Personuppgiftsbiträdesavtal

Detta personuppgiftsbiträdesavtal ("DPA") utgör en del av Användarvillkor mellan Passport Digital Limited ("vi", biträdet) och kunden ("du", den personuppgiftsansvarige). Det gäller när vi behandlar personuppgifter för din räkning när vi tillhandahåller MyProductPassport och uppfyller artikel 28 i UK GDPR och, där den gäller, i EU:s GDPR. Om en partner hanterar din arbetsyta och har ditt avtal är vi den partnerns underbiträde på samma villkor.

1. Uppgifter om behandlingen

• Föremål och varaktighet: att tillhandahålla MyProductPassport till dig så länge avtalet löper och tills uppgifterna raderas enligt beskrivningen nedan.
• Art och ändamål: hosting, lagring, publicering, översättning och visning av dina produktdata och pass; statistik över visningar av pass; support; och säkerhetskopior.
• Där du använder dem även: att be de leverantörer du väljer om information, att föra en signerad historik för varje publicerat pass och att logga in ditt team via din identitetsleverantör.
• Berörda personer: din personal och dina teammedlemmar; personer som nämns i dina produktdata och dokument; och personer som tittar på dina publicerade pass.
• Typer av personuppgifter: namn, kontaktuppgifter i tjänsten och yrkesroller; alla personuppgifter du tar med i produktdata eller dokument; och, för dem som visar pass, land, enhetstyp, webbläsare, operativsystem, hänvisande sida och en kodad besöksidentifierare (aldrig IP-adressen).
• När du slår på eftermarknad: att registrera ägarna till dina produkter och föra deras garantiuppgifter, att förmedla serviceärenden, dina svar och dina kunders foton mellan dig och dem, att låta ägare lämna en produkt vidare och att kontrollera att en artikel är äkta.
• Berörda personer, när du använder eftermarknad: personer som registrerar en av dina produkter, skickar ett serviceärende till dig, får en produkt av dess ägare eller kontrollerar att en artikel är äkta.
• Typer av personuppgifter om dem: namn och e-postadress; det de själva väljer att lägga till, som telefonnummer, land, datum och plats för köpet, serienummer, meddelanden och foton; om de har samtyckt till att höra från dig, med exakt den formulering de såg; och, vid äkthetskontroller, land och en kodad besöksidentifierare (aldrig IP-adressen).
• Där du ber leverantörer om information: dina leverantörers kontaktpersoner (namn, e-postadress och företag) och de svar och filer som de skickar. Där du använder enkel inloggning: det namn och den e-postadress som din identitetsleverantör skickar för varje person. Den signerade historiken för ett pass behåller varje publicerad version så som den var, inklusive tidigare fältvärden. Den raderas tillsammans med din arbetsyta, och vi kommer att ta bort tidigare versioner enligt dina instruktioner om personuppgifter måste raderas från dem.

Tjänsten är inte avsedd för särskilda kategorier av uppgifter (som hälsouppgifter). Ladda inte upp sådana.

Du bestämmer vad dina kunder får veta. Din integritetspolicy länkas i varje formulär och mejl för eftermarknad, och funktionerna förblir avstängda tills du har lagt till den. Mejl till dina kunder skickas i ditt namn, med din svarsadress, via vår utskicksleverantör.

2. Våra skyldigheter

Vi åtar oss att:

• endast behandla personuppgifter enligt dina dokumenterade instruktioner, som är dessa villkor och din användning av tjänsten, om inte lagen kräver annat, i vilket fall vi först meddelar dig om inte lagen förbjuder det;
• meddela dig om vi anser att en instruktion bryter mot dataskyddslagstiftningen;
• se till att alla vi ger behörighet att behandla uppgifterna omfattas av tystnadsplikt;
• tillämpa de säkerhetsåtgärder som beskrivs nedan;
• endast anlita underbiträden enligt nedan;
• hjälpa dig att besvara begäranden från personer som utövar sina rättigheter;
• hjälpa dig att uppfylla dina skyldigheter gällande säkerhet, anmälan av incidenter, konsekvensbedömningar avseende dataskydd och förhandssamråd, med hänsyn till den information vi har tillgång till;
• radera eller återlämna personuppgifter när avtalet upphör, enligt beskrivningen nedan;
• tillhandahålla den information du behöver för att visa att dessa skyldigheter uppfylls, och tillåta granskningar enligt nedan.

3. Underbiträden

Du ger oss rätt att anlita dessa underbiträden:

• DigitalOcean via Cloudways: hosting, databaser och säkerhetskopior (London, Storbritannien).
• Cloudflare: nätverk, säkerhet och innehållsleverans (globalt nätverk).
• Brevo (Sendinblue SAS): skickar tjänstemejl till dig och ditt team och, när du använder eftermarknad, till dina kunder (Frankrike).
• OpenAI: automatisk översättning av publicerad passtext och läsning av de dokument du väljer att importera till ett pass (USA).
• Sentry (Functional Software, Inc.): felövervakning (Tyskland, EU-dataregion).
• Microsoft (Microsoft 365): e-post för supportkorrespondens.

