Senast uppdaterad: 10 juli 2025
1.1 Tillämpningsområde. Detta dokument fastställer de allmänna användarvillkoren (nedan kallade "Villkoren") för den onlineplattform som kallas "Tuduu" (nedan kallad "Plattformen"), utvecklad och tillhandahållen av Drilldown S.r.l., med säte på Viale Isonzo 8, 20135 Milano (MI), Italien, VAT/skattekod 12392590969 (nedan kallad "Drilldown"). Dessa Villkor gäller för alla Professionella Användare som registrerar sig på Plattformen och använder dess tjänster. Med Professionella Användare avses, exempelvis: näringsprofessionella (t.ex. nutritionister, dietister) som använder avsnitten "Recept" och "Nutrition"; innehållsskapare och content providers (som huvudsakligen använder avsnittet "Recept"); samt e-handelsaktörer (som använder avsnitten "Shop" och "Recept").
1.2 Godkännande. Användarens åtkomst till, registrering på och användning av Plattformen förutsätter att dessa Villkor samt eventuella dokument som hör till dem (såsom integritetspolicy och avtal om personuppgiftsbehandling, i förekommande fall) har lästs i sin helhet och uttryckligen godkänts. Utan godkännande är användning av Plattformen inte tillåten. Användaren förklarar att han eller hon har tagit del av Villkoren och åtar sig att följa dem vid varje tidpunkt.
1.3 Användarkrav. Plattformen är avsedd för myndiga Professionella Användare med rättslig handlingsförmåga. Genom att registrera sig garanterar Användaren att han eller hon är minst 18 år (eller har uppnått myndighetsåldern i sitt land) och, om han eller hon agerar för ett bolag eller en organisation, att nödvändiga representationsbefogenheter finns. Drilldown förbehåller sig rätten att begära ytterligare information eller dokumentation för att verifiera Användarens professionella status (till exempel registrering i ett yrkesregister för nutritionister, där sådan krävs enligt gällande lag).
2.1 Registreringsförfarande. Registrering på Plattformen kan ske (i) via det särskilda onlineformuläret på Plattformens webbplats, där Användaren lämnar de begärda uppgifterna, eller (ii) genom direkt inbjudan från Drilldown (till exempel inom ramen för samarbeten, pilotprogram eller partneravtal). I båda fallen skapas ett personligt konto för Användaren när registreringen är slutförd (nedan kallat "Konto").
2.2 Lämnade uppgifter och inloggningsuppgifter. Användaren åtar sig att vid registreringen lämna korrekta, fullständiga och sanningsenliga uppgifter (t.ex. förnamn, efternamn, e-postadress, professionella uppgifter m.m.) och att hålla dem uppdaterade. Inloggningsuppgifterna till Kontot (användarnamn och lösenord) är personliga och får inte överlåtas. Användaren är skyldig att förvara sina uppgifter med största sekretess och inte dela dem med tredje man. Vid förlust, stöld eller misstanke om obehörig användning av Kontot ska Användaren omedelbart informera Drilldown, som kan vidta nödvändiga åtgärder (t.ex. tillfällig spärr av Kontot).
2.3 Ett enda Konto. Varje Användare får endast skapa ett Konto, om inte Drilldown skriftligen godkänner annat av särskilda skäl (t.ex. separata konton för olika medarbetare inom samma organisation). Drilldown förbehåller sig rätten att radera eller slå samman dubbla konton som avser samma Användare.
2.4 Hantering och spärr av Kontot. Användaren ansvarar för all aktivitet som utförs via sitt Konto. Drilldown förbehåller sig rätten att när som helst och utan föregående meddelande vägra, tillfälligt spärra eller radera en registrering eller ett Konto om det bedöms att dessa Villkor överträds, Plattformen missbrukas eller av säkerhetsskäl. Vid radering av Kontot av Drilldown på grund av brott mot Villkoren har Användaren inte rätt till någon återbetalning av eventuella avgifter som betalats för oanvända tjänsteperioder, med förbehåll för annat som föreskrivs i tillämplig lag.
3.1 Avsnittet "Recept". Plattformen tillhandahåller ett avsnitt "Recept" där Användare kan skapa, ladda upp och hantera kulinariska recept. Detta avsnitt är tillgängligt för alla registrerade Professionella Användare, särskilt: (i) näringsprofessionella, som kan skapa recept att inkludera i kostplaner för sina kunder eller dela med andra användare; (ii) skapare och content providers, som kan publicera originella recept med texter, ingredienser, instruktioner och bilder och göra dem tillgängliga på Plattformen; (iii) e-handelsaktörer, som kan koppla produkterna i sin webbutik till recept som ingredienser och därigenom göra recepten till ett verktyg för marknadsföring och försäljning av livsmedelsprodukter. Avsnittet Recept möjliggör användning av närings- och kostpreferensfilter (t.ex. vegetariska, veganska, glutenfria recept m.m.) för att underlätta sökning efter rätter som passar särskilda behov. Uppladdade recept bearbetas av Plattformen med hjälp av algoritmer som analyserar ingredienserna och automatiskt beräknar näringsvärden (t.ex. kalorier, makronutrienter m.m.) per portion, samt kompatibilitet med vissa kostupplägg utifrån de angivna ingredienserna.
3.2 Avsnittet "Shop". Avsnittet "Shop" är avsett för Professionella Användare som är e-handels- och/eller detaljhandelsaktörer, särskilt inom livsmedels- eller näringsområdet. I detta avsnitt kan Användaren integrera sitt sortiment av livsmedelsprodukter eller ingredienser med Tuduu-plattformen. Särskilt kan e-handelsaktören koppla produkterna i sin webbutik till recepten på Tuduu: detta gör till exempel att en ingrediens som listas i ett recept motsvarar en produkt som kan köpas i aktörens shop. Plattformens slutanvändare (t.ex. besökare eller kund hos aktören) kan därmed lägga till dessa ingredienser/produkter direkt i varukorgen med ett klick och skapa en "köpbar recept"-upplevelse. Plattformen erbjuder dessutom automatiska SEO-funktioner (Search Engine Optimization) för recept som är integrerade med shoppen för att öka deras synlighet online. Även för de produkter som är kopplade till Shop kan Plattformen tillämpa algoritmer för näringsanalys och kategorisering: till exempel genom att identifiera näringsmässiga egenskaper eller förekomst/frånvaro av allergener och automatiskt generera filter (t.ex. "laktosfri", "ekologisk" m.m.) som hjälper användare att hitta produkter som passar deras kostbehov.
