Personuppgiftsbiträdesavtal

Uppdaterad: 10 november 2026

Personuppgiftsbiträdesavtal

Uppdaterad: 17 December 2025

PARTER OCH BAKGRUND

(A) Kunden (”Kunden”) har ingått ett avtal med Klaviyo, Inc. (”Klaviyo”) (var och en en ”Part” och tillsammans ”Parterna”) enligt vilket Klaviyo har åtagit sig att tillhandahålla Tjänsterna i enlighet med nämnda avtal (”Avtalet”). Detta personuppgiftsbiträdesavtal (”DPA”) ingår i och utgör en del av Avtalet och träder i kraft på Avtalets ikraftträdandedatum, med undantag för kunder som har ingått ett Avtal före det ovan angivna uppdateringsdatumet för DPA, för vilka DPA träder i kraft på det ovan angivna ”Uppdaterade” datumet och ersätter alla tidigare överenskomna villkor för personuppgiftsbehandling och säkerhet.

(B) I den mån Klaviyo behandlar Kundens Personuppgifter (enligt definitionen nedan) på uppdrag av Kunden (eller, i tillämpliga fall, Kundens Närstående bolag) i samband med tillhandahållandet av Tjänsterna, har Parterna kommit överens om att detta ska ske enligt villkoren i detta DPA.

1. DEFINITIONER

1.1 Termer med versaler som används men inte definieras i detta DPA ska ha den betydelse som anges i Avtalet. Följande termer med versaler som används i detta DPA ska definieras enligt följande:

”Amerikanska dataskyddslagar” avser, i den mån de är tillämpliga, federala och delstatliga lagar avseende dataskydd, behandling av personuppgifter, integritet och/eller dataskydd som från tid till annan gäller i USA;

”DPF” eller ”dataskyddsramverket” avser dataskyddsramverket mellan EU och USA, eller, i tillämpliga fall, den brittiska utvidgningen av dataskyddsramverket mellan EU och USA samt dataskyddsramverket mellan Schweiz och USA;

”EES” avser Europeiska ekonomiska samarbetsområdet;

”GDPR” avser förordning (EU) 2016/679 (”EU:s GDPR”) eller, i tillämpliga fall, ”Storbritanniens GDPR” enligt definitionen i avsnitt 3 Data Protection Act 2018;

”Godkänt tillägg” avser mallen för tillägg, version B.1.0, utfärdad av den brittiska informationskommissionären enligt S119A(1) Data Protection Act 2018 och framlagd för det brittiska parlamentet den 2 februari 2022, i den utformning den kan komma att revideras enligt avsnitt 18 iTvångsklausulerna;

”Ikraftträdandedatum” avser det datum då DPA träder i kraft, enligt vad som anges i klausul (A) ovan;

”Kontoinformation” avser Kundens information, inklusive Personuppgifter om Kunden och Kundens Närstående bolags användare, som tillhandahålls för skapande, åtkomst, administration och underhåll av kontot, och kan omfatta namn, användarnamn, inloggningsuppgifter, telefonnummer, e-postadresser och faktureringsinformation kopplad till ett Klaviyo-konto;

”Kundens Personuppgifter” avser de personuppgifter som behandlas av Klaviyo på uppdrag av Kunden eller Kundens Närstående bolag i samband med tillhandahållandet av Tjänsterna, vilket dock uttryckligen utesluter Personuppgifter som ingår i Kontoinformationen;

”Medlemsstat” avser en medlemsstat i EES, det vill säga en medlemsstat i Europeiska unionen, Island, Norge eller Liechtenstein;

”Närstående bolag” avser en organisation som, direkt eller indirekt, äger eller kontrollerar, ägs eller kontrolleras av, eller står under gemensamt ägande eller kontroll med en Part och är en förmånstagare till Avtalet;

”Personuppgifter” avser all information som rör en identifierad eller identifierbar person eller enhet, eller som på annat sätt utgör ”personuppgifter”, ”personlig information”, ”personligt identifierbar information” och liknande termer, och sådana termer ska ha samma betydelse som definieras i tillämplig dataskyddslagstiftning;

”Standardavtalsklausuler” eller ”SCC” avser modul två (personuppgiftsansvarig till personuppgiftsbiträde) och/eller modul tre (personuppgiftsbiträde till personuppgiftsbiträde) i de Standardavtalsklausuler som bifogas kommissionens genomförandebeslut (EU) 2021/914;

”Storbritannien” avser Förenade kungariket Storbritannien och Nordirland;

”Säkerhetsincident” avser ett säkerhetsbrott som leder till oavsiktlig eller olaglig förstörelse, förlust, ändring, obehörigt utlämnande av eller obehörig åtkomst till Kundens Personuppgifter;

”Tillämplig dataskyddslagstiftning” avser alla tillämpliga lagar, regler, förordningar och myndighetskrav som rör integritet, sekretess eller säkerhet avseende Personuppgifter, i den utsträckning de från tid till annan kan komma att ändras eller på annat sätt uppdateras;

”Tvångsklausuler” avser ”Del 2: Tvångsklausuler” i det Godkända tillägget; och

”Underbiträde” avser Klaviyos Närstående bolag och tredjepartsbehandlare som utsetts av Klaviyo för att behandla Kundens Personuppgifter.

1.2 Termerna ”personuppgiftsansvarig”, ”personuppgiftsbiträde”, ”registrerad”, ”behandla”, ”tillsynsmyndighet”, ”sälja” och ”tjänsteleverantör” ska ha samma innebörd som anges i tillämplig dataskyddslagstiftning.

2. FÖRHÅLLANDE TILL AVTALET

2.1 Detta DPA kompletterar och (vid eventuella motsägelser) ersätter Avtalet vad gäller all behandling av Kundens Personuppgifter.

2.2 Avseende Kundens Närstående bolag garanterar Kunden, genom att ingå Avtalet, att denne är behörig att ingå detta DPA för och på uppdrag av sådana Närstående bolag, och, med förbehåll för klausul 2.3, ska varje Närstående bolag vara bundet av villkoren i detta DPA som om det vore Kunden.

2.3 Kunden garanterar att den har fått vederbörligt mandat från alla Kundens Närstående bolag för vilkas räkning Klaviyo behandlar Kundens Personuppgifter i enlighet med detta DPA att (a) se till att villkoren i detta DPA efterlevs för de Närstående bolagens räkning, samt att agera för de Närstående bolagens räkning vid hantering och drivande av eventuella anspråk som uppstår i samband med detta DPA; och (b) ta emot och besvara alla meddelanden eller kommunikationer enligt detta DPA på de Närstående bolagens vägnar.

