Personuppgiftsbiträdesavtal (DPA)

Tillämpligt från och med offentliggörandet. Detta avtal kompletterar Metaventus allmänna tjänstevillkor.

1. Syfte och roller

Detta personuppgiftsbiträdesavtal (”DPA”) reglerar, i enlighet med artikel 28 i dataskyddsförordningen, de behandlingar av personuppgifter som VENTUS, förenklat aktiebolag med ett kapital på 60 000 €, handels- och bolagsregistret i Rouen 917 982 969, 14 chemin des Tilleuls, 76130 Mont-Saint-Aignan (”Metaventus”, som agerar personuppgiftsbiträde) utför för kontoinnehavarens räkning (”Kunden”, som agerar personuppgiftsansvarig) inom ramen för tillhandahållandet av Tjänsterna.

När Kunden själv agerar personuppgiftsbiträde åt tredje man agerar Metaventus underbiträde, och Kunden garanterar att dess egna åtaganden är förenliga med detta DPA.

För de behandlingar som Metaventus utför för egen räkning (hantering av kundkontot, fakturering, plattformens säkerhet, statistik) agerar Metaventus personuppgiftsansvarig, i enlighet med sin integritetspolicy.

2. Instruktioner

Metaventus behandlar Kundens Uppgifter uteslutande enligt Kundens dokumenterade instruktioner. Tjänstevillkoren, detta DPA och Kundens och dess användares användning av plattformens funktioner utgör Kundens instruktioner. Metaventus underrättar Kunden om en instruktion enligt Metaventus bedömning strider mot dataskyddsförordningen.

3. Beskrivning av behandlingen

Den utförliga beskrivningen (art, ändamål, kategorier av uppgifter och registrerade, varaktighet) finns i bilaga 1.

4. Sekretess

Metaventus garanterar att de personer som har behörighet att behandla Kundens Uppgifter omfattas av tystnadsplikt och endast får åtkomst till dem i den utsträckning det är nödvändigt för deras arbetsuppgifter.

5. Säkerhet

Metaventus vidtar de lämpliga tekniska och organisatoriska åtgärder som beskrivs i bilaga 2, i enlighet med artikel 32 i dataskyddsförordningen.

6. Underbiträden

Kunden lämnar ett allmänt godkännande till anlitandet av de underbiträden som anges i bilaga 3. Metaventus ingår med vart och ett av dem ett avtal som ålägger dataskyddsskyldigheter likvärdiga med dem i detta DPA och förblir ansvarigt för deras fullgörande.

Metaventus underrättar Kunden (via e-post eller avisering i plattformen) om varje tillägg eller byte av underbiträde minst trettio (30) dagar innan det träder i kraft. Kunden kan invända på berättigad grund; om enighet inte nås kan Kunden säga upp det berörda abonnemanget innan ändringen träder i kraft.

7. Bistånd till den personuppgiftsansvarige

Med hänsyn till behandlingens art bistår Metaventus Kunden med lämpliga åtgärder (i första hand plattformens funktioner): för att besvara begäranden från registrerade som utövar sina rättigheter (tillgång, rättelse, radering, dataportabilitet, invändning); och för att uppfylla sina skyldigheter enligt artiklarna 32–36 i dataskyddsförordningen (säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömningar). Varje begäran om bistånd som går utöver standardfunktionerna kan ge upphov till en rimlig, på förhand överenskommen fakturering.

8. Personuppgiftsincidenter

Metaventus underrättar Kunden, så snart som möjligt efter att ha fått kännedom om den, om varje personuppgiftsincident som berör Kundens Uppgifter, till e-postadressen för kontots administratör eller administratörer, med de uppgifter som föreskrivs i artikel 33.3 i dataskyddsförordningen (art, berörda kategorier och volymer, sannolika konsekvenser, vidtagna eller föreslagna åtgärder).

9. Överföringar utanför Europeiska unionen

Kundens Uppgifter lagras inom Europeiska unionen. Vissa underbiträden (bilaga 3) kan behandla uppgifter från tredjeländer; i så fall ramas överföringen in av ett beslut om adekvat skyddsnivå (däribland EU-U.S. Data Privacy Framework) och/eller Europeiska kommissionens standardavtalsklausuler, vid behov kompletterade med ytterligare åtgärder.

