Personuppgiftsbiträdesavtal

Den kundorganisation som driver ett newsroom-workspace är personuppgiftsansvarig. Entro314 Labs PC är personuppgiftsbiträde. Detta avtal träder i kraft när kunden accepterar Villkoren och gäller så länge workspacet finns. Ingen separat underskrift krävs för att det ska vara bindande; ett motsignerat pappersexemplar utfärdas på begäran.

ErmisAI behandlar personuppgifter för att driva det newsroom-workspace kunden prenumererar på: övervakar konfigurerade källor, klustrar bevakning, skriver utkast till artiklar, dirigerar dem genom redaktionell granskning och levererar godkänt material till de publiceringsytor kunden ansluter. Behandlingen pågår under prenumerationens löptid plus de övergångs- och raderingsfönster som beskrivs på sidan om dataportabilitet och avslut.

Registrerade är kundens redaktörer, administratörer och inbjudna medlemmar, samt varje person som namnges i det källmaterial ett newsroom bevakar eller i de utkast dess redaktörer skriver. Kategorierna är:

• identitets- och kontouppgifter – namn, e-postadress, roll, medlemskap i workspacet,
• användningsdata – åtgärder i workspacet, artikel- och utkastshistorik, revisionsloggar,
• innehållsdata – källartiklar, cluster, utkast och godkända artiklar, inklusive eventuella personuppgifter de nämner,
• tekniska data – IP-adress, enhets- och webbläsarmetadata som fångas i säkerhets- och felloggar.

ErmisAI behandlar personuppgifter endast på dokumenterade instruktioner från kunden. Villkoren, detta avtal, de produktinställningar kunden konfigurerar och de åtgärder dess redaktörer vidtar i workspacet utgör dessa instruktioner. Om ErmisAI enligt EU-rätt eller en medlemsstats lag måste behandla utöver dem, informeras kunden innan så sker, om inte lagen förbjuder underrättelsen. ErmisAI meddelar kunden om en instruktion förefaller strida mot dataskyddslagstiftningen.

Alla som har behörighet att behandla kundens personuppgifter omfattas av sekretess och har åtkomst endast till det arbetet kräver. Åtkomst till produktionsdata är begränsad till tjänstens operatör och loggas.

ErmisAI upprätthåller tekniska och organisatoriska åtgärder som är lämpliga i förhållande till risken, inklusive kryptering under överföring, krypterad lagring hos hostingleverantörerna, rollbaserad åtkomstkontroll, tenant-isolering på varje läs- och skrivväg, signaturverifiering på inkommande webhooks och rate limiting. Säkerhetssidan beskriver åtgärderna och anger rakt på sak vad som inte utlovas.

Kunden ger ett allmänt tillstånd för de underbiträden som listas på sidan om underbiträden, som anger varje leverantör, dess roll och dess behandlingsregion. ErmisAI ålägger var och en av dem likvärdiga dataskyddsförpliktelser och är fullt ansvarig för deras utförande. Nya eller utbytta underbiträden aviseras på den sidan innan de börjar behandla, och en kund får invända på rimliga dataskyddsgrunder; en olöst invändning ger kunden rätt att säga upp den berörda tjänsten utan påföljd.

Med hänsyn till behandlingens art bistår ErmisAI kunden med:

• att besvara begäranden från registrerade, inklusive tillgång, rättelse, radering och dataportabilitet – varav kunden själv kan hantera de flesta från workspacet,
• säkerhet vid behandling, anmälan av personuppgiftsincidenter och konsekvensbedömningar avseende dataskydd,
• förhandssamråd med en tillsynsmyndighet där sådant krävs.

ErmisAI underrättar kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som berör kundens data, med den information kunden behöver för sin egen anmälan enligt artikel 33, och återkommer allteftersom utredningen fortskrider.

ErmisAI tillhandahåller den information som behövs för att visa att artikel 28 efterlevs och möjliggör granskningar, inklusive inspektioner, som utförs av kunden eller en granskare som kunden utser. Granskningar bokas med rimligt varsel, högst en gång per år om inte en incident eller en tillsynsmyndighet kräver annat, och får inte äventyra säkerheten för andra kunder.

Behandlingen hålls inom Europeiska unionen eller Europeiska ekonomiska samarbetsområdet där leverantören erbjuder det. När ett underbiträde överför data utanför EES vilar överföringen på ett beslut om adekvat skyddsnivå eller på Europeiska kommissionens standardavtalsklausuler med kompletterande skyddsåtgärder. Sidan om underbiträden anger vilken region varje leverantör verkar i.

Vid uppsägning väljer kunden om personuppgifter ska återlämnas eller raderas. Data förblir läsbar under den övergångsperiod som beskrivs på sidan om dataportabilitet och avslut så att exporter kan slutföras, och raderas därefter, utom där unionsrätten eller en medlemsstats nationella rätt kräver lagring – faktureringsunderlag är det vanliga fallet.

Där detta avtal strider mot Villkoren i fråga om behandling av personuppgifter har detta avtal företräde. Ett framförhandlat avtal som undertecknats med en kund har företräde framför båda. Väsentliga ändringar publiceras på den här sidan med ett nytt ikraftträdandedatum och meddelas kunder med en aktiv prenumeration.