Databehandleravtale

Parter og hvordan denne DPA-en gjelder

Denne DPA-en inngås mellom Sencai Tech s.r.o., med registrert forretningsadresse i Praha, Tsjekkia, registrert ved Byretten i Praha («Sencai», «vi»), og kunden som har godtatt tjenestevilkårene («du»). Den er en del av vilkårene og blir bindende når du godtar dem; det kreves ingen separat signatur. Ønsker du en dokumentert signatur til egne arkiver, kan en eier eller administrator i organisasjonen din signere denne DPA-en i plattformen. Gjeldende versjon er publisert på sencai.space/legal/dpa/. Dette er versjon 1.0 av denne DPA-en. For kunder som har godtatt en tidligere versjon av vilkårene, gjelder den som en endring av vilkårene i samsvar med vilkårenes bestemmelser om endringer.

Omfang og roller

Denne DPA-en gjelder personopplysninger som Sencai behandler på dine vegne når tjenesten leveres, som beskrevet nedenfor («kundens personopplysninger»). For kundens personopplysninger er du, eller organisasjonen du representerer, behandlingsansvarlig, og Sencai er databehandler. Der du selv er databehandler for en annen behandlingsansvarlig - for eksempel en leverandør av administrerte tjenester som opptrer for sine kunder - opptrer Sencai som din underleverandør, og du sørger for at instruksene dine til Sencai er godkjent av den behandlingsansvarlige. Personopplysninger som Sencai behandler for egne formål, som kontoregistrering, fakturering og ivaretakelse av tjenestens sikkerhet, faller utenfor denne DPA-en og reguleres av personvernerklæringen, der Sencai er behandlingsansvarlig. Enkelte registreringer, som påloggingshendelser og revisjonssporet, tjener begge formål: de behandles under denne DPA-en når de brukes til å levere tjenesten til deg, og under personvernerklæringen når de brukes til å holde tjenesten sikker.

Rangordning og språk

Dersom denne DPA-en og vilkårene er i strid med hverandre når det gjelder behandling av personopplysninger, har denne DPA-en forrang. Denne DPA-en er skrevet på engelsk. Oversettelser tilbys for enkelhets skyld; der en oversettelse avviker fra den engelske versjonen, har den engelske versjonen forrang.

Behandlingens gjenstand, varighet, art og formål

Gjenstanden for behandlingen er leveringen av Sencai-plattformen, en multi-cloud-kontrollplan levert som Software-as-a-Service i henhold til vilkårene. Behandlingen varer i avtalens løpetid og deretter inntil kundens personopplysninger er slettet som beskrevet i avsnittet om sletting og tilbakelevering. Den består i å samle inn data gjennom tilkoblingene du setter opp; lagre, organisere og vise dem for dine autoriserte brukere; analysere dem, for eksempel for sikkerhetsskanning, kostnadsanalyse og, der du bruker dem, AI-funksjonene; overføre dem til infrastrukturen din og til leverandørene du samarbeider med gjennom plattformen; utføre handlingene du ber om hos skyleverandører og på serverne dine; og slette dem. Formålet er å levere tjenesten til deg i samsvar med vilkårene og instruksene dine, herunder den supporten du ber om og sikkerheten ved denne behandlingen, slik GDPR artikkel 32 krever.

Kategorier av registrerte

Kundens personopplysninger kan gjelde følgende registrerte:

• Dine autoriserte brukere av plattformen, som dine ansatte og oppdragstakere.
• Medlemmer av arbeidsstyrken din hvis oppføringer synkroniseres fra en katalog du kobler til, som Microsoft Entra ID, Microsoft 365 eller Google Workspace.
• Enkeltpersoner hvis personopplysninger finnes i infrastrukturen, serverne, loggene, terminaløktene eller verdiene for hemmeligheter som du kobler til eller administrerer gjennom plattformen, for eksempel dine egne kunder og sluttbrukere.

