Dataskyddsavtal

Kund avser den person eller organisation som anges i Avtalet och kontoregistreringen. LensGo avser Acosh, Sweelinckplantsoen 40, 1323 MT Almere, Nederländerna. Kunden är personuppgiftsansvarig och LensGo är personuppgiftsbiträde för Kundens personuppgifter. Om Kunden agerar som personuppgiftsbiträde för en annan personuppgiftsansvarig, bekräftar Kunden att den har behörighet att anlita LensGo som underbiträde och att vidarebefordra den personuppgiftsansvariges instruktioner.

Tjänster avser LensGo:s tjänst för delning av evenemangsfoton och -videor, inklusive insamling, lagring, organisering, moderering, visning och nedladdning av evenemangsinnehåll. Kundens personuppgifter avser personuppgifter som behandlas av LensGo för Kundens räkning för att tillhandahålla dessa Tjänster. En underleverantör är en leverantör som anlitas av LensGo för att behandla dessa uppgifter för Kundens räkning.

GDPR avser förordning (EU) 2016/679. Tillämplig dataskyddslagstiftning avser GDPR och tillämpliga kompletterande lagar. EES avser Europeiska ekonomiska samarbetsområdet. Personuppgiftsansvarig, personuppgiftsbiträde, personuppgifter, behandling, registrerad, personuppgiftsincident och tillsynsmyndighet har samma betydelse som i GDPR.

Detta DPA reglerar inte behandling där LensGo bestämmer sina egna ändamål, såsom kontoadministration, fakturering, rättsliga skyldigheter och marknadsföring. Sådan behandling beskrivs i integritetspolicyn. En leverantörs roll beror på den specifika behandlingen; bilaga 3 skiljer på dessa aktiviteter.

LensGo ska behandla Kundens personuppgifter endast enligt dokumenterade instruktioner från Kunden, inklusive för internationella överföringar, såvida inte unions- eller medlemsstatslagstiftning kräver annat. I sådant fall ska LensGo informera Kunden om det rättsliga kravet före behandling, såvida inte lagen förbjuder sådan underrättelse av viktiga skäl av allmänintresse.

Avtalet, detta DPA, Kundens tjänsteinställningar och skriftliga begäranden dokumenterar instruktionerna. Bilaga 1 anger behandlingens föremål, varaktighet, art och syfte. Kunden fastställer den lagliga grunden, tillhandahåller erforderliga meddelanden, inhämtar eventuella nödvändiga samtycken och styr vem som får ladda upp, visa och ladda ner evenemangsinnehåll. Kunden får utfärda ytterligare lagliga instruktioner via kontakten i avsnitt 11.

LensGo ska omedelbart informera Kunden om LensGo enligt sin uppfattning anser att en instruktion strider mot GDPR eller annan unions- eller medlemsstats dataskyddsbestämmelse. LensGo ska avbryta den berörda instruktionen tills parterna har löst frågan; LensGo får inte ersätta Kundens instruktioner med sina egna ändamål.

LensGo ska begränsa åtkomsten till Kundens personuppgifter till behöriga personer som behöver den för att tillhandahålla Tjänsterna. Dessa personer ska vara bundna av sekretessåtaganden eller en lämplig lagstadgad tystnadsplikt och få instruktioner som är lämpliga för deras ansvarsområden. Dessa skyldigheter gäller även efter att deras åtkomst har upphört.

LensGo ska införa och upprätthålla tekniska och organisatoriska åtgärder som är lämpliga med hänsyn till risken enligt artikel 32 GDPR, med beaktande av den senaste tekniken, genomförandekostnaderna samt behandlingens art, omfattning, sammanhang och ändamål. Bilaga 2 specificerar applikationskontroller och de operativa skyldigheter som stöder dem.

Med beaktande av behandlingens art och den information som står till buds ska LensGo bistå Kunden med efterlevnad av artiklarna 32–36 GDPR, inklusive säkerhet, bedömning och anmälan av incidenter, konsekvensbedömningar avseende dataskydd och förhandssamråd med tillsynsmyndigheter. LensGo ska tillhandahålla relevant information och samarbeta med den behöriga tillsynsmyndigheten.

Kunden lämnar generellt skriftligt godkännande för användning av de underleverantörer som anges i bilaga 3 för den angivna behandlingen. LensGo ska underrätta Kunden via e-post minst 30 kalenderdagar innan en ny eller ersättande underleverantör läggs till, med angivande av dess funktion, behandlingsplatser och eventuella skyddsåtgärder för internationella överföringar. Att endast uppdatera denna webbsida utgör inte underrättelse.

