1Definitioner
I detta DPA gäller följande:
”Tillämplig dataskyddslagstiftning” avser integritets- och dataskyddslagar som är tillämpliga på behandlingen av Personuppgifter enligt Avtalet.
”Personuppgiftsansvarig” avser den person eller organisation som fastställer ändamålen med och medlen för behandlingen av Personuppgifter, eller motsvarande begrepp enligt tillämplig lag.
”Personuppgiftsbiträde” avser en person eller organisation som behandlar Personuppgifter för en Personuppgiftsansvarigs räkning, eller motsvarande begrepp enligt tillämplig lag.
”Företag” (Business) och ”Tjänsteleverantör” (Service Provider) har de betydelser som anges i tillämpliga delstatliga integritetslagar i USA, där så är relevant.
”Kunddata” avser data som skickas till, lagras i, överförs via eller på annat sätt behandlas av Tjänsterna för Kundens räkning.
”Personuppgifter” avser information som rör en identifierad eller identifierbar fysisk person, eller annan information som definieras som personlig information, personuppgifter eller motsvarande begrepp enligt Tillämplig dataskyddslagstiftning.
”Behandling” avser varje åtgärd som vidtas med Personuppgifter, inklusive insamling, registrering, organisering, lagring, åtkomst, ändring, hämtning, användning, överföring, utlämnande, begränsning, radering eller förstöring av Personuppgifter.
”Registrerad” avser den fysiska person som Personuppgifterna avser.
”Underbiträde” avser en tredje part som anlitas av 255 för att behandla Personuppgifter för Kundens räkning i samband med Tjänsterna.
”Personuppgiftsincident” avser en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring av, obehörigt utlämnande av eller obehörig åtkomst till Personuppgifter som behandlas enligt detta DPA, enligt definitionen i Tillämplig dataskyddslagstiftning.
2Parternas roller
Kunden och 255 bekräftar att deras respektive roller avseende integritet beror på det sammanhang i vilket Personuppgifter behandlas.
För Personuppgifter som Kunden skickar till eller behandlar via Tjänsterna för sina egna affärsändamål gäller följande:
- Kunden agerar i regel som Personuppgiftsansvarig eller Företag.
- 255 agerar i regel som Personuppgiftsbiträde eller Tjänsteleverantör för Kundens räkning.
Kunden fastställer ändamålen med behandlingen av Kundens personuppgifter och ansvarar för att dess instruktioner följer Tillämplig dataskyddslagstiftning.
255 behandlar sådana Personuppgifter enligt Kundens dokumenterade instruktioner, inklusive i den utsträckning som krävs för att tillhandahålla Tjänsterna enligt Avtalet och detta DPA.
255 kan separat agera som självständig Personuppgiftsansvarig för viss information som behandlas för 255:s egna legitima affärsändamål, såsom kontoadministration, direkta kundrelationer, säkerhet, fakturering, förebyggande av bedrägeri och efterlevnad av lagar. Sådan behandling regleras av 255:s integritetspolicy och tillämplig lag.
3Kundens instruktioner
Kunden instruerar 255 att behandla Personuppgifter i den utsträckning som skäligen krävs för att:
- Tillhandahålla Tjänsterna
- Driva 255 Business Platform
- Upprätthålla Kundens konton
- Hysa och lagra Kunddata
- Tillhandahålla CRM-funktionalitet
- Möjliggöra kundkommunikation
- Tillhandahålla funktioner för schemaläggning och bokning
- Utföra konfigurerade automationer
- Tillhandahålla integrationer som Kunden begär
- Tillhandahålla teknisk support och kundsupport
- Upprätthålla säkerheten
- Förhindra bedrägeri och missbruk
- Felsöka tekniska problem
- Fullgöra skyldigheter enligt Avtalet
- Följa tillämpliga rättsliga skyldigheter
Ytterligare dokumenterade instruktioner kan avtalas mellan Kunden och 255.
