Allmänna villkor för DMARC Vision

1. Parter och tillämplighet

Dessa allmänna villkor (”Villkoren”) gäller mellan Nansec Software AB, org.nr 559602-3696, Blackevägen 56, 417 16 Göteborg, Sverige (”Leverantören”), och den organisation som anges som kund i en Beställning (”Kunden”). Leverantören och Kunden benämns gemensamt ”Parterna” och var för sig ”Part”.

Med ”Beställning” avses en beställning eller offert som hänvisar till Villkoren och som har undertecknats eller skriftligen godkänts av båda Parter. Beställningen och Villkoren med bilagor utgör tillsammans ”Avtalet”.

Tjänsten tillhandahålls endast till näringsidkare, myndigheter och andra organisationer för användning i deras verksamhet. Kunden försäkrar att Avtalet ingås i Kundens verksamhet och inte av Kunden i egenskap av konsument.

2. Avtalets omfattning

Leverantören tillhandahåller den molnbaserade tjänsten DMARC Vision (”Tjänsten”). Tjänstens huvudsakliga funktion är att samla in, analysera, visualisera och larma om information kopplad till e-post- och domänsäkerhet.

Tjänstens aktuella omfattning framgår av Bilaga 1 – Tjänstebeskrivning och av Beställningen. Vid motstridighet gäller handlingarna i den ordning som anges i punkt 31.

3. Nyttjanderätt

Kunden erhåller under avtalstiden en begränsad, icke-exklusiv och icke-överlåtbar rätt att använda Tjänsten för den egna verksamheten och för domäner som Kunden äger, administrerar eller på annat sätt har rätt att övervaka.

Kunden får inte utan Leverantörens skriftliga godkännande sälja, vidare upplåta, återförsälja eller göra Tjänsten tillgänglig som egen tjänst åt tredje part.

4. Kundkonton och behörigheter

Kunden ansvarar för att endast behöriga personer ges åtkomst, att roller och behörigheter är lämpliga och att konton avvecklas när åtkomst inte längre behövs.

Leverantören får tillfälligt spärra konto eller åtkomst om det skäligen krävs för att hantera misstänkt missbruk, säkerhetsincident eller risk för Tjänsten eller andra kunder.

5. Kundens domäner och konfiguration

Kunden ansvarar för att den har rätt att registrera och övervaka de domäner som läggs till i Tjänsten. Leverantören får kräva teknisk domänverifiering.

Kunden ansvarar för ändringar i egna DNS-, e-post- och identitetssystem. Rekommendationer, larm och analyser i Tjänsten är beslutsunderlag; Kunden ansvarar för egna förändringsbeslut.

6. Leverantörens åtaganden

Leverantören ska tillhandahålla Tjänsten på ett fackmannamässigt sätt, vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder samt tillhandahålla support enligt Kundens abonnemang och Bilaga 3.

Leverantören får löpande underhålla och vidareutveckla Tjänsten under förutsättning att avtalad kärnfunktionalitet inte väsentligt försämras.

7. Tillgänglighet och underhåll

Tillgänglighet, supporttider, prioriteringar och eventuella servicekrediter regleras i Bilaga 3 – SLA och support.

Planerat underhåll ska, när det är praktiskt möjligt och kan medföra väsentlig påverkan, meddelas i förväg. Akut underhåll får genomföras utan föregående meddelande när det krävs av säkerhets- eller driftskäl.

8. Kunddata

Kunden behåller rättigheterna till data som Kunden tillför Tjänsten eller som behandlas för Kundens räkning (”Kunddata”). Leverantören får behandla Kunddata i den omfattning som krävs för att leverera, säkra och administrera Tjänsten samt fullgöra rättsliga skyldigheter.

Leverantören får använda anonymiserad eller aggregerad information för statistik och kapacitetsplanering, under förutsättning att informationen inte rimligen kan kopplas till Kunden eller en identifierbar fysisk person. Kunddata säljs inte till tredje part.

9. Personuppgifter

När Leverantören behandlar personuppgifter för Kundens räkning är Kunden personuppgiftsansvarig och Leverantören personuppgiftsbiträde, om inte annat följer av den faktiska behandlingen. Sådan behandling regleras av Bilaga 4 – Personuppgiftsbiträdesavtal.

Leverantören kan vara självständig personuppgiftsansvarig för behandling som sker för Leverantörens egna administrativa eller rättsliga ändamål, exempelvis avseende kontaktpersoner, avtalsadministration, fakturering och uppfyllande av rättsliga skyldigheter.

10. Geografisk behandling

Kunddata som behandlas av Leverantören eller av underbiträden som Leverantören anlitar inom ramen för Tjänsten lagras och behandlas som huvudregel inom EU/EES. Leverantörens supportåtkomst till Kunddata sker inom EU/EES.

Detta åtagande avser den behandling av Kunddata som sker inom ramen för Leverantörens tillhandahållande av Tjänsten och omfattar inte behandling eller överföring som sker genom system, tjänster eller leverantörer som Kunden själv använder, administrerar eller anlitar utanför Tjänsten.

Följande undantag gäller och beskrivs närmare i Bilaga 5:

(a) Leverantörens webbplats och portal distribueras via Amazon CloudFront, som är en del av Amazon Web Services globala innehållsleveransnätverk. Vid användning av webbplatsen eller portalen kan vissa trafik- och användaruppgifter, såsom IP-adress och, i förekommande fall, användarens namn och e-postadress, behandlas i CloudFront-noder utanför EU/EES. Amazon Web Services EMEA SARL är underbiträde enligt Bilaga 5. För överföring till tredje land där beslut om adekvat skyddsnivå saknas tillämpas EU-kommissionens standardavtalsklausuler (SCC) genom AWS Data Processing Addendum samt, där så krävs, kompletterande skyddsåtgärder.

