Databehandleraftale

Denne databehandleraftale ("DPA") er en del af Servicevilkår mellem Passport Digital Limited ("vi", databehandleren) og kunden ("du", den dataansvarlige). Den gælder, når vi behandler personoplysninger på dine vegne ved levering af MyProductPassport, og opfylder artikel 28 i UK GDPR og, hvor den gælder, i EU GDPR. Hvis en partner administrerer dit workspace og har din kontrakt, er vi denne partners underdatabehandler på samme vilkår.

1. Oplysninger om behandlingen

• Genstand og varighed: levering af MyProductPassport til dig, så længe kontrakten løber og indtil dataene slettes som beskrevet nedenfor.
• Art og formål: hosting, lagring, offentliggørelse, oversættelse og visning af dine produktdata og pas; udarbejdelse af statistik over visninger af pas; support; og backups.
• Hvis du bruger dem, også: at bede de leverandører, du vælger, om oplysninger, at opbevare en signeret historik for hvert offentliggjort pas og at logge dit team ind via din identitetsudbyder.
• Berørte personer: dine medarbejdere og teammedlemmer; personer nævnt i dine produktdata og dokumenter; og personer, der ser dine offentliggjorte pas.
• Typer af personoplysninger: navne, forretningskontaktoplysninger og jobroller; alle personoplysninger, du medtager i produktdata eller dokumenter; og for dem, der ser pas, land, enhedstype, browser, styresystem, henvisende side og en kodet besøgsidentifikator (aldrig IP-adressen).
• Når du slår eftersalg til: registrering af ejerne af dine produkter og føring af deres garantioplysninger, formidling af servicehenvendelser, dine svar og dine kunders billeder mellem dig og dem, ejeres overdragelse af et produkt og kontrol af, om en vare er ægte.
• Berørte personer, når du bruger eftersalg: personer, der registrerer et af dine produkter, sender dig en servicehenvendelse, får et produkt overdraget af dets ejer eller tjekker, om en vare er ægte.
• Typer af personoplysninger om dem: navn og e-mailadresse; hvad de selv vælger at tilføje, f.eks. telefonnummer, land, dato og sted for købet, serienummer, beskeder og billeder; om de har sagt ja til at høre fra dig, med den præcise ordlyd, de så; og ved ægthedstjek landet og en kodet besøgsidentifikator (aldrig IP-adressen).
• Hvis du beder leverandører om oplysninger: dine leverandørers kontaktpersoner (navn, e-mailadresse og virksomhed) og de svar og filer, de sender. Hvis du bruger single sign-on: det navn og den e-mailadresse, som din identitetsudbyder sender for hver person. Den signerede historik for et pas opbevarer hver offentliggjort version, som den var, herunder tidligere feltværdier. Den slettes sammen med dit arbejdsområde, og vi vil fjerne tidligere versioner efter din instruks, hvis personoplysninger skal slettes fra dem.

Tjenesten er ikke beregnet til særlige kategorier af data (såsom helbredsdata). Upload dem venligst ikke.

Du bestemmer, hvad dine kunder får at vide. Din privatlivspolitik er linket i hver eftersalgsformular og e-mail, og funktionerne er slået fra, indtil du har tilføjet den. E-mails til dine kunder sendes i dit navn, med din svaradresse, via vores udsendelsesleverandør.

2. Vores forpligtelser

Vi vil:

• kun behandle personoplysninger efter dine dokumenterede instrukser, som er disse vilkår og din brug af tjenesten, medmindre loven kræver andet, i hvilket fald vi først fortæller dig det, medmindre loven forbyder det;
• fortælle dig, hvis vi mener, at en instruks overtræder databeskyttelseslovgivningen;
• sikre, at alle, vi bemyndiger til at behandle dataene, har tavshedspligt;
• anvende de sikkerhedsforanstaltninger, der er beskrevet nedenfor;
• kun bruge underdatabehandlere som beskrevet nedenfor;
• hjælpe dig med at besvare anmodninger fra personer, der udøver deres rettigheder;
• hjælpe dig med at opfylde dine forpligtelser vedrørende sikkerhed, anmeldelse af brud, konsekvensanalyser vedrørende databeskyttelse og forudgående høring, under hensyntagen til de oplysninger, vi har til rådighed;
• slette eller returnere personoplysninger, når kontrakten ophører, som beskrevet nedenfor;
• stille de oplysninger til rådighed, der er nødvendige for at vise, at disse forpligtelser er opfyldt, og tillade revisioner som beskrevet nedenfor.

3. Underdatabehandlere

Du bemyndiger os til at bruge disse underdatabehandlere:

• DigitalOcean via Cloudways: hosting, databaser og backups (London, Storbritannien).
• Cloudflare: netværk, sikkerhed og indholdslevering (globalt netværk).
• Brevo (Sendinblue SAS): afsendelse af servicemails til dig og dit team og, når du bruger eftersalg, til dine kunder (Frankrig).
• OpenAI: automatisk oversættelse af offentliggjort pastekst og læsning af de dokumenter, du vælger at importere i et pas (USA).
• Sentry (Functional Software, Inc.): fejlovervågning (Tyskland, EU-dataregion).
• Microsoft (Microsoft 365): e-mail til supportkorrespondance.

