Dataskydd
Personuppgiftsbiträdesavtal
1. Parter och roller
Avtalet ingås mellan den kund som har beställt IDIFY-tjänsten (”Personuppgiftsansvarig”) och IDIFY AB, org.nr 559083-8396, Bergströms väg 23, 245 61 Staffanstorp (”Personuppgiftsbiträdet”).
Den personuppgiftsansvarige bestämmer ändamålen och medlen för behandlingen av personuppgifter i sin verksamhet. Personuppgiftsbiträdet behandlar personuppgifterna endast för att leverera IDIFY-tjänsten enligt huvudavtalet och dokumenterade instruktioner.
2. Omfattning och instruktioner
Behandlingens föremål, varaktighet, art, ändamål, kategorier av registrerade och typer av personuppgifter beskrivs i bilaga 1 nedan. Huvudavtalet, Kundens användning och konfiguration av tjänsten samt skriftliga supportinstruktioner utgör dokumenterade instruktioner.
Personuppgiftsbiträdet får inte behandla personuppgifter för andra ändamål, om inte unionsrätt eller svensk rätt kräver det. I så fall informeras den personuppgiftsansvarige före behandlingen, om lagen inte förbjuder sådan information.
Om Personuppgiftsbiträdet bedömer att en instruktion strider mot dataskyddsreglerna ska den personuppgiftsansvarige informeras utan onödigt dröjsmål.
3. Konfidentialitet
Personer som får behandla personuppgifterna ska omfattas av sekretess eller lämplig lagstadgad tystnadsplikt och endast få åtkomst i den omfattning som krävs för arbetsuppgiften.
4. Säkerhetsåtgärder
Personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR med hänsyn till teknikens ståndpunkt, kostnad, behandlingens art och omfattning samt riskerna för registrerade. Åtgärderna omfattar, när det är relevant:
- behörighetsstyrning och principen om minsta åtkomst,
- logisk separering av olika kundföretags data,
- krypterad kommunikation och skydd av hemligheter och autentiseringsuppgifter,
- loggning och spårbarhet för säkerhetsrelevanta och viktiga händelser,
- säkerhetskopiering, återställningsrutiner och kontinuitetsarbete,
- rutiner för sårbarheter, uppdateringar, incidenter och regelbunden kontroll av skyddet.
5. Underbiträden
Den personuppgiftsansvarige ger ett generellt skriftligt tillstånd för Personuppgiftsbiträdet att anlita underbiträden som behövs för tjänsten. Personuppgiftsbiträdet ska säkerställa att underbiträdet omfattas av dataskyddsskyldigheter som i sak motsvarar detta avtal.
Den personuppgiftsansvarige ska informeras om planerade tillägg eller byten och får invända på saklig dataskyddsgrund inom 14 dagar. Om parterna inte kan lösa invändningen får den berörda funktionen begränsas eller avtalet sägas upp i den utsträckning som krävs.
Aktuell information om underbiträden kan begäras via kundtjanst@idify.se. Personuppgiftsbiträdet ansvarar gentemot den personuppgiftsansvarige för underbiträdets fullgörande av sina skyldigheter.
6. Överföring till tredje land
Personuppgifter får bara överföras utanför EU/EES efter dokumenterad instruktion och med en giltig mekanism enligt GDPR, exempelvis beslut om adekvat skyddsnivå eller EU-kommissionens standardavtalsklausuler. Personuppgiftsbiträdet ska bedöma behovet av kompletterande skyddsåtgärder och på begäran lämna relevant information om mekanismen.
7. Registrerades rättigheter
Med hänsyn till behandlingens art ska Personuppgiftsbiträdet genom lämpliga åtgärder hjälpa den personuppgiftsansvarige att besvara begäran om tillgång, rättelse, radering, begränsning, dataportabilitet eller invändning.
Om en registrerad kontaktar Personuppgiftsbiträdet direkt ska begäran hänvisas eller vidarebefordras till den personuppgiftsansvarige utan onödigt dröjsmål. Personuppgiftsbiträdet ska inte besvara begäran i sak utan instruktion, om inte lag kräver det.
8. Personuppgiftsincidenter
Personuppgiftsbiträdet ska underrätta den personuppgiftsansvarige utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident som berör behandlingen. Informationen ska, i den mån den finns tillgänglig, beskriva:
- incidentens art och berörda kategorier och ungefärliga antal registrerade och poster,
- sannolika konsekvenser,
- vidtagna eller föreslagna åtgärder,
- kontaktpunkt för fortsatt information.
