Molntjänstavtal

Detta avtal (”Avtalet”) har detta datum ingåtts mellan:

• Avtalys AB, org.nr 559230-8810, (”Leverantören”); och
• [Kundens namn], org.nr [org.nr], (”Kunden”).

Parterna benämns gemensamt ”Parterna”.

1. BAKGRUND OCH TJÄNSTENS ART

Leverantören tillhandahåller en molnbaserad programvara (SaaS) för upprättande av uppdragsbrev och relaterad dokumentation för redovisnings- och revisionsbranschen (”Tjänsten”). Tjänsten kan även innefatta tillkommande funktionalitet, exempelvis signering och arkivering. Kunden önskar nyttja Tjänsten i sin verksamhet för att hantera uppdrag gentemot sina egna klienter.

2. AVTALSHANDLINGAR

Avtalet består av detta huvudavtal samt följande bilagor, vilka äger företräde i angiven ordning vid motstridighet:

• Huvudavtalet (detta dokument)
• Bilaga 1: Tjänstespecifikation
• Bilaga 2: Personuppgiftsbiträdesavtal (PUB)
• Bilaga 3: Service Level Agreement (SLA)

3. ONBOARDING OCH AVTALSKONFIGURATION

3.1 Digital Onboarding

I samband med avtalets ingående genomgår Kunden en digital onboardingprocess (”Onboarding”). De val Kunden gör i detta flöde utgör en bindande del av detta Avtal.

3.2 Konfigurationsval

I samband med Onboardingen fastställer Kunden:

• Faktureringsintervall: månadsvis eller kvartalsvis i förskott.
• Volym (Paketnivå): Paketnivå fastställs utifrån Kundens totala antal anställda vid tidpunkten för avtalets ingående. Om antalet anställda därefter förändras och överstiger den gällande paketnivåns intervall, äger Leverantören rätt att från och med nästkommande faktureringsperiod ensidigt justera Kundens paket till närmast högre nivå.
• Startdag: det kalenderdatum då Tjänsten aktiveras för Kunden och som utgör första dag för debitering (”Startdag”)

4. NYTTJANDERÄTT (LICENS)

4.1 Leverantören upplåter till Kunden en icke-exklusiv, icke-överlåtbar rätt att under Avtalstiden använda Tjänsten via internet för Kundens interna affärsverksamhet.

4.2 Licensen omfattar rätten att nyttja de funktioner som Tjänsten vid var tid omfattar, i syfte att generera och hantera uppdragsavtal för Kundens klienter. Kunden får ej vidaresälja, licensiera ut eller kopiera Tjänstens källkod eller gränssnitt.

5. PRIS OCH BETALNING

5.1 Avgifter: Kunden ska erlägga ersättning enligt de priser och det faktureringsintervall som valts i Onboardingen.

5.2 Fakturering: Fakturering sker i förskott. Betalningsvillkor är tjugo (20) dagar netto.

5.3 Dröjsmål: Vid försenad betalning utgår dröjsmålsränta enligt räntelagen samt lagstadgad påminnelseavgift. Leverantören äger rätt att suspendera (pausa) Tjänsten om betalning ej erlagts inom tio (10) dagar efter betalningspåminnelse.

5.4 Indexklausul (Prisjustering)

Leverantören äger rätt att årligen, per den 1 januari, justera avtalade priser motsvarande förändringen i Konsumentprisindex (KPI, 1980=100) fastställt av SCB.

• Beräkning: Det nya priset baseras på indexförändringen mellan oktober månad året innan justeringsåret och oktober månad året dessförinnan.
• Tillämpning: Negativ indexutveckling medför ej prissänkning. Justeringen sker automatiskt utan krav på föregående förhandling eller meddelande.

6. KUNDENS DATA OCH ANSVAR

6.1 Äganderätt: Kunden innehar full äganderätt till all data (”Kunddata”) som laddas upp eller genereras i Tjänsten. För undvikande av tvivel äger dock Leverantören rätt att, inom ramen för sin verksamhetsutveckling, analysera Kundens användning av tjänsten och därmed bearbeta Kunddata i anonymiserad form.

6.2 Ansvar: Kunden ansvarar ensamt för innehållet i de juridiska dokument som skapas via Tjänsten. Leverantören garanterar Tjänstens tekniska funktion men ansvarar ej för att uppdragsbrevens innehåll är juridiskt korrekt för Kundens specifika situation.

7. SEKRETESS

Parterna förbinder sig att inte till tredje man lämna ut konfidentiell information om den andra Partens verksamhet som blivit känd genom detta Avtal. Denna skyldighet gäller även efter Avtalets upphörande.

