1Definisjoner
I denne DPA-en gjelder følgende:
«Gjeldende personvernlovgivning» betyr personvern- og databeskyttelseslover som gjelder for behandlingen av Personopplysninger i henhold til Avtalen.
«Behandlingsansvarlig» betyr den personen eller organisasjonen som bestemmer formålene med og midlene for behandlingen av Personopplysninger, eller tilsvarende begrep etter gjeldende lov.
«Databehandler» betyr en person eller organisasjon som behandler Personopplysninger på vegne av en Behandlingsansvarlig, eller tilsvarende begrep etter gjeldende lov.
«Virksomhet» og «Tjenesteleverandør» har den betydningen de er gitt i gjeldende delstatlige personvernlover i USA, der det er relevant.
«Kundedata» betyr data som sendes inn til, lagres i, overføres gjennom eller på annen måte behandles av Tjenestene på vegne av Kunden.
«Personopplysninger» betyr opplysninger knyttet til en identifisert eller identifiserbar person, eller andre opplysninger som er definert som personlig informasjon, personopplysninger eller et tilsvarende begrep i henhold til Gjeldende personvernlovgivning.
«Behandling» betyr enhver operasjon som utføres på Personopplysninger, inkludert innsamling, registrering, organisering, lagring, tilgang, endring, gjenfinning, bruk, overføring, utlevering, begrensning, sletting eller tilintetgjøring av Personopplysninger.
«Registrert» betyr den personen som Personopplysningene gjelder.
«Underdatabehandler» betyr en tredjepart som 255 engasjerer til å behandle Personopplysninger på vegne av Kunden i forbindelse med Tjenestene.
«Brudd på personopplysningssikkerheten» betyr et sikkerhetsbrudd som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, uautorisert utlevering av eller tilgang til Personopplysninger som behandles i henhold til denne DPA-en, slik det er definert i Gjeldende personvernlovgivning.
2Partenes roller
Kunden og 255 erkjenner at deres respektive roller med hensyn til personvern avhenger av sammenhengen Personopplysningene behandles i.
For Personopplysninger som Kunden sender inn til eller behandler gjennom Tjenestene for sine egne forretningsformål:
- Kunden opptrer som regel som Behandlingsansvarlig eller Virksomhet.
- 255 opptrer som regel som Databehandler eller Tjenesteleverandør på Kundens vegne.
Kunden bestemmer formålene som Kundens personopplysninger behandles for, og er ansvarlig for å sørge for at instruksene Kunden gir, er i samsvar med Gjeldende personvernlovgivning.
255 vil behandle slike Personopplysninger etter Kundens dokumenterte instrukser, inkludert i den grad det er nødvendig for å levere Tjenestene i henhold til Avtalen og denne DPA-en.
255 kan separat opptre som selvstendig Behandlingsansvarlig for visse opplysninger som behandles for 255s egne legitime forretningsformål, for eksempel kontoadministrasjon, direkte kunderelasjoner, sikkerhet, fakturering, forebygging av svindel og etterlevelse av lovkrav. Slik behandling reguleres av 255s personvernerklæring og gjeldende lov.
3Kundens instrukser
Kunden instruerer 255 om å behandle Personopplysninger i den grad det er rimelig nødvendig for å:
- Levere Tjenestene
- Drive 255 Business Platform
- Vedlikeholde Kundens kontoer
- Huse og lagre Kundedata
- Levere CRM-funksjonalitet
- Tilrettelegge for kommunikasjon med kunder
- Levere funksjonalitet for planlegging og timebestilling
- Utføre konfigurerte automatiseringer
- Levere integrasjoner som Kunden ber om
- Yte teknisk støtte og kundestøtte
- Opprettholde sikkerheten
- Forhindre svindel og misbruk
- Feilsøke tekniske problemer
- Oppfylle forpliktelser i henhold til Avtalen
- Overholde gjeldende rettslige forpliktelser
Ytterligere dokumenterte instrukser kan avtales mellom Kunden og 255.