Om 255 har skälig anledning att tro att en instruktion från Kunden strider mot Tillämplig dataskyddslagstiftning kan 255 meddela Kunden och, där det är rättsligt lämpligt, tillfälligt avbryta den berörda behandlingen tills frågan har lösts.
4Kundens ansvar
Kunden ansvarar för att dess insamling och behandling av Personuppgifter via Tjänsterna följer Tillämplig dataskyddslagstiftning.
Kunden intygar och garanterar, i tillämpliga delar, att den:
- Har lämplig behörighet att tillhandahålla Personuppgifter till 255
- Har lämnat den integritetsinformation som krävs enligt lag
- Har inhämtat det samtycke som krävs enligt lag
- Har en lämplig rättslig grund för behandlingen
- Följer tillämpliga lagar om marknadsföring och kommunikation
- Respekterar tillämpliga begäranden om avregistrering
- För lämpliga register över samtycke där så krävs
- Lämnar lagliga instruktioner för behandlingen
- Inte instruerar 255 att behandla Personuppgifter olagligt
Kunden ansvarar för att avgöra om Tjänsterna är lämpliga med hänsyn till Kundens särskilda rättsliga, regulatoriska och branschspecifika krav.
5Uppgifter om behandlingen
Behandlingens art och omfattning beror på de Tjänster som Kunden väljer och konfigurerar.
Föremål för behandlingen
Behandling av Personuppgifter som är nödvändig för att tillhandahålla de Tjänster som Kunden begär.
Varaktighet
Under Avtalets löptid och under eventuell ytterligare period då 255 har rätt eller är skyldigt enligt lag att lagra Personuppgifter.
Behandlingens art
Behandlingen kan omfatta:
- Insamling
- Mottagande
- Registrering
- Organisering
- Lagring
- Hämtning
- Läsning
- Användning
- Överföring
- Kommunikation
- Synkronisering
- Analys
- Automation
- Ändring
- Export
- Begränsning
- Radering
beroende på vilka Tjänster som används.
6Kategorier av registrerade
Beroende på Kundens användning av Tjänsterna kan de Registrerade omfatta:
- Kundens kunder
- Potentiella kunder
- Leads
- Kontakter
- Besökare på webbplatser
- Deltagare i bokningar
- Anställda
- Uppdragstagare
- Behöriga användare
- Företagsrepresentanter
- Mottagare av kommunikation
- Andra personer vars Personuppgifter Kunden lagligen behandlar via Tjänsterna
7Kategorier av personuppgifter
Beroende på vilka Tjänster som används och Kundens konfiguration kan Personuppgifterna omfatta:
- Namn
- E-postadresser
- Telefonnummer
- Företagsinformation
- Kontaktuppgifter
- CRM-poster
- Information om leads
- Information om affärsmöjligheter
- Bokningsinformation
- Kommunikationshistorik
- SMS- och meddelandedata
- E-postkommunikation
- Inskickade formulär
- Anteckningar
- Taggar
- Uppgifter
- Kundinteraktioner
- Kontoidentifierare
- Enhetsinformation och teknisk information
- IP-relaterad information
- Transaktionsrelaterad information
- Marknadsföringsinställningar
- Register över samtycke
- Andra Personuppgifter som Kunden tillhandahåller
255 kräver inte att Kunden tillhandahåller kategorier av Personuppgifter som är onödiga för Tjänsterna.
8Känsliga personuppgifter
Kunden får inte tillhandahålla känsliga eller särskilt skyddade Personuppgifter, såvida inte:
- de tillämpliga Tjänsterna är utformade och godkända för att behandla sådan information;
- Kunden har en giltig rättslig grund för att göra det;
- alla erforderliga skyddsåtgärder, all erforderlig information, alla erforderliga avtal och samtycken finns på plats; och
- sådan behandling följer Avtalet och Tillämplig dataskyddslagstiftning.