2.4 Parterna är överens om att varje meddelande eller kommunikation som Klaviyo skickar till Kunden ska uppfylla skyldigheten att skicka sådant meddelande eller sådan kommunikation till ett av Kundens Närstående bolag.

3. PARTERNAS ROLL

3.1 Parterna bekräftar och är överens om att:

(a) Klaviyo agerar som ”personuppgiftsbiträde” eller ”underbiträde” i enlighet med GDPR. Klaviyos roll som personuppgiftsbiträde eller underbiträde kommer att bestämmas av Kundens roll:

(i) I allmänhet fungerar Kunden som personuppgiftsansvarig, medan Klaviyo fungerar som personuppgiftsbiträde.

(ii) I vissa fall fungerar Kunden som personuppgiftsbiträde på uppdrag av Kundens kunder, där Kunden och dess kunder har ingått ett personuppgiftsbiträdesavtal avseende behandlingen av Personuppgifter som tillhör Kundens kunder; och

(b) I enlighet med de amerikanska dataskyddslagarna kommer Klaviyo att agera som ”tjänsteleverantör” eller ”personuppgiftsbiträde” vid fullgörandet av sina skyldigheter enligt Avtalet.

4. UPPGIFTER OM PERSONUPPGIFTSBEHANDLING

4.1 Detaljerna om personuppgiftsbehandlingen (såsom föremål, art och syfte med behandlingen, kategorier av Personuppgifter och registrerade) beskrivs i Avtalet och i bilaga 1.

4.2 Kundens Personuppgifter ska endast behandlas på uppdrag av och enligt Kundens instruktioner samt i enlighet med Tillämplig dataskyddslagstiftning. Avtalet och detta DPA ska utgöra Kundens instruktioner för behandlingen av Kundens Personuppgifter. Kunden får utfärda ytterligare skriftliga instruktioner i enlighet med detta DPA.

4.3 Om Kundens instruktioner medför att Klaviyo behandlar Kundens Personuppgifter i strid med Tillämplig dataskyddslagstiftning eller utanför Avtalets eller detta DPA:s tillämpningsområde, ska Klaviyo omedelbart informera Kunden om detta, såvida inte detta är förbjudet enligt Tillämplig dataskyddslagstiftning (utan att det påverkar tillämpligheten av Standardavtalsklausulerna).

4.4 Klaviyo får lagra och behandla Kundens Personuppgifter var som helst där Klaviyo eller dess Underbiträden har anläggningar, med förbehåll för klausul 5 i detta DPA.

5. UNDERBITRÄDEN

5.1 Kunden beviljar Klaviyo ett allmänt tillstånd att anlita Underbiträden, med förbehåll för klausul 5.2, från en överenskommen lista samt Klaviyos nuvarande Underbiträden som anges på https://www.klaviyo.com/legal/subprocessors per Ikraftträdandedatumet.

5.2 Klaviyo ska (i) ingå ett skriftligt avtal med varje Underbiträde som ålägger denne dataskyddsförpliktelser som inte ger mindre skydd för Kundens Personuppgifter än Klaviyos förpliktelser enligt detta DPA, i den utsträckning som är tillämplig med hänsyn till arten av de tjänster som tillhandahålls av sådant Underbiträde; och (ii) förbli ansvarigt för varje Underbiträdes efterlevnad av förpliktelserna enligt detta DPA.

5.3 Klaviyo ska meddela Kunden minst femton (15) dagar i förväg om eventuella föreslagna tillägg eller utbyten av de Underbiträden som används för att behandla Kundens Personuppgifter. Kunden får på skäliga grunder invända mot Klaviyos användning av ett nytt Underbiträde (inklusive när Kunden utövar sin rätt att invända enligt klausul 9(a) i Standardavtalsklausulerna) genom att skriftligen meddela Klaviyo om invändningen inom tio (10) dagar efter det att Klaviyo har underrättat Kunden om en sådan föreslagen ändring (en ”Invändning”). Om kunden invänder mot Klaviyos användning av ett nytt Underbiträde ska Kunden och Klaviyo samarbeta i god tro för att finna en ömsesidigt godtagbar lösning på Invändningen. Om parterna inte kan nå en ömsesidigt godtagbar lösning inom rimlig tid får vardera parten, som sin enda och exklusiva rättsliga åtgärd, säga upp Avtalet genom att lämna skriftligt meddelande till den andra parten. Under en sådan Invändningsperiod får Klaviyo avbryta den berörda delen av Tjänsterna.

6. BEGÄRAN OM RÄTTIGHETER FÖR REGISTRERADE

6.1 Mellan Parterna ska Kunden ha ensam beslutanderätt och ansvar för att besvara de rättigheter som görs gällande av en enskild person i relation till Kundens Personuppgifter (”Begäran från den registrerade”).

6.2 Klaviyo ska utan onödigt dröjsmål vidarebefordra till Kunden varje Begäran från den registrerade som Klaviyo eller något Underbiträde mottar från en person avseende Kundens Personuppgifter och kan uppmana personen att lämna in sin begäran direkt till Kunden.

6.3 Klaviyo ska (med beaktande av arten av behandlingen av Kundens Personuppgifter) tillhandahålla Kunden självbetjäningsfunktioner via Tjänsterna eller annan rimlig hjälp som krävs för att Kunden ska kunna fullgöra sin skyldighet enligt Tillämplig dataskyddslagstiftning att besvara Begäranden från registrerade. Klaviyo kan debitera Kunden, och Kunden ska ersätta Klaviyo, för sådan hjälp som går utöver tillhandahållandet av självbetjäningsfunktioner som ingår i Tjänsterna.

7. SÄKERHET OCH REVISIONER

7.1 Klaviyo ska införa och upprätthålla lämpliga tekniska och organisatoriska dataskydds- och säkerhetsåtgärder som är utformade för att säkerställa säkerheten för Kundens Personuppgifter, inklusive, men inte begränsat till, skydd mot obehörig eller olaglig behandling (inklusive, men inte begränsat till, obehörigt eller olagligt utlämnande av, åtkomst till och/eller ändring av Kundens Personuppgifter) samt mot oavsiktlig förlust, förstörelse eller skada på dessa.