(b) när Kunden begär ut en originalrapport i RUF-format skickas denna som en krypterad arkivfil med e-post via Proton AG i Schweiz. Lösenordet till arkivfilen lämnas separat via Tjänstens supportfunktion.

Om annan överföring av personuppgifter till tredje land blir aktuell inom ramen för Leverantörens behandling ska sådan överföring ske i enlighet med tillämplig dataskyddslagstiftning och med tillämplig överföringsmekanism samt efter avisering i enlighet med Bilaga 4 punkt 9.

11. RUF och särskilt skyddsvärd rapportdata

DMARC failure/forensic reports (RUF) kan innehålla personuppgifter eller meddelandeinformation. Om Kunden aktiverar RUF-funktionalitet ska särskilda lagrings-, åtkomst- och skyddsåtgärder enligt Bilaga 1, 4 och 5 tillämpas.

12. Informationssäkerhet

Leverantören ska upprätthålla lämpliga tekniska och organisatoriska åtgärder med hänsyn till risk, behandlingens art och informationens känslighet. Övergripande kontroller beskrivs i Bilaga 5 – Informationssäkerhet och underbiträden.

13. Säkerhetsincidenter

Leverantören ska ha rutiner för att identifiera, hantera och dokumentera säkerhetsincidenter. Personuppgiftsincidenter som rör behandling för Kundens räkning hanteras enligt Bilaga 4.

14. Underleverantörer

Leverantören får anlita underleverantörer för leveransen. Underbiträden som behandlar personuppgifter för Kundens räkning regleras enligt Bilaga 4. En aktuell förteckning finns i Bilaga 5.

15. Immateriella rättigheter

Samtliga immateriella rättigheter till Tjänsten, programvara, design, dokumentation, analysmodeller och andra leverantörsskapade delar tillhör Leverantören eller dess licensgivare. Kunden behåller rättigheterna till Kunddata, egna varumärken och domäner.

Feedback och förbättringsförslag får användas av Leverantören utan särskild ersättning, så länge Kundens konfidentiella information inte röjs.

16. Tredjepartstjänster och externa datakällor

Tjänsten kan integrera med eller inhämta information från externa tjänster, exempelvis DNS, e-postsystem, molntjänster, SIEM, webhook- och meddelandetjänster och publika säkerhetsdatakällor. Leverantören ansvarar inte för fel, avbrott eller förändringar hos tredje part som ligger utanför Leverantörens rimliga kontroll.

17. Avgifter och betalning

Kunden ska betala avgifter enligt Beställningen och Bilaga 2. Om inget annat anges i Beställningen faktureras abonnemang årsvis i förskott med trettio (30) dagars betalningsvillkor.

Vid försenad betalning har Leverantören rätt till dröjsmålsränta enligt räntelagen samt lagstadgade avgifter. Efter skriftlig påminnelse får Leverantören begränsa åtkomsten om betalning fortsatt uteblir.

18. Prisändringar

Leverantören har rätt att ändra priser inför en ny avtalsperiod. Prisändringar ska meddelas Kunden senast sextio (60) dagar före den pågående avtalsperiodens slut.

Om Kunden inte accepterar prisändringen har Kunden rätt att säga upp Avtalet till den pågående avtalsperiodens slut. Sådan uppsägning ska göras skriftligen senast trettio (30) dagar före avtalsperiodens slut.

Om Kunden inte säger upp Avtalet inom denna tid gäller de nya priserna från och med nästa avtalsperiod.

19. Avtalstid och förlängning

Avtalet träder i kraft den dag som anges i Beställningen, eller annars när Beställningen har godkänts av båda Parter, och gäller initialt i tolv (12) månader om inte annat anges i Beställningen. Därefter förlängs det automatiskt med tolv (12) månader i taget om det inte sägs upp skriftligen senast sextio (60) dagar före pågående periods slut.

Den ordinarie uppsägningstiden enligt denna punkt gäller inte vid uppsägning med anledning av en prisändring enligt punkt 18.

20. Förtida uppsägning

Part får säga upp Avtalet med omedelbar verkan om den andra Parten väsentligen bryter mot Avtalet och inte vidtar rättelse inom trettio (30) dagar från skriftlig anmodan, eller försätts i konkurs, träder i likvidation eller annars kan antas vara på obestånd.

Leverantören får omedelbart begränsa åtkomsten i den omfattning som krävs vid allvarligt missbruk eller akut säkerhetsrisk.

21. Avtalets upphörande och export

När Avtalet upphör, upphör Kundens nyttjanderätt till Tjänsten.

Kunden kan under avtalstiden och fram till Avtalets upphörande begära export av sådan Kunddata som är tillgänglig genom Tjänstens exportfunktioner. Återlämnande av personuppgifter och tillgängliga originalrapporter samt efterföljande radering av Kunddata sker enligt Bilaga 4 punkt 15.

Information som enligt lag måste bevaras får lagras under den tid som krävs enligt tillämplig lag. Personuppgifter i säkerhetskopior och tekniska säkerhets- och systemloggar hanteras enligt Bilaga 4 punkt 15.

22. Sekretess

Part får inte utan den andra Partens godkännande röja konfidentiell information. Som konfidentiell information räknas bland annat Kunddata, säkerhetsinformation, teknisk information, affärsinformation och individuellt avtalade kommersiella villkor.

Sekretess gäller inte information som är allmänt känd utan avtalsbrott, som mottagande Part kan visa att den redan kände till, eller som måste lämnas ut enligt lag eller bindande myndighets- eller domstolsbeslut. Sekretessåtagandet gäller även efter Avtalets upphörande.