Vi ålägger varje underbiträde dataskyddsskyldigheter som inte är mindre skyddande än detta DPA, och vi förblir ansvariga gentemot dig för deras arbete. Vi informerar dig om ett nytt underbiträde via e-post eller i appen minst 30 dagar innan det börjar. Du kan invända av rimliga dataskyddsskäl; om vi inte kan lösa invändningen kan du avsluta den berörda tjänsten och vi återbetalar avgifter som betalats för perioden efter att den upphört.

4. Internationella överföringar

Dina data lagras i Storbritannien, som Europeiska kommissionen erkänner som ett land med adekvat skydd. Där ett underbiträde behandlar personuppgifter i ett land utan beslut om adekvat skyddsnivå förlitar vi oss på Europeiska kommissionens standardavtalsklausuler tillsammans med UK International Data Transfer Addendum, eller på underbiträdets certifiering enligt EU-US Data Privacy Framework och dess brittiska tillägg.

5. Begäranden från enskilda

Tjänsten låter dig själv visa, rätta, exportera och radera data. Om någon kontaktar oss om personuppgifter som du kontrollerar vidarebefordrar vi begäran till dig utan onödigt dröjsmål och besvarar den inte själva om du inte ber oss.

Ägare av registrerade produkter kan också själva avsluta prenumerationen på dina marknadsföringsmejl och radera sin registrering, från sin ägarsida.

6. Säkerhetsåtgärder

• Kryptering under överföring: TLS på varje anslutning, med HTTP Strict Transport Security.
• Kryptering i vila: organisationsnummer, momsregistreringsnummer och telefonnummer på användarkonton krypteras i applikationen; lösenord lagras endast som envägshashar.
• Åtkomst: rollbaserad åtkomst i arbetsytor (ägare, administratör, redigerare, läsare), valfri tvåfaktorsautentisering och begränsade inloggningsförsök. Åtkomst till produktionsservrar är begränsad till namngivna administratörer.
• Loggning: viktiga åtgärder registreras med användare, tid och IP-adress och sparas i 90 dagar.
• Besökare på pass: IP-adresser sparas aldrig; bara en kodad identifierare skapad med en hemlig nyckel.
• Eftermarknad: dolda artikelkoder, nycklar för säkra taggar och de privata länkarna i mejl till dina kunder krypteras i applikationen; foton som kunder skickar lagras privat och visas bara för ditt team och för kunden som skickade dem.
• Motståndskraft: dagliga databassäkerhetskopior och Cloudflare-skydd mot överbelastningsattacker.
• Applikationssäkerhet: en strikt Content Security Policy med rapportering av överträdelser.

7. Personuppgiftsincidenter

Om vi får kännedom om en personuppgiftsincident som påverkar dina uppgifter kommer vi att:

• meddela dig utan onödigt dröjsmål, och i alla händelser inom 48 timmar, via e-post till ägaren av din arbetsyta;
• ge dig den information du behöver för att underrätta Information Commissioner’s Office eller din tillsynsmyndighet inom 72 timmar, och uppdatera den när vi får veta mer;
• samarbeta med dig för att utreda och begränsa incidenten, och dokumentera vad som hände och vad vi gjorde åt det.

Du kan rapportera ett misstänkt säkerhetsproblem till oss på [email protected].

8. Revisioner

Vi besvarar rimliga skriftliga frågor om hur vi följer detta DPA. Om det inte räcker kan du genomföra en revision på egen bekostnad:

• med minst 30 dagars skriftligt varsel;
• under normal kontorstid;
• av revisorer med tystnadsplikt;
• högst en gång per år, om inte en incident eller en tillsynsmyndighet kräver ytterligare en.

9. Återlämnande och radering av data

Du kan exportera dina data när som helst och begära en fullständig export när avtalet upphör (se "Byta till en annan leverantör" i våra Användarvillkor). När du raderar ditt konto raderas personuppgifterna i det direkt. Om avtalet upphör på annat sätt raderar vi uppgifterna 30 dagar efter att det upphört. Kopior i säkerhetskopior skrivs över inom 60 dagar därefter. Vi behåller endast det lagen kräver, till exempel fakturor, och bekräftar raderingen skriftligt om du ber om det.

Från och med den 26 oktober 2026 förblir batteripass tillgängliga efter att kontot har raderats, enligt beskrivningen i Användarvillkoren (förordning (EU) 2023/1542, artikel 78 e).

Uppgifter för eftermarknad: en registrering som ingen bekräftar raderas efter 30 dagar, och uppgifterna om en inbjuden ny ägare när ägarbytet har accepterats, avbrutits eller löpt ut. Ägare kan själva radera sin registrering från sin ägarsida, och du kan ta bort en registrering eller radera ett serviceärende i instrumentpanelen. Annars raderas uppgifterna tillsammans med din arbetsyta.

10. Tillämplig lag

Detta DPA regleras av lagen i England och Wales, liksom våra användarvillkor. Där EU:s GDPR kräver att det regleras av lagen i en EU-medlemsstat gäller irländsk lag och Irlands domstolar är behöriga. Om detta DPA står i strid med användarvillkoren har detta DPA företräde i fråga om behandling av personuppgifter.

Frågor om detta personuppgiftsbiträdesavtal: [email protected].