Kategorier av personopplysninger

Avhengig av hvilke funksjoner du bruker, kan kundens personopplysninger omfatte kategoriene nedenfor. Tjenesten er ikke utformet for særlige kategorier av personopplysninger (GDPR artikkel 9) eller personopplysninger om straffedommer og lovovertredelser (GDPR artikkel 10). Dersom infrastrukturen, loggene eller verdiene for hemmeligheter inneholder slike opplysninger, er du ansvarlig for å vurdere om tiltakene i denne DPA-en er egnet, før opplysningene behandles gjennom tjenesten.

• Infrastrukturdata: inventar, konfigurasjon og metadata for skyressursene og serverne du kobler til eller provisjonerer, som ressursnavn, tagger, IP-adresser, DNS-oppføringer og brannmurregler, som kan inneholde personopplysninger.
• Legitimasjon for skykontoene du kobler til, lagret kryptert.
• Data som Sencai-agenten samler inn fra servere der du installerer den, som installert programvare og patchstatus, resultater av sikkerhetsskanninger, samt system- og applikasjonslogger.
• Terminaløkter i nettleseren: registreringer av hvem som koblet seg til hvilken server og når, og dataene som passerer gjennom en økt mens den er åpen.
• Katalog- og identitetsdata, der du kobler til en katalog: bruker- og gruppeoppføringer, påloggingshendelser og administrative hendelser, herunder e-postadresser, IP-adresser og informasjon om nettleser eller enhet, samt oversikt over postbokser.
• Organisasjonens revisjonsspor: hvilken bruker som utførte hvilken handling og når, med IP-adresse og nettleserinformasjon.
• Verdier for hemmeligheter som du oppgir for Secret Injection.
• Innhold du sender inn til AI-funksjonene, sammen med infrastrukturkonteksten som sendes med det.

Dokumenterte instrukser

Sencai behandler kundens personopplysninger kun etter dine dokumenterte instrukser, også når det gjelder overføringer til land utenfor Det europeiske økonomiske samarbeidsområdet, med mindre EU-retten eller en medlemsstats nasjonale rett krever noe annet; i så fall underretter Sencai deg om dette rettslige kravet før behandlingen, med mindre denne retten forbyr slik underretning av hensyn til viktige allmenne interesser. Instruksene dine er vilkårene, denne DPA-en og måten du bruker og konfigurerer tjenesten på, herunder gjennom grensesnittet og API-et. Ytterligere instrukser må gis skriftlig, for eksempel til privacy@sencai.space, og må være forenlige med vilkårene. Sencai underretter deg umiddelbart dersom en instruks etter Sencais oppfatning er i strid med GDPR eller annen personvernlovgivning i EU eller medlemsstatene. Du er ansvarlig for at instruksene dine og personopplysningene du behandler gjennom tjenesten, er lovlige.

Konfidensialitet

Sencai gir tilgang til kundens personopplysninger bare til personer som trenger den for å levere, støtte eller sikre tjenesten, og sørger for at alle som er autorisert til å behandle kundens personopplysninger, er bundet av konfidensialitetsforpliktelser eller er underlagt en egnet lovbestemt taushetsplikt.

Sikkerhet ved behandlingen

Sencai gjennomfører tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen, slik GDPR artikkel 32 krever. Tiltakene som er på plass i dag, omfatter blant annet dem som er oppført nedenfor. Sencai kan oppdatere dem etter hvert som teknologi og risikoer utvikler seg, forutsatt at det samlede sikkerhetsnivået ikke reduseres.

• Hosting av plattformen i EU-regioner hos Google Cloud.
• Atskillelse mellom organisasjoner: ressurser er knyttet til organisasjonen de tilhører, og tilgangen til brukerne dine kontrolleres mot den organisasjonen.
• Rollebasert tilgang innenfor hver organisasjon, slik at brukere bare kan se og endre det rollen deres tillater.
• Kryptering med TLS for tilkoblinger til plattformen over offentlige nettverk; Sencai-agenten på servere bruker i tillegg en gjensidig autentisert forbindelse.
• Kryptering i hvile (AES-256-GCM) av legitimasjonen for tilkoblede skykontoer, som ikke vises tilbake gjennom plattformen.
• Verdier for hemmeligheter som oppbevares i Sencai Vault, som beskrevet i neste avsnitt.
• Beskyttelse av pålogging mot gjentatt gjetting av passord, kortlivede tilgangstokener, og støtte for flerfaktorautentisering og single sign-on.
• Nettverkspolicyer som begrenser hvilke interne tjenester som kan kommunisere med hverandre.
• Et revisjonsspor som kun kan utvides (append-only) og er hash-kjedet, der endring eller fjerning av en tidligere oppføring kan oppdages.
• Sikkerhetskopier av plattformens database, som krypteres før de lagres.