23. Garantier och tjänstens karaktär

Leverantören ska utföra sina åtaganden med rimlig omsorg och yrkesmässighet. Kunden är införstådd med att Tjänsten utgör analys-, övervaknings- och beslutsstöd och att Leverantören inte garanterar att alla säkerhetshot, fel eller avvikelser upptäcks eller att externa rapporter och datakällor är fullständiga eller korrekta.

Larm, riskindikeringar och rekommendationer är beslutsunderlag och utgör inte garanti för att incident eller risk föreligger eller inte föreligger. Tjänsten innebär inte i sig garanti för regelefterlevnad.

24. Ansvar och ansvarsbegränsning

Part ansvarar för direkt skada som orsakats genom avtalsbrott, vårdslöshet eller uppsåt. Ingen Part ansvarar för indirekt skada, såsom utebliven vinst, produktionsbortfall, förlust av affärsmöjlighet, goodwillförlust eller annan följdskada. Parts sammanlagda ansvar enligt Avtalet under en period om tolv (12) månader är begränsat till ett belopp motsvarande de avgifter som Kunden har betalat eller ska betala för Tjänsten under samma period. Ansvarsbegränsningarna ovan gäller inte vid uppsåt eller grov vårdslöshet, eller i den utsträckning ansvar inte lagligen kan begränsas. För behandling av personuppgifter gäller därutöver den ansvarsfördelning som följer av tillämplig dataskyddslagstiftning och Bilaga 4 – Personuppgiftsbiträdesavtal.

25. Force majeure

Part är befriad från ansvar för underlåtenhet att fullgöra förpliktelse som beror på omständighet utanför Partens rimliga kontroll, exempelvis krig, myndighetsåtgärd, omfattande samhällsstörning, naturhändelse, arbetskonflikt, större internet- eller teleavbrott eller exceptionellt cyberangrepp. Berörd Part ska informera den andra Parten så snart det rimligen kan ske.

26. Ändringar av Tjänsten

Leverantören får löpande ändra och utveckla Tjänsten. Funktioner får läggas till, ändras eller tas bort om detta inte innebär väsentlig försämring av avtalad kärnfunktionalitet. Väsentliga förändringar ska meddelas i skälig tid.

27. Ändringar av Villkoren

Leverantören får ändra Villkoren när det motiveras av lag, myndighetskrav, säkerhet, teknisk utveckling eller förändring av Tjänsten. En ändring sker genom att en ny version av Villkoren publiceras med versionsnummer och datum. Väsentliga ändringar ska meddelas Kunden i skälig tid och träder normalt i kraft från nästa avtalsperiod, om inte tidigare ikraftträdande krävs av lag eller säkerhetsskäl.

Gällande version och samtliga tidigare versioner av Villkoren finns tillgängliga på dmarcvision.eu. Till dess att en ny version har trätt i kraft för Kunden gäller den version som anges i Beställningen.

28. Överlåtelse

Kunden får inte överlåta Avtalet utan Leverantörens skriftliga godkännande. Leverantören får överlåta Avtalet inom samma koncern eller i samband med överlåtelse av Tjänsten eller verksamheten, förutsatt att Kundens avtalsmässiga rättigheter inte väsentligt försämras.

29. Meddelanden

Formella meddelanden ska lämnas skriftligen till de kontaktuppgifter som anges i Beställningen eller som Parterna senare meddelat varandra. Kunden ansvarar för att kontakt- och faktureringsuppgifter hålls aktuella.

30. Fullständig reglering

Avtalet utgör Parternas fullständiga reglering av de frågor som omfattas och ersätter tidigare muntliga och skriftliga utfästelser i samma fråga, om inte annat uttryckligen avtalats.

31. Avtalshandlingarnas inbördes ordning

Vid motstridighet gäller handlingarna i följande ordning: (1) Beställningen, (2) detta huvudavtal, (3) Bilaga 1 – Tjänstebeskrivning, (4) Bilaga 2 – Pris och abonnemang, (5) Bilaga 3 – SLA och support, (6) Bilaga 4 – Personuppgiftsbiträdesavtal, (7) Bilaga 5 – Informationssäkerhet och underbiträden. För frågor som specifikt rör behandling av personuppgifter har Bilaga 4 företräde.

32. Tillämplig lag och tvist

Avtalet ska tolkas och tillämpas enligt svensk rätt.

Tvist med anledning av Avtalet ska i första hand lösas genom förhandling mellan Parterna.

Part som vill inleda förhandling ska skriftligen meddela den andra Parten och kort beskriva tvistens art och grunden för sitt krav. Parterna ska därefter utan onödigt dröjsmål utse representanter med mandat att försöka lösa tvisten.

Förhandling ska påbörjas senast tio (10) arbetsdagar efter att det skriftliga meddelandet mottagits.

Om Parterna inte har nått en lösning inom trettio (30) dagar från mottagandet av tvistmeddelandet, eller inom annan tid som Parterna skriftligen kommer överens om, har vardera Part rätt att hänskjuta tvisten till svensk allmän domstol med Göteborgs tingsrätt som första instans.

33. Avtalets ingående

Avtalet ingås när Beställningen har undertecknats eller skriftligen godkänts av båda Parter. Undertecknande och godkännande får ske elektroniskt och i separata exemplar.

1. Syfte

DMARC Vision är en molnbaserad SaaS-tjänst för överblick, analys och övervakning av organisationens e-post- och domänsäkerhet. Tjänsten kombinerar översikt, drill-down, larm och integrationsmöjligheter så att Kunden inte är beroende av att manuellt bevaka en separat portal.

