Databehandleraftale

1. Parter og anvendelsesområde

Denne databehandleraftale ("DPA'en") er indgået mellem PeakCore LLC, et limited liability company i Wyoming, som driver AIGROW ("vi", "os"), og den virksomhed, der accepterer vores Servicevilkår ("du"). Den er en del af den aftale, der består af Vilkårene og de dokumenter, de nævner ("Aftalen").

Den gælder, hver gang vi behandler Kundens personoplysninger i forbindelse med levering af Tjenesterne til dig. Den gælder automatisk, uden underskrift, fra det øjeblik du første gang giver os sådanne oplysninger. Typiske tilfælde er:

• de virksomhedsoplysninger, konkurrenter og samlede trafiktal fra Google Analytics, som du gemmer på en overvågning;
• et bureaus kundeoplysninger, branding og white label-rapporter;
• de leads, som et bureaus indlejrede checker indsamler fra besøgende på bureauets website;
• data fra Search Console og den nøgle, du tilknytter blogmotoren;
• de beskeder, minder og dokumenter, du giver assistenten, og indholdet i blogmotoren;
• forespørgsler og svar, der passerer gennem vores API;
• de materialer, du sender os til færdigleverede opgaver og pressemeddelelser, såsom kundeanmeldelser, citater og navnene på dine medarbejdere.

Denne DPA gælder kun for erhvervskunder. Den gælder ikke for personoplysninger, som vi behandler som dataansvarlig, såsom dine konto-, betalings- og kontaktoplysninger, som Privatlivspolitikken dækker.

2. Definitioner

Ord, der er defineret i Vilkårene, har samme betydning her. "Dataansvarlig", "databehandler", "registreret", "personoplysninger", "behandling" og "tilsynsmyndighed" har den betydning, de har i GDPR. Desuden gælder:

• Kundens personoplysninger betyder personoplysninger, som vi behandler på dine vegne i forbindelse med levering af Tjenesterne.
• Databeskyttelseslovgivning betyder de love, der gælder for den behandling, og som kan omfatte EU's generelle databeskyttelsesforordning 2016/679 ("GDPR"), GDPR, som den indgår i britisk ret ("UK GDPR"), den britiske Data Protection Act 2018, den schweiziske forbundslov om databeskyttelse ("FADP"), California Consumer Privacy Act og tilsvarende love i andre amerikanske delstater.
• Underdatabehandler betyder en tredjepart, som vi bruger til at behandle Kundens personoplysninger.
• Brud på persondatasikkerheden betyder et sikkerhedsbrud, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til Kundens personoplysninger på systemer, som vi eller vores Underdatabehandlere kontrollerer.
• SCC'er betyder standardkontraktbestemmelserne, der er godkendt ved Europa-Kommissionens gennemførelsesafgørelse 2021/914.
• UK-tillægget betyder det internationale tillæg om dataoverførsel til SCC'erne, udstedt af den britiske Information Commissioner.

3. Roller

Du er dataansvarlig for Kundens personoplysninger, og vi er din databehandler. Hvis du handler for din egen klient, som et bureau gør, er du databehandler, din klient er dataansvarlig, og vi er din underdatabehandler. Du bekræfter, at din klient har bemyndiget dig til at give os disse instrukser, herunder til at udpege vores Underdatabehandlere, og du forbliver vores eneste kontaktpunkt.

Vi er dataansvarlige, ikke databehandlere, for de data, vi skal bruge til at drive vores virksomhed: konto- og betalingsoplysninger, optegnelser over forbrug og omkostninger, sikkerheds- og misbrugslogge samt statistikker, der ikke identificerer nogen. Vi må bruge forbrugsoptegnelser og sådanne statistikker til at drive, sikre, fakturere og forbedre Tjenesterne, men aldrig til at identificere dine registrerede.

USA. Hvor amerikanske delstaters privatlivslove finder anvendelse, optræder vi som din tjenesteudbyder (service provider) eller kontrahent (contractor). Vi sælger eller deler ikke Kundens personoplysninger. Vi opbevarer, bruger eller videregiver dem ikke til andre formål end at levere Tjenesterne i henhold til Aftalen eller uden for vores direkte forretningsforhold til dig, og vi kombinerer dem ikke med personoplysninger fra andre kilder, medmindre disse love tillader det. Vi overholder de forpligtelser, som disse love pålægger os, og giver dig besked, hvis vi ikke længere kan opfylde dem. Du kan da tage rimelige og passende skridt til at stoppe og afhjælpe uautoriseret brug.

4. Behandling efter dine instrukser

Vi behandler kun Kundens personoplysninger efter dine dokumenterede instrukser, herunder med hensyn til internationale overførsler, medmindre loven kræver andet. I så fald informerer vi dig om det retlige krav før behandlingen, medmindre loven forbyder det.