Sencai Vault og Secret Injection

Der du bruker Secret Injection, lagrer Sencai verdiene for hemmeligheter som du oppgir, kryptert i hvile, i Sencai Vault, et lager for hemmeligheter som Sencai selv drifter på Google Cloud-infrastruktur i EU. Sencai bruker disse verdiene utelukkende til levering til din egen infrastruktur: en Kubernetes-klynge, eller servere som kjører Sencai-agenten, der du aktiverer dette, og der kun til plasseringer som den aktuelle klyngens eller serverens egen konfigurasjon tillater. Lagrede verdier kan ikke vises eller eksporteres via plattformen. Plattformens tjenester har kun tilgang til dem gjennom dedikert legitimasjon som er begrenset til å lagre dem, lese dem for levering eller slette dem, og trafikken mellom plattformens tjenester og Sencai Vault er kryptert med TLS. Sencai Vault fører et revisjonsspor over tilgangen til lageret, der legitimasjon bare fremkommer som nøkkelbaserte hash-verdier (HMAC). Hver levering krypteres med en nøkkel som er generert utelukkende for akkurat den leveringen. En verdi frigis til en klynge eller server først etter at en administrator i organisasjonen din har klarert agenten dens, og bare til den legitimasjonen agenten hadde da den ble klarert. Tidligere versjoner av en erstattet verdi kan oppbevares inntil den aktuelle Secret Injection-oppføringen tilbakekalles eller slettes. Etter at den er tilbakekalt eller slettet, sletter Sencai verdien og alle oppbevarte versjoner fra Sencai Vault uten ugrunnet opphold, og Sencai sletter alle slike verdier før en organisasjon slettes. Når du tilbakekaller en Secret Injection-oppføring, instruerer Sencai agenten som mottok verdien, om å fjerne den, dersom en slik instruks kan sendes; der den ikke kan sendes eller fjerningen ikke bekreftes, for eksempel fordi agenten ikke er tilkoblet eller er koblet fra, eller fordi levering er slått av, kan verdien bli værende i infrastrukturen din. Enhver kopi som er levert til infrastrukturen din, er under din kontroll og kan leses av alle med tilstrekkelig tilgang til systemet der den ligger, inkludert privilegerte brukere og alle du lar kjøre kommandoer gjennom Sencai-agenten.

Underleverandører

Du gir Sencai generell skriftlig tillatelse til å engasjere underleverandørene som er oppført i underleverandørregisteret på sencai.space/legal/subprocessors/. Sencai pålegger hver underleverandør, gjennom en skriftlig avtale, personvernforpliktelser som gir minst samme beskyttelsesnivå som forpliktelsene i denne DPA-en, særlig tilstrekkelige garantier for å gjennomføre egnede tekniske og organisatoriske tiltak, slik GDPR artikkel 28(4) krever. Sencai forblir fullt ansvarlig overfor deg for at hver underleverandør oppfyller sine forpliktelser, med forbehold om avsnittet om ansvar. Skyleverandører hvis kontoer du selv kobler til, er ikke Sencais underleverandører: disse kontoene forblir underlagt din egen avtale med leverandøren, og Sencai handler i dem bare på din instruks. Der Sencai kjører ressursene dine i skykontoer som Sencai drifter, navngis leverandøren som ligger under, for deg som underleverandør før ordningen starter, og legges inn i registeret. Sencai varsler om enhver planlagt tilføyelse eller utskifting av en underleverandør minst 14 dager før den får virkning, ved å oppdatere registeret og sende e-post til eierne av organisasjonen din. Du kan protestere skriftlig mot endringen til privacy@sencai.space innen denne fristen; Sencai vil da samarbeide med deg i god tro for å løse protesten, og dersom den ikke kan løses, kan du si opp den berørte tjenesten, eller avtalen der tjenesten ikke kan leveres uten den underleverandøren, med virkning før endringen får anvendelse på dataene dine.

