Databehandleravtale

Denne databehandleravtalen («DPA») utgjør en del av vilkårene for bruk mellom deg («Kunden», den behandlingsansvarlige) og Empire Luxury International Corporation (DBA Neuro Empire) («NeuroCRM», databehandleren) og regulerer behandlingen av personopplysninger som inngår i Kundeinnhold. Ved konflikt i spørsmål om databeskyttelse har denne DPA-en forrang fremfor vilkårene.

1. Roller og virkeområde

For Kundeinnhold er Kunden den behandlingsansvarlige (eller databehandler som opptrer for sine egne kunder), og NeuroCRM er databehandleren (eller underdatabehandleren). NeuroCRM behandler Kundeinnhold kun for å levere Tjenesten og etter Kundens dokumenterte instrukser, som omfatter vilkårene, denne DPA-en og bruk av Tjenestens funksjoner. NeuroCRM opptrer som selvstendig behandlingsansvarlig kun for de begrensede konto-, fakturerings- og sikkerhetsdataene som er beskrevet i personvernerklæringen.

2. Nærmere om behandlingen

Gjenstand: levering av NeuroCRM-Tjenesten. Varighet: løpetiden for Kundens abonnement samt en eventuell avviklingsperiode. Art og formål: drifts-, lagrings- og behandlingsoperasjoner som er nødvendige for å levere Tjenesten slik Kunden har konfigurert den. Kategorier av registrerte: Kundens kontakter, leads, kunder, ansatte og andre enkeltpersoner hvis data Kunden legger inn. Kategorier av personopplysninger: slik Kunden bestemmer, typisk identifikasjons- og kontaktdata, forretningsregistreringer og kommunikasjon; Kunden skal ikke legge inn særlige kategorier av opplysninger med mindre det er avtalt skriftlig.

3. Kundens instrukser og etterlevelse

NeuroCRM behandler Kundeinnhold kun etter dokumenterte instrukser, herunder for overføringer, med mindre det kreves etter gjeldende lov (i så fall vil NeuroCRM informere Kunden med mindre det er forbudt). NeuroCRM vil varsle Kunden dersom en instruks etter NeuroCRMs oppfatning er i strid med gjeldende personvernlovgivning. Kunden er ansvarlig for lovligheten av Kundeinnhold og for å ha alle nødvendige varsler og samtykker.

4. Personalets taushetsplikt

NeuroCRM sikrer at personell som er autorisert til å behandle Kundeinnhold er bundet av taushetsplikt og behandler dataene kun slik det er instruert.

5. Sikkerhetstiltak

NeuroCRM gjennomfører egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som er tilpasset risikoen, herunder kryptering under overføring og av tilgangstoken under lagring, logisk tenant-isolasjon, tilgangskontroller og logging, motstandsdyktighet og sikkerhetskopiering, samt jevnlig gjennomgang. Et sammendrag er tilgjengelig på forespørsel og i personvernerklæringen.

6. Underdatabehandlere

Kunden gir generell autorisasjon til at NeuroCRM kan benytte underdatabehandlere. En oppdatert liste finnes på /legal/subprocessors. NeuroCRM pålegger hver underdatabehandler databeskyttelsesforpliktelser som ikke gir dårligere vern enn denne DPA-en, og forblir ansvarlig for deres utførelse. NeuroCRM vil gi minst 30 dagers varsel om enhver ny eller erstattende underdatabehandler; Kunden kan komme med innsigelser på rimelige databeskyttelsesgrunnlag, og dersom partene ikke kan løse innsigelsen, kan Kunden si opp den berørte Tjenesten og få refundert forhåndsbetalte, ubrukte gebyrer.

7. Forespørsler fra registrerte og bistand

Idet det tas hensyn til behandlingens art, vil NeuroCRM, ved egnede tiltak og i den grad det er kommersielt rimelig, bistå Kunden med å besvare forespørsler fra registrerte og med å oppfylle sine forpliktelser knyttet til sikkerhet, varsling om brudd, vurderinger av personvernkonsekvenser og forhåndsdrøftinger. Dersom NeuroCRM mottar en forespørsel direkte fra en registrert, vil NeuroCRM videresende den til Kunden og ikke svare med mindre det er instruert eller pålagt ved lov.

