Momentive leverer produktene sine over hele verden og bruker globale underbehandlere for å hjelpe oss med å levere disse produktene og tjenestene. I kontrakten vår med deg forplikter vi oss til at alle overføringer av personopplysninger til oss er i samsvar med databeskyttelseslover. Vi sikrer også at når vi overfører personopplysninger videre, beskytter mottakeren personopplysningene med beskyttelsestiltak som ikke er mindre enn standarden vi følger for personopplysninger vi kontrollerer.

For å hjelpe deg med å fastslå at det er et tilstrekkelig beskyttelsesnivå for personopplysninger som overføres til Momentive og videre – med hensyn til kjennelsen 16. juli 2020 fra Domstolen i Den europeiske union («CJEU») i Case C-311/18, Data Protection Commissioner v Facebook Ireland Limited and Maximilian Schrems («Schrems II») og Det europeiske personvernrådets («EDPB») veiledning om supplerende tiltak – oppgir vi litt informasjon nedenfor om hvordan informasjonen din beskyttes når den overføres.

Se personvernreglene for mer informasjon om hvordan vi behandler personopplysninger generelt.

Del I: Overføringer til Momentive

Del II: Videre overføringer til underbehandlere

Hvis du er en kunde i USA, inkluderer kontrakten din et tillegg om databeskyttelse («DPA») med Momentives instans i USA: Momentive Inc. Hvis du har brukere i EØS (Det europeiske økonomiske samarbeidsområdet) eller i Storbritannia, og derfor krever en overføringsmekanisme for brukerdata til Momentive, kan du be om at vi legger til standard kontraktklausuler for EU og/eller Storbritannia («SCC-er»).

Hvis du er en kunde i EØS eller Storbritannia, inkluderer kontrakten din et tillegg om databeskyttelse («DPA») med Momentives instans i Irland: Mometive Europe UC. Siden overføring fra deg til Momentive er mellom europeiske instanser som ikke krever overføringsmekanismer (eller som har anerkjent hverandres tilstrekkelighetsstatus), kreves ingen andre overføringsmekanismer.

Hvis du er en kunde utenfor USA, EØS eller Storbritannia, men du har brukere i EØS eller Storbritannia og må sikre at det finnes en overføringsmekanisme for videre overføring, skal kontrakten din inkludere en DPA med Momentives irske instans, Mometive Europe UC, og du kan be om at vi legger til SCC-er for EU og/eller Storbritannia.

Du overfører personopplysninger til Momentive, slik at vi kan behandle personopplysningene for de følgende formålene:

Du bør vurdere om du overfører data for andre formål.

Kundens personopplysninger som overføres til Momentive, kan inneholde så mange eller få personopplysninger som du velger å oppgi i spørsmålene dine i spørreundersøkelser, skjemaer og spørreskjemaer. Som en plattform antar vi at et stort spekter personopplysninger – inkludert potensielt data i spesielle kategorier – innhentes av deg. 

Informasjon vi innhenter spesifiseres i avsnitt 2 i personvernreglene.

Som bemerket ovenfor, er kontrakten din med en Momentive-instans i USA eller Irland – avhengig av hvor du befinner deg. Basert på råd fra eksterne kilder spesialisert innen databeskyttelse og analyse av lovene Momentive er underlagt, mener vi at risikoen knyttet til den juridiske ordningen i USA er lav, og at risikoen knyttet til den juridiske ordningen i Irland ikke er materiell for dataemnet. Se avsnittet «Supplerende tiltak: Organisatoriske» nedenfor for mer informasjon spesifikt for amerikansk lovgivning.

Selv der det er lav eller ingen materiell risiko på grunn av den juridiske ordningen i mållandet, har Momentive implementert supplerende tiltak for å beskytte personopplysninger. De supplerende tiltakene er delt inn i tre kategorier: (i) kontraktsmessige, (ii) organisatoriske og (iii) tekniske beskyttelsestiltak. 