Kunden ansvarar för att avgöra om sektorsspecifika eller skärpta krav gäller för dess data.
Användning av Tjänsterna innebär inte i sig efterlevnad av HIPAA, GLBA, FERPA eller något annat sektorsspecifikt regelverk.
9Sekretess
255 säkerställer att personal som är behörig att behandla Kundens personuppgifter omfattas av lämpliga sekretesskyldigheter.
Åtkomst till Personuppgifter begränsas till personal och tjänsteleverantörer som behöver åtkomst för legitima ändamål kopplade till att tillhandahålla, underhålla, säkra eller ge support för Tjänsterna.
10Säkerhetsåtgärder
255 upprätthåller rimliga och lämpliga tekniska och organisatoriska åtgärder som är utformade för att skydda Kundens personuppgifter mot obehörig eller olaglig åtkomst, utlämnande, ändring, förstöring eller förlust.
Beroende på Tjänsternas art och de system som berörs kan skyddsåtgärderna omfatta åtgärder avseende:
- Åtkomstkontroller
- Autentisering
- Behörighetsstyrning
- Hantering av inloggningsuppgifter
- Nätverkssäkerhet
- Applikationssäkerhet
- Kryptering där så är lämpligt
- Loggning och övervakning
- Infrastruktursäkerhet
- Säkerhetskopiering och återställning
- Sårbarhetshantering
- Säkerhetsuppdateringar
- Incidenthantering
- Åtkomstkontroller för anställda
- Leverantörshantering
- Kontinuitet i verksamheten
Säkerhetsåtgärderna kan utvecklas över tid i takt med att teknik, hot och Tjänster förändras.
255 kommer inte att väsentligt försämra Tjänsternas övergripande säkerhet under den tillämpliga prenumerationsperioden utan lämplig motivering.
11Åtkomst till personuppgifter
255 begränsar åtkomsten till Kundens personuppgifter till personer och Underbiträden som skäligen behöver åtkomst för att:
- Tillhandahålla Tjänsterna
- Underhålla infrastrukturen
- Tillhandahålla support
- Utreda tekniska problem
- Upprätthålla säkerheten
- Förhindra missbruk
- Följa rättsliga skyldigheter
Åtkomsten omfattas av lämpliga krav på behörighet och sekretess.
12Underbiträden
Kunden ger 255 ett generellt tillstånd att anlita Underbiträden i den utsträckning som krävs för att tillhandahålla Tjänsterna.
Underbiträden kan tillhandahålla tjänster såsom:
- Molnhosting
- Infrastruktur
- Databastjänster
- Kommunikation
- Leverans av e-post
- Leverans av SMS
- Betalningshantering
- Analys
- Säkerhet
- Kundsupport
- Autentisering
- Integrationer
- Andra tekniska tjänster
255 kommer att kräva att Underbiträden som behandlar Kundens personuppgifter för 255:s räkning omfattas av dataskyddsskyldigheter som är lämpliga med hänsyn till behandlingens art.
255 förblir ansvarigt för sina skyldigheter enligt detta DPA avseende behandling som utförs av dess Underbiträden i den utsträckning som Tillämplig dataskyddslagstiftning kräver.
13Förteckning över underbiträden
255 kan upprätthålla en aktuell förteckning över tillämpliga Underbiträden på:
www.255adv.com/legal/subprocessors
Förteckningen bör, där så är lämpligt, ange:
- Underbiträdets namn
- Ändamål
- Typ av tjänst
- Plats eller behandlingsregion där så är relevant
255 bör inte förteckna en leverantör som Underbiträde om inte leverantören faktiskt behandlar Kundens personuppgifter för 255:s räkning.
14Ändringar av underbiträden
Där Tillämplig dataskyddslagstiftning eller avtalsåtaganden kräver det lämnar 255 lämpligt meddelande om väsentliga ändringar som rör Underbiträden.
