Weftas personuppgiftsbiträdesavtal

Roller

Kunden är personuppgiftsansvarig (business enligt CCPA) och bestämmer ändamålen med och medlen för behandlingen. Wefta är personuppgiftsbiträde (service provider) och agerar endast enligt kundens dokumenterade instruktioner, som uttrycks i användarvillkoren och i kontots konfiguration.

Wefta meddelar kunden om en instruktion förefaller strida mot tillämplig dataskyddslagstiftning, och får vägra att utföra den.

Wefta är självständigt personuppgiftsansvarig, inte personuppgiftsbiträde, för de konto-, faktura-, säkerhets- och supportuppgifter som beskrivs i integritetspolicyn. De omfattas inte av detta avtal.

Vad Wefta aldrig kommer att göra med dina uppgifter

Detta är det åtagande som resten av dokumentet finns till för att skydda.

• Ingen användning av kundens personuppgifter för Weftas egna ändamål, av något slag.
• Ingen annonsering, profilering, beteendeprediktion eller poängsättning.
• Ingen försäljning, delning eller licensiering av uppgifterna till någon.
• Ingen träning av maskininlärningsmodeller, varken våra egna eller någon tredje parts, på prompter, innehåll i arbetsytan eller resultat. Denna skyldighet förs vidare till varje underbiträde.
• Ingen sammanslagning av kundens uppgifter med uppgifter från någon annan källa, utom där kunden instruerar det.

Föremål, varaktighet, art och ändamål

Föremål: tillhandahållandet av tjänsten Wefta. Varaktighet: så länge kundens abonnemang är aktivt, plus den raderingsperiod som anges nedan. Art och ändamål: att lagra, organisera, hämta och överföra kontext till de AI-system kunden ansluter, inklusive den support- och säkerhetsverksamhet som krävs för att hålla det i drift.

Kategorier av uppgifter och av registrerade

Kategorier av personuppgifter: konto- och kontaktuppgifter, innehåll i arbetsytan, supportmeddelanden, användnings- och säkerhetsuppgifter samt de personuppgifter kunden väljer att lägga in i den kontext den lagrar.

Kategorier av registrerade: kundens användare och medarbetare samt de klienter, uppdragstagare och affärskontakter som kunden skriver om i sin arbetsyta.

Kunden bestämmer vad som läggs in i arbetsytan. Wefta kräver inte, och ber kunden att inte lagra, särskilda kategorier av personuppgifter (hälsa, biometri, politisk eller religiös övertygelse, sexuell läggning, medlemskap i fackförening) eller barns uppgifter, eftersom tjänsten inte är utformad för att innehålla dem.

Sekretess

Åtkomsten är begränsad till de personer vars arbetsuppgifter kräver den, var och en bunden av en sekretessförpliktelse som fortsätter att gälla efter uppdragets slut. Åtkomst ges enligt principen om lägsta behörighet och ses över när en roll ändras.

Säkerhetsåtgärder

Wefta upprätthåller tekniska och organisatoriska åtgärder som är lämpliga i förhållande till risken och som minst omfattar följande:

• Kryptering av uppgifter under överföring och av inloggningsuppgifter i vila.
• Multifaktorautentisering för administrativ åtkomst och åtkomstkontroll enligt principen om lägsta behörighet.
• Logisk isolering mellan kunder, med behörighetskontroll som tillämpas på varje objekt och inte bara vid inloggning.
• Loggning av administrativa och säkerhetsrelevanta händelser.
• Dagliga säkerhetskopior som behålls i 7 dagar, med testad återställning.
• Kodgranskning före release samt övervakning av beroenden och sårbarheter.
• Ett dokumenterat förfarande för incidenthantering.

Isolering mellan tenanter

Wefta är multi-tenant: kunderna delar infrastruktur, med logisk separation mellan sina uppgifter. Den typiska risken med den utformningen är att en tenant når en annan tenants uppgifter genom en saknad eller felaktig behörighetskontroll — den typ av brist som kallas broken object level authorisation eller insecure direct object reference.

Vi namnger den här, eftersom det är det fel som spelar roll i denna arkitektur och eftersom det är just namngivningen som gör den till ett krav: varje begäran som hämtar en post kontrollerar att posten tillhör den tenant som gör begäran, och den kontrollen ingår i kodgranskningen.

Underbiträden

Kunden lämnar ett allmänt godkännande för Wefta att anlita underbiträden. Den aktuella listan publiceras i integritetspolicyn.

Varje underbiträde är bundet av skriftliga villkor som ålägger dataskyddsskyldigheter som inte är svagare än de i detta avtal, och Wefta förblir fullt ansvarigt gentemot kunden för deras utförande.

