Behandlingsavtale for personopplysninger

Kunde betyr personen eller organisasjonen som er identifisert i Avtalen og kontoopprettelsen. LensGo betyr Acosh, Sweelinckplantsoen 40, 1323 MT Almere, Nederland. Kunden er behandlingsansvarlig og LensGo er databehandler for Kundens personopplysninger. Når Kunden opptrer som databehandler for en annen behandlingsansvarlig, bekrefter Kunden at den har fullmakt til å oppnevne LensGo som underleverandør og til å formidle den behandlingsansvarliges instrukser.

Tjenester betyr LensGo sin tjeneste for deling av arrangementfoto og -videoer, inkludert innsamling, lagring, organisering, moderering, visning og nedlasting av arrangementinnhold. Kundens personopplysninger betyr personopplysninger som behandles av LensGo på Kundens vegne for å levere disse Tjenestene. En underleverandør er en leverandør engasjert av LensGo for å behandle disse opplysningene på Kundens vegne.

GDPR betyr forordning (EU) 2016/679. Gjeldende personvernlovgivning betyr GDPR og gjeldende lover som utfyller denne. EØS betyr Det europeiske økonomiske samarbeidsområde. Behandlingsansvarlig, databehandler, personopplysninger, behandling, registrert, personopplysningsbrudd og tilsynsmyndighet har sine betydninger i henhold til GDPR.

Denne DPA regulerer ikke behandling der LensGo bestemmer sine egne formål, som kontoadministrasjon, fakturering, juridiske forpliktelser og markedsføring. Slik behandling er beskrevet i personvernerklæringen. En leverandørs rolle avhenger av den konkrete behandlingen; vedlegg 3 skiller mellom disse aktivitetene.

LensGo skal bare behandle Kundens personopplysninger etter dokumenterte instrukser fra Kunden, inkludert for internasjonale overføringer, med mindre unions- eller medlemsstatslovgivning pålegger noe annet. I så fall skal LensGo informere Kunden om det rettslige kravet før behandling, med mindre loven forbyr slik varsling av viktige hensyn til allmennhetens interesse.

Avtalen, denne DPA, Kundens tjenesteinnstillinger og skriftlige forespørsler dokumenterer instruksene. Vedlegg 1 angir deres sak, varighet, art og formål. Kunden fastsetter det rettslige grunnlaget, gir nødvendige meldinger, innhenter eventuelle nødvendige samtykker og kontrollerer hvem som kan laste opp, se og laste ned arrangementinnhold. Kunden kan gi ytterligere lovlige instrukser via kontakten i avsnitt 11.

LensGo skal umiddelbart informere Kunden dersom selskapet etter sin mening mener at en instruks strider mot GDPR eller andre unions- eller medlemsstats bestemmelser om databeskyttelse. LensGo skal stanse den berørte instruksen inntil partene har løst saken; selskapet skal ikke erstatte Kundens instrukser med sine egne formål.

LensGo skal begrense tilgangen til Kundens personopplysninger til autoriserte personer som trenger tilgang for å levere Tjenestene. Disse personene skal være bundet av taushetsplikt eller en passende lovbestemt taushetsplikt og motta instrukser som er tilpasset deres ansvarsområder. Disse pliktene gjelder også etter at tilgangen er avsluttet.

LensGo skal iverksette og opprettholde tekniske og organisatoriske tiltak som er passende for risikoen i henhold til artikkel 32 i GDPR, med hensyn til teknologiens stand, implementeringskostnader og behandlingens art, omfang, kontekst og formål. Vedlegg 2 spesifiserer applikasjonskontroller og de operasjonelle forpliktelsene som støtter disse.

Med hensyn til behandlingens art og informasjonen som er tilgjengelig, skal LensGo bistå Kunden med å overholde artikkel 32–36 i GDPR, inkludert sikkerhet, vurdering og varsling av brudd, konsekvensutredninger for databeskyttelse og forhåndskonsultasjon med tilsynsmyndigheter. LensGo skal gi relevant informasjon og samarbeide med den kompetente tilsynsmyndigheten.

