Databehandleravtale

1. Partene og virkeområde

Denne databehandleravtalen («DPA-en») er inngått mellom PeakCore LLC, et limited liability company i Wyoming som driver AIGROW («vi», «oss»), og bedriften som godtar våre bruksvilkår («du»). Den er en del av avtalen som består av vilkårene og dokumentene de viser til («avtalen»).

Den gjelder når vi behandler kundens personopplysninger i forbindelse med at vi leverer tjenestene til deg. Den gjelder automatisk, uten signatur, fra det øyeblikket du første gang gir oss slike opplysninger. Typiske tilfeller er:

• bedriftsopplysninger, konkurrenter og totaltall for trafikk fra Google Analytics som du lagrer på en overvåking;
• et byrås kundeopplysninger, profilering og white label-rapporter;
• leads som byråets innebygde sjekkverktøy samler inn fra besøkende på byråets nettsted;
• data fra Search Console og nøkkelen du kobler til bloggmotoren;
• meldinger, minner og dokumenter du gir assistenten, og innholdet i bloggmotoren;
• spørsmål og svar som går gjennom API-et vårt;
• materialet du sender oss til ferdigleverte oppdrag og pressemeldinger, for eksempel kundeanmeldelser, sitater og navnene på de ansatte dine.

Denne DPA-en gjelder bare for bedriftskunder. Den gjelder ikke personopplysninger vi behandler som behandlingsansvarlig, for eksempel konto-, fakturerings- og kontaktopplysningene dine. Dem dekker personvernerklæringen.

2. Definisjoner

Ord som er definert i vilkårene, har samme betydning her. «Behandlingsansvarlig», «databehandler», «registrert», «personopplysninger», «behandling» og «tilsynsmyndighet» har den betydningen de har i GDPR. I tillegg gjelder følgende:

• Kundens personopplysninger er personopplysninger vi behandler på dine vegne når vi leverer tjenestene.
• Personvernlovgivning er lovene som gjelder for denne behandlingen. Det kan omfatte EUs personvernforordning 2016/679 («GDPR»), GDPR slik den inngår i britisk rett («UK GDPR»), den britiske Data Protection Act 2018, den sveitsiske personvernloven («FADP»), California Consumer Privacy Act og tilsvarende lover i andre amerikanske delstater.
• Underleverandør er en tredjepart vi bruker til å behandle kundens personopplysninger.
• Brudd på personopplysningssikkerheten er et sikkerhetsbrudd som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, uautorisert utlevering av eller tilgang til kundens personopplysninger i systemer som vi eller våre underleverandører kontrollerer.
• SCC er standard personvernbestemmelser godkjent ved kommisjonens gjennomføringsvedtak 2021/914.
• UK Addendum er tilleggsavtalen om internasjonal dataoverføring til SCC, utstedt av den britiske personvernmyndigheten (UK Information Commissioner).

3. Roller

Du er behandlingsansvarlig for kundens personopplysninger, og vi er databehandleren din. Hvis du handler på vegne av din egen klient, slik et byrå gjør, er du databehandler, klienten din er behandlingsansvarlig, og vi er din underdatabehandler. Du bekrefter at klienten din har gitt deg fullmakt til å gi oss disse instruksene, blant annet til å utpeke våre underleverandører, og du er fortsatt vårt eneste kontaktpunkt.

Vi er behandlingsansvarlige, ikke databehandlere, for dataene vi trenger for å drive virksomheten vår: konto- og faktureringsopplysninger, oversikter over bruk og kostnader, sikkerhets- og misbrukslogger, og statistikk som ikke identifiserer noen. Vi kan bruke bruksoversikter og slik statistikk til å drifte, sikre, fakturere og forbedre tjenestene, men aldri til å identifisere de registrerte hos deg.

USA. Der personvernlover i amerikanske delstater gjelder, opptrer vi som din tjenesteleverandør (service provider eller contractor). Vi selger eller deler ikke kundens personopplysninger. Vi lagrer, bruker eller utleverer dem ikke til andre formål enn å levere tjenestene i henhold til avtalen, eller utenfor vårt direkte forretningsforhold til deg, og vi kombinerer dem ikke med personopplysninger fra andre kilder, bortsett fra der slike lover tillater det. Vi overholder pliktene disse lovene pålegger oss, og gir deg beskjed hvis vi ikke lenger kan oppfylle dem. Du kan da ta rimelige og hensiktsmessige skritt for å stanse og rette opp uautorisert bruk.