7.2 Klaviyo ska som en minimistandard införa och upprätthålla de åtgärder som anges i bilaga 2. Klaviyo får från tid till annan uppdatera eller ändra de säkerhetsåtgärder som anges i bilaga 2, inklusive (i tillämpliga fall) efter en granskning av sådana åtgärder som Klaviyo genomför i enlighet med klausul 8.6 i Standardavtalsklausulerna (SCC), förutsatt att sådana uppdateringar och/eller ändringar inte minskar den övergripande skyddsnivån som Klaviyo tillhandahåller för Kundens Personuppgifter enligt detta DPA.

7.3 Kunden eller en oberoende tredjepartsrevisor som är skäligt godtagbar för Klaviyo (vilket inte ska omfatta revisorer som saknar lämplig kvalifikation eller oberoende eller som är konkurrenter till Klaviyo) får granska Klaviyos efterlevnad av sina skyldigheter enligt detta DPA upp till en gång per år, eller oftare om en Säkerhetsincident har inträffat eller i den utsträckning som krävs enligt Tillämplig dataskyddslagstiftning, inklusive när detta föreskrivs av Kundens tillsyns- eller myndighetsorgan.

7.4 För att begära en revision måste kunden lämna in ett detaljerat förslag till revisionsplan till Klaviyo minst två veckor före det föreslagna revisionsdatumet. Klaviyo kommer att granska den föreslagna revisionsplanen och samarbeta med Kunden för att enas om en slutgiltig revisionsplan. Alla sådana revisioner måste genomföras under ordinarie arbetstid, i enlighet med den överenskomna slutgiltiga revisionsplanen och Klaviyos hälso- och säkerhetspolicyer eller andra relevanta policyer och får inte på ett orimligt sätt störa Klaviyos affärsverksamhet. Inget i denna klausul 7.4 ska ålägga Klaviyo att bryta mot några sekretessförpliktelser.

7.5 Om den begärda revisionsomfattningen omfattas av en ISO 27001-certifiering, en SOC 2 Typ 2-rapport eller liknande revisionsrapport som utförts av en kvalificerad extern revisor inom tolv (12) månader från Kundens revisionsbegäran och Klaviyo bekräftar att det inte föreligger några kända väsentliga förändringar i de granskade kontrollerna, samtycker Kunden till att godta dessa resultat i stället för att begära en revision av de kontroller som omfattas av rapporten.

7.6 Kunden ska omedelbart underrätta Klaviyo om eventuella avvikelser som upptäcks under en revision och tillhandahålla Klaviyo alla revisionsrapporter som genererats i samband med en revision, såvida inte detta är förbjudet enligt tillämplig lag eller på annat sätt föreskrivs av en tillsyns- eller myndighetsinstans. Kunden får använda revisionsrapporterna endast i syfte att uppfylla Kundens lagstadgade revisionskrav och/eller bekräfta efterlevnaden av kraven i detta DPA.

7.7 Eventuella revisioner sker på Kundens bekostnad. Kunden ska ersätta Klaviyo för den tid som Klaviyo eller dess Underbiträden lägger ner i samband med sådana revisioner.

7.8 Klaviyo ska regelbundet granska sina Underbiträden och ska, på Kundens begäran, bekräfta att dessa efterlever den dataskyddslagstiftning och de skyldigheter som ålagts Underbiträdena enligt de personuppgiftsbiträdesavtal som ingåtts med dem. Kunden får begära att Klaviyo genomför ytterligare granskningar endast i de fall där detta är rimligt motiverat. I sådana fall ska Klaviyo genomföra ytterligare granskningar i den utsträckning som är tillåten.

7.9 Kunden samtycker till att, med beaktande av den senaste tekniska utvecklingen, kostnaderna för genomförandet samt behandlingens art, omfattning, sammanhang och syften, liksom risken av varierande sannolikhet och allvarlighetsgrad för fysiska personers rättigheter och friheter, de säkerhetsåtgärder som anges i bilaga 2 är lämpliga för att säkerställa säkerheten för Kundens Personuppgifter.

8. SÄKERHETSINCIDENTER

Klaviyo ska omedelbart skriftligen underrätta Kunden i händelse av brott mot detta DPA, Tillämplig dataskyddslagstiftning eller någon instruktion från Kunden i samband med behandlingen av Kundens Personuppgifter enligt detta DPA. Utan att begränsa generaliteten i det ovanstående ska Klaviyo skriftligen underrätta Kunden utan onödigt dröjsmål efter att ha fått kännedom om en Säkerhetsincident, samt på ett rimligt sätt samarbeta i utredningen av en sådan Säkerhetsincident och i fråga om Kundens skyldigheter enligt Tillämplig dataskyddslagstiftning att lämna anmälningar till enskilda personer, tillsynsmyndigheter, statliga eller andra reglerande myndigheter eller allmänheten avseende sådan Säkerhetsincident. Klaviyo ska vidta rimliga åtgärder för att begränsa, utreda och mildra varje Säkerhetsincident och ska utan onödigt dröjsmål i god tid skicka information till Kunden om Säkerhetsincidenten, inklusive men inte begränsat till Säkerhetsincidentens art, de åtgärder som vidtagits för att mildra eller begränsa Säkerhetsincidenten samt utredningens status. Klaviyos anmälan av eller hantering av en Säkerhetsincident enligt denna punkt 8 ska inte tolkas som ett erkännande från Klaviyos sida av något fel eller ansvar avseende Säkerhetsincidenten.

9. RADERING OCH ÅTERLÄMNANDE

Klaviyo ska (a) om Kunden begär detta senast vid Avtalets uppsägning eller upphörande, återlämna en kopia av alla Kundens Personuppgifter eller tillhandahålla en självbetjäningsfunktion som gör det möjligt för Kunden att göra detta själv; och (b) inom 90 dagar efter Avtalets uppsägning eller upphörande radera och vidta alla rimliga åtgärder för att säkerställa radering av alla övriga kopior av Kundens Personuppgifter som behandlats av Klaviyo eller eventuella Underbiträden. Oavsett vad som sägs i motsatt riktning får Klaviyo behålla kopior av Kundens Personuppgifter om, och endast i den utsträckning, Klaviyo rimligen bedömer att sådan lagring är (i) nödvändig för att efterleva Tillämplig lagstiftning, ett domstolsbeslut, en stämning eller ett myndighetskrav som gäller för Klaviyo, eller (ii) nödvändig för att fastställa, utöva eller försvara rättsliga anspråk mot Klaviyo.

10. AVTALSPERIOD

Detta DPA träder i kraft på Ikraftträdandedatumet och, oavsett eventuell uppsägning av Avtalet, förblir i kraft till dess att, och upphör automatiskt att gälla när, Klaviyo raderar alla Kundens Personuppgifter enligt beskrivningen i detta DPA.

