Personuppgiftsbiträdesavtal

Detta personuppgiftsbiträdesavtal utgör en del av BrandsGateways allmänna villkor (”Villkoren”) mellan Gateway Holdings OÜ, registreringsnummer 14276496, Narva mnt 5, 10117 Tallinn, Estland, som bedriver verksamhet under namnet BrandsGateway (”Personuppgiftsbiträdet”), och varje företagskund som godkänner Villkoren (”Kunden”). Kunden godkänner det genom att godkänna Villkoren. Det gäller från den dag då Kunden godkänner Villkoren eller, för kunder som registrerats före den 29 oktober 2026, från det datumet. Version 1.0.

För de uppgifter om slutkonsumenter som Kunden skickar till Personuppgiftsbiträdet för att beställningar ska expedieras är Kunden personuppgiftsansvarig och Personuppgiftsbiträdet dess personuppgiftsbiträde. Personuppgiftsbiträdet är självständig personuppgiftsansvarig endast för de order-, faktura-, tull- och skatteuppgifter som det enligt lag måste spara, och för uppgifter som det behöver för att fastställa eller försvara rättsliga anspråk, inklusive anspråk mot transportörer.

Ändamål: mottagande, expediering, frakt, spårning och retur av Kundens beställningar samt tillhörande support. Uppgifter: namn, leveransadress, telefonnummer, e-postadress, orderinnehåll och spårningsuppgifter för Kundens slutkonsumenter. Uppgifterna för varje beställning sparas så länge som behövs för att expediera, leverera och returnera beställningen och för att reglera anspråk som rör den, och raderas därefter, med undantag för de uppgifter som avses i punkt 1, vilka sparas under den tid som lagen föreskriver.

Kunden ansvarar för att behandlingen är laglig och för att informera sina slutkonsumenter, skickar endast de uppgifter som behövs för en beställning och lämnar sina instruktioner skriftligen.

Personuppgiftsbiträdet behandlar uppgifterna endast enligt Kundens dokumenterade instruktioner: Villkoren, detta personuppgiftsbiträdesavtal och Kundens beställningar, även när det gäller överföringar utanför EES. Om unionsrätten eller en medlemsstats nationella rätt kräver annan behandling informerar Personuppgiftsbiträdet Kunden först, såvida inte den rätten förbjuder detta av viktiga skäl som rör allmänintresset. Det informerar omedelbart Kunden om det anser att en instruktion strider mot dataskyddslagstiftningen och får tillfälligt avbryta verkställandet av den instruktionen tills Kunden bekräftar eller ändrar den. Det använder inte uppgifter om slutkonsumenter för några egna ändamål, inklusive marknadsföring, profilering eller analys.

Alla som har behörighet att behandla uppgifterna är bundna av konfidentialitet.

Personuppgiftsbiträdet vidtar minst de åtgärder som anges i bilaga 1, ser regelbundet över dem och ändrar dem inte på ett sätt som sänker skyddsnivån.

Kunden ger Personuppgiftsbiträdet ett allmänt tillstånd att anlita underbiträden av följande slag: de leverantörer och lager som expedierar beställningar; hosting och lagring; leverans av e-post; supportverktyg; nätverkssäkerhet; och felövervakning. Några av dem finns i USA, i enlighet med punkt 9. Den aktuella förteckningen finns tillgänglig på begäran via [email protected].

Personuppgiftsbiträdet informerar Kunden via e-post minst 30 dagar innan ett underbiträde läggs till eller ersätts. Kunden får invända av rimliga skäl som rör dataskydd; om detta inte kan lösas får den avsluta de berörda tjänsterna. Personuppgiftsbiträdet ålägger genom avtal varje underbiträde skyldigheter avseende dataskydd som skyddar uppgifterna minst lika väl som detta personuppgiftsbiträdesavtal, och förblir fullt ansvarigt för dem.

För att leverera en beställning lämnar Personuppgiftsbiträdet mottagarens namn, adress, telefonnummer och e-postadress samt paketets innehåll och värde till transportören och, vid behov, till tullmyndigheter och tullombud. Kunden ger denna instruktion genom att lägga beställningen. Dessa mottagare agerar som självständiga personuppgiftsansvariga enligt sina egna villkor.

Underbiträden utanför EES anlitas endast om ett beslut om adekvat skyddsnivå omfattar dem (för USA endast organisationer som är certifierade enligt ramverket för dataskydd mellan EU och USA, EU-U.S. Data Privacy Framework) eller med stöd av standardavtalsklausulerna i kommissionens genomförandebeslut (EU) 2021/914, modul 3. För en Kund utanför EES i ett land utan beslut om adekvat skyddsnivå utgör modul 4 i dessa klausuler en del av detta personuppgiftsbiträdesavtal.

Personuppgiftsbiträdet hjälper Kunden att besvara slutkonsumenters begäranden, vidarebefordrar de begäranden som det tar emot utan onödigt dröjsmål och senast inom 3 arbetsdagar, och hjälper till med säkerhet, anmälan av personuppgiftsincidenter och konsekvensbedömningar (artiklarna 32–36 i GDPR).

Personuppgiftsbiträdet underrättar Kunden utan onödigt dröjsmål, och senast inom 48 timmar efter att ha fått kännedom om en personuppgiftsincident som påverkar Kundens uppgifter, även hos ett underbiträde, med uppgift om det som är känt, de sannolika konsekvenserna, de åtgärder som har vidtagits och en kontaktpunkt.

När tjänsterna upphör raderar eller återlämnar Personuppgiftsbiträdet uppgifterna om slutkonsumenter inom 30 dagar, enligt Kundens val, med undantag för de uppgifter som avses i punkt 1, och bekräftar detta skriftligen på begäran till [email protected].

Personuppgiftsbiträdet lämnar den information som behövs för att visa att artikel 28 i GDPR efterlevs. Om detta inte besvarar Kundens rimliga frågor får Kunden eller dess revisor genomföra en granskning, med 30 dagars varsel, högst en gång per år, såvida det inte finns tecken på bristande efterlevnad eller en personuppgiftsincident eller en myndighet kräver det. Varje part står för sina egna kostnader.

Ändringar av detta personuppgiftsbiträdesavtal meddelas Kunden via e-post minst 30 dagar innan de börjar gälla; Kunden får avsluta de berörda tjänsterna dessförinnan.

Detta personuppgiftsbiträdesavtal har företräde framför Villkoren i frågor om dataskydd. På begäran undertecknar parterna standardavtalsklausulerna i kommissionens genomförandebeslut (EU) 2021/915, som då har företräde. Estnisk lag är tillämplig.

Våra servrar, databaser, filer och säkerhetskopior finns i datacenter inom EU. Våra webbplatser nås endast via krypterade anslutningar (TLS), bakom nätverksskydd mot attacker, och de databaser som innehåller beställningar kan inte nås från internet. Databaserna säkerhetskopieras dagligen och krypteras innan de lämnar servern.

Varje person använder ett personligt konto med endast de behörigheter som personens arbete kräver. Åtkomst till servrar sker med personliga kryptografiska nycklar, inte lösenord.

Leverantörer och lager ser endast de beställningar som de expedierar.

Händelser och fel i applikationerna loggas centralt; endast det tekniska teamet kan läsa loggarna.

Personal och uppdragstagare är bundna av konfidentialitet.

Misstänkta personuppgiftsincidenter rapporteras till [email protected] och hanteras av det tekniska teamet; Kunder underrättas i enlighet med punkt 11.