Databehandleravtale

Denne databehandleravtalen («DPA») utgjør en del av Brukervilkårene («Avtalen») mellom CarBG LLC, et limited liability company i Wyoming («CarBG», «vi»), og kunden som har akseptert Avtalen («Kunden»). Den gjelder automatisk for alle Kunder, uten signatur, hver gang CarBG behandler Kundens personopplysninger på vegne av Kunden gjennom CarBGs nettapp, mobilapp eller API («Tjenesten»). Hvis denne DPA-en er i strid med Avtalen, har denne DPA-en forrang med hensyn til behandlingen av Kundens personopplysninger.

1. Definisjoner

• Kundens personopplysninger: personopplysninger som finnes i bilder, filer eller annet innhold som Kunden eller Kundens sluttbrukere sender inn til Tjenesten, og i resultatene som genereres fra dem.
• Databeskyttelseslover: alle databeskyttelseslover som gjelder for behandlingen, herunder EU-GDPR, UK GDPR og Data Protection Act 2018, den sveitsiske FADP, Canadas PIPEDA, Québecs lov om vern av personopplysninger i privat sektor («Act respecting the protection of personal information in the private sector», Law 25) og amerikanske delstatslover om personvern, som CCPA/CPRA.
• Underdatabehandler: en tredjepart engasjert av CarBG som behandler Kundens personopplysninger.
• Sikkerhetshendelse: et sikkerhetsbrudd som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring eller uautorisert utlevering av, eller tilgang til, Kundens personopplysninger.
• Begreper som behandlingsansvarlig, databehandler, registrert og behandling har betydningen gitt i GDPR, eller tilsvarende begreper (f.eks. «business» og «service provider») i andre Databeskyttelseslover.

2. Roller og omfang

Kunden er behandlingsansvarlig for Kundens personopplysninger, og CarBG er Kundens databehandler. Der Kunden selv opptrer som databehandler på vegne av egne kunder (for eksempel en programvareplattform som behandler bilder for uavhengige forhandlere), opptrer CarBG som Kundens underdatabehandler, og Kunden er ansvarlig for å ha de instruksene og den myndigheten som trengs for å engasjere CarBG. CarBG er kun selvstendig behandlingsansvarlig for konto-, fakturerings-, støtte- og bruksdata som selskapet trenger for å drive virksomheten sin, og dette dekkes av vår personvernerklæring.

3. Kundens instrukser

CarBG behandler Kundens personopplysninger kun etter Kundens dokumenterte instrukser. Disse instruksene er Avtalen, denne DPA-en og Kundens bruk og konfigurasjon av Tjenesten. CarBG vil si fra til Kunden hvis CarBG mener at en instruks er i strid med Databeskyttelseslover, med mindre loven forbyr å si fra til Kunden. CarBG selger eller deler ikke Kundens personopplysninger, og bruker dem ikke til andre formål enn å levere, sikre og støtte Tjenesten.

4. Ingen modelltrening

CarBG bruker ikke Kundens personopplysninger til å trene eller finjustere AI-modeller, og engasjerer AI-underdatabehandlere kun på vilkår som forbyr dem å bruke Kundens personopplysninger til å trene modellene sine. Dette gjelder som standard for alle Kunder, så det finnes ingen innstilling som må slås på. AI-underdatabehandlere kan beholde inndata i en begrenset periode, vanligvis opptil 30 dager, kun for overvåking av misbruk og sikkerhet i henhold til egne vilkår.

5. Konfidensialitet og sikkerhet

CarBG sørger for at ansatte og kontraktører som har tilgang til Kundens personopplysninger er bundet av taushetsplikt, og begrenser tilgangen til det som er nødvendig for drift, støtte og kvalitetssikring. CarBG opprettholder egnede tekniske og organisatoriske tiltak, herunder:

• Kryptering av data under overføring (TLS) og i hvile.
• Privat lagring, der bilder isoleres per arbeidsområde gjennom tilgangskontroll på radnivå; bilder listes aldri offentlig, og nedlastingslenker er tidsbegrensede signerte URL-er.
• Autentisering for hver konto og API-nøkkel, der legitimasjon lagres hashet eller kryptert.
• Tilgang til produksjonssystemer etter prinsippet om minste privilegium, med flerfaktorautentisering for administrative kontoer.
• Feilovervåking og logging for å oppdage og undersøke hendelser.
• Vurdering av underdatabehandleres sikkerhetsforpliktelser før de engasjeres.

6. Underdatabehandlere

Kunden gir generell tillatelse til at CarBG engasjerer underdatabehandlerne som er oppført nedenfor. CarBG pålegger hver underdatabehandler databeskyttelsesforpliktelser som er minst like beskyttende som denne DPA-en, og er fortsatt ansvarlig for deres ytelse. CarBG vil oppdatere denne listen og varsle Kunden på e-post minst 15 dager før en underdatabehandler legges til eller byttes ut. Hvis Kunden protesterer på rimelig databeskyttelsesgrunnlag og partene ikke kan løse innsigelsen, kan Kunden si opp den berørte delen av Tjenesten og få en forholdsmessig refusjon av forhåndsbetalte avgifter for den.

