MSA Sekretessspråk

 TILLÄGG TILL DATASKYDD

Kunden har ingått ett Huvudavtal eller ett avtal med liknande karaktär och syfte (nedan kallat ”Huvudavtalet”) med G-P. Ingående av ett sådant Huvudavtal kan innebära Behandling av Personuppgifter. Kunden och G-P (gemensamt kallade ”Parterna”) är överens om att detta Dataskyddstillägg (”Dataskyddstillägget”) anger deras skyldigheter avseende behandling och säkerhet av Personuppgifter i samband med de Tjänster som G-P tillhandahåller Kunden enligt Huvudavtalet och Parterna samtycker till att vara bundna av detta Dataskyddstillägg.Detta Dataskyddstillägg kompletterar villkoren i Huvudavtalet och är införlivat i detta. I händelse av en konflikt mellan detta Dataskyddstillägg och något annat avtal mellan parterna om de frågor som anges häri, ska detta Dataskyddstillägg ha företräde. Om Kunden redan har ett undertecknat dataskyddstillägg i kraft med G-P, ska det avtalet ha företräde framför detta Dataskyddstillägg, och detta Dataskyddstillägg ska inte ha någon kraft eller verkan, såvida inte annat skriftligen avtalats mellan Kunden och G-P.

 

med beaktande av följande:

1. När G-P tillhandahåller Kunden tjänster som Arbetsgivare med Registrerad Arbetsgivare (”Arbetsgivare med Registrerad Arbetsgivare”), G-P övertar rollen som juridisk arbetsgivare för alla individer som kunden väljer ut för anställning ("Professionella").
2. Beträffande sådana yrkesverksammas personuppgifter är G-P personuppgiftsansvarig under anställningsförhållandet.
3. När det gäller Professionals Personuppgifter som samlas in och används av Kunden för egna ändamål är Kunden också en personuppgiftsansvarig med oberoende integritetsskyldigheter.
4. Vid leverans av tjänster som registrerad arbetsgivare sker utbytet av yrkesverksammas personuppgifter mellan G-P och kunden under en oberoende relation mellan personuppgiftsansvariga och Termerna ”Controller-to-Controller” som definieras i avsnitt 2 nedan ska gälla.
5. G-P erbjuder även olika programvaruprodukter som en tjänst via G-P :s plattform (”GPP”), genom vilken G-P gör det möjligt för kunden att hantera relationen med dessa yrkesverksamma.
6. Genom att ge kunden åtkomst till GPP är G-P personuppgiftsbehandlare för de kontorelaterade uppgifter som laddas upp till GPP av kundens utsedda auktoriserade användare av GPP och Termer mellan personuppgiftsansvarig och behandlare som definieras i avsnitt 3 nedan ska gälla.

 

G-P och Kunden har kommit överens om följande:

 

1. DEFINITIONS

1.1. Termer som inte definieras häri har de betydelser som anges i huvudavtalet. Följande ord i denna DPA har följande betydelser:

1.2. ”Auktoriserad användare” avser en person som har tillstånd av Kunden, vilken kan inkludera antingen Kundens anställd och/eller entreprenör, att få åtkomst till och använda GPP för Kundens räkning, i enlighet med ingående av Huvudavtalet.

1.3. ”Kunddata” avser alla personuppgifter relaterade till en Auktoriserad användare eller identifierbar fysisk person som överförs, behandlas eller lagras av G-P för Kundens räkning för användning av GPP av Kunden.

1.4. ”Dataskyddslagar ” avser alla dataskydds- och integritetslagar som en part i detta avtal omfattas av och som är tillämpliga på de Tjänster som tillhandahålls, inklusive , i tillämpliga fall, men inte begränsat till, allmän dataskyddsförordningen (GDPR), brittisk allmän dataskyddsförordning (GDPR), schweizisk dataskyddslag, amerikansk integritetslag (inklusive delstatliga och federala lagar) och Brasiliens LGPD.

1.5. "allmänna dataskyddsförordningen (GDPR) " betyder allmänna dataskyddsförordningen (GDPR) (EU) 2016/679.

1.6. ”GPP” avser G-P:s proprietära programvara, inklusive men inte begränsat till programvaran, mobilversionen, all programvara som finns däri och all data som görs tillgänglig genom användning av antingen G-P:s proprietära programvara eller tredjepartstjänster, inklusive deras uppdateringar, uppgraderingar, plattform som en tjänst och dokumentation.

1.7. ”EES” betyder Europeiska ekonomiska samarbetsområdet.

1.8. ”LGPD” betyder Brasiliens lag nr. 13.709, den allmänna lagen om skydd av personuppgifter, som kan ändras, ersättas eller ersättas.

1.9. ”Huvudavtal ” avser avtalet som ingås mellan Kunden och G-P för tillhandahållande av Tjänsterna .

1.10. ”Integritetspolicy” avser G-P :s integritetspolicy, som uppdateras från tid till annan, tillgänglig på https://www.globalization-partners.com/privacy-policy/

1.11. ”Personuppgifter” avser personuppgifter om personer som behandlas av G-P i samband med tillhandahållandet av tjänster som registrerad arbetsgivare till kunden.

1.12. " Begränsad överföring " betyder all överföring av personuppgifter till ett land utanför EES, Storbritannien, Schweiz eller Brasilien som inte är föremål för ett beslut om adek vat skyddsnivå enligt gällande dataskyddslagar, och därför kräver lämpliga skyddsåtgärder enligt gällande dataskyddslagar.

1.13. ”Tjänster” avser de tjänster som G-P ska tillhandahålla Kunden enligt Huvudavtalet, vilket kan inkludera tjänster från den registrerade arbetsgivaren och åtkomst till och användning av GPP.

