Personuppgiftsbiträdesavtal
1. Parter, omfattning och status
Detta avtal anger villkor för personuppgiftsbehandling mellan den företagskund som anges i ett OrsunPay-tjänsteavtal (”Kunden”) och Orsun Tech OÜ, registreringsnummer 17418287, Sepapaja tn 6, Lasnamäe linnaosa, Tallinn, Harju maakond, 15551, Estonia (”OrsunPay”). Det blir bindande först när det införlivas i ett avtal som båda parter har godkänt och bilagorna om behandling och säkerhet är färdigställda.
För behandlingen som omfattas här bestämmer Kunden ändamålen och de väsentliga medlen, och OrsunPay behandlar personuppgifter för Kundens räkning. Om Kunden själv är personuppgiftsbiträde måste Kunden ha sin personuppgiftsansvariges tillstånd att anlita OrsunPay. Behandling för OrsunPays egna ändamål avseende webbplats, affärskontakter och kontoadministration beskrivs i integritetsmeddelande.
”Personuppgifter”, ”personuppgiftsansvarig”, ”personuppgiftsbiträde” och närliggande begrepp har den betydelse som följer av tillämplig dataskyddslagstiftning, inklusive GDPR där den gäller. Detta personuppgiftsbiträdesavtal har företräde framför motstridiga tjänstevillkor för den behandling det omfattar. Obligatoriska överföringsklausuler har företräde där de gäller.
2. Beskrivning av behandlingen
| Punkt | Behandlingens omfattning |
|---|---|
| Föremål | Personuppgifter som hanteras genom Kundens avtalade tjänster för betalningsorkestrering och tillhörande support. |
| Behandlingens art | Mottagning, registrering, organisering, hämtning, överföring och visning av poster; genomförande av dirigerings- och driftsinstruktioner; felsökning samt återlämning eller radering av uppgifter. |
| Ändamål | Driva konfigurerade betalningsflöden, utbyta information med valda leverantörer, upprätthålla transaktions- och webhookposter, ge behörig åtkomst och undersöka tjänsteproblem. |
| Registrerade personer | Kundens köpare och andra betalningsdeltagare samt Kundens behöriga användare eller företrädare när behandlingen sker enligt Kundens instruktioner. |
| Uppgiftskategorier | Kund- och transaktionsreferenser, kontaktuppgifter när sådana lämnas, belopp och valutor, betalnings- och återbetalningsstatus, leverantörsreferenser, tokeniserade eller maskerade betalningsmetoduppgifter, tekniska anslutningsdata och relevant supportmaterial. Den slutliga bilagan måste avspegla den faktiska integrationen. |
| Varaktighet och frekvens | Under användningen av tjänsten och den avtalade perioden för återlämning eller radering; kontinuerlig eller händelsestyrd behandling beroende på använda funktioner. |
| Känsliga uppgifter | Särskilda kategorier av personuppgifter, uppgifter om lagöverträdelser och fullständiga betalningsautentiseringsuppgifter omfattas inte av denna allmänna beskrivning, om inte en separat skriftlig omfattning och lämpliga kontroller uttryckligen omfattar dem. |
3. Instruktioner och Kundens ansvar
Tjänsteavtalet, färdigställda bilagor, behöriga inställningar och dokumenterade API-anrop utgör Kundens instruktioner. OrsunPay behandlar omfattade uppgifter endast enligt dessa instruktioner, inklusive instruktioner om överföringar, om inte tillämplig lag kräver annat. OrsunPay informerar Kunden om ett lagkrav före behandlingen, om inte lagen förbjuder sådan information.
Kunden måste lämna lagliga instruktioner, nödvändig integritetsinformation och en giltig grund för den insamling och behandling som Kunden begär. Kunden måste begränsa lämnade uppgifter till vad tjänsten behöver och upprätthålla lämpliga kontobehörigheter. OrsunPay informerar Kunden om OrsunPay anser att en instruktion strider mot tillämplig dataskyddslagstiftning och får pausa den berörda behandlingen medan frågan löses.
4. Sekretess och säkerhet
OrsunPay begränsar åtkomst till behöriga personer som behöver den för att utföra tjänsten och säkerställer att de omfattas av sekretessförpliktelser. OrsunPay upprätthåller tekniska och organisatoriska åtgärder som är lämpliga med hänsyn till uppgifternas art och behandlingens risker.
Säkerhetsbilagan måste dokumentera åtkomstkontroll, autentisering, krypteringsarrangemang, separation av kundmiljöer, loggning, incidenthantering, säkerhetskopiering och återställning, radering samt processen för att bedöma dessa åtgärder. Den måste skilja mellan införda och planerade kontroller och identifiera tjänstens tillämpliga omfattning. Ingen revisionscertifiering eller säkerhetsattest införlivas enbart genom publiceringen av detta avtal.