Dine instrukser er denne DPA, Aftalen, de indstillinger, du vælger, og den måde, du bruger Tjenesterne på, samt eventuelle yderligere skriftlige instrukser, som vi accepterer. At vælge en funktion, en model eller en leveringsadresse er en instruks. Når du for eksempel vælger en model i assistenten eller API'et, er det en del af dine instrukser, at dit indhold sendes til modellens udbyder.

Vi giver dig besked, hvis en instruks efter vores opfattelse overtræder Databeskyttelseslovgivningen. Vi er ikke forpligtet til at kontrollere, om dine instrukser er lovlige, og vi kan suspendere den pågældende behandling, indtil du bekræfter eller ændrer instruksen.

Du er ansvarlig for lovligheden af den behandling, du instruerer os i: at have et retsgrundlag, at give de meddelelser og indhente de samtykker, som loven kræver, og at de data, du giver, er korrekte. Tjenesterne er ikke udviklet til særlige kategorier af personoplysninger, straffeattester eller børns data. Giv os ikke sådanne data, medmindre det er nødvendigt for Tjenesten og lovligt.

5. Fortrolighed

Vi giver kun adgang til Kundens personoplysninger til personer, der har brug for den for at levere, supportere eller sikre Tjenesterne, og som er bundet af fortrolighedsforpligtelser eller lovbestemt tavshedspligt.

Hvis en domstol, en myndighed eller en anden tredjepart beder os om Kundens personoplysninger, henviser vi den til dig, hvor vi kan. Vi informerer dig om anmodningen, medmindre loven forbyder det, og vi videregiver kun det, vi er retligt forpligtet til.

6. Sikkerhed

Vi gennemfører tekniske og organisatoriske foranstaltninger, der sikrer et sikkerhedsniveau, som passer til risikoen, som artikel 32 i GDPR kræver, under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og behandlingens karakter, omfang, sammenhæng og formål. De foranstaltninger, der er indført i dag, er anført nedenfor og udgør Bilag II i forbindelse med SCC'erne.

Vi kan ændre disse foranstaltninger i takt med, at teknologi og risici udvikler sig, forudsat at ændringen ikke væsentligt sænker det samlede sikkerhedsniveau. Du er ansvarlig for sikkerheden på din egen konto, dine enheder, API-nøgler og rapportlinks samt for de data, du vælger at uploade. Vores sikkerhedsside beskriver, hvordan AIGROW fungerer.

7. Underdatabehandlere

Du giver os en generel godkendelse til at bruge Underdatabehandlere. De kategorier, vi bruger, med deres placeringer, er anført i bilaget nedenfor. Den aktuelle liste over Underdatabehandlere kan fås ved henvendelse til privacy@aigrow.gg.

Vi underretter dig på e-mail, til den adresse der er knyttet til din konto, mindst 14 dage, før en ny Underdatabehandler begynder at behandle Kundens personoplysninger. Du kan gøre indsigelse af rimelige grunde, der vedrører databeskyttelse, ved at skrive til privacy@aigrow.gg inden for denne frist. Vi drøfter dine bekymringer i god tro. Hvis vi ikke kan løse dem, kan du opsige den berørte Tjeneste ved skriftlig meddelelse, og Refusionspolitikken gælder for betalte beløb. Dette er dit eneste retsmiddel ved en indsigelse.

Hvis vi hurtigt må udskifte en Underdatabehandler af hensyn til sikkerheden eller for at holde Tjenesterne kørende, kan vi gøre det med det samme og underretter dig så hurtigt som muligt derefter, med samme ret til at gøre indsigelse.

Vi pålægger hver Underdatabehandler ved skriftlig kontrakt databeskyttelsesforpligtelser, der i det væsentlige giver samme beskyttelse som denne DPA, som artikel 28, stk. 4, i GDPR kræver. Vi er fortsat ansvarlige over for dig for opfyldelsen af vores Underdatabehandleres forpligtelser.

8. Bistand

Under hensyntagen til behandlingens karakter og de oplysninger, vi har til rådighed, bistår vi dig med:

• at besvare anmodninger fra registrerede om at udøve deres rettigheder, gennem Tjenesternes funktioner og, hvor de ikke er tilstrækkelige, efter anmodning til privacy@aigrow.gg;
• dine sikkerhedsforpligtelser, konsekvensanalyser vedrørende databeskyttelse og forudgående høringer af tilsynsmyndigheder, ved at give oplysninger om Tjenesterne.

Hvis en registreret kontakter os direkte om Kundens personoplysninger, henviser vi vedkommende til dig og svarer ikke selv, bortset fra at bekræfte, at vi har videregivet anmodningen.