Internasjonale overføringer

Kundens personopplysninger lagres hovedsakelig i EU/EØS. Der en underleverandør behandler dem utenfor Det europeiske økonomiske samarbeidsområdet, bygger overføringen på det grunnlaget som er angitt for den underleverandøren i registeret - en beslutning fra EU-kommisjonen om tilstrekkelig beskyttelsesnivå eller standard personvernbestemmelser - sammen med supplerende beskyttelsestiltak der det kreves. AI-funksjonene sender innholdet du sender inn til dem, til modelleverandørene som er navngitt i registeret, og disse kan behandle det utenfor EU; de tas bare i bruk når du bruker disse funksjonene. Der du velger en region utenfor Det europeiske økonomiske samarbeidsområdet i en skykonto du selv kobler til, overføres data dit etter din instruks.

Bistand ved forespørsler fra registrerte

Idet det tas hensyn til behandlingens art, bistår Sencai deg med egnede tekniske og organisatoriske tiltak, så langt det er mulig, med å besvare forespørsler fra registrerte som utøver sine rettigheter etter kapittel III i GDPR. Tjenesten har selvbetjeningsverktøy for dette: brukerne dine kan eksportere personopplysningene som er lagret om kontoen deres, og be om sletting av kontoen sin fra personverninnstillingene i plattformen, og revisjonssporet til organisasjonen din kan eksporteres. Der disse verktøyene ikke er tilstrekkelige, gir Sencai rimelig ytterligere bistand på forespørsel til privacy@sencai.space. Dersom Sencai mottar en forespørsel direkte fra en registrert om kundens personopplysninger, underretter Sencai deg og besvarer ikke forespørselen selv, med mindre du instruerer Sencai om det eller loven krever det.

Bistand med sikkerhet, konsekvensvurderinger og forhåndsdrøftinger

Idet det tas hensyn til behandlingens art og informasjonen som er tilgjengelig for Sencai, bistår Sencai deg med å oppfylle forpliktelsene dine etter GDPR artikkel 32 til 36 - sikkerhet ved behandlingen, varsling om brudd på personopplysningssikkerheten, vurderinger av personvernkonsekvenser og forhåndsdrøftinger med en tilsynsmyndighet. Dette skjer særlig ved at Sencai gjør tilgjengelig denne DPA-en og beskrivelsen av sikkerhetstiltak i den, underleverandørregisteret, erklæringen om hvor data lagres, behandlingsprotokoller der abonnementet ditt omfatter dem, og en eksport av revisjonssporet ditt, og ved at Sencai besvarer rimelige spørsmål du har for disse formålene.

Brudd på personopplysningssikkerheten

Sencai varsler deg om et brudd på personopplysningssikkerheten som berører kundens personopplysninger, uten ugrunnet opphold og i alle tilfeller innen 72 timer etter at Sencai ble kjent med det, per e-post til eierne av organisasjonen din. Varselet beskriver, i den grad informasjonen er tilgjengelig på det tidspunktet, bruddets art, herunder, der det er mulig, kategoriene og omtrentlig antall berørte registrerte og registreringer av personopplysninger; de sannsynlige konsekvensene; tiltakene som er truffet eller foreslått for å håndtere bruddet og begrense dets mulige negative virkninger; og et kontaktpunkt for ytterligere informasjon. Der ikke all denne informasjonen er tilgjengelig samtidig, gir Sencai den trinnvis uten ytterligere ugrunnet opphold. Sencai treffer rimelige tiltak for å begrense bruddet og støtter deg i å varsle tilsynsmyndigheten og berørte registrerte der du er forpliktet til det.

