Personuppgiftsbiträdesavtal

Det här personuppgiftsbiträdesavtalet (DPA), enligt artikel 28 i dataskyddsförordningen (GDPR), reglerar de personuppgifter som Wexlo, ett handelsnamn som tillhör Rybier Consulting (KvK 66637694), President Allendelaan 263, 1068 VM Amsterdam, behandlar för din räkning när vi skannar de webbplatser du anger. Det gäller automatiskt som en del av våra allmänna villkor för varje kund: någon underskrift behövs inte. Behöver du ett undertecknat exemplar för dina egna handlingar skriver du till hello@wexlo.eu, så skickar vi ett. Om det här avtalet och de allmänna villkoren strider mot varandra i en fråga om dataskydd är det det här avtalet som gäller.

För den behandling kring skanningar som beskrivs här är du personuppgiftsansvarig (eller personuppgiftsbiträde åt dina egna kunder, och då uppträder vi som ditt underbiträde) och vi är ditt personuppgiftsbiträde: du bestämmer vilka domäner vi skannar, och vi behandlar det som står på de sidorna enbart för att ta fram dina rapporter. För ditt konto, dina beställningar och dina fakturor är vi självständigt personuppgiftsansvariga; den behandlingen beskrivs i integritetspolicyn och omfattas inte av det här avtalet.

Föremål: den automatiserade skanningen av tillgängligheten på de webbplatser du registrerar, samt framtagningen och leveransen av tillhörande rapporter. Varaktighet: löptiden för ditt abonnemang, plus den raderingsfrist som anges i avsnitt 10. Art: automatiserad hämtning och analys av offentligt tillgängliga webbsidor. Ändamål: enbart att leverera rapporterna och de tillhörande funktionerna i ditt abonnemang, aldrig för våra egna ändamål.

Kategorier av uppgifter: personuppgifter som råkar synas på de offentligt tillgängliga sidorna av de webbplatser du anger (till exempel namn på en teamsida). Kategorier av registrerade: besökare på de webbplatserna och personer som nämns där. Vi minimerar det här radikalt redan i utformningen: från den automatiska skanningen sparar vi bara strukturerade iakttagelser (regeln, WCAG-kriteriet, allvarlighetsgraden och en CSS-väljare), aldrig skärmbilder och aldrig HTML-koden på dina sidor. Det som realistiskt sett blir kvar av personuppgifter från skanningen begränsas därmed till det som kan förekomma i en URL eller en CSS-väljare.

Gör någon av våra bedömare dessutom en manuell bedömning sparar vi däremot skärmbilder och rå mätdata från de bedömda sidorna, bland annat en skärmbild per steg i tangentbordsgenomgången. Det behövs för att kunna styrka en iakttagelse och för att kunna lämna över hela uppsättningen på begäran. Skärmbilderna visar sidan så som en besökare ser den utan att logga in; personuppgifter som syns där finns därmed också på skärmbilden. De ligger hos samma underbiträde som rapporterna (Cloudflare R2, EU-jurisdiktion) och raderas senast 12 månader efter mätdatumet, eller tidigare på din begäran. Lagringsutrymmet är inte offentligt tillgängligt: materialet lagras krypterat, färdas bara över en krypterad anslutning och kan bara öppnas via en länk som vi skapar på begäran och som löper ut efter högst sju dagar.

Vi behandlar uppgifter enbart enligt dina dokumenterade instruktioner. Att registrera en domän och att ställa in ditt abonnemang är de instruktionerna; kompletterande instruktioner kan avtalas via e-post. Vi påpekar varje instruktion som enligt vår bedömning skulle strida mot GDPR. Utanför dina instruktioner behandlar vi uppgifter bara när unionsrätten eller en medlemsstats rätt kräver det, och då informerar vi dig i förväg om inte den rätten förbjuder det.

Åtkomsten till personuppgifter är begränsad till de personer som behöver den för att leverera tjänsten och som omfattas av tystnadsplikt. Med hänsyn till den senaste utvecklingen och uppgifternas art tillämpar vi åtgärderna i artikel 32 i GDPR, bland annat: TLS-kryptering under överföring (framtvingad med HSTS), kryptering av data i vila hos våra databas- och lagringsleverantörer, infrastruktur som driftas inom EU, uppgiftsminimering redan i utformningen (den automatiska skanningen sparar inga skärmbilder och ingen HTML-kod; underlaget från en manuell bedömning sparas, vilket avsnitt 4 beskriver), inloggningslänkar för engångsbruk i stället för lösenord, behörighetsstyrning enligt principen om minsta privilegium, hastighetsbegränsning och loggning av säkerhetsrelevanta händelser.

Du ger oss ett allmänt godkännande att anlita de underbiträden som listas nedan. Varje tillägg och varje byte meddelar vi via e-post minst 30 dagar i förväg; invänder du på rimliga dataskyddsgrunder och kan vi inte erbjuda någon lösning, får du säga upp ditt abonnemang från och med den dag ändringen träder i kraft.