Om Kunden har en rättsligt erkänd rätt att invända mot ett nytt Underbiträde kan Kunden framföra en skälig dataskyddsrelaterad invändning genom att kontakta:
support@255adv.com
Parterna kommer att arbeta i god tro för att hantera legitima farhågor.
15Tredjepartsintegrationer som Kunden väljer
Tjänsterna kan göra det möjligt för Kunden att ansluta applikationer, plattformar eller tjänster från tredje part.
När Kunden självständigt väljer att aktivera en tredjepartsintegration instruerar Kunden 255 att överföra eller tillgängliggöra relevanta Personuppgifter i den utsträckning som krävs för att tillhandahålla integrationen.
Fristående tredjepartstjänster kan behandla information enligt sina egna villkor och integritetspolicyer.
Kunden ansvarar för att utvärdera de tredjepartstjänster som Kunden väljer att ansluta.
16Begäranden från registrerade
Med beaktande av behandlingens art och den funktionalitet som finns tillgänglig i Tjänsterna ger 255 Kunden skäligt bistånd med att besvara tillämpliga begäranden från Registrerade där Tillämplig dataskyddslagstiftning kräver det.
Sådana begäranden kan avse:
- Tillgång
- Rättelse
- Radering
- Dataportabilitet
- Begränsning
- Invändning
- Rätt att avböja (opt-out)
Om en Registrerad kontaktar 255 direkt angående Personuppgifter som behandlas för Kundens räkning kan 255 hänvisa begäran till Kunden, såvida inte tillämplig lag kräver att 255 svarar direkt.
Kunden förblir ansvarig för att avgöra hur begäranden som rör Personuppgifter som Kunden kontrollerar ska besvaras.
17Bistånd med efterlevnad
Med beaktande av behandlingens art och den information som skäligen finns tillgänglig för 255 ger 255 Kunden skäligt bistånd med tillämpliga dataskyddsskyldigheter där det krävs enligt lag.
Detta kan omfatta bistånd avseende:
- Säkerhet
- Personuppgiftsincidenter
- Begäranden från Registrerade
- Konsekvensbedömningar avseende dataskydd
- Samråd med tillsynsmyndigheter
Bistånd utöver Tjänsternas standardfunktionalitet kan medföra skäliga avgifter där Avtalet och tillämplig lag tillåter det.
18Personuppgiftsincident
255 upprätthåller rutiner som är utformade för att identifiera och hantera säkerhetsincidenter.
Om 255 får kännedom om en Personuppgiftsincident som påverkar Kundens personuppgifter och som enligt Tillämplig dataskyddslagstiftning ska anmälas till Kunden, kommer 255 att underrätta Kunden utan onödigt dröjsmål.
Där det skäligen finns tillgängligt kan underrättelsen innehålla information om:
- Incidentens art
- Kategorier av berörd information
- Möjliga konsekvenser
- Vidtagna eller föreslagna åtgärder
- Relevanta kontaktuppgifter
255 kan lämna information i omgångar i takt med att ytterligare detaljer blir tillgängliga.
En underrättelse om en säkerhetsincident utgör inte ett erkännande av fel eller ansvar.
Kunden ansvarar för att avgöra om underrättelse till enskilda personer, tillsynsmyndigheter, kunder eller andra parter krävs enligt lag, såvida inte tillämplig lag föreskriver annat.
19Återlämnande och radering av data
Vid uppsägning eller upphörande av de tillämpliga Tjänsterna kan Kunden förlora åtkomsten till Kundens personuppgifter.
Där det är möjligt bör Kunden exportera den information som Kunden vill behålla innan kontot avslutas.
Vid uppsägning och med förbehåll för tillämplig lag kommer 255 att radera eller återlämna Kundens personuppgifter i enlighet med:
- Avtalet
- Tjänsternas funktionalitet
- Tillämpliga lagringsperioder
- Rättsliga skyldigheter
- Säkerhetskrav
- Rutiner för säkerhetskopiering
255 kan spara Personuppgifter där tillämplig lag kräver eller tillåter det.