Sletting og tilbakelevering ved avtalens opphør

Etter at avtalen er opphørt, har du 21 dager til å eksportere dataene dine ved hjelp av eksportfunksjonene i tjenesten, som angitt i vilkårene. Når denne perioden er utløpt, sletter Sencai kundens personopplysninger, med mindre EU-retten eller en medlemsstats nasjonale rett krever at de lagres. Slettingen gjennomføres som en prosess og ikke på ett enkelt tidspunkt; inntil den er fullført, oppbevares dataene kun med det formål å slette dem. I tillegg gjelder følgende:

• Data i sikkerhetskopier fjernes ikke fra hver enkelt sikkerhetskopi. De slettes når sikkerhetskopiene som inneholder dem, slettes, senest ett år etter at hver sikkerhetskopi ble tatt; inntil da forblir sikkerhetskopiene kryptert og brukes bare til å gjenopprette tjenesten.
• Oppføringer i organisasjonens revisjonsspor slettes ikke, fordi revisjonssporet av design kun kan utvides (append-only). Etter at avtalen er opphørt, oppbevarer Sencai dem som behandlingsansvarlig, utelukkende for sikkerhets- og bevisformål som beskrevet i personvernerklæringen, med tilgang begrenset til disse formålene.
• Verdier for hemmeligheter i Sencai Vault slettes når Secret Injection-oppføringen tilbakekalles eller slettes, og i alle tilfeller før organisasjonen din slettes.
• Ressurser i skykontoer du selv kobler til, forblir dine og slettes aldri av Sencai som en del av at avtalen avsluttes.

Revisjoner og informasjon

Sencai gjør tilgjengelig for deg den informasjonen som er nødvendig for å påvise at forpliktelsene i GDPR artikkel 28 overholdes. Dette skjer primært gjennom dokumentasjon: denne DPA-en, underleverandørregisteret, erklæringen om hvor data lagres, behandlingsprotokoller der abonnementet ditt omfatter dem, en eksport av revisjonssporet ditt og skriftlige svar på rimelige sikkerhetsspørreskjemaer. Sencai har ikke ISO 27001- eller SOC 2-sertifisering. I den grad GDPR artikkel 28(3)(h) krever det, eller der en tilsynsmyndighet krever det, gir Sencai også mulighet for og bidrar til revisjoner, herunder inspeksjoner, som utføres av deg eller av en revisor som du har gitt fullmakt. Slike revisjoner krever rimelig forhåndsvarsel, gjennomføres for din regning og under konfidensialitetsforpliktelser, og må ikke gi tilgang til andre kunders data eller sette tjenestens sikkerhet i fare. Forespørsler sendes til privacy@sencai.space.

Ansvar

Ansvar som følger av eller er knyttet til denne DPA-en, er underlagt ansvarsbegrensningen i vilkårene, i den grad ufravikelig lovgivning tillater det. Ingenting i denne DPA-en begrenser de rettighetene de registrerte har etter GDPR.

Varighet, endringer og lovvalg

Denne DPA-en gjelder så lenge Sencai behandler kundens personopplysninger på dine vegne, også etter at vilkårene er opphørt, inntil slettingen er fullført. Sencai kan endre denne DPA-en på samme måte som vilkårene, med minst 14 dagers varsel per e-post eller varsel i appen; dersom du ikke godtar en vesentlig endring, kan du si opp avtalen med virkning fra datoen endringen trer i kraft. Denne DPA-en reguleres av lovgivningen i Tsjekkia, og tvister avgjøres av kompetente domstoler i Praha, Tsjekkia, som angitt i vilkårene.

Kontakter

Spørsmål om denne DPA-en, henvendelser om personvern, instrukser og protester mot endringer av underleverandører: privacy@sencai.space. Sikkerhetshendelser og rapporter om sårbarheter: security@sencai.space. Sencai sender varsler etter denne DPA-en til e-postadressene til eierne av organisasjonen din, så sørg for at de er oppdaterte.