4. Behandling etter dine instrukser

Vi behandler kundens personopplysninger bare etter dine dokumenterte instrukser, også når det gjelder internasjonale overføringer, med mindre loven krever noe annet. I så fall opplyser vi deg om det rettslige kravet før behandlingen, med mindre loven forbyr det.

Instruksene dine er denne DPA-en, avtalen, innstillingene du velger og måten du bruker tjenestene på, samt eventuelle ytterligere skriftlige instrukser vi godtar. Å velge en funksjon, en modell eller en leveringsadresse er en instruks. Når du for eksempel velger en modell i assistenten eller API-et, er det en del av instruksene dine at innholdet ditt sendes til leverandøren av modellen.

Vi sier fra hvis en instruks etter vår vurdering bryter med personvernlovgivningen. Vi er ikke forpliktet til å kontrollere om instruksene dine er lovlige, og vi kan sette den aktuelle behandlingen på pause til du bekrefter eller endrer instruksen.

Du er ansvarlig for at behandlingen du instruerer er lovlig: at du har behandlingsgrunnlag, gir de varslene og innhenter de samtykkene loven krever, og at opplysningene du gir er korrekte. Tjenestene er ikke laget for særlige kategorier av personopplysninger, straffedommer eller barns opplysninger. Ikke gi oss slike opplysninger med mindre det er nødvendig for tjenesten og lovlig.

5. Taushetsplikt

Vi gir bare tilgang til kundens personopplysninger til personer som trenger det for å levere, støtte eller sikre tjenestene, og som er bundet av taushetsplikt i avtale eller lov.

Hvis en domstol, en myndighet eller en annen tredjepart ber oss om kundens personopplysninger, henviser vi dem til deg der vi kan. Vi gir deg beskjed om forespørselen, med mindre loven forbyr det, og vi utleverer bare det vi er rettslig forpliktet til.

6. Sikkerhet

Vi gjennomfører tekniske og organisatoriske tiltak som sikrer et sikkerhetsnivå som står i forhold til risikoen, slik artikkel 32 i GDPR krever, med hensyn til det som er teknisk mulig, kostnadene ved gjennomføring og behandlingens art, omfang, sammenheng og formål. Tiltakene som er på plass i dag, er beskrevet nedenfor og utgjør vedlegg II i SCC.

Vi kan endre disse tiltakene etter hvert som teknologi og risiko utvikler seg, så lenge endringen ikke svekker det samlede sikkerhetsnivået vesentlig. Du er ansvarlig for sikkerheten til din egen konto, dine egne enheter, API-nøkler og rapportlenker, og for dataene du velger å laste opp. Sikkerhetssiden vår beskriver hvordan AIGROW fungerer.

7. Underleverandører

Du gir oss en generell tillatelse til å bruke underleverandører. Kategoriene vi bruker, med plassering, er oppført i vedlegget nedenfor. Den gjeldende listen over underleverandører får du på forespørsel fra privacy@aigrow.gg.

Vi varsler deg på e-post, til adressen på kontoen din, minst 14 dager før en ny underleverandør begynner å behandle kundens personopplysninger. Du kan protestere med rimelig begrunnelse knyttet til personvern ved å skrive til privacy@aigrow.gg innen denne fristen. Vi drøfter bekymringene dine i god tro. Hvis vi ikke finner en løsning, kan du avslutte den berørte tjenesten med skriftlig varsel, og refusjonsreglene gjelder for beløp du har betalt. Dette er ditt eneste rettsmiddel ved en innsigelse.

Hvis vi må erstatte en underleverandør raskt, av sikkerhetshensyn eller for å holde tjenestene i drift, kan vi gjøre det umiddelbart og varsler deg så snart som mulig etterpå, med samme rett til å protestere.

Vi pålegger hver underleverandør, i en skriftlig avtale, personvernforpliktelser som i det vesentlige gir samme beskyttelse som denne DPA-en, slik artikkel 28 nr. 4 i GDPR krever. Vi er fortsatt ansvarlige overfor deg for at underleverandørene oppfyller sine forpliktelser.

8. Bistand

Med hensyn til behandlingens art og opplysningene vi har tilgjengelig, bistår vi deg med:

• å svare på forespørsler fra registrerte som vil utøve rettighetene sine, gjennom funksjonene i tjenestene og, der de ikke strekker til, på forespørsel til privacy@aigrow.gg;
• dine sikkerhetsforpliktelser, vurderinger av personvernkonsekvenser og forhåndsdrøftinger med tilsynsmyndigheter, ved å gi informasjon om tjenestene.

Hvis en registrert kontakter oss direkte om kundens personopplysninger, henviser vi vedkommende til deg og svarer ikke selv, bortsett fra å bekrefte at vi har videreformidlet forespørselen.

