Personuppgiftsbiträdesavtal

Parter och hur detta biträdesavtal tillämpas

Detta biträdesavtal ingås mellan Sencai Tech s.r.o., med säte i Prag, Tjeckien, registrerat vid Stadsdomstolen i Prag ("Sencai", "vi"), och den kund som har godkänt användarvillkoren ("du"). Det utgör en del av villkoren och blir bindande när du godkänner dem; ingen separat underskrift krävs. Om du vill ha en registrerad underskrift för din dokumentation kan en ägare eller administratör i din organisation underteckna detta biträdesavtal i plattformen. Den aktuella versionen är publicerad på sencai.space/legal/dpa/. Detta är version 1.0 av detta biträdesavtal. För kunder som har godkänt en tidigare version av villkoren gäller det som en ändring av villkoren i enlighet med villkorens bestämmelser om ändringar.

Omfattning och roller

Detta biträdesavtal gäller personuppgifter som Sencai behandlar för din räkning när tjänsten tillhandahålls, enligt beskrivningen nedan ("Kundens personuppgifter"). För Kundens personuppgifter är du, eller den organisation du företräder, personuppgiftsansvarig och Sencai personuppgiftsbiträde. Om du själv är personuppgiftsbiträde för en annan personuppgiftsansvarig - till exempel en leverantör av hanterade tjänster som agerar för sina kunder - agerar Sencai som ditt underbiträde, och du säkerställer att dina instruktioner till Sencai är godkända av den personuppgiftsansvarige. Personuppgifter som Sencai behandlar för egna ändamål, såsom kontoregistrering, fakturering och att hålla tjänsten säker, omfattas inte av detta biträdesavtal utan regleras av integritetspolicyn, enligt vilken Sencai är personuppgiftsansvarig. Vissa uppgifter, såsom inloggningshändelser och revisionsspåret, tjänar båda ändamålen: de behandlas enligt detta biträdesavtal när de används för att tillhandahålla tjänsten till dig, och enligt integritetspolicyn när de används för att hålla tjänsten säker.

Företrädesordning och språk

Om detta biträdesavtal och villkoren strider mot varandra i fråga om behandling av personuppgifter har detta biträdesavtal företräde. Detta biträdesavtal är upprättat på engelska. Översättningar tillhandahålls i informationssyfte; om en översättning avviker från den engelska versionen har den engelska versionen företräde.

Föremål, varaktighet, art och ändamål

Föremålet för behandlingen är tillhandahållandet av Sencai-plattformen, ett multi-cloud control plane som tillhandahålls som Software-as-a-Service enligt villkoren. Behandlingen pågår under avtalstiden och därefter tills Kundens personuppgifter har raderats enligt beskrivningen i avsnittet om radering och återlämnande. Den består i att samla in uppgifter via de anslutningar du konfigurerar; att lagra, organisera och visa dem för dina behöriga användare; att analysera dem, till exempel för säkerhetsskanning, kostnadsanalys och, när du använder dem, AI-funktionerna; att överföra dem till din infrastruktur och till de leverantörer du arbetar med via plattformen; att utföra de åtgärder du begär hos molnleverantörer och på dina servrar; samt att radera dem. Ändamålet är att tillhandahålla tjänsten till dig i enlighet med villkoren och dina instruktioner, inklusive den support du efterfrågar och säkerheten i den behandlingen enligt kraven i artikel 32 GDPR.

Kategorier av registrerade

Kundens personuppgifter kan avse följande registrerade:

• Dina behöriga användare av plattformen, till exempel dina anställda och uppdragstagare.
• Personer i din arbetsstyrka vars uppgifter synkroniseras från en katalog som du ansluter, till exempel Microsoft Entra ID, Microsoft 365 eller Google Workspace.
• Personer vars personuppgifter finns i den infrastruktur, de servrar, loggar, terminalsessioner eller värden för hemligheter som du ansluter till eller hanterar via plattformen, till exempel dina egna kunder och slutanvändare.

