Tillæg om databehandling

Dette tillæg om databehandling („DPA”) udgør en del af servicevilkårene mellem dig („Kunden”, den dataansvarlige) og Empire Luxury International Corporation (DBA Neuro Empire) („NeuroCRM”, databehandleren) og regulerer behandlingen af personoplysninger indeholdt i Kundeindhold. Hvor der er konflikt om databeskyttelsesspørgsmål, har dette DPA forrang for vilkårene.

1. Roller og anvendelsesområde

For Kundeindhold er Kunden den dataansvarlige (eller databehandler, der handler på vegne af sine egne kunder), og NeuroCRM er databehandleren (eller underdatabehandleren). NeuroCRM behandler kun Kundeindhold for at levere Tjenesten og efter Kundens dokumenterede instrukser, som omfatter vilkårene, dette DPA og brugen af Tjenestens funktioner. NeuroCRM optræder kun som selvstændig dataansvarlig for de begrænsede konto-, fakturerings- og sikkerhedsdata, der er beskrevet i privatlivspolitikken.

2. Detaljer om behandlingen

Genstand: levering af NeuroCRM-Tjenesten. Varighed: løbetiden for Kundens abonnement plus enhver afviklingsperiode. Karakter og formål: hosting, lagring og behandlingsaktiviteter, der er nødvendige for at levere Tjenesten som konfigureret af Kunden. Kategorier af registrerede: Kundens kontakter, leads, kunder, medarbejdere og andre personer, hvis data Kunden indtaster. Kategorier af personoplysninger: som fastlagt af Kunden, typisk identifikations- og kontaktoplysninger, forretningsoptegnelser og kommunikation; Kunden må ikke indtaste oplysninger henhørende under særlige kategorier, medmindre det er aftalt skriftligt.

3. Kundens instrukser og overholdelse

NeuroCRM behandler kun Kundeindhold efter dokumenterede instrukser, herunder vedrørende overførsler, medmindre det kræves i henhold til gældende lov (i hvilket tilfælde NeuroCRM vil underrette Kunden, medmindre det er forbudt). NeuroCRM vil underrette Kunden, hvis en instruks efter NeuroCRM's opfattelse overtræder gældende databeskyttelseslovgivning. Kunden er ansvarlig for lovligheden af Kundeindhold og for at have alle krævede underretninger og samtykker.

4. Personalets fortrolighed

NeuroCRM sikrer, at personale, der er bemyndiget til at behandle Kundeindhold, er bundet af fortrolighedsforpligtelser og kun behandler dataene efter instruks.

5. Sikkerhedsforanstaltninger

NeuroCRM implementerer passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der svarer til risikoen, herunder kryptering under transport og af adgangstokens i hvile, logisk adskillelse af lejere, adgangskontrol og logning, modstandsdygtighed og backup samt regelmæssig gennemgang. Et resumé er tilgængeligt efter anmodning og i privatlivspolitikken.

6. Underdatabehandlere

Kunden giver generel bemyndigelse til, at NeuroCRM benytter underdatabehandlere. En aktuel liste findes på /legal/subprocessors. NeuroCRM pålægger hver underdatabehandler databeskyttelsesforpligtelser, der ikke er mindre beskyttende end dette DPA, og forbliver ansvarlig for deres opfyldelse. NeuroCRM giver mindst 30 dages varsel om enhver ny eller erstattende underdatabehandler; Kunden kan gøre indsigelse på rimelige databeskyttelsesmæssige grunde, og hvis parterne ikke kan løse indsigelsen, kan Kunden opsige den berørte Tjeneste og modtage refusion af forudbetalte, ubrugte gebyrer.

7. Anmodninger fra registrerede og bistand

Under hensyntagen til behandlingens karakter vil NeuroCRM ved passende foranstaltninger og i det omfang, det er kommercielt rimeligt, bistå Kunden med at besvare anmodninger fra registrerede og med at overholde sine forpligtelser vedrørende sikkerhed, underretning om brud, konsekvensanalyser vedrørende databeskyttelse og forudgående høring. Hvis NeuroCRM modtager en anmodning direkte fra en registreret, videresendes den til Kunden, og NeuroCRM besvarer den ikke, undtagen efter instruks eller hvor loven kræver det.