Kunden gir generell skriftlig fullmakt til å benytte de underleverandørene som er oppført i vedlegg 3 for den angitte behandlingen. LensGo skal varsle Kunden via e-post minst 30 kalenderdager før en ny eller erstattet underleverandør tas i bruk, med angivelse av funksjon, behandlingssteder og eventuelle sikkerhetstiltak for internasjonale overføringer. Oppdatering av denne nettsiden alene er ikke tilstrekkelig varsel.

Kunden kan innvende på rimelige personvernmessige grunner ved å kontakte LensGo innen varslingsfristen. Partene skal samarbeide for å løse innvendingen, blant annet ved å benytte en alternativ leverandør eller unngå den berørte behandlingen. LensGo skal ikke gi den foreslåtte leverandøren tilgang til dataene til Kunden som har fremsatt innvendingen mens innvendingen ikke er løst. Hvis ingen løsning er tilgjengelig, kan Kunden si opp de berørte Tjenestene før endringen trer i kraft og be om retur eller sletting i henhold til avsnitt 9.

Før tilgang gis, skal LensGo inngå en skriftlig avtale som pålegger underleverandøren de samme databeskyttelsesforpliktelsene som denne DPA, inkludert tilstrekkelige garantier for passende tekniske og organisatoriske tiltak. LensGo er fullt ut ansvarlig overfor Kunden for hver underleverandørs oppfyllelse av disse forpliktelsene. På forespørsel skal LensGo gi relevant informasjon om etterlevelse og kontraktuelle sikkerhetstiltak, med forbehold om nødvendig beskyttelse av konfidensiell informasjon.

Hver part i denne DPA-en forplikter seg til å holde den andre parten skadesløs for tap eller kostnader som følge av eget klanderverdig brudd på DPA-en, herunder brudd begått av partens juridiske representant, underleverandører, ansatte eller andre medhjelpere. Videre forplikter hver part seg til å holde den andre parten skadesløs for krav fra tredjeparter som følge av, eller i forbindelse med, den andre partens klanderverdige brudd.

Hver part er ansvarlig for å overholde sine forpliktelser i henhold til denne DPA og gjeldende personvernlovgivning. Ingenting i Avtalen eller denne DPA begrenser registrertes rettigheter, noen av partenes ansvar i henhold til artikkel 82 i GDPR, tilsynsmyndighetenes beføyelser eller LensGos ansvar i henhold til avsnitt 5.

Med hensyn til behandlingens art skal LensGo bistå Kunden gjennom passende tekniske og organisatoriske tiltak, så langt det er mulig, med å besvare forespørsler i henhold til kapittel III i GDPR. Dette inkluderer å hjelpe til med å finne, eksportere, rette, begrense eller slette relevante Kundens personopplysninger.

LensGo skal straks videresende forespørsler om Kundens personopplysninger til Kunden og skal ikke svare selvstendig uten dokumenterte instrukser eller der loven krever det. Der det er juridisk tillatt, skal LensGo informere Kunden før selskapet svarer i henhold til et rettslig krav.

LensGo skal varsle Kunden uten unødig opphold etter at selskapet har blitt kjent med et personopplysningsbrudd som berører Kundens personopplysninger. Varslingen skal beskrive bruddet, kategorier og omtrentlige antall berørte personer og opptegnelser der dette er kjent, sannsynlige konsekvenser, tiltak som er iverksatt eller foreslått, og en kontaktperson for ytterligere informasjon. Ufullstendig informasjon skal leveres i etapper uten unødig opphold.

LensGo skal undersøke, begrense og utbedre bruddet, bevare relevant bevis og samarbeide med Kundens vurdering, rapportering og kommunikasjon. Kunden bestemmer om varsling til tilsynsmyndigheter og registrerte, uten at dette berører LensGos egne rettslige forpliktelser.