10. Radering och återlämnande

Under hela avtalstiden kan Kunden exportera sina uppgifter med plattformens funktioner. Vid avtalets slut raderar Metaventus Kundens Uppgifter inom trettio (30) dagar, med förbehåll för lagstadgad lagringsskyldighet. På skriftlig begäran som framställs före utgången av denna frist bekräftar Metaventus raderingen.

11. Register och revisioner

Metaventus för ett register över de behandlingar som utförs för Kundens räkning (art. 30.2 i dataskyddsförordningen). Metaventus ställer till Kundens förfogande den information som behövs för att visa att detta DPA följs (dokumentation, beskrivningar av åtgärderna, tillgängliga intyg).

Kunden får genomföra, högst en (1) gång per tolvmånadersperiod (12), en revision som är begränsad till de behandlingar som utförs för Kundens räkning, efter skriftligt varsel om trettio (30) dagar, på egen bekostnad, under kontorstid, utan åtkomst till andra kunders uppgifter eller till företagshemligheter. En revision på plats är möjlig endast om dokumentationen inte ger ett tillfredsställande svar.

12. Löptid och ansvar

Detta DPA gäller under hela Tjänstevillkorens löptid och så länge Metaventus behandlar Kundens Uppgifter. Ansvarsbegränsningarna och ansvarsundantagen i Tjänstevillkoren gäller för detta DPA.

Kontakt för dataskydd: contact@metaventus.com.

13. Språk

Detta DPA är avfattat på franska. Om en översättning tillhandahålls för att underlätta läsningen är endast den franska versionen giltig.

Bilaga 1 — Beskrivning av behandlingen

Art och ändamål: lagring, förvaring, strukturering och åtkomst av Kundens CRM-uppgifter; utskick av elektroniska meddelanden (e-post, sms, samtal) på Kundens initiativ; mötesbokning; fakturering av Kundens slutkunder; processautomatisering; AI-stödfunktioner (på användarnas begäran); teknisk loggning och användningsstatistik.

Kategorier av registrerade: Kundens användare; Kundens kontakter, prospekt och kunder; mötesdeltagare; mottagare av meddelandena.

Kategorier av uppgifter: identitet och kontaktuppgifter (efternamn, förnamn, e-post, telefon, adress); yrkesuppgifter (företag, befattning); affärsuppgifter (affärsmöjligheter, offerter, fakturor, möten, anteckningar); innehållet i de meddelanden som skickas via plattformen; tekniska uppgifter (loggar, IP-adresser, identifierare). Behandling av särskilda kategorier av uppgifter (art. 9 i dataskyddsförordningen) är utesluten (se Användarvillkoren).

Varaktighet: avtalets löptid, därefter radering inom 30 dagar (art. 10), med förbehåll för de lagringstider som Kunden konfigurerat i plattformen och för rättsliga skyldigheter.

Bilaga 2 — Säkerhetsåtgärder

• Kryptering av trafiken (TLS) för samtliga exponerade tjänster;
• Strikt åtskillnad av uppgifterna per kundkonto (fleranvändarmiljö);
• Åtkomstkontroll per roll och behörighet (RBAC) med fin granularitet;
• Stark autentisering: tvåfaktorsautentisering tillgänglig (sms, TOTP, åtkomstnycklar/WebAuthn) och obligatorisk för administratörsroller;
• Lagring av autentiseringshemligheter med stark kryptering (AES-256-GCM) och lösenord som hashvärden;
• Tidsstämplade revisionsloggar (inloggningar, rolländringar, känsliga åtgärder) med minimilagringstider som inte kan förkortas;
• Automatisk gallring av uppgifter efter lagringstidernas utgång;
• Principen om lägsta behörighet för personalen; produktionsåtkomst begränsad och personlig;
• Regelbundna säkerhetskopior som hanteras av lagringsleverantören (lagring och återställning);
• Åtskilda utvecklings- och produktionsmiljöer;
• Spårbarhet för avtalsgodkännanden (tidsstämpel, version, SHA-256-kontrollsumma).

Bilaga 3 — Underbiträden

Följande är inte underbiträden till Metaventus: de tredjepartstjänster som Kunden på eget initiativ kopplar till sitt konto (Google, Microsoft, Zoom, sociala nätverk osv.) — dessa integrationer omfattas av den direkta relationen mellan Kunden och den berörda tredjepartsleverantören.