Data i säkerhetskopior kan finnas kvar tills de raderas eller skrivs över i enlighet med tillämpliga processer för lagring av säkerhetskopior.
20Dataportabilitet och export
Där Tjänsterna stöder det kan Kunden exportera viss Kunddata med hjälp av tillgänglig funktionalitet.
Kunden ansvarar för att genomföra nödvändiga exporter innan kontot avslutas.
255 garanterar inte att varje kategori av information kan exporteras i alla format, såvida det inte uttryckligen krävs enligt tillämplig lag eller avtal.
21Internationella överföringar av data
Kunden bekräftar att 255 och dess godkända Underbiträden kan behandla Personuppgifter i USA och andra jurisdiktioner.
Där en internationell överföring kräver en rättsligt erkänd överföringsmekanism kommer parterna att använda en lämplig mekanism enligt vad Tillämplig dataskyddslagstiftning kräver.
22Överföringar från Europeiska ekonomiska samarbetsområdet
Där Kundens personuppgifter som omfattas av GDPR (dataskyddsförordningen) överförs från Europeiska ekonomiska samarbetsområdet till ett land som inte omfattas av ett tillämpligt beslut om adekvat skyddsnivå kommer parterna att använda en lämplig överföringsmekanism där så krävs.
Detta kan omfatta Europeiska kommissionens tillämpliga standardavtalsklausuler (”SCC”).
Där SCC krävs enligt lag kommer de att införlivas i detta DPA eller undertecknas separat, beroende på vad som är tillämpligt.
Parterna ska samarbeta i skälig omfattning avseende kompletterande åtgärder som krävs enligt tillämplig lag.
23Överföringar från Storbritannien
Där Personuppgifter som omfattas av brittisk dataskyddslagstiftning överförs internationellt och en lämplig överföringsmekanism krävs kommer parterna att använda en tillämplig rättsligt erkänd mekanism.
Detta kan omfatta Storbritanniens tillägg för internationell dataöverföring (UK International Data Transfer Addendum) eller en annan godkänd överföringsmekanism, i tillämpliga fall.
24Delstatliga integritetslagar i USA
Där 255 behandlar Personuppgifter för Kundens räkning och tillämplig delstatlig integritetslag i USA betraktar Kunden som Företag eller Personuppgiftsansvarig och 255 som Tjänsteleverantör, Uppdragstagare eller Personuppgiftsbiträde, kommer 255 att behandla sådana Personuppgifter i enlighet med tillämpliga avtalskrav.
I tillämpliga fall kommer 255 inte att:
- Sälja Kundens personuppgifter mot ekonomisk ersättning
- Lagra, använda eller lämna ut Kundens personuppgifter utanför de ändamål som tillåts enligt Avtalet och tillämplig lag
- Kombinera Kundens personuppgifter med annan information där detta är förbjudet enligt tillämplig lag
255 kommer att behandla Kundens personuppgifter för de begränsade och angivna ändamål som beskrivs i Avtalet, detta DPA och Kundens dokumenterade instruktioner.
25Integritetskrav i Kalifornien
Där California Consumer Privacy Act, i dess lydelse enligt California Privacy Rights Act (”CCPA/CPRA”), är tillämplig på behandling enligt detta DPA avser parterna att 255 ska agera som Tjänsteleverantör eller Uppdragstagare, beroende på vad som är tillämpligt, för Kundens personliga information som behandlas för Kundens räkning.
255 kommer endast att behandla sådan personlig information för de begränsade och angivna affärsändamål som tillåts enligt Avtalet, detta DPA och tillämplig lag.
255 kommer inte att sälja eller dela Kundens personliga information, i den betydelse som dessa begrepp har enligt tillämplig lag i Kalifornien, utom i den mån det tillåts enligt lag och Kundens dokumenterade instruktioner.
