Personuppgiftsbiträdesavtal

1. Parter och omfattning

Det här personuppgiftsbiträdesavtalet ("DPA:n") ingås mellan PeakCore LLC, ett limited liability company i Wyoming som driver AIGROW ("vi", "oss"), och det företag som godkänner våra användarvillkor ("du"). Det utgör en del av det avtal som består av användarvillkoren och de dokument de hänvisar till ("Avtalet").

Det gäller så snart vi behandlar kunders personuppgifter när vi tillhandahåller tjänsterna till dig. Det gäller automatiskt, utan underskrift, från det att du först lämnar sådana uppgifter till oss. Typiska fall är:

• företagsuppgifter, konkurrenter och trafiksummor från Google Analytics som du sparar i en bevakning;
• en byrås klientuppgifter, varumärkesprofil och white label-rapporter;
• de leads som en byrås inbäddade kontrollverktyg samlar in från besökare på byråns webbplats;
• data från Search Console och den nyckel du kopplar till bloggmotorn;
• de meddelanden, minnen och dokument du ger assistenten, samt bloggmotorns innehåll;
• frågor och svar som passerar genom vårt API;
• det material du skickar oss för skräddarsytt arbete och pressmeddelanden, till exempel kundrecensioner, citat och namn på din personal.

Det här tillägget gäller bara företagskunder. Det gäller inte personuppgifter som vi behandlar som personuppgiftsansvariga, till exempel dina konto-, betalnings- och kontaktuppgifter, som i stället omfattas av integritetspolicyn.

2. Definitioner

Termer som definieras i användarvillkoren har samma betydelse här. "Personuppgiftsansvarig", "personuppgiftsbiträde", "registrerad", "personuppgifter", "behandling" och "tillsynsmyndighet" har den betydelse som anges i GDPR. Dessutom gäller följande:

• Kunders personuppgifter avser personuppgifter som vi behandlar för din räkning när vi tillhandahåller tjänsterna.
• Dataskyddslagstiftning avser de lagar som gäller för behandlingen, vilket kan omfatta EU:s allmänna dataskyddsförordning 2016/679 ("GDPR"), GDPR som den ingår i brittisk rätt ("UK GDPR"), den brittiska Data Protection Act 2018, den schweiziska dataskyddslagen ("FADP"), California Consumer Privacy Act och liknande lagar i andra amerikanska delstater.
• Underbiträde avser en tredje part som vi anlitar för att behandla kunders personuppgifter.
• Personuppgiftsincident avser en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring av, eller obehörigt röjande av eller obehörig åtkomst till, kunders personuppgifter i system som vi eller våra underbiträden kontrollerar.
• SCC avser standardavtalsklausulerna som godkänts genom Europeiska kommissionens genomförandebeslut 2021/914.
• UK-tillägget avser det tillägg för internationella dataöverföringar till SCC som utfärdats av den brittiska dataskyddsmyndigheten (Information Commissioner).

3. Roller

Du är personuppgiftsansvarig för kunders personuppgifter och vi är ditt personuppgiftsbiträde. När du agerar för din egen klient, som en byrå gör, är du personuppgiftsbiträde, din klient är personuppgiftsansvarig och vi är ditt underbiträde. Du bekräftar att din klient har gett dig rätt att ge oss dessa instruktioner, inklusive att anlita våra underbiträden, och att du fortsatt är vår enda kontaktpunkt.

Vi är personuppgiftsansvariga, inte biträden, för de uppgifter vi behöver för att driva vår verksamhet: konto- och betalningsuppgifter, register över användning och kostnader, säkerhets- och missbrukslogar samt statistik som inte identifierar någon. Vi får använda användningsregister och sådan statistik för att driva, skydda, fakturera och förbättra tjänsterna, men aldrig för att identifiera dina registrerade.

USA. När amerikanska delstaters integritetslagar gäller agerar vi som din tjänsteleverantör (service provider) eller entreprenör (contractor). Vi säljer eller delar inte kunders personuppgifter. Vi behåller, använder eller lämnar inte ut dem för något annat ändamål än att tillhandahålla tjänsterna enligt Avtalet, eller utanför vår direkta affärsrelation med dig, och vi kombinerar dem inte med personuppgifter från andra källor, annat än när dessa lagar tillåter det. Vi uppfyller de skyldigheter som dessa lagar ställer på oss och meddelar dig om vi inte längre kan göra det. Du får då vidta rimliga och lämpliga åtgärder för att stoppa och avhjälpa obehörig användning.

