Google og kunden har godtatt Googles vilkår knyttet til måling og analyse for behandlingsansvarlige hos Google og kontoeier («vilkårene for behandlingsansvarlige»), som supplerer avtalen. Dette tillegget om personvernlover på delstatsnivå i USA for behandlingsansvarlige («tillegget om personvernlover på delstatsnivå for behandlingsansvarlige») inngås mellom Google og kunden og er også et supplement til avtalen. Dette tillegget trer i kraft 1. januar 2023 eller datoen da kunden klikket for å godta vilkårene, eller datoen da partene på andre måter godtok dette tillegget (alt etter hva som inntreffer sist).
1. Innledning
Google kan tilby og kunden kan aktivere visse innstillinger, konfigurasjoner eller andre funksjoner i målingstjenestene knyttet til begrenset databehandling, som beskrevet i tilleggsdokumentasjonen som er tilgjengelig på business.safety.google/rdp, som oppdateres fra tid til annen («begrenset databehandling»). Dette tillegget om personvernlover på delstatsnivå for behandlingsansvarlige inneholder bare bestemmelser om funksjoner for databeskyttelse (når begrenset databehandling ikke er slått på) og gjelder ikke på andre måter for levering av målingstjenestene. Kunden har eneansvar for å overholde alle gjeldende lover om personvern på delstatsnivå i bruken av Google-tjenester, inkludert begrenset databehandling.
Dette tillegget om personvernlover på delstatsnivå for behandlingsansvarlige gjenspeiler partenes avtale om behandling av kundens personopplysninger og avidentifiserte data (som definert nedenfor) i henhold til innstillingen for datadeling i forbindelse med de gjeldende personvernlovene på delstatsnivå (som definert nedenfor), og trer i kraft utelukkende i den grad de aktuelle personvernlovene gjelder i de relevante delstatene.
2. Definisjoner og tolkning
2.1 «Gjeldende personvernlover på delstatsnivå» betyr enten (a) CCPA, (b) Virginias Consumer Data Protection Act, Va. Code Ann. § 59.1-571 et seq.; (c) Colorado Privacy Act, Colo. Rev. Stat. § 6-1-1301 et seq., sammen med alle implementeringsforskrifter, (d) Connecticuts Act Concerning Data Privacy and Online Monitoring, Pub. Act No. 22015, eller (e) Utah Consumer Privacy Act, Utah Code Ann. § 13-61-101 et seq.
2.2 «CCPA» viser til California Consumer Privacy Act fra 2018, inkludert endringer innført med California Privacy Rights Act fra 2020, sammen med alle implementeringsforskrifter.
2.3 «Avidentifiserte data» er datainformasjon som er «avidentifisert» (slik begrepet defineres i henhold til CCPA), og «Avidentifiserte data» (slik det defineres i andre gjeldende personvernlover på delstatsnivå) når den ene parten formidler data til den andre.
2.4 Termene «bedrift», «forbruker», «behandlingsansvarlig», «personlige data», «personopplysninger», «prosess», «behandling», «salg» og «salg av» slik de brukes i dette tillegget til personvernlover på delstatsnivå om behandlingsansvarlige, har de samme betydningene som i de gjeldende personvernlovene på delstatsnivå.
2.5 Termer som brukes i anførselstegn, men som ikke er definert i dette tillegget om personvernlover på delstatsnivå om behandlingsansvarlige, har betydningen som er gitt i vilkårene for behandlingsansvarlige.
3. Gjeldende vilkår i personvernlover på delstatsnivå
3.1 Avidentifiserte data. Hver part skal overholde kravene til behandling av avidentifiserte data som er oppgitt i gjeldende personvernlover på delstatsnivå, med hensyn til avidentifiserte data som den ene parten mottar fra den andre, i henhold til innstillingen for datadeling.
3.2 Googles CCPA-forpliktelser. Med hensyn til kundens personopplysninger som behandles uten at begrenset databehandling er slått på i henhold til innstillingen for datadeling, og i den grad CCPA gjelder for behandling av kundens personopplysninger, gjelder følgende:
- (a) Google behandler slike personopplysninger om kunder i henhold til innstillingen for datadeling, som beskrevet i avtalen og den tilhørende dokumentasjonen (f.eks. brukerstøtteartikler), eller som på annen måte er tillatt i henhold til CCPA, og partene godtar at kunden gjør kundens personopplysninger tilgjengelige for Google for disse formålene.
