Personuppgiftsbiträdesavtal

När din byrå (Personuppgiftsansvarig) använder tjänsten Uppdragsbrev lägger ni in uppgifter om era egna kunder och deras företrädare. Avtalys AB, org.nr 559230-8810 (Personuppgiftsbiträde) behandlar dessa uppgifter för er räkning.

Detta avtal reglerar den behandlingen och gäller automatiskt från det att ni börjar använda tjänsten. Det är en integrerad del av de allmänna villkoren och kräver ingen separat underskrift.

Att inte förväxla: tjänsten genererar även ett personuppgiftsbiträdesavtal mellan er och era kunder — bilaga 3 i uppdragsbrevet. Det är ett annat avtal, med andra parter. Det här reglerar förhållandet mellan er och oss.

Behandlingen avser tillhandahållandet av tjänsten och pågår så länge ni har ett aktivt konto, samt under den avvecklingstid som anges i punkt 8.

Vi lagrar, strukturerar, visar, genererar dokument av och skickar de uppgifter ni lägger in — i den utsträckning tjänsten kräver det och ni instruerar oss genom att använda den.

Vi behandlar inte uppgifterna för egna ändamål. Vi använder dem inte för produktutveckling, statistik, analys eller träning av modeller.

Behandlingen omfattar typiskt sett:

Tjänsten har fria textfält och möjlighet att ladda upp dokument. Vad som faktiskt hamnar där bestämmer ni. Tjänsten är inte avsedd för känsliga personuppgifter enligt artikel 9 eller för personnummer i löptext. Väljer ni att lägga in sådana uppgifter ansvarar ni för att det finns rättslig grund och att er egen riskbedömning täcker det.

Vi behandlar uppgifterna endast enligt era dokumenterade instruktioner. Er användning av tjänstens funktioner utgör en sådan instruktion, liksom skriftliga besked till oss.

Vi underrättar er om vi bedömer att en instruktion strider mot dataskyddsförordningen. Om vi enligt lag måste behandla uppgifter på annat sätt informerar vi er först, såvida inte lagen förbjuder det.

Personer hos oss med åtkomst till uppgifterna omfattas av tystnadsplikt.

Vi vidtar bland annat följande åtgärder enligt artikel 32:

• Kryptering av trafik och av uppgifter i vila.
• Åtkomstbegränsning på radnivå i databasen, så att en användare i en byrå tekniskt inte kan nå en annan byrås uppgifter.
• Åtkomst till produktionsmiljön begränsad till namngivna personer.
• Lösenord lagras endast som kryptografiska hashvärden.
• Uppladdade filer begränsas till tillåtna filtyper och storlekar.
• Automatiska säkerhetskopior med möjlighet till återställning.
• Loggning av inloggningar och säkerhetsrelevanta händelser.

Ni godkänner att vi anlitar följande underbiträden. Samtliga behandlar uppgifter inom EU/EES och är bundna av avtal med minst samma skyldigheter som detta.

Byter vi eller lägger till ett underbiträde meddelar vi er minst 30 dagar i förväg. Har ni sakliga invändningar får ni säga upp abonnemanget till den dag ändringen träder i kraft, och får då tillbaka oförbrukad förskottsbetald avgift.

Vi hjälper er med de registrerades rättigheter — tillgång, rättelse, radering, begränsning, invändning och dataportabilitet. Tjänsten är byggd så att ni själva kan rätta, radera och exportera era uppgifter.

Vänder sig en registrerad direkt till oss hänvisar vi till er och besvarar inte begäran själva.

Vi bistår er även med konsekvensbedömningar och förhandssamråd i den utsträckning det är rimligt och rör vår behandling.

Får vi kännedom om en personuppgiftsincident underrättar vi er utan onödigt dröjsmål och senast inom 24 timmar. Underrättelsen innehåller vad som hänt, vilka kategorier och ungefär hur många registrerade och uppgifter som berörs, sannolika följder, och vilka åtgärder vi vidtagit.

Anmälan till tillsynsmyndighet och information till de registrerade görs av er, eftersom ni är personuppgiftsansvariga. Vi lämnar det underlag ni behöver.

När avtalet upphör finns era uppgifter tillgängliga för export i 30 dagar. Därefter raderas de från produktionsmiljön inom 90 dagar, och ur säkerhetskopior i takt med att dessa gallras — senast inom sex månader.

Ni kan när som helst begära omedelbar radering.

Vi lämnar den information ni behöver för att visa att skyldigheterna i artikel 28 uppfylls.

Ni har rätt att granska vår behandling, en gång per år eller efter en incident. Granskning aviseras minst 30 dagar i förväg, sker under kontorstid och får inte störa driften eller ge insyn i andra kunders uppgifter. Ni står för era egna kostnader.

Ansvaret följer de allmänna villkoren, med den skillnaden att ansvarsbegränsningen inte gäller sanktionsavgift som påförts er till följd av att vi brutit mot detta avtal.

Svensk rätt och dataskyddsförordningen (EU) 2016/679 tillämpas. Tvist avgörs enligt punkt 14 i de allmänna villkoren.