3.3 Avsnittet "Nutrition". Avsnittet "Nutrition" riktar sig främst till näringsprofessionella (nutritionister, dietister eller andra behöriga yrkesutövare). I detta område av Plattformen kan den professionella hantera information och näringsplaner för sina kunder/patienter. Funktionerna i Nutrition-avsnittet omfattar verktyg för att skapa och anpassa kostplaner, dieter eller näringsrapporter. Den professionella kan använda recept (egna eller sådana som finns på Plattformen) inom näringsplanerna, med möjlighet att ändra portioner och se näringspåverkan i realtid tack vare de integrerade näringsberäkningsalgoritmerna. Dessutom ger Nutrition-avsnittet möjlighet att generera PDF-dokument (t.ex. dietblad eller rapporter att lämna till kunden) och att använda en dedikerad mobilapp: denna mobilapplikation låter slutkunden se sin näringsplan, rekommenderade recept och annan information som den professionella delat, direkt i sin smartphone. Detta främjar kontinuerlig uppföljning och en mer direkt interaktion mellan den professionella och kunden via Plattformen.
3.4 Algoritmer för näringsanalys. I alla ovan beskrivna avsnitt använder Tuduu-plattformen avancerade algoritmer för näringsanalys av recept och produkter. Dessa algoritmer behandlar de uppgifter som Användarna lämnar (receptingredienser, näringsinformation för produkter, portioner m.m.) och producerar automatiskt utdata såsom: beräkning av näringsvärden (t.ex. energi, makro- och mikronutrienter), uppgifter om allergener eller specifika ämnen som förekommer, samt förslag om hur väl recept/produkter passar särskilda dieter (till exempel om ett recept lämpar sig för vegansk eller glutenfri kost). Algoritmerna syftar till att ge användbar och korrekt information; de arbetar dock utifrån tillgängliga data och allmänna regler, utan direkt mänsklig inblandning. Därför kan de genererade resultaten inte alltid vara helt exakta eller lämpliga i varje situation. Användaren ansvarar för att, särskilt som näringsprofessionell, granska och verifiera riktigheten i de näringsuppgifter och förslag som genereras algoritmiskt innan de används eller kommuniceras till dennes kunder. Hur Användare ska hantera eventuella fel eller inkonsekvenser beskrivs i följande avsnitt i dessa Villkor.
4.1 Korrekt och laglig användning. Användaren åtar sig att använda Plattformen och relaterade tjänster i enlighet med dessa Villkor, eventuella instruktioner från Drilldown samt tillämpliga lagar och regler. Användaren får inte använda Plattformen för olagliga eller otillåtna ändamål. Särskilt får Användaren inte: (i) använda Plattformen på ett sätt som kränker tredje mans rättigheter eller lagbestämmelser (t.ex. regler om immateriella rättigheter, skydd av personuppgifter, oskälig konkurrens m.m.); (ii) lägga in skadligt, stötande, förtalande, obscent eller på annat sätt olämpligt innehåll eller material; (iii) försöka få obehörig åtkomst till Plattformens funktioner, andras konton eller Drilldowns IT-system, eller äventyra Plattformens säkerhet eller integritet (t.ex. genom att introducera virus, skadlig kod eller annan störande aktivitet).
4.2 Verifiering av algoritmiska resultat. Som beskrivs i punkt 3.4 genererar Plattformen automatiskt näringsinformation och rekommendationer med hjälp av algoritmer. Användaren erkänner att sådan information är vägledande och alltid ska bedömas kritiskt. Det åligger Användaren, särskilt om denne är näringsprofessionell, att kontrollera korrektheten och konsekvensen i algoritmiska resultat (t.ex. beräknade näringsvärden för ett recept eller närings- eller kostetiketter som tilldelats en produkt) innan de används yrkesmässigt eller delas med kunder eller allmänheten. Om Användaren upptäcker fel, inkonsekvenser eller avvikelser i data som genererats av Plattformen, åtar sig Användaren att omgående rapportera detta till Drilldown via tillgängliga support- eller kontaktkanaler. Användaren är medveten om att bristande efterlevnad av denna verifieringsplikt kan leda till spridning av felaktig information, för vilken Användaren själv kommer att anses ansvarig.
4.3 Användarens innehåll – licenser och garantier. Allt innehåll som Användaren laddar upp, publicerar eller på annat sätt lägger in på Plattformen (inklusive, men inte begränsat till: texter, recept, ingredienser, foton, videor, varumärken, logotyper, produktbeskrivningar) ska vara lagligen tillgängligt för Användaren. Användaren garanterar att nödvändiga rättigheter (immateriella rättigheter och/eller nyttjanderätt) till sådant innehåll föreligger, eller att nödvändiga tillstånd har inhämtats från rättighetshavarna, så att användningen av innehållet på Plattformen och av Drilldown enligt dessa Villkor inte kränker tredje mans rättigheter. Genom att ladda upp innehåll på Plattformen ger Användaren dessutom Drilldown en icke-exklusiv, underlicensierbar och kostnadsfri rätt och licens att använda, reproducera, ändra, publicera, översätta, distribuera, visa och framföra sådant innehåll uteslutande i samband med tillhandahållandet av Plattformens tjänster och dess marknadsföringsaktiviteter. Denna licens upphör när Användaren tar bort innehållet från Kontot eller Plattformen, med förbehåll för fall där bevarande krävs enligt lag eller för att skydda rättigheter. Användaren garanterar vidare att de tillhandahållna innehållen är korrekta, sanna (t.ex. näringsinformation eller ingredienser i ett recept stämmer överens med verkligheten) och inte strider mot lag eller regler (t.ex. innehåller inte vilseledande eller otillåtna påståenden inom livsmedelsområdet). Användaren tar fullt ansvar för innehållet som läggs in på Plattformen och håller Drilldown skadeslöst från alla tredje mans anspråk som uppstår till följd av sådant innehåll (se även skadeslöshetsklausulen i punkt 9.4). Drilldown förbehåller sig rätten att ta bort eller dölja allt Användarinnehåll som enligt Drilldowns egen bedömning bryter mot dessa Villkor eller tredje mans rättigheter, eller annars är olämpligt.
4.4 Särskilda skyldigheter för e-handelsaktörer. Den Användare som använder Shop-avsnittet i egenskap av e-handelsaktör är ensam ansvarig för de produkter som görs tillgängliga och för de kommersiella transaktioner som eventuellt genomförs via Plattformen. Detta omfattar bland annat: produkternas överensstämmelse med gällande regler (t.ex. livsmedelssäkerhet, märkning, tillåtna närings- och hälsopåståenden); sanningsenlighet och fullständighet i produktbeskrivningarna (ingredienser, allergener, näringsegenskaper, pris m.m.); hantering av beställningar från slutanvändare, tillhörande frakt, leverans, fakturering samt efterförsäljningssupport, returer och återbetalningar enligt tillämplig lag (t.ex. konsumentskyddslagen, om tillämplig för slutkunden). Drilldown tillhandahåller uteslutande den tekniska infrastrukturen för Plattformen för att underlätta mötet mellan e-handelsaktören och slutkunderna: Drilldown är, med undantag för eventuellt ingripande av tredje partspartner, inte avtalspart i köp och försäljning av produkter mellan e-handelsanvändaren och slutkunderna, och tar inte på sig några garantiskyldigheter för produkter som säljs av sådana Användare. E-handelsaktören ska hålla Drilldown fullt skadeslöst från allt ansvar eller kostnader som uppstår till följd av reklamationer, tvister, skador eller överträdelser som rör de produkter som denne erbjuder eller de kommersiella transaktioner som genomförs via Plattformen.
