Personuppgiftsbiträdesavtal
Allmänt
1.1. Kunden är personuppgiftsansvarig för all personuppgiftsbehandling som sker med hjälp av den tjänst som Leverantören tillhandahåller enligt Avtalet (”Tjänsten”) om inte annat anges i detta personuppgiftsbiträdesavtal (”Personuppgiftsbiträdesavtalet”). Leverantören kommer för att kunna fullgöra sina skyldigheter enligt Parternas avtal om tjänsten (”Avtalet”) behandla personuppgifter på uppdrag av Kunden i egenskap av personuppgiftsbiträde. Föremålet för behandlingen, behandlingens varaktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade som berörs av behandlingen beskrivs närmare i Bilaga A till Personuppgiftsbiträdesavtalet (”Instruktionerna”). Kunden ansvarar för att all sådan personuppgiftsbehandling äger rum i enlighet med från tid till annan tillämplig personuppgiftslagstiftning, inbegripet dataskydds-förordningen (EU 2016/679) ("Tillämplig Lagstiftning").
1.2. Kunden och Leverantören benämns gemensamt som ”Parterna”.
Kundens allmänna skyldigheter
2.1. Kunden ska tillhandahålla Leverantören instruktioner för Leverantörens behandling av personuppgifter för Kundens räkning. Kunden godtar att instruktionernas lydelse i sin helhet framgår av Instruktionerna.
2.2. Kunden ska tillhandahålla Leverantören med den information och de personuppgifter som behövs och är ändamålsenliga för att denne ska kunna fullgöra sina skyldigheter enligt Personuppgiftsbiträdesavtalet och Tillämplig Lagstiftning.
2.3. Kunden ansvarar för att all behandling av personuppgifter är laglig och sker i enlighet med Personuppgiftsbiträdesavtalet och Tillämplig Lagstiftning. Kunden ska bland annat ansvara för att den behandling av personuppgifter som Leverantören utför för Kundens räkning har rättslig grund.
2.4. Kunden ska tillse att enbart de personuppgifter som är adekvata och relevanta för det specifikt valda ändamålet med behandlingen behandlas och ska endast ge Leverantören tillträde till de personuppgifter som är nödvändiga med hänsyn till ändamålet med behandlingen. Detta åtagande rör till exempel mängden personuppgifter, omfattningen av behandlingen, hur länge personuppgifterna behandlas och dess tillgänglighet.
Leverantörens allmänna skyldigheter
3.1. Leverantören ska i egenskap av personuppgiftsbiträde bara behandla personuppgifter i enlighet med Instruktionerna och enligt Personuppgiftsbiträdesavtalet. Leverantören ska säkerställa att de grundläggande principerna för behandling av personuppgifter efterlevs, däribland särskilt ändamålsbegränsning, uppgiftsminimering, integritet och konfidentialitet samt lagringsminimering.
3.2. Oaktat vad som anges i punkt 3.1 ovan har Leverantören rätt att behandla personuppgifter i den utsträckning som det krävs för att Leverantören ska kunna uppfylla skyldigheter som åvilar Leverantören enligt från tid till annan Tillämplig lag-stiftning, såsom exempelvis att efterkomma förelägganden från myndigheter. Det ankommer dock på Leverantören att innan sådan behandling genomförs informera Kunden om den rättsliga skyldigheten, såvida inte tvingande lagstiftning förhindrar Leverantören från att lämna sådan information.
3.3. Om någon begär information från Leverantören som rör Kundens behandling av personuppgifter ska Leverantören hänvisa till Kunden genom att underrätta Kunden via e-post. Leverantören får inte lämna ut personuppgifter eller annan information om behandlingen av personuppgifter utan skriftlig instruktion från Kunden. Leverantören har inte rätt att företräda Kunden eller agera för Kundens räkning gentemot någon tredje part, inklusive tillsynsmyndigheten.
Tekniska och organisatoriska åtgärder
4.1. Leverantören ska vidta de tekniska och organisatoriska åtgärder som krävs enligt Tillämplig Lagstiftning för att skydda de personuppgifter som behandlas i Tjänsten samt de tekniska och organisatoriska åtgärder som framgår av Bilaga B till Personuppgiftsbiträdesavtalet. Kundens på förhand lämnande godkännande krävs för det fall Leverantören vill genomföra förändringar såvitt avser de tekniska och organisatoriska åtgärder som vidtas och som skulle innebära att säkerhetsnivån försämras. Parterna är överens att de tekniska och organisatoriska åtgärder som vidtas ska vara föremål för regelbunden uppföljning för att säkerställa att åtgärderna är lämpliga med hänsyn till riskerna med behandlingen av personuppgifter.
