1Definitioner
I dette DPA gælder følgende:
“Gældende Databeskyttelseslovgivning” betyder lovgivning om privatliv og databeskyttelse, der finder anvendelse på behandlingen af Personoplysninger i henhold til Aftalen.
“Dataansvarlig” betyder den person eller organisation, der fastlægger formålene med og midlerne til behandlingen af Personoplysninger, eller det tilsvarende begreb i henhold til gældende lovgivning.
“Databehandler” betyder en person eller organisation, der behandler Personoplysninger på vegne af en Dataansvarlig, eller det tilsvarende begreb i henhold til gældende lovgivning.
“Virksomhed” og “Tjenesteudbyder” har de betydninger, der er fastsat i gældende amerikanske delstatslove om privatliv, hvor det er relevant.
“Kundedata” betyder data, der indsendes til, opbevares i, overføres via eller på anden måde behandles af Tjenesterne på vegne af Kunden.
“Personoplysninger” betyder oplysninger om en identificeret eller identificerbar fysisk person eller andre oplysninger, der er defineret som personlige oplysninger, personoplysninger eller et tilsvarende begreb i henhold til Gældende Databeskyttelseslovgivning.
“Behandling” betyder enhver handling, der udføres med Personoplysninger, herunder indsamling, registrering, organisering, opbevaring, tilgang, ændring, fremsøgning, brug, overførsel, videregivelse, begrænsning, sletning eller tilintetgørelse af Personoplysninger.
“Registreret” betyder den fysiske person, som Personoplysningerne vedrører.
“Underdatabehandler” betyder en tredjepart, som 255 benytter til at behandle Personoplysninger på vegne af Kunden i forbindelse med Tjenesterne.
“Brud på Persondatasikkerheden” betyder et brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til Personoplysninger, der behandles i henhold til dette DPA, som defineret i Gældende Databeskyttelseslovgivning.
2Parternes roller
Kunden og 255 anerkender, at deres respektive roller med hensyn til privatliv afhænger af den sammenhæng, som Personoplysningerne behandles i.
For Personoplysninger, som Kunden indsender til eller behandler via Tjenesterne til sine egne forretningsformål:
- Kunden fungerer generelt som Dataansvarlig eller Virksomhed.
- 255 fungerer generelt som Databehandler eller Tjenesteudbyder på Kundens vegne.
Kunden fastlægger formålene med behandlingen af Kundens Personoplysninger og er ansvarlig for at sikre, at Kundens instrukser overholder Gældende Databeskyttelseslovgivning.
255 behandler sådanne Personoplysninger efter Kundens dokumenterede instrukser, herunder i det omfang det er nødvendigt for at levere Tjenesterne i henhold til Aftalen og dette DPA.
255 kan separat fungere som selvstændig Dataansvarlig for visse oplysninger, der behandles til 255’s egne legitime forretningsformål, såsom kontoadministration, direkte kunderelationer, sikkerhed, fakturering, forebyggelse af svindel og overholdelse af lovgivning. Sådan behandling er reguleret af 255’s privatlivspolitik og gældende lovgivning.
3Kundens instrukser
Kunden instruerer 255 i at behandle Personoplysninger i det omfang, det er rimeligt nødvendigt for at:
- Levere Tjenesterne
- Drive 255 Business Platform
- Vedligeholde Kundens konti
- Hoste og opbevare Kundedata
- Levere CRM-funktionalitet
- Muliggøre kommunikation med kunder
- Levere funktionalitet til planlægning og aftaler
- Udføre konfigurerede automatiseringer
- Levere integrationer, som Kunden har anmodet om
- Yde teknisk support og kundesupport
- Opretholde sikkerheden
- Forebygge svindel og misbrug
- Fejlfinde tekniske problemer
- Opfylde forpligtelser i henhold til Aftalen
- Overholde gældende retlige forpligtelser
Yderligere dokumenterede instrukser kan aftales mellem Kunden og 255.