1.14. "Standardavtalsklausuler" eller "SCC:er" avser (i) där den allmänna dataskyddsförordningen (GDPR) gäller, de standardavtalsklausuler som bifogas Europeiska kommissionens genomförandebeslut (EU) 2021/914 av 4 juni 2021 standardavtalsklausuler för överföring av personuppgifter till tredjeländer i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679 , tillgänglig på https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32021D0914&from=EN ("EU:s SCC:er"); (ii) där den allmänna dataskyddsförordningen (GDPR) i Storbritannien gäller, de tillämpliga standarddataskyddsklausuler som antagits i enlighet med artikel 46(2)(c), eller (d) där den allmänna dataskyddsförordningen (GDPR) i Storbritannien avser det internationella tillägget för dataöverföring ("Storbritanniens tillägg") till EU:s standardavtalsklausuler som utfärdats av Information Commissioner's Office enligt s.119A(1) i dataskyddslagen 2018, i sin helhet kan det brittiska tillägget revideras enligt avsnitt 18 däri ("brittiska standardkontraktsklausuler"); (iii) där schweiziska dataskyddslagar gäller, tillämpliga standardavtalsklausuler som utfärdats, godkänts eller erkänts av den schweiziska federala dataskyddsmyndigheten och informationskommissionärskontoret ("schweiziska standardkontraktsklausuler"); där den brasilianska LGPD gäller, tillämpliga standardavtalsklausuler, bifogade resolution CD/ANPD nr 19/2024 som utfärdats av den brasilianska nationella dataskyddsmyndigheten ("ANPD"), i dess lydelse och som kan ändras från tid till annan ("brasilianska standardkontraktsklausuler").

1.15. ”Schweiziska dataskyddslagar” eller ”FADP” betyder (i) schweiziska federala dataskyddslagen (daterad juni 19, 1992, från och med mars 1, 2019) (”FDPA”); (ii) Förordningen om den federala lagen om dataskydd (”FODP”); och (iii) alla nationella dataskyddslagar som antagits enligt, i enlighet med, ersätter eller efterträder och varje lagstiftning som ersätter eller uppdaterar något av det föregående.

1.16. ”UK Addendum” avser Storbritanniens internationella dataöverföringstillägg till EU:s standardavtalsklausuler utfärdade avStorbritanniens informationskommissionär.

1.17. "UK dataskyddslagar" avser den allmänna dataskyddsförordningen (GDPR) som sparats i Storbritanniens lagar i kraft av avsnitt 3 i Storbritanniens European Union (Withdrawal) Act 2019 ("UK allmänna dataskyddsförordningen (GDPR)") och Data Protection Act 2018 (tillsammans "UK Data Protection Laws").

1.18. ”USA: s integritetslagar” avser tillämpliga lagar, order, förordningar och reglerande vägledning i USA som rör behandling av personuppgifter inklusive utan begränsning: (a) CCPA; (b) Virginias lag om konsumentskydd; (c) Colorado Privacy Act; (d) Connecticuts lag angående datasekretess och onlineövervakning; (e) Utah Consumer Privacy Act; och (f) alla liknande statligalagar

1.19. " Personuppgiftsansvarig " " Registrerad ", " Personuppgifter ", ”Personuppgifter” ”Dataintrång”, " Personuppgiftsbiträde ", " Bearbetning/Behandling ",” Begränsad överföring”, ”tjänsteleverant ör” och/eller andra liknande termer och begrepp ska ha de betydelser som definieras i dataskyddslagarna.

 

 

2. CONTROL OF PERSONAL DATA

2.1. Parternas roller. I de fall G-P verkar som oberoende personuppgiftsansvarig ska G-P uppfylla sina skyldigheter som personuppgiftsansvarig enligt dataskyddslagarna vid behandling av personuppgifter och behandla personuppgifterna enligt beskrivningen i G-P :s integritetspolicy som finns tillgänglig på https://www.globalization-partners.com/privacy-policy/. Kunden ska uppfylla sina skyldigheter enligt dataskyddslagarna vid behandling av personuppgifter som personuppgiftsansvarig. Parterna ska under inga omständigheter behandla personuppgifter enligt detta dataskyddsavtal som gemensamt personuppgiftsansvariga.

2.2. Ansvar och erkännanden. Vardera parten får behandla personuppgifter enligt detta dataskyddsavtal med avseende på yrkesverksammas uppgifter som oberoende personuppgiftsansvariga. Parterna samtycker till att uppfylla sina respektive skyldigheter och att behandla personuppgifter rättvist och lagligt i enlighet med detta dataskyddsavtal och alla dataskyddslagar som är tillämpliga på sådan parts behandling av personuppgifter. Vardera parten ska säkerställa att dess behandling av personuppgifter är begränsad till syftet med den GPP som tillhandahålls av G-P och är baserad på en rättslig grund för laglig behandling. Parterna ska bistå varandra med att uppfylla sina respektive skyldigheter enligt dataskyddslagar, inklusive, men inte begränsat till, att bistå varandra om ett dataintrång inträffar, att svara på begäran från registrerade och/eller tillsynsmyndigheter. 

 

3. PROCESSING OF PERSONAL DATA

 

3.1. Omfattning. Användningen av GPP kan innebära behandling av kunddata av G-P i egenskap av personuppgiftsbiträde eller tjänsteleverantör för kundens räkning.

3.2. Instruktioner. G-P kommer att behandla kunddata i enlighet med kundens dokumenterade instruktioner. Kunden samtycker till att detta dataskyddsavtal, huvudavtalet och Bilaga I nedan innehåller Kundens fullständiga instruktioner till G-P angående Behandling av Kunduppgifter. Eventuella ytterligare eller alternativa instruktioner måste överenskommas skriftligen mellan parterna, inklusive de kostnader (om några) som är förknippade med att följa sådana instruktioner. Kunden ska säkerställa att dess instruktioner överensstämmer med tillämpliga dataskyddslagar. Kunden bekräftar att G-P inte är ansvarigt för att avgöra vilka lagar som är tillämpliga på Kundens verksamhet. Kunden ska säkerställa att G-P :s behandling av Kunddata, när den sker i enlighet med Kundens instruktioner, inte kommer att orsaka att G-P bryter mot någon tillämplig lag, inklusive tillämpliga dataskyddslagar. OmG-P emellertid anser att en kundinstruktion bryter mot tillämplig dataskyddslag, ska G-P underrätta kunden så snart som det är rimligen möjligt och är inte skyldiga att följa en sådan intrångsgörande instruktion G-P

3.3. Detaljer om bearbetning. Detaljer om föremålet för behandlingen, dess varaktighet, art och syfte samt typen av kunddata och registrerade anges i bilaga I som bifogas till denna. 