4.2. Leverantören ska på Kundens begäran bistå Kunden med nödvändig information som Leverantören har att tillgå för att Kunden, i förekommande fall, ska kunna uppfylla sina skyldigheter att genomföra konsekvensbedömning och förhandssamråd med berörda tillsynsmyndigheter avseende den behandling av personuppgifter som Leverantören utför för Kundens räkning inom ramen för Tjänsten.
4.3. Leverantören ska, i den mån det är möjligt, bistå Kunden genom att vidta lämpliga tekniska och organisatoriska åtgärder för att Kunden ska kunna fullgöra sin skyldighet att svara på en begäran om utövande av en registrerads rättighet som tillkommer den registrerade enligt Tillämplig Lagstiftning. Om Kunden mottar en begäran om utövande av en registrerads rättighet som omfattar personuppgifter som Leverantören behandlar på uppdrag av Kunden och Kunden önskar att Leverantören bistår med begäran enligt denna punkt 4.3 ska Kunden skriftligen meddela detta till Leverantören.
4.4. Leverantören ska säkerställa att tillgången till personuppgifter är begränsad till personal hos Leverantören som behöver tillgång till personuppgifterna för att Leverantören ska kunna uppfylla sina åtaganden gentemot Kunden. Vidare ska Leverantören tillse att sådan behörig personal iakttar sekretess motsvarande den sekretess som följer av punkten 9 nedan genom enskilda sekretessavtal.
Personuppgiftsincidenter
5.1. För det fall Leverantören får vetskap om en personuppgiftsincident (enligt dess definition i Tillämplig Lagstiftning) ska Leverantören, inom skälig tid efter att sådan vetskap har uppstått, meddela Kunden om personuppgiftsincidenten.
5.2. Meddelandet ska innehålla information om incidentens art, inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade som berörs samt de kategorier av och det ungefärliga antalet personuppgiftsposter som berörs, kontaktuppgifterna till de kontaktpunkter där mer information kan erhållas, de sannolika konsekvenserna av incidenten samt en beskrivning av vilka åtgärder Leverantören (i förekommande fall) vidtagit för att begränsa incidentens eventuella negativa effekter i syfte att göra det möjligt för Kunden att uppfylla sin eventuella skyldighet att anmäla personuppgiftsincidenten till berörd tillsynsmyndighet. Om det inte är möjligt behöver inte all information lämnas vid ett och samma tillfälle, utan Leverantören ska då lämna informationen till Kunden så snart den blir tillgänglig för Leverantören.
5.3. Om det är sannolikt att en personuppgiftsincident medför risk för de registrerades personliga integritet ska Leverantören, i den mån det är möjligt, omedelbart efter att personuppgifts-incidenten kommit till Leverantörens kännedom vidta lämpliga avhjälpande åtgärder för att för-hindra eller begränsa personuppgiftsincidentens eventuella negativa effekter.
Leverantören ska bistå Kunden med att se till att Kundens skyldigheter enligt Tillämplig Lagstiftning med avseende på personuppgiftsincidenter fullgörs, med beaktande av typen av behandling och den information som Leverantören har att tillgå.
Tillgång till information med mera
6.1. Leverantören ska ge Kunden tillgång till all information som krävs för att visa att de skyldigheter som gäller enligt Personuppgiftsbiträdesavtalet samt Tillämplig Lagstiftning har fullgjorts.
6.2. Vidare ska Leverantören möjliggöra och bidra till att Kunden, eller av Kunden utsedd tredje part, genomför en granskning, inbegripet inspektion, av de tekniska och organisatoriska åtgärder som Leverantören vidtar för att uppfylla sina skyldigheter enligt Personuppgiftsbiträdesavtalet. Leverantören ska skriftligen meddelas om en sådan granskning minst trettio (30) dagar i förväg.
6.3. Samtliga kostnader för granskningen ska bäras av Kunden, inklusive Leverantörens eventuella kostnader för medverkan i granskningen.
6.4. Kunden ska säkerställa att eventuell tredje part som genomför granskningen för Kundens räkning ska iaktta sekretess som inte är mindre restriktiv än vad som följer av punkt 9 nedan.
