Personuppgiftsbiträdesavtal
Detta personuppgiftsbiträdesavtal (”DPA”) utgör en del av användarvillkoren för Aigen PackTrack och uppfyller kraven i artikel 28 i EU:s allmänna dataskyddsförordning. Det träder i kraft när kunden godkänner villkoren och gäller så länge vi behandlar personuppgifter för kundens räkning.
1. Parter
- Personuppgiftsansvarig: kundföretaget (”kunden”).
- Personuppgiftsbiträde: AI Generation Oy, FO-nummer 3365357-7, Selkämerenkatu 12 B 34, 00180 Helsinki (”biträdet”).
2. Föremål, art och ändamål
Biträdet förbereder kundens förpackningsuppgifter för redovisningen till producentsammanslutningen medan tjänsten används. Behandlingen omfattar lagring, ordnande, klassificering, beräkning, presentation för kundens användare, export och radering av uppgifter.
3. Registrerade och kategorier av uppgifter
- Registrerade: kundens användare samt leverantörers och andra kontaktpersoner i den utsträckning kunden för in dem i tjänsten.
- Uppgifter: namn och kontaktuppgifter i uppladdat material, användar- och medlemskapsidentifierare samt händelseloggen.
- Tjänsten är inte avsedd för särskilda kategorier av personuppgifter, och kunden får inte föra in sådana i tjänsten.
4. Instruktioner
Biträdet behandlar personuppgifter endast enligt kundens dokumenterade instruktioner: villkoren, detta avtal och kundens val i tjänsten. De omfattar överföringar av personuppgifter till tredjeländer på de grunder för överföring som anges på sidan om underbiträden. Biträdet meddelar kunden om det anser att en instruktion är olaglig.
5. Sekretess
Endast sådan personal hos biträdet vars uppgifter kräver det och som omfattas av tystnadsplikt behandlar personuppgifter.
6. Säkerhet (artikel 32)
- Kryptering under överföring (HTTPS/TLS).
- Autentisering med e-post och lösenord (bekräftad e-postadress; lösenordet sparas endast som hash); sessionskakor med HttpOnly och SameSite; robotkontroll vid registrering och byte av lösenord; kontroller av ursprung och begränsningar av antalet förfrågningar som ändrar tillstånd.
- Behörighetsstyrning per företag och roll; företagens uppgifter hålls åtskilda.
- Åtgärder registreras i en händelselogg.
- Aviseringar om betalningshändelser verifieras med signatur.
- Databasen drivs av tjänsteleverantören, med leverantörens säkerhetskopior.
7. Underbiträden
Kunden ger ett allmänt förhandstillstånd att anlita de underbiträden som anges på sidan om underbiträden (/subprocessors). Biträdet binder dem till dataskyddsskyldigheter som minst motsvarar detta avtal och ansvarar för dem. Nya eller ändrade underbiträden meddelas minst 30 dagar i förväg. Om kunden invänder av rimliga skäl kan den säga upp abonnemanget och få återbetalning för den oanvända tiden.
8. Överföringar utanför EU/EES
Om ett underbiträde finns utanför EU eller kan få åtkomst till uppgifter därifrån skyddas överföringen av kommissionens standardavtalsklausuler (genomförandebeslut (EU) 2021/914) eller ett beslut om adekvat skyddsnivå (ramen för dataskydd mellan EU och USA, genomförandebeslut (EU) 2023/1795). Varje underbiträdes grund för överföring anges på sidan om underbiträden.
9. Bistånd och personuppgiftsincidenter
Biträdet bistår i skälig omfattning kunden med de registrerades begäranden, anmälan av personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd. Det underrättar kunden om en personuppgiftsincident utan onödigt dröjsmål, inklusive den information enligt artikel 33.3 som biträdet har tillgång till.
10. Återlämnande och radering
Ägaren kan ladda ner uppgifterna i ett maskinläsbart format och radera företaget och dess uppgifter i tjänsten. När tjänsten för kunden upphör (avtalet upphör eller företaget raderas) återlämnar eller raderar biträdet personuppgifterna enligt kundens val och raderar befintliga kopior. I övrigt raderar biträdet kundens personuppgifter på begäran och tillhandahåller dem i ett maskinläsbart format före raderingen om kunden så begär. Raderingen omfattar inte uppgifter som vi enligt lag måste bevara. Efter att en användares konto har raderats bevarar biträdet, som sin egen personuppgiftsbehandling, endast ett minimalt bevis på godkännandet av villkoren och detta avtal i 3 år, enligt dataskyddsbeskrivningen. Oanvända konton: om ingen har loggat in på eller använt en användares konto på 24 månader skickar biträdet en varning per e-post och raderar kontot 30 dagar senare, om ingen loggar in före det. Om användaren är företagets enda ägare raderas också företagets uppgifter; kontot för den enda ägaren raderas dock inte medan företaget har ett pågående abonnemang. Raderingen fungerar som när en användare själv raderar sitt konto (dataskyddsbeskrivningen). Uppgifterna tas bort ur säkerhetskopiorna när kopiorna roteras.
11. Revisioner
Biträdet tillhandahåller den information som behövs för att visa att detta avtal följs. Kunden kan genomföra eller låta genomföra en revision med skäligt varsel och på egen bekostnad, högst en gång per år, om inte en incident eller en myndighet kräver något annat.
12. Ansvar och prioritetsordning
På ansvaret tillämpas ansvarsbegränsningen i användarvillkoren i den utsträckning som artikel 82 i dataskyddsförordningen tillåter. När det gäller behandling av personuppgifter har detta avtal företräde framför användarvillkoren.