Hvis bistanden går utover funksjonene og informasjonen tjenestene allerede gir, kan vi kreve rimelige kostnader, som vi sier fra om på forhånd, med mindre bistanden er nødvendig fordi vi har brutt denne DPA-en.

9. Brudd på personopplysningssikkerheten

Vi varsler deg uten ugrunnet opphold etter at vi har fått kjennskap til et brudd på personopplysningssikkerheten, på e-post til adressen på kontoen din. Etter hvert som opplysningene foreligger, gir vi deg det som er oppført i artikkel 33 nr. 3 i GDPR:

• bruddets art, om mulig med kategoriene og omtrentlig antall registrerte og personopplysninger det gjelder;
• et kontaktpunkt for mer informasjon;
• de sannsynlige følgene av bruddet;
• tiltakene som er iverksatt eller foreslått for å håndtere bruddet og begrense dets mulige negative følger.

Vi tar rimelige skritt for å begrense og utbedre bruddet. Du er ansvarlig for varsling av tilsynsmyndigheter og registrerte, og vi bistår deg slik avsnittet om bistand beskriver.

Mislykkede forsøk eller aktiviteter som ikke setter sikkerheten til kundens personopplysninger i fare, for eksempel mislykkede påloggingsforsøk, ping, portskanninger eller blokkerte angrep, regnes ikke som brudd på personopplysningssikkerheten. Vårt varsel om et brudd er ikke en erkjennelse av skyld eller ansvar.

10. Tilbakelevering og sletting

Mens du bruker tjenestene, kan du selv slette mye av dataene dine, for eksempel en overvåker, et tilkoblet bloggnettsted, et dokument eller et minne i assistenten. For resten kan du be om en kopi fra privacy@aigrow.gg.

Når tjenestene opphører, eller når som helst etter skriftlig forespørsel til privacy@aigrow.gg, leverer vi tilbake eller sletter vi kundens personopplysninger innen rimelig tid, etter ditt valg, med mindre loven krever at vi beholder dem. Vi bekrefter slettingen skriftlig hvis du ber om det. Hvis du ikke sender noen forespørsel, sletter vi kundens personopplysninger når vi ikke lenger trenger dem for å levere tjenestene, slik personvernerklæringen beskriver.

Data vi er pålagt å oppbevare ved lov, er fortsatt beskyttet av denne databehandleravtalen og behandles bare for det formålet som krever det.

11. Informasjon og revisjoner

Vi gir deg den informasjonen som er nødvendig for å påvise etterlevelse av artikkel 28 i GDPR. Vi gjør dette først skriftlig: gjennom denne databehandleravtalen, sikkerhetssiden vår og skriftlige svar på rimelige spørsmål fra deg om behandlingen vår. Vi har ingen tredjepartssertifiseringer som SOC 2 eller ISO 27001.

En inspeksjon finner bare sted når personvernlovgivningen eller en tilsynsmyndighet krever det, og den skriftlige informasjonen ikke oppfyller dette kravet. I så fall gjelder følgende:

• du gir oss rimelig skriftlig varsel på forhånd og avtaler omfang, tidspunkt og varighet med oss;
• den utføres av deg eller av en uavhengig revisor som er bundet av taushetsplikt og ikke er konkurrent til oss;
• den foregår i åpningstiden, unngår forstyrrelser i tjenestene og gir ikke tilgang til andre kunders data eller til våre konfidensielle opplysninger utover det inspeksjonen trenger;
• du dekker kostnadene, også våre;
• den skjer høyst én gang i året, med mindre en tilsynsmyndighet krever mer.

Revisjoner etter SCC-ene gjennomføres på samme måte, så langt SCC-ene tillater det.

12. Internasjonale overføringer

Vi behandler kundens personopplysninger i USA og Tyskland, og du godkjenner overføringer til disse landene og til stedene der underleverandørene våre befinner seg.

Overføringer som omfattes av GDPR

Når kundens personopplysninger som omfattes av GDPR, overføres til oss, eller fra oss til en underleverandør, i et land uten beslutning om tilstrekkelig beskyttelsesnivå, er SCC-ene tatt inn i denne databehandleravtalen ved henvisning: modul 2 når du er behandlingsansvarlig og modul 3 når du er databehandler. Du er dataeksportør og vi er dataimportør. For SCC-ene gjelder:

• tilslutningsklausulen i klausul 7 gjelder;
• i klausul 9 gjelder alternativ 2, med den varslingsfristen som er angitt i avsnittet om underleverandører;
• den valgfrie formuleringen i klausul 11 gjelder ikke;
• i klausul 13 fastsettes kompetent tilsynsmyndighet slik klausul 13 bokstav a bestemmer;
• i klausul 17 og 18 gjelder irsk lov og irske domstoler;
• vedlegg I fylles ut med partene som er navngitt i denne databehandleravtalen og vedlegget om behandlingsdetaljer, vedlegg II med sikkerhetstiltakene i denne databehandleravtalen, og vedlegg III med listen over underleverandører som er tilgjengelig på forespørsel.