4.5 Efterlevnad av yrkesregler. Om Användaren är en yrkesutövare som omfattas av etiska regler eller särskilda rättsliga krav (t.ex. en nutritionist registrerad i ett yrkesregister) är han eller hon skyldig att använda Plattformen på ett sätt som är förenligt med de skyldigheter som följer av den yrkesmässiga ställningen. Till exempel ska näringsprofessionella säkerställa att användningen av Plattformens verktyg (såsom framtagning av dieter eller näringsråd) sker i enlighet med de riktlinjer och regler som gäller för yrket. Ingenting i dessa Villkor befriar Användaren från att följa sådana yrkesmässiga skyldigheter.
5.1 Avgiftsbelagda tjänster och SaaS-planer. Åtkomst till vissa funktioner eller avsnitt på Plattformen (t.ex. avancerad användning av Recept-avsnittet för e-handel, eller avancerade verktyg i Nutrition-avsnittet) kan kräva tecknande av en avgiftsbelagd SaaS-plan (Software-as-a-Service). Drilldown kan erbjuda olika planer med olika servicenivåer (t.ex. planer med ett maximalt antal recept som kan hanteras, extra funktioner såsom "köpbara" recept, borttagning av Tuduu-vattenstämpel, prioriterad support m.m.), såsom beskrivs på Plattformen eller i Drilldowns kommersiella dokumentation. Vissa planer kan omfatta en inledande gratis provperiod, varefter abonnemanget blir avgiftsbelagt om det inte avbryts i tid av Användaren.
5.2 Avgifter och betalningsmetoder. Priserna för de olika abonnemangspaketen (nedan kallade "Avgifter") anges på Plattformen eller meddelas av Drilldown till Användaren vid tecknandet. Avgifterna anges normalt exklusive moms och eventuella andra tillämpliga skatter, vilka läggs till om de är tillämpliga enligt gällande skattelagstiftning. Betalning sker via externa elektroniska betalningssystem, såsom exempelvis Stripe. Vid tecknandet kan Användaren ombes att ange uppgifter om kreditkort eller annan stödd betalningsmetod, och Användaren auktoriserar Drilldown (eller tredjepartsleverantören Stripe) att automatiskt debitera den förfallna avgiften med den periodicitet som anges i den valda planen (t.ex. månadsvis eller årsvis). Alla transaktioner omfattas av betalningsleverantören Stripes villkor; Drilldown lagrar inte Användarens fullständiga kreditkortsuppgifter, vilka hanteras säkert av Stripe.
5.3 Prisändringar. Drilldown förbehåller sig rätten att när som helst ändra priset på abonnemangsplanerna. Eventuella prisändringar träder i kraft tidigast från nästa faktureringsperiod efter att Användaren har informerats. Drilldown kommer att informera Användaren på lämpligt sätt (t.ex. via e-post eller genom meddelande på Plattformen) om prisändringar i god tid. Om Användaren inte accepterar det nya priset får Användaren säga upp abonnemanget innan ändringen träder i kraft; fortsatt användning av tjänsten efter att ändringen trätt i kraft utgör acceptans av det nya priset.
5.4 Abonnemangets löptid och uppsägning. Om inget annat anges förnyas abonnemang automatiskt: vid utgången av varje period (månad, år m.m.) förnyas abonnemanget automatiskt för en ytterligare period av samma längd, om inte Användaren säger upp eller Drilldown avslutar enligt nedan. Användaren kan när som helst säga upp abonnemanget via den särskilda funktionen på Plattformen (t.ex. i Konto-inställningarna) eller genom att kontakta Drilldowns support och begära uppsägning. Uppsägningen träder i kraft vid utgången av den redan betalda abonnemangsperioden: fram till dess behåller Användaren åtkomst till de betalda funktionerna, och ingen återbetalning sker för eventuella perioder som inte utnyttjats. Vid utebliven betalning av Avgiften (t.ex. ogiltigt kreditkort eller otillräckliga medel) eller vid brott mot dessa Villkor från Användarens sida kan Drilldown spärra eller säga upp abonnemanget; i så fall förblir Användaren skyldig att betala upplupna belopp fram till uppsägningsdatumet, utan att Drilldowns rätt till ersättning för ytterligare skada påverkas om uppsägningen skett på grund av Användarens avtalsbrott.
Om Drilldown och Användaren har ingått ett särskilt skriftligt avtal som föreskriver särskilda villkor för användningen av Plattformen (t.ex. ett anpassat tjänsteavtal, ett företags- eller partneravtal), eller publicering av innehåll (recept och produkter) på externa kanaler såsom marknadsplatsen Tuduu.it eller andra delade kanaler, ska bestämmelserna i det särskilda avtalet gälla utöver dessa Villkor. Vid konflikt mellan klausulerna i det anpassade avtalet och vad som anges i dessa allmänna Villkor ska klausulerna i det anpassade avtalet ha företräde, dock endast för de punkter där konflikt föreligger. För allt som inte uttryckligen regleras i det särskilda avtalet gäller dessa Allmänna Villkor.
7.1 Plattformen och Drilldowns innehåll. Plattformen (inklusive programvara, källkod, design, användargränssnitt, databaser, varumärkena "Tuduu" och "Drilldown", logotyper, domännamn samt allt annat innehåll och material på webbplatsen och i appen med undantag för Användarens Innehåll enligt definitionen ovan) är Drilldowns eller dess eventuella licensgivares exklusiva egendom. Sådana delar skyddas av lagar om upphovsrätt, varumärken, patent, industriell design och/eller annan lagstiftning som skyddar immateriella rättigheter. Användaren åtar sig att inte kopiera, ändra, distribuera, sälja eller skapa bearbetningar av någon del av Plattformen eller dess skyddade innehåll, annat än vad som uttryckligen tillåts av Drilldown eller enligt lag. Åtkomst till Plattformen innebär inte på något sätt att immateriella rättigheter till programvara eller andra delar som tillhör Drilldown övergår till Användaren, utan endast att en begränsad, återkallelig och icke-exklusiv nyttjanderätt beviljas för att använda Plattformen i enlighet med dessa Villkor.
7.2 Användarens innehåll. Användaren behåller full äganderätt till rättigheterna till sitt eget innehåll som laddas upp på Plattformen (såsom definierat i punkt 4.3). I enlighet med punkt 4.3 ger dock Användaren Drilldown en nyttjanderätt till nämnda innehåll för de ändamål och med de begränsningar som där beskrivs. Användaren är medveten om att sådant innehåll som publiceras på Plattformen kan vara synligt för andra användare eller, när det gäller recept eller information som gjorts offentlig, även för oregistrerade besökare, och auktoriserar Drilldown att utföra eventuella publicerings-, delnings- eller indexeringsåtgärder som krävs för att ge sådant innehåll synlighet inom ramen för Plattformens funktioner.
