Tilläggsavtal om personuppgiftsbehandling

Detta tilläggsavtal om personuppgiftsbehandling (”DPA”) utgör en del av användarvillkoren mellan dig (”Kunden”, den personuppgiftsansvarige) och Empire Luxury International Corporation (DBA Neuro Empire) (”NeuroCRM”, personuppgiftsbiträdet) och reglerar behandlingen av personuppgifter som ingår i Kundinnehåll. Vid motstridighet i dataskyddsfrågor har detta DPA företräde framför villkoren.

1. Roller och tillämpningsområde

För Kundinnehåll är Kunden personuppgiftsansvarig (eller personuppgiftsbiträde som agerar för sina egna kunder) och NeuroCRM är personuppgiftsbiträde (eller underbiträde). NeuroCRM behandlar Kundinnehåll endast för att tillhandahålla Tjänsten och enligt Kundens dokumenterade instruktioner, vilka inbegriper villkoren, detta DPA och användningen av Tjänstens funktioner. NeuroCRM agerar som självständig personuppgiftsansvarig endast för de begränsade konto-, fakturerings- och säkerhetsuppgifter som beskrivs i integritetspolicyn.

2. Närmare om behandlingen

Föremål: tillhandahållande av NeuroCRM-tjänsten. Varaktighet: löptiden för Kundens prenumeration jämte eventuell avvecklingsperiod. Art och syfte: hosting, lagring och behandlingsåtgärder som är nödvändiga för att tillhandahålla Tjänsten såsom den konfigurerats av Kunden. Kategorier av registrerade: Kundens kontakter, leads, kunder, personal och andra individer vars uppgifter Kunden för in. Kategorier av personuppgifter: såsom de fastställs av Kunden, vanligtvis identifikations- och kontaktuppgifter, affärsuppgifter och kommunikation; Kunden får inte föra in särskilda kategorier av uppgifter om detta inte avtalats skriftligen.

3. Kundens instruktioner och efterlevnad

NeuroCRM behandlar Kundinnehåll endast enligt dokumenterade instruktioner, inbegripet vad gäller överföringar, om inte tillämplig lag kräver annat (i vilket fall NeuroCRM informerar Kunden om det inte är förbjudet). NeuroCRM underrättar Kunden om en instruktion enligt NeuroCRM:s bedömning strider mot tillämplig dataskyddslagstiftning. Kunden ansvarar för att Kundinnehåll är lagligt och för att ha alla erforderliga underrättelser och samtycken.

4. Personalens sekretess

NeuroCRM säkerställer att personal som har behörighet att behandla Kundinnehåll är bunden av sekretessförpliktelser och behandlar uppgifterna endast enligt instruktion.

5. Säkerhetsåtgärder

NeuroCRM vidtar lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inbegripet kryptering vid överföring och av åtkomsttokens i vila, logisk åtskillnad mellan hyresgäster, åtkomstkontroller och loggning, motståndskraft och säkerhetskopiering samt regelbunden översyn. En sammanfattning finns tillgänglig på begäran och i integritetspolicyn.

6. Underbiträden

Kunden lämnar ett allmänt godkännande för NeuroCRM att anlita underbiträden. En aktuell förteckning finns på /legal/subprocessors. NeuroCRM ålägger varje underbiträde dataskyddsförpliktelser som inte är mindre skyddande än detta DPA och förblir ansvarigt för deras utförande. NeuroCRM lämnar minst 30 dagars besked om varje nytt eller ersättande underbiträde; Kunden kan invända på rimliga dataskyddsgrunder, och om parterna inte kan lösa invändningen kan Kunden säga upp den berörda Tjänsten och erhålla återbetalning av i förskott betalda ej utnyttjade avgifter.