6.5. Motsvarande bestämmelser gäller vid Kundens begäran om granskning av ett Underbiträde som Leverantören anlitat.
Anlitande av underbiträden
7.1. Med ”Underbiträde” avses den fysiska eller juridiska personen som behandlar personuppgifter enligt Leverantörens instruktioner.
7.2. Leverantören får enbart anlita ett Underbiträde om ett särskilt skriftligt förhandstillstånd har erhållits av Kunden. Parterna är överens om att sådant skriftligt godkännande föreligger för sådana Underbiträden som anges och beskrivs i Bilaga C.
7.3. Förteckningen över Underbiträden i Bilaga C ska justeras och uppdateras varje gång ett nytt Underbiträde anlitas eller Underbiträde ersätts, under hela avtalstiden. Kunden lämnar vidare ett allmänt förhandsgodkännande till Leverantören för anlitande av nya Underbiträden under förutsättning att Leverantören säkerställer att Underbiträdet lämnar tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa att behandlingen uppfyller kraven i Tillämplig Lagstiftning.
7.4. För det fall Leverantören avser att anlita ett nytt Underbiträde ska Leverantören informera Kunden om detta skriftligen. Leverantören ska därvid lämna information om Underbiträdets identitet (inbegripet fullständig firma, organisationsnummer och adress), på vilken plats (geografiskt) Underbiträdet kommer att behandla personuppgifter, vilken typ av tjänst som Underbiträdet utför, samt vilka skyddsåtgärder som kommer att vidtas av Underbiträdet för att skydda de personuppgifter som behandlas. Kunden har rätt att inom en (1) vecka räknat från meddelandet invända mot att Leverantören anlitar Underbiträdet för att behandla personuppgifter på uppdrag av Kunden, varvid Leverantören och Kunden gemensamt ska söka en samförståndslösning och i annat fall kan Personuppgiftsbiträdesavtalet sägas upp i förtid enligt vad som framgår av Avtalet.
7.5. Leverantören ska ingå ett personuppgiftsbiträdesavtal med Underbiträdet. Ett sådant personuppgiftsbiträdesavtal ska innehålla bestämmelser som motsvarar vad som följer av Personuppgiftsbiträdesavtalet och Tillämplig Lagstiftning.
7.6. Leverantören ska vara fullt ut ansvarig gentemot Kunden för att Underbiträdet fullgör sina skyldigheter i enlighet med sitt avtal med Leverantören.
Överföring till och behandling av personuppgifter utanför EU/EES-området
8.1. Kunden lämnar härmed sitt godkännande till att Leverantören i förekommande fall för över de personuppgifter som Leverantören behandlar för Kundens räkning utanför EU/EES-området. Sådan överföring får dock endast ske om (i) landet har adekvat skyddsnivå för personuppgifter enligt beslut meddelat av EU-kommissionen som omfattar behandlingen av personuppgifter, (ii) om Leverantören säkerställer att det finns lämpliga skyddsåtgärder på plats, såsom standardiserade dataskyddsbestämmelser som antagits av EU-kommissionen, i ljuset av mottagarlandets lagstiftning eller (iii) om något annat undantag i Tillämplig Lagstiftning möjliggör överföringen.
8.2. Om Leverantören anlitar underbiträden utanför EU/EES ska Leverantören säkerställa att överföringen omfattas av Europeiska kommissionens standardavtalsklausuler eller annan giltig överföringsmekanism enligt Tillämplig Lagstiftning.
Sekretess
9.1. Utan att det påverkar eventuella sekretessåtaganden i Avtalet ska även följande gälla.
9.2. Leverantören ska hålla personuppgifter som behandlas för Kundens räkning strikt konfidentiella. Leverantören ska således inte, direkt eller indirekt, utlämna några personuppgifter till tredje part om inte Kunden skriftligen godkänt detta, såvida inte Leverantören är skyldigt enligt lag att lämna ut personuppgifter eller om det är nödvändigt för fullgörandet av Personuppgiftsbiträdesavtalet. Leverantören accepterar att detta sekretessåtagande ska fortsätta att gälla även efter att Personuppgiftsbiträdesavtalet har upphört.
