Juridik

Personuppgiftsbiträdesavtal

Senast uppdaterad 1 november 2026

Den här översättningen tillhandahålls för din bekvämlighet. Den engelska versionen är den juridiskt bindande och gäller om de två skiljer sig åt. Läs den engelska versionen.

Detta personuppgiftsbiträdesavtal (”DPA”) utgör en del av användarvillkoren mellan Kunden och Astrizon Technology Solutions Private Limited, ett bolag registrerat i Indien (”Biträdet”). Det gäller varje gång Biträdet behandlar personuppgifter för Kundens räkning via Zolensa. Om Kunden agerar som personuppgiftsbiträde för sin egen kund är Biträdet dennes underbiträde, och villkoren gäller i tillämpliga delar.

1. Definitioner

”Dataskyddslagstiftning” avser de lagar som gäller för behandlingen, inklusive EU:s dataskyddsförordning (GDPR), Storbritanniens GDPR (UK GDPR) och Data Protection Act 2018, den schweiziska federala dataskyddslagen (FADP), Indiens Digital Personal Data Protection Act 2023 (DPDP-lagen) och delstatliga lagar i USA, såsom Kaliforniens konsumentskyddslag för personuppgifter (California Consumer Privacy Act, CCPA). ”Personuppgifter”, ”Personuppgiftsansvarig”, ”Personuppgiftsbiträde”, ”Registrerad”, ”Personuppgiftsincident” och ”Behandling” har de betydelser som anges i GDPR. ”Kundens personuppgifter” avser personuppgifter som Biträdet behandlar för Kundens räkning via Tjänsten.

2. Roller och instruktioner

Kunden är Personuppgiftsansvarig (eller ett Personuppgiftsbiträde som agerar för sin kund) och Biträdet behandlar Kundens personuppgifter endast enligt Kundens dokumenterade instruktioner. Användarvillkoren, detta DPA och Kundens användning och inställningar av Tjänsten utgör dessa instruktioner. Biträdet underrättar Kunden om det anser att en instruktion strider mot Dataskyddslagstiftningen. Närmare uppgifter om behandlingen finns i bilaga I.

3. Sekretess

Biträdet ser till att alla som har behörighet att behandla Kundens personuppgifter är bundna av sekretess och endast har den åtkomst som deras roll kräver.

4. Säkerhet

Biträdet genomför de tekniska och organisatoriska åtgärder som anges i bilaga II, anpassade till risken, och får uppdatera dem så länge den samlade skyddsnivån inte sänks.

5. Underbiträden

Kunden ger ett allmänt godkännande av de underbiträden som anges på sidan Underbiträden. Biträdet meddelar minst 30 dagar i förväg om ett nytt underbiträde genom att uppdatera den sidan och skicka e-post till arbetsytornas ägare. Kunden får invända av rimliga dataskyddsskäl inom den tiden. Om parterna inte kan enas om en lösning får Kunden avsluta den berörda tjänsten och få tillbaka förskottsbetalda avgifter för den återstående perioden. Biträdet ålägger varje underbiträde dataskyddsskyldigheter som inte är mindre skyddande än detta DPA och är fortsatt ansvarigt för dem.

6. Internationella överföringar

Biträdet lagrar Tjänsten i Indien och vissa underbiträden finns i andra länder. För överföringar av personuppgifter från Europeiska ekonomiska samarbetsområdet godkänner parterna de standardavtalsklausuler som antagits genom kommissionens genomförandebeslut (EU) 2021/914, modul två (från personuppgiftsansvarig till personuppgiftsbiträde) och, där Kunden är personuppgiftsbiträde, modul tre (från personuppgiftsbiträde till personuppgiftsbiträde), vilka införlivas genom hänvisning med följande val: klausul 7 tillämpas inte, under klausul 9 gäller alternativ 2 (allmänt godkännande) med 30 dagars varsel, den valfria texten i klausul 11 tillämpas inte, klausul 13 följer Kundens etablering, under klausul 17 och 18 tillämpas irländsk lag och irländska domstolar, och bilagorna I och II i detta DPA kompletterar klausulernas bilagor. För överföringar från Storbritannien gäller det internationella tillägg för dataöverföring (International Data Transfer Addendum) som utfärdats av Information Commissioner, och för Schweiz gäller klausulerna med hänvisningar som ska läsas som hänvisningar till schweizisk rätt. Om dessa klausuler står i strid med detta DPA har klausulerna företräde.