3.4. Efterlevnad. Kunden och G-P samtycker till att följa sina respektive skyldigheter enligt dataskyddslagar som gäller för kunddata som behandlas enligt bilaga I. Kunden har ensamt ansvar för att följa dataskyddslagarna avseende lagligheten av behandlingen av kunddata innan kunddata lämnas ut, överförs eller på annat sätt görs tillgängliga för G-P. För att undvika missförstånd ska Kunden i samtliga fall, där så krävs, inhämta samtycken från de Registrerade för att G-P ska behandla Kunduppgifter enligt Kundens anvisningar.

3.5. Underbiträden. Kunden bemyndigar G-P att utse och använda personuppgiftsbiträden (”Underbiträden”) för att behandla kunduppgifterna i samband med tjänsterna. Underbiträden kan inkludera tredje parter eller alla medlemmar i G-P -koncernen. G-P får fortsätta att använda de underbiträden som redan anlitats av G-P per dagen för detta dataskyddsavtal, och en lista över sådana underbiträden finns tillgänglig i bilaga III nedan. Om en underbiträde inte uppfyller sina dataskyddsskyldigheter enligt ovan, ska G-P vara ansvarigt gentemot Kunden för fullgörandet av underbiträdets skyldigheter. G-P ska meddela Kunden om eventuella ändringar i sin lista över underbiträden via GPP. Om Kunden inom 10 (tio) dagar efter mottagandet av meddelandet berättigat invänder mot tillägg eller borttagande av en underbiträde av dataskyddsskäl och G-P inte rimligen kan tillgodose Kundens invändning, ska parterna diskutera Kundens farhågor i god tro i syfte att lösa ärendet.

3.6. Tekniska och organisatoriska säkerhetsåtgärder. Med hänsyn till branschstandarder, implementeringskostnader, art, omfattning, sammanhang och syften med Behandlingen, samt andra relevanta omständigheter som rör Behandlingen av Kunduppgifter, ska G-P implementera lämpliga tekniska och organisatoriska säkerhetsåtgärder för att säkerställa att säkerhet, konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystem och tjänster som är involverade i Behandlingen av Kunduppgifter står i proportion till risken med avseende på sådana Kunduppgifter, såsom beskrivs i bilaga II som bifogas detta. G-P kommer regelbundet att (i) testa och övervaka effektiviteten hos sina skyddsåtgärder, kontroller, system och rutiner och (ii) identifiera rimligen förutsebara interna och externa risker för säkerheten, sekretessen och integriteten hos kunddata, och säkerställa att dessa risker åtgärdas.

3.7. Sekretess. G-P ska säkerställa att personer som är behöriga att få åtkomst till Kunduppgifterna (i) har förbundit sig till sekretess eller är underkastade en lämplig lagstadgad skyldighet till sekretess och (ii) endast har åtkomst till Kunduppgifterna efter dokumenterade instruktioner från G-P, såvida inte tillämplig lag kräver det.

3.8. Personuppgiftsintrång. G-P kommer att meddela Kunden utan onödigt dröjsmål efter att ha blivit medveten om ett dataintrång i samband med behandling av kunduppgifter och kommer att vidta rimliga åtgärder för att hjälpa Kunden att, där så är möjligt, mildra de negativa effekterna av ett dataintrång.

3.9. Radering av personuppgifter. Vid uppsägning av Tjänsterna (av någon anledning) ska G-P , så snart det är rimligen möjligt, returnera eller radera Kunddata som lagrats i GPP, såvida inte tillämplig lag kräver lagring av Kunddata under en längre period. För sådan lagring ska bestämmelserna i detta DPA fortsätta att gälla för sådana Kunddata.

3.10. Begäranden från registrerade. G-P ska omedelbart informera Kunden om alla registrerade personers förfrågningar gällande Kunddata. Kunden ansvarar för att svara på sådana förfrågningar. G-P kommer rimligen att bistå Kunden med att svara på sådana förfrågningar från registrerade personer i den utsträckning Kunden inte kan komma åt relevanta Kunddata genom sin användning av GPP.

3.11. Begäran från tredje part. Om G-P tar emot några förfrågningar från tredje part eller ett beslut från någon domstol, tribunal, tillsynsmyndighet eller myndighet med behörig jurisdiktion som G-P lyder under avseende behandling av kunddata enligt avtalet, kommer G-P omedelbart att omdirigera begäran till kunden. G-P kommer inte att svara på sådana förfrågningar utan kundens föregående godkännande om de inte är lagligt skyldiga att göra det. G-P kommer, om det inte är lagligt förbjudet att göra det, att informera kunden i förväg om utlämnande av kunddata och kommer rimligen att samarbeta med kunden för att begränsa omfattningen av sådant utlämnande till vad som krävs enligt lag. 

3.12. Konsekvensbedömning avseende dataskydd och förhandssamråd. I den utsträckning det krävs enligt dataskyddslagarna ska G-P ge kunden rimligt bistånd för att genomföra en konsekvensbedömning avseende dataskydd i samband med G-P behandling av kunduppgifter och/eller eventuella föregående samråd med tillsynsmyndigheter som krävs. G-P förbehåller sig rätten att debitera kunden en rimlig avgift för tillhandahållandet av sådant bistånd.

3.13. Granska. Kunden kan granska G-P efterlevnad i enlighet med detta DPA och dataskyddslagar genom att begära ett certifikat utfärdat för säkerhetsverifiering som återspeglar resultatet av en granskning utförd av en tredjepartsrevisor (t.ex. ISO27001 -certifiering, SOC2 -certifikat) inom tolv (12) månader från dagen för kundens begäran. Alternativt, om den dokumentation som tillhandahålls i enlighet med detta avsnitt 3,13 inte är tillräcklig för att påvisa efterlevnad, kan kunden genomföra sin egen granskning utöver de tillhandahållna tredjepartscertifieringarna eller rapporterna, förutsatt att sådan granskning ska genomföras: i) högst en gång per 12 (tolv) månadersperiod; ii) under normal kontorstid och utan att störa G-P :s dagliga verksamhet; iii) med trettio (30) dagars skriftligt meddelande i förväg; iv) på kundens egen bekostnad; v) baserat på ömsesidigt överenskomna parametrar och omfattning, begränsat till det specifika omfattningen av tjänster, system som används och/eller bearbetningsaktiviteter som avses häri; vi) baserat på ett ömsesidigt överenskommet datum, med förbehåll för rimlig uppskjutning av Kunden på G-P :s rimliga begäran; och vii) i enlighet med alla sekretessskyldigheter och begränsningar. Oaktat föregående beviljas ingen revisionsrätt efter uppsägning av Huvudavtalet, förutom för rättsliga skyldigheter som måste påvisas av Kunden. En tredjepartsrepresentant som valts ut för att utföra en revision för Kundens räkning får inte ha ett äganderättsintresse i eller anknytning till ett företag, en byrå, en närstående organisation eller konsult som tillhör Arbetsgivaren av Registrerade tjänster . Ingenting i detta DPA kräver att G-P varken lämnar ut till Kunden eller dess tredjepartsrevisor, eller tillåter Kunden eller dess tredjepartsrevisor att få tillgång till: (i) data från någon annan av G-P :s kunder; (ii) G-P :s interna redovisnings- eller finansiell information; (iii) någon affärshemlighet från G-P eller dess dotterbolag; (iv) någon information som, enligt G-P :s rimliga uppfattning, skulle kunna äventyra säkerheten i G-P :s system eller orsaka brott mot dess skyldigheter enligt tillämplig lag eller dess säkerhets- eller integritetsskyldigheter gentemot någon tredje part; eller (v) all information som Kunden eller dess tredjepartsrevisor söker åtkomst till av annan anledning än för att i god tro uppfylla Kundens skyldigheter enligt dataskyddslagarna.

