Databehandlertillegg

1. Roller og omfang

Dette tillegget er en del av tjenestevilkårene. Kunden er behandlingsansvarlig og THEFOCUS LTD er databehandler for personopplysninger som behandles i kundens arbeidsområde, i Kundens annonsekontoer, tagghåndterere og analyseverktøy, og i CRM-eksporter som gis til oss («Kundens personopplysninger»). Vedlegg 1 beskriver behandlingen. Der Kunden selv er databehandler for en annen behandlingsansvarlig, opptrer vi som underdatabehandler for Kunden på samme vilkår.

Dette tillegget oppfyller artikkel 28 i UK GDPR og, der de gjelder, artikkel 28 i EUs personvernforordning (GDPR) og bestemmelsene om databehandlere i andre personvernlover i markedene vi betjener.

2. Våre plikter som databehandler

• Behandle Kundens personopplysninger bare etter Kundens dokumenterte instrukser, inkludert avtalen og Kundens bruk av applikasjonen, med mindre lov krever noe annet. I så fall informerer vi Kunden før behandlingen, med mindre loven forbyr det. Vi gir Kunden beskjed hvis vi mener at en instruks er i strid med personvernlovgivningen.
• Sørge for at alle som har fullmakt til å behandle opplysningene, er underlagt taushetsplikt.
• Gjennomføre de tekniske og organisatoriske tiltakene i vedlegg 2.
• Bruke underdatabehandlere bare slik det er angitt i punkt 3.
• Bistå Kunden, ut fra behandlingens art, med henvendelser fra registrerte og med Kundens plikter knyttet til sikkerhet, varsling av brudd, konsekvensvurderinger og forhåndsdrøftinger med tilsynsmyndigheter.
• Varsle Kunden uten ugrunnet opphold, og innen 48 timer, etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører Kundens personopplysninger, med den informasjonen Kunden trenger for å oppfylle sine egne rapporteringsplikter.
• Ved tjenestenes opphør slette eller returnere Kundens personopplysninger etter Kundens valg innen 30 dager og slette eksisterende kopier, med mindre lov krever at vi beholder dem.
• Gjøre tilgjengelig den informasjonen som trengs for å påvise etterlevelse, og tillate revisjoner utført av Kunden eller en revisor Kunden utpeker, med 30 dagers varsel, under taushetsplikt og ikke oftere enn én gang i året, med mindre et brudd eller en tilsynsmyndighet krever det.

3. Underdatabehandlere

Kunden gir generell godkjenning til underdatabehandlerne som er beskrevet på siden vår om underdatabehandlere. Den gjeldende navngitte listen er tilgjengelig i kundedashbordet og på forespørsel. Vi varsler om nye underdatabehandlere minst 30 dager i forveien gjennom applikasjonen. Kunden kan protestere på rimelig personvernmessig grunnlag. Hvis vi ikke kan løse innsigelsen, kan Kunden avslutte den berørte tjenesten uten sanksjoner. Vi pålegger hver underdatabehandler personvernvilkår som gir minst like godt vern som dette tillegget, og er fortsatt ansvarlige for deres oppfyllelse.

4. Internasjonale overføringer

Vi overfører Kundens personopplysninger ut av Storbritannia bare i henhold til britiske beslutninger om tilstrekkelig beskyttelsesnivå, UK Extension to the EU-US Data Privacy Framework, ICOs International Data Transfer Agreement eller UK Addendum til EUs standard personvernbestemmelser.

Der Kunden befinner seg i EØS, bygger overføringer til oss på Europakommisjonens beslutning om tilstrekkelig beskyttelsesnivå for Storbritannia. Hvis den beslutningen opphører å gjelde, innarbeides EUs standard personvernbestemmelser (modul to, eller modul tre der Kunden er databehandler) ved henvisning, med irsk rett som gjeldende rett og Irland som verneting bare for disse bestemmelsene. Der Kunden befinner seg i Sveits, gjelder de samme bestemmelsene med de sveitsiske tilpasningene. For andre markeder signerer vi på forespørsel de overføringsvilkårene Kundens lovgivning krever, for eksempel standardavtaler etter Tyrkias KVKK eller Kinas PIPL.

5. Særlige kategorier av personopplysninger og sensitiv målretting

Kunden må ikke laste opp særlige kategorier av personopplysninger (for eksempel helseopplysninger), opplysninger om straffbare forhold eller opplysninger om barn til applikasjonen, og må ikke gi instruks om målretting basert på sensitive kjennetegn.

6. Ansvar og varighet

Ansvar etter dette tillegget er underlagt begrensningene i tjenestevilkårene. Dette tillegget gjelder så lenge vi behandler Kundens personopplysninger.

Vedlegg 1: Beskrivelse av behandlingen

• Formål og varighet: levering av tjenestene i avtaleperioden og den 30 dager lange avslutningsperioden.
• Behandlingens art og formål: planlegging og drift av kampanjer, optimaliseringssignaler i sanntid til Kundens kampanjer, oppsett av måling og sporing, rapportering og støtte.
• Registrerte: Kundens ansatte som er brukere, og Kundens potensielle kunder og kunder slik de er representert i annonse-, analyse- og CRM-data.
• Kategorier av opplysninger: navn og forretningskontaktopplysninger for Kundens brukere; nettidentifikatorer, hashede kontaktopplysninger brukt til konverteringsmatching i plattformene, aggregerte kampanjetall og leadfaser i CRM.
• Lagringstid: som angitt i personvernerklæringen og punkt 2.

Vedlegg 2: Tekniske og organisatoriske tiltak

• Obligatorisk flerfaktorautentisering for alle kontoer, med engangskoder for gjenoppretting som bare lagres som hasher.
• Rollebasert tilgang etter prinsippet om minste privilegium for ansatte, gjennomgått når roller endres.
• Isolasjon mellom kunders arbeidsområder håndhevet i applikasjonen og i databaselaget.
• Kryptering under overføring med oppdatert TLS og kryptering ved lagring for databaser, filer og sikkerhetskopier.
• Distribuert, kryptert tjenesteleveranse i mer enn 125 land.
• Revisjonslogger som bare kan utvides, for sikkerhetsrelevante handlinger.
• Ingen lagring av passord til annonsekontoer; tilgang bare gjennom plattformenes bruker- eller partnertillatelser.
• Signerte webhooks og datainnhenting med beskyttelse mot gjentaksangrep.
• Automatisert skanning etter hemmeligheter og tester før hver lansering.
• Prosedyre for hendelseshåndtering med definert eskalering og varsling av kunder.