7. Bistand og forespørsler fra registrerte

Tatt i betraktning behandlingens art vil CarBG hjelpe Kunden med å oppfylle sine forpliktelser etter Databeskyttelseslover, herunder å besvare forespørsler fra registrerte, vurderinger av konsekvenser for databeskyttelse eller personvern (inkludert vurderinger som kreves av Québecs Law 25 før data overføres ut av Québec) og konsultasjoner med tilsynsmyndigheter. Kunden kan når som helst selv slette bilder gjennom Tjenesten. Hvis CarBG mottar en forespørsel direkte fra en registrert om Kundens personopplysninger, vil CarBG videresende den til Kunden og ikke svare med mindre Kunden instruerer om det eller loven krever det.

8. Oppbevaring og sletting

Bilder og resultater oppbevares i Kundens arbeidsområde til Kunden sletter dem; CarBG bruker ikke automatisk utløp. Når Kunden sletter et bilde, fjernes det raskt fra CarBGs aktive lagring og uansett innen 30 dager. CarBG oppbevarer ikke separate sikkerhetskopier av bildefiler. Når Avtalen opphører, eller etter skriftlig forespørsel fra Kunden, vil CarBG slette alle Kundens personopplysninger innen 30 dager, med mindre loven krever at CarBG beholder noen av dem. Kunden kan laste ned resultatene sine når som helst før det. Kopier hos underdatabehandlere slettes etter underdatabehandlerens egen tidsplan, som beskrevet i punkt 4.

9. Sikkerhetshendelser

CarBG vil varsle Kunden uten ugrunnet opphold, og uansett innen 72 timer, etter å ha fått kjennskap til en Sikkerhetshendelse som berører Kundens personopplysninger. Varselet vil, så langt det er kjent, beskrive hendelsens art, hvilke data og registrerte som er berørt, de sannsynlige konsekvensene og tiltakene som er truffet eller foreslått. CarBG vil ta rimelige skritt for å begrense og utbedre hendelsen, og vil hjelpe Kunden med å oppfylle sine egne varslingsplikter.

10. Internasjonale overføringer

Kundens personopplysninger kan behandles utenfor landet der de ble samlet inn, herunder i Singapore, USA og Den europeiske union. For overføringer av personopplysninger fra EØS blir partene enige om EUs standardkontraktsbestemmelser (kommisjonsvedtak 2021/914), modul to (behandlingsansvarlig til databehandler) eller modul tre (databehandler til databehandler), som er innlemmet i denne DPA-en ved henvisning, med Kunden som dataeksportør og CarBG som dataimportør. Den valgfrie klausul 7 gjelder ikke; klausul 9 alternativ 2 (generell tillatelse) gjelder med varslingsfristen i punkt 6; klausul 11s valgfrie ordlyd gjelder ikke; klausul 17 og 18 er underlagt irsk rett og irske domstoler. Vedlegg I fylles ut av punkt 2 i denne DPA-en, vedlegg II av punkt 5 og vedlegg III av punkt 6. For overføringer fra Storbritannia gjelder UK International Data Transfer Addendum, og for overføringer fra Sveits gjelder SCC-ene slik de er tilpasset den sveitsiske FADP. For overføringer fra Canada og Québec gir CarBG, i henhold til denne DPA-en, beskyttelse som tilsvarer den som kreves av PIPEDA og Law 25.

11. Amerikanske delstatslover om personvern

I den grad CCPA/CPRA eller lignende amerikanske delstatslover gjelder, opptrer CarBG som «service provider» (tjenesteleverandør). CarBG vil ikke selge eller dele Kundens personopplysninger, beholde, bruke eller utlevere dem utenfor det direkte forretningsforholdet med Kunden, eller kombinere dem med personopplysninger mottatt fra andre, unntatt som disse lovene tillater. CarBG bekrefter at selskapet forstår og vil overholde disse begrensningene.

12. Revisjoner

På forespørsel vil CarBG gi den informasjonen som rimelig er nødvendig for å påvise samsvar med denne DPA-en, herunder skriftlige svar på et rimelig sikkerhetsspørreskjema inntil én gang per år. Hvis denne informasjonen ikke er tilstrekkelig, eller hvis en tilsynsmyndighet krever det, kan Kunden gjennomføre en revisjon med minst 30 dagers skriftlig varsel, i arbeidstiden, for egen regning og med forbehold om taushetsplikt.

13. Ansvar, varighet og endringer

Hver parts ansvar etter denne DPA-en er underlagt ansvarsbegrensningene i Avtalen, unntatt der Databeskyttelseslover eller SCC-ene ikke tillater slike begrensninger. Denne DPA-en forblir i kraft så lenge CarBG behandler Kundens personopplysninger. CarBG kan oppdatere denne DPA-en for å gjenspeile endringer i lovgivning eller i Tjenesten, og vil gi varsel om vesentlige endringer; ingen oppdatering vil redusere det samlede beskyttelsesnivået for Kundens personopplysninger. Kunder med en årlig kontoverdi over USD 1,000 kan be om en medundertegnet kopi eller forhandle om endringer i denne DPA-en.

14. Kontakt

CarBG LLC, Sheridan, WY 82801, USA. Henvendelser om personvern og databeskyttelse: hello@carbackground.ai.