Databehandleravtale

Omfang og roller

Kunden er behandlingsansvarlig, og Onur Öztürk, enkeltpersonforetak under navnet Ozan Soft («GenderAPI»), er databehandler for Kundens personopplysninger som sendes inn via API-et, verktøyene for filbehandling eller funksjonene i tilkoblede regneark. Hver part er fortsatt selvstendig ansvarlig for personopplysninger som parten behandler som behandlingsansvarlig, herunder GenderAPIs administrasjon av kontoer, fakturering og forretningskontakter.

Kunden avgjør om innsendte data er personopplysninger, og er ansvarlig for behandlingsgrunnlaget, informasjonen til de registrerte, tillatelsene og instruksene. Kunden skal ikke sende inn data som Tjenesten ikke er utformet for å behandle, eller bruke inferensresultater som eneste grunnlag for en avgjørelse som har rettsvirkning for en person eller på tilsvarende måte i betydelig grad påvirker vedkommende.

Instrukser om behandling

GenderAPI behandler Kundens personopplysninger bare for å levere, sikre og støtte Tjenesten i samsvar med avtalen, denne DPA-en, Kundens dokumenterte bruk av Tjenesten og gjeldende lov. GenderAPI vil varsle Kunden dersom en instruks etter GenderAPIs rimelige vurdering er i strid med gjeldende personvernlovgivning, med mindre loven forbyr et slikt varsel.

GenderAPI selger ikke Kundens personopplysninger, bruker dem ikke til kontekstoverskridende atferdsbasert markedsføring, bruker dem ikke til å trene den private inferensmodellen og lagrer dem ikke i KI-logger. Reglene om lagring i personvernerklæringen utgjør en del av disse dokumenterte instruksene om behandling.

Taushetsplikt og sikkerhet

GenderAPI sikrer at personer som er autorisert til å behandle Kundens personopplysninger, er underlagt en passende taushetsplikt og bare har tilgang til dataene i den grad det er nødvendig for oppgavene de er tildelt. GenderAPI opprettholder tekniske og organisatoriske tiltak som er tilpasset Tjenestens art og risikoene ved behandlingen.

• TLS-beskyttet overføring av data som utveksles med Tjenesten.
• Tilgangsbegrensninger for produksjonssystemer, kundedata og tilgangsbegrensede sikkerhetskopier.
• Atskillelse og beskyttelse av påloggingsinformasjon for kontoer og API-nøkler for produksjon.
• Logging av sikkerhetshendelser og teknisk logging i henhold til den publiserte lagringsplanen.
• Rullerende sikkerhetskopier med en standard overskrivingsperiode på opptil 15 dager.
• Privat KI-behandling uten trening på kundedata og uten logging av KI-forespørsler eller -resultater.
• Rutiner for dataminimering og sletting i samsvar med Tjenestens lagringsplan.

Underdatabehandlere

Kunden gir GenderAPI en generell skriftlig tillatelse til å bruke leverandørene som er oppført som underdatabehandlere etter denne DPA-en på siden om underdatabehandlere. GenderAPI vil pålegge hver slik underdatabehandler å beskytte Kundens personopplysninger i henhold til forpliktelser som i det vesentlige samsvarer med denne DPA-en, slik de gjelder for tjenestene underdatabehandleren utfører. GenderAPI forblir ansvarlig for sine forpliktelser etter denne DPA-en. Leverandører som bare brukes til GenderAPIs aktiviteter som behandlingsansvarlig, for eksempel fakturering eller kommunikasjon om kontoen, er oppført særskilt og regnes ikke som Kundens databehandlere bare fordi de står i leverandørregisteret.

GenderAPI vil gi minst 30 dagers forhåndsvarsel via siden om underdatabehandlere, Tjenesten eller Kundens e-postadresse for kontoen før en underdatabehandler som skal behandle Kundens personopplysninger, legges til eller byttes ut. Kunden kan i denne perioden fremme en rimelig og dokumentert innsigelse av hensyn til personvernet. Partene vil i god tro arbeide for en kommersielt rimelig løsning; dersom ingen slik løsning finnes, kan Kunden slutte å bruke den berørte funksjonen.

Bistand og hendelser knyttet til personopplysninger

Idet det tas hensyn til behandlingens art og informasjonen GenderAPI har tilgjengelig, yter GenderAPI rimelig bistand med forespørsler fra de registrerte, sikkerhetsforpliktelser, melding om brudd på personopplysningssikkerheten, vurderinger av personvernkonsekvenser (DPIA) og forhåndsdrøftinger som kreves etter gjeldende personvernlovgivning. Dersom en registrert kontakter GenderAPI om Kundens personopplysninger, kan GenderAPI henvise forespørselen til Kunden, med mindre gjeldende lov krever et direkte svar.

