Personuppgiftsbiträdet behandlar Personuppgifter uteslutande för att tillhandahålla de avtalade tjänsterna till den Personuppgiftsansvarige. Vad gäller dessa Personuppgifter är den Personuppgiftsansvarige personuppgiftsansvarig och Nashua personuppgiftsbiträde. Varje part fullgör sina egna skyldigheter enligt tillämplig dataskyddslagstiftning. Uppgifterna om behandlingen, kategorierna av registrerade och typerna av Personuppgifter anges i Bilaga A.

Personuppgiftsbiträdet behandlar Personuppgifter endast enligt den Personuppgiftsansvariges dokumenterade instruktioner, inbegripet avtalet och detta DPA, och i den utsträckning det är nödvändigt för att tillhandahålla tjänsterna, om inte behandling krävs enligt unionsrätt eller medlemsstats nationella rätt, i vilket fall Personuppgiftsbiträdet först informerar den Personuppgiftsansvarige, såvida inte denna rätt förbjuder det. Personuppgiftsbiträdet informerar den Personuppgiftsansvarige om en instruktion enligt dess uppfattning strider mot dataskyddslagstiftningen.

Personuppgiftsbiträdet säkerställer att personer som har behörighet att behandla Personuppgifterna omfattas av en lämplig tystnadsplikt och behandlar uppgifterna endast enligt instruktion. Åtkomst begränsas till personal som behöver den för att tillhandahålla tjänsterna.

Personuppgiftsbiträdet vidtar lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, i enlighet med artikel 32 GDPR. Dessa åtgärder beskrivs i Bilaga B och återspeglar ett informationssäkerhetsprogram som är anpassat till ISO/IEC 27001 och SOC 2 Trust Services Criteria, och beaktar Personuppgiftsbiträdets skyldigheter enligt DORA och NIS2 såsom de har genomförts i nederländsk rätt. Personuppgiftsbiträdet får uppdatera åtgärderna under förutsättning att skyddsnivån inte försämras.

Den Personuppgiftsansvarige ger Personuppgiftsbiträdet ett allmänt tillstånd att anlita underbiträden för att tillhandahålla tjänsterna, inbegripet de hosting- och infrastrukturleverantörer som anges i Bilaga C. Personuppgiftsbiträdet ålägger genom avtal varje underbiträde dataskyddsskyldigheter som motsvarar dem i detta DPA, och förblir fullt ansvarigt gentemot den Personuppgiftsansvarige för varje underbiträdes fullgörande. Personuppgiftsbiträdet informerar den Personuppgiftsansvarige om planerade förändringar av underbiträden och ger den Personuppgiftsansvarige en rimlig möjlighet att invända på rimliga dataskyddsgrunder.

Personuppgiftsbiträdet överför inte Personuppgifter utanför Europeiska ekonomiska samarbetsområdet utan ett beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder enligt kapitel V GDPR, i synnerhet Europeiska kommissionens standardavtalsklausuler tillsammans med eventuella kompletterande åtgärder som krävs. Som standard lagras Personuppgifterna inom Nederländerna och EES.

Med hänsyn till behandlingens art bistår Personuppgiftsbiträdet den Personuppgiftsansvarige genom lämpliga tekniska och organisatoriska åtgärder, i den mån det är möjligt, med att fullgöra den Personuppgiftsansvariges skyldighet att besvara begäranden från registrerade som utövar sina rättigheter, och bistår den Personuppgiftsansvarige med att säkerställa att skyldigheterna enligt artiklarna 32 till 36 GDPR fullgörs, inbegripet säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömningar avseende dataskydd och förhandssamråd, med beaktande av den information som är tillgänglig för Personuppgiftsbiträdet.

Personuppgiftsbiträdet underrättar den Personuppgiftsansvarige utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som berör den Personuppgiftsansvariges Personuppgifter, och tillhandahåller den information som den Personuppgiftsansvarige rimligen behöver för att fullgöra sina egna skyldigheter att anmäla till tillsynsmyndigheter och underrätta registrerade. Personuppgiftsbiträdet dokumenterar incidenter och de avhjälpande åtgärder som vidtagits.