Kategorier av personuppgifter

Beroende på vilka funktioner du använder kan Kundens personuppgifter omfatta kategorierna nedan. Tjänsten är inte utformad för särskilda kategorier av personuppgifter (artikel 9 GDPR) eller personuppgifter som rör fällande domar i brottmål och överträdelser (artikel 10 GDPR). Om din infrastruktur, dina loggar eller dina värden för hemligheter innehåller sådana uppgifter ansvarar du för att bedöma om åtgärderna i detta biträdesavtal är lämpliga innan du behandlar uppgifterna via tjänsten.

• Infrastrukturdata: inventering, konfiguration och metadata för de molnresurser och servrar som du ansluter eller provisionerar, såsom resursnamn, taggar, IP-adresser, DNS-poster och brandväggsregler, som kan innehålla personuppgifter.
• Autentiseringsuppgifter för de molnkonton som du ansluter, lagrade i krypterad form.
• Data som Sencai-agenten samlar in från servrar där du installerar den, såsom installerad programvara och patchstatus, resultat av säkerhetsskanningar samt system- och applikationsloggar.
• Terminalsessioner i webbläsaren: registreringar av vem som anslöt till vilken server och när, samt de data som passerar genom en session medan den är öppen.
• Katalog- och identitetsdata, när du ansluter en katalog: användar- och gruppposter, inloggningshändelser och administrativa händelser inklusive e-postadresser, IP-adresser och information om webbläsare eller enhet, samt inventering av postlådor.
• Revisionsspåret för din organisation: vilken användare som utförde vilken åtgärd och när, med IP-adress och information om webbläsaren.
• Värden för hemligheter som du tillhandahåller för Secret Injection.
• Innehåll som du skickar till AI-funktionerna, tillsammans med den infrastrukturkontext som skickas med det.

Dokumenterade instruktioner

Sencai behandlar Kundens personuppgifter endast enligt dina dokumenterade instruktioner, även när det gäller överföringar till länder utanför Europeiska ekonomiska samarbetsområdet, såvida inte unionsrätten eller en medlemsstats nationella rätt kräver något annat; i så fall informerar Sencai dig om det rättsliga kravet innan behandlingen, såvida inte den rätten förbjuder detta av viktiga skäl som rör allmänintresset. Dina instruktioner utgörs av villkoren, detta biträdesavtal och det sätt på vilket du använder och konfigurerar tjänsten, inklusive via dess gränssnitt och API. Ytterligare instruktioner ska lämnas skriftligen, till exempel till privacy@sencai.space, och ska vara förenliga med villkoren. Sencai informerar dig omedelbart om en instruktion enligt Sencais uppfattning strider mot GDPR eller mot annan dataskyddslagstiftning i unionen eller i en medlemsstat. Du ansvarar för att dina instruktioner och de personuppgifter som du behandlar via tjänsten är lagliga.

Sekretess

Sencai ger åtkomst till Kundens personuppgifter endast till personer som behöver den för att tillhandahålla, supportera eller säkra tjänsten, och säkerställer att alla som har behörighet att behandla Kundens personuppgifter är bundna av sekretessåtaganden eller omfattas av en lämplig lagstadgad tystnadsplikt.

Säkerhet i behandlingen

Sencai vidtar tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, enligt kraven i artikel 32 GDPR. De åtgärder som för närvarande tillämpas omfattar dem som anges nedan. Sencai kan uppdatera dem i takt med att teknik och risker utvecklas, förutsatt att den övergripande säkerhetsnivån inte sänks.