Hvis 255 med rimelighed mener, at en instruks fra Kunden er i strid med Gældende Databeskyttelseslovgivning, kan 255 underrette Kunden og, hvor det er retligt hensigtsmæssigt, suspendere den berørte behandling, indtil spørgsmålet er løst.
4Kundens ansvar
Kunden er ansvarlig for at sikre, at Kundens indsamling og behandling af Personoplysninger via Tjenesterne overholder Gældende Databeskyttelseslovgivning.
Kunden erklærer og indestår for, i det omfang det er relevant, at Kunden:
- Har den fornødne bemyndigelse til at give Personoplysninger til 255
- Har givet lovpligtige privatlivsmeddelelser
- Har indhentet lovpligtigt samtykke
- Har et passende retsgrundlag for behandlingen
- Overholder gældende lovgivning om markedsføring og kommunikation
- Efterkommer gældende anmodninger om framelding
- Fører passende fortegnelser over samtykke, hvor det kræves
- Giver lovlige behandlingsinstrukser
- Ikke instruerer 255 i at behandle Personoplysninger ulovligt
Kunden er ansvarlig for at afgøre, om Tjenesterne er egnede i forhold til Kundens særlige juridiske, regulatoriske og branchemæssige krav.
5Nærmere oplysninger om behandlingen
Behandlingens art og omfang afhænger af de Tjenester, som Kunden vælger og konfigurerer.
Genstand
Behandling af Personoplysninger, der er nødvendig for at levere de Tjenester, som Kunden har anmodet om.
Varighed
I Aftalens løbetid og i enhver yderligere periode, hvor 255 har tilladelse til eller er retligt forpligtet til at opbevare Personoplysninger.
Behandlingens art
Behandlingen kan omfatte:
- Indsamling
- Modtagelse
- Registrering
- Organisering
- Opbevaring
- Fremsøgning
- Opslag
- Brug
- Overførsel
- Kommunikation
- Synkronisering
- Analyse
- Automatisering
- Ændring
- Eksport
- Begrænsning
- Sletning
afhængigt af de anvendte Tjenester.
6Kategorier af Registrerede
Afhængigt af Kundens brug af Tjenesterne kan de Registrerede omfatte:
- Kundens kunder
- Potentielle kunder
- Leads
- Kontakter
- Besøgende på websteder
- Deltagere i aftaler
- Medarbejdere
- Kontrahenter
- Autoriserede brugere
- Virksomhedsrepræsentanter
- Modtagere af kommunikation
- Andre personer, hvis Personoplysninger Kunden lovligt behandler via Tjenesterne
7Kategorier af Personoplysninger
Afhængigt af de anvendte Tjenester og Kundens konfiguration kan Personoplysningerne omfatte:
- Navne
- E-mailadresser
- Telefonnumre
- Virksomhedsoplysninger
- Kontaktoplysninger
- CRM-poster
- Oplysninger om leads
- Oplysninger om salgsmuligheder
- Oplysninger om aftaler
- Kommunikationshistorik
- SMS- og beskeddata
- E-mailkommunikation
- Formularindsendelser
- Noter
- Tags
- Opgaver
- Kundeinteraktioner
- Kontoidentifikatorer
- Enheds- og tekniske oplysninger
- IP-relaterede oplysninger
- Transaktionsrelaterede oplysninger
- Markedsføringspræferencer
- Registreringer af samtykke
- Andre Personoplysninger indsendt af Kunden
255 kræver ikke, at Kunden giver kategorier af Personoplysninger, der er unødvendige for Tjenesterne.
8Følsomme Personoplysninger
Kunden må ikke indsende følsomme eller særligt beskyttede Personoplysninger, medmindre:
- de relevante Tjenester er udformet og godkendt til at behandle sådanne oplysninger;
- Kunden har et gyldigt retsgrundlag herfor;
- alle påkrævede garantier, meddelelser, aftaler og samtykker foreligger; og
- en sådan behandling overholder Aftalen og Gældende Databeskyttelseslovgivning.
Kunden er ansvarlig for at afgøre, om sektorspecifikke eller skærpede krav gælder for Kundens data.