Med konfidentiell information avses all information, i muntlig eller skriftlig form, av teknisk, ekonomisk eller kommersiell art som utväxlats mellan Parterna i samband med Avtalet eller som någon av Parterna på något annat sätt får kännedom om med anledning av Avtalet, med undantag för sådan information som är allmänt känd eller kommer till allmän kännedom på något annat sätt än genom brott mot tystnadsplikten ovan, eller en Part tagit emot från tredje man som inte är bunden av tystnadsplikten ovan eller mottagande Part självständigt tagit fram eller redan känner till.

8. ANSVARSBEGRÄNSNING

8.1 Leverantören ansvarar endast för direkta skador orsakade av Leverantörens vårdslöshet.

8.2 Leverantören ansvarar under inga omständigheter för indirekta skador såsom utebliven vinst, dataförlust eller skadeståndskrav från tredje part.

8.3 Det totala skadeståndsansvaret per kalenderår är begränsat till ett belopp motsvarande tolv (12) månaders genomsnittliga abonnemangsavgifter, dock maximalt ett (1) prisbasbelopp enligt Socialförsäkringsbalken.

8.4 Kunden ansvarar ensam för allt material, alla bilagor, dokument, underlag och övrigt innehåll som Kunden laddar upp, tillhandahåller eller använder i Tjänsten (”Kundmaterial”). Kunden ansvarar för att Kundmaterial är korrekt, aktuellt och förenligt med tillämplig lag samt att Kunden innehar samtliga nödvändiga rättigheter och licenser för att använda, kopiera och behandla sådant material inom ramen för Tjänsten.

8.5 Kunden ska hålla Leverantören skadeslös från alla krav som riktas mot Leverantören med anledning av Kundens användning av Kundmaterial, inklusive eventuella intrång i tredje parts immateriella rättigheter.

8.6 Tjänsten och dess funktioner, inklusive mallar och genererade dokument, är kvalitetstestade och tillhandahålls i befintligt skick. Leverantören ansvarar inte för det innehåll eller de formuleringar som Kunden väljer att använda i sina uppdragsbrev eller andra dokument som genereras genom Tjänsten.

8.7 Kunden ansvarar helt för att granska, komplettera och säkerställa riktigheten i det färdiga uppdragsbrevet eller motsvarande dokument innan det används i verksamheten. Leverantören har inget ansvar för eventuella fel, brister, rättsliga konsekvenser eller följdskador kopplade till Kundens användning av sådana dokument.

9. AVTALSTID OCH UPPSÄGNING

9.1 Avtalet gäller tillsvidare från Startdagen.

9.2 Uppsägningstid är tre (3) kalendermånader. Uppsägning ska ske skriftligen till avtal@uppdragsbrev.se.

9.3 Vid avtalets upphörande har Kunden rätt att under trettio (30) dagar exportera sin Kunddata. Därefter raderas Kundens Kunddata permanent.

10. TILLÄMPLIG LAG OCH TVIST

10.1 Svensk lag, med undantag för dess lagvalsregler, ska tillämpas på Avtalet.

10.2 Tvister med anledning av Avtalet ska avgöras av svensk allmän domstol.

(Signeras digitalt eller fysiskt)

• Funktionalitet: Moduler för Uppdragsbrev och Arkiv.
• Systemkrav: Senaste versionen av Chrome, Edge eller Safari.
• Säkerhet: All data lagras krypterad (AES-256) inom EU/EES. Daglig backup ingår.

Detta personuppgiftsbiträdesavtal (“PUB”) utgör Bilaga 2 till Molntjänstavtalet (“Huvudavtalet”) mellan Kunden (Personuppgiftsansvarig) och Leverantören (Personuppgiftsbiträde). Vid motstridighet mellan PUB och Huvudavtalet ska PUB äga företräde avseende behandling av personuppgifter.

1. Definitioner

Begrepp som används i detta PUB har samma innebörd som i EU:s dataskyddsförordning (GDPR) 2016/679, om inte annat anges. Med “Personuppgiftsansvarig” avses Kunden och med “Biträdet” avses Leverantören.

2. Behandlingens omfattning

Biträdet ska behandla personuppgifter uteslutande för Personuppgiftsansvarigs räkning och i enlighet med dennes dokumenterade instruktioner. Behandlingens art, ändamål, kategorier av registrerade och typer av personuppgifter framgår av Appendix A till detta PUB.

3. Personuppgiftsansvarigs skyldigheter

Personuppgiftsansvarig ansvarar för att:

• (a) behandlingen av personuppgifter sker i enlighet med GDPR och övrig tillämplig dataskyddslagstiftning;
• (b) det finns en laglig grund för behandlingen;
• (c) de registrerade har informerats om behandlingen i enlighet med GDPR art. 13–14; samt
• (d) instruktioner till Biträdet är förenliga med tillämplig dataskyddslagstiftning.