Dersom 255 har rimelig grunn til å tro at en instruks fra Kunden bryter Gjeldende personvernlovgivning, kan 255 varsle Kunden og, der det er rettslig hensiktsmessig, stanse den berørte behandlingen inntil saken er løst.
4Kundens ansvar
Kunden er ansvarlig for å sørge for at Kundens innsamling og behandling av Personopplysninger gjennom Tjenestene er i samsvar med Gjeldende personvernlovgivning.
Kunden erklærer og garanterer, der det er relevant, at Kunden:
- Har passende fullmakt til å gi Personopplysninger til 255
- Har gitt lovpålagte personvernerklæringer
- Har innhentet lovpålagt samtykke
- Har et passende rettslig grunnlag for behandlingen
- Overholder gjeldende lover om markedsføring og kommunikasjon
- Etterkommer gjeldende forespørsler om reservasjon
- Fører egnede registre over samtykke der det kreves
- Gir lovlige instrukser om behandling
- Ikke instruerer 255 om å behandle Personopplysninger ulovlig
Kunden er ansvarlig for å avgjøre om Tjenestene er egnet for Kundens særskilte juridiske, regulatoriske og bransjemessige krav.
5Nærmere opplysninger om behandlingen
Behandlingens art og omfang avhenger av Tjenestene som Kunden velger og konfigurerer.
Behandlingens gjenstand
Behandling av Personopplysninger som er nødvendig for å levere Tjenestene som Kunden ber om.
Varighet
Så lenge Avtalen varer, og i en eventuell tilleggsperiode der 255 har tillatelse til eller er rettslig forpliktet til å oppbevare Personopplysninger.
Behandlingens art
Behandlingen kan omfatte:
- Innsamling
- Mottak
- Registrering
- Organisering
- Lagring
- Gjenfinning
- Konsultasjon
- Bruk
- Overføring
- Kommunikasjon
- Synkronisering
- Analyse
- Automatisering
- Endring
- Eksport
- Begrensning
- Sletting
avhengig av hvilke Tjenester som brukes.
6Kategorier av registrerte
Avhengig av Kundens bruk av Tjenestene kan de Registrerte omfatte:
- Kundens kunder
- Potensielle kunder
- Leads
- Kontakter
- Besøkende på nettsteder
- Deltakere i avtaler
- Ansatte
- Oppdragstakere
- Autoriserte brukere
- Representanter for virksomheter
- Mottakere av kommunikasjon
- Andre personer hvis Personopplysninger Kunden lovlig behandler gjennom Tjenestene
7Kategorier av personopplysninger
Avhengig av Tjenestene som brukes og Kundens konfigurasjon kan Personopplysningene omfatte:
- Navn
- E-postadresser
- Telefonnumre
- Forretningsopplysninger
- Kontaktopplysninger
- CRM-oppføringer
- Opplysninger om leads
- Opplysninger om salgsmuligheter
- Opplysninger om avtaler
- Kommunikasjonshistorikk
- SMS- og meldingsdata
- E-postkommunikasjon
- Skjemainnsendinger
- Notater
- Tagger
- Oppgaver
- Kundeinteraksjoner
- Kontoidentifikatorer
- Enhetsopplysninger og tekniske opplysninger
- IP-relaterte opplysninger
- Transaksjonsrelaterte opplysninger
- Markedsføringspreferanser
- Registreringer av samtykke
- Andre Personopplysninger som Kunden sender inn
255 krever ikke at Kunden oppgir kategorier av Personopplysninger som ikke er nødvendige for Tjenestene.
8Sensitive personopplysninger
Kunden må ikke sende inn sensitive eller særlig beskyttede Personopplysninger med mindre:
- de aktuelle Tjenestene er utformet og godkjent for å behandle slike opplysninger;
- Kunden har et gyldig rettslig grunnlag for å gjøre det;
- alle nødvendige sikkerhetstiltak, informasjonsplikter, avtaler og samtykker er på plass; og
- slik behandling er i samsvar med Avtalen og Gjeldende personvernlovgivning.