Brug af Tjenesterne medfører ikke i sig selv overholdelse af HIPAA, GLBA, FERPA eller nogen anden sektorspecifik regulatorisk ramme.
9Fortrolighed
255 sikrer, at personale, der er autoriseret til at behandle Kundens Personoplysninger, er underlagt passende fortrolighedsforpligtelser.
Adgangen til Personoplysninger begrænses til personale og tjenesteudbydere, der har brug for adgang til legitime formål i forbindelse med levering, vedligeholdelse, sikring eller support af Tjenesterne.
10Sikkerhedsforanstaltninger
255 opretholder rimelige og passende tekniske og organisatoriske foranstaltninger, der har til formål at beskytte Kundens Personoplysninger mod uautoriseret eller ulovlig adgang, videregivelse, ændring, tilintetgørelse eller tab.
Afhængigt af arten af de involverede Tjenester og systemer kan garantierne omfatte foranstaltninger vedrørende:
- Adgangskontrol
- Godkendelse
- Autorisation
- Administration af loginoplysninger
- Netværkssikkerhed
- Applikationssikkerhed
- Kryptering, hvor det er hensigtsmæssigt
- Logning og overvågning
- Infrastruktursikkerhed
- Sikkerhedskopiering og gendannelse
- Sårbarhedsstyring
- Sikkerhedsopdateringer
- Hændelsesstyring
- Kontrol med medarbejderes adgang
- Leverandørstyring
- Forretningskontinuitet
Sikkerhedsforanstaltningerne kan udvikle sig over tid, efterhånden som teknologier, trusler og Tjenester ændrer sig.
255 vil ikke væsentligt reducere Tjenesternes samlede sikkerhed i den gældende abonnementsperiode uden passende begrundelse.
11Adgang til Personoplysninger
255 begrænser adgangen til Kundens Personoplysninger til personer og Underdatabehandlere, der med rimelighed har brug for adgang for at:
- Levere Tjenesterne
- Vedligeholde infrastrukturen
- Yde support
- Undersøge tekniske problemer
- Opretholde sikkerheden
- Forebygge misbrug
- Overholde retlige forpligtelser
Adgangen er underlagt passende krav til autorisation og fortrolighed.
12Underdatabehandlere
Kunden giver 255 generel tilladelse til at benytte Underdatabehandlere i det omfang, det er nødvendigt for at levere Tjenesterne.
Underdatabehandlere kan levere tjenester som:
- Cloudhosting
- Infrastruktur
- Databasetjenester
- Kommunikation
- Levering af e-mails
- Levering af SMS
- Betalingsbehandling
- Analyse
- Sikkerhed
- Kundesupport
- Godkendelse
- Integrationer
- Andre tekniske tjenester
255 kræver, at Underdatabehandlere, der behandler Kundens Personoplysninger på 255’s vegne, er underlagt databeskyttelsesforpligtelser, der er passende i forhold til arten af deres behandling.
255 forbliver ansvarlig for sine forpligtelser i henhold til dette DPA med hensyn til behandling udført af 255’s Underdatabehandlere, i det omfang Gældende Databeskyttelseslovgivning kræver det.
13Liste over Underdatabehandlere
255 kan føre en aktuel liste over relevante Underdatabehandlere på:
www.255adv.com/legal/subprocessors
Listen bør, hvor det er hensigtsmæssigt, angive:
- Underdatabehandlerens navn
- Formål
- Type af tjeneste
- Placering eller behandlingsregion, hvor det er relevant
255 bør ikke opføre en udbyder som Underdatabehandler, medmindre udbyderen faktisk behandler Kundens Personoplysninger på vegne af 255.
14Ændringer af Underdatabehandlere
Hvor Gældende Databeskyttelseslovgivning eller kontraktmæssige forpligtelser kræver det, giver 255 passende meddelelse om væsentlige ændringer vedrørende Underdatabehandlere.
Hvis Kunden har en retligt anerkendt ret til at gøre indsigelse mod en ny Underdatabehandler, kan Kunden fremsætte en rimelig databeskyttelsesmæssig indsigelse ved at kontakte:
support@255adv.com
Parterne vil i god tro arbejde på at imødekomme legitime bekymringer.