Wefta underrättar kunden minst 30 dagar innan ett nytt underbiträde börjar behandla kundens uppgifter. Inom den perioden får kunden invända på rimliga, dokumenterade dataskyddsgrunder. Vi arbetar för att bemöta invändningen; om vi inte kan det får kunden säga upp den berörda delen av tjänsten utan påföljd och få återbetalning för den outnyttjade perioden.

Internationella överföringar

Uppgifter passerar gränser, eftersom infrastrukturen är global. Varje överföring bär med sig en skyddsåtgärd.

Ut ur Brasilien: ett beslut om adekvat skyddsnivå från ANPD där ett sådant gäller, och i övrigt de standardavtalsklausuler som utfärdats enligt resolution CD/ANPD nº 19 av den 23 augusti 2024, vilka införlivas i detta avtal.

Ut ur Europeiska ekonomiska samarbetsområdet och Schweiz: ett beslut om adekvat skyddsnivå där ett sådant gäller, och i övrigt Europeiska kommissionens standardavtalsklausuler (beslut 2021/914), modul två (personuppgiftsansvarig till personuppgiftsbiträde), vilka införlivas i detta avtal.

Ut ur Storbritannien: det brittiska International Data Transfer Addendum till dessa klausuler.

Vid vidareöverföring till ett land utan beslut om adekvat skyddsnivå görs en konsekvensbedömning av överföringen, och kompletterande åtgärder vidtas där bedömningen kräver det.

Bistånd till kunden

Wefta bistår kunden, med beaktande av behandlingens art och den information som är tillgänglig för Wefta, med: att besvara förfrågningar från registrerade som kommer direkt till oss; att genomföra konsekvensbedömningar avseende dataskydd och förhandssamråd; och att visa att dessa skyldigheter efterlevs.

Om en registrerad kontaktar Wefta direkt om uppgifter som tillhör en kunds arbetsyta svarar Wefta inte för kundens räkning. Vi vidarebefordrar begäran till kunden och meddelar den registrerade att vi har gjort det, utan onödigt dröjsmål.

Säkerhetsincidenter

Wefta underrättar kunden utan onödigt dröjsmål och under alla omständigheter inom 24 timmar från det att en personuppgiftsincident som påverkar kundens uppgifter har bekräftats. Underrättelsen beskriver det som är känt: incidentens art, kategorierna av och det ungefärliga antalet registrerade och poster som berörs, de sannolika följderna och de åtgärder som har vidtagits eller föreslås.

Den tidsfristen finns för att den personuppgiftsansvarige ska ha kvar tillräckligt av sitt eget fönster på 72 timmar enligt dataskyddsförordningen (GDPR), och den skäliga tiden enligt LGPD, för att göra sin anmälan till myndigheten och till de berörda personerna.

Wefta underrättar inte tillsynsmyndigheter eller registrerade för kundens räkning, om inte kunden begär det skriftligen.

Revision

På begäran, och högst en gång per år om inte en incident eller en myndighet kräver annat, tillhandahåller Wefta den information som behövs för att visa att detta avtal efterlevs.

Där en oberoende revisionsrapport eller certifiering finns tillgänglig lämnas den i första hand och uppfyller revisionsskyldigheten. En revision på plats får genomföras av kunden eller av en oberoende revisor som är bunden av sekretess, med 30 dagars varsel, under kontorstid, utan att störa tjänsten och på kundens bekostnad.

Återlämnande och radering

Kunden kan exportera sina uppgifter när som helst medan abonnemanget är aktivt. Efter uppsägningen förblir uppgifterna tillgängliga för export i 30 dagar.

Efter den perioden raderar Wefta kundens personuppgifter, inklusive från säkerhetskopior i takt med att deras 7-dagarscykel löper ut, om inte en lag kräver att de bevaras, i vilket fall uppgifterna förblir skyddade av detta avtal och behandlas för inget annat än det rättsliga ändamålet.

Ansvar

Ansvarsbegränsningen i användarvillkoren gäller för detta avtal, inklusive den högre separata begränsningen för säkerhetsincidenter och brister i dataskyddet.

Med det sagt flyttar en begränsning inte ansvaret. Enligt LGPD artikel 42 svarar ett personuppgiftsbiträde solidariskt när det bryter mot säkerhetsreglerna eller går utöver lagliga instruktioner, och detta avtal försöker inte avtala bort det.

När en exponering av personuppgifter har sitt ursprung på kundens sida — inloggningsuppgifter som delats eller läckt, åtkomst som inte återkallats, en integration som kunden har godkänt, en konfiguration som kunden har valt eller innehåll som kunden inte hade rätt att ladda upp — är följderna kundens, inte Weftas.

Företrädesordning

I frågor som rör personuppgifter har detta avtal företräde framför användarvillkoren. Ett undertecknat avtal mellan Wefta och kunden har företräde framför båda, i den mån det behandlar samma fråga.