11. GRÄNSÖVERSKRIDANDE DATAÖVERFÖRINGAR

11.1 Standardavtalsklausuler

Parterna är överens om att villkoren i Standardavtalsklausulerna i modul två (personuppgiftsansvarig till personuppgiftsbiträde) och modul tre (personuppgiftsbiträde till personuppgiftsbiträde), såsom närmare specificeras i bilaga 3 till detta DPA, härmed införlivas genom hänvisning och ska anses ha undertecknats av Parterna samt gälla för alla överföringar av Kundens Personuppgifter som omfattas av GDPR från Kunden (som dataexportör) till Klaviyo (som dataimportör) i den utsträckning och så länge som Klaviyo inte kan förlita sig på DPF enligt klausul 11.2.

11.2 Ramverk för dataskydd

Klaviyo är självcertifierad enligt DPF och följer de dataskyddsprinciper som fastställs däri. I den utsträckning och så länge som DPF erkänns som en giltig överföringsmekanism i det berörda landet/den berörda regionen ska Personuppgifter som härrör från EES, Storbritannien eller Schweiz, eller som på annat sätt omfattas av GDPR, överföras på grundval av DPF.

11.3 Stöd för gränsöverskridande dataöverföringar

Klaviyo ska tillhandahålla Kunden rimligt stöd för att möjliggöra Kundens efterlevnad av de krav som ställs på överföring av personuppgifter till tredjeländer avseende registrerade som är bosatta i EES, Schweiz och Storbritannien. Klaviyo ska, på Kundens begäran, tillhandahålla information till Kunden som är skäligt nödvändig för att Kunden ska kunna genomföra en konsekvensbedömning av överföringen (”TIA”). Klaviyo åtar sig vidare att genomföra de kompletterande åtgärder som överenskommits och som anges i bilaga 4 till detta DPA för att möjliggöra Kundens efterlevnad av de krav som ställs på överföring av personuppgifter till tredjeländer. Klaviyo får ta ut en avgift från Kunden och Kunden ska ersätta Klaviyo för all hjälp som Klaviyo tillhandahåller avseende eventuella TIA, konsekvensbedömningar avseende dataskydd eller samråd med någon av Kundens tillsynsmyndigheter.

12. KUNDENS PERSONUPPGIFTER SOM OMFATTAS AV BRITTISKA OCH SCHWEIZISKA DATASKYDDSLAGAR

I den mån behandlingen av Kundens Personuppgifter omfattas av brittisk eller schweizisk dataskyddslagstiftning ska det brittiska tillägget och/eller det schweiziska tillägget (beroende på vad som är tillämpligt) som anges i bilaga 5 tillämpas.

13. KUNDENS PERSONUPPGIFTER SOM OMFATTAS AV AMERIKANSKA DATASKYDDSLAGAR

I den mån behandlingen av Kundens Personuppgifter omfattas av amerikansk dataskyddslagstiftning ska det amerikanska tillägget som anges i bilaga 6 tillämpas.

14. ALLMÄNT

14.1 Parterna intygar härmed att de förstår kraven i detta DPA och kommer att följa dem.

14.2 Detta DPA och Avtalet utgör hela avtalet mellan Parterna avseende föremålet för detta DPA.

─────────────────

Bilaga 1 – UPPGIFTER OM BEHANDLINGEN

Del 1 – FÖRTECKNING ÖVER PARTER

1. Uppgiftsutförare

Kunden och/eller Kundens Närstående bolag som bedriver verksamhet i de länder som ingår i Europeiska ekonomiska samarbetsområdet, Storbritannien och/eller Schweiz och/eller – i den utsträckning som parterna har kommit överens om – Kunden och/eller Kundens Närstående bolag i något annat land i den utsträckning som GDPR eller motsvarande schweizisk lagstiftning är tillämplig.

Kundens och Kundens Närstående bolags kontaktpersons befattning och kontaktuppgifter samt (om sådan utsetts) dataskyddsombudets och (om relevant) representantens kontaktuppgifter ska meddelas Klaviyo före behandlingen av personuppgifter via e-post till privacy@klaviyo.com eller via ett tillgängligt formulär som tillhandahålls av Klaviyo i Kundens konto i Tjänsterna.

De aktiviteter som är relevanta för dataöverföringen enligt dessa klausuler definieras i avtalet och av dataexportören, som beslutar om omfattningen av behandlingen av personuppgifter i samband med Tjänsterna, vilket beskrivs närmare i denna bilaga 1 och i Avtalet.

2. Uppgiftsimportör

Klaviyo, Inc., 125 Summer Street, Floor 6, Boston, MA, 02110, USA

Dataimportörens kontaktperson kan nås via privacy@klaviyo.com.

Dataimportörens verksamhet som är relevant för dataöverföringen enligt dessa Klausuler är följande: dataimportören behandlar personuppgifter som tillhandahålls av dataexportören för dataexportörens räkning i samband med tillhandahållandet av Tjänsterna till dataexportören, såsom närmare specificeras i denna bilaga 1 och i Avtalet.

Del 2 – BESKRIVNING AV ÖVERFÖRINGEN

1. Kategorier av registrerade

De kategorier av registrerade vars personuppgifter överförs:

Kunder och prenumeranter hos Kundens Närstående bolag som är mottagare av marknadsföringsmeddelanden samt andra personer som är målgrupper för andra marknadsföringsaktiviteter som bedrivs av Kunden och/eller Kundens närstående bolag eller deras kunder.

2. Kategorier av personuppgifter

De kategorier av personuppgifter som överförs är:

Fastställs av Kundens konfiguration av Tjänsterna och kan omfatta namn, telefonnummer, e-postadress, adressuppgifter, IP-adress, enhetsidentifierare, användningsdata (såsom interaktioner mellan en användare och Klaviyos onlinesystem, webbplats eller e-post, använd webbläsare, operativsystem, hänvisnings-URL).

Dessutom kan Kunden och Kundens Närstående bolag inkludera ytterligare personuppgifter om de registrerade enligt ovan (särskilt i ostrukturerad form) i samband med deras användning av Tjänsterna enligt Avtalet.

3. Särskilda kategorier av personuppgifter (om tillämpligt)

De överförda personuppgifterna omfattar följande särskilda kategorier av uppgifter: Ej tillämpligt – Klaviyos policy för godtagbar användning förbjuder Kunden att använda Tjänsterna för att inhämta, visa, lagra, behandla, skicka eller överföra särskilda kategorier av uppgifter.