Vi pålægger hver underdatabehandler databeskyttelsesforpligtelser, der ikke er mindre beskyttende end denne DPA, og vi forbliver ansvarlige over for dig for deres arbejde. Vi informerer dig om en ny underdatabehandler via e-mail eller i appen mindst 30 dage, før den starter. Du kan gøre indsigelse af rimelige databeskyttelsesgrunde; kan vi ikke løse indsigelsen, kan du opsige den berørte tjeneste, og vi refunderer betalte gebyrer for perioden efter ophøret.

4. Internationale overførsler

Dine data hostes i Storbritannien, som Europa-Kommissionen anerkender som et land med tilstrækkelig beskyttelse. Hvor en underdatabehandler behandler personoplysninger i et land uden en afgørelse om tilstrækkelighed, benytter vi Europa-Kommissionens standardkontraktbestemmelser sammen med UK International Data Transfer Addendum eller underdatabehandlerens certificering under EU-US Data Privacy Framework og dets britiske udvidelse.

5. Anmodninger fra enkeltpersoner

Tjenesten lader dig selv se, rette, eksportere og slette data. Hvis nogen kontakter os om personoplysninger, som du kontrollerer, videregiver vi anmodningen til dig uden unødig forsinkelse og besvarer den ikke selv, medmindre du beder os om det.

Ejere af registrerede produkter kan også selv framelde dine marketingmails og slette deres registrering fra deres ejerside.

6. Sikkerhedsforanstaltninger

• Kryptering under overførsel: TLS på alle forbindelser med HTTP Strict Transport Security.
• Kryptering i hvile: CVR-nummer, momsnummer og telefonnummer på brugerkonti krypteres i applikationen; adgangskoder gemmes kun som envejs-hashes.
• Adgang: rollebaseret adgang i arbejdsområder (ejer, administrator, redaktør, læser), valgfri totrinsgodkendelse og begrænsning af loginforsøg. Adgang til produktionsservere er begrænset til navngivne administratorer.
• Logning: væsentlige handlinger registreres med bruger, tidspunkt og IP-adresse og opbevares i 90 dage.
• Besøgende på pas: IP-adresser gemmes aldrig; kun en kodet identifikator lavet med en hemmelig nøgle.
• Eftersalg: skjulte varekoder, nøgler til sikre tags og de private links i e-mails til dine kunder krypteres i applikationen; billeder, som kunder sender, opbevares privat og vises kun for dit team og for den kunde, der sendte dem.
• Robusthed: daglige databasebackups og Cloudflare-beskyttelse mod overbelastningsangreb.
• Applikationssikkerhed: en streng Content Security Policy med rapportering af overtrædelser.

7. Brud på persondatasikkerheden

Hvis vi bliver opmærksomme på et brud på persondatasikkerheden, der berører dine data, vil vi:

• fortælle dig det uden unødig forsinkelse og under alle omstændigheder inden for 48 timer via e-mail til ejeren af dit arbejdsområde;
• give dig de oplysninger, du har brug for til at underrette Information Commissioner’s Office eller din tilsynsmyndighed inden for 72 timer, og opdatere dem, efterhånden som vi ved mere;
• samarbejde med dig om at undersøge og begrænse bruddet og registrere, hvad der skete, og hvad vi gjorde ved det.

Du kan rapportere et mistænkt sikkerhedsproblem til os på [email protected].

8. Revisioner

Vi besvarer rimelige skriftlige spørgsmål om vores overholdelse af denne DPA. Er det ikke nok, kan du gennemføre en revision for egen regning:

• med mindst 30 dages skriftligt varsel;
• inden for normal åbningstid;
• af revisorer med tavshedspligt;
• højst én gang om året, medmindre et brud eller en myndighed kræver en ekstra.

9. Tilbagelevering og sletning af data

Du kan eksportere dine data når som helst og bede om en komplet eksport, når kontrakten ophører (se "Skift til en anden udbyder" i vores Servicevilkår). Når du sletter din konto, slettes personoplysningerne i den med det samme. Ophører kontrakten på anden vis, sletter vi dataene 30 dage efter ophøret. Kopier i sikkerhedskopier overskrives inden for 60 dage derefter. Vi beholder kun det, loven kræver, såsom fakturaer, og bekræfter sletningen skriftligt, hvis du beder om det.

Fra den 26. oktober 2026 forbliver batteripas tilgængelige, efter at kontoen er slettet, som beskrevet i Servicevilkårene (forordning (EU) 2023/1542, artikel 78, litra e)).

Eftersalgsdata: en registrering, som ingen bekræfter, slettes efter 30 dage, og oplysningerne om en inviteret ny ejer, så snart overdragelsen er accepteret, annulleret eller udløbet. Ejere kan selv slette deres registrering fra deres ejerside, og du kan fjerne en registrering eller slette en servicehenvendelse i dashboardet. Ellers slettes disse data sammen med dit arbejdsområde.

10. Gældende lov

Denne DPA er underlagt lovgivningen i England og Wales ligesom vores servicevilkår. Hvor EU GDPR kræver, at den er underlagt lovgivningen i en EU-medlemsstat, gælder irsk ret, og de irske domstole har kompetence. Hvis denne DPA er i strid med servicevilkårene, har denne DPA forrang for behandlingen af personoplysninger.

Spørgsmål om denne databehandleraftale: [email protected].