Informativ översättning. Vid avvikelser gäller den ursprungliga engelska versionen, under irisk jurisdiktion (Cuandeoro Limited, CRO 813028).
Veripass personuppgiftsbiträdesavtal
Utgör en del av användarvillkoren.
1. Parter och roller. Kunden är personuppgiftsansvarig. Cuandeoro Limited t/a Veripass är personuppgiftsbiträde för de personuppgifter som finns i Kundens dokument och kontoinnehåll (”Kundens Personuppgifter”).
2. Föremål, art och ändamål. Lagring, extrahering, analys och publicering av produkt- och batteripassdata, uteslutande för att tillhandahålla Tjänsten.
3. Varaktighet. Prenumerationens löptid plus raderingsperioden i punkt 11.
4. Kategorier av registrerade. Kundens personal och användare; kontaktpersoner hos Kundens leverantörer, kunder och laboratorier som nämns i uppladdade dokument.
5. Kategorier av uppgifter. Namn, affärskontaktuppgifter, befattningar, signaturer och identifierare som förekommer i dokument; användarkontouppgifter. Inga särskilda kategorier av uppgifter förväntas. Kunden ska inte ladda upp sådana.
5A. Kundens skyldigheter. Kunden säkerställer att den har rättslig grund för behandlingen och ger lagliga instruktioner, informerar de registrerade i enlighet med kraven och laddar inte upp särskilda kategorier av uppgifter.
6. Personuppgiftsbiträdets skyldigheter. Veripass ska:
- (a) behandla uppgifter endast på Kundens dokumenterade instruktioner, även vad gäller överföringar till tredjeland, om inte unionsrätten eller medlemsstaternas nationella rätt kräver annat, och i så fall informerar Veripass Kunden om det rättsliga kravet innan behandlingen, om inte sådan information är förbjuden i denna rätt med hänvisning till ett viktigt allmänintresse;
- (b) säkerställa att personer som är behöriga att behandla uppgifterna har åtagit sig att iaktta sekretess;
- (c) genomföra de tekniska och organisatoriska åtgärderna i bilaga 2;
- (d) bistå Kunden med begäranden från registrerade och med artiklarna 32–36 GDPR, med beaktande av behandlingens art;
- (e) tillhandahålla den information som behövs för att visa att skyldigheterna efterlevs;
- (f) omedelbart informera Kunden om en instruktion strider mot dataskyddslagstiftningen.
7. Underbiträden.
- Kunden ger ett generellt godkännande för de underbiträden som anges i bilaga 3.
- Veripass underrättar om nya underbiträden via e-post 30 dagar i förväg. Kunden får invända av rimliga skäl och, om ingen lösning överenskoms, säga upp avtalet utan påföljd.
- Veripass ålägger varje underbiträde likvärdiga dataskyddsskyldigheter och förblir ansvarigt för dem.
8. Internationella överföringar. Kundens Personuppgifter kan komma att behandlas i USA av Veripass hostingleverantör (Cloud Clusters, Inc.) och Google (Gemini API, betalnivå), med stöd av standardavtalsklausulerna (kommissionens beslut (EU) 2021/914) och, i förekommande fall, det transatlantiska dataskyddsramverket EU–USA (Data Privacy Framework), med kompletterande åtgärder (kryptering vid överföring och i vila). Demofiler raderas efter 24 timmar.
9. AI-behandling. Dokument behandlas av de AI-leverantörer som anges i bilaga 3 på villkor som inte tillåter dem att använda Kunddata för att träna sina modeller. Vi använder inte dina dokument eller data för att träna någon AI-modell.
10. Personuppgiftsincidenter. Veripass underrättar Kunden utan onödigt dröjsmål och i vilket fall som helst inom 48 timmar efter att ha fått vetskap om en incident som påverkar Kundens Personuppgifter, med den information som krävs enligt art. 33(3) GDPR så snart den blir tillgänglig.
11. Återlämnande och radering. Enligt Kundens val återlämnar eller raderar Veripass Kundens Personuppgifter. Inom 60 dagar efter uppsägning kan Kunden exportera sina data. Därefter raderar Veripass Kundens Personuppgifter inom 30 dagar, inbegripet säkerhetskopior inom deras rotationscykel (högst 35 dagar), om inte unionsrätten eller medlemsstaternas nationella rätt kräver lagring.
12. Revisioner. Veripass möjliggör och bidrar till revisioner, inbegripet inspektioner, som genomförs av Kunden eller av en oberoende revisor som Kunden bemyndigat och som är bunden av sekretess. Revisioner äger rum en gång per 12 månader med 30 dagars varsel (oftare efter en incident eller när en tillsynsmyndighet kräver det), under kontorstid och på Kundens bekostnad. Ett skriftligt frågeformulär går först när det räcker.
13. Ansvar. Med förbehåll för begränsningarna i användarvillkoren, utom där GDPR inte tillåter begränsning.
14. Företräde. Vid motstrid har detta DPA företräde framför användarvillkoren i dataskyddsfrågor.
Bilaga 1 · Uppgifter om behandlingen
Som i punkterna 2 till 5.
Bilaga 2 · Tekniska och organisatoriska åtgärder
- TLS 1.2 eller högre vid överföring; AES-256-kryptering i vila.
- Rollbaserad åtkomst, MFA för personal, minsta möjliga behörighet.
- Kunddata är logiskt åtskilda per konto.
- Granskningslogg över valideringar och publiceringar.
- Dagliga krypterade säkerhetskopior, 35 dagars rotation.
- Demofiler raderas efter 24 h.
- Patchning av kritiska sårbarheter inom 7 dagar.
- Årlig översyn av dessa åtgärder.
Bilaga 3 · Underbiträden
| Underbiträde | Ändamål | Plats |
|---|---|---|
| Cloud Clusters, Inc. | Hosting av appen och passsidor | USA |
| Google (Gemini API, betalnivå) | Dokumentextrahering | USA |
| Cloud Clusters, Inc. (egen mejlserver, mailcow) | E-post | USA |
Stripe behandlar Veripass egna faktureringsuppgifter; det behandlar inte Kundens Personuppgifter från dokument.