Som beskrevet ovenfor, godtar Momentive å inngå SCC-er med kunder. Schrems II-kjennelsen indikerer at parter kan bruke SCC-er og (der det er passende) ytterligere beskyttelsestiltak for overføring av personopplysninger fra Storbritannia og EØS («Europeiske data») til USA. Hvis du har inngått en avtale med eller på andre måter mottar tjenester fra Momentive som krever at Momentive behandler personopplysningene til registrerte i Europa, kommer Momentive (i den grad det er passende avhengig av Momentive-instansen du inngår kontrakt med) til å 

Hvis du vil ha mer informasjon om avtalen vår om å være bundet av standard kontraktklausuler, kan du se vilkårene for bruk (for selvbetjente kunder), den gjeldende tjenesteavtalen (for SurveyMonkey Enterprise- eller GetFeedback Digital-kunder) eller eventuelle andre avtaler du har forhandlet deg frem til med Momentive.

CJEUs bekymringer om overføringer av data til USA var basert på de amerikanske myndighetenes innhenting av data i henhold til US Executive Order 12333 («EO 12333») og i henhold til seksjon 702 av Foreign Intelligence Surveillance Act («FISA § 702»), spesielt «oppstrøms» overvåkning i henhold til FISA § 702.  Risikoene disse amerikanske juridiske bestemmelsene utgjør gjelder enten ikke for Momentives behandling av personopplysninger eller kan bli tilstrekkelig lindret av organisatoriske beskyttelsestiltak som Momentive tilbyr.

Momentive er ikke kvalifisert til å bli underlagt «oppstrøms» overvåkningsordre eller overvåkningsordre i bulk i henhold til FISA § 702. Momentive Inc. handler, delvis, som en elektronisk kommunikasjonstjeneste («ECS») og også potensielt en ekstern databehandlingstjeneste («RCS») (som definert i avsnitt 2510 og 2711 av Title 18 USC.) i forbindelse med visse tjenester eller produktfunksjoner vi leverer til kunder.  Momentive Inc. er derfor blant den store gruppen bedrifter som de amerikanske myndighetene kan forkynne et målrettet direktiv til i henhold til FISA § 702.  Som de amerikanske myndighetene har tolket og brukt FISA § 702, er imidlertid ikke Momentive kvalifisert til å motta den typen ordre som var hovedbekymringen til CJEU i Schrems II-avgjørelsen – dvs. en FISA § 702-ordre om «oppstrøms» overvåkning.  Som de amerikanske myndighetene har brukt FISA § 702, bruker de bare oppstrøms ordre til måltrafikk som går gjennom ryggradsleverandører av internett som leverer internettrafikk for tredjeparter (dvs. telekommunikasjonsoperatører).  Du kan for eksempel se rapporten til Privacy and Civil Liberties Oversight Board, Report on the Surveillance Program Operated Pursuant to Section 702 of the Foreign Intelligence Surveillance Act (2. juli 2014), pp. 35–40, som er tilgjengelig på https://fas.org/irp/offdocs/pclob-702.pdf.  Momentive leverer ikke slike ryggradstjenester for internett da vi bare leverer trafikk som involverer våre egne kunder.  Som et resultat er vi ikke kvalifisert til å motta den typen ordre som hovedsakelig tas opp i, og anses som problematisk av, Schrems II-avgjørelsen.