7. Förfrågningar från registrerade och bistånd

Med beaktande av behandlingens art bistår NeuroCRM, genom lämpliga åtgärder och i den mån det är kommersiellt rimligt, Kunden med att besvara förfrågningar från registrerade och med att uppfylla sina skyldigheter avseende säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömningar avseende dataskydd och föregående samråd. Om NeuroCRM tar emot en förfrågan direkt från en registrerad vidarebefordrar NeuroCRM den till Kunden och besvarar den inte annat än enligt instruktion eller när så krävs enligt lag.

8. Anmälan av personuppgiftsincident

NeuroCRM underrättar Kunden utan onödigt dröjsmål, och i vart fall inom 24 timmar från det att NeuroCRM blivit medvetet om en bekräftad eller skäligen misstänkt personuppgiftsincident som påverkar Kundinnehåll, och tillhandahåller tillgänglig information för att hjälpa Kunden att uppfylla sina anmälningsskyldigheter, med uppdateringar i takt med att utredningen fortskrider. En sådan underrättelse innebär inte något erkännande av fel eller ansvar. Att avgöra om tillsynsmyndigheter eller registrerade ska underrättas, och att göra sådana underrättelser, är Kundens ansvar i egenskap av personuppgiftsansvarig; NeuroCRM lämnar rimligt samarbete.

9. Internationella överföringar

Där behandlingen innefattar en överföring av personuppgifter ut ur EES, Storbritannien eller Schweiz till ett land utan beslut om adekvat skyddsnivå, införlivar parterna Europeiska kommissionens standardavtalsklausuler (2021/914), Modul Två (personuppgiftsansvarig till personuppgiftsbiträde), kompletterade med informationen i detta DPA, tillsammans med det brittiska tilläggsavtalet om internationell dataöverföring (UK International Data Transfer Addendum) och de schweiziska anpassningarna i tillämpliga fall; alternativt kan NeuroCRM förlita sig på EU-US Data Privacy Framework där NeuroCRM är certifierat. NeuroCRM vidtar kompletterande åtgärder efter behov. Vid motstridighet har SCC företräde endast i den utsträckning som är nödvändig.

10. Rysk datakontur (152-FZ)

För personuppgifter om individer i Ryska federationen upprätthåller NeuroCRM en åtskild rysk kontur med primär registrering och lagring på servrar belägna i Ryssland, i enlighet med federal lag nr 152-FZ, och behandlar sådana uppgifter enligt Kundens instruktion med stöd av artikel 6.3 i 152-FZ. Denna kontur och dess incidentanmälningsflöde (preliminärt inom 24 timmar och resultat inom 72 timmar till Roskomnadzor) fungerar oberoende av GDPR-kedjan. Se policyn för behandling av personuppgifter (Ryssland).

11. Granskning

NeuroCRM tillhandahåller den information som är nödvändig för att visa efterlevnad av detta DPA och medger granskningar. För att minimera störningar kan NeuroCRM tillgodose granskningsförfrågningar genom att tillhandahålla aktuella certifieringar eller rapporter från tredje part (såsom ISO 27001 eller SOC 2 Type II) där sådana finns tillgängliga. Granskningar på plats eller i detalj är begränsade till en gång per år (utom efter en incident), kräver minst 30 dagars besked, ett ömsesidigt överenskommet omfång samt sekretess, och genomförs under kontorstid utan oskälig störning.

12. Återlämnande och radering

Vid uppsägning, enligt Kundens val som görs inom 30 dagar, återlämnar NeuroCRM Kundinnehåll i ett vanligt förekommande format eller raderar det och intygar, på begäran, raderingen inom skälig tid, utom i den utsträckning lagring krävs enligt lag. Rutinmässiga säkerhetskopior skrivs över enligt den ordinarie rotationscykeln.

13. Ansvar och företräde

Varje parts ansvar enligt detta DPA är föremål för de begränsningar och undantag som anges i användarvillkoren, inbegripet det förhöjda taket för dataskyddsöverträdelser. Detta DPA, inbegripet dess införlivade SCC, har företräde framför motstridiga bestämmelser i villkoren i dataskyddsfrågor. DPA:t regleras av de bestämmelser om tillämplig lag och tvistlösning i villkoren som gäller för Kunden.