De tillämpade begränsningarna eller skyddsåtgärderna som fullt ut beaktar uppgifternas karaktär och de risker som är förknippade med dem, såsom till exempel strikt ändamålsbegränsning, åtkomstbegränsningar (inklusive åtkomst endast för personal som genomgått specialutbildning), registerföring över åtkomst till uppgifterna, begränsningar för vidareöverföringar eller ytterligare säkerhetsåtgärder är: Ej tillämpligt

4. Överföringens frekvens

Överföringens frekvens är: Överföringen sker kontinuerligt och bestäms av Kundens konfiguration av Tjänsterna.

5. Ämne och karaktär av behandlingen

Syftet med behandlingen är: att tillhandahålla en plattform för dataanalys och marknadsföringsautomatisering till Kunden.

6. Syfte(n) med dataöverföringen och den vidare behandlingen

Syftet/syftena med dataöverföringen och den vidare behandlingen är: att tillhandahålla Tjänsterna till Kunden i enlighet med Avtalet så att Kunden kan analysera kunddata, förbättra sina kundrelationer och skicka marknadsföring och annan kommunikation till sina kunder.

7. Varaktighet

Den period under vilken personuppgifterna kommer att lagras, eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period: varaktigheten definieras i klausul 10 i DPA.

8. Underbiträde (om tillämpligt)

För överföringar till underbiträden ska ämne, art och varaktighet för behandlingen anges: enligt vad som anges i klausul 5.1 i DPA. Underbiträdena kan ha tillgång till Personuppgifterna under giltighetstiden för detta DPA eller tills tjänsteavtalet med respektive Underbiträde sägs upp eller åtkomsten för Underbiträden har uteslutits enligt överenskommelse mellan Klaviyo och Kunden.

Del 3 – BEHÖRIG TILLSYNSMYNDIGHET

Ange den eller de behöriga tillsynsmyndigheterna i enlighet med klausul 13 i Standardavtalsklausulerna

Om dataexportören är etablerad i en EU-medlemsstat: Tillsynsmyndigheten i det land där dataexportören är etablerad är den behöriga myndigheten.

Om dataexportören inte är etablerad i en EU-medlemsstat, men omfattas av GDPR:s territoriella tillämpningsområde i enlighet med artikel 3.2 och har utsett en representant enligt artikel 27.1 i GDPR: Den behöriga tillsynsmyndigheten är den i den Medlemsstat där representanten är etablerad.

Om dataexportören inte är etablerad i en EU-medlemsstat, men omfattas av GDPR:s territoriella tillämpningsområde i enlighet med artikel 3.2 utan att dock behöva utse en representant enligt artikel 27.2 i GDPR: Den behöriga tillsynsmyndigheten är tillsynsmyndigheten i Irland, nämligen Data Protection Commission (https://www.dataprotection.ie/).

─────────────────

Bilaga 2
TEKNISKA OCH ORGANISATORISKA ÅTGÄRDER

Klaviyo har vidtagit följande tekniska och organisatoriska åtgärder (inklusive relevanta certifieringar) för att säkerställa en lämplig säkerhetsnivå, med beaktande av behandlingens art, omfattning, sammanhang och syfte samt riskerna för fysiska personers rättigheter och friheter:

1. Organisationsledning och särskild personal som ansvarar för utveckling, implementering och underhåll av Klaviyos informationssäkerhetsprogram.

2. Revisions- och riskbedömningsförfaranden för periodisk granskning och bedömning av risker för Klaviyos organisation, övervakning och upprätthållande av efterlevnaden av Klaviyos policyer och förfaranden samt rapportering av läget avseende informationssäkerhet och efterlevnad till den interna ledningen.

3. Användning av kommersiellt tillgänglig krypteringsteknik som uppfyller branschstandarder för Kundernas Personuppgifter som:

(a) överförs av Klaviyo via offentliga nätverk (dvs. internet) eller vid trådlös överföring; eller

(b) lagras eller förvaras på bärbara eller flyttbara medier (dvs. bärbara datorer, CD/DVD, USB-minnen, säkerhetskopieringsband).

4. Datasäkerhetskontroller som åtminstone, men inte uteslutande, omfattar logisk segregering av data, logiska åtkomstkontroller utformade för att hantera elektronisk åtkomst till data och systemfunktioner baserat på behörighetsnivåer och arbetsuppgifter (t.ex. beviljande av åtkomst enligt principen om behov av att veta och minsta möjliga behörighet, användning av unika ID:n och lösenord för alla användare, regelbunden granskning samt omedelbar återkallelse/ändring av åtkomst när anställningen upphör eller förändringar i arbetsuppgifterna inträffar).

5. Lösenordskontroller utformade för att hantera och kontrollera lösenordens styrka, giltighetstid och användning, inklusive förbud mot att användare delar lösenord och krav på att de lösenord som Klaviyo tilldelar sina anställda: (i) ska vara minst åtta (8) tecken långa, (ii) inte får lagras i läsbart format på Klaviyos datorsystem; (iii) måste ha en definierad komplexitet; (iv) måste ha en historikgräns för att förhindra återanvändning av nyligen använda lösenord; och (v) nyutfärdade lösenord måste bytas ut efter första användningen.

6. Systemrevision eller händelseloggning samt tillhörande övervakningsrutiner för att proaktivt registrera användaråtkomst och systemaktivitet för rutinmässig granskning.

7. Fysisk och miljömässig säkerhet för datacenter, serverrum och andra utrymmen som innehåller Personuppgifter, utformad för att: (i) skydda informationstillgångar mot obehörig fysisk åtkomst, (ii) hantera, övervaka och logga personers in- och utpassering till och från Klaviyos anläggningar, samt (iii) skydda mot miljöfaror såsom värme, brand och vattenskador.

8. Driftsrutiner och kontroller för att säkerställa konfiguration, övervakning och underhåll av teknik- och informationssystem i enlighet med föreskrivna interna och antagna branschstandarder, inklusive säker avyttring av system och media för att göra all information eller data som finns däri oläsbar eller oåterställbar före slutlig avyttring eller överlämnande från Klaviyos besittning.

9. Rutiner för förändringshantering och spårningsmekanismer utformade för att testa, godkänna och övervaka alla förändringar av Klaviyos teknik- och informationstillgångar.

10. Rutiner för incident- och problemhantering utformade för att göra det möjligt för Klaviyo att utreda, reagera på, mildra och rapportera händelser relaterade till Klaviyos teknik- och informationsresurser.

11. Nätverkssäkerhetskontroller som omfattar användning av brandväggssystem, system för intrångsdetektering och andra rutiner för korrelation av trafik och händelser, utformade för att skydda systemen mot intrång och begränsa omfattningen av eventuella framgångsrika attacker.