Ved avslutning av Tjenestene som innebærer behandling, skal LensGo, etter Kundens valg, returnere alle Kundens personopplysninger i et vanlig brukt elektronisk format og slette eksisterende kopier, eller slette alle Kundens personopplysninger og kopier. Kunden kan meddele sitt valg via avsnitt 11, også før oppsigelse. LensGo skal innhente instrukser dersom intet valg er meddelt og skal ikke behandle taushet som et frafall av retten til retur.

LensGo skal fullføre den instruerte returen eller slettingen innen 30 virkedager etter at Tjenestene avsluttes eller, hvis senere, etter mottak av Kundens valg. Inntil fullføring skal selskapet beskytte opplysningene i henhold til denne DPA og behandle dem kun som nødvendig for retur, sletting eller lovpålagt oppbevaring. Selskapet skal sørge for at underleverandører gjør det samme og bekrefte fullføring skriftlig på forespørsel.

Disse pliktene omfatter originaler, avledede versjoner, eksport og sikkerhetskopier. Unions- eller medlemsstatslovgivning som pålegger oppbevaring er det eneste unntaket: LensGo skal identifisere det rettslige kravet og oppbevaringsperioden til Kunden med mindre dette er forbudt, isolere de oppbevarte opplysningene, begrense behandlingen til dette kravet og slette dem når kravet opphører. Sikkerhetskopier skal ikke benyttes til andre formål; eventuell gjenoppretting må gjeninnføre slettingsinstruksene.

Lagring i EØS utelukker ikke i seg selv internasjonale overføringer gjennom støtteaksess, diagnostikk eller innholdslevering. LensGo skal kun overføre Kundens personopplysninger utenfor EØS etter dokumenterte instrukser og i samsvar med kapittel V i GDPR, inkludert eventuelle videre overføringer.

Før en overføring skal LensGo sikre at den er omfattet av en gjeldende beslutning om tilstrekkelig beskyttelsesnivå eller nødvendige garantier etter artikkel 46 i GDPR. Dersom selskapet baserer seg på Kommisjonens beslutning (EU) 2021/914 om standard kontraktklausuler, skal LensGo inngå den gjeldende modulen med den faktiske mottakeren, utfylle vedleggene, vurdere lovgivningen og praksisen i mottakerlandet og iverksette nødvendige supplerende tiltak. For en overføring fra databehandler til underleverandør vil dette vanligvis være modul tre. LensGo skal på forespørsel gi informasjon om den gjeldende mekanismen og sikkerhetstiltakene og stanse overføringer dersom tilstrekkelig beskyttelse ikke kan sikres.

Denne DPA er en behandlingsavtale i henhold til artikkel 28. Den inkorporerer ikke et sett med internasjonale overførings-SCCer mellom Kunden og LensGo bare fordi LensGo mottar data i Nederland. Eventuelle nødvendige SCCer gjelder for det faktiske overføringsforholdet; vedlegg 3 utgjør ikke i seg selv en overføringsmekanisme.

Send instrukser, innvendinger, rettighetsforespørsler og etterlevelseshenvendelser til [email protected], adressert til Daan de Vos, Acosh / LensGo. LensGo skal sende avtalerelaterte varsler og bruddsvarsler til Kundens registrerte konto-e-post eller en oppgitt personvernkontakt. Kunden skal holde disse opplysningene oppdatert.

Partene skal beskytte konfidensiell informasjon innhentet gjennom denne DPA. Dette hindrer ikke deling av denne avtalen eller nødvendig etterlevelsesinformasjon med profesjonelle rådgivere, revisorer, tilsynsmyndigheter eller der loven krever det.

Denne DPA reguleres av nederlandsk rett. Tvister mellom partene skal bringes inn for de kompetente domstolene i Nederland, uten at dette berører ufravikelig lov, registrertes rett til å reise søksmål eller de kompetente tilsynsmyndighetenes beføyelser.