• Hosting av plattformen i EU-regioner hos Google Cloud.
• Åtskillnad mellan organisationer: resurser är kopplade till den organisation de tillhör, och dina användares åtkomst kontrolleras mot den organisationen.
• Rollbaserad åtkomst inom varje organisation, så att användare bara kan se och ändra det som deras roll tillåter.
• Kryptering med TLS för anslutningar till plattformen över allmänna nätverk; Sencai-agenten på servrar använder dessutom en ömsesidigt autentiserad anslutning.
• Kryptering i vila (AES-256-GCM) av autentiseringsuppgifterna för anslutna molnkonton, som inte visas igen via plattformen.
• Förvaring av värden för hemligheter i Sencai Vault, enligt beskrivningen i nästa avsnitt.
• Skydd av inloggningen mot upprepade gissningar av lösenord, kortlivade åtkomsttoken samt stöd för multifaktorautentisering och single sign-on.
• Nätverkspolicyer som begränsar vilka interna tjänster som kan kommunicera med varandra.
• Ett append-only, hashkedjat revisionsspår där ändring eller borttagning av en tidigare post kan upptäckas.
• Säkerhetskopior av plattformens databas som krypteras innan de lagras.

Sencai Vault och Secret Injection

Om du använder Secret Injection lagrar Sencai de värden för hemligheter som du tillhandahåller, krypterade i vila, i Sencai Vault, en lagringstjänst för hemligheter som Sencai själv driver på infrastruktur från Google Cloud inom EU. Sencai använder dessa värden enbart för leverans till din egen infrastruktur: ett Kubernetes-kluster, eller servrar som kör Sencai-agenten där du aktiverar det, och där endast till platser som klustrets eller serverns egen konfiguration tillåter. Lagrade värden kan inte visas eller exporteras via plattformen. Plattformens tjänster kan bara komma åt dem via dedikerade autentiseringsuppgifter som är begränsade till att lagra dem, läsa dem för leverans eller radera dem, och trafiken mellan plattformens tjänster och Sencai Vault krypteras med TLS. Sencai Vault för ett revisionsspår över åtkomsten, där autentiseringsuppgifter endast förekommer som nyckelbaserade hashvärden (HMAC). Varje leverans krypteras med en nyckel som genereras enbart för just den leveransen. Ett värde lämnas ut till ett kluster eller en server först efter att en administratör i din organisation har markerat dess agent som betrodd, och endast till de autentiseringsuppgifter som agenten hade när den markerades som betrodd. Tidigare versioner av ett ersatt värde kan sparas tills Secret Injection-posten återkallas eller raderas. Efter att den har återkallats eller raderats raderar Sencai utan onödigt dröjsmål värdet och alla sparade versioner från Sencai Vault, och Sencai raderar alla sådana värden innan en organisation raderas. När du återkallar en Secret Injection-post instruerar Sencai den agent som tog emot värdet att ta bort det, om en sådan instruktion kan skickas; om den inte kan skickas eller borttagningen inte bekräftas, till exempel för att agenten inte är ansluten eller har kopplats från eller för att leveransen är avstängd, kan värdet finnas kvar i din infrastruktur. Varje kopia som har levererats till din infrastruktur står under din kontroll och kan läsas av alla med tillräcklig åtkomst till det system där den finns, inklusive privilegierade användare och alla som du tillåter att köra kommandon via Sencai-agenten.

Underbiträden

Du ger Sencai ett allmänt skriftligt tillstånd att anlita de underbiträden som anges i underbiträdesregistret på sencai.space/legal/subprocessors/. Sencai ålägger genom ett skriftligt avtal varje underbiträde dataskyddsskyldigheter som ger minst samma skyddsnivå som skyldigheterna i detta biträdesavtal, i synnerhet tillräckliga garantier för att genomföra lämpliga tekniska och organisatoriska åtgärder, enligt kraven i artikel 28.4 GDPR. Sencai förblir fullt ansvarigt gentemot dig för att varje underbiträde fullgör sina skyldigheter, med förbehåll för avsnittet Ansvar. Molnleverantörer vars konton du själv ansluter är inte Sencais underbiträden: dessa konton omfattas fortsatt av ditt eget avtal med leverantören, och Sencai agerar i dem endast på din instruktion. När Sencai kör dina resurser i molnkonton som Sencai driver namnges den underliggande leverantören för dig som underbiträde innan upplägget startar och läggs till i registret. Sencai aviserar varje planerat tillägg eller byte av underbiträde minst 14 dagar innan det träder i kraft, genom att uppdatera registret och mejla ägarna till din organisation. Du kan skriftligen invända mot ändringen till privacy@sencai.space inom den perioden; Sencai kommer då att i god tro samarbeta med dig för att lösa invändningen, och om den inte kan lösas kan du säga upp den berörda tjänsten, eller avtalet om tjänsten inte kan tillhandahållas utan det underbiträdet, med verkan innan ändringen börjar gälla för dina data.