9.3. Kunden förbinder sig att hålla all information som Kunden erhåller avseende Leverantörens säkerhetsåtgärder, rutiner, IT-system eller som annars är av konfidentiell karaktär strikt konfidentiell och förbinder sig vidare att inte till någon utomstående röja konfidentiell information som härrör från Leverantören eller dess Underbiträden. Kunden har dock rätt att röja sådan information som Kunden är skyldig att röja enligt lag eller enligt Personuppgiftsbiträdesavtalet. Kunden accepterar att detta sekretessåtagande ska fortsätta att gälla även efter att Personuppgiftsbiträdesavtalet har upphört.
Ansvar
10.1. Kunden ska i händelse av att Leverantören åsamkas skada eller erhåller krav som en följd av Leverantörens behandling av personuppgifter i enlighet med Kundens instruktioner hålla Leverantören skadeslös för den skada som uppkommer som en följd därav.
10.2. Leverantörens ansvar för skada som Kunden lider med anledning av Leverantörens brott mot Personuppgiftsbiträdesavtalet är begränsat till fall då Leverantörens avtalsbrott har orsakats genom Leverantörens uppsåt eller försumlighet. Leverantörens ansvar enligt Personuppgiftsbiträdesavtalet omfattas av punkt 15 i Bilaga 2, i den mån tvingande lag inte föreskriver annat.
10.3. Om en Part enligt artikel 82 GDPR blir skyldig att ersätta skada orsakad helt eller delvis av den andra Parten, har den förstnämnda rätt till återkrav motsvarande den andres ansvar.
Personuppgiftsbiträdesavtalets upphörande
11.1. Personuppgiftsbiträdesavtalet träder i kraft den dag då behöriga företrädare för båda Parterna undertecknat Avtalet och är giltigt under den tid som Avtalet mellan Parterna är giltigt (”Avtalstiden”). Personuppgiftsbiträdesavtalet ska dock gälla även om Avtalet upphör och tills vidare till dess att Leverantören och eventuella Underbiträden anlitade av Leverantören upphört med att behandla personuppgifter för Kundens räkning.
11.2. Parternas åtaganden enligt Personuppgiftsbiträdesavtalet gäller så länge Leverantören behandlar personuppgifter i enlighet med Avtalet. Där det särskilt har angivits att åtagandet ska överleva Personuppgiftsbiträdesavtalets giltighet ska den längre tid som där är föreskriven gälla.
11.3. Om Avtalet sägs upp och ett nytt avtal av samma slag ingås utan att ett nytt personuppgiftsbiträdesavtal ingås, gäller Personuppgiftsbiträdesavtalet även det nya avtalet.
11.4. I händelse av att Leverantören bryter mot sina skyldigheter enligt detta Personuppgiftsbiträdesavtal måste Leverantören åtgärda överträdelsen inom trettio (30) dagar efter att ha blivit informerad av Kunden om överträdelsen, eller inom den tidsram Parterna annars kommit överens om. Om Leverantören inte har åtgärdat ett väsentligt åsidosättande inom den satta tidsramen har Kunden rätt att säga upp Personuppgiftsbiträdesavtalet med omedelbar verkan eller efter sådan uppsägningstid som Kunden meddelar.
11.5. Efter det att Personuppgiftsbiträdesavtalet upphört, oavsett anledning därtill, ska Leverantören enligt Kundens val antingen återlämna eller på ett säkert sätt radera samtliga personuppgifter som Leverantören har behandlat för Kundens räkning. Om personuppgifterna ska återlämnas ska det återlämnas i ett allmänt och läsbart elektroniskt format.
11.6. Om Kunden inte begär återlämnande eller radering instruerar Kunden Leverantören att lagra och radera personuppgifterna enligt punkterna 14.6–14.9 i Bilaga 2 (Allmänna Villkor).
11.7. Ovan nämnda återlämnande eller radering ska ske, såvida inte lagring av personuppgifterna krävs enligt nationell lagstiftning eller unionsrätten som Leverantören omfattas av.
11.8. Till dess uppgifterna är raderade eller återlämnade ska Leverantören fortsätta att säkerställa efterlevnaden av Personuppgiftsbiträdesavtalet.
Ändringar av personuppgiftsbiträdesavtalet
12.1. Leverantören äger rätt att meddela Kunden om ändringar av Personuppgiftsbiträdesavtalet. Kunden är bunden av ändringarna om Kunden inte invänder mot ändringarna omedelbart.
12.2. Om Kunden meddelar Leverantören om ändringar av Instruktionerna äger Leverantören rätt att säga upp Personuppgiftsbiträdesavtalet i förtid i enlighet med Avtalet.