- (b) Google tillater at det gjøres revisjoner for å bekrefte at Google overholder forpliktelsene de er pålagt i henhold til dette tillegget om personvernlover på delstatsnivå for behandlingsansvarlige, som følger:
- (i) Kunden kan gjennomføre en revisjon for å bekrefte at Google overholder forpliktelsene som de er pålagt i henhold til tillegget om personvernlover på delstatsnivå for behandlingsansvarlige, ved å be om og gjennomgå (1) et sertifikat utstedt for sikkerhetsbekreftelse som gjenspeiler utfallet av en revisjon utført av en tredjepartskontrollør (f.eks. ISO/IEC 27001-sertifisering eller en sammenlignbar sertifisering eller annen sikkerhetssertifisering gitt etter en revisjon utført av en tredjepartskontrollør som både kunden og Google godtar) innen 12 måneder etter datoen da kunden ber om det, og (2) annen informasjon Google fastslår med rimelighet er nødvendig for at kunden skal kunne bekrefte at lovverket overholdes.
- (ii) Google kan også, etter eget skjønn og på forespørsel fra kunden, iverksette en tredjepartsrevisjon for å bekrefte at Google overholder forpliktelsene som følger av tillegget om personvernlover på delstatsnivå for behandlingsansvarlige. Under en slik revisjon skal Google gjøre tilgjengelig for tredjepartsrevisoren all informasjon som er nødvendig for å bevise at lovverket overholdes. Hvis kunden ber om en slik gjennomgang, kan Google kreve et gebyr (basert på Googles rimelige kostnader) for enhver revisjon. Google skal gi kunden mer detaljert informasjon om eventuelle gebyrer og grunnlaget for beregningen av gebyrene, før slike revisjoner utføres. Kunden er selv ansvarlig for eventuelle gebyrer som kreves av eventuelle tredjepartsrevisorer som gjennomfører slike revisjoner.
- (iii) Ingenting i dette tillegget om personvernlover på delstatsnivå for behandlingsansvarlige krever at Google enten må videreformidle informasjon til kunden eller til tredjepartsrevisoren eller gi kunden eller tredjepartsrevisoren tilgang til følgende:
- (1) eventuelle data fra andre kunder av en Google-enhet
- (2) intern regnskapsinformasjon eller økonomisk informasjon fra en Google-enhet
- (3) eventuelle forretningshemmeligheter som tilhører en Google-enhet
- (4) informasjon som etter Googles rimelige skjønn kan (a) kompromittere sikkerheten til Google-enheters systemer eller lokaler eller (B) forårsake at en Google-enhet bryter sine forpliktelser i henhold til gjeldende personvernlover på delstatsnivå eller sikkerhets- og/eller personvernforpliktelser overfor kunden eller en tredjepart, eller
- (5) informasjon som kunden eller tredjepartsrevisor ønsker å få tilgang til av andre årsaker enn bare for å innfri – i god tro – forpliktelsene overfor kunden i henhold til gjeldende personvernlover på delstatsnivå
- (c) Google skal varsle kunden hvis Google kommer frem til at Google ikke lenger kan oppfylle forpliktelsene sine i henhold til CCPA.
- (d) Hvis kunden har rimelig grunn til å tro at Google behandler kundens personopplysninger på en uautorisert måte, har kunden rett til å varsle Google om dette via metodene som er beskrevet på privacy.google.com/businesses/processorsupport, og partene skal samarbeide i god tro om å løse de angivelig uautoriserte behandlingsaktivitetene, om nødvendig, og
- (e) Google skal overholde gjeldende forpliktelser i henhold til CCPA og skal gi det samme nivået av personvern som CCPA krever.
4. Endringer i dette tillegget om personvernlover på delstatsnivå for behandlingsansvarlige
I tillegg til del 9 av vilkårene for behandlingsansvarlige (Endringer i disse vilkårene for behandlingsansvarlige) kan Google endre dette tillegget om personvernlover på delstatsnivå for behandlingsansvarlige uten varsel dersom (a) endringen er basert på gjeldende lov og rett, gjeldende forordninger, rettskjennelser eller retningslinjer utstedt av en statlig reguleringsmyndighet eller et offentlig organ, eller (b) endringen ikke har noen vesentlig negativ innvirkning på kunden i henhold til gjeldende personvernlover på delstatsnivå, som Google med rimelighet kan fastslå.
1. januar 2023