3.14. Amerikansk integritetslag. Enligt detta avsnitt 3 (”Behandling av personuppgifter”)är parterna överens om att G-P är en ”tjänsteleverantör” eller ”personuppgiftsbehandlare” enligt definitionen i tillämplig amerikansk integritetslag. Följaktligen, i den utsträckning amerikansk integritetslag gäller för G-P:s behandling av kunduppgifter, ska G-P inte (a) behålla, använda eller lämna ut kunduppgifter utanför den direkta affärsrelationen mellan G-P och kunden, eller för något annat ändamål än det syfte som anges i bilaga I som bifogas härmed, och G-P ska endast behandla kunduppgifter så länge som de tillhandahåller tjänster till kunden; (b) sälja kunduppgifter; (c) dela kunduppgifter; eller (d) kombinera kunduppgifter som G-P tar emot från, eller på uppdrag av, kunden med ”personuppgifter” (enligt definitionen i tillämplig dataskyddslag) som de tar emot från, eller på uppdrag av, en annan person, eller samlar in från sin egen interaktion med en konsument, förutsatt att G-P får kombinera kunduppgifter om det ligger inom ramen för att tillhandahålla tjänsterna till kunden. I tillämpliga fall ska vardera parten underrätta den andra parten om den fastställer att den inte längre kan uppfylla sina skyldigheter enligt amerikansk integritetslag.

 

 

4. International Data Transfers

4.1. Lämpligt skydd. G-P har rätt att, i den normala verksamheten, göra globala överföringar av kunddata till sina dotterbolag och/eller underleverantörer. Vid sådana överföringar till ett territorium som inte av relevanta dataskyddsmyndigheter har erkänts som ett territorium som erbjuder en adekvat skyddsnivå för personuppgifter enligt dataskyddslagarna, ska G-P säkerställa att lämpligt skydd finns på plats för att skydda de kunduppgifter som överförs enligt eller i samband med huvudavtalet.

4.2. Ramverk för datasekretess. Yrkesverksamma och kunddata lagras i GPP som finns i USA. G-P är certifierat enligt EU-US Data Privacy Framework (EU-US DPF) och, i tillämpliga fall, den brittiska utökningen av EU-US DPF, och den schweizisk-amerikanska Data Privacy Framework (Swiss-US DPF). G-Pcertifiering kan bekräftas offentligt på DPF: s webbplats http://www.dataprivacyframework.gov/list. Europeiska kommissionen ansåg att EU:s och USA:s ramverk för dataskydd var adekvat, eftersom det är en laglig mekanism för dataöverföring i enlighet med artikel 45 i den allmänna dataskyddsförordningen (GDPR), den brittiska allmänna dataskyddsförordningen (GDPR) respektive FADP. Om DPF-ramverket ogiltigförklaras, tillfälligt upphävs eller på annat sätt inte längre erkänns som tillräckligt skydd för internationella dataöverföringar, samtycker personuppgiftsbehandlaren till att ingå och följa de standardkontraktsklausuler som utfärdats eller godkänts av Europeiska kommissionen, den brittiska informationskommissionärens kontor (ICO) eller den schweiziska federala dataskydds- och informationskommissionären (FDPIC), beroende på vad som är tillämpligt. Parterna ska samarbeta i god tro för att genomföra eventuella kompletterande åtgärder som krävs för att säkerställa en i huvudsak likvärdig skyddsnivå för de överförda uppgifterna.

4.3. Standardavtalsklausuler. Parterna är överens om att när överföring av personuppgifter från Kunden (som "dataexportör") till G-P (som "dataimportör") är en begränsad överföring och tillämpliga dataskyddslagar kräver att lämpliga skyddsåtgärder vidtas, ska sådan överföring omfattas av tillämpliga standardavtalsklausuler, vilka ska anses vara införlivade i och utgöra en del av detta dataskyddsavtal, enligt följande:

1. I samband med överföringar av personuppgifter som skyddas av den allmänna dataskyddsförordningen (GDPR), ska EU:s standardkontraktsklausuler gälla, ifyllda enligt följande:

1. Modulerna ett och två ska tillämpas.
2. I klausul 7 gäller den valfria dockningsklausulen.
3. I klausul 9 i modul två kommer alternativ 2 att gälla, och tidsperioden för förhandsmeddelande om ändringar av underbiträde ska vara den som anges i avsnitt 3.5 av denna DPA;
4. I klausul 11 kommer det valfria språket inte att gälla;
5. I klausul 12 ska alla anspråk som framförts enligt EU:s SCC omfattas av de villkor som anges i huvudavtalet;
6. I klausul 17 kommer alternativ 1 att gälla, och EU:s SCC kommer att regleras av irländsk lag.
7. I klausul 18(b) ska tvister lösas vid domstolarna i Irland;
8. Bilaga I till EU:s gemensamma säkerhetscentraler ska anses vara kompletterad med den information som anges i bilaga 1 till detta dataskyddsombud, och
9. Bilaga II till EU:s gemensamma säkerhetscentraler ska anses vara kompletterad med den information som anges i bilaga 2 till detta dataskyddsombud.
10. Bilaga III till modul två i EU:s gemensamma säkerhetscentraler ska anses ha kompletterats med den information som anges i bilaga 3 till detta dataskyddsombud.