Kunden er ansvarlig for å avgjøre om sektorspesifikke eller skjerpede krav gjelder for Kundens data.
Bruk av Tjenestene innebærer ikke i seg selv samsvar med HIPAA, GLBA, FERPA eller noe annet sektorspesifikt regulatorisk rammeverk.
9Konfidensialitet
255 vil sørge for at personell som er autorisert til å behandle Kundens personopplysninger, er underlagt passende taushetsplikt.
Tilgang til Personopplysninger vil være begrenset til personell og tjenesteleverandører som trenger tilgang for legitime formål knyttet til å levere, vedlikeholde, sikre eller støtte Tjenestene.
10Sikkerhetstiltak
255 vil opprettholde rimelige og egnede tekniske og organisatoriske tiltak som er utformet for å beskytte Kundens personopplysninger mot uautorisert eller ulovlig tilgang, utlevering, endring, tilintetgjøring eller tap.
Avhengig av arten av Tjenestene og systemene som er involvert, kan sikkerhetstiltakene omfatte tiltak knyttet til:
- Tilgangskontroller
- Autentisering
- Autorisasjon
- Håndtering av påloggingsinformasjon
- Nettverkssikkerhet
- Applikasjonssikkerhet
- Kryptering der det er hensiktsmessig
- Logging og overvåking
- Infrastruktursikkerhet
- Sikkerhetskopiering og gjenoppretting
- Sårbarhetshåndtering
- Sikkerhetsoppdateringer
- Hendelseshåndtering
- Tilgangskontroller for ansatte
- Leverandørstyring
- Kontinuitet i virksomheten
Sikkerhetstiltakene kan utvikle seg over tid etter hvert som teknologier, trusler og Tjenester endres.
255 vil ikke vesentlig redusere den samlede sikkerheten i Tjenestene i løpet av den aktuelle abonnementsperioden uten passende begrunnelse.
11Tilgang til personopplysninger
255 vil begrense tilgangen til Kundens personopplysninger til personer og Underdatabehandlere som med rimelighet trenger tilgang for å:
- Levere Tjenestene
- Vedlikeholde infrastruktur
- Yte støtte
- Undersøke tekniske problemer
- Opprettholde sikkerheten
- Forhindre misbruk
- Overholde rettslige forpliktelser
Tilgangen vil være underlagt passende krav til autorisasjon og konfidensialitet.
12Underdatabehandlere
Kunden gir 255 en generell tillatelse til å engasjere Underdatabehandlere i den grad det er nødvendig for å levere Tjenestene.
Underdatabehandlere kan levere tjenester som:
- Skyhosting
- Infrastruktur
- Databasetjenester
- Kommunikasjon
- Levering av e-post
- Levering av SMS
- Betalingsbehandling
- Analyse
- Sikkerhet
- Kundestøtte
- Autentisering
- Integrasjoner
- Andre tekniske tjenester
255 vil kreve at Underdatabehandlere som behandler Kundens personopplysninger på vegne av 255, er underlagt databeskyttelsesforpliktelser som er tilpasset arten av deres behandling.
255 forblir ansvarlig for sine forpliktelser i henhold til denne DPA-en med hensyn til behandling utført av 255s Underdatabehandlere, i den grad Gjeldende personvernlovgivning krever det.
13Liste over underdatabehandlere
255 kan føre en oppdatert liste over aktuelle Underdatabehandlere på:
www.255adv.com/legal/subprocessors
Listen bør, der det er hensiktsmessig, angi:
- Underdatabehandlerens navn
- Formål
- Type tjeneste
- Sted eller behandlingsregion der det er relevant
255 bør ikke føre opp en leverandør som Underdatabehandler med mindre leverandøren faktisk behandler Kundens personopplysninger på vegne av 255.
14Endringer av underdatabehandlere
Der Gjeldende personvernlovgivning eller kontraktsmessige forpliktelser krever det, vil 255 gi egnet varsel om vesentlige endringer som gjelder Underdatabehandlere.