4. Behandling enligt dina instruktioner

Vi behandlar kunders personuppgifter endast enligt dina dokumenterade instruktioner, även när det gäller internationella överföringar, om inte lag kräver något annat. I så fall informerar vi dig om det rättsliga kravet före behandlingen, om inte lagen förbjuder det.

Dina instruktioner utgörs av det här tillägget, Avtalet, de inställningar du väljer och hur du använder tjänsterna, samt eventuella ytterligare skriftliga instruktioner som vi godkänner. Att välja en funktion, en modell eller en leveransadress är en instruktion. När du till exempel väljer en modell i assistenten eller API:et ingår det i dina instruktioner att ditt innehåll skickas till leverantören av den modellen.

Vi meddelar dig om vi anser att en instruktion strider mot dataskyddslagstiftningen. Vi är inte skyldiga att kontrollera att dina instruktioner är lagenliga, och vi får pausa den aktuella behandlingen tills du bekräftar eller ändrar instruktionen.

Du ansvarar för att den behandling du instruerar är lagenlig: att det finns en rättslig grund, att du lämnar den information och inhämtar de samtycken som lagen kräver och att de uppgifter du lämnar är korrekta. Tjänsterna är inte utformade för särskilda kategorier av personuppgifter, uppgifter om lagöverträdelser eller barns uppgifter. Lämna inte sådana uppgifter till oss om det inte är nödvändigt för tjänsten och lagligt.

5. Sekretess

Vi ger åtkomst till kunders personuppgifter endast till personer som behöver den för att tillhandahålla, supportera eller skydda tjänsterna, och som är bundna av sekretessåtaganden eller lagstadgad tystnadsplikt.

Om en domstol, myndighet eller annan tredje part begär ut kunders personuppgifter från oss hänvisar vi begäran till dig när vi kan. Vi informerar dig om begäran om inte lagen förbjuder det, och vi lämnar bara ut det vi är skyldiga att lämna ut enligt lag.

6. Säkerhet

Vi vidtar tekniska och organisatoriska åtgärder som ger en säkerhetsnivå som är lämplig i förhållande till risken, så som artikel 32 i GDPR kräver, med hänsyn till den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål. De åtgärder som gäller i dag anges nedan och utgör bilaga II i tillämpningen av SCC.

Vi får ändra dessa åtgärder i takt med att tekniken och riskerna utvecklas, förutsatt att ändringen inte väsentligt sänker den övergripande säkerhetsnivån. Du ansvarar för säkerheten för ditt eget konto, dina enheter, API-nycklar och rapportlänkar samt för de uppgifter du väljer att ladda upp. På vår säkerhetssida beskriver vi hur AIGROW fungerar.

7. Underbiträden

Du ger oss ett generellt tillstånd att anlita underbiträden. De kategorier vi använder, med deras platser, anges i bilagan nedan. Den aktuella listan över underbiträden kan fås på begäran från privacy@aigrow.gg.

Vi meddelar dig via e-post, till adressen på ditt konto, minst 14 dagar innan ett nytt underbiträde börjar behandla kunders personuppgifter. Du kan invända av rimliga dataskyddskäl genom att skriva till privacy@aigrow.gg inom den tiden. Vi diskuterar dina farhågor i god tro. Om vi inte kan lösa dem kan du säga upp den berörda tjänsten genom skriftligt meddelande, och då gäller återbetalningspolicyn för belopp som du har betalat. Det är ditt enda rättsmedel vid en invändning.

Om vi snabbt måste byta ut ett underbiträde, av säkerhetskäl eller för att hålla tjänsterna igång, får vi göra det omedelbart och meddelar dig så snart som möjligt efteråt, med samma rätt att invända.

Vi ställer genom skriftligt avtal krav på varje underbiträde som i sak ger samma skydd som det här tillägget, så som artikel 28.4 i GDPR kräver. Vi ansvarar fortfarande gentemot dig för att våra underbiträden fullgör sina skyldigheter.

8. Bistånd

Med hänsyn till behandlingens art och den information vi har tillgång till hjälper vi dig med:

• att besvara begäranden från registrerade som vill utöva sina rättigheter, genom tjänsternas funktioner och, när de inte räcker, på begäran till privacy@aigrow.gg;
• dina säkerhetsskyldigheter, konsekvensbedömningar avseende dataskydd och föregående samråd med tillsynsmyndigheter, genom att ge information om tjänsterna.

Om en registrerad kontaktar oss direkt om kunders personuppgifter hänvisar vi personen till dig och svarar inte själva, utöver att bekräfta att vi har vidarebefordrat begäran.