LensGo skal gjøre tilgjengelig all informasjon som er nødvendig for å påvise etterlevelse av artikkel 28 i GDPR og denne DPA, og tillate og bidra til revisjoner, inkludert inspeksjoner, utført av Kunden eller en revisor oppnevnt av denne.

Partene skal koordinere rimelig varsel, konfidensialitet og tiltak for å beskytte andre kunders data. Dokumenter eller uavhengige rapporter kan bidra til å besvare en henvendelse, men skal ikke erstatte retten til revisjon der ytterligere verifisering er nødvendig. Disse ordningene skal ikke hindre eller uforsvarlig forsinke en revisjon, særlig etter en hendelse eller på tilsynsmyndighetens forespørsel. LensGo skal rette identifiserte mangler uten unødig opphold.

Parter og kontaktpersoner: Kunden identifisert i Avtalen og dens registrerte eller oppgitte kontaktperson; databehandler Acosh, som driver under navnet LensGo, Sweelinckplantsoen 40, 1323 MT Almere, Nederland, kontaktperson Daan de Vos på [email protected]. Deres roller og ansvarsområder er beskrevet i avsnitt 1 og 2.

Sak og formål: drift av arrangementalbum og innsamling, organisering, deling, visning og eksport av arrangementfoto, -videoer og tilhørende innsendelser etter Kundens instrukser.

Art og hyppighet: løpende innsamling og mottak av opplastinger og innsendelser, lagring, henting, formatkonvertering og miniatyrgenerering, organisering, moderering, visning, overføring, nedlasting, tilgangsstyring og sletting mens Tjenestene benyttes.

Registrerte: arrangører og kontoinnehavere, deres ansatte og samarbeidspartnere, gjester og opplastere, personer som er synlige eller hørbare i media, og andre deltakere eller personer identifisert i innsendelser.

Personopplysninger: navn og e-postadresser der disse er oppgitt; foto, ansikter, video og stemmer; bildetekster, kommentarer og skjemasvar; filnavn og filmetadata (inkludert opptakstid og -sted hvis tilgjengelig); arrangement- og opplastingsidentifikatorer; IP-adresser, nettleser-/enhetsinformasjon, tidsstempler og tjenesteaksess- eller aktivitetslogger der disse samles inn ved levering av Tjenestene.

Følsomme opplysninger: media og fritekstinnsendelser kan tilfeldigvis avsløre helse, religion, politiske meninger, seksuell orientering eller andre særlige kategorier av opplysninger, og kan omfatte barn. Kunden fastsetter eventuelle vilkår i henhold til artikkel 9 og ytterligere sikkerhetstiltak, begrenser innsamling og tilgang, og gir slettingsinstrukser etter behov. LensGo benytter ikke arrangementmedia til biometrisk identifisering.

Varighet: for Tjenestene og oppbevaringsperioden i henhold til Avtalen, valgt abonnement og dokumenterte instrukser fra Kunden, etterfulgt av retur eller sletting i henhold til avsnitt 9. Avslutning av et arrangement eller en betalingsperiode er ikke i seg selv en erklæring om at alt media allerede er slettet.

Tilgangskontroller: autentiserte arrangørkontoer, hashede passord, valgfri tofaktorautentisering og autorisasjonskontroller for arrangementadministrasjon. Arrangementinnstillinger støtter albumpassord og moderering. Kunden kontrollerer delingslenker og tillatelser; mottakere kan beholde nedlastede kopier.

Applikasjonssikkerhet: inndatavalidering, forespørselsbegrensning på beskyttede endepunkter, CSRF-beskyttelse for nettlesertilstandsendringer og begrenset tilgang til upublisert media. Applikasjonsendringer er underlagt automatisert testing av relevant autentisering, tillatelser og mediaoperasjoner.

