Tillägg om personuppgiftsbehandling

1. Roller och omfattning

Detta tillägg utgör en del av tjänstevillkoren. Kunden är personuppgiftsansvarig och THEFOCUS LTD är personuppgiftsbiträde för personuppgifter som behandlas i kundens arbetsyta, i kundens annonskonton, tagghanterare och analysverktyg samt i CRM-exporter som lämnas till oss (”kundens personuppgifter”). Bilaga 1 beskriver behandlingen. Om kunden själv är personuppgiftsbiträde för en annan personuppgiftsansvarig agerar vi som dess underbiträde på samma villkor.

Detta tillägg uppfyller artikel 28 i UK GDPR och, i förekommande fall, artikel 28 i EU:s dataskyddsförordning (GDPR) samt bestämmelserna om personuppgiftsbiträden i andra dataskyddslagar på de marknader vi betjänar.

2. Våra skyldigheter som personuppgiftsbiträde

• Behandla kundens personuppgifter endast enligt kundens dokumenterade instruktioner, inklusive avtalet och kundens användning av applikationen, om inte lag kräver annat. I så fall informerar vi kunden före behandlingen om inte lag förbjuder det. Vi meddelar kunden om vi anser att en instruktion strider mot dataskyddslagstiftningen.
• Säkerställa att alla som är behöriga att behandla dem omfattas av tystnadsplikt.
• Tillämpa de tekniska och organisatoriska åtgärderna i bilaga 2.
• Endast anlita underbiträden enligt avsnitt 3.
• Med hänsyn till behandlingens art bistå kunden vid begäranden från registrerade och med dess skyldigheter avseende säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd med tillsynsmyndigheter.
• Underrätta kunden utan onödigt dröjsmål, och inom 48 timmar, efter att ha fått kännedom om en personuppgiftsincident som påverkar kundens personuppgifter, med den information kunden behöver för att uppfylla sina egna rapporteringsskyldigheter.
• Vid tjänsternas upphörande radera eller återlämna kundens personuppgifter enligt kundens val inom 30 dagar och radera befintliga kopior, om inte lag kräver att vi behåller dem.
• Tillhandahålla den information som behövs för att visa efterlevnad och tillåta granskningar av kunden eller en revisor som kunden utser, med 30 dagars varsel, under sekretess och högst en gång per år om inte en incident eller en tillsynsmyndighet kräver det.

3. Underbiträden

Kunden ger ett allmänt godkännande till de underbiträden som beskrivs på vår sida om underbiträden; den aktuella namngivna listan finns i kundpanelen och lämnas på begäran. Vi meddelar nya underbiträden minst 30 dagar i förväg via applikationen. Kunden får invända av skäliga dataskyddsskäl; om vi inte kan lösa invändningen får kunden avsluta den berörda tjänsten utan påföljd. Vi ålägger varje underbiträde dataskyddsvillkor som ger minst samma skydd som detta tillägg och förblir ansvariga för dess fullgörande.

4. Internationella överföringar

Vi överför kundens personuppgifter utanför Storbritannien endast med stöd av brittiska beslut om adekvat skyddsnivå, UK Extension to the EU-US Data Privacy Framework, ICO:s International Data Transfer Agreement eller UK Addendum till EU:s standardavtalsklausuler.

Om kunden finns i EES grundas överföringar till oss på Europeiska kommissionens beslut om adekvat skyddsnivå för Storbritannien; om det beslutet upphör att gälla införlivas EU:s standardavtalsklausuler (modul två, eller modul tre om kunden är personuppgiftsbiträde) genom hänvisning, med irländsk rätt som tillämplig lag och Irland som forum endast för dessa klausuler. Om kunden finns i Schweiz gäller samma klausuler med de schweiziska ändringarna. För andra marknader undertecknar vi på begäran de överföringsvillkor som kundens lagstiftning kräver, till exempel standardavtal enligt Turkiets KVKK eller Kinas PIPL.

5. Särskilda kategorier av uppgifter och känslig inriktning

Kunden får inte ladda upp särskilda kategorier av personuppgifter (till exempel hälsouppgifter), uppgifter om lagöverträdelser eller uppgifter om barn till applikationen, och får inte instruera om inriktning baserad på känsliga egenskaper.

6. Ansvar och giltighetstid

Ansvar enligt detta tillägg omfattas av begränsningarna i tjänstevillkoren. Detta tillägg gäller så länge vi behandlar kundens personuppgifter.

Bilaga 1: Beskrivning av behandlingen

• Föremål och varaktighet: leverans av tjänsterna under avtalstiden och den 30 dagar långa avvecklingsperioden.
• Art och ändamål: planering och drift av kampanjer, optimeringssignaler i realtid till kundens kampanjer, konfiguration av mätning och spårning, rapportering och support.
• Registrerade: kundens personal som är användare samt dess potentiella kunder och kunder såsom de förekommer i annons-, analys- och CRM-data.
• Kategorier av uppgifter: namn och kontaktuppgifter i tjänsten för kundens användare; onlineidentifierare, hashade kontaktuppgifter som används för plattformarnas konverteringsmatchning, aggregerade kampanjmått och leadsteg i CRM.
• Lagring: enligt integritetspolicyn och avsnitt 2.

Bilaga 2: Tekniska och organisatoriska åtgärder

• Obligatorisk multifaktorautentisering för alla konton, med engångskoder för återställning som endast lagras som hashvärden.
• Rollbaserad åtkomst enligt principen om minsta behörighet för personal, som ses över när roller ändras.
• Isolering mellan kunders arbetsytor som upprätthålls i applikationen och i databaslagret.
• Kryptering under överföring med aktuell TLS och kryptering i vila för databaser, filer och säkerhetskopior.
• Distribuerad, krypterad tjänsteleverans i mer än 125 länder.
• Granskningsloggar som endast kan utökas för säkerhetsrelevanta åtgärder.
• Ingen lagring av lösenord till annonskonton; åtkomst endast via plattformarnas användar- eller partnerbehörigheter.
• Signerade webhooks och datainmatning med skydd mot uppspelningsattacker.
• Automatiserad skanning efter hemligheter och tester före varje release.
• Rutin för incidenthantering med definierad eskalering och underrättelse till kunden.