7.3 Feedback och förslag. Om Användaren lämnar kommentarer, förslag eller idéer till Drilldown om Plattformen eller tjänsterna (t.ex. förslag på nya funktioner eller förbättringar) ska sådana bidrag inte anses konfidentiella. Drilldown är fritt att använda sådan feedback för vilket ändamål som helst, utan att detta ger Användaren rätt till någon ersättning eller erkännande, och utan att någon rätt till eventuella implementerade ändringar eller förbättringar övergår till Användaren.
8.1 Behandling av personuppgifter. Drilldown behandlar de personuppgifter som Användaren lämnar eller som annars samlas in vid användning av Plattformen i enlighet med EU-förordning 2016/679 ("GDPR") och tillämplig italiensk integritetslagstiftning. Information om hur och för vilka ändamål personuppgifterna behandlas finns i integritetspolicyn som tillhandahålls Användaren och finns på Plattformens webbplats. Genom att godkänna dessa Villkor förklarar Användaren att han eller hon har tagit del av denna policy.
8.2 Tredje mans uppgifter som matas in av Användaren. Om Användaren (t.ex. en näringsprofessionell) matar in tredje mans personuppgifter på Plattformen, såsom uppgifter om sina kunder eller patienter (t.ex. namn, kontaktuppgifter, uppgifter om hälsa eller kosthållning), garanterar han eller hon att uppgifterna har inhämtats lagligen och, när så krävs, att ett informerat samtycke från de registrerade har erhållits för användning av uppgifterna inom Plattformen. I fråga om sådan behandling är Användaren personuppgiftsansvarig och Drilldown agerar som personuppgiftsbiträde enligt artikel 28 GDPR, begränsat till lagring och behandling som krävs för att tillhandahålla Plattformens tjänster. I detta sammanhang kan ett särskilt avtal om personuppgiftsbehandling (Data Processing Agreement) upprättas för att i detalj reglera respektive skyldigheter avseende skydd av personuppgifter; sådant avtal, i förekommande fall, anses utgöra en integrerad del av dessa Villkor.
8.3 Användningsdata och aggregerade data. Drilldown är behörig att samla in och behandla uppgifter om Användarnas användning av Plattformen (t.ex. använda funktioner, antal skapade recept, sökparametrar, navigeringsstatistik, lämnad feedback m.m.) i syfte att förbättra tjänsten och säkerställa att Plattformen fungerar korrekt. Dessa användningsdata kan efter insamling anonymiseras och aggregeras så att direkt eller indirekt identifiering av Användare eller fysiska personer inte längre är möjlig. Användaren är medveten om och accepterar uttryckligen att Drilldown, i enlighet med gällande lag, får använda dessa anonyma och aggregerade data för statistisk analys, forskning och utveckling samt även för kommersiella ändamål och monetisering. Detta kan till exempel omfatta publicering av rapporter eller insikter om näringstrender som hämtats från användarnas samlade data, eller delning av statistiska uppgifter med intresserade tredje parter (t.ex. kommersiella partner) i strikt anonym form. Under inga omständigheter får sådana åtgärder innebära att personuppgifter som identifierar Användaren lämnas ut till tredje man utan dennes samtycke eller utan annan giltig laglig grund.
9.1 Plattformens funktioner - "i befintligt skick". Tuduu-plattformen och alla dess tjänster och funktioner tillhandahålls Användaren i form av "i befintligt skick" och "i mån av tillgänglighet" ("as is" och "as available"). Detta innebär att, även om Drilldown strävar efter att hålla Plattformen fungerande och uppdaterad, lämnas ingen särskild garanti för att fel eller avbrott inte förekommer. Särskilt garanterar inte Drilldown att: (i) Plattformen fullt ut uppfyller Användarens specifika behov; (ii) resultat som erhålls genom användning av Plattformen (inklusive algoritmiska näringsanalyser) alltid är exakta, korrekta eller tillförlitliga; (iii) Plattformens funktion är fri från avbrott, dröjsmål, störningar eller fel; (iv) eventuella mjukvarufel eller buggar korrigeras omedelbart. Användaren accepterar att användningen av Plattformen sker på egen risk.
9.2 Begränsning av Drilldowns ansvar. I den utsträckning som tillämplig lag medger ska Drilldown inte vara ansvarigt för indirekta, tillfälliga, följd-, särskilda eller straffbara skador som Användaren eller tredje man lider i samband med användning av Plattformen eller oförmågan att använda den. Ersättning utesluter under alla omständigheter, inom ovan nämnda gränser, skador såsom: utebliven vinst, förlorad inkomst eller besparing, förlorade affärsmöjligheter, dataförlust, driftavbrott eller tredje mans anspråk mot Användaren. Om Drilldown av någon anledning skulle anses ansvarigt inom ramen för avtalsförhållandet med Användaren, får Drilldowns sammanlagda ansvar inte överstiga det belopp som Användaren har betalat till Drilldown under de 12 månader som föregår den händelse som gav upphov till ansvaret (eller, om användningen av Plattformen är kostnadsfri, ett belopp motsvarande 100 euro som tak). Denna ansvarsbegränsning gäller i den utsträckning som lagen medger, och ingenting i dessa Villkor avser att begränsa Drilldowns ansvar för uppsåt eller grov vårdslöshet, eller andra fall där begränsning inte är tillåten enligt lag.
9.3 Ingen medicinsk eller diagnostisk rådgivning. Användaren erkänner att Plattformen och de tillhandahållna funktionerna inte utgör medicinteknisk utrustning och på inget sätt innebär erbjudande om medicinsk rådgivning, diagnos eller individanpassad vårdbehandling. Näringsinformationen, uppgifterna och rekommendationerna som genereras via Tuduu har enbart informations- och yrkesstödjande syfte och ersätter under inga omständigheter medicinsk bedömning eller utlåtande från behörig vårdpersonal. Alla beslut om en persons hälsa, kost eller behandling ska fattas av en kompetent yrkesutövare utifrån en direkt bedömning av det specifika fallet. Om Användaren är en näringsprofessionell förblir denne fullt ansvarig för de råd som ges till dennes kunder/patienter: användningen av Plattformen befriar inte Användaren från den personliga bedömningsplikten och från att följa bästa yrkespraxis. Om Användaren inte är vårdpersonal ska han eller hon alltid konsultera läkare eller kvalificerade specialister för diagnos eller behandlingsråd. Drilldown garanterar inte något hälsomässigt eller fysiskt resultat till följd av användningen av Plattformen, och tar inte ansvar för konsekvenser som uppstår av att enbart förlita sig på information som erhålls via Plattformen.
9.4 Användarens skadeslöshetsförpliktelse. Användaren åtar sig att hålla Drilldown, samt dess företrädare, anställda och samarbetspartners, skadeslösa från och ersätta förlust, skada, ansvar, kostnader eller utgifter (inklusive rimliga juridiska kostnader) som uppstår till följd av anspråk från tredje man orsakade av eller kopplade till: (i) innehåll som Användaren tillhandahåller på Plattformen och som kränker tredje mans rättigheter eller lag; (ii) Användarens brott mot dessa Villkor eller mot lagstadgade skyldigheter vid användning av Plattformen; (iii) Användarens vårdslöshet, oaktsamhet eller uppsåt vid användning av Plattformen; (iv) produkter som säljs eller marknadsförs av Användaren via Plattformen (i fallet med e-handelsaktör), inklusive eventuella tvister om sådana produkters kvalitet, överensstämmelse eller säkerhet. Drilldown ska utan dröjsmål meddela Användaren om sådana anspråk uppkommer och ska i rimlig omfattning samarbeta i försvaret, med förbehåll för att Drilldown självständigt får besluta om sitt juridiska försvar.