15Tredjepartsintegrationer valgt af Kunden
Tjenesterne kan give Kunden mulighed for at forbinde tredjepartsapplikationer, -platforme eller -tjenester.
Når Kunden selvstændigt vælger at aktivere en tredjepartsintegration, instruerer Kunden 255 i at overføre eller stille relevante Personoplysninger til rådighed i det omfang, det er nødvendigt for at levere den pågældende integration.
Selvstændige tredjepartstjenester kan behandle oplysninger i henhold til deres egne vilkår og privatlivspolitikker.
Kunden er ansvarlig for at vurdere de tredjepartstjenester, som Kunden vælger at forbinde.
16Anmodninger fra Registrerede
Under hensyntagen til behandlingens art og den funktionalitet, der er tilgængelig via Tjenesterne, yder 255 rimelig bistand til Kunden med at besvare relevante anmodninger fra Registrerede, hvor Gældende Databeskyttelseslovgivning kræver det.
Sådanne anmodninger kan omfatte anmodninger vedrørende:
- Indsigt
- Berigtigelse
- Sletning
- Dataportabilitet
- Begrænsning
- Indsigelse
- Ret til fravalg (opt-out)
Hvis en Registreret kontakter 255 direkte vedrørende Personoplysninger, der behandles på vegne af Kunden, kan 255 henvise anmodningen til Kunden, medmindre gældende lovgivning kræver, at 255 svarer direkte.
Kunden forbliver ansvarlig for at fastlægge det passende svar på anmodninger vedrørende Personoplysninger, som Kunden kontrollerer.
17Bistand til overholdelse
Under hensyntagen til behandlingens art og de oplysninger, der med rimelighed er tilgængelige for 255, yder 255 rimelig bistand til Kunden med gældende databeskyttelsesforpligtelser, hvor det er lovpligtigt.
Dette kan omfatte bistand vedrørende:
- Sikkerhed
- Brud på Persondatasikkerheden
- Anmodninger fra Registrerede
- Konsekvensanalyser vedrørende databeskyttelse
- Høringer af tilsynsmyndigheder
Bistand ud over Tjenesternes standardfunktionalitet kan være underlagt rimelige gebyrer, hvor Aftalen og gældende lovgivning tillader det.
18Brud på Persondatasikkerheden
255 opretholder procedurer, der har til formål at identificere og reagere på sikkerhedshændelser.
Hvis 255 bliver opmærksom på et Brud på Persondatasikkerheden, der berører Kundens Personoplysninger, og som i henhold til Gældende Databeskyttelseslovgivning kræver underretning af Kunden, underretter 255 Kunden uden unødig forsinkelse.
Hvor det med rimelighed er tilgængeligt, kan underretningen omfatte oplysninger om:
- Hændelsens art
- Kategorier af berørte oplysninger
- Mulige konsekvenser
- Trufne eller foreslåede foranstaltninger
- Relevante kontaktoplysninger
255 kan give oplysninger i etaper, efterhånden som yderligere detaljer bliver tilgængelige.
Underretning om en sikkerhedshændelse udgør ikke en indrømmelse af skyld eller ansvar.
Kunden er ansvarlig for at afgøre, om underretning af enkeltpersoner, tilsynsmyndigheder, kunder eller andre parter er lovpligtig, medmindre gældende lovgivning bestemmer andet.
19Tilbagelevering og sletning af data
Ved ophør eller udløb af de relevante Tjenester kan Kunden miste adgangen til Kundens Personoplysninger.
Hvor det er muligt, bør Kunden eksportere de oplysninger, Kunden ønsker at beholde, før kontoen bringes til ophør.
Ved ophør og med forbehold for gældende lovgivning sletter eller tilbageleverer 255 Kundens Personoplysninger i overensstemmelse med:
- Aftalen
- Tjenesternes funktionalitet
- Gældende opbevaringsperioder
- Retlige forpligtelser
- Sikkerhedskrav
- Procedurer for sikkerhedskopiering
255 kan opbevare Personoplysninger, hvor gældende lovgivning kræver eller tillader det.