Momentive har ikke mottatt noen direktiver i henhold til FISA § 702, og det er usannsynlig at vi kommer til å motta noen. På datoen for denne erklæringen har ikke Momentive mottatt noen direktiver i henhold til FISA § 702 og har ingen grunn til å tro at et slikt direktiv blir gitt til Momentive.  Det er veldig usannsynlig at personopplysningene Momentive behandler for kundene våre – tilbakemeldingsdata – er relevante for aktivitetene for utenlandsk etterretning som styres av FISA § 702.  I tillegg, i tilfelle slike personopplysninger blir relevante for slike undersøkelser, er det mer sannsynlig at myndighetene ber om slike data via andre typer juridiske prosesser (for eksempel en ransakingsordre utstedt av en dommer) som overholder de høye standardene for statlig tilgang til data som beskrives i Schrems II-avgjørelsen.  Dette er fordi det hadde vært mye raskere og enklere for myndighetene å be om en ordre eller ransakingsordre i henhold til noe annet enn FISA § 702 enn å iverksette mekanismene som kreves for at myndighetene skal forkynne direktiver til Momentive i henhold til FISA § 702.

Momentive assisterer ikke – og kan ikke beordres til å assistere – amerikanske myndigheter i innhentingen deres av informasjon i henhold til Executive Order 12333. Momentive gir ikke og kommer ikke til å gi assistanse til amerikanske myndigheter som utfører overvåkning i henhold til EO 12333.  EO 12333 gir ikke de amerikanske myndighetene evnen til å tvinge bedrifter til å gi assistanse med disse aktivitetene, og Momentive kommer ikke til å gjøre det frivillig.  Som et resultat gjør ikke Momentive – og kan ikke beordres til å gjøre – noen handlinger for å legge til rette for den typen masseovervåkning i henhold til EO 12333 som Schrems II-avgjørelsen mente var problematisk.

Momentive gir en rekke tekniske tiltak som videre bekjemper kjernemanglene som oppgis i Schrems II-avgjørelsen som det henvises til ovenfor (masseovervåkning i henhold til FISA § 702 og masseavskjærelser i henhold til EO 12333).  

Momentive krypterer alle data under oppbevaring i våre datasentre ved hjelp av AES 256-basert kryptering. I tillegg krypterer Momentive alle data under overføring med (i) RSA med sertifikater basert på 2048-bits nøkkellengde som genereres av en offentlig sertifiseringsinstans, for kommunikasjoner med instanser utenfor Momentives datasentre, og (ii) RSA 256-sertifikater generert via en intern sertifiseringsinstans for alle data i datasenteret.  Dette krypteringsarbeidet har mål om å forhindre uautorisert anskaffelse av data i en lesbar form og forhindring av uautorisert avlytting/tukling når data overføres mellom to endepunkter. 

Dataene til noen Momentive-kunder (for eksempel kunder av GetFeedback Digital) blir bare lagret i EU. I disse tilfellene blir ikke dataene lagret i USA, og bare veldig minimal tilgang til dataene skjer i USA for begrensede formål (for eksempel for å levere kundestøtte ved forespørsel, for å følge sun-sikkerhetsstøtten og/eller begrenset teknisk ressursbruk for å løse tekniske problemer/feil eller bygge ut systemene våre).

Momentive opprettholder også strenge administrative, tekniske og fysiske prosedyrer for å beskytte informasjon som er lagret på serverne deres. Tilgang til personlig informasjon begrenses med påloggingslegitimasjon til de ansatte som må ha det for å utføre jobbfunksjonene sine. Momentive implementerer teknikker for dataminimering for å begrense mengden personopplysninger som overføres fra EU til tredjepartsjurisdiksjoner til å inkludere, der det er passende, pseudonymisering eller avidentifisering av data. I tillegg bruker Momentive tilgangskontroller som flerfaktorautentisering, enkel pålogging, tilgang bare når det er nødvendig, sterke passordkontroller og begrenset tilgang til administrative kontoer.  

I tillegg er Momentive, som en ECS/RCS, underlagt amerikanske Electronic Communications Privacy Act, 18 USC. § 2701, et seq. («ECPA»), som gir beskyttelse til Momentives kunder.  For eksempel forbyr ECPA statlige instanser fra å be om informasjon om kunder av tjenester som Momentive med mindre slike statlige instanser først gjennomgår en passende juridisk prosess, inkludert å motta en rettskjennelse eller ransakingsordre for annen informasjon enn grunnleggende abonnentinformasjon.  På lignende måte gir både FISA og ECPA Momentives kunder oppreisning mot de amerikanske myndighetene (inkludert erstatningsbeløp eller disiplinærtiltak mot de relevante myndighetene) hvis de får tak i informasjon om kunden på uriktig måte (se 18 USC. § 2712).