b. När det gäller överföringar av personuppgifter som skyddas av Storbritanniens dataskyddslagar eller schweiziska dataskyddslagar, gäller EU:s SCC enligt punkt (a) ovan med följande ändringar:

1. hänvisningar till " -förordning (EU) 2016/679" ska tolkas som hänvisningar till Storbritanniens dataskyddslagar eller schweiziska dataskyddslagar (i tillämpliga fall);
2. Hänvisningar till specifika artiklar i " -förordningen (EU) 2016/679" ska ersättas med motsvarande artikel eller avsnitt i Storbritanniens dataskyddslagar eller schweiziska dataskyddslagar (beroende på vad som är tillämpligt);
3. hänvisningar till " EU ", " Union ", " Medlemsstat " och " Medlemsstaternas lagstiftning " ska ersättas med hänvisningar till " UK " eller, eller " " " Storbritanniens lag " eller " Schweizisk lag " (beroende på vad som är tillämpligt);
4. Termen " medlemsstat " ska inte tolkas på ett sådant sätt att den utesluter registrerade i Förenade kungariket eller Schweiz från möjligheten att väcka talan för sina rättigheter på sin vanliga vistelseort (dvs. Förenade kungariket eller Schweiz).
5. Klausul 13(a) och del C i bilaga I används inte och den " behöriga tillsynsmyndigheten " är UK Information Commissioner eller Swiss Federal Data Protection Information Commissioner (beroende på vad som är tillämpligt).
6. Hänvisningar till " behöriga tillsynsmyndighet " och " behöriga domstolar " ska ersättas med hänvisningar till " Information Commissioner " och " domstolar i England och Wales " eller " schweiziska federala dataskyddsinformation Kommissionär " och " tillämpliga domstolar i Schweiz " (beroende på vad som är tillämpligt);
7. i klausul 17 ska standardavtalsklausulerna regleras av lagarna i England och Wales eller Schweiz (beroende på vad som är tillämpligt); och
8. När det gäller överföringar för vilka Storbritanniens dataskyddslagar gäller, ska klausul 18 ändras till att ange " Alla tvister som uppstår till följd av dessa klausuler ska lösas av domstolarna i England och Wales. En registrerad kan väcka talan mot dataexportören och/eller dataimportören vid domstolarna i något land i Storbritannien. Parterna är överens om att underkasta sig jurisdiktionen för sådana domstolar ", och med avseende på överföringar som omfattas av schweiziska dataskyddslagar ska klausul 18(b) ange att tvister ska lösas vid tillämpliga domstolar i Schweiz.
9. Beträffande uppgifter som skyddas av den brittiska allmänna dataskyddsförordningen (GDPR) ska EU:s standardkontraktsklausuler tillämpas enligt följande: (i) tillämpas i enlighet med punkterna (i) till (viii) ovan; och (ii) anses ändrade i enlighet med del 2 av det brittiska tillägget, vilket ska anses vara införlivat i och utgöra en integrerad del av detta dataskyddsavtal. Dessutom ska tabellerna 1 till 3 i del 1 i Förenade kungarikets tillägg fyllas i med de uppgifter som anges i bilaga I respektive bilaga II till detta dataskyddsombud och tabell 4 i del 1 i det brittiska tillägget ska anses vara ifylld genom att " ingen av parterna " väljs.

c. När det gäller överföringar av personuppgifter som skyddas av Brasiliens LGPD, antingen direkt eller via vidarebefordran, till ett land utanför Brasilien som inte omfattas av ett beslut om adekvat skyddsnivå som utfärdats av ANPD, anses Brasiliens SCC ingå och införlivas i denna dataskyddsförordning genom denna hänvisning och kompletteras enligt följande:

1. Klausul 2 i Brasiliens SCC uppfylls av informationen i bilaga I, som beskriver dataöverföringen.
2. JAGn Klausul 3 i Brasiliens SCC ska alternativ B tillämpas, med vidareöverföringar tillåtna i enlighet med avsnitt 3.5 (”Underprocessorer”) för denna DPA. Behandlingens syfte, art och varaktighet anges i bilaga I till detta dataskyddsombud.
3. Klausul 4 i Brasiliens SCC uppfylls av informationen i bilaga I till detta dataskyddsombud. Om G-P är personuppgiftsansvarig är det den "utsedda parten", enligt definitionen i de brasilianska standardkontraktsklausulerna, och i enlighet med klausul 14 (Transparens), klausul 15 (den registrerades rättigheter) och klausul 16 (incidentrapportering) i de brasilianska standardkontraktsklausulerna. Kunden förblir ansvarig för efterlevnad med klausul 14 (Transparens), klausul 15 (Rättigheter för registrerade) och klausul 16 Incidentrapportering) i de brasilianska standardkontraktsklausulerna för alla personuppgifter som kunden annars kan vara personuppgiftsansvarig för.
4. I klausul 9 i Brasiliens SCC gäller inte den valfria dockningsklausulen, och
5. Avsnitt III (Säkerhetsåtgärder) i Brasiliens SCC ska anses kompletterat med den information som anges i bilaga II till detta dataskyddsombud.

 

Bilaga I

Beskrivning av databehandling

 