Hvis bistanden rækker ud over de funktioner og oplysninger, som Tjenesterne allerede giver, kan vi opkræve rimelige omkostninger, som vi oplyser dig om på forhånd, medmindre bistanden er nødvendig, fordi vi har misligholdt denne DPA.

9. Brud på persondatasikkerheden

Vi underretter dig uden unødig forsinkelse, efter at vi er blevet opmærksomme på et Brud på persondatasikkerheden, på e-mail til den adresse, der er knyttet til din konto. Efterhånden som oplysningerne foreligger, giver vi dig de oplysninger, der er angivet i artikel 33, stk. 3, i GDPR:

• karakteren af bruddet, herunder om muligt kategorierne og det omtrentlige antal berørte registrerede og registreringer;
• et kontaktpunkt, hvor du kan få flere oplysninger;
• de sandsynlige konsekvenser af bruddet;
• de foranstaltninger, der er truffet eller foreslået for at imødegå bruddet og afbøde dets mulige negative følger.

Vi tager rimelige skridt til at inddæmme og afhjælpe bruddet. Du er ansvarlig for enhver underretning af tilsynsmyndigheder og registrerede, og vi bistår dig, som beskrevet i afsnittet om bistand.

Mislykkede forsøg eller aktiviteter, der ikke kompromitterer sikkerheden for kundens personoplysninger, såsom mislykkede loginforsøg, pings, portscanninger eller blokerede angreb, er ikke brud på persondatasikkerheden. Vores underretning om et brud er ikke en erkendelse af skyld eller ansvar.

10. Tilbagelevering og sletning

Mens du bruger tjenesterne, kan du selv slette en stor del af dine data, f.eks. en overvågning, et tilknyttet blogwebsite, et dokument eller en hukommelse i assistenten, og du kan bede privacy@aigrow.gg om en kopi af resten.

Når tjenesterne ophører, eller når som helst efter din skriftlige anmodning til privacy@aigrow.gg, returnerer eller sletter vi kundens personoplysninger inden for rimelig tid, efter dit valg, medmindre loven kræver, at vi opbevarer dem. Vi bekræfter sletningen skriftligt, hvis du beder om det. Hvis du ikke fremsætter nogen anmodning, sletter vi kundens personoplysninger, når vi ikke længere har brug for dem til at levere tjenesterne, som beskrevet i privatlivspolitikken.

Data, som vi er forpligtet til at opbevare ifølge loven, forbliver beskyttet af denne databehandleraftale og behandles kun til det formål, der kræver det.

11. Oplysninger og audits

Vi stiller de oplysninger til din rådighed, der er nødvendige for at påvise overholdelse af artikel 28 i GDPR. Det gør vi først skriftligt: gennem denne databehandleraftale, vores sikkerhedsside og skriftlige svar på dine rimelige spørgsmål om vores behandling. Vi har ingen certificeringer fra tredjepart, f.eks. SOC 2 eller ISO 27001.

En inspektion finder kun sted, hvis databeskyttelseslovgivningen eller en tilsynsmyndighed kræver det, og de skriftlige oplysninger ikke opfylder dette krav. I så fald gælder følgende:

• du giver os rimeligt forudgående skriftligt varsel og aftaler omfang, tidspunkt og varighed med os;
• den gennemføres af dig eller af en uafhængig revisor, der er bundet af tavshedspligt og ikke er vores konkurrent;
• den finder sted i almindelig arbejdstid, undgår forstyrrelser af tjenesterne og giver ikke adgang til andre kunders data eller til vores fortrolige oplysninger ud over, hvad inspektionen kræver;
• du afholder omkostningerne ved den, herunder vores;
• den finder højst sted én gang om året, medmindre en tilsynsmyndighed kræver flere.

Audits i henhold til SCC'erne gennemføres på samme måde i det omfang, SCC'erne tillader det.

12. Internationale overførsler

Vi behandler kundens personoplysninger i USA og i Tyskland, og du giver tilladelse til overførsler til disse lande og til de steder, hvor vores underdatabehandlere befinder sig.