2. Kärnfunktioner

• Mottagning, normalisering och analys av DMARC aggregate reports (RUA).
• Mottagning och analys av SMTP TLS Reporting (TLS-RPT).
• Stöd för DMARC failure/forensic reports (RUF) när funktionen är aktiverad.
• Överblick över sändande källor, SPF- och DKIM-resultat samt DMARC-alignment.
• Övervakning av relevanta DNS- och policyuppgifter för registrerade domäner.
• Larm vid utvalda förändringar, avvikelser eller säkerhetsindikatorer.
• Historik, rapportering och drill-down till relevant rapport- och källdata.
• Export, API och integrationer enligt abonnemang och Beställning.

3. Domän- och DNS-övervakning

• DMARC-policy och rapportadresser.
• SPF-poster och förändringar i dessa.
• DKIM-relaterade kontroller där selektor eller konfiguration är känd eller tillgänglig.
• MX, MTA-STS, TLS-RPT, BIMI och andra e-postrelaterade DNS-kontroller som Leverantören vid var tid stödjer.
• Policy- eller konfigurationsdrift mellan mättillfällen.

4. Larm och notifieringar

Tillgängliga larmtyper utvecklas löpande och kan bland annat omfatta förändrad DMARC-policy, nya eller ovanliga avsändare, autentiseringsfel, policy- och DNS-drift, rapporteringsavbrott och andra relevanta indikatorer. Larm levereras i portalen och, beroende på abonnemang, via e-post, webhook, Teams, Slack eller andra integrationer.

5. RUF

RUF-rapporter kan innehålla personuppgifter, tekniska headeruppgifter och meddelandeinformation och behandlas därför i ett separat behandlings- och lagringsflöde, med begränsad åtkomst och kortare lagringstid än aggregerad rapportdata.

Originalrapporter görs inte tillgängliga i Tjänstens kundportal och ingår inte i den ordinarie analysvyn. Originalrapporten lagras separat i skyddad objektlagring och är endast åtkomlig inom ramen för särskilt behörighetsstyrd hantering.

• RUF är som standard inaktiverat. Tjänsten tar endast emot RUF för de domäner eller subdomäner där Kunden uttryckligen har aktiverat funktionen genom att konfigurera en RUF-adress som pekar på Tjänsten.
• RUF kan aktiveras eller inaktiveras separat per domän eller subdomän. Kunden kan exempelvis välja att ta emot RUF för en viss subdomän utan att aktivera RUF för den överordnade domänen.
• Kunden kan när som helst upphöra med mottagandet av RUF för en viss domän eller subdomän genom att ta bort eller ändra den aktuella RUF-konfigurationen.
• Vid behandling för ordinarie analys extraheras endast de uppgifter från RUF-rapporten som behövs för Tjänstens analys och rapportering. Endast denna extraherade och, där så är tillämpligt, pseudonymiserade metadata används i den ordinarie Tjänsten.
• I den lagrade RUF-metadatan pseudonymiseras följande uppgifter med nycklad HMAC-SHA256:
  • lokal del av adressen i det ursprungliga meddelandets From,
  • lokal del av envelope sender från Return-Path, med Original-Mail-From som reservkälla,
  • lokala delar av e-postadresser i Reply-To,
  • lokala delar av mottagaradresser i To och Cc,
  • hela värdet i Subject,
  • hela värdet i Message-ID, samt
  • hela värdet i Original-Envelope-ID.
• En separat HMAC-nyckel används för varje kundföretag. Nyckelmaterialet som används för att generera eller härleda HMAC-nyckeln är kundspecifikt och separerat mellan kunder. Detta gör det möjligt att känna igen återkommande identifierare inom samma kundmiljö utan att motsvarande identifierare kan korreleras mellan olika kunder.
• Domännamn och rapporterad käll-IP-adress lagras i läsbar form i RUF-metadatan.
• Original-Rcpt-To lagras inte i metadatan och tas bort i stället för att pseudonymiseras.
• Pseudonymiseringen gäller endast den metadata som extraheras från RUF-rapporten. Eventuell meddelandetext eller annat innehåll i den ursprungliga rapporten lagras inte som en del av den ordinarie analysdatan, men kan finnas kvar i originalrapporten.
• Originalrapporten lagras separat från den ordinarie analysdatan som begränsat bevismaterial, skyddad genom kryptering och strikt åtkomstkontroll, under fjorton (14) dagar från mottagandet. Därefter raderas den automatiskt.
• Under lagringstiden kan en behörig kundrepresentant begära ut originalrapporten via support. Rapporten lämnas ut som en krypterad arkivfil med AES-256-kryptering via e-post. Lösenordet lämnas separat via Tjänstens supportfunktion.
• Kunden ansvarar för att aktivering och användning av RUF är rättsligt tillåten för Kundens behandling.

6. Dataplacering

Tjänstens produktion och lagring sker i AWS-regionen eu-north-1 (Stockholm, Sverige). Kunddata lagras och behandlas inom EU/EES med de undantag som anges i huvudavtalet punkt 10. Underbiträden och behandlingsplatser framgår av Bilaga 5.

7. Lagringstider

8. Dataexport vid avtalets slut

På begäran kan Kunden, under den tid som anges i huvudavtalet punkt 21, exportera sådan Kunddata som stöds av Tjänstens exportfunktioner. Leverantören är inte skyldig att återskapa data som redan gallrats enligt avtalad lagringstid.

9. Avgränsningar

• Tjänsten är inte en e-postgateway och blockerar inte i sig e-posttrafik.
• Tjänsten är inte en garanti mot spoofing, phishing eller andra angrepp.
• Resultat är beroende av rapporter och data från externa avsändare, mottagare, DNS och andra datakällor.
• Vissa funktioner kräver Kundens konfiguration av DNS, rapportadresser, API-behörigheter eller andra integrationer.

10. Kundens tekniska ansvar

• Konfigurera nödvändiga DNS-poster och rapportadresser enligt Leverantörens instruktioner.
• Säkerställa att domäner som ansluts får övervakas av Kunden.
• Förvalta Kundens interna e-post-, identitets- och DNS-miljö.
• Bedöma och genomföra rekommenderade förändringar i Kundens egen miljö.

