Google och Kunden har ingått Dataskyddsvillkor mellan personuppgiftsansvariga för Googles mätningstjänster (”Villkor för personuppgiftsansvariga”), vilket kompletterar Avtalet. Detta tillägg till Villkoren för personuppgiftsansvariga, Tillägg gällande personuppgiftsansvariga i amerikanska delstaters integritetslagstiftning, ingås av Google och Kunden och utgör även ett tillägg till Avtalet. Tillägget träder i kraft den 1 januari 2023 eller det datum då Kunden klickade för att godkänna eller då parterna på annat sätt godkände detta Tillägg.
1. Inledning.
Google kan erbjuda och Kunden kan aktivera vissa inställningar, konfigurationer eller andra funktioner i produkten för Mätningstjänster som rör begränsad databehandling, enligt beskrivningen i tillhörande dokumentation på business.safety.google/rdp som uppdateras från tid till annan (”Begränsad databehandling”). Detta Tillägg gällande personuppgiftsansvariga i amerikanska delstaters integritetslagstiftning beskriver dataskyddsvillkoren endast i samband med Inställningen för datadelning (när Begränsad databehandling inte har aktiverats) och gäller inte tillhandahållandet av Mätningstjänsterna i övrigt. Kunden är ensam ansvarig för efterlevnad av alla Tillämpliga amerikanska delstaters integritetslagstiftning vid användning av Googles tjänster, inklusive Begränsad databehandling.
Detta Tillägg gällande personuppgiftsansvariga i amerikanska delstaters integritetslagstiftning beskriver parternas överenskommelse kring behandling av Kunders personuppgifter och Avidentifierad data (enligt definitionerna nedan) i enlighet med Inställningen för datadelning i samband med Tillämpliga amerikanska delstaters integritetslagstiftning (enligt definitionerna nedan). Tillägget har effekt endast i den utsträckning Tillämpliga amerikanska delstaters integritetslagstiftning gäller.
2. Definitioner och tolkning.
2.1 ”Tillämpliga amerikanska delstaters integritetslagstiftning” avser, i tillämpliga fall: (a) CCPA (b) Virginias Consumer Data Protection Act, Va. Code Ann. § 59.1-571 et seq., (c) Colorado Privacy Act, Colo. Rev. Stat. § 6-1-1301 et seq. tillsammans med alla genomförandebestämmelser, (d) Connecticuts Act Concerning Data Privacy and Online Monitoring, Pub. Act No. 22015 och (e) Utahs Consumer Privacy Act, Utah Code Ann. § 13-61-101 et seq.
2.2 ”CCPA” avser California Consumer Privacy Act från 2018 i dess ändrade lydelse, inklusive ändringarna enligt California Privacy Rights Act från 2020, tillsammans med alla genomförandebestämmelser.
2.3 ”Avidentifierad data” avser datainformation som har ”avidentifierats” (enligt definitionen i CCPA) och ”avidentifierad data” (enligt definitionen i andra Tillämpliga amerikanska delstaters integritetslagstiftning) när den yppas av den ena parten till den andra.
2.4 Termerna ”företag”, ”konsument”, ”personuppgiftsansvarig”, ”personuppgifter”, ”personliga uppgifter”, ”behandla”, ”behandling”, ”försäljning(ar)” och ”sälja” i detta Tillägg gällande personuppgiftsansvariga i amerikanska delstaters integritetslagstiftning har den innebörd som anges i Tillämpliga amerikanska delstaters integritetslagstiftning.
2.5 Termer med stor begynnelsebokstav som används men inte definieras i detta Tillägg gällande personuppgiftsansvariga i amerikanska delstaters integritetslagstiftning har den innebörd som anges i Villkor för personuppgiftsansvariga.
3. Termer i Tillämpliga amerikanska delstaters integritetslagstiftning.
3.1 Avidentifierad data. Varje part måste uppfylla kraven för behandling av Avidentifierad data i Tillämpliga amerikanska delstaters integritetslagstiftning avseende Avidentifierad data som tas emot från den andra parten i enlighet med Inställningen för datadelning.
3.2 Googles förbindelser enligt CCPA. Följande gäller Kunders Personuppgifter som behandlas utan Begränsad databehandling i enlighet med Inställningen för datadelning och i den utsträckning CCPA omfattar behandling av Kunders Personuppgifter:
- (a) Google behandlar Kunders Personuppgifter enligt Inställningen för datadelning, beskrivningen i Avtalet och tillhörande dokumentation (till exempel artiklar i hjälpcentret) eller enligt i den utsträckning detta är tillåtet enligt CCPA. Parterna samtycker till att Kunden gör Kunders Personuppgifter tillgängliga för Google för sådana ändamål.