12. Teknik för sårbarhetsbedömning, patchhantering och hotskydd samt schemalagda övervakningsrutiner utformade för att identifiera, bedöma, mildra och skydda mot identifierade säkerhetshot, virus och annan skadlig kod.

13. Rutiner för affärsresiliens/kontinuitet och katastrofåterställning i syfte att upprätthålla tjänsten och/eller återhämta sig från förutsebara nödsituationer eller katastrofer.

─────────────────

Bilaga 3
STANDARDKONTRAKTKLAUSULER

I dessa Standardavtalsklausuler gäller följande:

1. Modul två ska tillämpas vid behandling enligt klausul 3.1(a)(i) i DPA och modul tre ska tillämpas vid behandling enligt klausul 3.1(a)(ii) i DPA.

2. Klausul 7 i Standardavtalsklausulerna (dockningsklausul) är inte tillämplig.

3. Klausul 9(a) alternativ 2 (Allmänt skriftligt tillstånd) väljs, och den tidsperiod som ska anges fastställs i klausul 5.3 i DPA.

4. Alternativet i klausul 11(a) i Standardavtalsklausulerna (oberoende tvistlösningsorgan) är inte tillämpligt.

5. När det gäller klausul 17 i Standardavtalsklausulerna (Tillämplig lag) är Parterna överens om att alternativ ett ska tillämpas. Parterna är överens om att tillämplig lag ska vara Republiken Irlands lag.

6. I klausul 18 i Standardavtalsklausulerna (Val av domstol och jurisdiktion) underkastar sig Parterna jurisdiktionen hos domstolarna i Republiken Irland.

7. För Tillämpningen av bilaga I till Standardavtalsklausulerna innehåller bilaga 1 uppgifter om parterna, en beskrivning av överföringen samt den behöriga tillsynsmyndigheten.

8. För tillämpningen av bilaga II till Standardavtalsklausulerna innehåller bilaga 2 de tekniska och organisatoriska åtgärderna.

9. Uppgifterna för bilaga III till Standardavtalsklausulerna fastställs i klausul 5.1 i DPA. Namn, befattning och kontaktuppgifter för Underbiträdets kontaktperson tillhandahålls av Klaviyo på begäran.

─────────────────

Bilaga 4
YTTERLIGARE KOMPLETTERANDE ÅTGÄRDER

Klaviyo förbinder sig vidare att vidta kompletterande åtgärder utifrån riktlinjer från EU:s tillsynsmyndigheter i syfte att stärka skyddet av Kundens Personuppgifter i samband med behandlingen i ett tredjeland, enligt beskrivningen i denna bilaga 4.

1. Ytterligare tekniska åtgärder (kryptering)

1.1 Personuppgifterna överförs (mellan Parterna och av Klaviyo mellan datacenter samt till ett Underbiträde och tillbaka) med hjälp av stark kryptering.

1.2 Personuppgifterna i lagrad form lagras av Klaviyo med hjälp av stark kryptering

2. Ytterligare organisatoriska åtgärder

2.1 Interna riktlinjer för styrning av överföringar, särskilt inom företagsgrupper

(a) Antagande av adekvata interna riktlinjer med tydlig ansvarsfördelning för dataöverföringar, rapporteringskanaler och standardrutiner för fall där offentliga myndigheter lämnar in formella eller informella begäranden om tillgång till uppgifterna.

(b) Utveckling av specifika utbildningsrutiner för personal som ansvarar för hanteringen av förfrågningar om tillgång till personuppgifter från offentliga myndigheter, vilka bör uppdateras regelbundet för att återspegla nya lagstiftningsmässiga och rättsliga utvecklingar i tredjelandet och inom EES.

2.2 Åtgärder för öppenhet och ansvarsskyldighet

Regelbunden offentliggörande av öppenhetsrapporter eller sammanfattningar avseende myndighetsförfrågningar om tillgång till uppgifter och vilken typ av svar som lämnats, i den mån offentliggörande är tillåtet enligt lokal lagstiftning.

2.3 Organisatoriska metoder och åtgärder för dataminimering

Utveckling och genomförande av bästa praxis av båda Parter för att på ett lämpligt sätt och i rätt tid involvera och ge tillgång till information till sina respektive dataskyddsombud, om sådana finns, samt till sina juridiska avdelningar och interna revisionsenheter i frågor som rör internationella överföringar av personuppgifter.

2.4 Övrigt

Klaviyo ska anta och regelbundet se över interna riktlinjer för att bedöma lämpligheten hos de genomförda kompletterande åtgärderna samt identifiera och genomföra ytterligare eller alternativa lösningar när så är nödvändigt, för att säkerställa att en skyddsnivå för de överförda personuppgifterna som i allt väsentligt motsvarar den som garanteras inom EES upprätthålls.

3. Ytterligare avtalsmässiga åtgärder

3.1 Skyldigheter avseende öppenhet

(a) Klaviyo försäkrar att (1) företaget inte avsiktligt har skapat bakdörrar eller liknande programmering som kan användas för att få tillgång till systemet och/eller personuppgifter, (2) det inte avsiktligt har skapat eller ändrat sina affärsprocesser på ett sätt som underlättar åtkomst till personuppgifter eller system, och (3) att nationell lagstiftning eller statlig politik inte kräver att Klaviyo skapar eller upprätthåller bakdörrar eller underlättar åtkomst till personuppgifter eller system, eller att Klaviyo ska inneha eller överlämna krypteringsnyckeln.

(b) Klaviyo ska regelbundet kontrollera giltigheten av de uppgifter som lämnats i TIA-frågeformuläret och utan dröjsmål underrätta Kunden om eventuella ändringar. Klausul 14(e) i de standardavtalsklausulerna (SCC) ska förbli oförändrad.

3.2 Skyldigheter att vidta särskilda åtgärder

I händelse av ett föreläggande om att lämna ut eller bevilja åtkomst till personuppgifterna åtar sig Klaviyo att informera den begärande myndigheten om att föreläggandet är oförenligt med de skyddsåtgärder som ingår i överföringsverktyget enligt artikel 46 i GDPR och den därav följande skyldighetskonflikten för Klaviyo.

3.3 Möjliggöra för registrerade att utöva sina rättigheter

(a) Klaviyo förbinder sig att på ett rättvist sätt ersätta den registrerade för alla materiella och immateriella skador som denne lidit till följd av att dennes personuppgifter, som överförts med det valda överföringsverktyget, har lämnats ut i strid med de åtaganden som ingår i verktyget.

