Förhandsversion – betalning är spärrad. Den verkliga produktionskedjans kontoavtal, behandlingsplatser och överföringsgrunder är ännu inte fullständigt signerade. Texten nedan får inte uppfattas som ett godkännande av en okänd leverantör.
1. Parter och roller
Kunden är personuppgiftsansvarig för personuppgifter som behandlas genom Kundens publicerade webbplats. Ethereal Labs AB, org.nr 559380-1698, är personuppgiftsbiträde när Vera behandlar dessa uppgifter enbart för Kundens räkning. Villkoren är bindande som en del av huvudavtalet och avsedda att uppfylla artikel 28 GDPR.
2. Föremål, art, ändamål och varaktighet
Föremålet är teknisk drift av Kundens webbplats och avtalade kontaktformulär samt support och innehållsändringar. Behandlingen kan omfatta insamling, överföring, strukturering, lagring, åtkomst, backup, återlämning och radering. Ändamålet är att ta emot och förmedla meddelanden, driva och skydda webbplatsen samt utföra Kundens instruktioner.
Behandlingen pågår under huvudavtalet och därefter bara under avtalad export- och raderingsperiod. Lokal synlighet, samtalsspårning, inspelning och nya analysändamål kräver en separat skriftlig beskrivning.
3. Registrerade och uppgifter
Registrerade är normalt besökare som kontaktar Kunden, Kundens kontaktpersoner/behöriga användare och personer vars uppgifter Kunden instruerar Vera att publicera. Uppgifterna kan vara namn, yrkesrelaterad e-post och telefon, meddelande, uppladdat innehåll, IP-/säkerhetslogg samt avsändare, instruktion, godkännande och tidpunkt för ändringsärenden.
Särskilda kategorier enligt artikel 9 och uppgifter om lagöverträdelser enligt artikel 10 GDPR är inte avsedda och får inte aktivt efterfrågas utan en separat skriftlig risk- och avtalsbedömning.
4. Instruktioner och ändamålsgräns
Huvudavtal, order, dessa villkor och senare besked från behörig kontaktperson är Kundens dokumenterade instruktioner. Vera behandlar bara enligt dem, inklusive vid tredjelandsöverföring, och informerar omedelbart om en instruktion bedöms strida mot dataskyddsrätten. Om lag kräver annan behandling informerar Vera före behandlingen när lagen tillåter det.
Uppgifterna får inte användas för Veras egen marknadsföring, profilering eller träning av en generell modell. Endast effektivt anonymiserad statistik får användas utanför Kundens instruktion.
5. Kundens rättigheter och ansvar
Kunden får ge lagliga instruktioner inom tjänstens scope, begära efterlevnadsinformation och granskning, invända mot nya underbiträden samt välja återlämning eller radering. Kunden ansvarar för rättslig grund, information till registrerade, uppgiftsminimering, aktuella behörigheter och beslut om registrerades rättigheter eller myndighetsanmälan.
6. Sekretess och säkerhet
Personer med åtkomst ska omfattas av sekretess, få minsta nödvändiga behörighet och följa instruktion. Vera använder riskanpassade åtgärder enligt artikel 32, minst TLS/HTTPS, åtkomstkontroll och unika konton, flerfaktorsautentisering för privilegierade externa konton där tillgängligt, kundseparering, hemlighetshantering, säkerhetsuppdateringar, loggning, incidentrutin, separerad backup samt periodiska restore- och raderingstest.
Åtgärder får utvecklas med tjänsten och hotbilden men den samlade skyddsnivån får inte sänkas väsentligt utan information till Kunden.
7. Underbiträden och internationella överföringar
Ingen underbiträdeslista är godkänd för denna förhandsversion. Före en betald aktivering måste den verkliga produktionslistan ange exakt juridisk leverantör, ändamål/uppgifter, behandlingsplats, eventuell tredjelandsmekanism och accepterad DPA-version. En preliminär eller tom rad är inte ett godkännande.
Kunden lämnar allmänt förhandstillstånd till leverantörerna i den aktiva listan. Vera lägger samma dataskyddsskyldigheter på varje underbiträde och ansvarar fullt gentemot Kunden för dem. Planerade tillägg eller byten meddelas minst 30 dagar i förväg så att Kunden kan invända på saklig dataskyddsgrund. Om invändningen inte kan lösas får Kunden utan fortsatt avgift avsluta den del som kräver leverantören. Akuta säkerhetsbyten meddelas så snart möjligt.
Överföring utanför EU/EES får bara ske enligt dokumenterad instruktion och giltig grund i kapitel V GDPR med relevanta skyddsåtgärder. Ett EU-serverval eller ett leverantörspåstående är inte i sig en överföringsgrund.
8. Rättigheter, incidenter och bistånd
Vera vidarebefordrar en registrerads begäran utan onödigt dröjsmål och svarar inte utan Kundens instruktion. Vera bistår genom lämpliga åtgärder med rättigheter enligt kapitel III samt skyldigheter enligt artiklarna 32–36, med hänsyn till behandlingens art och tillgänglig information.
En personuppgiftsincident meddelas Kunden utan onödigt dröjsmål. Beskedet lämnar tillgänglig information om händelse, berörda kategorier/omfattning, sannolika följder, åtgärder och kontaktpunkt. Kompletteringar får lämnas stegvis. Vera dokumenterar alla incidenter.
9. Information och granskning
Vera lämnar information som krävs för att visa att artikel 28 följs och möjliggör och bidrar till granskning genom Kunden eller utsedd oberoende revisor. Dokumentation och fjärrgranskning används normalt först. Rimligt varsel, scope, sekretess och andra kunders säkerhet ska respekteras, utom när myndighet eller incident motiverar snabbare kontroll. Vera för det register som artikel 30 kräver.
10. Återlämning och radering
Ingen avtalsfrist är aktiv eller erbjuds i denna förhandsversion. Den bindande målnivån i en senare aktiverad version är radering av aktiva kopior inom 30 dagar och skyddad backuprotation inom ytterligare 35 dagar. Beställning förblir spärrad tills en beständig raderings-/spärrjournal omfattar aktiva system, releasekälla, byggd webbplats, QA-/R2-artefakter och tillämpliga backuper, överlever restore och har bevisats i produktionstest.
11. Giltighet, ansvar och kontakt
Villkoren gäller så länge Vera behandlar för Kundens räkning. Huvudavtalets ansvar gäller mellan parterna i den mån GDPR och tvingande rätt tillåter och begränsar inte registrerades rättigheter eller en parts eget ansvar enligt GDPR. Dessa villkor har företräde för frågor om behandling för Kundens räkning. Instruktioner och frågor skickas till vera@hejvera.se.