Parter	Dataexportör: Kunden kan teckna huvudavtalet Dataimportör: G-P enhet som undertecknar huvudavtalet.
Parternas kontaktuppgifter	Kontaktuppgifter enligt huvudavtalet.
Aktiviteter som är relevanta för de överförda uppgifterna	Aktiviteter relaterade till arbetsgivaren för registertjänster och användningen av GPP som tillhandahålls kunden som en tjänst.
Bearbetningsaktiviteter	De personuppgifter som behandlas/överförs kan bli föremål för följande behandlingsaktiviteter: all åtgärd avseende personuppgifter oavsett vilka medel och förfaranden som tillämpas, särskilt insamling, organisering, lagring, användning, hämtning, konsultation, arkivering, överföring, blockering, radering eller förstörelse av uppgifter, drift och underhåll av system, efterlevnad, juridiska funktioner och revisionsfunktioner.
Behandlingens varaktighet	G-P kommer att behandla kunduppgifter under hela huvudavtalets giltighetstid och kontinuerligt.
Behandlingens art och syfte	Kunden får överföra Kunduppgifter till G-P, vars omfattning bestäms och kontrolleras av Kunden efter eget gottfinnande. Syftet med behandlingen är att tillhandahålla Tjänsterna i enlighet med Huvudavtalet.
Kategorier av registrerade	a) Depersonuppgifter som parterna utbyter som oberoende personuppgiftsansvariga med avseende på yrkespersoners personuppgifter. b) Kunduppgifter som behandlas av G-P som personuppgiftsbiträde avser auktoriserade användare av GPP som kan inkludera kundens anställda och/eller entreprenörer.
Typer av personuppgifter	· Kontaktuppgifter (t.ex. telefonnummer och e-post). · Uppgifter om anställda/uppdragstagare (såsom jobbtitel och företagsnamn). · Användningsdata (t.ex. data om den auktoriserade användarens enhet och hur en sådan enhet interagerar med GPP).  Platsdata (t.ex. plats som härrör från IP-adressen). · Innehållsdata (t.ex. innehållet i kundens filer angående yrkesverksamma och relaterad kommunikation). · Uppgifter (som lösenord, lösenordstips och liknande säkerhetsinformation som används för autentisering och kontoåtkomst till GPP).  Allapersonuppgifter som tillhandahålls av auktoriserade användare.
Särskilda kategorier av uppgifter (i förekommande fall)	N/A
Vidareanställning (retention)	Personuppgifter kommer att behållas minst så länge som tillämplig lagstadgad minsta lagringsperiod, som överensstämmer med tillämpliga preskriptionstider och uppfyller god affärspraxis.
Behörig tillsynsmyndighet	Den irländska dataskyddskommissionen
Överföringar till underbiträden	För överföringar till personuppgiftsbiträden är behandlingens föremål, art och varaktighet desamma som ovan definierats.
Kontaktuppgifter G-P integritetspolicy	privacy@G-P.com Attn: Globalt sekretesskontor.

 

 

Bilaga II

Tekniska och organisatoriska åtgärder

 

G-P har certifierats och bekräftats efterlevnad enligt 2 och ISO-standarder av 27001 revisorer. Sådana certifieringar visar vårt engagemang för att säkra kunddata. G-P :s säkerhetsprogram är utformat för att:

• Skydda sekretessen, integriteten och tillgängligheten för kunddata som G-Pinnehar eller som G-P har tillgång till;
• Skydda mot eventuella förväntade hot eller faror för konfidentialitet, integritet och tillgänglighet av kunddata;
• Skydda mot obehörig eller olaglig åtkomst, användning, avslöjande, ändring eller förstörelse av kunddata;
• Skydda mot oavsiktlig förlust eller förstörelse av, eller skada på, kunddata; och
• Skyddsinformation enligt eventuella föreskrifter som G-P kan reglera.

 

Följande beskriver de funktioner, processer, kontroller, system, procedurer och åtgärder som G-P har vidtagit för att säkerställa säkerheten vid behandling av kunduppgifter:

1) TEKNISKA ÅTGÄRDER FÖR ATT SÄKERSTÄLLA DATASEKRETESS OCH SKYDD 

1. Inbyggd integritetsskydd och skydd genom standardinställningar: G-P tar hänsyn till kraven i artikel 25 allmänna dataskyddsförordningen (GDPR) i koncept- och utvecklingsfasen av produktutvecklingen. Processer och funktioner är utformade på ett sådant sätt att dataskyddsprinciperna såsom laglighet, öppenhet, ändamålsbegränsning, dataminimering etc. samt säkerheten vid behandlingen beaktas i ett tidigt skede.

2. Kryptering av personuppgifter: Säkerställa att personuppgifter endast lagras i systemet på ett sätt som inte tillåter tredje part att identifiera den registrerade.

   1. Databas- och lagringskryptering: På alla databaser som används av G-P används en kryptering "i vila" enligt aktuell teknik så att data från databasen endast kan läsas efter korrekt autentisering på respektive databassystem.

   2. Kryptering av mobila datamedier: Användning av mobila databärare för lagring av kunddata är inte tillåtet.

   3. Kryptering av databärare på bärbara datorer: Lämplig toppmodern hårddiskkryptering installeras på alla anställdas bärbara datorer.

   4. Krypterat utbyte av information och filer: I princip krypteras utbytet av information och filer direkt via en särskild ansökan. Om personuppgifter eller konfidentiell information måste överföras till servrar som inte kan skickas via TLS-krypterade HTTPS-uppladdningar, kommer dessa att överföras med hjälp av Secure File Transfer Protocol (SFTP), krypterad kuverttjänst eller annan krypterad mekanism enligt den senaste tekniken.

   5. E-postkryptering: I princip krypteras alla e-postmeddelanden som skickas av anställda på G-P med TLS. Undantag kan vara om den mottagande e-postservern inte stöder TLS. Kunden ska säkerställa att motsvarande e-postservrar som används inom ramen för beställningen stöder TLS-kryptering.

3. Tillträdeskontroll: Tillträdeskontroller är avsedda och införda för att förhindra användning och behandling av data som skyddas av dataskyddslagar av obehöriga personer.

   1. Användning av autentiseringsmetoder: Tillgång till personuppgifter sker alltid via krypterade protokoll: SSH, SSL/TLS, HTTPS eller jämförbara protokoll. Autentiseringsprocedur för IT-system: Multifaktorautentisering inloggning till IT-system.

   2. Automatisk blockering vid inaktivitet: Bärbara datorer som används av G-P är låsta med lösenords- eller PIN-kod när de inte används av användaren. Dessutom ställs ett automatiskt skärmlås med lösenordsskydd in efter 15 minuters inaktivitet.

   3. Användning av antivirusprogram: Bärbara datorer som används av G-P är utrustade med den senaste antivirusprogramvaran som hålls uppdaterad på alla operativa eller affärsmässiga IT-system. I princip får inga datorer drivas utan inhemskt virusskydd om inte andra motsvarande toppmoderna säkerhetsåtgärder har vidtagits eller det inte finns någon risk. Standardsäkerhetsinställningarna får inte inaktiveras eller kringgås.

   4. "Clean Desk Policy": Anställda på G-P instrueras att inte skriva ut eller lagra personuppgifter om registrerade personer lokalt, att inte lämna arbetsmaterial på en plats där det kan ses av tredje part och att förvara allt arbetsmaterial på rätt sätt. Dokument som G-P enligt lag är skyldiga att förvara i pappersform förvaras i låsta skåp.