Kunden får invända på rimliga dataskyddsgrunder genom att kontakta LensGo inom denna underrättelseperiod. Parterna ska arbeta för att lösa invändningen, bland annat genom att använda ett alternativ eller undvika den berörda behandlingen. LensGo ska inte ge den föreslagna leverantören åtkomst till den invändande Kundens uppgifter medan invändningen inte är löst. Om ingen lösning finns tillgänglig får Kunden säga upp de berörda Tjänsterna innan ändringen träder i kraft och begära återlämnande eller radering enligt avsnitt 9.

Innan åtkomst ges ska LensGo ingå ett skriftligt avtal som ålägger samma dataskyddskrav som detta DPA, inklusive tillräckliga garantier för lämpliga tekniska och organisatoriska åtgärder. LensGo är fullt ansvarigt gentemot Kunden för varje underleverantörs fullgörande av dessa skyldigheter. På begäran ska LensGo tillhandahålla relevant efterlevnadsinformation och avtalsmässiga skyddsåtgärder, med förbehåll för nödvändigt skydd av konfidentiell information.

Varje part i detta DPA åtar sig att hålla den andra parten skadeslös för skador eller kostnader som följer av partens eget vållande av överträdelser av detta DPA, inklusive överträdelser som begåtts av partens legala företrädare, underleverantörer, anställda eller andra ombud. Vidare åtar sig varje part att hålla den andra parten skadeslös mot krav som framställs av tredje part på grund av, eller i samband med, den andra partens vållande överträdelse.

Varje part är ansvarig för att uppfylla sina skyldigheter enligt detta DPA och tillämplig dataskyddslagstiftning. Ingenting i Avtalet eller detta DPA begränsar registrerades rättigheter, någon av parternas ansvar enligt artikel 82 GDPR, tillsynsmyndigheters befogenheter eller LensGo:s ansvar enligt avsnitt 5.

Med beaktande av behandlingens art ska LensGo, genom lämpliga tekniska och organisatoriska åtgärder, så långt det är möjligt bistå Kunden med att besvara begäranden enligt kapitel III GDPR. Detta inkluderar hjälp med att lokalisera, exportera, korrigera, begränsa eller radera relevanta Kundens personuppgifter.

LensGo ska utan dröjsmål vidarebefordra begäranden som rör Kundens personuppgifter till Kunden och ska inte svara självständigt utom på dokumenterade instruktioner eller när lagstiftningen kräver det. Där det är lagligen tillåtet ska LensGo informera Kunden innan den svarar enligt ett lagstadgat krav.

LensGo ska underrätta Kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som påverkar Kundens personuppgifter. Meddelandet ska beskriva incidenten, kategorier och ungefärligt antal berörda personer och uppgifter där så är känt, sannolika konsekvenser, vidtagna eller föreslagna åtgärder samt en kontaktperson för ytterligare information. Ofullständig information ska tillhandahållas i omgångar utan onödigt ytterligare dröjsmål.

LensGo ska utreda, begränsa och åtgärda incidenten, bevara relevant bevisning och samarbeta med Kundens bedömning, rapportering och kommunikation. Kunden beslutar om underrättelser till tillsynsmyndigheter och registrerade, utan att det påverkar LensGo:s egna rättsliga skyldigheter.

När Tjänsterna som innefattar behandling upphör ska LensGo, enligt Kundens val, återlämna alla Kundens personuppgifter i ett vanligt förekommande elektroniskt format och radera befintliga kopior, eller radera alla Kundens personuppgifter och kopior. Kunden får meddela sitt val via avsnitt 11, även före uppsägning. LensGo ska begära instruktioner om inget val har meddelats och får inte betrakta tystnad som ett avstående från rätten till återlämnande.

LensGo ska slutföra det instruerade återlämnandet eller raderingen inom 30 arbetsdagar efter att Tjänsterna upphör eller, om senare, efter mottagandet av Kundens val. Fram till slutförandet ska LensGo skydda uppgifterna enligt detta DPA och behandla dem endast i den utsträckning som krävs för återlämnande, radering eller lagstadgad arkivering. LensGo ska säkerställa att underleverantörer vidtar samma åtgärder och bekräfta slutförandet skriftligen på begäran.

Dessa skyldigheter omfattar original, bearbetade versioner, exporter och säkerhetskopior. Undantaget är unions- eller medlemsstatslagstiftning som kräver arkivering: LensGo ska identifiera det rättsliga kravet och arkiveringsperioden för Kunden om inte förbjudet, isolera de arkiverade uppgifterna, begränsa behandlingen till detta krav och radera dem när kravet upphör. Säkerhetskopior får inte användas för andra ändamål; eventuell återställning måste återigen tillämpa raderingsinstruktioner.

Lagring inom EES utesluter inte i sig internationella överföringar genom supportåtkomst, diagnostik eller innehållsleverans. LensGo ska överföra Kundens personuppgifter utanför EES endast enligt dokumenterade instruktioner och i enlighet med kapitel V GDPR, inklusive eventuella vidareöverföringar.