10.1 Avtalets löptid. Detta avtalsförhållande mellan Användaren och Drilldown träder i kraft när Användaren godkänner Villkoren (registrering och/eller första användning av Plattformen) och gäller under hela den tid Användaren använder Plattformen. Användarens konto och eventuella abonnemang löper på obestämd tid med automatiska periodiska förnyelser enligt ovan, om de inte avslutas enligt nedan.
10.2 Användarens uppsägning. Användaren kan när som helst säga upp detta avtalsförhållande genom att begära radering av sitt Konto och sluta använda Plattformen. Radering av Kontot kan göras via den särskilda funktionen på Plattformen (om sådan finns) eller genom skriftlig kontakt med Drilldown. Vid frivillig uppsägning har Användaren inte rätt till återbetalning av redan betalda avgifter för tjänster som inte fullt ut har tillgodogjorts, med förbehåll för vad som anges i föregående punkt 5.4 för pågående abonnemang. Stängning av Kontot medför att framtida åtkomst till de uppgifter och det innehåll som Användaren lagt in på Plattformen inte längre är möjlig, med förbehåll för skyldigheter att bevara data för att uppfylla lagkrav eller skydda rättigheter enligt vad som anges i integritetspolicyn.
10.3 Spärr eller uppsägning från Drilldowns sida. Drilldown förbehåller sig rätten att tillfälligt spärra Användarens åtkomst till Plattformen eller säga upp detta avtal med omedelbar verkan (genom att inaktivera Kontot) i följande fall: (i) när detta är nödvändigt för att säkerställa Plattformens eller dataens säkerhet (t.ex. vid säkerhetsintrång eller hot mot cybersäkerheten); (ii) vid allvarligt eller upprepat brott från Användarens sida mot dessa Villkor (t.ex. olaglig användning av Plattformen, underlåten betalning av förfallna avgifter, obehörig spridning av konfidentiella uppgifter m.m.); (iii) om det krävs enligt myndighetsbeslut eller lag; (iv) om Drilldowns verksamhet som rör Plattformen upphör eller om det blir omöjligt att tillhandahålla tjänsterna. Om inte detta är förbjudet enligt lag eller beslut (t.ex. order om omedelbar blockering från myndighet) ska Drilldown lämna skriftligt meddelande till Användaren om spärr eller uppsägning med angivna skäl och, när så är möjligt, med rimlig förvarning. Vid uppsägning som inte beror på Användaren (t.ex. punkt (iv) ovan) ska Drilldown, i förekommande fall, återbetala den del av redan betald avgift som avser den outnyttjade abonnemangsperioden efter uppsägningens ikraftträdandedatum.
10.4 Verkan av upphörande. När avtalsförhållandet upphör, oavsett orsak, ska Användaren omedelbart sluta använda Plattformen. Alla klausuler i dessa Villkor som till sin natur ska fortsätta gälla efter upphörandet (såsom, exempelvis: upplupna betalningsskyldigheter, friskrivningar, ansvarsbegränsningar, skadeslöshetsåtaganden, bestämmelser om immateriella rättigheter och personuppgiftsbehandling) fortsätter att gälla fullt ut. Att Villkoren upphör att gälla påverkar inte eventuella rättigheter eller rättsmedel som har uppkommit för parterna fram till dess.
Drilldown förbehåller sig rätten att när som helst uppdatera eller ändra dessa Villkor, till exempel för att anpassa dem till lagändringar, införande av nya funktioner eller tjänster, eller av andra organisatoriska skäl. Vid väsentliga ändringar av Villkoren ska Drilldown meddela Användaren i god tid genom att publicera ett meddelande på Plattformens webbplats och/eller skicka ett meddelande till Användarens registrerade e-postadress. Ändringarna träder i kraft från det datum som anges i meddelandet (eller, om inget datum anges, 15 dagar efter meddelandet). Om Användaren inte accepterar ändringarna kan Användaren säga upp avtalet före ändringarnas ikraftträdande genom att radera sitt Konto. Om uppsägning inte sker inom denna tid anses de nya Villkoren accepterade och blir tillämpliga på Användaren från angivet ikraftträdandedatum.
Dessa Villkor och alla avtalsförhållanden som följer av dem regleras av italiensk lag. Varje tvist som uppstår mellan Drilldown och Användaren i samband med tolkning, giltighet, fullgörande eller upphörande av dessa Villkor, eller som på annat sätt rör användningen av Plattformen, ska avgöras exklusivt av domstolen i Milano, med förbehåll för tvingande forum som följer av tillämplig lag.
13.1 Avtalets fullständighet. Dessa Villkor (tillsammans med hänvisade eller bifogade dokument, såsom integritetspolicyn och, i förekommande fall, avtalet om personuppgiftsbehandling) utgör hela avtalet mellan Användaren och Drilldown avseende Användarens användning av Plattformen och ersätter varje tidigare muntlig eller skriftlig överenskommelse mellan parterna om samma ämne. Möjligheten att ingå särskilda avtal enligt artikel 6 ovan kvarstår.
13.2 Delvis ogiltighet. Om någon bestämmelse i dessa Villkor skulle bedömas som ogiltig, rättsstridig eller verkningslös av behörig myndighet (t.ex. en domstol), ska den tillämpas i den utsträckning som lagen medger och detta påverkar inte giltigheten eller verkan av övriga bestämmelser, som fortsätter att gälla fullt ut och vara bindande.
13.3 Ingen avstående. Eventuell underlåtenhet eller försening i att utöva en rättighet eller befogenhet som Drilldown har enligt dessa Villkor utgör inte på något sätt avstående från att göra gällande sådan rättighet eller befogenhet, som även kan göras gällande vid ett senare tillfälle, inom de gränser som lagen medger.
13.4 Överlåtelse av avtal. Användaren får inte överlåta eller överföra detta avtal till tredje man (dvs. sitt Konto och de rättigheter/skyldigheter som följer av Villkoren) utan Drilldowns föregående skriftliga samtycke. Drilldown får, efter meddelande till Användaren, överlåta detta avtal inom ramen för företagsöverlåtelser, extraordinära bolagshändelser eller till moder-, dotter- eller närstående bolag, under förutsättning att detta inte påverkar Användarens rättigheter enligt dessa Villkor.
13.5 Språk och versioner. Dessa allmänna användarvillkor är upprättade på italienska. Eventuella översättningar till andra språk eller lokala versioner tillhandahålls enbart för bekvämlighetens skull; vid avvikelser eller tolkningsfrågor har den italienska texten företräde framför övriga.
