Vejledende oversættelse. I tilfælde af uoverensstemmelse har den oprindelige engelske version forrang, under irsk jurisdiktion (Cuandeoro Limited, CRO 813028).
Veripass databehandleraftale
Udgør en del af servicevilkårene.
1. Parter og roller. Kunden er dataansvarlig. Cuandeoro Limited t/a Veripass er databehandler for personoplysninger i Kundens dokumenter og kontoindhold („Kundens personoplysninger“).
2. Genstand, karakter og formål. Lagring, udtrækning, analyse og udgivelse af produkt- og batteripasdata udelukkende med henblik på at levere Tjenesten.
3. Varighed. Abonnementets løbetid plus sletningsperioden i punkt 11.
4. Kategorier af registrerede. Kundens medarbejdere og brugere; kontaktpersoner hos Kundens leverandører, kunder og laboratorier, som er nævnt i uploadede dokumenter.
5. Kategorier af data. Navne, erhvervskontaktoplysninger, stillingsbetegnelser, underskrifter og identifikatorer, der fremgår af dokumenter; brugerkontodata. Der forventes ingen særlige kategorier af personoplysninger. Kunden vil ikke uploade dem.
5A. Kundens forpligtelser. Kunden sikrer, at den har et lovligt grundlag for behandlingen og giver lovlige instrukser, informerer de registrerede som krævet og ikke uploader særlige kategorier af personoplysninger.
6. Databehandlerens forpligtelser. Veripass skal:
- (a) kun behandle efter Kundens dokumenterede instruks, herunder med hensyn til overførsel til et tredjeland, medmindre EU-retten eller medlemsstaternes nationale ret kræver det, i hvilket tilfælde Veripass underretter Kunden om dette retlige krav inden behandlingen, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsinteresser;
- (b) sikre, at personer, der er autoriseret til at behandle, er underlagt tavshedspligt;
- (c) gennemføre de tekniske og organisatoriske foranstaltninger i bilag 2;
- (d) bistå Kunden med anmodninger fra registrerede og med Arts. 32-36 GDPR under hensyntagen til behandlingens karakter;
- (e) stille de oplysninger til rådighed, der er nødvendige for at påvise overholdelse;
- (f) straks underrette Kunden, hvis en instruks efter Veripass' opfattelse er i strid med databeskyttelseslovgivningen.
7. Underdatabehandlere.
- Kunden giver generel tilladelse til underdatabehandlerne i bilag 3.
- Veripass varsler nye underdatabehandlere pr. e-mail 30 dage forud. Kunden kan gøre rimelig indsigelse og, hvis der ikke aftales en løsning, opsige uden sanktion.
- Veripass pålægger hver underdatabehandler tilsvarende databeskyttelsesforpligtelser og forbliver ansvarlig for dem.
8. Internationale overførsler. Kundens personoplysninger kan blive behandlet i USA af Veripass' hostingudbyder (Cloud Clusters, Inc.) og Google (Gemini API, betalt niveau) på grundlag af standardkontraktbestemmelserne (Kommissionens afgørelse (EU) 2021/914) og, hvor det er relevant, EU-US Data Privacy Framework, med supplerende foranstaltninger (kryptering under transport og i hvile). Demofiler slettes efter 24 timer.
9. AI-behandling. Dokumenter behandles af AI-udbyderne i bilag 3 på vilkår, der ikke tillader dem at bruge Kundens data til at træne deres modeller. Vi bruger ikke Deres dokumenter eller data til at træne nogen AI-model.
10. Brud på persondatasikkerheden. Veripass underretter Kunden uden unødigt ophold og under alle omstændigheder inden for 48 timer efter at være blevet bekendt med et brud, der berører Kundens personoplysninger, med de oplysninger, der kræves i henhold til Art. 33(3) GDPR, efterhånden som de bliver tilgængelige.
11. Tilbagelevering og sletning. Efter Kundens valg tilbageleverer eller sletter Veripass Kundens personoplysninger. Inden for 60 dage efter ophøret kan Kunden eksportere sine data. Derefter sletter Veripass Kundens personoplysninger inden for 30 dage, herunder sikkerhedskopier inden for deres rotationscyklus (højst 35 dage), medmindre EU-retten eller medlemsstaternes nationale ret kræver opbevaring.
12. Revisioner. Veripass giver mulighed for og bidrager til revisioner, herunder inspektioner, foretaget af Kunden eller en uafhængig revisor, som Kunden har bemyndiget, og som er underlagt tavshedspligt. Revisioner finder sted én gang pr. 12 måneder med 30 dages varsel (oftere efter et brud, eller hvor en tilsynsmyndighed kræver det), i normal arbejdstid og for Kundens regning. Et skriftligt spørgeskema går forud, hvor det er tilstrækkeligt.
13. Ansvar. Med forbehold af begrænsningerne i servicevilkårene, medmindre GDPR ikke tillader begrænsning.
14. Forrang. I tilfælde af uoverensstemmelse har denne DPA forrang over vilkårene i databeskyttelsesspørgsmål.
Bilag 1 · Behandlingens detaljer
Som i punkt 2 til 5.
Bilag 2 · Tekniske og organisatoriske foranstaltninger
- TLS 1.2 eller højere under transport; AES-256-kryptering i hvile.
- Rollebaseret adgang, MFA for medarbejdere, mindste privilegium.
- Kundedata er logisk adskilt pr. konto.
- Revisionslog over valideringer og udgivelser.
- Daglige krypterede sikkerhedskopier, 35 dages rotation.
- Demofiler slettes efter 24 h.
- Udbedring af kritiske sårbarheder inden for 7 dage.
- Årlig gennemgang af disse foranstaltninger.
Bilag 3 · Underdatabehandlere
| Underdatabehandler | Formål | Placering |
|---|---|---|
| Cloud Clusters, Inc. | Hosting af app og pasider | USA |
| Google (Gemini API, betalt niveau) | Dokumentudtrækning | USA |
| Cloud Clusters, Inc. (egen mailserver, mailcow) | USA |
Stripe behandler Veripass' egne faktureringsdata; Stripe behandler ikke Kundens personoplysninger fra dokumenter.