255 kommer att meddela Kunden om 255 fastställer att det inte längre kan uppfylla tillämpliga skyldigheter enligt detta avsnitt, där lagen kräver det.
Kunden kan vidta rimliga och lämpliga åtgärder som tillåts enligt tillämplig lag för att bidra till att säkerställa att 255 behandlar Kundens personliga information i enlighet med Kundens skyldigheter.
26Granskningar och information om efterlevnad
På skälig begäran och där Tillämplig dataskyddslagstiftning kräver det kommer 255 att tillhandahålla den information som skäligen krävs för att visa att 255 fullgör sina skyldigheter som Personuppgiftsbiträde eller Tjänsteleverantör.
Där det krävs enligt lag kan 255 tillåta skäliga granskningar med förbehåll för lämpliga:
- Sekretesskydd
- Säkerhetskrav
- Begränsningar av omfattningen
- Förhandsbesked
- Krav på schemaläggning
- Skydd för andra kunder
- Skydd för företagsintern information
Parterna bör i första hand använda tillgänglig dokumentation, certifieringar, rapporter eller frågeformulär där dessa skäligen uppfyller det tillämpliga kravet.
27Begäranden från myndigheter och rättsliga begäranden
255 kan lämna ut Personuppgifter där det krävs enligt tillämplig lag, domstolsbeslut, stämning (subpoena) eller annan rättsligt bindande begäran från myndighet.
Där det är rättsligt tillåtet och lämpligt kan 255 meddela Kunden innan Kundens personuppgifter lämnas ut till följd av en sådan begäran.
255 kan, där det är lämpligt, bestrida begäranden som 255 har skälig anledning att anse vara olagliga eller alltför långtgående.
28Ingen försäljning av Kundens personuppgifter
255 förvärvar inte äganderätt till Kundens personuppgifter enbart genom att behandla dem via Tjänsterna.
255 kommer inte att sälja Kundens personuppgifter mot ekonomisk ersättning när 255 agerar som Kundens Personuppgiftsbiträde eller Tjänsteleverantör.
All självständig behandling som 255 utför som Personuppgiftsansvarig regleras av vår integritetspolicy och Tillämplig dataskyddslagstiftning.
29Äganderätt till data
Mellan Kunden och 255 behåller Kunden alla rättigheter som Kunden har till Kunddata.
Detta DPA överför inte äganderätten till Kunddata till 255.
Kunden ger 255 endast de rättigheter som skäligen krävs för att behandla Kunddata i syfte att tillhandahålla, säkra, underhålla och ge support för Tjänsterna samt fullgöra tillämpliga rättsliga skyldigheter.
30Konfidentiell affärsinformation
Kunddata kan, utöver Personuppgifter, innehålla konfidentiell affärsinformation.
255 hanterar sådan information i enlighet med de tillämpliga sekretesskyldigheter som anges i Avtalet.
31Ansvar
Varje parts ansvar som uppstår till följd av eller i samband med detta DPA omfattas av de tillämpliga ansvarsbegränsningar och ansvarsfriskrivningar som anges i Avtalet, utom i den utsträckning sådana begränsningar är förbjudna enligt Tillämplig dataskyddslagstiftning.
32Giltighetstid och uppsägning
Detta DPA träder i kraft när det blir tillämpligt på behandling enligt ett Avtal mellan Kunden och 255.
Det förblir i kraft så länge 255 behandlar Kundens personuppgifter som omfattas av detta DPA.
Bestämmelser som till sin natur bör gälla efter uppsägning förblir i kraft så länge det är nödvändigt för att fullgöra tillämpliga rättsliga eller avtalsmässiga skyldigheter.
33Företrädesordning
Om det föreligger en konflikt avseende dataskydd mellan:
- tillämplig tvingande lag;
- lagstadgade överföringsmekanismer;
- detta DPA; och
- Avtalet,
ska kravet med högre prioritet ha företräde i den utsträckning som konflikten avser.