13.6 Kontakt. För all kommunikation rörande dessa Villkor eller användningen av Plattformen kan Användaren kontakta Drilldown via de kontaktuppgifter som anges på webbplatsen (t.ex. den angivna support-e-postadressen). Drilldown kan kontakta Användaren via de kontaktuppgifter (e-post, adress) som lämnats vid registreringen.
Parter: Detta avtal om personuppgiftsbehandling ingås mellan:
Personuppgiftsansvarig (nedan kallad "Ansvarig"): den professionella (fysisk eller juridisk person) som använder nutrition-modulen och bestämmer ändamålen och medlen för behandlingen av patienternas personuppgifter;
Personuppgiftsbiträde (nedan kallat "Biträde"): det företag som tillhandahåller nutrition-modulen (t.ex. mjukvaruplattform/CRM) och som behandlar personuppgifter för den Ansvariges räkning.
1.1 Föremål
I enlighet med artikel 28 i Europaparlamentets och rådets förordning (EU) 2016/679 (GDPR) reglerar detta avtal den behandling av personuppgifter som Biträdet utför för den Ansvariges räkning inom ramen för nutrition-modulen i den tjänst som tillhandahålls den Ansvarige. Särskilt kommer Biträdet att behandla de uppgifter som den Ansvarige lägger in i CRM:et (förnamn, efternamn, kontaktuppgifter, patienternas näringsuppgifter m.m.) uteslutande för att tillhandahålla funktionerna i nutrition-modulen och i enlighet med den Ansvariges instruktioner (se avsnitt 6). Behandlingen av personuppgifter kommer att ske enligt de åtgärder som tillåts enligt artikel 4.2 i GDPR, såsom insamling, registrering, organisering, lagring, konsultation, användning, ändring, radering m.m., som krävs för att tillhandahålla tjänsten.
1.2 Löptid
Detta avtals löptid sammanfaller med det avtalsförhållande som gäller mellan den Ansvarige och Biträdet avseende användningen av nutrition-modulen. Avtalet förblir giltigt så länge Biträdet behandlar personuppgifter för den Ansvariges räkning. Vid upphörande av huvudtjänsten (t.ex. kontoradering eller avtalets upphörande) ska bestämmelserna om återlämnande/radering av uppgifter i avsnitt 10 tillämpas. Den Ansvarige har rätt att med omedelbar verkan säga upp detta avtal vid allvarligt brott från Biträdets sida mot dataskyddsreglerna eller de skyldigheter som anges här. Rätten för endera parten att kräva ersättning för eventuell skada som uppstår till följd av avtalsbrott påverkas inte.
Biträdet tillhandahåller den Ansvarige en mjukvaruplattform (nutrition-modul) som Software as a Service för hantering av patienternas näringsverksamhet. Syftet med behandlingen är att göra det möjligt för den Ansvarige att lagra och bearbeta uppgifter om sina patienter i syfte att erbjuda individanpassad näringsrådgivning, utarbeta kostplaner, följa viktutveckling och andra hälsorelaterade parametrar samt hantera kommunikation med patienter och relaterade bokningar. Dessa funktioner ligger inom ramen för de medicinska/näringsmässiga rutiner som hanteras av mjukvaran, i likhet med digitala hälsotjänster för hantering av patientjournaler och vårdplaner.
I praktiken omfattar behandlingens karaktär alla åtgärder som krävs för att tillhandahålla nutrition-modulen, inklusive insamling, organisering, konsultation, ändring, sparande, uttag, kommunikation till den Ansvarige själv, radering eller förstöring av uppgifter som matats in i systemet, enligt den Ansvariges instruktioner. Biträdet kommer inte att använda uppgifterna för egna ändamål utöver de avtalade, och inte heller lämna ut dem till tredje man annat än på den Ansvariges instruktion eller enligt lagkrav (såsom närmare beskrivs nedan).
Inom ramen för nutrition-modulen kommer Biträdet att behandla följande typer av personuppgifter för den Ansvariges räkning, hänförliga till den Ansvariges patienter:
Identitets- och kontaktuppgifter: förnamn, efternamn, e-postadress, födelsedatum och födelseort, telefonnummer och eventuella adresser (t.ex. för att kontakta patienten).
Närings- och hälsouppgifter: information om patientens hälsotillstånd och matvanor, till exempel näringspreferenser eller -restriktioner (särskilda dieter, födoämnesallergier, vegetariska/veganska val m.m.), uppgifter om viktuppföljning och antropometriska eller liknande hälsoparametrar samt eventuella anteckningar om livsstil av betydelse för näringsfrågor. Sådan information utgör personuppgifter avseende hälsa enligt artikel 4.15 GDPR och/eller kan indirekt avslöja religiösa eller filosofiska övertygelser (t.ex. kostval), vilket innebär särskilda kategorier av uppgifter enligt artikel 9 GDPR. Följaktligen åtar sig både den Ansvarige och Biträdet att vidta nödvändiga skyddsåtgärder och säkerhetsåtgärder enligt lag för att skydda dessa känsliga uppgifter.
De kategorier av registrerade vars uppgifter behandlas enligt detta avtal är: den Ansvariges patienter (kunder), dvs. fysiska personer som får näringsrådgivning eller andra tjänster av den Ansvarige och vars personuppgifter läggs in i nutrition-modulen.
Den Ansvarige åtar sig att:
Laglighet och transparens: Säkerställa att patienternas personuppgifter som överlämnas till Biträdet samlas in och behandlas lagligen (t.ex. genom att vid behov inhämta patientens informerade samtycke eller annan giltig rättslig grund enligt artikel 6 GDPR) och att de registrerade har informerats korrekt om ändamålen och metoderna för behandlingen, i enlighet med artiklarna 13 och 14 GDPR. Den Ansvarige förblir ansvarig gentemot de registrerade för att lagstadgade skyldigheter följs i relation till dessa uppgifter.
Dokumenterade instruktioner: Lämna dokumenterade, tydliga och uppdaterade instruktioner till Biträdet om behandlingen av uppgifterna (t.ex. genom detta avtal och eventuella policyer eller operativa anvisningar). Ytterligare instruktioner eller ändringar av de ursprungliga instruktionerna ska lämnas skriftligen (även via e-post med certifierad adress eller elektroniskt ärendehanteringssystem) och bevaras som referens. Biträdet behandlar endast uppgifter enligt mottagna instruktioner. Om en instruktion från den Ansvarige enligt Biträdets bedömning strider mot dataskyddslagstiftningen, ska Biträdet omedelbart informera den Ansvarige (se även avsnitt 6).
Tillsyn och revision: Kontrollera, före starten och därefter regelbundet, att Biträdet ger tillräckliga garantier när det gäller lämpliga tekniska och organisatoriska åtgärder för att skydda de överlämnade uppgifterna och att Biträdet följer bestämmelserna i detta avtal. Den Ansvarige har rätt att genomföra eller låta genomföra regelbundna revisioner (t.ex. årliga) och inspektioner, efter rimlig förvarning, av Biträdets aktiviteter rörande de överlämnade uppgifterna för att kontrollera efterlevnaden av dataskyddsreglerna och de överenskomna instruktionerna. Biträdet åtar sig att samarbeta genom att lämna information eller rimlig åtkomst till infrastrukturen inom överenskomna gränser (se avsnitt 6 och 8 för detaljer om revisioner och underleverantörer).
