Databehandlingoch GDPR

Denna översättning tillhandahålls som en service. Vid avvikelser gäller den engelska versionen.

Denna sida sammanfattar Altovars offentliga hållning i fråga om GDPR och personuppgiftsbehandling, avsedd för inköp, juridik, säkerhet och integritetsgranskning. Sidan är utformad för att besvara de återkommande frågor som uppstår vid leverantörsgodkännande, due diligence och säkerhetsbedömningar.

Den kompletterar — och ersätter inte — Integritetspolicyn, Cookiepolicyn, Användarvillkoren samt eventuellt undertecknat personuppgiftsbiträdesavtal (DPA).

Altovar som personuppgiftsansvarig: För personuppgifter som samlas in via webbplatsen, säljprocesser, kontoadministration, fakturering, supportkorrespondens och marknadsföringsinställningar agerar Altovar som självständig personuppgiftsansvarig.

Altovar som personuppgiftsbiträde: När en kund använder Altovars tjänster för att lagra, analysera, överföra eller på annat sätt behandla personuppgifter för kundens räkning agerar Altovar som personuppgiftsbiträde, och kunden förblir personuppgiftsansvarig, om inte en annan fördelning anges i avtalet eller tjänstearkitekturen.

Fördelningen av roller specificeras ytterligare i tillämpligt beställningsformulär, tjänstedokumentation och personuppgiftsbiträdesavtal (DPA).

Altovar är etablerat i Europa och utformar sin infrastrukturstrategi för att bevara EU:s jurisdiktionella kontroll, låg överföringsrisk och operativ transparens.

Standardupplägget för tjänsterna är EU-hosting. Primära applikationsarbetsbelastningar, databaser, säkerhetskopior och driftsystem väljs för att hålla produktionsdata inom EES där produktarkitekturen tillåter det. När edge-leverans eller supportverktyg innebär en beröringspunkt med tredjeland tillämpar Altovar dokumenterade skyddsåtgärder och begränsar åtkomsten till det minimum som krävs.

Altovar tillhandahåller ett personuppgiftsbiträdesavtal (DPA) för de fall Altovar agerar som personuppgiftsbiträde. För Business- och Enterprise-avtal kan villkoren för personuppgiftsbiträdesavtalet vara inbäddade i beställningsformuläret eller ramavtalet för tjänster. För övriga kunder finns ett standardavtal tillgängligt på begäran.

Personuppgiftsbiträdesavtalet omfattar behandlingsinstruktioner, konfidentialitet, underbiträden, säkerhetsåtgärder, meddelande om personuppgiftsincidenter, bistånd vid utövande av registrerades rättigheter, radering/återlämnande av data samt samarbete vid revision inom kommersiellt rimliga gränser.

Begäran om personuppgiftsbiträdesavtal eller avtalstillägg kan skickas till [email protected].

Altovar tillämpar en kontrollerad granskningsprocess för leverantörer av infrastruktur, betalningar, kommunikation och kompletterande säkerhetstjänster. Varje personuppgiftsbiträde eller underbiträde utvärderas avseende teknisk lämplighet, jurisdiktionella konsekvenser, säkerhetskontroller, avtalsmässig täckning och mognad i incidenthantering innan produktionsanvändning.

Underbiträden är bundna av skriftliga avtal som återspeglar kraven i GDPR artikel 28 där tillämpligt. Altovar för ett internt register över underbiträden och lämnar meddelande om väsentliga ändringar genom de avtalsmekanismer som anges i personuppgiftsbiträdesavtalet eller kundavtalet.

Altovar tillämpar flerskiktade tekniska och organisatoriska åtgärder anpassade efter känsligheten i arbetsbelastningen och den aktuella tjänstenivån. Dessa åtgärder omfattar normalt åtkomstkontroll, administration enligt principen om minsta möjliga behörighet, MFA på interna system, krypterad överföring, krypterad lagring där relevant, granskningsloggning, sårbarhetshantering, säkerhetskopieringskontroller och miljöseparation.

Åtgärderna ses över allt eftersom produkterna utvecklas. Om en kund behöver en sammanställning av tekniska och organisatoriska åtgärder (TOM) för inköps- eller revisionsändamål kan Altovar tillhandahålla en aktuell översikt under sekretessavtal (NDA) eller som en del av processen för personuppgiftsbiträdesavtal/säkerhetsgranskning.

När Altovar agerar som personuppgiftsansvarig besvaras begäranden om tillgång, rättelse, radering, invändning, dataportabilitet och begränsning direkt, i enlighet med Integritetspolicyn.

När Altovar agerar som personuppgiftsbiträde biträds kunden — inom ramen för tjänstens funktioner och avtalsstrukturen — så att kunden kan uppfylla sina egna skyldigheter gentemot registrerade. Detta kan omfatta stöd för export, raderingsflöden, åtkomstloggning eller operativ samordning via support- och integritetskanaler.

Altovar tillämpar rutiner för incidenthantering vid händelser som påverkar säkerhet, tillgänglighet, konfidentialitet och integritet avseende kund- eller företagsdata.

När Altovar agerar som personuppgiftsbiträde och får kännedom om en personuppgiftsincident som påverkar kunddata meddelas kunden utan onödigt dröjsmål, så att kunden kan bedöma eventuella skyldigheter att underrätta tillsynsmyndighet eller registrerade. När Altovar agerar som personuppgiftsansvarig bedöms och hanteras underrättelseskyldigheterna direkt, i enlighet med GDPR och tillämplig nationell lagstiftning.

Altovar utgår inte från överföringar till tredjeland som en standardmodell för verksamheten. Om ett specifikt tjänsteberoende, supportflöde eller en edge-leveransfunktion ger upphov till en överföringssituation stöder sig Altovar på en identifierad rättslig överföringsgrund samt proportionerliga kompletterande åtgärder innan produktionsanvändning.

Beroende på leverantör och behandlingskontext kan dessa skyddsåtgärder omfatta beslut om adekvat skyddsnivå, standardavtalsklausuler, minimering av åtkomst, kryptering samt arbete med överföringskonsekvensbedömningar.

Efterlevnad av GDPR uppnås inte enbart genom leverantörens hållning. Kunder ansvarar fortsatt för att välja en lämplig rättslig grund, konfigurera sina miljöer på ett lagenligt sätt, fastställa lagringsregler som är förenliga med sina skyldigheter samt lämna giltiga instruktioner i de fall Altovar agerar som personuppgiftsbiträde.

Altovar tillhandahåller den avtalsmässiga och tekniska struktur som krävs för en regelefterlevande användning, men varje kund förblir ansvarig för hur tjänsten används i sitt eget sammanhang, inklusive medarbetaråtkomst, uppladdat innehåll, lagringsval och tredjepartsintegrationer.