Databehandlingsavtal

Kunden är personuppgiftsansvarig och Tilligo är personuppgiftsbiträde. Parterna ska var och en uppfylla de skyldigheter som gäller för dem enligt tillämplig dataskyddslagstiftning, inklusive GDPR när den är tillämplig.

Tilligo är självständigt personuppgiftsansvarig för personuppgifter som behandlas för egen konto- och faktureringsadministration, bedrägeribekämpning, säkerhet, rättsliga skyldigheter och den direkta kundrelationen. Den behandlingen regleras av integritetspolicyn och inte av detta DPA.

Tilligo behandlar personuppgifter endast för att tillhandahålla, säkra, supportera och utveckla kontrollpanelen och den inbäddningsbara widgeten för tillgänglighetsinställningar, administrera konton, prenumerationer och konfigurerade domäner samt följa Kundens dokumenterade instruktioner. Behandlingen pågår under tjänsteperioden och den begränsade raderingsperiod som anges nedan.

När Kunden aktiverar samtyckesstyrd widgetanalys sparar Tilligo endast begränsade totalsiffror och uppskattningar på organisationsnivå. Anropande domän och webbläsarmetadata kan granskas tillfälligt för behörighetskontroll, säkerhet, anropsbegränsning och grov enhetsklassificering, men råa analyshändelser, IP-adresser, user agent, sidans webbadress, hänvisningsadress, klientens sessionsidentifierare och anropande domän sparas inte i widgetens analyslager. Tillfälliga dags- och månadsaggregat raderas från Redis efter 14 respektive 30 dagar och dubblettmarkörer efter 48 timmar. Beständiga aggregat sparas under tjänsteperioden och raderas med organisationen, med förbehåll för säkerhetskopior och tillämplig lag.

• Registrerade kan vara Kundens behöriga användare, faktureringskontakter, supportkontakter och besökare på webbplatser där Kunden använder widgeten.
• Personuppgifter kan omfatta konto- och kontaktuppgifter, organisations- och konfigurationsdata, faktureringsidentifierare, supportkorrespondens, IP-adresser, webbläsar- och enhetsmetadata, händelse-, säkerhets- och diagnostikloggar samt widgetpreferenser när Kunden har aktiverat dem.
• Behandlingen kan bestå av insamling, registrering, organisering, lagring, hämtning, överföring, säkerhetsövervakning, support, aggregering och radering i den utsträckning som behövs för att driva tjänsten.
• Tjänsten är inte avsedd för behandling av känsliga personuppgifter, betalkortsuppgifter, innehåll i webbformulär eller uppgifter som besökare skriver in på Kundens webbplats. Kunden får inte instruera Tilligo att behandla sådana uppgifter utan att parterna först skriftligen har kommit överens om lämpliga skyddsåtgärder.

Tilligo behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner, inklusive detta DPA, tjänsteavtalet, Kundens konfiguration av tjänsten och rimliga skriftliga instruktioner som är förenliga med tjänsten. Tilligo får behandla personuppgifter när det krävs enligt tillämplig lag och informerar då Kunden, om inte lagen förbjuder information av viktiga allmänintresseskäl.

Om Tilligo bedömer att en instruktion strider mot tillämplig dataskyddslagstiftning meddelar Tilligo Kunden. Kunden ansvarar för att behandlingen är laglig, att uppgifterna är korrekta och för hur uppgifterna samlas in och lämnas till Tilligo, inklusive information till registrerade, rättslig grund och instruktioner.

Tilligo säkerställer att personer som har behörighet att behandla personuppgifter omfattas av sekretessåtaganden eller av en lämplig lagstadgad tystnadsplikt.

Med hänsyn till behandlingens art, den tekniska utvecklingen, kostnaderna för genomförande och riskerna för enskilda upprätthåller Tilligo lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR. Åtgärderna är utformade för att skydda personuppgifter mot oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt utlämnande eller obehörig åtkomst. Kunden ansvarar fortsatt för säkerheten i sina konton, behöriga användare, domäner och instruktioner.

• Kryptering under överföring och leverantörshanterad kryptering vid lagring när den aktuella drifttjänsten stöder det.
• Autentiserad, rollbaserad och behovsstyrd åtkomst till produktionssystem och kundorganisationer.
• Avgränsning mellan kunder samt kontroller för API-nycklar och godkända domäner som begränsar åtkomsten till kundkonfiguration och widgetleverans.
• Anropsbegränsning, strukturerad säkerhets- och felloggning med maskering av hemligheter, övervakning och rutiner för incidenthantering.
• Hanterade säkerhetskopior och återställningskontroller, granskning av beroenden och ändringar samt återkommande testning av relevanta skyddsåtgärder.