4. Åtkomstkontroller inom plattformen: Åtkomstkontroller säkerställer att personer som är behöriga att använda ett behandlingssystem endast har åtkomst till de personuppgifter som omfattas av deras åtkomstbehörighet.

   1. Roller och auktorisation

      1. Roller och auktoriseringsplattform – Kundåtkomst: Kundanvändare kan visa och redigera kundkontoinformation.

      2. Roller och auktoriseringsplattform – Professionell åtkomst: Professionella användare kan visa och redigera sin egen professionella information. Professionella kan också få kundåtkomstroll efter krav+godkännande

      3. Roller och auktoriseringsplattform – Intern åtkomst: Användare med intern åtkomst har olika roller. De har varierad åtkomst för att skapa, visa, redigera och godkänna följande:

         • Kundinformation

         • Faktureringsinformation

         • Partnerinformation

         • Professionell personal registrerar information

      4. Åtkomst till administrationssystemet är generellt begränsad till utbildade anställda inom kundsupport och produktutveckling.

5. Brandvägg som en tjänst: G-P använder en extern brandvägg som en tjänst som gör det möjligt att bevilja eller blockera åtkomst till webbplatser för att säkerställa att system inte kan komma åt skadligt innehåll och för att begränsa åtkomst till olämpligt innehåll.

6. Register över inloggning på plattformen: G-P för register över all inloggningsaktivitet.

7. Separerbarhet: Säkerställa att personuppgifter som samlas in för olika ändamål kan behandlas separat och separeras från andra uppgifter och system på ett sådant sätt att oplanerad användning av dessa uppgifter för andra ändamål utesluts.

   1. Separation av utvecklings-, test- och driftsmiljöer: Data från driftsmiljön får endast överföras till test- eller utvecklingsmiljöer om de har gjorts helt anonyma före överföringen. Överföringen av de anonymiserade uppgifterna måste vara krypterad eller via ett pålitligt nätverk. Programvara som ska överföras till driftsmiljön måste först testas i en identisk testmiljö (" staging "). Program för felanalys eller skapande/sammanställning av programvara får endast användas i driftsmiljön om detta inte kan undvikas. Detta gäller särskilt om felsituationer beror på data som skulle förfalskas på grund av kraven på anonymisering vid överföring till testmiljöer.

   2. Separation i nätverk: G-P separerar sina nätverk enligt uppgifter. Följande nätverk används permanent: driftsmiljö (" Production "), testmiljö (" Staging ", ”Sandbox”), utvecklingsmiljö (”Dev”) kontors-IT-personal. Utöver dessa nätverk skapas ytterligare separata nätverk efter behov, t.ex. för återställningstester och penetrationstester. Beroende på de tekniska möjligheterna separeras nätverken antingen fysiskt eller med hjälp av virtuella nätverk.

8. Tillgänglighet kontroll: G-P vidtar följande åtgärder för att säkerställa att personuppgifter skyddas mot oavsiktlig förstörelse eller förlust.

   1. Dataskyddsrutiner/säkerhetskopiering: För att säkerställa tillräcklig tillgänglighet implementerar G-P dagliga ögonblicksbilder av sin databas med replikering till en annan region. Åtgärder vidtas också för att säkerställa att anställda med jobbbaserat behov av att granska data endast beviljas åtkomst till replika datamängder.

   2. Geo-redundans med avseende på serverinfrastruktur för produktiva data och säkerhetskopior

   3. IT-incidenthantering (" Incident Response Management "): Det finns ett koncept och dokumenterade rutiner för hantering av incidenter och säkerhetsrelevanta händelser. Detta inkluderar planering och förberedelse av svar på incidenter, förfaranden för övervakning, upptäckt och analys av säkerhetsrelevanta händelser och definition av motsvarande ansvar och rapporteringskanaler i händelse av brott mot skyddet av personuppgifter inom ramen för de rättsliga kraven.

2) ORGANISATORISKA ÅTGÄRDER FÖR ATT SÄKERSTÄLLA DATASEKRETESS OCH SKYDD

G-P har infört följande organisatoriska åtgärder för att säkerställa att organisationen arbetar på ett sätt som uppfyller kraven på dataskydd och integritet.

1. Organisatoriska instruktioner: G-P har utvecklat och utvecklar ett program för datastyrning inklusive policyer, rutiner och riktlinjer som anställda ska följa. Dokumentationen omfattar hur man identifierar och hanterar dataskyddsproblem, bästa praxis för att säkerställa efterlevnad av sekretessregler och policyer för att hantera sekretessincidenter.
2. Engagemang för sekretess och dataskydd: G-P har utvecklat och utvecklar ett program för datastyrning inklusive policyer, rutiner och riktlinjer som anställda ska följa. Alla anställda och entreprenörer är skriftligen bundna till sekretess och dataskydd samt andra relevanta lagar. Alla anställda får sekretess & säkerhetsutbildning. Internrevisioner av dataskydd och informationssäkerhet genomförs regelbundet. Revisioner utförs på grundval av gemensamma testkriterier/system. G-P anställda och uppdragstagare instrueras att behandla personuppgifter endast av lagliga skäl, i enlighet med tillämpliga avtal med kunden och yrkesverksamma, med vederbörlig hänsyn till eventuella uttryckliga samtycke som lämnats eller nekats av den registrerade, och i enlighet med organisationens lagliga skyldigheter.
3. Utbildning i dataskydd: Alla anställda får utbildning i integritet och säkerhet som finns tillgänglig för granskning när som helst på G-P utbildningsplattform.
4. Fysiska åtkomstkontroller: G-P har följande fysiska kontroller på plats för att neka obehöriga personer åtkomst till IT-utrustning som används för behandling.
   1. Elektroniskt dörrskydd: Entrédörrarna till G-P lokaler är alltid låsta och elektroniskt säkrade. Dörrarna öppnas via en personlig elektronisk transponder.
   2. Kontrollerad distribution av nycklar: En central, dokumenterad tilldelning av nycklar till G-P :s anställda sker. Dessa elektroniska transpondrar/nycklar kan avaktiveras centralt av varje kontorschef eller personalavdelningen.
   3. Övervakning och ledsagning av externa personer: Externa tjänsteleverantörer och andra tredje parter får endast beviljas tillträde till lokalerna efter förhandstillstånd eller i sällskap av en anställd eller G-P. G-P tillämpar sin skriftliga besökspolicy när besökare bjuds in till lokalerna.
   4. Säkring av lokaler med ökat skyddsbehov: Lokaler eller skåp med ökade skyddskrav, såsom advokatkontor och vissa verksamhetsställen, är utrustade med låsskåp och lådor. Skåp och lådor där juridiska dokument, kontrakt och konfidentiell dokumentation förvaras ska alltid låsas utom när de används.
   5. Stängda dörrar och fönster: Anställda instrueras organisatoriskt att hålla fönster och dörrar stängda eller låsta utanför kontorstid.
5. Återställningsbarhet: G-P säkerställer att system som används kan återställas vid fysiska eller tekniska fel.

