GDPR: var hittar man LWS:s personuppgiftsbiträdesavtal (DPA) och sekretessåtaganden?

Procédure

LWS åtaganden som personuppgiftsbiträde i den mening som avses i GDPR publiceras i två dokument med fri tillgång på LWS:s allmänna villkorssida, avsnittet «Allmänna villkor»: «Behandling av personuppgifter eller DPA» och «Avtal om databehandling (DPA-avtal)». Den här hjälpen visar var du hittar dem, vad de innehåller om sekretess, dataplacering och datasäkerhet, samt vem du ska kontakta vid frågor.

Denna hjälp sammanfattar avtalsdokument för att hjälpa dig att orientera dig. Endast dokumenten i sig gäller: läs dem i sin helhet och ta hjälp av juridisk rådgivare om ditt projekt kräver det.

Var hittar man LWS:s personuppgiftsbiträdesavtal (DPA)?

På LWS:s allmänna villkorssida finns i avsnittet «Allmänna villkor» följande PDF-filer:

• Behandling av personuppgifter eller DPA (version av den 16 april 2024);
• Avtal om databehandling (DPA-avtal) (version av den 19 april 2024).

Avsnittet «Juridiska dokument» på samma sida innehåller även Säkerhetspolicyn för informationssystemet, Integritetspolicyn och GDPR-juridisk information.

Enligt dessa dokument är DPA en integrerad del av avtalet mellan LWS och kunden, och DPA-avtalet anger att beställningsformuläret eller skapandet av ett konto innebär godkännande av detta avtal. DPA-avtalet innehåller också en del «Särskilda villkor» med vilka typer av uppgifter som behandlas (inklusive känsliga uppgifter) samt båda parters underskrifter.

Vem ansvarar för vad?

DPA upprättas i enlighet med artikel 28 i GDPR:

• för de uppgifter som du lagrar hos LWS antas du vara personuppgiftsansvarig: det är du som väljer uppgifter och registrerade;
• LWS agerar som personuppgiftsbiträde och behandlar dessa uppgifter endast enligt dina instruktioner, i den utsträckning som krävs för att tillhandahålla tjänsterna.

DPA påminner också om att du förblir ansvarig för säkerheten i det du själv installerar och driver på dina tjänster (webbplatser, programvara, applikationer).

Uppgifternas sekretess

Enligt DPA och DPA-avtalet:

• LWS anställda som är behöriga att behandla uppgifterna omfattas av tystnadsplikt och får utbildning i skydd av personuppgifter;
• LWS åtar sig att endast få tillgång till dina uppgifter och använda dem för att fullgöra tjänsterna;
• sekretessåtaganden krävs av alla medarbetare och leverantörer som agerar för LWS räkning.

Dataplacering och underbiträden

DPA anger att dataplaceringen är i Frankrike och att LWS inte gör någon överföring av personuppgifter utanför Europeiska unionen. Bilaga II till DPA-avtalet listar underbiträden, alla belägna i Frankrike: LWS SAS och Groupe LWS (anslutna enheter), Equinix och Adista (tredje parter).

Vid byte av eller tillägg av ett underbiträde föreskriver DPA att LWS informerar dig i ditt hanteringsgränssnitt eller via e-post, och att du har 15 dagar på dig att lämna en motiverad invändning.

Säkerhetsåtgärder och certifiering

Bilaga I till DPA-avtalet nämner bland annat kryptering av data under överföring och vid lagring, kontroll av fysiska och logiska åtkomster till servrarna, förstärkt autentisering, isolering av olika kunders data samt snabb tillämpning av säkerhetsuppdateringar som publiceras av CERT-FR. Detaljerna hänvisar till LWS:s säkerhetspolicy för informationssystemet.

Webbplatsen lws.fr anger «Företag och datacenter certifierade ISO 27001». DPA föreskriver att, om en tjänst är certifierad, tillhandahåller LWS motsvarande certifikat och rapporter på skriftlig begäran från kunden.

Värd för känsliga uppgifter

DPA ger dig möjlighet att välja tjänster och ansvarar för detta val. Om dina behandlingar innebär en hög risk, till exempel eftersom de avser känsliga uppgifter eller hälsouppgifter, uppmanar DPA dig att välja tjänster med försiktighet och kontrollera att de passar den typ av uppgifter som behandlas. Säkerhetspolicyn för informationssystemet påminner om samma regel: det är kundens, den personuppgiftsansvariges, ansvar att säkerställa att servicenivån är lämplig för känsligheten hos dess uppgifter.

DPA föreskriver också att LWS på skriftlig begäran ger dig rimligt stöd för en konsekvensbedömning avseende dataskydd. Information som inte publiceras på LWS:s webbplats betraktas som konfidentiell, och LWS kan begära att ett sekretessavtal undertecknas innan uppgifterna lämnas ut till dig.

Kontakta LWS med en fråga om dina uppgifter

DPA föreskriver flera kontaktvägar:

• ett ärende från ditt kundområde (se hur du kontaktar LWS tekniska support);
• kontaktformuläret på LWS:s webbplats;
• ett brev per post till: LWS, DPA - Traitement des données, 10 rue Penthièvre, 75008 Paris (France).

Sidan Juridisk information & integritet på lws.fr anger också en kontakt för GDPR / DPO: rgpd@lws.fr.

Relaterade artiklar

• Hur kontaktar man LWS tekniska support?