Innan en överföring sker ska LensGo säkerställa att den omfattas av ett tillämpligt beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder enligt artikel 46 GDPR. Om LensGo förlitar sig på kommissionens beslut (EU) 2021/914 om standardavtalsklausuler ska LensGo ingå det tillämpliga modulen med den faktiska mottagaren, fylla i dess bilagor, bedöma mottagarlandets lagar och praxis samt införa nödvändiga kompletterande åtgärder. För en överföring från personuppgiftsbiträde till underbiträde är detta vanligtvis modul tre. LensGo ska på begäran tillhandahålla information om den tillämpliga mekanismen och skyddsåtgärderna samt avbryta överföringar om adekvat skydd inte kan säkerställas.

Detta DPA är ett behandlingsavtal enligt artikel 28. Det innefattar inte en uppsättning internationella standardavtalsklausuler (SCCs) mellan Kunden och LensGo enbart för att LensGo tar emot uppgifter i Nederländerna. Eventuella nödvändiga SCCs gäller för det faktiska överföringsförhållandet; bilaga 3 utgör inte i sig en överföringsmekanism.

Skicka instruktioner, invändningar, begäranden om rättigheter och efterlevnadsförfrågningar till [email protected], adresserat till Daan de Vos, Acosh / LensGo. LensGo ska skicka avtalsmeddelanden och incidentanmälningar till Kundens registrerade kontomejl eller en utsedd kontaktperson för dataskydd. Kunden ska hålla dessa uppgifter aktuella.

Parterna ska skydda konfidentiell information som erhållits genom detta DPA. Detta hindrar inte delning av detta avtal eller nödvändig efterlevnadsinformation med professionella rådgivare, revisorer, tillsynsmyndigheter eller enligt lag.

Detta DPA regleras av nederländsk lag. Tvister mellan parterna ska hänskjutas till behörig domstol i Nederländerna, utan att det påverkar tvingande lagstiftning, registrerades rätt att väcka talan eller behöriga tillsynsmyndigheters befogenheter.

LensGo ska tillhandahålla all information som är nödvändig för att visa efterlevnad av artikel 28 GDPR och detta DPA, och möjliggöra och bidra till revisioner, inklusive inspektioner, som utförs av Kunden eller en av Kunden utsedd revisor.

Parterna ska samordna rimlig framförhållning, sekretess och åtgärder för att skydda andra kunders uppgifter. Dokument eller oberoende rapporter kan bidra till att besvara en förfrågan men ska inte ersätta rätten till revision där ytterligare verifiering behövs. Dessa arrangemang får inte hindra eller oskäligt fördröja en revision, särskilt efter en incident eller på begäran av en tillsynsmyndighet. LensGo ska åtgärda identifierade brister utan onödigt dröjsmål.

Parter och kontaktpersoner: Kunden som anges i Avtalet och dess registrerade eller utsedda kontaktperson; personuppgiftsbiträdet Acosh, som bedriver verksamhet under namnet LensGo, Sweelinckplantsoen 40, 1323 MT Almere, Nederländerna, kontaktperson Daan de Vos på [email protected]. Deras roller och ansvarsområden beskrivs i avsnitt 1 och 2.

Föremål och ändamål: driva evenemangsalbum och samla in, organisera, dela, visa och exportera evenemangsfoton, videor och relaterade inlämningar enligt Kundens anvisningar.

Art och frekvens: pågående insamling och mottagande av uppladdningar och inlämningar, lagring, hämtning, formatkonvertering och miniatyrgenerering, organisering, moderering, visning, överföring, nedladdning, åtkomsthantering och radering medan Tjänsterna används.

Registrerade: arrangörer och kontoinnehavare, deras personal och medarbetare, gäster och uppladdare, personer som är synliga eller hörbara i media, samt andra deltagare eller personer som identifieras i inlämningar.

Personuppgifter: namn och e-postadresser där sådana tillhandahålls; foton, ansikten, video och röster; bildtexter, kommentarer och formulärsvar; filnamn och filmetadata (inklusive inspelningstid och plats om sådan finns); evenemangs- och uppladdaridentifierare; IP-adresser, webbläsar-/enhetsinformation, tidsstämplar och tjänsteåtkomst- eller aktivitetsregister som samlas in vid tillhandahållandet av Tjänsterna.

Känsliga uppgifter: media och fritextinlämningar kan oavsiktligt avslöja hälsa, religion, politiska åsikter, sexuell läggning eller andra särskilda kategorier av uppgifter, och kan inkludera barn. Kunden fastställer eventuella tillämpliga villkor enligt artikel 9 och ytterligare skyddsåtgärder, begränsar insamling och åtkomst, och utfärdar raderingsinstruktioner vid behov. LensGo använder inte evenemangsmedia för biometrisk identifiering.