8. Varsling om brudd på personopplysningssikkerheten

NeuroCRM vil varsle Kunden uten ugrunnet opphold, og i alle tilfeller innen 24 timer etter å ha blitt kjent med et bekreftet eller med rimelighet mistenkt brudd på personopplysningssikkerheten som berører Kundeinnhold, og vil gi tilgjengelig informasjon for å hjelpe Kunden med å oppfylle sine varslingsplikter, med oppdateringer etter hvert som undersøkelsen skrider frem. Slik varsling innebærer ikke erkjennelse av skyld eller ansvar. Å avgjøre om tilsynsmyndigheter eller registrerte skal varsles, og å foreta slike varslinger, er Kundens ansvar som behandlingsansvarlig; NeuroCRM yter rimelig samarbeid.

9. Internasjonale overføringer

Der behandlingen innebærer en overføring av personopplysninger ut av EØS, Storbritannia eller Sveits til et land uten en tilstrekkelighetsbeslutning, innlemmer partene Europakommisjonens standard personvernbestemmelser (2021/914), modul to (behandlingsansvarlig til databehandler), utfylt med opplysningene i denne DPA-en, sammen med det britiske tillegget for internasjonal dataoverføring (UK International Data Transfer Addendum) og de sveitsiske tilpasningene der det er aktuelt; alternativt kan NeuroCRM støtte seg på EU-US Data Privacy Framework der dette er sertifisert. NeuroCRM anvender supplerende tiltak der det er hensiktsmessig. Ved konflikt har SCC-ene forrang utelukkende i den grad det er nødvendig.

10. Russisk datakontur (152-FZ)

For personopplysninger om enkeltpersoner i Den russiske føderasjonen opprettholder NeuroCRM en atskilt russisk kontur med primær registrering og lagring på servere i Russland, i samsvar med den føderale loven nr. 152-FZ, og behandler slike data etter Kundens instruks i henhold til artikkel 6(3) i 152-FZ. Denne konturen og dens flyt for varsling om brudd (foreløpig innen 24 timer og resultater innen 72 timer til Roskomnadzor) opererer uavhengig av GDPR-kjeden. Se retningslinjene for behandling av personopplysninger (Russland).

11. Revisjon

NeuroCRM vil gjøre tilgjengelig informasjon som er nødvendig for å dokumentere etterlevelse av denne DPA-en og tillate revisjoner. For å begrense forstyrrelser kan NeuroCRM imøtekomme revisjonsforespørsler ved å fremlegge gjeldende sertifiseringer eller rapporter fra tredjepart (som ISO 27001 eller SOC 2 Type II) der disse er tilgjengelige. Revisjoner på stedet eller detaljerte revisjoner er begrenset til én gang per år (unntatt etter et brudd), krever minst 30 dagers varsel, et gjensidig avtalt omfang, konfidensialitet, og gjennomføres i arbeidstiden uten urimelig forstyrrelse.

12. Tilbakelevering og sletting

Ved opphør vil NeuroCRM, etter Kundens valg foretatt innen 30 dager, tilbakelevere Kundeinnhold i et alminnelig brukt format eller slette det og, på forespørsel, bekrefte sletting innen rimelig tid, med mindre lagring kreves ved lov. Rutinemessige sikkerhetskopier overskrives i den standard rotasjonssyklusen.

13. Ansvar og forrang

Hver parts ansvar etter denne DPA-en er underlagt begrensningene og unntakene i vilkårene for bruk, herunder det forhøyede ansvarstaket for brudd på databeskyttelse. Denne DPA-en, inkludert de innlemmede SCC-ene, har forrang fremfor motstridende bestemmelser i vilkårene i spørsmål om databeskyttelse. DPA-en er underlagt lovvalgs- og tvisteløsningsbestemmelsene i vilkårene som gjelder for Kunden.