RemoteGymp Databehandlingsavtale

Versjon:2026-08-28

Ikrafttredelsesdato:28. august 2026

Denne databehandlingsavtalen ("DPA") utgjør en del av RemoteGymp-vilkårene for bruk, et bestillingsskjema eller en annen avtale for tjenestene ("Avtale") mellom kunden ("Kunde") ogRemoteGymp Ltd, firmanummer NI742463, fra B1 Portview Trade Centre, BT4 1HE, Storbritannia ("RemoteGymp").

1. Omfang og roller

1.1 Denne DPA gjelder der RemoteGymp behandler personopplysninger på vegne av kunden ved å levere tjenestene. Kunden er behandlingsansvarlig og RemoteGymp er prosessor, bortsett fra der gjeldende lov tildeler forskjellige roller.

1.2 Kunden instruerer RemoteGymp om å behandle personopplysninger etter behov for å tilby, sikre og støtte tjenestene, overholde avtalen og kundens dokumenterte lovlige instruksjoner, og som beskrevet i vedlegg 1.

1.3 Kunden er ansvarlig for lovligheten, rettferdigheten og åpenheten til behandlingen; nøyaktigheten og minimeringen av personopplysninger; alle nødvendige meldinger, samtykker og andre juridiske grunnlag; og lovligheten av instruksjonene og ekstern tilgang.

1.4 Der Kunden distribuerer Tjenestene i sitt eget miljø, bestemmer Kunden alene metodene og formålene for behandlingen innenfor dette miljøet, og RemoteGymp er ikke en Behandler av Personopplysninger som holdes der. RemoteGymp fungerer som prosessor kun med hensyn til lisensierings- og rettighetsdata som overføres til RemoteGymp. Seksjonene 6, 7 og 8 gjelder kun for data RemoteGymp-prosesser.

1,5Gjeldende lov om databeskyttelsebetyr alle lover knyttet til databeskyttelse, personvern og behandling av personopplysninger som gjelder for en parts behandling i henhold til denne DPA, inkludert (a) UK GDPR og Data Protection Act 2018; (b) forordning (EU) 2016/679 og medlemsstatens gjennomføringslovgivning; (c) den sveitsiske føderale loven om databeskyttelse; og (d) USAs delstats personvernlovgivning identifisert i vedlegg 3.

Kontrollør, Prosessor, Datasubjekt, Personopplysninger, Brudd på personopplysningerogbehandlinghar betydningene gitt i forordning (EU) 2016/679, og tilsvarende termer under enhver annen gjeldende databeskyttelseslov skal tolkes tilsvarende.

2. Behandlerforpliktelser

RemoteGymp vil:

• behandle personopplysninger kun etter dokumenterte instruksjoner, inkludert for internasjonale overføringer,

med mindre det kreves ved lov, i så fall vil det varsle kunden før behandlingen med mindre det er lovlig forbudt;

• Fortell kunden umiddelbart hvis, etter RemoteGymps mening, en instruksjon krenker gjeldende

lov om databeskyttelse;

• sikre at autorisert personell er bundet av konfidensialitet;
• implementere og vedlikeholde tiltak som passer til risikoen som beskrevet i vedlegg 2;
• ta hensyn til behandlingens natur, rimelig bistå Kunden med dataemnet

forespørsler, sikkerhet, varslinger om brudd, konsekvensvurderinger for databeskyttelse og forutgående konsultasjonsplikter;

• varsle kunden uten unødig forsinkelse etter å ha blitt oppmerksom på et brudd på personopplysninger som påvirker

Kundens personlige data og gi tilgjengelig informasjon som er rimelig nødvendig for kundens forpliktelser; og

• gjøre tilgjengelig informasjon som er rimelig nødvendig for å demonstrere samsvar med denne DPA.

RemoteGymps assistanse kan belastes til rimelige priser der forespørselen er uvanlig tyngende eller oppstår fra kundens handlinger eller instruksjoner, med mindre hjelpen er nødvendig på grunn av RemoteGymps brudd.

3. Underbehandlere

3.1 Kunden gir RemoteGymp generell skriftlig autorisasjon til å bruke underbehandlere til å levere tjenestene. RemoteGymp vil pålegge hver underbehandler databeskyttelsesforpliktelser ved skriftlig kontrakt som ikke er mindre beskyttende enn de i denne DPA, og skal forbli fullt ansvarlig overfor kunden for utførelsen av hver underbehandlers databeskyttelsesforpliktelser.