Operasjonelle forpliktelser: LensGo skal begrense tilgang for ansatte og tjenestepåloggingsinformasjon etter behov, opprettholde taushetsforpliktelser, gjennomgå tilgang og fjerne den når den ikke lenger er nødvendig. Selskapet skal opprettholde sikker overføring, rettidig sikkerhetsvedlikehold og håndtering av hendelser i henhold til avsnitt 3, 4 og 8.

Tilgjengelighet og gjenoppretting: LensGo skal opprettholde gjenopprettingsordninger som er passende for risikovurderingen i henhold til artikkel 32, regelmessig vurdere og teste sikkerhets- og gjenopprettingstiltak, og anvende oppbevarings- og slettingsinstruksene på gjenopprettingskopier. Informasjon om gjeldende omfang, steder, oppbevaring og gjenopprettingsordninger for sikkerhetskopier skal gjøres tilgjengelig i henhold til avsnitt 13.

Omfang av garantier: EU-medialagring er adskilt fra levering og annen behandling. Dette vedlegget påstår ikke ende-til-ende-kryptering, universell kryptering i hvilemodus, uavhengig sertifisering eller en bestemt gjenopprettingstid. LensGo skal på forespørsel levere gjeldende infrastruktur- og sikkerhetsdokumentasjon i henhold til avsnitt 13 og skal ikke vesentlig redusere beskyttelsen som kreves i denne DPA.

Følgende leverandører behandler Kundens personopplysninger når de leverer den angitte delen av Tjenestene. Endringer er underlagt avsnitt 5 og overføringer til avsnitt 10. En leverandørs etableringssted er ikke en garanti for at all behandling skjer der.

Hetzner — applikasjonshosting og databaseinfrastruktur i Tyskland; arrangementopplysninger, kontoidentifikatorer og data behandlet av applikasjonen.

Bunny.net (Bunny Edge Storage) — lagring og levering av opplastede foto, videoer, avledede versjoner og nedlastbare arkiver; tilhørende filnavn, metadata og leveringsforespørselsdata. Medialagring skjer i Den europeiske union; levering og fjernaksess er også underlagt avsnitt 10.

Scaleway Transactional Email — transaksjonell e-postlevering i Frankrike; mottakeradresser og innhold i tjeneste- eller arrangementvarsler.

Cloudflare — omvendt proxy, innholdslevering og trafikksikring; forespørsels-IP-adresser, headere og innhold som passerer gjennom tjenesten. Amerikansk leverandør med et globalt nettverk; internasjonal behandling er underlagt avsnitt 10.

Bugsink – Brukes til feilovervåking; feilrapporter kan inneholde tekniske data som IP-adresser, bruker-ID-er og forespørselsdetaljer (EU - FI/DE).

Crisp — kundestøtte der Kunden oppgir arrangement- eller gjestedata for assistanse; kontaktinformasjon, meldinger og vedlagte filer. Fransk leverandør. Dens håndtering av LensGos egne kundeinformasjon faller under den separate rollen nedenfor.

Disse aktivitetene er utenfor Kundens behandlingsinstrukser og dekkes av personvernerklæringen og leverandørenes gjeldende vilkår. De gjør ikke hver oppførte leverandør til en underleverandør i henhold til denne DPA; leverandører kan opptre for LensGo som behandlingsansvarlig eller som selvstendig behandlingsansvarlig for bestemte aktiviteter.

Mollie: betalinger, abonnementer og fakturering. Google Sign-In og Sign in with Apple: valgfri kontoautentisering. Google Ads: LensGos egen annonsering og konverteringsmåling. Crisp: LensGos egen salgs- og kontoassistanse.

Dersom en av disse leverandørene skal behandle Kundens personopplysninger på Kundens vegne utover aktivitetene som er oppført ovenfor, skal LensGo først overholde avsnitt 5 og 10. Arrangementmedia er ikke autorisert for LensGos egen annonsering i henhold til denne DPA.