna av ditt Konto utan onödigt dröjsmål efter att vi har fått kännedom om en personuppgiftsincident som berör Kunddata. Underrättelsen beskriver vad vi vet om incidentens art, de berörda uppgifterna, de sannolika konsekvenserna och de åtgärder som har vidtagits eller föreslagits, och vi kompletterar med information allteftersom den blir tillgänglig. En underrättelse innebär inte ett medgivande av fel eller försummelse.

Du instruerar oss att överföra Kunddata till Kanalleverantörerna och till de mottagare som du anger, var de än befinner sig. Vi och våra underbiträden får behandla Kunddata i andra länder än det där du är etablerad.

När dataskyddslagstiftningen begränsar en överföring stöder sig parterna på en överföringsmekanism som den godtar. När de standardavtalsklausuler som Europeiska kommissionen har godkänt, i tillämpliga fall med Förenade kungarikets tillägg, krävs för en överföring från dig till oss, införlivas de i Biträdesavtalet genom hänvisning, med dig som uppgiftsexportör och oss som uppgiftsimportör, och med de uppgifter om behandlingen som anges i avsnitt 2 och 5.

Så länge avtalet gäller kan du hämta Kunddata via konsolen och API:et. När avtalet upphör raderar vi Kunddata inom skälig tid, om inte en lag som gäller för oss kräver att vi behåller dem; i så fall håller vi dem konfidentiella och använder dem inte för något annat ändamål. På begäran innan Kontot avslutas ger vi dig rimlig hjälp med att exportera uppgifterna.

Säkerhetskopior skrivs över enligt vår säkerhetskopieringscykel. Uppgifter som vi behöver i egenskap av personuppgiftsansvarig, såsom sammanställd användning för fakturering, sparas enligt integritetspolicyn.

Vi ger dig tillgång till den information som rimligen behövs för att visa att vi följer Biträdesavtalet, och vi besvarar skriftliga frågor om våra säkerhetsåtgärder.

När den informationen inte räcker för att uppfylla ett rättsligt krav får du, högst en gång under en tolvmånadersperiod och efter skriftligt meddelande trettio dagar i förväg, genomföra en granskning själv eller genom en oberoende granskare som omfattas av tystnadsplikt. Granskningen äger rum under kontorstid, får inte störa Tjänsten eller exponera andra kunders uppgifter och sker på din bekostnad. Tätare granskningar är möjliga när en tillsynsmyndighet kräver det eller efter en personuppgiftsincident.

Ansvarsbegränsningarna och ansvarsfriskrivningarna i användarvillkoren gäller för Biträdesavtalet, utom när dataskyddslagstiftningen inte tillåter att de tillämpas på de registrerades rättigheter.

Biträdesavtalet gäller så länge vi behandlar personuppgifter för din räkning. Om du behöver ett undertecknat exemplar kan du skriva till support@omnimessage.co.