När biståndet går utöver de funktioner och den information som tjänsterna redan ger får vi ta ut skäliga kostnader, som vi meddelar dig i förväg, om inte biståndet behövs därför att vi har brutit mot det här tillägget.

9. Personuppgiftsincidenter

Vi meddelar dig utan onödigt dröjsmål efter att vi fått kännedom om en personuppgiftsincident, via e-post till adressen på ditt konto. Allteftersom den blir tillgänglig lämnar vi den information som anges i artikel 33.3 i GDPR:

• incidentens art, om möjligt inklusive kategorierna av och ungefärligt antal registrerade och registerposter som berörs;
• en kontaktpunkt för mer information;
• de sannolika konsekvenserna av incidenten;
• de åtgärder som vidtagits eller föreslagits för att hantera den och för att mildra dess eventuella negativa effekter.

Vi vidtar rimliga åtgärder för att begränsa och avhjälpa överträdelsen. Du ansvarar för all anmälan till tillsynsmyndigheter och registrerade, och vi hjälper dig så som avsnittet om bistånd beskriver.

Misslyckade försök eller aktiviteter som inte äventyrar säkerheten för kundens personuppgifter, till exempel misslyckade inloggningsförsök, pingar, portskanningar eller blockerade attacker, är inte personuppgiftsincidenter. Vårt meddelande om en incident innebär inte ett erkännande av fel eller ansvar.

10. Återlämnande och radering

Medan du använder tjänsterna kan du själv radera en stor del av dina data, till exempel en bevakning, en ansluten bloggwebbplats, ett dokument eller ett minne i assistenten, och du kan be privacy@aigrow.gg om en kopia av resten.

När tjänsterna upphör, eller när som helst på din skriftliga begäran till privacy@aigrow.gg, återlämnar eller raderar vi kundens personuppgifter inom rimlig tid, enligt ditt val, om vi inte enligt lag är skyldiga att behålla dem. Vi bekräftar raderingen skriftligen om du ber om det. Om du inte gör någon begäran raderar vi kundens personuppgifter när vi inte längre behöver dem för att tillhandahålla tjänsterna, så som integritetspolicyn beskriver.

Data som vi enligt lag måste behålla skyddas fortsatt av detta personuppgiftsbiträdesavtal och behandlas endast för det ändamål som kräver det.

11. Information och revisioner

Vi tillhandahåller den information som behövs för att visa att artikel 28 i GDPR följs. Det gör vi i första hand skriftligen: genom detta personuppgiftsbiträdesavtal, vår säkerhetssida och skriftliga svar på dina rimliga frågor om vår behandling. Vi har inga certifieringar från tredje part, till exempel SOC 2 eller ISO 27001.

En inspektion genomförs endast om dataskyddslagstiftningen eller en tillsynsmyndighet kräver det och den skriftliga informationen inte uppfyller kravet. I så fall gäller följande:

• du lämnar oss rimligt skriftligt varsel i förväg och vi kommer överens om omfattning, tidpunkt och varaktighet;
• den genomförs av dig eller av en oberoende revisor som är bunden av sekretess och som inte är vår konkurrent;
• den sker under kontorstid, undviker störningar i tjänsterna och ger inte tillgång till andra kunders data eller vår konfidentiella information utöver vad inspektionen kräver;
• du står för kostnaderna, inklusive våra;
• den sker högst en gång per år, om inte en tillsynsmyndighet kräver fler.

Revisioner enligt standardavtalsklausulerna genomförs på samma sätt, i den utsträckning klausulerna tillåter det.

12. Internationella överföringar

Vi behandlar kundens personuppgifter i USA och i Tyskland, och du godkänner överföringar till dessa länder och till platserna där våra underbiträden finns.

Överföringar som omfattas av GDPR

När kundens personuppgifter som omfattas av GDPR överförs till oss, eller av oss till ett underbiträde, i ett land utan beslut om adekvat skyddsnivå, ingår standardavtalsklausulerna i detta personuppgiftsbiträdesavtal genom hänvisning: modul 2 om du är personuppgiftsansvarig och modul 3 om du är personuppgiftsbiträde. Du är dataexportör och vi är dataimportör. För standardavtalsklausulerna gäller:

• anslutningsklausulen i klausul 7 gäller;
• i klausul 9 gäller alternativ 2, med den tidsfrist för underrättelse som anges i avsnittet om underbiträden;
• den valfria formuleringen i klausul 11 gäller inte;
• i klausul 13 fastställs den behöriga tillsynsmyndigheten enligt klausul 13 a;
• i klausul 17 och 18 gäller irländsk lag och irländska domstolar;
• bilaga I fylls i av de parter som anges i detta personuppgiftsbiträdesavtal och bilagan om behandlingsuppgifter, bilaga II av säkerhetsåtgärderna i detta avtal och bilaga III av förteckningen över underbiträden, som finns att få på begäran.