Dersom Kunden har en rettslig anerkjent rett til å protestere mot en ny Underdatabehandler, kan Kunden fremme en rimelig innsigelse basert på databeskyttelse ved å kontakte:
support@255adv.com
Partene vil samarbeide i god tro for å håndtere legitime bekymringer.
15Tredjepartsintegrasjoner valgt av Kunden
Tjenestene kan gi Kunden mulighet til å koble til tredjeparts applikasjoner, plattformer eller tjenester.
Når Kunden selvstendig velger å aktivere en tredjepartsintegrasjon, instruerer Kunden 255 om å overføre eller gjøre tilgjengelig relevante Personopplysninger i den grad det er nødvendig for å levere integrasjonen.
Uavhengige tredjepartstjenester kan behandle opplysninger i henhold til sine egne vilkår og personvernerklæringer.
Kunden er ansvarlig for å vurdere tredjepartstjenester som Kunden velger å koble til.
16Forespørsler fra registrerte
Under hensyntagen til behandlingens art og funksjonaliteten som er tilgjengelig gjennom Tjenestene, vil 255 gi Kunden rimelig bistand med å besvare aktuelle forespørsler fra Registrerte der Gjeldende personvernlovgivning krever det.
Slike forespørsler kan omfatte forespørsler knyttet til:
- Innsyn
- Retting
- Sletting
- Dataportabilitet
- Begrensning
- Protest
- Rett til å reservere seg
Der en Registrert kontakter 255 direkte om Personopplysninger som behandles på vegne av Kunden, kan 255 henvise forespørselen til Kunden, med mindre gjeldende lov krever at 255 svarer direkte.
Kunden forblir ansvarlig for å avgjøre hvordan forespørsler knyttet til Personopplysninger som Kunden kontrollerer, skal besvares.
17Bistand med etterlevelse
Under hensyntagen til behandlingens art og opplysningene som med rimelighet er tilgjengelige for 255, vil 255 gi Kunden rimelig bistand med aktuelle databeskyttelsesforpliktelser der det er lovpålagt.
Dette kan omfatte bistand knyttet til:
- Sikkerhet
- Brudd på personopplysningssikkerheten
- Forespørsler fra Registrerte
- Vurderinger av personvernkonsekvenser
- Forhåndsdrøftinger med tilsynsmyndigheter
Bistand ut over Tjenestenes standardfunksjonalitet kan være underlagt rimelige gebyrer der Avtalen og gjeldende lov tillater det.
18Brudd på personopplysningssikkerheten
255 vil opprettholde prosedyrer som er utformet for å identifisere og håndtere sikkerhetshendelser.
Dersom 255 blir kjent med et Brudd på personopplysningssikkerheten som berører Kundens personopplysninger, og som Kunden må varsles om etter Gjeldende personvernlovgivning, vil 255 varsle Kunden uten ugrunnet opphold.
Der det med rimelighet er tilgjengelig, kan varselet inneholde opplysninger om:
- Hendelsens art
- Kategorier av berørte opplysninger
- Mulige konsekvenser
- Tiltak som er iverksatt eller foreslått
- Relevante kontaktopplysninger
255 kan gi opplysninger trinnvis etter hvert som flere detaljer blir tilgjengelige.
Varsel om en sikkerhetshendelse utgjør ikke en innrømmelse av skyld eller ansvar.
Kunden er ansvarlig for å avgjøre om varsling av enkeltpersoner, tilsynsmyndigheter, kunder eller andre parter er lovpålagt, med mindre gjeldende lov bestemmer noe annet.
19Tilbakelevering og sletting av data
Ved oppsigelse eller utløp av de aktuelle Tjenestene kan Kunden miste tilgangen til Kundens personopplysninger.
Der det er mulig, bør Kunden eksportere opplysninger Kunden ønsker å beholde, før kontoen avsluttes.