Överlåtelse av personuppgiftsbiträdesavtalet
13.1. Ingen Part har rätt att överlåta sina rättigheter eller skyldigheter enligt Personuppgiftsbiträdesavtalet utan föregående skriftligt medgivande från den andra Parten.
13.2. Leverantören har dock rätt att överlåta Personuppgiftsbiträdesavtalet, tillsammans med Avtalet, till bolag inom samma koncern eller till förvärvare av hela eller delar av den verksamhet som Avtalet avser, under förutsättning att förvärvaren övertar Leverantörens skyldigheter enligt Personuppgiftsbiträdesavtalet. Leverantören ska skriftligen underrätta Kunden om överlåtelsen.
Tvist
14.1. Personuppgiftsbiträdesavtalet ska tolkas och tillämpas i enlighet med svensk rätt. Tvist gällande tolkning eller tillämpning av Personuppgiftsbiträdesavtalet ska lösas i enlighet med vad som gäller för tvistelösning enligt Avtalet.
Bilaga A
Beskrivning av behandlingen av personuppgifter i Tjänsten
Denna bilaga ska anses utgöra en integrerad del av Personuppgiftsbiträdesavtalet.
Ändamål med behandlingen
Personuppgifterna behandlas för följande ändamål:
i. För att tillhandahålla Tjänsten och support och utveckling av Tjänsten; samt
ii. För att fullgöra Kundens eventuella ytterligare från tid till annan lämnade dokumenterade instruktioner
Se även nedan under närmare beskrivning av behandlingen av personuppgifter i Tjänsten i förhållande till respektive deltjänst för en närmare beskrivning för vilka ändamål som personuppgifter behandlas inom ramen för Tjänsten.
Platser där personuppgifter kommer att behandlas
Personuppgifterna behandlas av Leverantören i Sverige. För information om vilka Underbiträden som Leverantören anlitat och var de behandlar Kundens personuppgifter se av Leverantören från tid till annan anvisad webbsida. Se även Bilaga C avseende de Underbiträden som Leverantören anlitar för att tillhandahålla Tjänsten vid tidpunkten för Personuppgiftsbiträdesavtalets ingående.
Bevarande av personuppgifter
Om Personuppgiftsbiträdesavtalet upphör bevaras uppgifterna till dess att Leverantören i enlighet med bestämmelserna i Personuppgiftsbiträdesavtalet återlämnat eller raderat Kundens personuppgifter. Se även nedan för närmare information om hur länge personuppgifter bevaras inom ramen för varje deltjänst.
Nedan beskrivs den behandling av personuppgifter som förekommer i Tjänsten i förhållande till respektive deltjänst.
Hantera och administrera projekt
Exempel på behandlingar
Registrering av uppgifter
Visning av registrerade uppgifter
Redigera registrerade uppgifter
Kategorier av registrerade
Kontaktperson hos beställare
Kundens anställda och annan anlitad personal
Kategorier av personuppgifter
Identitetsuppgifter
Kommunikation
Kontaktuppgifter
Profiluppgifter
Bevarandetid
Personuppgifter sparas under den tid som Tjänsten tillhandahålls eller till dess att Kunden manuellt raderar personuppgifter.
Hantera och administrera arbetsorder
Exempel på behandlingar
Registrering av uppgifter
Visning av registrerade uppgifter
Redigera registrerade uppgifter
Kategorier av registrerade
Kontaktperson hos beställare
Kundens anställda och annan anlitad personal
Kategorier av personuppgifter
Identitetsuppgifter
Kommunikation
Kompetensuppgifter
Kontaktuppgifter
Profiluppgifter
Uppgifter om utfört arbete
Bevarandetid
Personuppgifter sparas under den tid som Tjänsten tillhandahålls eller till dess att Kunden manuellt raderar personuppgifter.
Följa upp och utvärdera projekt och arbetsorder
Exempel på behandlingar
Sammanställning av registrerade uppgifter på aggregerad nivå
Framställning av rapporter och statistik
Kategorier av registrerade
Kundens anställda och annan anlitad personal
Kategorier av personuppgifter
Identitetsuppgifter
Kompetensuppgifter
Kontaktuppgifter
Profiluppgifter
Uppgifter om utfört arbete
Bevarandetid
Personuppgifter sparas under den tid som Tjänsten tillhandahålls eller till dess att Kunden manuellt raderar personuppgifter.