Rapportering av avvikelser: Omgående informera Biträdet om den Ansvarige upptäcker fel, inkonsekvenser eller överträdelser i Biträdets behandling som kan leda till att detta avtal eller gällande integritetsregler inte följs. Parterna ska samarbeta för att omedelbart rätta till eventuella oegentligheter.
Sekretess för information: Behandla all information om säkerhetsåtgärder, system och affärshemligheter hos Biträdet som den Ansvarige får kännedom om inom ramen för avtalsförhållandet som strikt konfidentiell. Denna sekretessförpliktelse gäller även efter att detta avtal upphört.
Hantering av registrerades begäranden: Den Ansvarige ansvarar för att svara på begäranden om utövande av rättigheter från sina patienter (åtkomst, rättelse, radering, invändning, portabilitet etc. – kapitel III GDPR). Om Biträdet direkt tar emot meddelanden eller begäranden från en registrerad som rör uppgifter som omfattas av detta avtal, ska Biträdet omedelbart vidarebefordra dem till den Ansvarige utan att själv agera på dem, om inte särskilt tillstånd finns. Den Ansvarige ska ge Biträdet nödvändiga instruktioner för att tillmötesgå sådana begäranden, med beaktande av att Biträdet ska bistå den Ansvarige i den utsträckning som krävs enligt lag (se avsnitt 6).
Biträdet åtar sig att fullgöra alla skyldigheter enligt artikel 28 GDPR. Särskilt, utan att de ytterligare detaljerade skyldigheterna på andra ställen i detta avtal påverkas, ska Biträdet:
Behandla endast på instruktion: behandla personuppgifter uteslutande enligt den Ansvariges dokumenterade instruktion. Detta gäller även eventuella överföringar av uppgifter till tredje land eller internationella organisationer: sådana åtgärder är inte tillåtna för Biträdet utan föregående instruktion/godkännande från den Ansvarige (se även avsnitt 9), såvida inte unionsrätt eller medlemsstatsrätt ålägger Biträdet en viss behandling; i så fall ska Biträdet informera den Ansvarige om denna rättsliga skyldighet innan behandlingen sker, om inte lagen förbjuder sådan kommunikation av viktiga allmänintressen.
Personalens konfidentialitet: säkerställa att de personer som ges tillstånd att behandla personuppgifter (egna anställda eller eventuella medarbetare) har fått lämpliga instruktioner om att följa dataskyddsreglerna och har förbundit sig avtalsmässigt till sekretess (eller omfattas av en lämplig rättslig sekretessplikt). Biträdet ska se till att alla som agerar under dess myndighet och har tillgång till den Ansvariges personuppgifter inte behandlar dem annat än på den Ansvariges instruktion. Denna sekretessförpliktelse gäller även efter att detta avtal upphört.
Datasäkerhet: anta och upprätthålla lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR för att säkerställa en säkerhetsnivå som är lämplig för den risk som den anförtrodda behandlingen innebär. Dessa åtgärder omfattar bland annat pseudonymisering och kryptering av personuppgifter (när så är lämpligt), system för åtkomstkontroll och autentisering, förmåga att säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft i behandlingssystem och tjänster, samt förmåga att snabbt återställa åtkomst till uppgifter vid fysiska eller tekniska incidenter. Biträdet ska anta rutiner för att regelbundet testa, verifiera och utvärdera effektiviteten i de tekniska och organisatoriska åtgärder som införts (se även avsnitt 7 nedan för mer information om säkerhetsåtgärder).
Användningsbegränsningar: inte använda de personuppgifter som tillhandahållits av den Ansvarige för egna ändamål och inte göra kopior eller dubbletter av uppgifterna om det inte är nödvändigt för att tillhandahålla tjänsten och under alla omständigheter först efter den Ansvariges samtycke/instruktion. Biträdet garanterar att de uppgifter som behandlas för den Ansvarige hålls logiskt eller fysiskt åtskilda från andra kunders uppgifter eller från egna databaser, för att undvika sammanblandning.
Underbiträden: inte anlita underbiträden (sub-processors) för att utföra specifika behandlingsaktiviteter för den Ansvariges räkning utan föregående (skriftligt) tillstånd från den Ansvarigehttps://www.privacy-regulation.eu/it/28.htm. Om tillstånd ges att använda underbiträden (se avsnitt 8 för detaljer) ska Biträdet ålägga dessa samma skyldigheter i fråga om skydd av personuppgifter som anges i detta avtal och förblir fullt ansvarigt gentemot den Ansvarige för att underbiträdet fullgör sina skyldigheter.
Stöd till den Ansvarige: med hänsyn till behandlingens natur och den information som finns tillgänglig, bistå den Ansvarige i fullgörandet av dennes skyldigheter avseende dataskydd. Särskilt ska Biträdet ge lämpligt stöd till den Ansvarige så att denne kan uppfylla registrerades begäranden om utövande av rättigheter (rätt till tillgång, rättelse, radering, invändning, portabilitet m.m.), till exempel genom att tillhandahålla mjukvarufunktioner som gör det möjligt för den Ansvarige att exportera, rätta eller radera patientuppgifter på begäran. Vidare ska Biträdet bistå den Ansvarige med att säkerställa efterlevnad av säkerhetskraven och, i förekommande fall, anmälan av personuppgiftsincidenter till tillsynsmyndigheter eller registrerade enligt artiklarna 32–34 GDPR (t.ex. genom att omgående tillhandahålla den Ansvarige information om ett dataintrång så att denne kan göra anmälan inom 72 timmar, se även följande punkt). På samma sätt ska Biträdet samarbeta med den Ansvarige om en konsekvensbedömning avseende dataskydd (DPIA) eller förhandskontakter med tillsynsmyndigheten enligt artiklarna 35–36 GDPR behövs, genom att lämna relevant information.
Anmälan av överträdelser: omedelbart informera den Ansvarige vid säkerhetsöverträdelser eller incidenter (t.ex. obehörig åtkomst, förlust, förstörelse eller oavsiktlig utlämning av personuppgifter) som rör uppgifter som behandlas för den Ansvariges räkning. Detta meddelande ska omfatta all information som Biträdet känner till och som är användbar för den Ansvarige för att bedöma händelsens allvar och uppfylla eventuella anmälningsskyldigheter gentemot dataskyddsmyndigheten och/eller skyldigheten att informera de registrerade enligt artiklarna 33 och 34 GDPR. Biträdet åtar sig att stödja den Ansvarige i analysen och hanteringen av incidenten samt i utarbetandet av tillhörande anmälningar eller meddelanden, enligt den Ansvariges instruktioner.