- (b) Google tillåter granskningar med syftet att kontrollera att Google fullgör sina förbindelser i enlighet med detta Tillägg gällande personuppgiftsansvariga i amerikanska delstaters integritetslagstiftning på följande sätt:
- (i) Kunden kan genomföra en granskning för att kontrollera att Google fullgör sina förbindelser enligt detta Tillägg gällande personuppgiftsansvariga i amerikanska delstaters integritetslagstiftning genom att begära och granska (1) utfärdat certifikat för säkerhetsverifiering som indikerar resultatet av en granskning utförd av tredje part (till exempel ISO/IEC 27001-certifiering, jämförbar certifiering eller annan säkerhetscertifiering från en granskning utförd av en extern granskare som har godkänts av Kunden och Google) inom 12 månader från och med datumet för Kundens begäran och (2) eventuell övrig information som Google bedömer är nödvändig för att Kunden ska kunna bekräfta sådan efterlevnad.
- (ii) Google kan även, efter eget gottfinnande och på begäran av Kunden, ge en extern granskare i uppdrag att kontrollera att Google fullgör sina förbindelser enligt detta Tillägg gällande personuppgiftsansvariga i amerikanska delstaters integritetslagstiftning. Under en sådan granskning ger Google den externa granskaren tillgång till all information som är nödvändig för att uppvisa efterlevnad. Om Kunden begär en sådan granskning kan Google debitera en avgift (baserat på Googles rimliga utgifter) för granskningen. Innan en sådan granskning äger rum förser Google Kunden med ytterligare information om tillämpliga avgifter och vad de baseras på. Kunden ansvarar för eventuella avgifter som debiteras av en extern granskare för att genomföra granskningen.
- (iii) Inget i detta Tillägg gällande personuppgiftsansvariga i amerikanska delstaters integritetslagstiftning kräver att Google yppar till Kunden eller den externa granskaren, eller att Kunden eller dess externa granskare får åtkomst till:
- (1) data från andra kunder till ett Google-bolag
- (2) interna bokföringsuppgifter eller finansiell information om ett Google-bolag
- (3) eventuella affärshemligheter som tillhör ett Google-bolag
- (iv) information som enligt Googles rimliga uppfattning kan (A) äventyra säkerheten för ett Google-bolags system eller lokaler eller (B) leda till att ett Google-bolag bryter mot sina förbindelser enligt Tillämpliga amerikanska delstaters integritetslagstiftning eller dess säkerhets- och/eller integritetsförbindelser gentemot Kunden eller tredje part
- (5) information som Kunden eller dess externa granskare försöker få åtkomst till för något annat syfte än att i god tro fullgöra Kundens förbindelser enligt Tillämpliga amerikanska delstaters integritetslagstiftning.
- (c) Google informerar Kunden om Google bedömer att det inte längre kan fullgöra sina förbindelser enligt CCPA.
- (d) Om Kunden har rimliga skäl att tro att Google behandlar Kunders Personuppgifter på ett otillåtet sätt har Kunden rätt att informera Google om detta med de metoder som beskrivs på privacy.google.com/businesses/processorsupport. Parterna ska i god tro arbeta tillsammans för att vid behov åtgärda påstådda överträdelser.
- (e) Google fullgör tillämpliga förbindelser enligt CCPA och tillhandahåller samma integritetsskydd som krävs enligt CCPA.
4. Ändringar i detta Tillägg gällande personuppgiftsansvariga i amerikanska delstaters integritetslagstiftning.
Utöver avsnitt 9 i Villkor för personuppgiftsansvariga (Ändringar i dessa Villkor för personuppgiftsansvariga) kan Google utan föregående meddelande ändra detta Tillägg gällande personuppgiftsansvariga i amerikanska delstaters integritetslagstiftning om ändringen enligt Googles rimliga uppfattning (a) utgår från tillämplig lag, tillämpliga bestämmelser, domstolsbeslut eller vägledning från ett statligt regleringsorgan eller (b) inte har påtaglig negativ inverkan på Kunden enligt Tillämpliga amerikanska delstaters integritetslagstiftning.
1 januari 2023