Information får lämnas stegvis. Den personuppgiftsansvarige ansvarar för bedömning och eventuell anmälan till tillsynsmyndighet och registrerade, om inte annat följer av dokumenterad instruktion.
9. Bistånd och efterlevnad
Personuppgiftsbiträdet ska, med hänsyn till behandlingens art och tillgänglig information, bistå den personuppgiftsansvarige med skyldigheter enligt artiklarna 32–36 GDPR, inklusive säkerhet, konsekvensbedömning och förhandssamråd.
10. Granskning
Personuppgiftsbiträdet ska tillhandahålla den information som skäligen behövs för att visa att detta avtal och artikel 28 GDPR följs. Den personuppgiftsansvarige får själv eller genom en oberoende granskare genomföra en proportionerlig granskning högst en gång per år, eller oftare efter en incident eller vid välgrundad misstanke om brist.
Granskning ska normalt aviseras minst 30 dagar i förväg, genomföras under ordinarie arbetstid och utan att äventyra andra kunders uppgifter, säkerhet eller sekretess. Den personuppgiftsansvarige bär sina kostnader. Personuppgiftsbiträdet får ta skäligt betalt för omfattande bistånd utöver ordinarie dokumentation, om behovet inte orsakats av biträdets avtalsbrott.
11. Återlämnande och radering
När tjänsten upphör ska Personuppgiftsbiträdet, enligt den personuppgiftsansvariges val, återlämna tillgängliga personuppgifter i stödda exportformat och därefter radera dem, eller radera dem direkt. Radering sker enligt ordinarie avvecklings- och säkerhetskopieringscykler, om inte lag kräver fortsatt lagring.
12. Ansvar och avtalstid
Avtalet gäller så länge Personuppgiftsbiträdet behandlar personuppgifter för den personuppgiftsansvariges räkning. Ansvar mellan parterna följer GDPR, annan tillämplig rätt och huvudavtalets ansvarsbestämmelser. Skyldigheter som till sin natur ska fortsätta gälla, inklusive sekretess och radering, gäller även efter avtalets upphörande.
13. Kontakt
Dataskyddsfrågor och instruktioner skickas till kundtjanst@idify.se. Kunden ansvarar för att hålla sina egna kontaktuppgifter i IDIFY aktuella.
Bilaga 1 – Behandlingen
Föremål och ändamål
Drift och tillhandahållande av IDIFY:s funktioner för företagsadministration, ekonomihantering, dokumentation, support, säkerhet, import, integrationer och rapportering enligt huvudavtalet.
Art
Insamling, registrering, strukturering, lagring, läsning, sammanställning, beräkning, anpassning, överföring på Kundens begäran, säkerhetskopiering, support, begränsning och radering.
Varaktighet
Under huvudavtalets löptid och därefter under den begränsade tid som krävs för export, avveckling, säkerhetskopiering och rättsliga skyldigheter.
Kategorier av registrerade
- Kundens användare, ägare, företrädare och kontaktpersoner
- Kundens kunder, potentiella kunder, leverantörer och deras kontaktpersoner
- Kundens anställda, uppdragstagare, revisorer, rådgivare och andra intressenter
- Personer som förekommer i bokförings-, bank-, faktura-, löne-, skatte- eller dokumentunderlag
Typer av personuppgifter
- Identitets-, kontakt-, företags- och behörighetsuppgifter
- Avtals-, kund-, leverantörs-, order-, faktura- och betalningsuppgifter
- Bokförings-, bank-, skatte- och deklarationsuppgifter
- Anställnings-, löne-, frånvaro-, förmåns- och utbetalningsuppgifter
- Dokument, fritext, kommunikation, tekniska data och revisionsloggar
- Personnummer, bankuppgifter och andra integritetskänsliga ekonomiska uppgifter när Kundens användning kräver det
Särskilda kategorier
Tjänsten är inte avsedd för regelbunden behandling av känsliga personuppgifter enligt artikel 9 GDPR. Sådana uppgifter kan ändå förekomma i exempelvis löne-, frånvaro- eller uppladdade dokument. Kunden ansvarar för rättslig grund, minimering och instruktion när sådan behandling är nödvändig.