3.2 RemoteGymp vil gi kontokontakten minst 30 dager' forhåndsvarsel via e-post fra en tiltenkt ny underbehandler som vil behandle kundens personopplysninger.

3.3 Kunden kan protestere på rimelige databeskyttelsesgrunner innen 30 dager etter varsel. Partene vil arbeide i god tro for en rimelig løsning. Hvis ingen er tilgjengelig, kan kunden avslutte den berørte tjenesten før den nye underbehandleren begynner å behandle; dette er kundens eneste rettsmiddel for innsigelsen, uten å påvirke obligatoriske rettigheter.

4. Internasjonale overføringer

RemoteGymp vil ikke foreta en begrenset overføring av kundens personlige data med mindre den bruker en lovlig overføringsmekanisme som er anerkjent av gjeldende databeskyttelseslov. Partene vil i rimelig grad samarbeide om nødvendig overføringsdokumentasjon og supplerende tiltak.

5. Datasubjektforespørsler

Hvis RemoteGymp mottar en forespørsel knyttet til kundens personlige data, vil den ikke svare på kundens vegne med mindre det er autorisert eller lovpålagt. Der det er praktisk mulig, vil RemoteGymp videresende forespørselen til kunden. Kunden er ansvarlig for å svare, og RemoteGymp vil gi rimelig assistanse tilpasset behandlingens art.

6. Sikkerhet og brudd

6.1 RemoteGymp vil vurdere behandlingsrisikoer og opprettholde passende tekniske og organisatoriske tiltak. Kunden erkjenner at sikkerheten endres over tid, og at Schedule 2 beskriver kategorier av kontroller i stedet for en garanti mot hver hendelse.

6.2 En bruddmelding er ikke en innrømmelse av feil eller ansvar. Kunden er ansvarlig for varsler til enkeltpersoner og regulatorer med mindre loven uttrykkelig krever at RemoteGymp varsler dem direkte.

7. Retur og sletting

Ved slutten av de berørte tjenestene, og etter kundens valg der det er rimelig teknisk tilgjengelig, vil RemoteGymp returnere eller delete Kundepersonopplysninger og eksisterende kopier, med mindre loven krever oppbevaring. Data i beskyttede sikkerhetskopier kan forbli til de overskrives gjennom den normale sikkerhetskopieringssyklusen og vil forbli beskyttet og utilgjengelig for vanlig bruk. Kunden må eksportere nødvendige data før kontotilgangen avsluttes.

8. Revisjon

8.1 RemoteGymp vil først tilfredsstille revisjonsforespørsler ved å bruke gjeldende uavhengige rapporter, sertifiseringer, retningslinjer, spørreskjemaer eller annet relevant bevis der dette er tilgjengelig.

8.2 Hvis dette beviset er utilstrekkelig, kan kunden gjennomføre én revisjon i en hvilken som helst 12-månedersperiode, og ytterligere revisjoner etter et relevant brudd på personopplysninger eller forespørsel fra regulator. Revisjon krever rimelig forhåndsvarsel, må skje i arbeidstiden, må minimere forstyrrelser og risiko, må beskytte andre kunder og konfidensiell informasjon, og kan ikke inkludere sårbarhets- eller penetrasjonstesting uten skriftlig avtale.

8.3 Kunden bærer rimelige revisjonskostnader med mindre revisjonen identifiserer et vesentlig brudd fra RemoteGymp.

9. Ansvar og prioritet

Utelukkelsene og ansvarsbegrensningene i Avtalen gjelder denne DPA i den fulle utstrekning loven tillater. Hvis denne DPA er i konflikt med avtalen om behandling av personopplysninger, kontrollerer denne DPA for den konflikten.

10. Termin

Denne DPA-en starter når kunden godtar avtalen eller partene på annen måte inngår den og fortsetter mens RemoteGymp behandler kundens personopplysninger. Gjeldende lov og jurisdiksjon er de i Avtalen.

Tidsplan 1 — Behandlingsdetaljer

Emne og varighet:Tilveiebringelse, sikkerhet, vedlikehold og støtte for tjenestene i avtaleperioden og den begrensede perioden for sletting, sikkerhetskopiering og juridisk oppbevaring etterpå.