Om du är en byrå som agerar för dina kunder kan en kund som är personuppgiftsansvarig ansluta sig till standardavtalsklausulerna enligt klausul 7 genom skriftligt meddelande till privacy@aigrow.gg, med ditt medgivande.

Storbritannien. För överföringar som omfattas av UK GDPR ingår det brittiska tillägget (UK Addendum) genom hänvisning. Tabell 1 fylls i med parternas uppgifter i detta personuppgiftsbiträdesavtal, tabell 2 med standardavtalsklausulerna enligt ovan och tabell 3 med bilagorna till detta avtal. I tabell 4 får importören säga upp det brittiska tillägget enligt dess avsnitt 19.

Schweiz. För överföringar som omfattas av den schweiziska dataskyddslagen (FADP) gäller standardavtalsklausulerna med följande ändringar: Schweiz federala dataskydds- och offentlighetsombudsman är behörig tillsynsmyndighet, hänvisningar till GDPR ska läsas som hänvisningar till FADP, och registrerade i Schweiz får väcka talan där de har sin vanliga vistelseort.

Om en mottagare är certifierad enligt dataskyddsramverket mellan EU och USA (EU-US Data Privacy Framework), eller dess brittiska eller schweiziska utvidgning, får vi i stället förlita oss på den certifieringen. Om en överföringsmekanism ersätts eller upphör att gälla får vi införa en annan laglig mekanism och kommer att meddela dig.

Om standardavtalsklausulerna eller det brittiska tillägget står i strid med detta personuppgiftsbiträdesavtal har de företräde för de överföringar de omfattar.

13. Ansvar

I den utsträckning lagen tillåter är varje parts ansvar som följer av eller hänger samman med detta personuppgiftsbiträdesavtal, inklusive standardavtalsklausulerna, underkastat de ansvarsbegränsningar och ansvarsfriskrivningar som finns i användarvillkoren. Dessa begränsningar gäller för avtalet och detta personuppgiftsbiträdesavtal tillsammans, inte var för sig.

Ingenting i detta personuppgiftsbiträdesavtal begränsar ansvaret gentemot registrerade enligt standardavtalsklausulerna, eller något ansvar som inte kan begränsas enligt tillämplig lag.

I den utsträckning lagen tillåter skadeslöshåller du oss mot krav från tredje part, böter och kostnader som uppstår till följd av behandling som utförts enligt dina instruktioner, när dessa instruktioner, eller de data du lämnat, stred mot dataskyddslagstiftningen.

14. Giltighetstid, företräde och ändringar

Detta personuppgiftsbiträdesavtal gäller så länge vi behandlar kundens personuppgifter. Det fortsätter att gälla efter att avtalet upphört, tills uppgifterna har återlämnats eller raderats.

Om dokument står i strid med varandra gäller denna ordning: en beställning eller ett skriftligt avtal som undertecknats av båda parter, därefter tjänstevillkoren för den berörda produkten, därefter detta personuppgiftsbiträdesavtal i frågor om dataskydd, därefter användarvillkoren och sist våra övriga policyer. Standardavtalsklausulerna och det brittiska tillägget har företräde enligt avsnittet om internationella överföringar. Tvingande lag har företräde framför dem alla.

Vi får uppdatera detta personuppgiftsbiträdesavtal, till exempel med anledning av ändringar i lagstiftningen eller bland våra underbiträden. Vi meddelar dig via e-post minst 30 dagar i förväg om en ändring som väsentligt minskar skyddet för kundens personuppgifter. Ingen ändring minskar det skydd som dataskyddslagstiftningen kräver.

Detta personuppgiftsbiträdesavtal regleras av den lag som gäller för användarvillkoren, med undantag för att standardavtalsklausulerna regleras av den lag som klausulerna anger. Om du behöver en motsignerad kopia för dina egna handlingar kan du skriva till legal@aigrow.gg.

15. Bilaga: behandlingsuppgifter

Denna bilaga beskriver behandlingen enligt artikel 28.3 i GDPR och bilaga I till standardavtalsklausulerna.

16. Bilaga: kategorier av underbiträden

Det här är de kategorier av underbiträden som kan behandla kundens personuppgifter, med deras platser. Den aktuella förteckningen över namngivna underbiträden finns att få på begäran från privacy@aigrow.gg.