Videre har Momentives langvarige eksterne juridiske rådgiver erfaring med å svare på forespørsler fra amerikanske myndigheter om brukerdata, inkludert forespørsler for amerikansk nasjonal sikkerhet i henhold til FISA § 702.  Momentives retningslinjer er å eskalere alle slike forespørsler til Momentives eget interne samsvarsteam og, ved behov, til ekstern rådgivning for gjennomgang.  Der det er passende akter Momentive å bruke tilgjengelige juridiske mekanismer for å utfordre krav om datatilgang i henhold til FISA § 702 (inkludert bestemmelser om hemmeligholdelse eller ordre vedlagt dertil) i det usannsynlige tilfellet Momentive mottar et slikt krav.  Kravet hadde deretter blitt gjennomgått av en amerikansk domstol (FISA-domstolen). 

Momentive anerkjenner også at en ordre om å gi datatilgang i henhold til FISA § 702 krever at Momentive varsler kundene våre om at vi ikke lenger kan overholde de standard personvernbestemmelsene, noe som lar dem si opp avtalen sin med oss og suspendere dataflyt til oss.  Vi har aldri hatt behov for å utstede et slikt varsel.

Med hensyn til analysen ovenfor tror vi at risikoen for skade for den registrerte ikke er materiell.

Tabellen nedenfor oppsummerer konklusjonen vår for vurderingen av overføringsinnvirkning.

«Ikke-materiell» risiko betyr at personopplysninger overføres til en jurisdiksjon som er ansett som tilstrekkelig av Europakommisjonen (og dermed er de juridiske beskyttelsene tilsvarende de juridiske beskyttelsene i Europa), og at det finnes kontraktsmessige, tekniske og organisatoriske tiltak på plass som beskytter dataene videre.

«Lav» risiko betyr at personopplysninger overføres til en jurisdiksjon med GDPR, kapittel V-mekanisme annet enn tilstrekkelighet. Selv om de juridiske beskyttelsene ikke nødvendigvis tilsvarer juridiske beskyttelser i Europa, er overføring fremdeles i juridisk samsvar og styrkes av kontraktsmessige, tekniske og organisatoriske tiltak på plass for å beskytte dataene videre.

Underbehandlere er Momentive-leverandører som behandler personopplysningene til brukerne dine for å hjelpe Momentive med å levere tjenesten til deg. Alle Momentive-underbehandlere er bundet av kontrakt til å beskytte personopplysningene med beskyttelsestiltak som ikke er mindre enn standarden vi følger for personopplysninger vi kontrollerer.

Når Momentive overfører personopplysninger til underbehandlere, utfører vi en vurdering av overføringsinnvirkning («TIA») som minner om trinnene som vises ovenfor. Vi gjør dette for å sikre at personopplysningene dine beskyttes i hvert trinn, som påkrevd av databeskyttelseslover og kontrakten vår med deg. Vi har gitt et sammendrag over de fremtredende punktene av TIA-en for hver underbehandler nedenfor.

Merk at ikke alle underbehandlere brukes i leveringen av alle tjenestene våre. Listen vår over underbehandlere er segmentert inn i spesifikke Momentive-tjenester. 

Hvis du vil motta e-postvarslinger om oppdateringer i listen over underdatabehandlere, kan du abonnere her.

Campaign Monitor, Turbine Room Ltd (FirstOfficer.io) og Salesloft, Inc., som tidligere var underbehandlere for GetFeedback Direct, er blitt fjernet fra denne listen.