Ved opphør, og med forbehold om gjeldende lov, vil 255 slette eller tilbakelevere Kundens personopplysninger i samsvar med:
- Avtalen
- Tjenestens funksjonalitet
- Gjeldende oppbevaringsperioder
- Rettslige forpliktelser
- Sikkerhetskrav
- Prosedyrer for sikkerhetskopiering
255 kan oppbevare Personopplysninger der gjeldende lov krever eller tillater det.
Data i sikkerhetskopier kan bli liggende til de slettes eller overskrives i henhold til gjeldende prosesser for oppbevaring av sikkerhetskopier.
20Dataportabilitet og eksport
Der Tjenestene støtter det, kan Kunden eksportere visse Kundedata ved hjelp av tilgjengelig funksjonalitet.
Kunden er ansvarlig for å utføre nødvendige eksporter før kontoen avsluttes.
255 garanterer ikke at alle kategorier av opplysninger kan eksporteres i alle formater, med mindre dette uttrykkelig kreves etter gjeldende lov eller avtale.
21Internasjonale overføringer av data
Kunden erkjenner at 255 og selskapets autoriserte Underdatabehandlere kan behandle Personopplysninger i USA og andre jurisdiksjoner.
Der en internasjonal overføring krever en rettslig anerkjent overføringsmekanisme, vil partene benytte en egnet mekanisme slik Gjeldende personvernlovgivning krever.
22Overføringer fra Det europeiske økonomiske samarbeidsområdet
Der Kundens personopplysninger som er underlagt GDPR (personvernforordningen), overføres fra Det europeiske økonomiske samarbeidsområdet til et land som ikke er omfattet av en gjeldende beslutning om tilstrekkelig beskyttelsesnivå, vil partene benytte en egnet overføringsmekanisme der det kreves.
Dette kan omfatte Europakommisjonens gjeldende standardavtaler («SCC-er»).
Der SCC-er er lovpålagt, vil de bli innlemmet i denne DPA-en eller inngått separat, etter hva som er relevant.
Partene vil samarbeide på rimelig måte om supplerende tiltak som kreves etter gjeldende lov.
23Overføringer fra Storbritannia
Der Personopplysninger som er underlagt britisk databeskyttelseslovgivning, overføres internasjonalt og det kreves en egnet overføringsmekanisme, vil partene benytte en gjeldende, rettslig anerkjent mekanisme.
Dette kan omfatte UK International Data Transfer Addendum eller en annen godkjent overføringsmekanisme der det er relevant.
24Delstatlige personvernlover i USA
Der 255 behandler Personopplysninger på vegne av Kunden og gjeldende delstatlig personvernlovgivning i USA behandler Kunden som en Virksomhet eller Behandlingsansvarlig og 255 som en Tjenesteleverandør, Oppdragstaker eller Databehandler, vil 255 behandle slike Personopplysninger i samsvar med gjeldende kontraktsmessige krav.
Der det er relevant, vil 255 ikke:
- Selge Kundens personopplysninger mot økonomisk vederlag
- Oppbevare, bruke eller utlevere Kundens personopplysninger utenfor formålene som Avtalen og gjeldende lov tillater
- Kombinere Kundens personopplysninger med andre opplysninger der gjeldende lov forbyr dette
255 vil behandle Kundens personopplysninger for de begrensede og spesifiserte formålene som er beskrevet i Avtalen, denne DPA-en og Kundens dokumenterte instrukser.
25Personvernkrav i California
Der California Consumer Privacy Act, slik den er endret ved California Privacy Rights Act («CCPA/CPRA»), gjelder for behandling i henhold til denne DPA-en, er det partenes intensjon at 255 skal opptre som Tjenesteleverandør eller Oppdragstaker, etter hva som er relevant, for Kundens personlige informasjon som behandles på Kundens vegne.
255 vil bare behandle slik personlig informasjon for de begrensede og spesifiserte forretningsformålene som Avtalen, denne DPA-en og gjeldende lov tillater.
255 vil ikke selge eller dele Kundens personlige informasjon slik disse begrepene er definert i gjeldende lovgivning i California, med unntak av det som er tillatt ved lov og etter Kundens dokumenterte instrukser.