Overførsler omfattet af GDPR

Når kundens personoplysninger, der er omfattet af GDPR, overføres til os, eller af os til en underdatabehandler, i et land uden en tilstrækkelighedsafgørelse, er SCC'erne indarbejdet i denne databehandleraftale ved henvisning: modul 2, hvor du er dataansvarlig, og modul 3, hvor du er databehandler. Du er dataeksportør, og vi er dataimportør. For SCC'erne gælder:

• tilslutningsklausulen i klausul 7 finder anvendelse;
• i klausul 9 finder option 2 anvendelse, med den varselsfrist, der er angivet i afsnittet om underdatabehandlere;
• den valgfrie ordlyd i klausul 11 finder ikke anvendelse;
• i klausul 13 fastlægges den kompetente tilsynsmyndighed i overensstemmelse med klausul 13, litra a;
• i klausul 17 og 18 finder irsk ret og irske domstole anvendelse;
• bilag I udfyldes af de parter, der er nævnt i denne databehandleraftale og bilaget om behandlingsoplysninger, bilag II af sikkerhedsforanstaltningerne i denne databehandleraftale, og bilag III af listen over underdatabehandlere, som kan fås efter anmodning.

Hvis du er et bureau, der handler på vegne af dine kunder, kan en kunde, der er dataansvarlig, tiltræde SCC'erne i henhold til klausul 7 ved skriftlig meddelelse til privacy@aigrow.gg med din accept.

Storbritannien. For overførsler omfattet af UK GDPR er UK Addendum indarbejdet ved henvisning. Tabel 1 udfyldes med parternes oplysninger i denne databehandleraftale, tabel 2 med SCC'erne som anført ovenfor og tabel 3 med bilagene til denne databehandleraftale. I tabel 4 kan importøren bringe UK Addendum til ophør, som dets afsnit 19 tillader.

Schweiz. For overførsler omfattet af FADP finder SCC'erne anvendelse med disse ændringer: Den føderale databeskyttelses- og offentlighedskommissær er den kompetente tilsynsmyndighed, henvisninger til GDPR læses som henvisninger til FADP, og registrerede i Schweiz kan anlægge sag, hvor de har sædvanligt opholdssted.

Hvis en modtager er certificeret under EU-US Data Privacy Framework eller dets britiske eller schweiziske udvidelse, kan vi i stedet støtte os til denne certificering. Hvis et overførselsgrundlag erstattes eller ophører med at være gyldigt, kan vi anvende et andet lovligt grundlag og vil underrette dig.

Hvis SCC'erne eller UK Addendum er i strid med denne databehandleraftale, har de forrang for de overførsler, de dækker.

13. Ansvar

I det omfang loven tillader det, er hver parts ansvar, der udspringer af eller vedrører denne databehandleraftale, herunder SCC'erne, underlagt de ansvarsbegrænsninger og ansvarsfraskrivelser, der fremgår af Servicevilkår. Disse begrænsninger gælder samlet for aftalen og denne databehandleraftale, ikke hver for sig.

Intet i denne databehandleraftale begrænser ansvaret over for registrerede i henhold til SCC'erne eller noget ansvar, der ikke kan begrænses efter gældende ret.

I det omfang loven tillader det, holder du os skadesløse for krav fra tredjeparter, bøder og omkostninger, der udspringer af behandling udført efter dine instruktioner, hvor disse instruktioner eller de data, du har leveret, var i strid med databeskyttelseslovgivningen.

14. Varighed, rangorden og ændringer

Denne databehandleraftale gælder, så længe vi behandler kundens personoplysninger. Den består efter aftalens ophør, indtil disse data er returneret eller slettet.

Hvis dokumenter er i indbyrdes strid, gælder denne rækkefølge: en ordre eller skriftlig aftale underskrevet af begge parter, derefter Produktvilkår for det pågældende produkt, derefter denne databehandleraftale i spørgsmål om databeskyttelse, derefter vilkårene, derefter vores øvrige politikker. SCC'erne og UK Addendum har forrang, som det fremgår af afsnittet om internationale overførsler. Ufravigelig lovgivning har forrang for dem alle.

Vi kan opdatere denne databehandleraftale, f.eks. for at afspejle ændringer i lovgivningen eller hos vores underdatabehandlere. Vi giver dig mindst 30 dages varsel pr. e-mail om enhver ændring, der væsentligt forringer beskyttelsen af kundens personoplysninger. Ingen ændring forringer den beskyttelse, som databeskyttelseslovgivningen kræver.

Denne databehandleraftale er underlagt den ret, der gælder for vilkårene, bortset fra at SCC'erne er underlagt den ret, som deres klausuler angiver. Hvis du har brug for en medunderskrevet kopi til dine optegnelser, kan du skrive til legal@aigrow.gg.

15. Bilag: behandlingsoplysninger

Dette bilag beskriver behandlingen i henhold til artikel 28, stk. 3, i GDPR og bilag I til SCC'erne.

16. Bilag: kategorier af underdatabehandlere

Dette er de kategorier af underdatabehandlere, der kan behandle kundens personoplysninger, med deres placeringer. Den aktuelle liste over navngivne underdatabehandlere kan fås efter anmodning hos privacy@aigrow.gg.