7. Hjälp till Kunden

Med hänsyn till behandlingens art hjälper Biträdet Kunden, främst genom Tjänstens funktioner, att besvara de Registrerades begäranden, samt med säkerhet, underrättelser om incidenter, konsekvensbedömningar avseende dataskydd och samråd med myndigheter. Om en Registrerad kontaktar Biträdet direkt vidarebefordrar Biträdet begäran till Kunden utan att besvara den, om inte lagen kräver annat.

8. Personuppgiftsincidenter

Biträdet underrättar Kunden utan onödigt dröjsmål, och under alla omständigheter inom 48 timmar efter att ha fått kännedom om en Personuppgiftsincident som påverkar Kundens personuppgifter, med den information som Kunden behöver för att uppfylla sina egna skyldigheter, och håller Kunden informerad allteftersom mer blir känt. Biträdet vidtar rimliga åtgärder för att begränsa incidenten och minska dess följder.

9. Radering och återlämnande

Kunden kan när som helst exportera och radera Kundens personuppgifter via Tjänsten, och anger lagringstiden för varje studie. När avtalet upphör raderar Biträdet alla Kundens personuppgifter, inklusive filer i lagringen, inom 30 dagar efter den exportperiod som anges i användarvillkoren, om inte lagen kräver att Biträdet behåller en del av dem. I så fall håller Biträdet dessa uppgifter konfidentiella och behandlar dem endast för det ändamålet.

10. Revisioner

Biträdet tillhandahåller den information som rimligen behövs för att visa att detta DPA följs. Kunden får granska, eller låta en oberoende revisor som är bunden av sekretess granska, en gång per år med 30 dagars varsel, under arbetstid och utan att störa Tjänsten eller andra kunders data, på egen bekostnad. Granskning får ske oftare om en Personuppgiftsincident eller en myndighet kräver det.

11. Dataskyddslagar i amerikanska delstater

Där California Consumer Privacy Act eller liknande lagar gäller är Biträdet en tjänsteleverantör och kommer inte att sälja eller dela Kundens personuppgifter, behålla, använda eller lämna ut dem utanför den direkta affärsrelationen eller för något annat ändamål än Tjänsten, eller kombinera dem med andra personuppgifter, utom i den mån dessa lagar tillåter. Biträdet underrättar Kunden om det inte längre kan uppfylla dessa skyldigheter.

12. Ansvar och företrädesordning

Varje parts ansvar enligt detta DPA omfattas av de begränsningar som anges i användarvillkoren, utom där Dataskyddslagstiftningen inte tillåter dem. Om detta DPA står i strid med användarvillkoren i fråga om dataskydd har detta DPA företräde.

13. Bilaga I: Uppgifter om behandlingen

14. Bilaga II: Tekniska och organisatoriska åtgärder

• Kryptering under överföring med TLS för alla anslutningar. Inspelningar lagras privat och levereras via signerade länkar som löper ut.
• Lösenord hashade med Argon2id. Tvåfaktorsautentisering krävs för arbetsytans ägare och plattformens personal. Leverantörsnycklar och hemligheter för tvåfaktorsinloggning krypteras i vila.
• Rollbaserad åtkomst inom varje arbetsyta. Kunder ser deltagare endast med kod. Kontaktuppgifter är begränsade till studieteamet.
• Åtskillnad av kunders data i applikationen per arbetsyta. Varje begäran kontrolleras mot användarens arbetsyta och roll.
• Hastighetsbegränsningar för inloggning, inbjudningar och uppladdningar. Skydd mot förfalskning av begäranden mellan webbplatser (CSRF). Säkerhetsrubriker.
• Granskningslogg över inloggningar, inbjudningar, samtycken, exporter, nedladdningar och raderingar.
• Uppgiftsminimering: platsdata tas bort från foton. Uppladdningar kontrolleras efter typ och storlek. Nedladdningar löper ut efter sju dagar.
• Lagringstid per studie som anges av Kunden. Radering av deltagare, studier och hela arbetsytor inklusive filer.
• Härdning av servrar, regelbundna säkerhetsuppdateringar, brandvägg och säkerhetskopior som hålls av lagringsleverantören.
• Personal med åtkomst är bunden av sekretess, och åtkomsten är begränsad till vad deras arbete kräver.
• En process för att upptäcka, bedöma och anmäla Personuppgiftsincidenter inom 48 timmar.