(b) Utan hinder av vad som anges ovan har Klaviyo ingen skyldighet att ersätta den registrerade i den utsträckning den registrerade redan har erhållit ersättning för samma skada.

(c) Ersättningen är begränsad till materiella och immateriella skador enligt GDPR och omfattar inte följdskador eller andra skador som inte härrör från Klaviyos överträdelse av GDPR.

4. Ytterligare skyldigheter vid förfrågningar eller begäran om tillgång från offentliga myndigheter

4.1 Klaviyo ska omedelbart underrätta Kunden:

(a) Om alla rättsligt bindande förfrågningar från en brottsbekämpande myndighet eller annan statlig myndighet (”Offentlig myndighet”) om att lämna ut de personuppgifter som kunden har delat (”Överförda Personuppgifter”); sådan underrättelse ska innehålla information om de begärda personuppgifterna, den begärande myndigheten, den rättsliga grunden för förfrågan och det svar som lämnats. Sådan underrättelse ska ske innan några personuppgifter lämnas ut som svar på sådana förfrågningar.

(b) Om Klaviyo får kännedom om att offentliga myndigheter har direkt tillgång till Överförda Personuppgifter i enlighet med lagstiftningen i mottagarlandet; ett sådant meddelande ska innehålla all information som Klaviyo har tillgång till.

(c) Om Klaviyo är förbjudet att underrätta Kunden och/eller den registrerade, åtar sig Klaviyo att göra sitt yttersta för att erhålla ett undantag från förbudet, i syfte att lämna så mycket information som möjligt och så snart som möjligt. Klaviyo åtar sig att dokumentera sina ansträngningar för att kunna styrka dem på begäran av dataexportören.

4.2 Klaviyo förbinder sig att, enligt lagstiftningen i mottagarlandet, granska lagligheten i den offentliga myndighetens begäran, särskilt om den ligger inom ramen för de befogenheter som tilldelats den begärande myndigheten, samt att uttömma alla tillgängliga rättsmedel för att bestrida begäran om Klaviyo, efter en noggrann bedömning, drar slutsatsen att det finns grunder enligt lagstiftningen i mottagarlandet att göra detta. Detta omfattar begäranden enligt avsnitt 702 i den amerikanska domstolen för utländsk underrättelseövervakning (Foreign Intelligence Surveillance Court) eller enligt presidentförordning 12333. När Klaviyo bestrider en begäran ska företaget ansöka om interimistiska åtgärder i syfte att upphäva begäranens verkan tills domstolen har fattat beslut i sakfrågan. Klaviyo ska inte lämna ut eller ge tillgång till de begärda personuppgifterna förrän detta krävs enligt tillämpliga processuella regler och ska vid sådan tidpunkt endast tillhandahålla den minsta mängd information som krävs för att efterkomma begäran, baserat på en rimlig tolkning av begäran.

4.3 Klaviyo förbinder sig att bevara den information som krävs för att uppfylla bestämmelserna i denna bilaga 4 under avtalets giltighetstid och, såvida inte tillämplig lag förbjuder detta, göra den tillgänglig för den behöriga tillsynsmyndigheten på begäran och när så krävs enligt tillämplig lag.

─────────────────

Bilaga 5
TILLÄGG FÖR STORBRITANNIEN OCH SCHWEIZ

1. TILLÄGG FÖR STORBRITANNIEN

När det gäller överföringar av Kundens Personuppgifter som omfattas av den brittiska GDPR från Kunden (som dataexportör) till Klaviyo (som dataimportör):

1.1 Det Godkända tillägget, som specificeras närmare i denna bilaga 5, ska utgöra en del av detta DPA och Standardavtalsklausulerna ska läsas och tolkas mot bakgrund av bestämmelserna i det Godkända tillägget, i den utsträckning som krävs enligt klausul 12 i Tvångsklausulerna.

1.2 Med avvikelse från tabell 1 i det Godkända tillägget och i enlighet med klausul 17 i Tvångsklausulerna specificeras parterna närmare i bilaga 1 del 1 till detta DPA.

1.3 De valda modulerna och klausulerna, som ska fastställas enligt tabell 2 i det Godkända tillägget, specificeras närmare i bilaga 3 till detta DPA, i dess lydelse enligt Tvångsklausulerna.

1.4 Bilaga 1 A och B i tabell 3 till det Godkända tillägget specificeras i bilaga 1 till detta DPA, bilaga II till det Godkända tillägget specificeras vidare i bilaga 2 till detta DPA, och bilaga III till det Godkända tillägget specificeras vidare i bilaga 1 punkt B.10 till detta DPA.

1.5 Klaviyo (i egenskap av dataimportör) får säga upp detta DPA i den utsträckning det Godkända tillägget är tillämpligt i enlighet med klausul 19 i Tvångsklausulerna.

1.6 Klausul 16 i Tvångsklausulerna ska inte tillämpas.

2. SCHWEIZISKT TILLÄGG

Enligt vad som anges i klausul 13 i DPA ska detta schweiziska tillägg gälla för all behandling av Kundens Personuppgifter som omfattas av schweizisk dataskyddslagstiftning eller av både schweizisk dataskyddslagstiftning och GDPR.

2.1 Tolkning av detta tillägg

(a) När detta tillägg använder termer som definieras i Standardavtalsklausulerna, såsom närmare specificeras i bilaga 3 till detta DPA, ska dessa termer ha samma betydelse som i Standardavtalsklausulerna. Dessutom har följande termer följande betydelser:

(i) ”Detta tillägg” avser detta tillägg till Klausulerna.

(ii) ”Klausulerna” avser Standardavtalsklausulerna enligt närmare specifikation i bilaga 3 till detta DPA.

(iii) ”Schweizisk dataskyddslagstiftning” avser den schweiziska federala lagen om dataskydd av den 19 juni 1992 och den schweiziska förordningen till den schweiziska federala lagen om dataskydd av den 14 juni 1993, samt alla nya eller reviderade versioner av dessa lagar som från tid till annan kan träda i kraft.

(b) Detta tillägg ska läsas och tolkas mot bakgrund av bestämmelserna i den schweiziska dataskyddslagstiftningen, och så att det uppfyller syftet att tillhandahålla lämpliga skyddsåtgärder enligt artikel 46 i GDPR och/eller artikel 6.2 a i den schweiziska dataskyddslagstiftningen, beroende på vad som är tillämpligt.