Varaktighet: för Tjänsterna och den retentionstid som anges i Avtalet, vald plan och dokumenterade instruktioner från Kunden, följt av återlämnande eller radering enligt avsnitt 9. Att avsluta ett evenemang eller en betalningsperiod innebär inte i sig att all media redan har raderats.

Åtkomstkontroller: autentiserade arrangörskonton, hashade lösenord, valfri tvåfaktorsautentisering och auktoriseringskontroller för evenemangshantering. Evenemangsinställningar stöder albumlösenord och moderering. Kunder styr delningslänkar och behörigheter; mottagare kan behålla nedladdade kopior.

Applikationsskydd: indatavalidering, begränsning av förfrågningar på skyddade slutpunkter, CSRF-skydd för ändringar av webbläsarstatus och begränsad åtkomst till opublicerat material. Ändringar i applikationen är föremål för automatiserad testning av relevant autentisering, behörigheter och mediaoperationer.

Operativa skyldigheter: LensGo ska begränsa åtkomst för personal och tjänstekonton efter behov, upprätthålla sekretessåtaganden, granska åtkomst och ta bort den när den inte längre behövs. LensGo ska upprätthålla säker transport, aktuellt säkerhetsunderhåll och incidenthantering enligt avsnitt 3, 4 och 8.

Tillgänglighet och återställning: LensGo ska upprätthålla återställningsarrangemang som är lämpliga med hänsyn till riskbedömningen enligt artikel 32, regelbundet bedöma och testa säkerhets- och återställningsåtgärder, och tillämpa retention- och raderingsinstruktioner på återställningskopior. Information om aktuellt omfång, platser, retention och återställningsarrangemang för säkerhetskopior ska tillhandahållas enligt avsnitt 13.

Omfattning av garantier: EU-medialagring är skild från leverans och annan behandling. Denna bilaga gör inte anspråk på genomgående kryptering, universell kryptering i vila, oberoende certifiering eller en viss återställningstid. LensGo ska tillhandahålla aktuell infrastruktur- och säkerhetsdokumentation på begäran enligt avsnitt 13 och får inte väsentligt minska det skydd som krävs enligt detta DPA.

Följande leverantörer behandlar Kundens personuppgifter när de tillhandahåller den angivna delen av Tjänsterna. Ändringar omfattas av avsnitt 5 och överföringar av avsnitt 10. En leverantörs etableringsort är inte en garanti för att all behandling sker där.

Hetzner — applikationshosting och databasinfrastruktur i Tyskland; evenemangsregister, kontoidentifierare och uppgifter som behandlas av applikationen.

Bunny.net (Bunny Edge Storage) — lagring och leverans av uppladdade foton, videor, bearbetade versioner och nedladdningsbara arkiv; tillhörande filnamn, metadata och leveransförfrågningsdata. Medialagring sker inom Europeiska unionen; leverans och fjärråtkomst omfattas även av avsnitt 10.

Scaleway Transactional Email — transaktionsmejlleverans i Frankrike; mottagaradresser och innehåll i tjänst- eller evenemangsmeddelanden.

Cloudflare — omvänd proxy, innehållsleverans och trafikskydd; IP-adresser för förfrågningar, rubriker och innehåll som passerar tjänsten. Amerikansk leverantör med ett globalt nätverk; internationell behandling omfattas av avsnitt 10.

Bugsink – Används för felövervakning; felrapporter kan innehålla tekniska uppgifter som IP-adresser, användar-ID:n och begärandedetaljer (EU - FI/DE).

Crisp — support där Kunden tillhandahåller evenemangs- eller gästdata för hjälp; kontaktuppgifter, meddelanden och bifogade filer. Fransk leverantör. Dess hantering av LensGo:s egna kundrelationsuppgifter faller under den separata rollen nedan.

Dessa aktiviteter ligger utanför Kundens behandlingsinstruktioner och omfattas av integritetspolicyn och leverantörernas tillämpliga villkor. De gör inte varje listad leverantör till en underleverantör enligt detta DPA; leverantörer kan agera för LensGo som personuppgiftsansvarig eller som oberoende personuppgiftsansvariga för särskilda aktiviteter.

Mollie: betalningar, abonnemang och fakturering. Google Sign-In och Sign in with Apple: valfri kontoautentisering. Google Ads: LensGo:s egen reklam och konverteringsmätning. Crisp: LensGo:s egen försäljnings- och kundsupport.

Om en av dessa leverantörer ska behandla Kundens personuppgifter för Kundens räkning utöver de aktiviteter som anges ovan, ska LensGo först uppfylla kraven i avsnitt 5 och 10. Evenemangsmedia är inte godkänd för LensGo:s egen reklam enligt detta DPA.