34Ändringar av detta DPA
255 kan uppdatera detta DPA för att återspegla förändringar i:
- Tillämplig lag
- Regulatoriska krav
- Tjänster
- Säkerhetsrutiner
- Behandlingsaktiviteter
- Arrangemang med Underbiträden
Väsentliga ändringar som påverkar Kundens dataskyddsrättigheter kommer att meddelas där tillämplig lag eller avtalsåtaganden kräver det.
Datumet för senaste uppdatering återspeglar den senaste revideringen.
35Kontakt
Frågor om detta DPA, integritet, säkerhet eller personuppgiftsbehandling kan riktas till:
255 Advertising Agency & Marketing LLC
Registrerad adress
400 E Royal Lane, Suite 104
Irving, TX 75039
USA
E-post för integritet och support
Webbplats
Supportcenter
Bilaga 1 — Uppgifter om behandlingen
I DPA:t rekommenderar jag att det finns en formell bilaga i slutet:
Punkt
Uppgifter
Personuppgiftsansvarig / Företag
Den tillämpliga Kunden till 255
Personuppgiftsbiträde / Tjänsteleverantör
255 Advertising Agency & Marketing LLC
Föremål för behandlingen
Behandling som är nödvändig för att tillhandahålla de avtalade Tjänsterna från 255
Varaktighet
Det tillämpliga Avtalets löptid plus tillåten/erforderlig lagring
Ändamål
Att tillhandahålla, säkra, underhålla, ge support för och förbättra avtalade Tjänster
Registrerade
Kunder, leads, kontakter, anställda, användare, besökare på webbplatser, deltagare i bokningar och andra personer vars uppgifter Kunden tillhandahåller
Personuppgifter
Kontaktuppgifter, CRM-data, kommunikation, bokningar, formulär, kontoidentifierare, information om samtycke, tekniska data och annan information som Kunden tillhandahåller
Känsliga uppgifter
Endast där detta uttryckligen stöds, är godkänt och är tillåtet enligt lag
Behandlingsåtgärder
Insamling, lagring, organisering, hämtning, överföring, kommunikation, automation, ändring, export och radering
Frekvens
Kontinuerligt eller enligt vad Kunden initierar/konfigurerar
Lagring
Under Tjänstens löptid och tillämplig lagringsperiod
Bilaga 2 — Tekniska och organisatoriska åtgärder
Vi anger inga säkerhetscertifieringar som inte finns. Vi skriver endast det som 255 faktiskt kan styrka.
Kategorier som ska dokumenteras:
Åtkomstkontroll
Rollbaserad åtkomst, kontoautentisering, administrativa åtkomstkontroller och begränsning av åtkomst utifrån verksamhetsbehov, där detta har införts.
Dataskydd
Lämpligt skydd av data under överföring och i vila, utifrån den arkitektur och de tjänster som används.
Infrastruktursäkerhet
Säkerhetsåtgärder för hosting, nätverk, infrastruktur och miljöer som tillhandahålls direkt av 255 och tillämpliga infrastrukturleverantörer.
Applikationssäkerhet
Rutiner för säker utveckling, hantering av beroenden, åtgärdande av sårbarheter och åtkomst till produktionsmiljön, där dessa har införts.
Loggning och övervakning
Lämplig drift- och säkerhetsloggning samt övervakning.
Säkerhetskopiering och återställning
Rutiner för säkerhetskopiering och återställning som är lämpliga för Tjänsterna.
Incidenthantering
Processer för att utreda, begränsa, åtgärda och kommunicera tillämpliga säkerhetsincidenter.
Leverantörshantering
Skälig bedömning och avtalsmässiga kontroller av Underbiträden som hanterar Kundens personuppgifter.
Personalsäkerhet
Sekretess- och åtkomstbegränsningar för personal med åtkomst till Kundens personuppgifter.