(c) Detta tillägg ska inte tolkas på ett sätt som strider mot de rättigheter och skyldigheter som föreskrivs i den schweiziska dataskyddslagstiftningen.

(d) Alla hänvisningar till lagstiftning (eller specifika bestämmelser i lagstiftningen) avser den lagstiftningen (eller den specifika bestämmelsen) i dess eventuella ändrade lydelse över tid. Detta inkluderar fall där den lagstiftningen (eller den specifika bestämmelsen) har konsoliderats, återinförts och/eller ersatts efter det att detta tillägg har ingåtts.

2.2 Hierarki

I händelse av konflikt eller inkonsekvens mellan detta tillägg och bestämmelserna i Klausulerna eller andra relaterade avtal mellan Parterna som gäller vid den tidpunkt då detta tillägg avtalas eller ingås därefter, ska de bestämmelser som ger de registrerade störst skydd ha företräde.

2.3 Införlivande av Klausulerna

(a) När det gäller all behandling av personuppgifter som omfattas av schweizisk dataskyddslagstiftning eller av både schweizisk dataskyddslagstiftning och GDPR, ändrar detta tillägg DPA, inklusive vad som ytterligare specificeras i bilaga 3 till detta DPA, i den utsträckning som är nödvändig för att de ska gälla:

(i) vid överföringar som görs av dataexportören till dataimportören, i den utsträckning som schweizisk dataskyddslagstiftning eller schweizisk dataskyddslagstiftning och GDPR är tillämplig på dataexportörens behandling vid genomförandet av överföringen; och

(ii) för att tillhandahålla lämpliga skyddsåtgärder för överföringarna i enlighet med artikel 46 i GDPR och/eller artikel 6.2 a i den schweiziska dataskyddslagstiftningen, beroende på vad som är tillämpligt.

(b) I den mån all behandling av personuppgifter uteslutande omfattas av schweizisk dataskyddslagstiftning ska ändringarna av DPA, inklusiveStandardavtalsklausulerna, såsom närmare anges i bilaga 3 till detta DPA och enligt vad som krävs enligt klausul 2.1 i detta schweiziska tillägg, omfatta (utan begränsning):

(i) Hänvisningar till ”Klausulerna” eller ”SCC:erna” avser detta schweiziska tillägg i den utsträckning det ändrar SCC:erna och

(ii) Klausul 6, ”Beskrivning av överföringen/överföringarna”, ersätts med:

”Uppgifterna om överföringen eller överföringarna, och i synnerhet de kategorier av personuppgifter som överförs samt de syften för vilka de överförs, är de som anges i bilaga 1 till detta DPA, där schweizisk dataskyddslagstiftning är tillämplig på dataexportörens behandling vid genomförandet av överföringen.”

(iii) Hänvisningar till ”förordning (EU) 2016/679” eller ”den Förordningen” eller ”GDPR” ersätts med ”schweizisk dataskyddslagstiftning” och hänvisningar till specifika artiklar i ”förordning (EU) 2016/679” eller ”GDPR” ersätts med motsvarande artikel eller avsnitt i den schweiziska dataskyddslagstiftningen i den mån den är tillämplig.

(iv) Hänvisningar till förordning (EU) 2018/1725 tas bort.

(v) Hänvisningar till ”Europeiska unionen”, ”unionen”, ”EU” och ”EU-medlemsstat” ersätts alla med ”Schweiz”.

(vi) Klausul 13(a) och del C i bilaga I tillämpas inte; den ”behöriga tillsynsmyndigheten” är den federala dataskydds- och informationskommissarien (”FDPIC”) i den mån överföringarna regleras av schweizisk dataskyddslagstiftning;

(vii) Klausul 17 ersätts med följande lydelse:

”Dessa Klausuler regleras av schweizisk lag i den mån överföringarna regleras av schweizisk dataskyddslagstiftning”.

(viii) Klausul 18 ersätts med följande:

”Varje tvist som uppstår i samband med dessa Klausuler och som avser schweizisk dataskyddslagstiftning ska avgöras av domstolarna i Schweiz. Registrerade kan också väcka talan mot dataexportören och/eller dataimportören vid domstolarna i Schweiz där han eller hon har sin vanliga vistelseort. Parterna samtycker till att underkasta sig dessa domstolars jurisdiktion.”

Fram till dess att den reviderade schweiziska dataskyddslagstiftningen träder i kraft ska Klausulerna även skydda personuppgifter som rör juridiska personer och juridiska personer ska åtnjuta samma skydd enligt klausulerna som fysiska personer.

2.4 I den mån någon behandling av personuppgifter omfattas av både den schweiziska dataskyddslagstiftningen och GDPR ska DPA, inklusive Klausulerna enligt närmare angivelse i bilaga 3 till detta DPA, tillämpas (i) i sin nuvarande form och (ii) dessutom, i den mån en överföring omfattas av den schweiziska dataskyddslagstiftningen, i dess lydelse enligt klausulerna 2.1 och 2.3 i detta schweiziska tillägg, med det enda undantaget att klausul 17 iStandardavtalsklausulerna inte ska ersättas enligt vad som anges i klausul 2.3(b)(vii) i detta schweiziska tillägg.

2.5 Kunden garanterar att denne och/eller Kundens Närstående bolag har lämnat in alla anmälningar till FDPIC som krävs enligt schweizisk dataskyddslagstiftning.

─────────────────

Bilaga 6
TILLÄGG FÖR USA

Enligt vad som anges i klausul 14 i DPA ska detta tillägg för USA gälla all behandling av Kundens Personuppgifter som omfattas av amerikansk dataskyddslagstiftning.

I den utsträckning som krävs enligt amerikansk dataskyddslagstiftning är det förbjudet för Klaviyo att:

(a) sälja Kundens Personuppgifter eller på annat sätt göra Kundens Personuppgifter tillgängliga för tredje part mot ekonomisk eller annan värdefull ersättning;

(b) dela Kundens Personuppgifter med någon tredje part för beteendebaserad reklam;

(c) lagra, använda eller lämna ut Kundens Personuppgifter för något annat syfte än de affärssyften som anges i Avtalet eller som på annat sätt tillåts enligt amerikansk dataskyddslagstiftning;

(d) lagra, använda eller lämna ut Kundens Personuppgifter utanför den direkta affärsrelationen mellan Parterna; och

(e) såvida inte annat tillåts enligt amerikansk dataskyddslagstiftning, att kombinera Kundens Personuppgifter med Personuppgifter som Klaviyo erhåller från eller på uppdrag av en eller flera andra personer, eller samlar in genom sin egen interaktion med den registrerade.