Data Processing& GDPR

Denna sida sammanfattar Altovars offentliga hållning gällande GDPR och databehandling för granskning inom inköp, juridik, säkerhet och integritet. Den är utformad för att besvara de återkommande frågor som ställs under leverantörsregistrering, due diligence och säkerhetsbedömningar.

Den kompletterar — och ersätter inte — Integritetspolicyn, Cookiepolicyn, Användarvillkoren och eventuellt ingånget personuppgiftsbiträdesavtal (DPA).

Altovar som personuppgiftsansvarig: För personuppgifter som samlas in via vår webbplats, försäljningsaktiviteter, kontoadministration, fakturering, supportkorrespondens och marknadsföringsinställningar agerar Altovar som självständig personuppgiftsansvarig.

Altovar som personuppgiftsbiträde: När en kund använder Altovars tjänster för att lagra, analysera, överföra eller på annat sätt behandla personuppgifter för kundens räkning agerar Altovar som personuppgiftsbiträde och kunden förblir personuppgiftsansvarig, om inte en annan fördelning fastställs i avtalet eller tjänstearkitekturen.

Rollfördelningen specificeras närmare i tillämplig orderbekräftelse, tjänstedokumentation och DPA.

Altovar är etablerat i Europa och utformar sin infrastrukturstrategi för att bevara EU:s jurisdiktionella kontroll, låg överföringsrisk och operativ transparens.

Vår standardhållning för tjänster är EU-baserad hosting. Primära applikationsarbetsbelastningar, databaser, säkerhetskopior och driftsystem väljs så att produktionsdata hålls inom EES varhelst produktarkitekturen tillåter det. Där edge-leverans eller supportverktyg introducerar en kontaktpunkt i ett tredjeland tillämpar Altovar dokumenterade skyddsåtgärder och begränsar åtkomsten till den minsta nödvändiga omfattningen.

Altovar tillhandahåller ett personuppgiftsbiträdesavtal för scenarier som personuppgiftsbiträde. För Business- och Enterprise-upplägg kan DPA-formuleringar ingå i orderbekräftelsen eller huvudtjänsteavtalet. För övriga kunder finns ett standard-DPA tillgängligt på begäran.

DPA:t omfattar behandlingsinstruktioner, sekretess, underbiträden, säkerhetsåtgärder, anmälan av incidenter, bistånd med registrerades rättigheter, radering/återlämnande av data samt revisionssamarbete inom kommersiellt rimliga gränser.

Begäran om ett DPA eller avtalstillägg kan skickas till [email protected].

Altovar tillämpar en kontrollerad granskningsprocess för leverantörer av infrastruktur, betalningar, kommunikation och stödjande säkerhetstjänster. Varje personuppgiftsbiträde eller underbiträde utvärderas med avseende på teknisk lämplighet, jurisdiktionella konsekvenser, säkerhetskontroller, avtalsmässig täckning och mognad i incidenthantering innan det tas i produktion.

Underbiträden är bundna av skriftliga avtal som återspeglar kraven i artikel 28 i GDPR där så är tillämpligt. Altovar för ett internt register över underbiträden och lämnar information om väsentliga förändringar genom de avtalsmekanismer som anges i DPA:t eller kundavtalet.

Altovar tillämpar skiktade tekniska och organisatoriska åtgärder som är anpassade till arbetsbelastningens känslighet och den aktuella tjänstenivån. Dessa åtgärder omfattar vanligtvis åtkomstkontroll, administration med lägsta behörighet, MFA på interna system, krypterad överföring, krypterad lagring där så är relevant, revisionsloggning, sårbarhetshantering, kontroller av säkerhetskopior och segregering av miljöer.

Våra åtgärder ses över i takt med att produkterna utvecklas. Där en kund behöver en sammanfattning av tekniska och organisatoriska åtgärder för inköps- eller revisionsändamål kan Altovar tillhandahålla en aktuell översikt under sekretessavtal eller som en del av arbetsflödet för DPA/säkerhetsgranskning.

När Altovar agerar som personuppgiftsansvarig besvarar vi direkt begäran om åtkomst, rättelse, radering, invändning, dataportabilitet och begränsning i enlighet med vår integritetspolicy.

När Altovar agerar som personuppgiftsbiträde bistår vi kunden — inom ramen för tjänstens kapacitet och det avtalsmässiga ramverket — så att kunden kan uppfylla sina egna skyldigheter gentemot registrerade. Detta kan omfatta exportstöd, raderingsflöden, åtkomstloggning eller operativ samordning via support- och integritetskanaler.

Altovar tillämpar rutiner för incidenthantering vid händelser som rör säkerhet, tillgänglighet, sekretess och integritet som påverkar kund- eller företagsdata.

Där Altovar agerar som personuppgiftsbiträde och får kännedom om en personuppgiftsincident som påverkar kunddata, underrättar vi kunden utan onödigt dröjsmål så att kunden kan bedöma eventuella skyldigheter att anmäla till tillsynsmyndighet eller registrerade. Där Altovar agerar som personuppgiftsansvarig bedömer och hanterar vi anmälningsskyldigheterna direkt i enlighet med GDPR och tillämplig nationell lag.

Altovar positionerar inte överföringar till tredjeland som en standardmodell för verksamheten. Om ett specifikt tjänsteberoende, supportflöde eller en edge-leveransfunktion skapar ett överföringsscenario förlitar sig Altovar på en identifierad rättslig överföringsmekanism och proportionella kompletterande åtgärder innan produktion.

Beroende på leverantör och behandlingssammanhang kan dessa skyddsåtgärder omfatta beslut om adekvat skyddsnivå, standardavtalsklausuler, minimering av åtkomst, kryptering och arbete med konsekvensbedömningar av överföringar.

GDPR-efterlevnad uppnås inte enbart genom leverantörens hållning. Kunder förblir ansvariga för att välja en lämplig rättslig grund, konfigurera sina miljöer lagenligt, fastställa lagringsregler i linje med sina skyldigheter och ge giltiga instruktioner för scenarier som personuppgiftsbiträde.

Altovar tillhandahåller det avtalsmässiga och tekniska ramverk som krävs för efterlevnadsenlig användning, men varje kund förblir ansvarig för hur den använder tjänsten i sitt eget sammanhang, inklusive medarbetares åtkomst, uppladdat innehåll, lagringsval och integrationer med tredje part.