Logga inEN
Stående villkor – gäller som en del av Merulas publicerade villkor

Personuppgiftsbiträdesavtal

Det här är en översättning som tillhandahålls för din information. Vid skillnader mellan versionerna gäller den engelska originaltexten.

När Merula behandlar personuppgifter för din räkning – tydligast när DMARC Analytics eller TLS-RPT Analytics är aktiverat och vi tar emot aggregerade rapporter som innehåller IP-adresser till avsändare eller reläservrar för dina övervakade domäner – agerar Adspace Nordic AB som personuppgiftsbiträde (processor) enligt artikel 28 iGDPR. Du agerar som personuppgiftsansvarig (controller).

Detta personuppgiftsbiträdesavtal (Data Processing Addendum) utgör en del av de publicerade villkor som gäller när du använder Merula. Det beskriver de stående villkoren för det biträdesförhållandet.

Behandlingens föremål och varaktighet

Merula behandlar personuppgifter enligt dina dokumenterade instruktioner i syfte att tillhandahålla den övervakningstjänst du abonnerar på. Behandlingen pågår så länge abonnemanget är aktivt och, efter upphörandet, under de lagringsperioder som beskrivs i integritetsmeddelandet.

Personuppgiftsbiträdets skyldigheter

Merula behandlar personuppgifter endast enligt kundens dokumenterade instruktioner, även när det gäller överföringar utanför EES, om inte annat krävs enligt unionsrätten eller en medlemsstats nationella rätt. Om sådan rätt kräver behandling utöver kundens instruktioner informerar Merula kunden innan behandlingen sker, såvida inte den rätten förbjuder sådan information.

Merula säkerställer att personer med behörighet att behandla personuppgifter omfattas av skyldigheter att iaktta konfidentialitet.

Merula vidtar lämpliga tekniska och organisatoriska åtgärder med beaktande av behandlingens art, omfattning, sammanhang och ändamål.

Merula får anlita underbiträden (sub-processors) enligt det allmänna tillstånd som beskrivs i detta personuppgiftsbiträdesavtal. Merula förblir ansvarigt för sina underbiträden och ålägger dem skyldigheter avseende dataskydd som inte ger ett sämre skydd än skyldigheterna i detta avtal.

Med hänsyn till behandlingens art och den information som Merula har tillgång till bistår Merula i rimlig utsträckning kunden med begäranden från registrerade (data subjects), skyldigheter avseende säkerhet i samband med behandlingen, hantering av personuppgiftsincidenter (personal data breaches), konsekvensbedömningar avseende dataskydd och förhandssamråd när GDPR kräver det.

Merula gör den information tillgänglig som rimligen behövs för att visa att skyldigheterna i artikel 28 har fullgjorts. Om Merula anser att en instruktion strider mot GDPR eller mot annan tillämplig dataskyddslagstiftning i EU eller i en medlemsstat informerar Merula kunden, om det inte är förbjudet enligt lag.

Webbplatsstatistik

Merula kan använda Google Analytics 4 på den offentliga marknadsföringswebbplatsen för att förstå hur webbplatsen används och förbättra produktkommunikationen. Webbplatsstatistiken beskrivs i integritetsmeddelandet och styrs, där det krävs, av samtycke.

Google Analytics används inte för att behandla kundernas övervakningsresultat, DMARC-rapportdata eller historik över domänkontroller enligt detta personuppgiftsbiträdesavtal, om inte annat uttryckligen anges i tjänstens dokumentation.

Kategorier av registrerade

Beroende på funktion och sammanhang kan detta omfatta:

Kategorier av personuppgifter

Beroende på funktion och sammanhang kan Merula behandla:

Underbiträden

Vi anlitar tjänsteleverantörer och underbiträden för att driva Merula. Den aktuella förteckningen finns i vårt förtroendecenter och i integritetsmeddelandet och omfattar de kategorier av uppgifter som varje leverantör hanterar.

För kundernas övervakningsdata och tolkningen av aggregerade rapporter omfattar de nuvarande kärnleverantörerna:

Merula har ett allmänt skriftligt tillstånd att anlita underbiträden. Merula informerar kunderna om planerade väsentliga tillägg eller ersättningar av underbiträden som används för uppgifter som kunden kontrollerar och ger kunderna möjlighet att invända när GDPR kräver det. Merula ålägger sina underbiträden skyldigheter avseende dataskydd som inte ger ett sämre skydd än skyldigheterna i detta personuppgiftsbiträdesavtal och förblir ansvarigt för deras fullgörande.

Säkerhetsåtgärder

Registrerades rättigheter

Vi hjälper dig att besvara begäranden från registrerade när begäran gäller personuppgifter som behandlas för din räkning. Många begäranden på kontonivå kan hanteras direkt i instrumentpanelen. För begäranden som kräver vår hjälp i de bakomliggande systemen, kontakta privacy@merula.io. Vi strävar efter att svara inom rimlig tid, med hänsyn till tidsfristerna i GDPR.

Granskning och inspektion

Vi tillhandahåller offentlig dokumentation i vårt förtroendecenter som beskriver våra säkerhetsåtgärder, vår hantering av uppgifter och våra underbiträden. När GDPR kräver information som rimligen behövs för att visa att skyldigheterna i artikel 28 har fullgjorts kan du kontakta privacy@merula.io.

Granskningar på plats erbjuds inte för de vanliga planerna med självbetjäning. En begäran om granskning måste vara rimlig, begränsad till den behandling som omfattas av detta personuppgiftsbiträdesavtal och får inte äventyra säkerheten eller konfidentialiteten för Merula eller andra kunder.

Internationella överföringar

Merulas produktionsinfrastruktur för kundernas övervakningsdata drivs i Europeiska unionen. Vissa tjänsteleverantörer kan innebära begränsad behandling utanför EES – till exempel för fakturering, förebyggande av bedrägerier, support eller statistik enligt beskrivningen i integritetsmeddelandet.

När personuppgifter överförs utanför EES förlitar vi oss på lämpliga skyddsåtgärder såsom standardavtalsklausuler (Standard Contractual Clauses) eller andra lagliga överföringsmekanismer.

Tjänstens tillgänglighet och upptäcktsomfång

Upptäcktsomfånget, begränsningarna i kontrollfrekvens och den tillgänglighet enligt bästa förmåga (best effort) som gäller för övervakningstjänsten regleras av användarvillkoren. Detta personuppgiftsbiträdesavtal reglerar hur personuppgifter behandlas; det garanterar inte att tjänsten upptäcker varje ändring eller att den är kontinuerligt tillgänglig.

Upphörande

Före radering kan kunderna exportera uppgifter på kontonivå via instrumentpanelen under den exportperiod som beskrivs i användarvillkoren och integritetsmeddelandet. Efter respitperioden före radering raderas eller anonymiseras personuppgifter som behandlats för kundens räkning enligt lagringsscheman i integritetsmeddelandet, detta personuppgiftsbiträdesavtal och tillämpliga rättsliga förpliktelser, om inte unionsrätten eller en medlemsstats nationella rätt kräver lagring. Säkerhetskopior gallras enligt den lagringsperiod för säkerhetskopior som beskrivs i vårt förtroendecenter eller i integritetsmeddelandet.

Detta personuppgiftsbiträdesavtal gäller som en del av Merulas publicerade villkor för kunder med självbetjäning.