Vid tjänsternas upphörande, och efter den Personuppgiftsansvariges val, raderar eller återlämnar Personuppgiftsbiträdet samtliga Personuppgifter och raderar befintliga kopior, såvida inte unionsrätt eller medlemsstats nationella rätt kräver lagring. På begäran bekräftar Personuppgiftsbiträdet skriftligen att detta har skett.

Personuppgiftsbiträdet ställer till den Personuppgiftsansvariges förfogande den information som krävs för att visa att skyldigheterna enligt artikel 28 GDPR fullgörs, och möjliggör och bidrar till revisioner, inbegripet inspektioner, som genomförs av den Personuppgiftsansvarige eller en av denne utsedd revisor. Personuppgiftsbiträdet får tillmötesgå revisionsbegäranden genom att tillhandahålla aktuella certifieringar och intyg, såsom ett ISO/IEC 27001-certifikat eller en SOC 2-rapport, och revisioner genomförs med rimlig framförhållning, under kontorstid, med iakttagande av konfidentialitet och utan orimlig störning av Personuppgiftsbiträdets verksamhet.

Varje parts ansvar enligt detta DPA omfattas av de ansvarsbegränsningar som avtalats i huvudavtalet, i den utsträckning tvingande lag medger. Ingenting i detta DPA begränsar en registrerads rättigheter enligt GDPR eller någon parts ansvar gentemot en tillsynsmyndighet.

Detta DPA träder i kraft tillsammans med avtalet och gäller så länge som Personuppgiftsbiträdet behandlar Personuppgifter för den Personuppgiftsansvariges räkning. Det regleras av nederländsk rätt, och tvister omfattas av den jurisdiktion som avtalats i huvudavtalet. Vid konflikt mellan detta DPA och huvudavtalet i dataskyddsfrågor har detta DPA företräde.

Föremål och varaktighet: tillhandahållandet av de avtalade tjänsterna under avtalets löptid. Art och ändamål: hosting, lagring, behandling, analys, support och drift av Nashua 360 Enterprise Platform och därtill hörande tjänster, enligt den Personuppgiftsansvariges instruktioner. Kategorier av registrerade: såsom fastställts av den Personuppgiftsansvarige, vilket kan omfatta den Personuppgiftsansvariges anställda, kunder, leverantörer och kontakter. Typer av Personuppgifter: såsom fastställts av den Personuppgiftsansvarige genom dess användning av tjänsterna, vilket kan omfatta identitets-, kontakt-, avtals-, ekonomi-, anställnings- och transaktionsuppgifter. Den Personuppgiftsansvarige ger inte instruktion om behandling av särskilda kategorier av Personuppgifter såvida detta inte uttryckligen avtalats och omfattas av lämpliga ytterligare åtgärder.

Personuppgiftsbiträdet upprätthåller åtgärder som är lämpliga i förhållande till risken, inbegripet: ett ledningssystem för informationssäkerhet anpassat till ISO/IEC 27001 och SOC 2 Trust Services Criteria; rollbaserad åtkomstkontroll och lägsta behörighet med multifaktorautentisering; kryptering av Personuppgifter under överföring och i vila; nätverkssegmentering och perimeterkontroller; centraliserad loggning, övervakning och larm; säker mjukvaruutveckling, kodgranskning och ändringshantering; sårbarhetshantering och penetrationstestning; säkerhetskopiering och testad katastrofåterställning anpassad till avtalade återställningsmål; risk-hantering avseende leverantörer och underbiträden; kontinuitetsplanering och operativ motståndskraft i linje med DORA; personalkontroll, tystnadsplikt och utbildning i säkerhetsmedvetenhet; samt en dokumenterad process för incidenthantering och incidentanmälan. De aktuella, detaljerade åtgärderna är tillgängliga för den Personuppgiftsansvarige på begäran.

Personuppgiftsbiträdet anlitar ett begränsat antal underbiträden för att tillhandahålla tjänsterna, huvudsakligen för hosting och infrastruktur inom Nederländerna och EES, samt för kommunikations- och supportverktyg. En aktuell förteckning över underbiträden, med deras roll och plats, är tillgänglig för den Personuppgiftsansvarige på begäran, och Personuppgiftsbiträdet underrättar den Personuppgiftsansvarige om planerade tillägg eller byten i enlighet med punkt 5.