Natur og formål:Innsamling, registrering, organisering, overføring, hosting, gjenfinning, konsultasjon, feilsøking, beskyttelse, sletting og annen behandling som er nødvendig for fjernstøtte, kontoadministrasjon og kundens dokumenterte instruksjoner.

Registrerte:Kundens brukere, administratorer, teknikere, ansatte, kontraktører, klienter, sluttbrukere, enhetsbrukere, støttekontakter og andre personer hvis data kunden gjør tilgjengelig.

Personopplysninger:Navn, brukernavn, forretningskontaktdetaljer, identifikatorer, IP- og enhetsdetaljer, autentiserings- og tillatelsesdata, revisjons- og øktmetadata, støtteinformasjon, skjerminnhold, filnavn, filer, kommandoer, terminalutdata og annet innhold valgt av kunden.

Spesialkategori og høyrisikodata:Tjenestene er ikke utformet for å kreve data i spesialkategorier eller kriminelle handlinger, men slike data kan tilfeldigvis vises på en eksternt aksessert enhet, i innhold valgt av kunden, eller i fritekstbeskrivelser lagt inn av en person som ber om støtte. Kunden må minimere den og ha alle ytterligere juridiske betingelser og sikkerhetstiltak som kreves for behandlingen.

Frekvens:Som initiert av Kunden og dens autoriserte brukere, med kontinuerlig støttende sikkerhet og operasjonell behandling der det er nødvendig.

Vedlegg 2 — Sikkerhetstiltak

RemoteGymps tiltak, egnet for den relevante distribusjonen og risikoen, inkluderer:

• logiske tilgangskontroller, unike kontoer, rollebaserte tillatelser og minste privilegier;
• autentiseringsbeskyttelse og multifaktorautentisering der støttet;
• kryptering av støttet kommunikasjon under overføring og passende beskyttelse av hemmeligheter;
• segregering mellom kunder og kontrollert administrativ tilgang;
• sikkerhets-, drifts- og akseptlogging med tilgangsbegrensninger;
• sikker utvikling, endringskontroll, avhengighetsgjennomgang, patching og sårbarhetshåndtering;
• tilgjengelighetsovervåking, sikkerhetskopiering og gjenopprettingsordninger som passer til vertsbaserte komponenter;
• beskyttelse mot skadelig programvare, misbruk, nettverk og infrastruktur;
• hendelsesdeteksjon, eskalering, respons og gjennomgang etter hendelsen;
• personellkonfidensialitet, tilgangsgjennomgang og sikkerhetsbevissthet;
• due diligence og kontrakter for underbehandlere; og
• periodisk gjennomgang og forbedring av kontroller i lys av risiko og teknologi.

Kunden er fortsatt ansvarlig for sikkerheten til sine endepunkter, nettverk, selvvertsbasert miljø, legitimasjon, brukertillatelser, sikkerhetskopier og konfigurasjon.

Vedlegg 3 — Personvernlover i USA

1. Omfang.Denne planen gjelder der RemoteGymp behandler personopplysninger underlagt USAs delstaters personvernlovgivning, og har forrang over hoveddelen av denne DPA for den behandlingen.

2. Roller.Kunden er en bedrift eller kontrollør; RemoteGymp er en tjenesteleverandør eller prosessor.

3. Begrensninger.RemoteGymp skal ikke: (a) selge eller dele personlig informasjon; (b) beholde, bruke eller avsløre personlig informasjon til andre formål enn å utføre tjenestene spesifisert i avtalen, eller som på annen måte er tillatt av CCPA; (c) beholde, bruke eller avsløre personlig informasjon utenfor det direkte forretningsforholdet mellom partene; eller (d) kombinere personlig informasjon med informasjon mottatt fra en annen kilde, med unntak av det som er tillatt av CCPA.

4. Sertifisering.RemoteGymp bekrefter at den forstår begrensningene i paragraf 3 og vil overholde dem.

5. Assistanse.RemoteGymp skal hjelpe kunden med å svare på forespørsler om forbrukerrettigheter og, der det er nødvendig, respektere signaler om fravalg, inkludert Global Privacy Control.

6. Varsel.RemoteGymp skal varsle kunden hvis den fastslår at den ikke lenger kan oppfylle sine forpliktelser i henhold til personvernloven i USA.