1. Abonnemang och pris

Kundens abonnemangsnivå, årsavgift och plangränser anges i Beställningen. Leverantörens aktuella prislista finns på prissidan på dmarcvision.eu. Samtliga priser anges i svenska kronor (SEK) exklusive mervärdesskatt.

Plangränser avser antal skickande toppdomäner, analyserad meddelandevolym, användare och lagringstid. Skickande underdomäner ingår under ansluten toppdomän och räknas inte som egna toppdomäner. Parkerade, defensiva eller icke-sändande domäner övervakas enligt fair use och räknas inte som skickande domäner.

2. Överförbrukning och fair use

Om Kundens användning varaktigt överstiger avtalad volym eller omfattning ska Leverantören i första hand kontakta Kunden för justering av abonnemang. Leverantören ska inte debitera retroaktiv överförbrukning utan stöd i Beställningen eller separat överenskommelse.

3. Tilläggstjänster

4. Betalningsvillkor

• Årsvis fakturering i förskott om inte annat anges i Beställningen.
• Betalningsvillkor: 30 dagar.
• Samtliga priser anges exklusive mervärdesskatt.
• Prisändringar hanteras enligt huvudavtalet punkt 18.

1. Omfattning

Denna bilaga reglerar tillgänglighet, incidentprioritering och support för Tjänsten. Individuella villkor kan anges i Beställningen och har då företräde.

2. Supportnivå och servicetid

Supportnivån följer Kundens abonnemang: Standard för Starter, Prioriterad för Business och Enterprise för Enterprise, om inte annat anges i Beställningen.

Säkerhetsincidenter anmäls till support@dmarcvision.eu på samtliga nivåer, och för Enterprise även via avtalad kanal.

3. Prioritetsklasser

4. Mål för första respons

Tiderna räknas inom servicetiden. Arbetsdag avser svensk helgfri vardag.

5. Tillgänglighetsmål

Tillgänglighetsmålet är 99,5 % per kalendermånad för portal och centrala API-funktioner som Leverantören kontrollerar. Annat mål kan anges i Beställningen.

Tillgänglighet beräknas som: (total mättid – otillgänglig tid) / total mättid × 100. Beräkningen exkluderar undantagen i punkt 6.

6. Undantag från SLA

• Planerat underhåll som meddelats enligt punkt 9.
• Akut säkerhetsunderhåll som skäligen krävs för att skydda Tjänsten eller Kunddata.
• Fel i Kundens system, DNS, e-postmiljö, identitetsleverantör eller internetanslutning.
• Fel eller avbrott hos externa tjänster eller dataleverantörer utanför Leverantörens rimliga kontroll.
• Force majeure.
• Avstängning som följer av Kundens avtalsbrott eller begäran.

7. Servicekrediter

Servicekrediter utgår endast om de uttryckligen anges i Beställningen. Om servicekrediter avtalas utan annan modell gäller följande.

8. Begränsning av servicekrediter

Servicekredit är, om den avtalas, Kundens enda ekonomiska kompensation för bristande tillgänglighet och får aldrig överstiga 20 % av månadsavgiften för den berörda månaden. Vid årsvis fakturering avser månadsavgiften en tolftedel av årsavgiften.

9. Planerat underhåll

Leverantören ska när det är praktiskt möjligt planera störande underhåll utanför servicetiden och meddela Kunden minst 48 timmar i förväg när påverkan bedöms bli väsentlig.

10. Säkerhetsincidenter

Misstänkta eller konstaterade säkerhetsincidenter prioriteras utifrån risk och påverkan. Personuppgiftsincidenter hanteras enligt Bilaga 4 och omfattas inte enbart av de vanliga supportfristerna ovan.

1. Parter och ställning

Detta personuppgiftsbiträdesavtal (”PUB-avtalet”) ingås mellan Kunden såsom personuppgiftsansvarig (”Personuppgiftsansvarig”) och Nansec Software AB såsom personuppgiftsbiträde (”Biträdet”) och utgör en integrerad del av Avtalet.

PUB-avtalet gäller endast i den omfattning Biträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning. Parternas roller avgörs av de faktiska omständigheterna och tillämplig dataskyddslagstiftning.

2. Föremål och varaktighet

Föremålet för behandlingen är att tillhandahålla DMARC Vision och därmed ta emot, lagra, strukturera, analysera, presentera, skydda, exportera och radera personuppgifter i den omfattning som krävs för Tjänsten.

Behandlingen pågår under Avtalets giltighet samt under den efterföljande period som krävs för export, gallring, backupcykler eller rättsliga skyldigheter enligt detta PUB-avtal.

3. Art och ändamål

Behandlingen sker i syfte att leverera funktioner för e-post- och domänsäkerhetsanalys, rapportering, övervakning, larm, support, felsökning och säker drift. Biträdet får inte behandla personuppgifter för egna ändamål.

Biträdet får, som en del av Tjänsten, anonymisera uppgifter för statistik och kapacitetsplanering enligt huvudavtalet punkt 8. Information som har anonymiserats är inte personuppgifter och omfattas inte av detta PUB-avtal.

4. Typer av personuppgifter

Beroende på Kundens konfiguration och användning av Tjänsten kan behandlingen omfatta:

• IP-adresser, domännamn och e-postadresser,
• identifierare och tekniska uppgifter relaterade till e-postautentisering,
• tekniska header-, rapport- och logguppgifter,
• användarkonto- och kontaktuppgifter, inklusive användaridentitet, tilldelad roll och behörighetsnivå i Tjänsten,
• autentiseringsmetadata och tidpunkt för inloggning,
• tekniska logguppgifter relaterade till användning, drift, åtkomstkontroll och säkerhet i Tjänsten, samt
• i förekommande fall, i RUF-rapporter, delar av meddelandeinformation eller andra personuppgifter som förekommer i rapporten.