   1. Regelbundna tester av dataåterställning (" Restore-Tests "): Regelbundna fullständiga återställningstester utförs för att säkerställa återställbarhet i händelse av en nödsituation/katastrof.

   2. Nödplan (" Disaster Recovery Concept "): Det finns ett koncept för behandling av nödsituationer/katastrofer och en motsvarande beredskapsplan. G-P säkerställer återställning av alla system baserat på säkerhetskopior/databackuper, vanligtvis inom 48 timmar.

   3. Gransknings- och utvärderingsåtgärder: Presentation av förfarandena för regelbunden granskning, bedömning och utvärdering av effektiviteten i de tekniska och organisatoriska åtgärderna.

6. Integritetsteamet: Organisationen har ett globalt dataintegritetskontor som har till uppgift att planera, implementera, utvärdera och anpassa åtgärder inom dataskyddsområdet.

7. Riskhantering: Det finns en process för att analysera, utvärdera och fördela risker och för att härleda åtgärder utifrån dessa risker.

3) OB EROENDE GRANSKNING AV INFORMATIONSSÄKERHET

1. Genomförande av revisi oner: Internrevisioner av dataskydd och informationssäkerhet genomförs regelbundet. Revisioner utförs på grundval av gemensamma testkriterier/system.
2. Granskning av efterlevnad av säkerhetspolicyer och standarder: Efterlevnaden av tillämpliga säkerhetsriktlinjer, standarder och andra säkerhetskrav för behandling av personuppgifter kontrolleras regelbundet. Om möjligt utförs dessa kontroller slumpmässigt och oväntat.
3. Verifiering av efterlevnad med tekniska specifikationer: Regelbundna automatiserade och manuella sårbarhetsskanningar utförs av IT-avdelningen eller annan kvalificerad personal för att verifiera säkerheten för applikationer och infrastruktur, samt den regelbundna utvecklingen av produkten. Detaljerade penetrationstester utförs av en extern tjänsteleverantör för att specifikt undersöka applikationerna och infrastrukturen för sårbarheter.
4. Behandling på instruktion: G-P anställda instrueras att behandla personuppgifter endast av lagliga skäl, i enlighet med tillämpliga avtal med kunden och yrkesverksamma, med vederbörlig hänsyn till eventuella uttryckliga samtycke som lämnats eller nekats av den registrerade, och i enlighet med organisationens lagliga skyldigheter.
5. Noggrant leverantörsval: G-P följer sin förhandskvalificeringsprocess för leverantörer när de väljer ut leverantörer som kan komma i kontakt med skyddade uppgifter. Denna process inkluderar feedback från finans- och juridiska/sekretessavdelningarna och inkluderar riskbedömning, säkerhetskvalificering och dokumentationscertifiering. Leverantörer som kommer att behandla skyddade uppgifter kommer att vara skyldiga att visa att de följer tillämpliga dataskyddslagar, inklusive artikel 28 allmänna dataskyddsförordningen (GDPR) för omfattade uppgifter.

 

Bilaga III 

Förteckning över underprocessorer

 

Underbiträde	Plats och kontaktuppgifter	Beskrivning av bearbetning
G-P dotterbolag	https://www.globalization-partners.com/kontakt- os/	Tillhandahålla plattformen och kundrelationshantering
Acumatika	3933 Lake Washington Blvd NE #350, Kirkland, WA 98033, Förenta Staterna	Finansiella tjänster
Amazon webb tjänst	P.O. Låda 81226 Seattle, WA 98108-1226, Amerikas förenta stater	Hosting - Molntjänsteleverantör
Microsoft	Microsoft Corporation Ett Microsoft-sätt Redmond, Washington 98052 USA Telefon: (+1) 425-882-8080.	Affärsprocessstöd för kommunikation (e-post) och tjänstehantering
Atlassian	350 Bush Street våning 13 San Francisco, CA 94104, USA +1 415 701 1110	Affärsprocessstöd för tjänstehantering
DocuSign	DocuSign International (EMEA) Ltd, Uppmärksamhet: Integritetsteam, 5 Hanover Quay, Bottenvåning, Dublin 2, Irland	Dokumenthantering
Salesforce.com	Salesforce Tower, 415 Mission Street, 3andra våningen, San Francisco, CA 94105, USA 1-800-387-3285	Affärsprocessstöd för kundrelationshantering (CRM)
Zendesk	989 Market St San Francisco, CA 94103, Förenta Staterna zendesk .com 888-670-4887	Helpdesk-förfrågningar för kundsupport
Workday	6110 Stoneridge Mall Road Pleasanton, Kalifornien 94588, Amerikas förenta stater	Stöd för affärsprocesser för hantering av löner, förmåner, HR och anställningsdata.
Servicera nu	2225 Lawson Lane Santa Clara, Kalifornien, 95054 USA	Stöd för affärsprocesser för IT-tjänster och verksamhetsstyrning, anställnings- och kundupplevelser genom (automatiserat molnbaserat arbetsflöde)
Databricks	160 Spear Street, 15: e våningen San Francisco, Kalifornien 94105 1-866-330-0121 USA	Infrastruktur för molndatalager.
Datalogg	620 8th Ave 45: e våningen New York, NY 10018 USA	Verktyg för övervakning och felsökning av tjänster
Wise	Avenue Louise 54, Rum s52, 1050 Bryssel belgien	Online betalningsprocessor
Google	1600 Amphitheatre Pkwy, Mountain View, Kalifornien 94043	Affärsprocessstöd för kommunikation (e-post) och intern dokumentlagring