5. Underbiträden
OrsunPay får anlita underbiträden endast med Kundens föregående särskilda eller allmänna skriftliga tillstånd. Den slutliga godkända bilagan identifierar den juridiska personen, funktionen och relevanta behandlingsplatser. Vårt leverantörsregister är stödjande information och inkluderar webbplatsleverantörer och arrangemang under granskning. Enbart upptagande i registret innebär inte Kundens tillstånd.
Vid allmänt tillstånd lämnar OrsunPay skriftligt förhandsbesked om planerade tillägg eller ersättningar och ger Kunden en meningsfull möjlighet att invända av dataskyddsskäl innan den nya behandlingen börjar. Den ingångna bilagan måste ange meddelandefrist, leveranskanal och lösningsförfarande. Om en invändning inte kan lösas kommer parterna överens om ett lagligt alternativ eller avslutar den berörda tjänsten enligt avtalet.
OrsunPay ålägger varje underbiträde tillämpliga dataskyddsförpliktelser genom avtal och förblir ansvarigt för underbiträdets fullgörande av dessa förpliktelser enligt lag.
6. Bistånd och personuppgiftsincidenter
Med hänsyn till behandlingen och tillgänglig information bistår OrsunPay Kunden med begäranden om registrerades rättigheter, säkerhetsförpliktelser, konsekvensbedömningar och samråd med behöriga myndigheter. Om OrsunPay får en begäran om Kundens uppgifter underrättas Kunden, och OrsunPay svarar inte i sak utom enligt instruktion eller när lag kräver det.
OrsunPay underrättar Kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som berör omfattade uppgifter. Tillgänglig information beskriver incidenten, berörda uppgifter och personer, sannolika konsekvenser, begränsningsåtgärder och en kontakt för uppföljning. Information får lämnas stegvis när utredningen fortskrider. OrsunPay samarbetar med Kundens hantering. Kunden förblir ansvarig för de underrättelser som Kunden är rättsligt ansvarig för.
7. Internationella överföringar
Innan behandlingen omfattar en överföring som är föremål för begränsningar måste parterna identifiera exportören, importören, destinationerna och en lämplig överföringsmekanism. Där det är relevant omfattar detta ett tillämpligt beslut om adekvat skyddsnivå eller färdigställda standardavtalsklausuler med rätt modul, bilagor och kompletterande åtgärder. Brittiska eller schweiziska krav måste hanteras när de är tillämpliga.
En länk till en leverantörs personuppgiftsbiträdesavtal färdigställer inte i sig Kundens överföringsdokumentation. Den ingångna bilagan måste omfatta faktiska arrangemang, inklusive fjärråtkomst och vidareöverföringar.
8. Återlämning, radering och lagring
När behandlingen avslutas återlämnar eller raderar OrsunPay, enligt Kundens val, omfattade personuppgifter och raderar återstående kopior, om inte tillämplig lag kräver lagring. Parterna måste avtala om exportformat, begäransprocess, tidsfrist för slutförande och säkerhetskopiors utgång i behandlingsbilagan.
När lagring krävs enligt lag identifierar OrsunPay kravet där det är tillåtet, begränsar lagrade uppgifter till detta ändamål och raderar dem när skyldigheten upphör. Säkerhetskopior som väntar på planerad utgång måste förbli skyddade och otillgängliga för normal användning. OrsunPay bekräftar slutförandet på begäran.
9. Information och revisioner
OrsunPay tillhandahåller information som behövs för att visa efterlevnad av sina biträdesförpliktelser och tillåter och bidrar till revisioner, inklusive inspektioner av Kunden eller dess utsedda revisor. Parterna samordnar rimligt varsel, sekretess och åtgärder som skyddar andra kunders information. Praktiska arrangemang får inte förhindra en revision som krävs enligt lag eller av en behörig myndighet.
10. Färdigställande av avtalet
Före ingående måste parterna färdigställa tjänstespecifika uppgiftskategorier, behandlingsplatser, godkända underbiträden, överföringsdokument, säkerhetsåtgärder, lagrings- och återlämningsarrangemang, underrättelsekontakter och förfarande för leverantörsbyten. Ansvars- och lagvalsbestämmelser följer det ingångna tjänsteavtalet i den utsträckning lagen tillåter. Inget här tar bort en persons lagstadgade rättigheter. Förfrågningar om avtal och personuppgiftsbiträdesavtal kan skickas via Kontakt.