Behandlingen är begränsad till de personuppgifter som är nödvändiga för att tillhandahålla, administrera, övervaka, felsöka och skydda Tjänsten samt för att utföra de behandlingar som följer av Kundens användning och konfiguration av Tjänsten.

5. Kategorier av registrerade

Registrerade kan omfatta Kundens användare och administratörer, anställda och uppdragstagare, avsändare och mottagare av e-post samt andra personer vars uppgifter förekommer i rapporter eller tekniska loggar som behandlas för Kundens räkning.

6. Dokumenterade instruktioner

Biträdet får endast behandla personuppgifter enligt dokumenterade instruktioner från den Personuppgiftsansvarige, inklusive Avtalet, Kundens konfiguration och skriftliga instruktioner som är förenliga med den avtalade Tjänsten.

Om Biträdet enligt unionsrätt eller svensk rätt är skyldigt att behandla personuppgifter på annat sätt ska den Personuppgiftsansvarige informeras innan behandlingen, om sådan information inte är förbjuden enligt lag.

Om Biträdet anser att en instruktion strider mot GDPR eller annan tillämplig dataskyddsrätt ska den Personuppgiftsansvarige informeras utan onödigt dröjsmål.

7. Sekretess

Biträdet ska säkerställa att personer som är behöriga att behandla personuppgifter har åtagit sig sekretess eller omfattas av lämplig lagstadgad tystnadsplikt och endast får åtkomst i den omfattning som behövs för arbetsuppgifterna.

8. Säkerhet

Biträdet ska vidta lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR med beaktande av aktuell teknisk nivå, genomförandekostnader, behandlingens art, omfattning, sammanhang och ändamål samt riskerna för registrerades rättigheter och friheter. Övergripande åtgärder framgår av Bilaga 5.

9. Underbiträden

Den Personuppgiftsansvarige lämnar ett allmänt skriftligt förhandstillstånd för Biträdet att anlita underbiträden. Aktuella underbiträden framgår av Bilaga 5.

Biträdet ska informera den Personuppgiftsansvarige om planerade tillägg eller ersättningar av underbiträden minst trettio (30) dagar innan det nya eller ersättande underbiträdet påbörjar behandling av personuppgifter för den Personuppgiftsansvariges räkning.

Informationen ska innehålla sådan information som skäligen behövs för att den Personuppgiftsansvarige ska kunna bedöma förändringen, inklusive:

• underbiträdets identitet,
• vilken tjänst eller behandling underbiträdet tillhandahåller,
• vilka typer av personuppgifter underbiträdet kan behandla,
• i vilket eller vilka länder behandlingen sker, samt
• i förekommande fall vilken mekanism som används för överföring av personuppgifter till tredje land.

Den Personuppgiftsansvarige får inom femton (15) dagar från mottagandet av informationen framställa en invändning mot det nya eller ersättande underbiträdet.

En invändning ska vara konkret och sakligt grundad i omständigheter som rör dataskydd, informationssäkerhet, tillämplig dataskyddslagstiftning eller andra relevanta risker hänförliga till det berörda underbiträdets behandling. En invändning som enbart grundas på allmänna preferenser, kommersiella överväganden eller ett generellt ogillande av underbiträdet ska inte i sig utgöra saklig grund.

Om den Personuppgiftsansvarige framställer en sakligt grundad invändning ska Parterna skyndsamt försöka finna en rimlig lösning som undanröjer grunden för invändningen.

Biträdet får, om det är praktiskt och kommersiellt rimligt, exempelvis avstå från att använda det berörda underbiträdet för den Personuppgiftsansvariges behandling eller erbjuda en alternativ teknisk eller organisatorisk lösning.

Om Parterna inte kan finna en rimlig lösning innan det nya eller ersättande underbiträdet ska börja behandla personuppgifter och Biträdet inte skäligen kan tillhandahålla Tjänsten utan det berörda underbiträdet, har den Personuppgiftsansvarige rätt att säga upp den del av Tjänsten som påverkas av förändringen.

Om den berörda delen av Tjänsten inte skäligen kan separeras från Tjänsten i övrigt har den Personuppgiftsansvarige rätt att säga upp Avtalet i sin helhet.

Vid sådan uppsägning ska uppsägningen träda i kraft senast när det nya eller ersättande underbiträdet påbörjar den behandling som omfattas av invändningen, om inte Parterna kommer överens om annat.

Om den Personuppgiftsansvarige har betalat abonnemangsavgift i förskott ska Biträdet återbetala den proportionella del av den förskottsbetalade avgiften som avser tiden efter uppsägningens ikraftträdande. Ingen ytterligare ersättning eller kompensation utgår enbart med anledning av sådan uppsägning.

Biträdet ska genom skriftligt avtal ålägga underbiträdet dataskyddsskyldigheter som, i relevanta delar, ger minst motsvarande skydd som följer av detta Personuppgiftsbiträdesavtal.

Biträdet ansvarar gentemot den Personuppgiftsansvarige för underbiträdets fullgörande av sina dataskyddsskyldigheter i den omfattning som följer av GDPR.

10. Tredjelandsöverföringar

Biträdet behandlar personuppgifter inom EU/EES med de undantag som anges i huvudavtalet punkt 10 och Bilaga 5. Personuppgifter får i övrigt endast överföras till eller göras tillgängliga från tredje land om kraven i GDPR kapitel V är uppfyllda och lämplig överföringsmekanism samt, när det krävs, kompletterande skyddsåtgärder används.