Når du er et byrå som handler på vegne av kundene dine, kan en kunde som er behandlingsansvarlig, tiltre SCC-ene etter klausul 7 ved skriftlig varsel til privacy@aigrow.gg, med din tilslutning.

Storbritannia. For overføringer som omfattes av britisk GDPR, er det britiske tillegget (UK Addendum) tatt inn ved henvisning. Tabell 1 fylles ut med partenes opplysninger i denne databehandleravtalen, tabell 2 med SCC-ene slik de er angitt ovenfor, og tabell 3 med vedleggene til denne databehandleravtalen. I tabell 4 kan importøren si opp det britiske tillegget slik punkt 19 i tillegget tillater.

Sveits. For overføringer som omfattes av FADP, gjelder SCC-ene med disse endringene: den sveitsiske forbundsdatatilsynsmyndigheten (Federal Data Protection and Information Commissioner) er kompetent tilsynsmyndighet, henvisninger til GDPR leses som henvisninger til FADP, og registrerte i Sveits kan reise sak der de har sitt vanlige bosted.

Når en mottaker er sertifisert under EU-US Data Privacy Framework, eller den britiske eller sveitsiske utvidelsen av det, kan vi i stedet støtte oss på den sertifiseringen. Hvis et overføringsgrunnlag erstattes eller opphører å være gyldig, kan vi ta i bruk et annet lovlig grunnlag, og vi vil si fra til deg.

Hvis SCC-ene eller det britiske tillegget er i strid med denne databehandleravtalen, går de foran for de overføringene de omfatter.

13. Ansvar

Så langt loven tillater det, er hver parts ansvar som følger av eller er knyttet til denne databehandleravtalen, inkludert SCC-ene, underlagt ansvarsbegrensningene og ansvarsfraskrivelsene i bruksvilkårene. Disse grensene gjelder for avtalen og denne databehandleravtalen samlet, ikke hver for seg.

Ingenting i denne databehandleravtalen begrenser ansvaret overfor registrerte etter SCC-ene, eller ansvar som ikke kan begrenses etter gjeldende lov.

Så langt loven tillater det, holder du oss skadesløse for krav fra tredjeparter, bøter og kostnader som følger av behandling utført etter dine instrukser, når disse instruksene eller dataene du har oppgitt, utgjorde et brudd på personvernlovgivningen.

14. Varighet, rangering og endringer

Denne databehandleravtalen gjelder så lenge vi behandler kundens personopplysninger. Den består etter at avtalen er avsluttet, helt til dataene er levert tilbake eller slettet.

Hvis dokumenter er i strid med hverandre, gjelder denne rekkefølgen: en bestilling eller skriftlig avtale signert av begge parter, deretter tjenestevilkårene for det aktuelle produktet, deretter denne databehandleravtalen i spørsmål om personvern, deretter bruksvilkårene og til slutt våre øvrige retningslinjer. SCC-ene og det britiske tillegget går foran slik avsnittet om internasjonale overføringer sier. Ufravikelig lovgivning går foran alle disse.

Vi kan oppdatere denne databehandleravtalen, for eksempel for å gjenspeile endringer i lovgivningen eller blant underleverandørene våre. Vi varsler deg på e-post minst 30 dager i forveien om enhver endring som vesentlig reduserer beskyttelsen av kundens personopplysninger. Ingen endring reduserer beskyttelsen som personvernlovgivningen krever.

Denne databehandleravtalen er underlagt den loven som gjelder for vilkårene, bortsett fra at SCC-ene er underlagt den loven som klausulene deres angir. Hvis du trenger en motundertegnet kopi til egne arkiver, skriv til legal@aigrow.gg.

15. Vedlegg: behandlingsdetaljer

Dette vedlegget beskriver behandlingen i henhold til artikkel 28 nr. 3 i GDPR og vedlegg I til SCC-ene.

16. Vedlegg: kategorier av underleverandører

Dette er kategoriene av underleverandører som kan behandle kundens personopplysninger, med plasseringene deres. Den gjeldende listen over navngitte underleverandører er tilgjengelig på forespørsel fra privacy@aigrow.gg.