Administrera medarbetare i Tjänsten
Exempel på behandlingar
Registrering av uppgifter
Visning av registrerade uppgifter
Redigera registrerade uppgifter
Kategorier av registrerade
Kundens anställda och annan anlitad personal.
Kategorier av personuppgifter
Identitetsuppgifter
Kompetensuppgifter
Kontaktuppgifter
Profiluppgifter
Bevarandetid
Personuppgifter sparas under den tid som Tjänsten tillhandahålls eller till dess att Kunden manuellt raderar personuppgifter.
Administrera beställare i Tjänsten
Exempel på behandlingar
Registrering av uppgifter
Visning av registrerade uppgifter
Redigera registrerade uppgifter
Kategorier av registrerade
Kontaktperson hos beställare.
Kategorier av personuppgifter
Identitetsuppgifter
Kontaktuppgifter
Profiluppgifter
Bevarandetid
Personuppgifter sparas under den tid som Tjänsten tillhandahålls eller till dess att Kunden manuellt raderar personuppgifter.
Ta fram kalkyler och offerter
Exempel på behandlingar
Registrering av uppgifter
Visning av registrerade uppgifter
Redigera registrerade uppgifter
Kategorier av registrerade
Kontaktperson hos beställare
Kundens anställda och annan anlitad personal
Kategorier av personuppgifter
Identitetsuppgifter
Kommunikation
Kontaktuppgifter
Profiluppgifter
Bevarandetid
Personuppgifter sparas under den tid som Tjänsten tillhandahålls eller till dess att Kunden manuellt raderar personuppgifter.
Planera resurser
Exempel på behandlingar
Registrering av uppgifter
Visning av registrerade uppgifter
Redigera registrerade uppgifter
Kategorier av registrerade
Kundens anställda och annan anlitad personal.
Kategorier av personuppgifter
Frånvarouppgifter
Identitetsuppgifter
Kompetensuppgifter
Profiluppgifter
Bevarandetid
Personuppgifter sparas under den tid som Tjänsten tillhandahålls eller till dess att Kunden manuellt raderar personuppgifter.
Ta fram fakturaunderlag
Exempel på behandlingar
Sammanställning av registrerade uppgifter
Exportering av uppgifter till affärs- eller lönessystem
Kategorier av registrerade
Kundens anställda och annan anlitad personal.
Kategorier av personuppgifter
Frånvarouppgifter
Identitetsuppgifter
Profiluppgifter
Uppgifteromutfört arbete
Bevarandetid
Personuppgifter sparas under den tid som Tjänsten tillhandahålls eller till dess att Kunden manuellt raderar personuppgifter.
Hantera körjournal och trängselskatt
Exempel på behandlingar
Insamling av lokaliseringsuppgifter
Sammanställning av körningar baserat på lokaliseringsuppgifter
Beräkning av trängselskatt
Kategorier av registrerade
Kundens anställda och annan anlitad personal.
Kategorier av personuppgifter
Fordonsuppgifter
Identitetsuppgifter
Positioneringsuppgifter
Profiluppgifter
Bevarandetid
Personuppgifter sparas under den tid som Tjänsten tillhandahålls eller till dess att Kunden manuellt raderar personuppgifter. Lokaliseringsuppgifter sparas dock under en period om tre (3) månader räknat från registrering. Aggregerade lokaliseringsuppgifter sparas under en period om sju (7) år räknat från utgången av aktuellt kalenderår.
Följa upp och utvärdera körningar och resor
Exempel på behandlingar
Sammanställning av registrerade uppgifter på aggregerad nivå
Framställning av rapporter och statistik
Kategorier av registrerade
Kundens anställda och annan anlitad personal.
Kategorier av personuppgifter
Fordonsuppgifter
Identitetsuppgifter
Positioneringsuppgifter
Profiluppgifter
Bevarandetid
Personuppgifter sparas under den tid som Tjänsten tillhandahålls eller till dess att Kunden manuellt raderar personuppgifter. Lokaliseringsuppgifter sparas dock under en period om tre (3) månader räknat från registrering. Aggregerade lokaliseringsuppgifter sparas under en period om sju (7) år räknat från utgången av aktuellt kalenderår.
Administrera Tjänsten
Exempel på behandlingar
Registrering av användarkonton
Åtkomst- och behörighetsstyrning
Kategorier av registrerade
Användare.
Kategorier av personuppgifter
Identitetsuppgifter
Kontaktuppgifter
Profiluppgifter
Bevarandetid
Personuppgifter sparas under den tid som Tjänsten tillhandahålls eller till dess att Kunden manuellt raderar personuppgifter.
