Personuppgiftsbiträdesavtal

1. Föremål och varaktighet

Vi behandlar personuppgifter för kundens räkning för att tillhandahålla InfraHarbour, så länge avtalet om tjänsten gäller och därefter tills uppgifterna har raderats enligt punkt 12.

2. Vad som behandlas

• Registrerade: kundens användare, och personer vars uppgifter finns hos de leverantörer kunden ansluter (till exempel kontaktpersoner i fakturor eller domänregistreringar).
• Uppgifter: namn, e-postadresser, roller, inloggningsuppgifter, loggar med IP-adresser och tidpunkter, larmadresser, skärmbilder av sajter och det panelen hämtar från kundens leverantörer.
• Ändamål: att visa, föreslå, godkänna och genomföra ändringar i kundens infrastruktur, övervaka den och logga vad som görs.

Kunden väljer vilka leverantörer som ansluts och därmed vilka uppgifter som hämtas.

3. Kundens ansvar

Kunden ansvarar för att det finns rättslig grund för all behandling den låter oss utföra, för att de registrerade har fått den information de har rätt till, och för att kunden har rätt att ansluta sina leverantörer och lägga in uppgifterna. Kunden ska inte lägga in känsliga personuppgifter i tjänsten.

4. Kundens instruktioner

Kundens instruktioner är avtalet om tjänsten, detta avtal och det kunden gör i panelen. Andra instruktioner ska lämnas skriftligen; kräver de arbete utöver tjänsten får vi ta betalt för det. Anser vi att en instruktion strider mot dataskyddsreglerna säger vi till och får vänta med att följa den.

5. Sekretess

Bara de som behöver det för att driva tjänsten får tillgång till uppgifterna, och de har tystnadsplikt.

6. Säkerhet

Vi vidtar lämpliga tekniska och organisatoriska åtgärder, bland annat:

• Kryptering av nycklar till leverantörer (AES-256-GCM) och av all trafik (TLS).
• Lösenord som saltade hashar, passkeys och tvåfaktor.
• Roller och åtkomst per domän, och konton som hålls isär.
• Godkännande innan något skrivs hos en leverantör, och säkerhetskopior före och efter varje ändring.
• Loggar över beslut och anrop med agentnycklar.
• Databasen i Västeuropa.

Kunden ansvarar för säkerheten i det den själv styr: användare, roller, nycklar och inloggningar.

7. Lagring i tjänsten

Tjänsten sparar uppgifter så här länge, och raderar dem sedan automatiskt:

• Avgjorda förslag och aktivitetsloggen: 90 dagar.
• API-loggen och anrop till leverantörer: 30 dagar.
• Upptidskontroller: 31 dagar.
• Säkerhetskopior av zoner: alla i 30 dagar, sedan en i veckan upp till 90 dagar och en i månaden upp till ett år.
• Data från Search Console: 490 dagar.
• Skärmbilder: de fem senaste per domän.
• Konto, användare, nycklar och inställningar: så länge kontot finns.

8. Underbiträden

Kunden ger ett generellt godkännande till att vi anlitar underbiträden. I dag är det:

• Cloudflare, Inc. — drift, databas (Västeuropa), lagring, e-post och skydd.
• Resend, Inc. — utskick av larmmejl.
• GitHub, Inc. — schemalagda jobb för skärmbilder.

Vi ålägger varje underbiträde motsvarande dataskyddsskyldigheter. Nya eller ändrade underbiträden meddelar vi minst 30 dagar i förväg. Invänder kunden på saklig grund och kan vi inte tillgodose invändningen, är kundens enda rätt att säga upp avtalet om tjänsten till den dag ändringen börjar gälla.

9. Överföring utanför EU/EES

Underbiträdena är amerikanska bolag. Överföring till USA sker med stöd av EU:s ramverk för dataskydd mellan EU och USA eller EU-kommissionens standardavtalsklausuler, som kunden härmed godkänner.

10. Personuppgiftsincidenter

Vi meddelar kunden utan onödigt dröjsmål efter att vi fått kännedom om en personuppgiftsincident som rör kundens uppgifter, med den information vi har. Det är kunden som anmäler incidenten till tillsynsmyndigheten och informerar de registrerade, när det krävs.

11. Hjälp till kunden

Med hänsyn till behandlingens art hjälper vi kunden att besvara registrerades begäranden och med konsekvensbedömningar och förhandssamråd. Mycket av det kan kunden göra själv i panelen; hjälp utöver det får vi ta betalt för.

12. När avtalet upphör

Inom 30 dagar efter att avtalet om tjänsten upphört raderar vi kundens uppgifter, om inte lag kräver att de sparas. Fram till dess kan kunden exportera sina zoner. Därefter kan uppgifterna inte återställas.

13. Granskning

Vi visar att avtalet följs i första hand genom att lämna skriftlig information. Räcker inte det får kunden, högst en gång per år och efter minst 30 dagars skriftligt varsel, låta en oberoende granskare under tystnadsplikt granska oss under kontorstid. Granskningen bekostas av kunden och får inte röja andra kunders uppgifter eller äventyra tjänstens säkerhet.

14. Ansvar

Ansvarsbegränsningen i användarvillkoren gäller även detta avtal, så långt lag tillåter. Kunden ska hålla oss skadeslösa mot krav som följer av att kunden inte haft rättslig grund för behandlingen eller annars brutit mot dataskyddsreglerna.

15. Lag och tvister

Avtalet lyder under cypriotisk lag. Tvister ska avgöras exklusivt av domstolarna i Larnaca, Cypern. Avtalet är upprättat på engelska. Översättningar är bara till hjälp, och vid skillnader gäller den engelska texten.