8. Underretning om brud på persondatasikkerheden

NeuroCRM vil underrette Kunden uden unødig forsinkelse og under alle omstændigheder inden for 24 timer efter at være blevet bekendt med et bekræftet eller med rimelighed formodet brud på persondatasikkerheden, der berører Kundeindhold, og vil stille tilgængelige oplysninger til rådighed for at hjælpe Kunden med at opfylde sine underretningsforpligtelser, med opdateringer efterhånden som undersøgelsen skrider frem. En sådan underretning er ikke en anerkendelse af skyld eller ansvar. At afgøre, om tilsynsmyndigheder eller registrerede skal underrettes, og at foretage sådanne underretninger, er Kundens ansvar som dataansvarlig; NeuroCRM yder rimeligt samarbejde.

9. Internationale overførsler

Hvor behandlingen indebærer en overførsel af personoplysninger ud af EØS, Storbritannien eller Schweiz til et land uden en afgørelse om tilstrækkeligt beskyttelsesniveau, indarbejder parterne Europa-Kommissionens standardkontraktbestemmelser (2021/914), Modul To (dataansvarlig til databehandler), udfyldt med oplysningerne i dette DPA, sammen med det britiske International Data Transfer Addendum og de schweiziske tilpasninger, hvor det er relevant; alternativt kan NeuroCRM forlade sig på EU-US Data Privacy Framework, hvor certificeret. NeuroCRM anvender supplerende foranstaltninger efter behov. I tilfælde af konflikt har SCC'erne forrang udelukkende i det omfang, det er nødvendigt.

10. Russisk datakontur (152-FZ)

For personoplysninger om personer i Den Russiske Føderation opretholder NeuroCRM en adskilt russisk kontur med primær registrering og opbevaring på servere beliggende i Rusland, i overensstemmelse med den føderale lov nr. 152-FZ, og behandler sådanne data efter Kundens instruks i henhold til artikel 6(3) i 152-FZ. Denne kontur og dens flow for underretning om brud (foreløbigt inden for 24 timer og resultater inden for 72 timer til Roskomnadzor) fungerer uafhængigt af GDPR-kæden. Se politikken for behandling af personoplysninger (Rusland).

11. Revision

NeuroCRM vil stille de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af dette DPA, og give mulighed for revisioner. For at minimere forstyrrelser kan NeuroCRM imødekomme revisionsanmodninger ved at fremlægge aktuelle tredjepartscertificeringer eller -rapporter (såsom ISO 27001 eller SOC 2 Type II), hvor disse er tilgængelige. Revisioner på stedet eller detaljerede revisioner er begrænset til én gang om året (undtagen efter et brud), kræver mindst 30 dages varsel, et gensidigt aftalt omfang og fortrolighed og gennemføres i arbejdstiden uden urimelig forstyrrelse.

12. Tilbagelevering og sletning

Ved opsigelse vil NeuroCRM efter Kundens valg, foretaget inden for 30 dage, tilbagelevere Kundeindhold i et almindeligt anvendt format eller slette det og, på anmodning, attestere sletning inden for en rimelig periode, undtagen i det omfang opbevaring er påkrævet ved lov. Rutinemæssige backups overskrives i den standardmæssige rotationscyklus.

13. Ansvar og forrang

Hver parts ansvar i henhold til dette DPA er underlagt begrænsningerne og undtagelserne i servicevilkårene, herunder det forhøjede loft for brud på databeskyttelsen. Dette DPA, herunder de indarbejdede SCC'er, har forrang for modstridende bestemmelser i vilkårene i databeskyttelsesspørgsmål. DPA'et er underlagt de bestemmelser om lovvalg og tvistløsning i vilkårene, der gælder for Kunden.