Hantera frågor och support
Exempel på behandlingar
Kommunikation i samband med fråga eller support
Felsökning och felhantering
Kategorier av registrerade
Kundens anställda och annan anlitad personal
Användare
Kategorier av personuppgifter
Identitetsuppgifter
Kommunikation
Kontaktuppgifter
Profiluppgifter
Tekniskauppgifter
Bevarandetid
Personuppgifter sparas under en period om tolv (12) månader räknat från när ärendet avslutats eller tidpunkten för den senaste kommunikationen i samma ärende.
Utveckla och förbättra Tjänsten
Exempel på behandlingar
Lagring av uppgifter i testmiljö
Användning av uppgifter för genomförande av test
Avidentifiera/anonymise ra uppgifter
Kategorier av registrerade
Berörda kategorier av registrerade som ingår i övriga behandlingar.
Kategorier av personuppgifter
Berörda kategorier av uppgifter som ingår i övriga behandlingar.
Bevarandetid
Personuppgifter sparas för den tid som det är nödvändigt att avidentifiera uppgifterna, testa funktionalitet och genomföra verifiering av rättningar, dock maximalt under en period om sex (6) månader räknat från tidpunkten för när åtgärden påbörjas.
Säkerställa teknisk funktionalitet och säkerhet
Exempel på behandlingar
Autentisering
Loggning
Säkerhetskopiering
Felsökning och felhantering
Incidenthantering
Kategorier av registrerade
Samtliga kategorier av registrerade som ingår i övriga behandlingar.
Kategorier av personuppgifter
Samtliga kategorier som ingår i övriga behandlingar.
Bevarandetid
Personuppgifter sparas för detta syfte under den tid som Kunden använder Tjänsten, dock maximalt för den tid som anges i förhållande till respektive deltjänst.
Personuppgifter i loggar bevaras för felsökning och incidenthantering under en tid om tolv (12) månader räknat från tidpunkten för logghändelsen.
Personuppgifter i säkerhetskopiorsparasunder en tid om upp till 90 dagar räknat från tidpunkten för säkerhetskopieringen.
Nedan anges närmare information om de kategorier av personuppgifter som Leverantören behandlar inom ramen för Tjänsten.
Identitetsuppgifter: Namn, användarnamn, personnummer/identitetsnummer
Kontaktuppgifter: E-postadress, telefonnummer
Anställningsuppgifter: Anställningsform, uppgift om sista arbetsdag
Frånvarouppgifter: Typ av frånvaro, frånvaroperiod
Profiluppgifter: Titel, roll i projekt, ansvar, avdelning
Tekniska uppgifter: IP-adress
Kommunikation: Innehåll i meddelanden och fritextfält
Kompetensuppgifter: Uppgift om yrkesbevis och yrkesintyg av olika slag
Fordonsuppgifter: Typ av fordon, registreringsnummer på fordon
Uppgifter om utfört arbete: Uppgift om genomförda åtgärder, status på uppgift, nedlagd tid, plats där arbete utförts
Lokaliseringsuppgifter: Position, genomförda resor
Bilaga B
Tekniska och organisatoriska säkerhetsåtgärder
Följande tekniska och organisatoriska åtgärder vidtar Leverantören (och av Leverantören, i förekommande fall, anlitade Underbiträden) för att skydda de personuppgifter som omfattas av detta personuppgiftsbiträdesavtal.
Åtgärder för åtkomstkontroll, t.ex. rutiner för lösenordshantering och autentisering (genom tvåfaktorautentisering), loggning, behörighetsstyrning för användare och tillgång till driftlokaler.
Åtgärder för att säkerställa konfidentialitet, t.ex. kryptering vid överföring.
Åtgärder för att säkerställa tillgänglighet, t.ex. säkerhetskopiering, brandväggar, antivirussystem, loggning och oavbruten strömförsörjning (UPS).
I övrigt har Leverantören rutiner för att hantera säkerhetsincidenter, personalen omfattas av sekretess och penetrationstester genomförs på regelbunden basis.
Bilaga C
Förteckning av Underbiträden
Nedan anges de Underbiträden som anlitats för behandling av personuppgifter under Personuppgiftsbiträdesavtalet.
Förteckningen ska justeras och uppdateras varje gång ett nytt Underbiträde anlitas eller Underbiträde ersätts under hela avtalstiden.