GenderAPI vil varsle Kunden uten ugrunnet opphold og, der det er rimelig mulig, innen 48 timer etter å ha blitt kjent med et bekreftet brudd på personopplysningssikkerheten som berører Kundens personopplysninger. Varselet vil inneholde tilgjengelig informasjon som Kunden med rimelighet trenger for sin vurdering og sine meldeplikter. Varselet er ikke en innrømmelse av skyld eller ansvar.

Tilbakelevering og sletting

I Tjenestens avtaleperiode kan Kunden hente tilgjengelige resultater via de støttede funksjonene i Tjenesten. Ved avslutning av kontoen, opphør av den aktuelle behandlingen eller en gyldig forespørsel om sletting vil GenderAPI slette eller ugjenkallelig anonymisere Kundens personopplysninger som er igjen i aktive systemer, innen 30 dager, med mindre gjeldende lov krever lagring. Data som er fjernet fra aktive systemer, kan bli liggende i tilgangsbegrensede rullerende sikkerhetskopier i opptil 15 dager til før de automatisk overskrives.

Lovpålagt lagring av registreringer om fakturering, transaksjoner, forebygging av svindel/misbruk eller tvister gir ikke grunnlag for fortsatt bruk av innholdet i Kundens forespørsler eller opplastede filer. Lagringsplanen per kategori i personvernerklæringen gjelder fortsatt der den fastsetter en kortere periode.

Informasjon og revisjon

GenderAPI vil gjøre tilgjengelig for Kunden den informasjonen som er rimelig nødvendig for å påvise etterlevelse av denne DPA-en, i første omgang gjennom gjeldende retningslinjer, dokumentasjon og et rimelig sikkerhetsspørreskjema. Dersom denne informasjonen ikke er tilstrekkelig for å oppfylle en rettslig forpliktelse, kan Kunden be om en forholdsmessig revisjon høyst én gang per år, unntatt etter et bekreftet brudd eller en bindende anmodning fra en tilsynsmyndighet.

En revisjon skal gjennomføres med rimelig forhåndsvarsel, i vanlig arbeidstid og uten at andre kunders data eksponeres eller sikkerheten svekkes. Kunden bærer sine egne revisjonskostnader, med mindre revisjonen avdekker et vesentlig brudd fra GenderAPIs side. Partene vil først avtale passende vilkår om konfidensialitet og omfang.

Internasjonale overføringer

Kundens personopplysninger kan behandles i Tyrkia og, gjennom infrastruktur levert under avtale, i USA. GenderAPI vil bruke et rettslig anerkjent overføringsgrunnlag der det er relevant. Dersom EUs standardkontraktsbestemmelser (SCC) vedtatt ved Kommisjonens gjennomføringsbeslutning (EU) 2021/914 er påkrevd, innarbeides den relevante modulen for overføring fra behandlingsansvarlig til databehandler i denne DPA-en og går foran motstridende vilkår for den aktuelle overføringen. Partene vil fylle ut de valgene eller opplysningene i vedleggene som loven krever for deres konkrete overføring, når DPA-en inngås.

Opplysninger om behandlingen

Gjenstand og varighet

Behandling som er nødvendig for å levere GenderAPI mens Kunden bruker Tjenesten, og i de begrensede periodene for sletting, sikkerhetskopiering, sikkerhet og lovpålagt lagring som er beskrevet i denne DPA-en og i personvernerklæringen.

Art og formål

Mottak, overføring og analyse av, samt retur av resultater for, API-forespørsler, opplastede Excel- eller CSV-filer og operasjoner i tilkoblede regneark; i tillegg tilhørende hosting, sikkerhet, feilsøking og kundestøtte.

Kategorier av registrerte

Personer hvis navn, e-postadresser, brukernavn eller tilknyttede registreringer Kunden sender inn; Kundens brukere, ansatte, kontakter eller sluttbrukere; og personer som er representert i opplastede eller tilkoblede regnearkdata.

Typer personopplysninger

Navn, e-postadresser, brukernavn, land- eller lokaliseringskontekst, regnearkfelt levert av Kunden, utledet kjønnsresultat og konfidensinformasjon, samt begrensede metadata om forespørsler, enheter, autentisering og sikkerhet som er nødvendige for å drive Tjenesten. Kunden skal ikke sende inn særlige kategorier av personopplysninger med mindre det er uttrykkelig avtalt skriftlig og lovlig tillatt.