Bevis på efterlevnad och revision: göra all information som behövs för att visa efterlevnad av skyldigheterna i detta avtal tillgänglig för den Ansvarige. På den Ansvariges begäran ska Biträdet tillhandahålla dokumentation som visar implementerade säkerhetsåtgärder (t.ex. certifieringar, interna/externa revisionsrapporter, intyg om överensstämmelse) och underlätta inspektioner eller kontroller av den Ansvarige eller av en person som denne anlitar. Former för revision (tidpunkt, omfattning, säkerhetsåtgärder för att skydda andra kunders data m.m.) ska överenskommas mellan parterna med respekt för bådas behov.
Rapportering av motstridiga instruktioner: om Biträdet anser att en instruktion från den Ansvarige strider mot GDPR eller annan lagstiftning om dataskydd, ska Biträdet omgående informera den Ansvarige innan instruktionen verkställs och kan pausa tillämpningen tills den bekräftas eller ändras av den Ansvarige (såsom tillåts enligt artikel 28.3 GDPR).
Biträdet förklarar att det har antagit tekniska och organisatoriska åtgärder som är lämpliga för att säkerställa en säkerhetsnivå som motsvarar risken i de behandlingar som utförs, i enlighet med artikel 32 GDPR. Valet av dessa åtgärder har gjorts med hänsyn till teknikens utvecklingsnivå, genomförandekostnader, behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter. Särskilt tillämpar Biträdet åtgärder såsom:
Åtkomstkontroll: åtkomst till personuppgifter ges endast till behörig personal för strikt nödvändiga ändamål; säkra autentiseringssystem används för användare och administratörer (t.ex. starka lösenord, tvåfaktorsautentisering).
Kryptering och pseudonymisering: krypteringsprotokoll används för att skydda personuppgifter under överföring (t.ex. HTTPS/TLS) och, där så är möjligt, krypteras data i vila på servrar eller i säkerhetskopior. Eventuell pseudonymisering av patientidentifierande uppgifter i aggregerade analyser, så att de inte kan kopplas till specifika fysiska personer utan ytterligare information.
Integritet och tillgänglighet: regelbundna säkerhetskopieringssystem för data och återställningsrutiner för att säkerställa tillgänglighet och snabb åtkomst till personuppgifter vid fysiska eller tekniska incidenter. Användning av skydd mot skadlig kod, brandväggar och övervakning för att förhindra obehörig åtkomst eller dataförlust.
Testning och övervakning: regelbunden kontroll av effektiviteten i de säkerhetsåtgärder som införts, genom interna revisioner, sårbarhetstester, övervakning av säkerhetsloggar och, vid behov, snabb korrigering av identifierade svagheter.
De säkerhetsåtgärder som Biträdet har infört beskrivs mer i detalj i särskild teknisk dokumentation (t.ex. en bilaga om tekniska och organisatoriska åtgärder), vilken kan tillhandahållas den Ansvarige på begäran och anses utgöra en integrerad del av detta avtal. Biträdet garanterar att hålla dessa åtgärder uppdaterade för att anpassa dem till utvecklingen av risker och bästa praxis för säkerhet, och ska meddela den Ansvarige eventuella väsentliga förändringar som kan påverka skyddet av de anförtrodda uppgifterna.
Biträdet får endast anlita andra parter som underbiträden (underleverantörer) med den Ansvariges tillstånd. Tillståndet kan vara specifikt för ett enskilt underbiträde eller allmänt för kategorier av underbiträden (t.ex. hosting-leverantörer, e-posttjänster m.m.) som är kända vid tidpunkten för avtalets ingående: i det senare fallet ska Biträdet ändå informera den Ansvarige om varje planerad tilläggs- eller ersättningsåtgärd av dessa underbiträden, så att den Ansvarige kan invända mot sådana ändringar innan underbiträdet påbörjar behandlingen av uppgifterna.
Eventuella godkända underbiträden ska genom ett skriftligt avtal åläggas av Biträdet minst samma skyldigheter avseende skydd av personuppgifter som anges i detta avtal, inklusive särskilt lämpliga garantier för säkerhet och sekretess. Biträdet förblir fullt ansvarigt gentemot den Ansvarige för att de skyldigheter som åvilar de underbiträden som Biträdet utser fullgörs; om ett underbiträde bryter mot sina skyldigheter ska Biträdet personligen svara gentemot den Ansvarige för varje avtalsbrott.
Behandlingen av personuppgifter som omfattas av detta avtal kommer uteslutande att ske i infrastruktur (servrar, datacenter) belägen inom Europeiska unionen eller Europeiska ekonomiska samarbetsområdet. Ingen överföring av personuppgifter till tredje land (utanför EES) är avsedd att ske från Biträdets sida, utom vad som eventuellt krävs för användning av underbiträden som godkänts av den Ansvarige enligt avsnitt 8. Under alla omständigheter får varje överföring av uppgifter till ett tredje land eller en internationell organisation av Biträdet (eller dess underbiträden) endast ske i enlighet med kapitel V GDPR. Särskilt måste föregående tillstånd från den Ansvarige inhämtas och villkoren i artiklarna 44 ff. GDPR måste vara uppfyllda, till exempel på grundval av ett adekvansbeslut från Europeiska kommissionen eller genom användning av standardavtalsklausuler godkända av Kommissionen, bindande företagsbestämmelser eller andra lämpliga skyddsåtgärder. Biträdet ska informera den Ansvarige om de föreslagna överföringarnas tillvägagångssätt och rättsliga grunder så att den Ansvarige kan bedöma och bevilja (eller avslå) tillståndet.
När tjänsteförhållandet mellan parterna avseende nutrition-modulen upphör, oavsett orsak (t.ex. vid uppsägning eller utgång av huvudavtalet, eller vid definitiv spärr av tjänsten från Biträdets sida), ska Biträdet upphöra med all ytterligare behandling av personuppgifter som utförs för den Ansvariges räkning. Efter den Ansvariges val, meddelat skriftligen vid avtalets upphörande eller inom en överenskommen tidsfrist, ska Biträdet antingen återlämna alla personuppgifter som behandlats för den Ansvariges räkning (t.ex. genom export i ett interoperabelt format) eller slutligt radera alla sådana uppgifter från sina system. Under alla omständigheter ska Biträdet radera eventuella befintliga kopior av uppgifterna (inklusive säkerhetskopior), förutom i den utsträckning lagring krävs enligt tillämplig unions- eller medlemsstatslagstiftning som gäller för Biträdet (i så fall ska Biträdet meddela den Ansvarige vilka uppgifter och vilken lagstiftning som kräver lagringen och endast behandla dem för detta rättsliga lagringsändamål). Den genomförda raderingen på begäran ska på begäran styrkas skriftligen av Biträdet.
De sekretessförpliktelser som Biträdet och den behöriga personalen åtagit sig under avtalets giltighet fortsätter att gälla även efter avtalets upphörande. Biträdet garanterar dessutom att eventuella utsedda underbiträden, vid upphörande, är bundna av samma skyldigheter att återlämna/radera den Ansvariges personuppgifter.