Kunden ger Tilligo ett allmänt skriftligt tillstånd att anlita underbiträden. Aktuella underbiträden och deras roller i behandlingen publiceras på sidan Underbiträden.

Tilligo lämnar minst 30 dagars förhandsinformation om ett nytt eller ersättande underbiträde genom att uppdatera den sidan och, när det är praktiskt möjligt, via e-post eller i kontrollpanelen. Kunden får invända skriftligen av rimliga dataskyddsskäl inom 14 dagar från informationen. Tilligo och Kunden ska då försöka lösa invändningen i god tro. Om en rimlig lösning saknas får Kunden säga upp den berörda tjänsten innan ändringen börjar gälla, utan avgift för just den berörda tjänsten.

Tilligo ålägger varje underbiträde skriftliga dataskyddsskyldigheter som i sak inte är mindre skyddande än detta DPA och ansvarar för att underbiträdena fullgör dessa skyldigheter.

Tilligo och dess underbiträden kan behandla personuppgifter inom EES, i Storbritannien och i andra länder där de eller deras tjänsteleverantörer bedriver verksamhet. När en överföring kräver skyddsåtgärder enligt tillämplig dataskyddslagstiftning använder Tilligo en giltig överföringsmekanism, exempelvis ett beslut om adekvat skyddsnivå eller tillämpliga standardavtalsklausuler, samt kompletterande åtgärder när det krävs. Tjänsten framställs inte som en lösning med enbart EU-baserad drift.

Med hänsyn till behandlingens art bistår Tilligo i rimlig omfattning, genom lämpliga tekniska och organisatoriska åtgärder, Kunden med att hantera registrerades begäran om att utöva sina rättigheter. Tilligo vidarebefordrar utan dröjsmål en sådan begäran till Kunden, om Tilligo inte själv är skyldigt enligt lag att svara.

Tilligo meddelar Kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som påverkar Kundens personuppgifter, med målsättningen att göra det inom 48 timmar efter att incidenten har bekräftats. Tilligo lämnar den information som rimligen finns tillgänglig för att hjälpa Kunden att uppfylla sina anmälningsskyldigheter och håller Kunden underrättad om väsentliga utvecklingar.

Med hänsyn till behandlingens art och den information som Tilligo har tillgång till bistår Tilligo i rimlig omfattning med konsekvensbedömningar, förhandssamråd och förfrågningar från behörig tillsynsmyndighet, när det krävs enligt artikel 28.3 GDPR och på Kundens rimliga bekostnad när begäran går utöver den ordinarie tjänsten.

När tjänsten upphör ska Tilligo, enligt Kundens skriftliga val, återlämna eller radera Kundens personuppgifter inom 30 dagar, om inte tillämplig lag kräver fortsatt lagring. Uppgifter i rutinmässiga säkerhetskopior kan finnas kvar tills de skrivs över enligt Tilligos backupcykel. De hålls då avskilda från ordinarie behandling och raderas när den aktuella säkerhetskopian ersätts, om inte lag kräver längre lagring.

Tilligo gör information som rimligen behövs för att visa efterlevnad av detta DPA tillgänglig för Kunden. Innan Kunden begär en granskning ska Kunden först använda Tilligos skriftliga säkerhets- och efterlevnadsinformation. Kunden får genomföra en granskning per tolvmånadersperiod med rimligt skriftligt förhandsbesked, under ordinarie arbetstid och på ett sätt som inte oskäligt stör Tilligo eller röjer andra kunders konfidentiella information. Fler eller skyndsamma granskningar kan tillåtas efter en bekräftad incident, en bindande begäran från tillsynsmyndighet eller en rimligt styrkt efterlevnadsfråga. Kunden står för granskningskostnaderna om inte lag kräver något annat.

Om detta DPA strider mot tjänsteavtalet i fråga om behandling av personuppgifter har detta DPA företräde i den delen. Ingenting i avtalet begränsar någon parts rättigheter eller skyldigheter enligt tillämplig dataskyddslagstiftning.

Frågor, instruktioner, invändningar och begäranden enligt detta DPA kan skickas till legal@tilligo.app eller per post till Ordinary Random Objects AB, Västermorvägen 73, 777 91 Smedjebacken, Sverige.