DORA-BILAGA FÖR FÖRETAGS-ANVÄNDARE

1. BAKGRUND OCH SYFTE

1.1 Denna bilaga (“DORA-bilagan”) utgör en del av Allmänna villkor för företagsanvändare (“Villkoren”) och reglerar de tilläggskrav som följer av Europaparlamentets och rådets förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn (“DORA”). DORA-bilagan gäller för Företagsanvändare som omfattas av DORA i enlighet med avsnitt 11 i Villkoren.

1.2 De informations- och kommunikationstekniktjänster (“IKT-tjänster”) som Kivra tillhandahåller Företagsanvändaren specificeras i Villkoren och benämns i denna DORA-bilaga som “Tjänsten”.

1.3 Parterna är överens om att Tjänsten som Kivra tillhandahåller inte utgör stöd för “kritiska eller viktiga funktioner” för Företagsanvändaren enligt definitionen i DORA. Följaktligen är endast kraven i DORA Artikel 30.2 tillämpliga på denna bilaga.

1.4 Kivra tillämpar ett ledningssystem för informationssäkerhet (ISMS) baserat på principerna i ISO/IEC 27000-serien. Information om Kivras säkerhetsarbete tillhandahålls på skälig begäran.

2. TJÄNSTEN OCH UNDERLEVERANTÖRER (DORA ART. 30.2(a))

2.1 Kivra tillhandahåller en tjänst som möjliggör för Företagsanvändaren att förmedla elektroniska meddelanden och andra digitala försändelser till privatpersoner och företag som har ingått ett användaravtal med Kivra om användning av en digital brevlåda i enlighet med vad som beskrivs i Villkoren.

2.2 Kivra äger rätt att anlita och byta underleverantörer för utförandet av Tjänsten. En aktuell förteckning över platser för databehandling och väsentliga underleverantörer tillhandahålls på Företagsanvändarens begäran.

2.3 Kivra ska informera Företagsanvändaren om väsentliga förändringar avseende anlitade underleverantörer eller förändringar i leveransmodellen som skäligen kan förväntas påverka Företagsanvändarens IKT-risk. Sådan information lämnas genom Kivras allmänna kundkommunikation eller på annat lämpligt sätt.

3. PLATSER FÖR TJÄNSTEN OCH DATABEHANDLING (DORA ART. 30.2(b))

3.1 Kivra tillhandahåller Tjänsten med hjälp av infrastruktur och datalagring inom EU/EES. Ingen data överförs utanför EU/EES utan Företagsanvändarens uttryckliga skriftliga förhandsgodkännande.

3.2 Kivra ska informera Företagsanvändaren om planerade förändringar av de länder där data behandlas eller lagras i enlighet med punkt 2.3 ovan.

4. SÄKERHET OCH SKYDD AV DATA (DORA ART. 30.2(c))

4.1 Kivra vidtar lämpliga tekniska och organisatoriska åtgärder för att säkerställa tillgänglighet, autenticitet, integritet och konfidentialitet avseende data som behandlas inom ramen för Tjänsten, inklusive personuppgifter.

4.2 Vid eventuell motstridighet mellan bestämmelserna i denna DORA-bilaga och Personuppgiftsbiträdesavtalet ska bestämmelserna i Personuppgiftsbiträdesavtalet äga företräde.

5. SERVICENIVÅER (DORA ART. 30.2(e))

5.1 Tjänstens tillgänglighet och övriga servicenivåer specificeras i Villkoren.

6. HANTERING AV IKT-RELATERADE INCIDENTER (DORA ART. 30.2(f))

6.1 Om en IKT-relaterad incident inträffar som påverkar Tjänsten som tillhandahålls Företagsanvändaren, ska Kivra utan oskäligt dröjsmål tillhandahålla assistans och relevant information till Företagsanvändaren för att stödja Företagsanvändarens egen incidenthantering och rapporteringsskyldighet enligt DORA.

6.2 Sådan assistans, som kan inkludera information om incidentens art, rotorsak (om känd), och vidtagna eller planerade åtgärder, ska tillhandahållas utan extra kostnad, såvida inte Parterna skriftligen avtalat annat i förväg.

6.3 Kivra tillhandahåller löpande information om Tjänstens driftstatus på https://kivrastatus.se/.

7. MYNDIGHETSSAMARBETE (DORA ART. 30.2(g))

7.1 Kivra ska, inom ramen för vad som är skäligt, samarbeta med Företagsanvändarens behöriga tillsynsmyndigheter och resolutionsmyndigheter, inklusive personer utsedda av dessa, i den mån sådant samarbete avser Tjänsten och är nödvändigt för att Företagsanvändaren ska kunna uppfylla sina regulatoriska skyldigheter.

8. DATATILLGÅNG OCH ÅTERLÄMNING (DORA ART. 30.2(d))

8.1 Vid upphörande av Villkoren mellan Parterna, oavsett orsak, ska Kivra på Företagsanvändarens begäran bistå Företagsanvändaren med att på ett säkert sätt återfå eller radera Företagsanvändarens data som Kivra innehar. Data ska kunna återlämnas i ett standardiserat, maskinläsbart och allmänt användbart format.

8.2 Vid händelse av Kivras insolvens, konkurs eller liknande förfarande ska Kivra, i den utsträckning det är tillåtet enligt tvingande lag, vidta skäliga åtgärder för att möjliggöra för Företagsanvändaren att återfå sin data.

9. UPPSÄGNING (DORA ART. 30.2(h))

9.1 Uppsägning av DORA-bilagan mellan Parterna sker i enlighet med avsnitt 14 i Villkoren.

9.2 Utöver de uppsägningsrätter som framgår av Villkoren har Företagsanvändaren rätt att säga upp DORA-bilagan med omedelbar verkan om någon av följande omständigheter föreligger:

(a) Kivra väsentligen bryter mot gällande lag, föreskrifter eller avtalsvillkor;

(b) omständigheter identifieras som bedöms kunna väsentligt påverka utförandet av Tjänsten, inbegripet väsentliga förändringar av avtalsåtagandena eller Kivras situation;

(c) Kivra uppvisar påvisade brister i sin övergripande IKT-riskhantering, särskilt avseende tillgänglighet, autenticitet, integritet och konfidentialitet för data; eller

(d) Företagsanvändarens behöriga tillsynsmyndighet inte längre kan utöva effektiv tillsyn över Företagsanvändaren till följd av de villkor eller omständigheter som är kopplade till avtalsförhållandet mellan Parterna.

10. SÄKERHETSMEDVETENHET (DORA ART. 30.2(i))

10.1 Med hänsyn till Tjänstens karaktär (digital distributions- och brevlådetjänst) är Kivras personal inte direkt delaktig i Företagsanvändarens IKT-säkerhetsprogram. Kivra genomför dock egna program för säkerhetsmedvetenhet och utbildning för sin personal.

11. ÖVRIGT

11.1 Om Tjänstens karaktär eller omfattning ändras på ett sådant sätt att den, enligt Företagsanvändarens eller Kivras bedömning, kan komma att klassificeras som stöd för kritiska eller viktiga funktioner enligt DORA, ska Parterna utan oskäligt dröjsmål inleda förhandlingar för att uppdatera denna DORA-bilaga.

11.2 Denna DORA-bilaga gäller så länge Villkoren mellan Parterna är i kraft och upphör automatiskt när Villkoren upphör.