Data i sikkerhedskopier kan forblive, indtil de slettes eller overskrives i overensstemmelse med gældende processer for opbevaring af sikkerhedskopier.
20Dataportabilitet og eksport
Hvor Tjenesterne understøtter det, kan Kunden eksportere visse Kundedata ved hjælp af den tilgængelige funktionalitet.
Kunden er ansvarlig for at foretage påkrævede eksporter, før Kundens konto bringes til ophør.
255 garanterer ikke, at alle kategorier af oplysninger kan eksporteres i alle formater, medmindre det udtrykkeligt kræves i henhold til gældende lovgivning eller aftale.
21Internationale overførsler af data
Kunden anerkender, at 255 og 255’s autoriserede Underdatabehandlere kan behandle Personoplysninger i USA og andre jurisdiktioner.
Hvor en international overførsel kræver en retligt anerkendt overførselsmekanisme, anvender parterne en passende mekanisme som krævet i henhold til Gældende Databeskyttelseslovgivning.
22Overførsler fra Det Europæiske Økonomiske Samarbejdsområde
Hvor Kundens Personoplysninger, der er omfattet af GDPR (databeskyttelsesforordningen), overføres fra Det Europæiske Økonomiske Samarbejdsområde til et land, der ikke er omfattet af en gældende afgørelse om tilstrækkeligt beskyttelsesniveau, anvender parterne en passende overførselsmekanisme, hvor det kræves.
Dette kan omfatte Europa-Kommissionens gældende standardkontraktbestemmelser (“SCC’er”).
Hvor SCC’er er lovpligtige, vil de blive indarbejdet i dette DPA eller indgået separat, alt efter hvad der er relevant.
Parterne samarbejder på rimelig vis om supplerende foranstaltninger, der kræves i henhold til gældende lovgivning.
23Overførsler fra Det Forenede Kongerige
Hvor Personoplysninger, der er omfattet af britisk databeskyttelseslovgivning, overføres internationalt, og der kræves en passende overførselsmekanisme, anvender parterne en relevant retligt anerkendt mekanisme.
Dette kan omfatte UK International Data Transfer Addendum eller en anden godkendt overførselsmekanisme, hvor det er relevant.
24Amerikanske delstatslove om privatliv
Hvor 255 behandler Personoplysninger på vegne af Kunden, og gældende amerikansk delstatslovgivning om privatliv betragter Kunden som en Virksomhed eller Dataansvarlig og 255 som en Tjenesteudbyder, Kontrahent eller Databehandler, behandler 255 sådanne Personoplysninger i overensstemmelse med gældende kontraktmæssige krav.
Hvor det er relevant, vil 255 ikke:
- Sælge Kundens Personoplysninger mod økonomisk vederlag
- Opbevare, bruge eller videregive Kundens Personoplysninger uden for de formål, der er tilladt i henhold til Aftalen og gældende lovgivning
- Kombinere Kundens Personoplysninger med andre oplysninger, hvor gældende lovgivning forbyder det
255 behandler Kundens Personoplysninger til de begrænsede og specificerede formål, der er beskrevet i Aftalen, dette DPA og Kundens dokumenterede instrukser.
25Krav til privatliv i Californien
Hvor California Consumer Privacy Act, som ændret ved California Privacy Rights Act (“CCPA/CPRA”), finder anvendelse på behandling i henhold til dette DPA, er det parternes hensigt, at 255 fungerer som Tjenesteudbyder eller Kontrahent, alt efter hvad der er relevant, for Kundens Personoplysninger, der behandles på Kundens vegne.
255 behandler kun sådanne Personoplysninger til de begrænsede og specificerede forretningsformål, der er tilladt i henhold til Aftalen, dette DPA og gældende lovgivning.
255 vil ikke sælge eller dele Kundens Personoplysninger, som disse begreber er defineret i gældende californisk lovgivning, undtagen som tilladt ved lov og i henhold til Kundens dokumenterede instrukser.