• Scalingo: applikationsdrift (Paris, Frankrike)
• Fly.io: skanningstjänsten som besöker dina sidor (Frankfurtregionen, Tyskland; amerikanskt företag)
• Neon: databas för skanningarnas iakttagelser (Frankfurtregionen, Tyskland; amerikanskt företag)
• Cloudflare: lagring av rapporterna och underlaget (R2, EU-jurisdiktion), DNS och brandvägg (amerikanskt företag)
• Upstash: jobbkö och hastighetsbegränsning (EU-region; amerikanskt företag)
• Mailjet: leverans av rapporterna via e-post (Paris, Frankrike; Sinch-koncernen)
• Resend: reservlösning för e-postleverans, som endast används när Mailjet inte fungerar (Irlandsregionen; amerikanskt företag)
• Google (Workspace): drift av vår kundtjänsts brevlåda, vilket gör att varje e-postmeddelande du skickar till oss passerar och sparas där (EU-region; amerikanskt företag)
• Anthropic: den AI-genererade rapporttexten utifrån de strukturerade iakttagelserna, samt AI-bedömningen av de textbaserade WCAG-kriterierna på avgränsade sidfragment (USA; enligt vårt API-avtal används dina uppgifter inte för att träna modeller)
• Sentry: felövervakning (datahemvist i EU-region)

Varje underbiträde är bundet av ett personuppgiftsbiträdesavtal med i allt väsentligt likvärdiga skyldigheter, och vi förblir fullt ut ansvariga gentemot dig för hur de fullgör dem.

Behandlingen sker inom EU, med ett undantag som vi nämner öppet: stegen med AI går via Anthropics API i USA, och de täcks av EU:s standardavtalsklausuler. Det rör sig om två steg, och de överför inte samma sak. För rapporttexten överförs bara de strukturerade iakttagelserna. För AI-bedömningen av de textbaserade WCAG-kriterierna vid betalda skanningar tillkommer avgränsade fragment av själva sidan: sidtiteln, rubrikerna, alt-texterna till bilderna, länktexterna, ett kort textutdrag runt varje element och de meningar som tyder på en sensorisk instruktion. Personuppgifter som syns på den sidan kan förekomma i dem. De överförda fragmenten sparas inte som sådana: de finns bara under anropet. Det vi sparar är de strukturerade iakttagelser som följer av dem (de kan innehålla ett kort citat av det bedömda elementet, precis som varje iakttagelse från en skanning), samt ett tekniskt fingeravtryck som inte går att återidentifiera och som gör att oförändrade sidor inte behöver bedömas på nytt. Ett exemplar av de standardavtalsklausuler vi tillämpar kan du begära via hello@wexlo.eu. Några av underbiträdena i EU-regionen (Neon, Fly.io, Cloudflare, Upstash, Google, Resend) är amerikanska företag; deras behandling för vår räkning sker i EU-regioner, och varje överföring som ändå sker grundar sig på dataskyddsramverket mellan EU och USA för de enheter som är listade inom ramverket, och i annat fall på EU:s standardavtalsklausuler.

Med hänsyn till behandlingens art hjälper vi dig med de registrerades förfrågningar (tillgång, radering och de övriga rättigheterna i kapitel III i GDPR) och, i förekommande fall, med dina skyldigheter enligt artiklarna 32 till 36 i GDPR, inklusive konsekvensbedömningarna avseende dataskydd. Vi underrättar dig utan onödigt dröjsmål efter att vi har fått kännedom om en personuppgiftsincident som berör dina uppgifter, med de uppgifter som artikel 33.3 i GDPR kräver, så att du kan fullgöra dina egna anmälningsskyldigheter.

När ditt abonnemang tar slut kan du exportera dina rapporter från kundportalen. På begäran raderar vi de iakttagelser från skanningar och de rapporter som vi sparar åt dig; i vart fall raderar eller anonymiserar vi dem i enlighet med lagringstiderna i integritetspolicyn, utom där unionsrätten eller nederländsk rätt ålägger oss att spara vissa uppgifter (till exempel fakturor).

Vi tillhandahåller den information som rimligen behövs för att visa att artikel 28 i GDPR följs: den här sidan, vår säkerhetsöversikt och de relevanta åtagandena i våra avtal med underbiträdena. Du får genomföra en revision en gång per avtalsår, med minst 30 dagars varsel, under kontorstid, utan tillgång till andra kunders uppgifter och på din bekostnad; där det går besvarar vi revisioner i första hand med dokumentation.

Ansvarsregleringen i våra allmänna villkor gäller även för det här avtalet. Nederländsk rätt tillämpas. Det här avtalet finns på engelska (https://wexlo.eu/dpa), på nederländska (https://wexlo.eu/nl/verwerkersovereenkomst), på franska (https://wexlo.eu/fr/dpa), på tyska (https://wexlo.eu/de/avv), på svenska och på spanska (https://wexlo.eu/es/encargo-de-tratamiento); skiljer sig versionerna åt är det den engelska versionen som gäller.