Þessi vinnslusamningur (Data Processing Agreement, DPA) er hluti af skilmálum Varhuga og gildir sjálfkrafa fyrir öll fyrirtæki sem nota þjónustuna, óháð áskriftarleið. Hann er gerður til að uppfylla kröfur 28. gr. almennu persónuverndarreglugerðarinnar (GDPR) og laga nr. 90/2018 til samnings milli ábyrgðaraðila og vinnsluaðila. Fyrirtæki með Pro-áskrift eða sérsamning geta óskað eftir undirrituðu eintaki á síðunni Hafa samband.
1. Aðilar og hlutverk
Vinnsluaðili er rekstraraðili þjónustunnar eins og hann er tilgreindur í 1. grein skilmála Varhuga („Varhugi“). Ábyrgðaraðili er fyrirtækið sem stofnar vinnusvæði og notar þjónustuna fyrir starfsfólk sitt („viðskiptavinurinn“).
Viðskiptavinurinn er ábyrgðaraðili þeirra persónuupplýsinga sem hann leggur inn í þjónustuna eða lætur vinna þar, þar á meðal upplýsinga um starfsfólk sitt. Varhugi er vinnsluaðili og vinnur upplýsingarnar aðeins fyrir hönd viðskiptavinarins og í samræmi við þennan samning.
Um staðfestingarþjónustu útgefinna skírteina gegnir Varhugi öðru hlutverki, sjá 11. grein.
2. Efni, eðli og tilgangur vinnslunnar
Vinnslan felst í að veita öryggisvitundarþjálfun: að halda utan um lista yfir starfsfólk og deildir, úthluta námskeiðum, senda boð og áminningar, skrá niðurstöður prófa, gefa út skírteini, taka við tilkynningum starfsfólks um grunsamleg skilaboð, skrá staðfestingar á stefnum og útbúa tölfræði og endurskoðunarskýrslur fyrir viðskiptavininn.
Vinnslan varir á meðan viðskiptavinurinn er með virkt vinnusvæði, að viðbættum eyðingarfresti samkvæmt 11. grein.
3. Tegundir gagna og skráðir einstaklingar
Unnið er með eftirfarandi flokka persónuupplýsinga:
- auðkenni og skipulag: nafn, netfang, deild, hlutverk og, sé SCIM-tenging notuð, auðkenni úr notendaskrá viðskiptavinarins,
- þjálfun: úthlutuð námskeið, framvinda, prófniðurstöður, útgefin skírteini og skráningar um leyfi frá þjálfun,
- tilkynningar: tilkynningar starfsfólks um grunsamleg skilaboð, þar með talið sendandi, efnislína og það efni sem starfsmaður kýs að senda með,
- staðfestingar: staðfestingar starfsfólks á stefnum fyrirtækisins, með tímasetningu og IP-tölu,
- tæknilegar færslur: innskráningar, aðgerðir stjórnenda í atvikaskrá, tímasetningar, IP-tölur og vafrategund.
Skráðir einstaklingar eru starfsfólk, stjórnendur og deildarstjórar viðskiptavinarins.
Þjónustan er ekki ætluð fyrir viðkvæmar persónuupplýsingar í skilningi 9. gr. GDPR og viðskiptavinurinn skal ekki leggja slíkar upplýsingar inn í hana. Viðskiptavinurinn ber ábyrgð á því efni sem starfsfólk hans sendir með tilkynningum um grunsamleg skilaboð.
4. Skyldur ábyrgðaraðila
Viðskiptavinurinn ber ábyrgð á því að:
- lagagrundvöllur sé fyrir vinnslunni og að hann hafi heimild til að skrá starfsfólk sitt í þjónustuna,
- skráðum einstaklingum séu veittar þær upplýsingar um vinnsluna sem lög krefjast,
- fyrirmæli hans til Varhuga séu lögmæt,
- upplýsingar sem hann leggur inn séu réttar og uppfærðar,
- og að stjórnendaaðgangur sé takmarkaður við þá sem þurfa hann.
