Databehandleraftale

1. Roller og omfang

Denne aftale er en del af Servicevilkårene. Kunden er dataansvarlig, og THEFOCUS LTD er databehandler for de personoplysninger, der behandles i kundens arbejdsområde, i Kundens annoncekonti, tag managers og analyseværktøjer og i CRM-eksporter, der gives til os (»Kundens personoplysninger«). Bilag 1 beskriver behandlingen. Hvis Kunden selv er databehandler for en anden dataansvarlig, optræder vi som Kundens underdatabehandler på samme vilkår.

Denne aftale opfylder artikel 28 i UK GDPR og, hvor de finder anvendelse, artikel 28 i EU’s GDPR (databeskyttelsesforordningen) og bestemmelserne om databehandlere i anden databeskyttelseslovgivning på de markeder, vi betjener.

2. Vores forpligtelser som databehandler

• Behandle Kundens personoplysninger udelukkende efter Kundens dokumenterede instruks, herunder aftalen og Kundens brug af applikationen, medmindre lovgivningen kræver andet. I så fald underretter vi Kunden før behandlingen, medmindre lovgivningen forbyder det. Vi giver Kunden besked, hvis vi mener, at en instruks er i strid med databeskyttelseslovgivningen.
• Sikre, at alle, der er autoriseret til at behandle dem, er underlagt fortrolighed.
• Anvende de tekniske og organisatoriske foranstaltninger i bilag 2.
• Kun anvende underdatabehandlere som fastsat i afsnit 3.
• Under hensyntagen til behandlingens karakter bistå Kunden med anmodninger fra registrerede og med Kundens forpligtelser vedrørende sikkerhed, anmeldelse af brud, konsekvensanalyser og forudgående høring af tilsynsmyndigheder.
• Underrette Kunden uden unødig forsinkelse og inden for 48 timer efter at være blevet opmærksom på et brud på persondatasikkerheden, der berører Kundens personoplysninger, med de oplysninger, Kunden har brug for til at opfylde sine egne indberetningspligter.
• Ved tjenesternes ophør slette eller returnere Kundens personoplysninger efter Kundens valg inden for 30 dage og slette eksisterende kopier, medmindre lovgivningen kræver, at vi opbevarer dem.
• Stille de oplysninger til rådighed, der er nødvendige for at påvise overholdelse, og give mulighed for audits udført af Kunden eller en revisor udpeget af Kunden med 30 dages varsel, under fortrolighed og højst én gang om året, medmindre et brud eller en tilsynsmyndighed kræver det.

3. Underdatabehandlere

Kunden giver generel tilladelse til de underdatabehandlere, der er beskrevet på vores side Underdatabehandlere; den aktuelle navngivne liste er tilgængelig i kundedashboardet og efter anmodning. Vi giver mindst 30 dages varsel om en ny underdatabehandler via applikationen. Kunden kan gøre indsigelse af rimelige databeskyttelsesmæssige grunde; hvis vi ikke kan løse indsigelsen, kan Kunden opsige den berørte tjeneste uden sanktioner. Vi pålægger hver underdatabehandler databeskyttelsesvilkår, der ikke giver mindre beskyttelse end denne aftale, og forbliver ansvarlige for dens opfyldelse.

4. Internationale overførsler

Vi overfører kun Kundens personoplysninger uden for Storbritannien i henhold til britiske tilstrækkelighedsforskrifter, UK Extension to the EU-US Data Privacy Framework, ICO International Data Transfer Agreement eller UK Addendum to the EU Standard Contractual Clauses.

Hvis Kunden er i EØS, bygger overførsler til os på Europa-Kommissionens afgørelse om tilstrækkeligt beskyttelsesniveau for Det Forenede Kongerige; hvis denne afgørelse ophører med at gælde, indarbejdes EU’s standardkontraktbestemmelser (modul to, eller modul tre, hvis Kunden er databehandler) ved henvisning, med irsk ret som gældende lov og Irland som værneting alene for disse bestemmelser. Hvis Kunden er i Schweiz, gælder de samme bestemmelser med de schweiziske tilpasninger. For andre markeder underskriver vi efter anmodning de overførselsvilkår, som Kundens lovgivning kræver, for eksempel standardkontrakter efter Tyrkiets KVKK eller Kinas PIPL.

5. Særlige kategorier af personoplysninger og følsom målretning

Kunden må ikke uploade særlige kategorier af personoplysninger (for eksempel helbredsoplysninger), oplysninger om strafbare forhold eller oplysninger om børn til applikationen og må ikke give instruks om målretning baseret på følsomme karakteristika.

6. Ansvar og varighed

Ansvaret efter denne aftale er underlagt begrænsningerne i Servicevilkårene. Denne aftale gælder, så længe vi behandler Kundens personoplysninger.

Bilag 1: Beskrivelse af behandlingen

• Genstand og varighed: levering af tjenesterne i aftaleperioden og den 30-dages udtrædelsesperiode.
• Karakter og formål: planlægning og drift af kampagner, optimeringssignaler i realtid til Kundens kampagner, konfiguration af måling og sporing, rapportering og support.
• Registrerede: Kundens medarbejdere, der er brugere, samt Kundens potentielle kunder og kunder, som de fremgår af annonce-, analyse- og CRM-data.
• Kategorier af oplysninger: navne og forretningskontaktoplysninger for Kundens brugere; onlineidentifikatorer, hashede kontaktoplysninger brugt til platformenes konverteringsmatchning, aggregerede kampagnemålinger og leadfaser i CRM.
• Opbevaring: som fastsat i Privatlivspolitikken og afsnit 2.

Bilag 2: Tekniske og organisatoriske foranstaltninger

• Obligatorisk multifaktorgodkendelse for alle konti med gendannelseskoder til engangsbrug, der kun gemmes som hashværdier.
• Rollebaseret adgang efter princippet om mindste privilegium for medarbejdere, gennemgået ved rolleskift.
• Adskillelse mellem kunders arbejdsområder håndhævet i applikationen og i databaselaget.
• Kryptering under overførsel med aktuel TLS og kryptering i hvile for databaser, filer og backups.
• Distribueret, krypteret levering af tjenesten på tværs af mere end 125 lande.
• Auditlogs, der kun kan tilføjes til, for sikkerhedsrelevante handlinger.
• Ingen lagring af adgangskoder til annoncekonti; adgang kun via platformenes bruger- eller partnertilladelser.
• Signerede webhooks og dataindlæsning med beskyttelse mod genafspilning.
• Automatiseret scanning for hemmeligheder og tests før hver udgivelse.
• Procedure for håndtering af hændelser med defineret eskalering og underretning af kunder.