Internationella överföringar

Kundens personuppgifter lagras i första hand inom EU/EES. När ett underbiträde behandlar dem utanför Europeiska ekonomiska samarbetsområdet vilar överföringen på den grund som anges för det underbiträdet i registret - ett adekvansbeslut från Europeiska kommissionen eller standardavtalsklausulerna - tillsammans med kompletterande skyddsåtgärder där det krävs. AI-funktionerna skickar det innehåll som du lämnar in till dem vidare till de modelleverantörer som namnges i registret, vilka kan behandla det utanför EU; de anlitas endast när du använder dessa funktioner. När du väljer en region utanför Europeiska ekonomiska samarbetsområdet i ett molnkonto som du själv ansluter hamnar uppgifterna där på din instruktion.

Hjälp med registrerades begäranden

Med hänsyn till behandlingens art bistår Sencai dig genom lämpliga tekniska och organisatoriska åtgärder, i den mån detta är möjligt, med att besvara begäranden från registrerade som utövar sina rättigheter enligt kapitel III GDPR. Tjänsten tillhandahåller självbetjäningsverktyg för detta: dina användare kan exportera de personuppgifter som finns om deras konto och begära radering av sitt konto i plattformens integritetsinställningar, och din organisations revisionsspår kan exporteras. Om dessa verktyg inte räcker ger Sencai rimlig ytterligare hjälp på begäran till privacy@sencai.space. Om Sencai tar emot en begäran direkt från en registrerad avseende Kundens personuppgifter informerar Sencai dig och besvarar inte själv begäran, såvida du inte instruerar Sencai att göra det eller lagen kräver det.

Hjälp med säkerhet, konsekvensbedömningar och samråd

Med hänsyn till behandlingens art och den information som Sencai har tillgång till bistår Sencai dig med att fullgöra dina skyldigheter enligt artiklarna 32 till 36 GDPR - säkerhet i behandlingen, anmälan av personuppgiftsincidenter, konsekvensbedömningar avseende dataskydd och förhandssamråd med en tillsynsmyndighet. Detta sker särskilt genom att Sencai tillhandahåller detta biträdesavtal och dess beskrivning av säkerhetsåtgärder, underbiträdesregistret, beskedet om var data lagras, registerförteckningar över behandling där din plan omfattar dem och en export av ditt revisionsspår, samt genom att besvara de rimliga frågor som du har för dessa ändamål.

Personuppgiftsincidenter

Sencai underrättar dig om en personuppgiftsincident som påverkar Kundens personuppgifter utan onödigt dröjsmål och i alla händelser inom 72 timmar efter att ha fått vetskap om den, via e-post till ägarna till din organisation. Underrättelsen beskriver, i den mån informationen finns tillgänglig vid tidpunkten, incidentens art, inklusive, om möjligt, de kategorier av och det ungefärliga antalet registrerade och registerposter som berörs; de sannolika konsekvenserna; de åtgärder som har vidtagits eller föreslagits för att hantera incidenten och mildra dess potentiella negativa effekter; samt en kontaktpunkt för ytterligare information. Om inte all denna information finns tillgänglig på en gång lämnar Sencai den i omgångar utan ytterligare onödigt dröjsmål. Sencai vidtar rimliga åtgärder för att begränsa incidenten och stöder dig vid anmälan till tillsynsmyndigheten och underrättelse till berörda registrerade när du är skyldig att göra det.