255 vil varsle Kunden dersom 255 fastslår at selskapet ikke lenger kan oppfylle gjeldende forpliktelser i henhold til denne delen, der loven krever det.
Kunden kan iverksette rimelige og egnede tiltak som gjeldende lov tillater, for å bidra til å sikre at 255 behandler Kundens personlige informasjon i samsvar med Kundens forpliktelser.
26Revisjoner og informasjon om etterlevelse
Etter rimelig anmodning og der Gjeldende personvernlovgivning krever det, vil 255 gjøre tilgjengelig de opplysningene som med rimelighet er nødvendige for å påvise at selskapet overholder sine forpliktelser som Databehandler eller Tjenesteleverandør.
Der det er lovpålagt, kan 255 tillate rimelige revisjoner med forbehold om passende:
- Konfidensialitetsvern
- Sikkerhetskrav
- Begrensninger i omfang
- Forhåndsvarsel
- Krav til tidsplanlegging
- Beskyttelse av andre kunder
- Beskyttelse av proprietær informasjon
Partene bør først benytte tilgjengelig dokumentasjon, sertifiseringer, rapporter eller spørreskjemaer der disse med rimelighet oppfyller det aktuelle kravet.
27Forespørsler fra myndigheter og rettslige forespørsler
255 kan utlevere Personopplysninger der det kreves etter gjeldende lov, rettskjennelse, stevning eller annen rettslig bindende anmodning fra myndigheter.
Der det er rettslig tillatt og hensiktsmessig, kan 255 varsle Kunden før Kundens personopplysninger utleveres som svar på en slik anmodning.
255 kan bestride anmodninger som selskapet har rimelig grunn til å anse som ulovlige eller overdrevne, der det er hensiktsmessig.
28Ingen salg av Kundens personopplysninger
255 erverver ikke eierskap til Kundens personopplysninger bare ved å behandle dem gjennom Tjenestene.
255 vil ikke selge Kundens personopplysninger mot økonomisk vederlag mens selskapet opptrer som Kundens Databehandler eller Tjenesteleverandør.
Enhver selvstendig behandling som 255 utfører som Behandlingsansvarlig, reguleres av vår personvernerklæring og Gjeldende personvernlovgivning.
29Eierskap til data
Mellom Kunden og 255 beholder Kunden alle rettigheter Kunden har til Kundedata.
Denne DPA-en overfører ikke eierskap til Kundedata til 255.
Kunden gir 255 bare de rettighetene som med rimelighet er nødvendige for å behandle Kundedata for å levere, sikre, vedlikeholde og støtte Tjenestene og oppfylle gjeldende rettslige forpliktelser.
30Konfidensiell forretningsinformasjon
Kundedata kan inneholde konfidensiell forretningsinformasjon i tillegg til Personopplysninger.
255 vil håndtere slik informasjon i samsvar med gjeldende konfidensialitetsforpliktelser i Avtalen.
31Ansvar
Hver parts ansvar som følger av eller er knyttet til denne DPA-en, er underlagt de gjeldende ansvarsbegrensningene og ansvarsfraskrivelsene i Avtalen, unntatt i den grad slike begrensninger er forbudt etter Gjeldende personvernlovgivning.
32Varighet og opphør
Denne DPA-en trer i kraft når den får anvendelse på behandling i henhold til en Avtale mellom Kunden og 255.
Den forblir i kraft så lenge 255 behandler Kundens personopplysninger som er underlagt DPA-en.
Bestemmelser som etter sin art bør gjelde etter opphør, forblir i kraft så lenge det er nødvendig for å oppfylle gjeldende rettslige eller kontraktsmessige forpliktelser.
33Rangordning
Dersom det er motstrid når det gjelder databeskyttelse mellom:
- gjeldende ufravikelig lov;
- lovpålagte overføringsmekanismer;
- denne DPA-en; og
- Avtalen,
har kravet med høyest prioritet forrang i den grad motstriden gjelder.