5. Fyrirmæli ábyrgðaraðila
Varhugi vinnur persónuupplýsingar aðeins samkvæmt skjalfestum fyrirmælum viðskiptavinarins. Notkun þjónustunnar samkvæmt skilmálunum, stillingar í stjórnborði og skriflegar beiðnir teljast slík fyrirmæli.
Telji Varhugi að fyrirmæli brjóti gegn persónuverndarlöggjöf tilkynnir Varhugi viðskiptavininum það án tafar og má fresta framkvæmd þeirra þar til úr því hefur verið skorið.
Fyrirmæli sem fara út fyrir venjulega virkni þjónustunnar eru háð samkomulagi aðila og Varhugi má áskilja sér endurgjald fyrir vinnu við þau.
6. Trúnaður
Allir sem vinna með persónuupplýsingar á vegum Varhuga eru bundnir trúnaði, með samningi eða samkvæmt lögum. Aðgangur að gögnum viðskiptavina er takmarkaður við þá sem þurfa hann til að reka og þjónusta kerfið, og aðgangur starfsfólks Varhuga að rekstrarumhverfinu er skráður.
7. Öryggi vinnslu
Varhugi gerir viðeigandi tæknilegar og skipulagslegar ráðstafanir í samræmi við 32. gr. GDPR. Meðal þeirra eru dulkóðun gagna í flutningi (TLS) og í hvíld, aðgangsstýring byggð á hlutverkum, aðskilnaður gagna milli fyrirtækja, lágmarksréttindi í gagnagrunni, aðgangstakmarkanir (rate limiting), atvikaskrá yfir aðgerðir stjórnenda og reglulegar öryggisuppfærslur. Ráðstafanirnar eru endurskoðaðar reglulega með hliðsjón af eðli vinnslunnar og áhættu og þeim er lýst nánar á öryggissíðu Varhuga.
8. Undirvinnsluaðilar
Viðskiptavinurinn veitir almenna heimild fyrir notkun undirvinnsluaðila. Núverandi undirvinnsluaðilar eru: Vercel (hýsing og keyrsla hugbúnaðarins og geymsla útgefinna skírteina, Frankfurt), Neon (gagnagrunnur, Frankfurt), Resend (sending tölvupósta), Stripe (greiðsluvinnsla, þegar áskrift er greidd) og Upstash (skyndiminni fyrir aðgangstakmarkanir og rekstrarmerki, Frankfurt). Hver aðili fær aðeins þau gögn sem þjónusta hans krefst og er bundinn af vinnslusamningi við Varhuga.
Varhugi tilkynnir viðskiptavinum um fyrirhugaðar breytingar á listanum með 30 daga fyrirvara. Viðskiptavinurinn getur andmælt breytingu á málefnalegum grundvelli áður en hún tekur gildi; náist ekki samkomulag getur hvor aðili um sig sagt þjónustunni upp án frekari skuldbindinga.
9. Aðstoð við ábyrgðaraðila
Varhugi aðstoðar viðskiptavininn, að teknu tilliti til eðlis vinnslunnar og þeirra upplýsinga sem Varhugi hefur aðgang að, við að svara beiðnum skráðra einstaklinga um aðgang, leiðréttingu, eyðingu og önnur réttindi samkvæmt III. kafla GDPR, og eftir atvikum við mat á áhrifum á persónuvernd og fyrirfram samráð við Persónuvernd. Berist Varhuga slík beiðni beint frá skráðum einstaklingi er henni vísað til viðskiptavinarins nema hún varði skírteini samkvæmt 11. grein.