11. Registrerades rättigheter

Med hänsyn till behandlingens art ska Biträdet, genom lämpliga tekniska och organisatoriska åtgärder och i den mån det är möjligt, bistå den Personuppgiftsansvarige med att besvara begäranden om registrerades rättigheter enligt GDPR kapitel III. Om Biträdet direkt mottar en sådan begäran avseende Kunddata ska den normalt hänvisas till Kunden utan att Biträdet själv besvarar sakfrågan, om inte Kunden instruerat annat.

12. Bistånd enligt artiklarna 32–36

Biträdet ska, med beaktande av behandlingens art och den information som Biträdet har tillgång till, skäligen bistå Kunden med skyldigheter avseende säkerhet, personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd enligt artiklarna 32–36 GDPR. Särskilt omfattande bistånd utöver normal Tjänst och Biträdets lagstadgade skyldigheter kan debiteras enligt avtalad konsulttaxa om det är skäligt och överenskoms i förväg.

13. Personuppgiftsincidenter

Biträdet ska utan onödigt dröjsmål underrätta den Personuppgiftsansvarige efter att ha fått vetskap om en personuppgiftsincident som berör personuppgifter som behandlas för den Personuppgiftsansvarige räkning.

En första underrättelse ska lämnas även om incidenten ännu inte är fullständigt utredd.

Underrättelsen ska, i den mån information finns tillgänglig, beskriva incidentens art, berörda kategorier av uppgifter och registrerade, sannolika konsekvenser samt vidtagna eller föreslagna åtgärder. Information får lämnas stegvis om allt inte är känt vid första underrättelsen.

14. Revision och information

Biträdet ska göra tillgänglig den information som skäligen krävs för att visa att skyldigheterna i artikel 28 och detta PUB-avtal fullgörs och ska möjliggöra samt bidra till revisioner eller inspektioner av Kunden eller oberoende revisor som Kunden utser.

Revision ska normalt föregås av minst 30 dagars skriftligt meddelande, ske under normal arbetstid, begränsas till relevant omfattning och genomföras på ett sätt som inte oskäligt stör verksamheten eller äventyrar andra kunders sekretess eller säkerhet. Kunden står för sina egna revisionskostnader. Biträdet får ta skälig ersättning för omfattande bistånd utöver normal dokumentation för regelefterlevnad, såvida revisionen inte visar väsentligt avtalsbrott hos Biträdet.

15. Radering och återlämnande

När behandlingen upphör ska Biträdet, enligt den Personuppgiftsansvariges val, radera eller återlämna de personuppgifter som behandlas för den Personuppgiftsansvariges räkning, om inte fortsatt lagring krävs enligt lag.

Den Personuppgiftsansvarige kan under avtalstiden exportera sådana uppgifter som Tjänsten tillhandahåller exportfunktion för, exempelvis revisionsloggar och larm.

Om den Personuppgiftsansvarige väljer återlämnande kan tillgängliga originalrapporter i RUA- och TLS-RPT-format samt, i förekommande fall, RUF-format lämnas ut via Biträdets supportfunktion, under förutsättning att rapporterna fortfarande omfattas av tillämplig lagringstid. Utlämnande kan ske i form av arkivfil eller annat skäligt och tekniskt användbart format och, när det är motiverat, med kryptering.

Biträdet är inte skyldigt att tillhandahålla kopior av Tjänstens interna databaser, interna datastrukturer eller annan intern systeminformation, under förutsättning att de personuppgifter som omfattas av återlämnandet kan tillhandahållas på annat skäligt och tekniskt användbart sätt.

När Tjänsten avslutas raderas Kundens data från den aktiva tjänsten, inklusive uppgifter i Tjänstens databaser. Data som lagras separat, exempelvis i objektlagring, ska raderas senast inom trettio (30) dagar efter Avtalets upphörande, om inte fortsatt lagring krävs enligt lag.

Tekniska säkerhets- och systemloggar som innehåller personuppgifter och som är nödvändiga för att upprätthålla Tjänstens säkerhet, utreda säkerhetsincidenter, verifiera åtkomst eller uppfylla dokumentationskrav får behållas i upp till sex (6) månader från den tidpunkt då uppgifterna registrerades. Sådana logguppgifter får under lagringstiden endast behandlas för dessa ändamål och ska därefter raderas enligt Tjänstens ordinarie gallringsrutiner.

Personuppgifter i säkerhetskopior kan kvarstå tills ordinarie backupcykel löpt ut, under förutsättning att uppgifterna är skyddade, inte återförs till aktiv behandling annat än vid nödvändig återställning och därefter åter omfattas av gallring.

16. Ansvar och företräde

Ansvar regleras av GDPR och Avtalet i den utsträckning lag medger. Vid konflikt mellan detta PUB-avtal och övriga avtalsvillkor i fråga om behandling av personuppgifter har detta PUB-avtal företräde.

17. Behandlingsinstruktion i sammanfattning

1. Säkerhetsprinciper

• Principen om minsta privilegium och behovsstyrd åtkomst.
• Separering av kunddata genom logisk multi-tenant-kontroll och behörighetsmodell.
• Krypterad transport för webb, API och andra stödda gränssnitt.
• Kryptering av lagrad data där det är lämpligt utifrån risk och datatyp.
• Loggning av relevanta administrativa och säkerhetsrelaterade händelser.
• Sårbarhets- och patchhantering för av Leverantören kontrollerade komponenter.
• Backup och återställningsförmåga för relevanta produktionsdata.
• Incidenthanteringsprocess och begränsning av åtkomst till produktionsmiljön.

2. Identitet och åtkomst

• Rollbaserad åtkomst (RBAC) för Kundens och Leverantörens behörigheter.
• Separata administrativa och kundinriktade behörighetsgränser där arkitekturen stödjer detta.
• Starka autentiseringsmekanismer för privilegierad åtkomst.
• Regelbunden översyn av privilegierade behörigheter.