34Endringer i denne DPA-en
255 kan oppdatere denne DPA-en for å gjenspeile endringer i:
- Gjeldende lov
- Regulatoriske krav
- Tjenester
- Sikkerhetspraksis
- Behandlingsaktiviteter
- Ordninger med Underdatabehandlere
Vesentlige endringer som påvirker Kundens rettigheter knyttet til databeskyttelse, vil bli kommunisert der gjeldende lov eller kontraktsmessige forpliktelser krever det.
Datoen for «Sist oppdatert» vil gjenspeile den siste revisjonen.
35Kontakt
Spørsmål om denne DPA-en, personvern, sikkerhet eller databehandling kan rettes til:
255 Advertising Agency & Marketing LLC
Registrert kontor
400 E Royal Lane, Suite 104
Irving, TX 75039
USA
E-post for personvern og kundestøtte
Nettsted
Støttesenter
Bilag 1 – Nærmere opplysninger om behandlingen
For DPA-en anbefaler jeg at det tas inn et formelt bilag til slutt:
Punkt
Detaljer
Behandlingsansvarlig / Virksomhet
Den aktuelle kunden av 255
Databehandler / Tjenesteleverandør
255 Advertising Agency & Marketing LLC
Behandlingens gjenstand
Behandling som er nødvendig for å levere de avtalte 255-tjenestene
Varighet
Varigheten av den aktuelle Avtalen pluss tillatt/påkrevd oppbevaring
Formål
Å levere, sikre, vedlikeholde, støtte og forbedre avtalte Tjenester
Registrerte
Kunder, leads, kontakter, ansatte, brukere, besøkende på nettsteder, deltakere i avtaler og andre personer hvis data Kunden sender inn
Personopplysninger
Kontaktopplysninger, CRM-data, kommunikasjon, avtaler, skjemaer, kontoidentifikatorer, samtykkeopplysninger, tekniske data og andre opplysninger som Kunden sender inn
Sensitive data
Bare der dette uttrykkelig støttes, er godkjent og er rettslig tillatt
Behandlingsoperasjoner
Innsamling, lagring, organisering, gjenfinning, overføring, kommunikasjon, automatisering, endring, eksport og sletting
Hyppighet
Kontinuerlig eller slik Kunden initierer/konfigurerer
Oppbevaring
I Tjenestens løpetid og gjeldende oppbevaringsperiode
Bilag 2 – Tekniske og organisatoriske tiltak
Vi skal ikke føre opp sikkerhetssertifiseringer som ikke finnes. Vi skriver bare det 255 faktisk kan dokumentere.
Kategorier som må dokumenteres:
Tilgangskontroll
Rollebasert tilgang, kontoautentisering, administrative tilgangskontroller og begrensning av tilgang basert på operasjonelt behov der dette er implementert.
Databeskyttelse
Egnet beskyttelse av data under overføring og ved lagring, basert på arkitekturen og tjenestene som brukes.
Infrastruktursikkerhet
Sikkerhetstiltak for hosting, nettverk, infrastruktur og miljø som leveres direkte av 255 og aktuelle infrastrukturleverandører.
Applikasjonssikkerhet
Sikker utvikling, håndtering av avhengigheter, utbedring av sårbarheter og praksis for tilgang til produksjonsmiljøer der dette er implementert.
Logging og overvåking
Egnet operasjonell logging og sikkerhetslogging og -overvåking.
Sikkerhetskopiering og gjenoppretting
Prosedyrer for sikkerhetskopiering og gjenoppretting som er tilpasset Tjenestene.
Hendelseshåndtering
Prosesser for å undersøke, begrense, utbedre og kommunisere aktuelle sikkerhetshendelser.
Leverandørstyring
Rimelig vurdering og kontraktsmessige kontroller for Underdatabehandlere som håndterer Kundens personopplysninger.
Personellsikkerhet
Taushetsplikt og tilgangsbegrensninger for personell med tilgang til Kundens personopplysninger.