4. Biträdets skyldigheter

Biträdet förbinder sig att:

• (a) behandla personuppgifter enbart enligt Personuppgiftsansvarigs dokumenterade instruktioner, inklusive vad avser överföringar till tredjeland, såvida inte EU-rätt eller svensk rätt kräver annan behandling – i sådant fall ska Biträdet informera Personuppgiftsansvarig om detta lagkrav innan behandling sker, om inte sådan information är förbjuden;
• (b) säkerställa att personer som bemyndigats att behandla personuppgifterna har åtagit sig att iaktta sekretess eller omfattas av lagreglerad tystnadsplikt;
• (c) vidta alla åtgärder som krävs enligt GDPR art. 32 (säkerhet vid behandling);
• (d) inte anlita ett annat personuppgiftsbiträde (underbiträde) utan föregående skriftligt godkännande från Personuppgiftsansvarig, i enlighet med § 6 nedan;
• (e) med beaktande av behandlingens art, bistå Personuppgiftsansvarig genom lämpliga tekniska och organisatoriska åtgärder, så att denne kan fullgöra sin skyldighet att besvara begäran från registrerade om utövande av deras rättigheter enligt GDPR kapitel III;
• (f) bistå Personuppgiftsansvarig med att säkerställa efterlevnad av skyldigheterna enligt GDPR art. 32–36 (säkerhetsåtgärder, anmälan av personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd);
• (g) efter avslutad behandling, enligt Personuppgiftsansvarigs val, radera eller återlämna samtliga personuppgifter och radera befintliga kopior, om inte unionslagstiftning eller nationell lagstiftning kräver lagring; samt
• (h) ge Personuppgiftsansvarig tillgång till all information som är nödvändig för att påvisa att de skyldigheter som följer av GDPR art. 28 fullgörs, samt möjliggöra och bidra till granskningar (revisioner) som genomförs av Personuppgiftsansvarig eller av en revisor som utsetts av Personuppgiftsansvarig.

5. Personuppgiftsincidenter

Biträdet ska utan onödigt dröjsmål, och senast inom tjugofyra (24) timmar efter att ha fått kännedom om en personuppgiftsincident, underrätta Personuppgiftsansvarig. Underrättelsen ska innehålla:

• (a) en beskrivning av incidentens art, inklusive, om möjligt, kategorierna av och det ungefärliga antalet berörda registrerade samt personuppgiftsposter;
• (b) namn på och kontaktuppgifter till dataskyddsombud eller annan kontaktpunkt där ytterligare information kan erhållas;
• (c) en beskrivning av de sannolika konsekvenserna av incidenten; samt
• (d) en beskrivning av de åtgärder som vidtagits eller föreslås för att hantera incidenten och mildra dess konsekvenser.

6. Underbiträden

6.1 Personuppgiftsansvarig ger härmed ett allmänt förhandstillstånd till Biträdet att anlita underbiträden. Gällande underbiträden vid avtalets ingående framgår av Appendix B.

6.2 Biträdet ska skriftligen informera Personuppgiftsansvarig minst trettio (30) dagar i förväg vid planerat byte eller tillägg av underbiträde. Personuppgiftsansvarig har rätt att invända mot förändringen inom denna period. Om Personuppgiftsansvarig inte invänder inom trettio (30) dagar, ska Personuppgiftsansvarig anses ha godkänt det nya underbiträdet.

6.3 Om Personuppgiftsansvarigs invändning mot ett underbiträde, enligt Biträdets bedömning, förhindrar ett effektivt tillhandahållande av Tjänsten, äger Biträdet rätt att säga upp Huvudavtalet utan påföljd eller skadeståndsskyldighet, med trettio (30) dagars varsel.

6.4 Biträdet ska genom avtal säkerställa att varje underbiträde åläggs minst motsvarande skyldigheter avseende dataskydd som följer av detta PUB. Biträdet ansvarar gentemot Personuppgiftsansvarig för underbiträdets åtaganden på samma sätt som för sina egna.

7. Överföringar till tredjeland

Personuppgifter ska lagras och behandlas inom EU/EES. Överföring till tredjeland får enbart ske med Personuppgiftsansvarigs föregående skriftliga godkännande och förutsatt att en lämplig skyddsmekanism enligt GDPR föreligger.

8. Granskning och revision

8.1 Biträdet ska på begäran tillhandahålla dokumentation som visar att detta PUB efterlevs.

8.2 Personuppgiftsansvarig, eller en oberoende tredjepartsrevisor utsedd av Personuppgiftsansvarig, har rätt att genomföra granskning av Biträdets behandling efter skälig förvarning (minst 30 dagar) och under normal arbetstid. Biträdet ska i skälig utsträckning medverka i sådan granskning.