255 underretter Kunden, hvis 255 fastslår, at 255 ikke længere kan opfylde de gældende forpligtelser i henhold til dette afsnit, hvor loven kræver det.
Kunden kan tage rimelige og passende skridt, som gældende lovgivning tillader, for at bidrage til at sikre, at 255 behandler Kundens Personoplysninger i overensstemmelse med Kundens forpligtelser.
26Revisioner og oplysninger om overholdelse
På rimelig anmodning og hvor Gældende Databeskyttelseslovgivning kræver det, stiller 255 de oplysninger til rådighed, der er rimeligt nødvendige for at påvise overholdelse af 255’s forpligtelser som Databehandler eller Tjenesteudbyder.
Hvor det er lovpligtigt, kan 255 tillade rimelige revisioner med forbehold for passende:
- Fortrolighedsbeskyttelse
- Sikkerhedskrav
- Afgrænsninger af omfanget
- Forudgående varsel
- Krav til tidsplanlægning
- Beskyttelse af andre kunder
- Beskyttelse af proprietære oplysninger
Parterne bør først anvende tilgængelig dokumentation, certificeringer, rapporter eller spørgeskemaer, hvor disse med rimelighed opfylder det relevante krav.
27Anmodninger fra myndigheder og retlige anmodninger
255 kan videregive Personoplysninger, hvor det kræves i henhold til gældende lovgivning, retskendelse, stævning eller anden retligt bindende anmodning fra en myndighed.
Hvor det er retligt tilladt og hensigtsmæssigt, kan 255 underrette Kunden, før Kundens Personoplysninger videregives som svar på en sådan anmodning.
255 kan, hvor det er hensigtsmæssigt, anfægte anmodninger, som 255 med rimelighed mener er ulovlige eller overdrevne.
28Intet salg af Kundens Personoplysninger
255 erhverver ikke ejendomsret til Kundens Personoplysninger alene ved at behandle dem via Tjenesterne.
255 vil ikke sælge Kundens Personoplysninger mod økonomisk vederlag, mens 255 fungerer som Kundens Databehandler eller Tjenesteudbyder.
Enhver selvstændig behandling, som 255 udfører som Dataansvarlig, er reguleret af vores privatlivspolitik og Gældende Databeskyttelseslovgivning.
29Ejendomsret til data
I forholdet mellem Kunden og 255 bevarer Kunden alle de rettigheder, Kunden har til Kundedata.
Dette DPA overdrager ikke ejendomsretten til Kundedata til 255.
Kunden giver kun 255 de rettigheder, der er rimeligt nødvendige for at behandle Kundedata med henblik på at levere, sikre, vedligeholde og supportere Tjenesterne og opfylde gældende retlige forpligtelser.
30Fortrolige forretningsoplysninger
Kundedata kan ud over Personoplysninger indeholde fortrolige forretningsoplysninger.
255 håndterer sådanne oplysninger i overensstemmelse med de gældende fortrolighedsforpligtelser i Aftalen.
31Ansvar
Hver parts ansvar, der udspringer af eller vedrører dette DPA, er underlagt de gældende ansvarsbegrænsninger og -fraskrivelser i Aftalen, undtagen i det omfang sådanne begrænsninger er forbudt i henhold til Gældende Databeskyttelseslovgivning.
32Varighed og ophør
Dette DPA træder i kraft, når det finder anvendelse på behandling i henhold til en Aftale mellem Kunden og 255.
Det forbliver i kraft, så længe 255 behandler Kundens Personoplysninger, der er omfattet af dette DPA.
Bestemmelser, der i kraft af deres art bør bestå efter ophør, forbliver gældende, så længe det er nødvendigt for at opfylde gældende retlige eller kontraktmæssige forpligtelser.
33Rangorden
Hvis der er uoverensstemmelse vedrørende databeskyttelse mellem:
- gældende ufravigelig lovgivning;
- lovpligtige overførselsmekanismer;
- dette DPA; og
- Aftalen,
har kravet med den højeste prioritet forrang i det omfang, uoverensstemmelsen rækker.