Radering och återlämnande när avtalet upphör

Efter att avtalet har upphört har du 21 dagar på dig att exportera dina data med tjänstens exportfunktioner, enligt vad som anges i villkoren. När den perioden har löpt ut raderar Sencai Kundens personuppgifter, såvida inte unionsrätten eller en medlemsstats nationella rätt kräver att de lagras. Raderingen genomförs som en process snarare än vid ett enskilt ögonblick; tills den är slutförd sparas uppgifterna endast i syfte att radera dem. Dessutom gäller följande:

• Data i säkerhetskopior tas inte bort ur varje säkerhetskopia för sig. De raderas när de säkerhetskopior som innehåller dem raderas, senast ett år efter att respektive säkerhetskopia skapades; fram till dess förblir säkerhetskopiorna krypterade och används endast för att återställa tjänsten.
• Poster i din organisations revisionsspår raderas inte, eftersom revisionsspåret till sin utformning är append-only. Efter att avtalet har upphört sparar Sencai dem som personuppgiftsansvarig, enbart för säkerhets- och bevisändamål enligt beskrivningen i integritetspolicyn, med åtkomst begränsad till dessa ändamål.
• Värden för hemligheter i Sencai Vault raderas när Secret Injection-posten återkallas eller raderas, och i alla händelser innan din organisation raderas.
• Resurser i molnkonton som du själv ansluter förblir dina och raderas aldrig av Sencai som en del av avtalets upphörande.

Granskningar och information

Sencai gör den information tillgänglig för dig som krävs för att visa att skyldigheterna i artikel 28 GDPR fullgörs. Detta sker i första hand genom dokumentation: detta biträdesavtal, underbiträdesregistret, beskedet om var data lagras, registerförteckningar över behandling där din plan omfattar dem, en export av ditt revisionsspår och skriftliga svar på rimliga säkerhetsformulär. Sencai har inte ISO 27001- eller SOC 2-certifiering. I den mån artikel 28.3 h GDPR kräver det, eller när en tillsynsmyndighet kräver det, möjliggör och bidrar Sencai även till granskningar, inklusive inspektioner, som genomförs av dig eller av en granskare som du har bemyndigat. Sådana granskningar kräver rimligt förhandsbesked, genomförs på din bekostnad och under sekretessförpliktelser, och får inte ge åtkomst till andra kunders data eller äventyra tjänstens säkerhet. Begäranden skickas till privacy@sencai.space.

Ansvar

Ansvar som uppstår ur eller i samband med detta biträdesavtal omfattas av ansvarsbegränsningen i villkoren, i den utsträckning tvingande lag tillåter. Ingenting i detta biträdesavtal begränsar de rättigheter som registrerade har enligt GDPR.

Giltighetstid, ändringar och tillämplig lag

Detta biträdesavtal gäller så länge Sencai behandlar Kundens personuppgifter för din räkning, även efter att villkoren har upphört och till dess att raderingen är slutförd. Sencai kan ändra detta biträdesavtal på samma sätt som villkoren, med minst 14 dagars varsel via e-post eller avisering i appen; om du inte godkänner en väsentlig ändring kan du säga upp avtalet med verkan från den dag ändringen träder i kraft. Detta biträdesavtal regleras av tjeckisk lag, och tvister avgörs av behörig domstol i Prag, Tjeckien, enligt vad som anges i villkoren.

Kontakt

Frågor om detta biträdesavtal, begäranden avseende dataskydd, instruktioner och invändningar mot ändringar av underbiträden: privacy@sencai.space. Säkerhetsincidenter och rapporter om sårbarheter: security@sencai.space. Sencai skickar meddelanden enligt detta biträdesavtal till e-postadresserna för ägarna till din organisation, så håll dem aktuella.