Kunden har godkänt användningen av följande Underbiträden:
Teleservice IT-Partner Sverige AB
Organisationsnummer
556182-1785
Beskrivning av vilket slags tjänster och behandlingar som utförs av underbiträdet
IT-drift, hosting, support, lagring, säkerhetskopiering och teknisk förvaltning av system. Kan behandla samtliga personuppgifter som lagras i de system som omfattas av driften.
Geografisk plats för den behandling som Underbiträdet utför
Sverige
Överföring till tredje land
Nej
Framer B.V
Organisationsnummer
KvK 59920637 (Nederländska handelskammaren)
Beskrivning av vilket slags tjänster och behandlingar som utförs av underbiträdet
Webbplattform och hosting för företagets webbplats. Behandling av kontaktuppgifter, formulärdata, webbplatsbesökare och användningsdata.
Geografisk plats för den behandling som Underbiträdet utför
Nederländerna/EU
Överföring till tredje land
Kan förekomma
Garba AI AB
Organisationsnummer
559516-6348
Beskrivning av vilket slags tjänster och behandlingar som utförs av underbiträdet
AI-baserad mötesdokumentation, transkribering, anteckningar och sammanfattningar av videomöten
Geografisk plats för den behandling som Underbiträdet utför
Sverige/EU
Överföring till tredje land
Kan förekomma
Intercom R&D Unlimited Company
Organisationsnummer
538158 (Ireland Companies Registration Office)
Beskrivning av vilket slags tjänster och behandlingar som utförs av underbiträdet
Kundkommunikation, supportchatt, ärendehantering, e-postkommunikation, leadshantering och lagring av kunddialoger. Behandling av kontaktuppgifter, kommunikationshistorik, supportärenden och användningsdata.
Geografisk plats för den behandling som Underbiträdet utför
Irland/EU
Överföring till tredje land
Kan förekomma
StartDeliver AB
Organisationsnummer
559165-2705
Beskrivning av vilket slags tjänster och behandlingar som utförs av underbiträdet
Customer Success-plattform för kunduppföljning, onboarding, kunddialog och kundanalys. Behandling av kontaktuppgifter, kundrelationer och användningsdata.
Geografisk plats för den behandling som Underbiträdet utför
Sverige/EU
Överföring till tredje land
Nej
Upsales Nordic AB
Organisationsnummer
556674-0618
Beskrivning av vilket slags tjänster och behandlingar som utförs av underbiträdet
CRM, försäljningsstöd, marknadsföring och kundhantering. Behandling av kontaktuppgifter, kundkommunikation, affärsmöjligheter och aktivitetsdata.
Geografisk plats för den behandling som Underbiträdet utför
Sverige/EU
Överföring till tredje land
Nej
GetAccept AB
Organisationsnummer
559023-1402
Beskrivning av vilket slags tjänster och behandlingar som utförs av underbiträdet
Elektroniska signaturer, avtalshantering och dokumentspårning. Behandling av kontaktuppgifter, avtalsdokument, signaturdata och kommunikation kring avtal.
Geografisk plats för den behandling som Underbiträdet utför
Sverige/EU
Överföring till tredje land
Nej
Kunden tillåter användningen av ovannämnda Underbiträden för den behandling som beskrivs för det underbiträdet under ”Beskrivning av vilket slags tjänster och behandlingar som utförs av underbiträdet”. Leverantören har inte rätt att utan Kundens skriftliga samtycke anlita ett underbiträde för en "annan" behandling än den som har överenskommits eller låta ett annat Underbiträde utföra den beskrivna behandlingen.
Särskilt om tredjelandsöverföring
Om ett föreslaget nytt eller ersättande underbiträde behandlar personuppgifter i ett land utanför EU/EES (tredjeland), ska underrättelsen enligt ovan även innehålla information om:
Underbiträdets geografiska placering,
Om behandlingen innebär överföring av personuppgifter till tredjeland, samt
Vilken överföringsmekanism enligt kapitel V GDPR som avses tillämpas (exempelvis beslut om adekvat skyddsnivå, standardavtalsklausuler, eller undantag enligt artikel 49).
Kunden har rätt att invända mot föreslagen tredjelandsöverföring på samma sätt som vid invändning mot ett Underbiträde. Om ingen invändning framförs inom angiven tidsfrist (1 vecka), ska det anses som att godkännande har lämnats även för tredjelandsöverföringen.