3. Kryptering och nycklar

• TLS används för webbaserad kommunikation och API där protokollet stödjer detta.
• Lagringstjänster konfigureras med kryptering i vila där det är lämpligt.
• Nyckel- och hemlighetshantering sker i särskilt avsedd tjänst eller säkert system för hemligheter.
• RUF-originalrapporter lagras krypterade och lämnas ut endast som krypterad arkivfil enligt Bilaga 1 punkt 5.

4. Loggning och övervakning

• Applikations- och infrastrukturloggar används för drift, säkerhet, felsökning och spårbarhet.
• Larm och övervakning används för relevanta fel-, säkerhets- och kapacitetshändelser.
• Loggar skyddas mot obehörig åtkomst och har definierad lagringstid enligt Bilaga 1 punkt 7.

5. Sårbarhet och utvecklingssäkerhet

• Kodgranskning och automatiserade tester används i utvecklingsprocessen i lämplig omfattning.
• Beroenden och kända sårbarheter följs upp med automatiserade eller manuella verktyg.
• Utvecklings-, test- och produktionsmiljöer är separerade från varandra.
• Produktionsdata används inte i utvecklings- eller testmiljöer.
• Ändringar till produktion sker genom kontrollerad releaseprocess.
• Kritiska eller tidskänsliga säkerhetsuppdateringar får införas i produktion utan föregående avisering när Leverantören bedömer att detta skäligen krävs för att begränsa en sårbarhet, säkerhetsrisk eller pågående incident.

6. Backup, kontinuitet och återställning

Backup- och återställningsrutiner anpassas efter Tjänstens datatyper. Mål för återställningstid och dataförlust (RTO och RPO) är inte garanterade om de inte uttryckligen anges i Beställningen eller Bilaga 3.

7. RUF-specifika kontroller

• Kort lagringstid för originalrapporter jämfört med aggregerad rapportdata.
• Begränsad åtkomst till RUF-innehåll.
• Pseudonymisering med nycklad HMAC-SHA256 före lagring för ordinarie analys.
• Kryptering av lagrade originalrapporter.
• Möjlighet för Kunden att avstå från eller inaktivera RUF-funktionalitet.

8. Underbiträden

Ett bolag tas upp som underbiträde endast om det behandlar personuppgifter för Kundens räkning.

9. Process för nya underbiträden

1. Leverantören gör en dataskydds- och säkerhetsbedömning av det planerade underbiträdet innan behandling påbörjas.
2. Leverantören ingår de biträdes-, dataskydds- och andra avtal som krävs för att underbiträdet ska omfattas av relevanta dataskydds- och säkerhetskrav.
3. Kunden informeras minst trettio (30) dagar innan ett nytt eller ersättande underbiträde påbörjar behandling av personuppgifter för Kundens räkning. Informationen ska beskriva underbiträdets identitet, behandlingens art, vilka personuppgifter som kan behandlas, var behandlingen sker samt, i förekommande fall, tillämplig mekanism för tredjelandsöverföring.
4. Kunden får inom femton (15) dagar från mottagandet av informationen framställa en konkret och sakligt grundad invändning som avser dataskydd, informationssäkerhet eller tillämplig lagstiftning. Vad som utgör en sakligt grundad invändning framgår närmare av Bilaga 4 punkt 9.
5. Vid en sakligt grundad invändning ska Parterna skyndsamt försöka finna en rimlig lösning. Leverantören får exempelvis, om det är praktiskt och kommersiellt rimligt, avstå från att använda det berörda underbiträdet för Kundens behandling eller erbjuda en alternativ teknisk eller organisatorisk lösning.
6. Så länge en sakligt grundad invändning är föremål för hantering ska det nya eller ersättande underbiträdet inte påbörja den behandling av Kundens personuppgifter som omfattas av invändningen, om inte Parterna skriftligen kommer överens om annat.
7. Om Parterna inte kan finna en rimlig lösning och Leverantören inte skäligen kan tillhandahålla den berörda delen av Tjänsten utan det aktuella underbiträdet, har Kunden rätt att säga upp den del av Tjänsten som påverkas av förändringen. Om den berörda delen inte skäligen kan separeras från Tjänsten i övrigt har Kunden rätt att säga upp Avtalet i sin helhet.
8. Sådan uppsägning ska inte medföra någon extra uppsägningsavgift eller annan särskild kostnad för Kunden. Om Kunden har betalat abonnemangsavgift i förskott ska Leverantören återbetala den proportionella del av den förskottsbetalade avgiften som avser tiden efter uppsägningens ikraftträdande. Ingen ytterligare ersättning eller kompensation utgår enbart med anledning av sådan uppsägning.

10. Kontaktuppgifter

1. Tillåten användning

• Använd verktygen endast för domäner och e-post som du har rätt att testa.
• Försök inte överbelasta verktygen, kringgå deras begränsningar eller få obehörig åtkomst till dem.
• Skicka inte meddelanden med känsligt innehåll till e-postsäkerhetskontrollen.

2. Inga garantier

Verktygen tillhandahålls kostnadsfritt och i befintligt skick. Resultaten är beslutsunderlag och kan vara ofullständiga; en kontroll som inte kunde slutföras redovisas som ej fastställd. Leverantören kan ändra, begränsa eller stänga verktygen utan föregående meddelande.

3. Ansvar

I den utsträckning lagen tillåter ansvarar Leverantören inte för skada som uppstår genom användning av de kostnadsfria verktygen, utom vid uppsåt eller grov vårdslöshet.

4. Personuppgifter

Hur uppgifter i verktygen behandlas beskrivs i integritetspolicyn.