10. Tilkynning öryggisbrota
Verði Varhugi vart við öryggisbrot sem varðar persónuupplýsingar viðskiptavinarins tilkynnir Varhugi tengilið hans það án ótilhlýðilegrar tafar og að jafnaði innan 48 klukkustunda frá því að Varhugi verður brotsins vart. Í tilkynningunni koma fram eðli brotsins, hvaða gögn og einstaklingar kunna að hafa orðið fyrir áhrifum, líklegar afleiðingar og þær ráðstafanir sem gripið hefur verið til, og henni er fylgt eftir þegar frekari upplýsingar liggja fyrir. Þannig getur viðskiptavinurinn uppfyllt eigin tilkynningarskyldu til Persónuverndar innan 72 klukkustunda þegar við á.
11. Eyðing og skil gagna
Við lok þjónustunnar hefur viðskiptavinurinn 30 daga til að sækja gögn sín á algengu tölvutæku formi. Að þeim tíma liðnum, eða fyrr sé þess óskað, eyðir Varhugi persónuupplýsingum viðskiptavinarins, nema lög krefjist lengri varðveislu, til dæmis bókhaldslög, eða varðveisla sé nauðsynleg til sönnunar á samningssambandinu. Varhugi staðfestir eyðinguna skriflega sé þess óskað.
Útgefin skírteini eru staðfesting á þjálfun einstaklingsins sjálfs og fylgja honum þótt hann hætti hjá viðskiptavininum eða viðskiptavinurinn hætti að nota þjónustuna. Varðveisla skírteina og opna staðfestingarsíðan eru þjónusta við skírteinishafann og um hana er Varhugi sjálfstæður ábyrgðaraðili á grundvelli persónuverndarstefnu sinnar. Skírteinishafi getur óskað eyðingar á sínum skírteinum hvenær sem er, og viðskiptavinurinn getur óskað eyðingar fyrir hönd starfsfólks síns við lok þjónustunnar.
12. Úttektir og upplýsingaskylda
Varhugi veitir viðskiptavininum þær upplýsingar sem sanngjarnt er að krefjast til að sýna fram á að skyldur samkvæmt 28. gr. GDPR séu uppfylltar, þar á meðal með svörum við skriflegum fyrirspurnum og öryggisskjölum Varhuga.
Viðskiptavinurinn getur óskað eftir úttekt, sem framkvæmd er með skriflegum fyrirspurnum eða af óháðum þriðja aðila sem er bundinn trúnaði, með að minnsta kosti 30 daga fyrirvara og að hámarki einu sinni á ári, nema öryggisbrot eða krafa eftirlitsstjórnvalds gefi tilefni til annars. Úttekt er á kostnað viðskiptavinarins nema hún leiði í ljós verulegt brot Varhuga á þessum samningi. Úttekt skal fara fram á venjulegum skrifstofutíma og án þess að trufla þjónustu við aðra viðskiptavini.
13. Flutningur út fyrir EES
Gögn þjónustunnar eru hýst innan Evrópska efnahagssvæðisins. Sumir undirvinnsluaðilar eru bandarísk félög og flutningur persónuupplýsinga út fyrir EES, eigi hann sér stað, byggist á stöðluðum samningsákvæðum framkvæmdastjórnar ESB (Standard Contractual Clauses, SCC) eða á þátttöku viðkomandi aðila í EU-US Data Privacy Framework, samkvæmt vinnslusamningi Varhuga við hvern aðila.
14. Ábyrgð, gildistími og forgangur
Samningur þessi gildir á meðan Varhugi vinnur persónuupplýsingar fyrir viðskiptavininn. Ef misræmi er milli þessa samnings og skilmála Varhuga gengur þessi samningur framar að því er varðar vinnslu persónuupplýsinga.
Ákvæði skilmála Varhuga um takmörkun ábyrgðar gilda einnig um þennan samning í lögskiptum aðila, að því marki sem lög leyfa. Þau skerða ekki réttindi skráðra einstaklinga samkvæmt persónuverndarlöggjöf né ábyrgð sem ekki má takmarka samkvæmt ófrávíkjanlegum lögum.
Um samninginn gilda íslensk lög.