9. Kommunikation med registrerade och tillsynsmyndigheter

Biträdet ska utan dröjsmål hänvisa registrerade, tillsynsmyndigheter eller andra som kontaktar Biträdet i frågor rörande behandlingen av personuppgifter enligt detta PUB, till Personuppgiftsansvarig. Biträdet får inte besvara sådana förfrågningar på egen hand utan Personuppgiftsansvarigs föregående godkännande, om inte Biträdet är skyldigt att lämna uppgifter enligt lag.

10. Ansvar

Vardera Parts ansvar för skada som uppstår till följd av behandling i strid med GDPR följer av GDPR art. 82. De ansvarsbegränsningar som anges i Huvudavtalets § 8 ska även tillämpas på detta PUB.

11. Lagval och tvistlösning

Detta PUB ska tolkas och tillämpas i enlighet med svensk rätt. Tvister i anledning av detta PUB ska avgöras i enlighet med vad som föreskrivs om tvistlösning i Huvudavtalet.

12. Avtalstid

Detta PUB gäller så länge Biträdet behandlar personuppgifter för Personuppgiftsansvarigs räkning. Skyldigheterna avseende konfidentialitet och radering/återlämnande kvarstår även efter PUB:ets upphörande.

APPENDIX A – Behandlingens omfattning

APPENDIX B – Godkända underbiträden

Följande underbiträden är godkända av Personuppgiftsansvarig vid avtalets ingående:

Listan ska hållas uppdaterad och göras tillgänglig för Personuppgiftsansvarig i Tjänsten eller på begäran.

1. DEFINITIONER

I denna bilaga ska följande begrepp ha nedan angiven betydelse:

• ”Tillgänglighet”: Den tid (i procent) som Tjänsten är åtkomlig för inloggning och normalt nyttjande via internet.
• ”Fel”: En avvikelse i Tjänsten som gör att den inte fungerar i enlighet med Tjänstespecifikationen.
• ”Supporttid”: Helgfri måndag till fredag, kl. 08:30 – 17:00 (CET).
• ”Planerat Underhåll”: Underhållsarbete som aviserats minst 48 timmar i förväg.
• ”Svarstid”: Tiden från att Kunden anmält ett Fel till dess att Leverantören påbörjat felsökning och bekräftat mottagande.

2. TILLGÄNGLIGHETSGARANTI

Leverantören garanterar en Tillgänglighet om 99,5 % beräknat per kalendermånad.

2.1 Beräkningsmetod

Tillgänglighet (%) = (Total tid i minuter – Ej planerad Nedtid) / Total tid i minuter * 100

2.2 Exkluderingar (Vad som ej räknas som nedtid)

Följande omständigheter ska ej belasta Tillgänglighetsberäkningen:

• Planerat underhåll som sker utanför kontorstid (det vill säga helg samt, helgfri vardag 18:00–07:00).
• Fel som orsakas av faktorer utanför Leverantörens kontroll (Force Majeure, DDoS-attacker, generella internetavbrott).
• Fel i Kundens egen utrustning, internetuppkoppling eller webbläsare.
• Problem som uppstår hos tredjepartsleverantör till Tjänsten (t.ex. driftstörning hos leverantör för e-legitimation).

3. SUPPORT OCH FELHANTERING

Leverantören tillhandahåller support via e-post och chatt under Supporttid. Fel kategoriseras och hanteras enligt följande prioritetsnivåer:

4. PRISAVDRAG (VITE)

Om Leverantören inte uppfyller garanterad Tillgänglighet (99,5 %) under en kalendermånad äger Kunden rätt till prisavdrag (Service Credits) på den fasta månadsavgiften enligt nedan:

• 99,0 % – 99,49 %: 5 % avdrag på månadens avgift.
• 98,0 % – 98,99 %: 10 % avdrag på månadens avgift.
• 95,0 % – 97,99 %: 25 % avdrag på månadens avgift.
• Under 95,0 %: 50 % avdrag på månadens avgift samt rätt till omedelbar uppsägning av Avtalet.

Krav på prisavdrag ska framställas skriftligen av Kunden senast trettio (30) dagar efter utgången av den månad bristen avser. Prisavdrag regleras genom kreditering på nästkommande faktura. Det maximala prisavdraget per månad är begränsat till 50 % av månadsavgiften.

5. REKLAMATION

Kunden ska anmäla Fel så snart som möjligt efter upptäckt. Anmälan ska innehålla en tydlig beskrivning av Felet samt information om hur det kan reproduceras.