34Ændringer af dette DPA
255 kan opdatere dette DPA for at afspejle ændringer i:
- Gældende lovgivning
- Regulatoriske krav
- Tjenester
- Sikkerhedspraksis
- Behandlingsaktiviteter
- Ordninger vedrørende Underdatabehandlere
Væsentlige ændringer, der påvirker Kundens rettigheder vedrørende databeskyttelse, vil blive meddelt, hvor gældende lovgivning eller kontraktmæssige forpligtelser kræver det.
Datoen for “Senest opdateret” afspejler den seneste revision.
35Kontakt
Spørgsmål vedrørende dette DPA, privatliv, sikkerhed eller databehandling kan rettes til:
255 Advertising Agency & Marketing LLC
Hjemsted
400 E Royal Lane, Suite 104
Irving, TX 75039
USA
E-mail vedrørende privatliv og support
Websted
Supportcenter
Bilag 1 — Nærmere oplysninger om behandlingen
Jeg anbefaler, at DPA’et indeholder et formelt bilag til sidst:
Punkt
Detaljer
Dataansvarlig / Virksomhed
Den relevante 255-Kunde
Databehandler / Tjenesteudbyder
255 Advertising Agency & Marketing LLC
Genstand
Behandling, der er nødvendig for at levere de aftalte 255-Tjenester
Varighed
Den relevante Aftales løbetid plus tilladt/påkrævet opbevaring
Formål
Levering, sikring, vedligeholdelse, support og forbedring af de aftalte Tjenester
Registrerede
Kunder, leads, kontakter, medarbejdere, brugere, besøgende på websteder, deltagere i aftaler og andre personer, hvis data Kunden indsender
Personoplysninger
Kontaktoplysninger, CRM-data, kommunikation, aftaler, formularer, kontoidentifikatorer, oplysninger om samtykke, tekniske data og andre oplysninger indsendt af Kunden
Følsomme data
Kun hvor det udtrykkeligt understøttes, er godkendt og er retligt tilladt
Behandlingsaktiviteter
Indsamling, opbevaring, organisering, fremsøgning, overførsel, kommunikation, automatisering, ændring, eksport og sletning
Hyppighed
Løbende eller som igangsat/konfigureret af Kunden
Opbevaring
I Tjenestens løbetid og den gældende opbevaringsperiode
Bilag 2 — Tekniske og organisatoriske foranstaltninger
Vi angiver ikke sikkerhedscertificeringer, der ikke findes. Vi skriver kun det, som 255 faktisk kan dokumentere.
Kategorier, der skal dokumenteres:
Adgangskontrol
Rollebaseret adgang, kontogodkendelse, kontrol med administrativ adgang og begrænsning af adgang ud fra driftsmæssigt behov, hvor det er implementeret.
Databeskyttelse
Passende beskyttelse af data under overførsel og i hvile baseret på den anvendte arkitektur og de anvendte tjenester.
Infrastruktursikkerhed
Sikkerhedsforanstaltninger for hosting, netværk, infrastruktur og miljøer, der leveres direkte af 255 og relevante infrastrukturudbydere.
Applikationssikkerhed
Praksis for sikker udvikling, håndtering af afhængigheder, afhjælpning af sårbarheder og adgang til produktionsmiljøer, hvor det er implementeret.
Logning og overvågning
Passende drifts- og sikkerhedslogning og -overvågning.
Sikkerhedskopiering og gendannelse
Procedurer for sikkerhedskopiering og gendannelse, der er passende i forhold til Tjenesterne.
Hændelseshåndtering
Processer for undersøgelse, inddæmning, afhjælpning og kommunikation af relevante sikkerhedshændelser.
Leverandørstyring
Rimelig vurdering og kontraktmæssige kontroller for Underdatabehandlere, der håndterer Kundens Personoplysninger.
Personalesikkerhed
Fortrolighed og adgangsbegrænsninger for personale med adgang til Kundens Personoplysninger.