Personuppgiftsbiträdesavtal

1. Parter och omfattning

Avtalet gäller mellan NodeiWest AB, org.nr 559169-4210 (biträdet), och den kund som har ett avtal om NodeCE med oss (den personuppgiftsansvarige). Det ingår i kundavtalet och gäller när kunden har godkänt orderformuläret. Meddelanden enligt det här avtalet skickas som punkt 1 i de allmänna villkoren anger.

Avtalet gäller den behandling vi utför för kundens räkning:

drift av NodeCE som molntjänst;
e-post som NodeCE skickar åt kunden via oss, till exempel inloggningskoder och inbjudningar;
support, även felrapporter som användarna skickar från skrivbordsappen, för molntjänsten och för egen drift;
uppgifter i vår centrala tjänst om supportåtkomst och om samarbeten mellan organisationer, till exempel namnen på dem som har startat, godkänt eller avslutat dem.

2. Behandlingen

Vi behandlar personuppgifterna för att leverera, driva och ge support för NodeCE enligt kundavtalet.

Uppgifterna gäller kundens användare och medlemmar och de personer som förekommer i kundens dokumentation. Det rör sig om namn, e-postadress, roll och inloggningsuppgifter, om IP-adresser, uppgifter om webbläsare och enheter och om installationer av skrivbordsappen, om arbetsuppgifter och signeringar, om loggar över vad användarna har gjort, om det som kunden själv lägger in i NodeCE och om det som användarna skickar med en felrapport, till exempel loggar, skärmbilder och filer. Kunden ska inte lägga in känsliga personuppgifter i NodeCE.

Behandlingen pågår så länge kundavtalet gäller och därefter tills uppgifterna har lämnats tillbaka eller raderats enligt punkt 10.

3. Instruktioner

Vi behandlar personuppgifterna bara enligt kundens dokumenterade instruktioner, även när det gäller överföring till länder utanför EU/EES. Kundavtalet, det här avtalet och kundens inställningar i NodeCE är kundens instruktioner. Kräver EU-rätten eller svensk lag att vi behandlar uppgifterna på något annat sätt meddelar vi kunden det innan behandlingen börjar, om inte lagen förbjuder det av viktiga hänsyn till allmänintresset. Anser vi att en instruktion strider mot dataskyddsreglerna meddelar vi kunden omedelbart.

Kunden ansvarar för att instruktionerna och de personuppgifter kunden lägger in i NodeCE är förenliga med dataskyddsreglerna.

4. Sekretess

Alla som behandlar personuppgifterna hos oss, anställda som konsulter, har tystnadsplikt genom avtal eller lag. Tystnadsplikten gäller även efter att avtalet har upphört.

5. Säkerhet

Vi vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 i dataskyddsförordningen. Åtgärderna beskrivs på nodece.se/trust. Vi får ändra åtgärderna, men inte så att den samlade skyddsnivån blir lägre.

6. Support

Våra driftansvariga arbetar i molntjänstens databas bara när driften eller supporten kräver det.

7. Underbiträden

Kunden ger oss ett allmänt förhandstillstånd att anlita underbiträden. Vi anlitar bara underbiträden som ger tillräckliga garantier enligt artikel 28.1 i dataskyddsförordningen, och som behandlar uppgifterna inom EU/EES eller med en tillåten överföringsmekanism. De underbiträden vi anlitar finns på nodece.se/subprocessors, med var de behandlar uppgifterna, vad de gör och vilka underbiträden de själva anlitar.

Vi mejlar kundens kontaktperson för avtal minst 30 dagar innan ett nytt underbiträde börjar behandla uppgifterna. Kunden kan invända skriftligt inom de 30 dagarna; invänder kunden inte har kunden godkänt underbiträdet. Kan vi inte lösa invändningen får kunden säga upp den del av kundavtalet som berörs, och vi betalar tillbaka det kunden har betalat i förskott för tiden efter uppsägningen.

Vi ingår ett personuppgiftsbiträdesavtal med varje underbiträde enligt artikel 28.4 i dataskyddsförordningen, och vi ansvarar mot kunden för underbiträdets behandling. Ger ett underbiträdes avtal kortare frister än det här avtalet står det på listan över underbiträden. Byter ett underbiträde sina egna underbiträden med kortare varsel än 30 dagar meddelar vi kunden när vi får veta det. Kunden kan då invända till dess att ändringen börjar gälla, med samma rätt att säga upp som ovan.

8. Överföring utanför EU/EES

Vi överför personuppgifter till länder utanför EU/EES bara när det finns en tillåten överföringsmekanism enligt kapitel V i dataskyddsförordningen. Molntjänstens uppgifter lagras inom EU, utom e-posten och felrapporterna.

E-post från NodeCE och felrapporter från skrivbordsappen skickas via Resend, ett amerikanskt bolag. Resend lagrar dem i USA, med mottagarens adress och namn, meddelandet med bilagor och loggar över leveransen, så länge som står på nodece.se/subprocessors. Överföringen omfattas av EU-kommissionens beslut om ramen för dataskydd mellan EU och USA, där Resend är certifierat. Är Resend inte längre certifierat omfattas den av EU-kommissionens standardavtalsklausuler (modul tre). Resend använder också uppgifter om hur tjänsten används, bland annat avsändarens och mottagarens adresser och loggar, för egna syften: för att tillhandahålla och förbättra tjänsten, förebygga bedrägerier och missbruk, kontrollera identitet och driva sin verksamhet. Det gör Resend som självständig personuppgiftsansvarig, och kunden anger Resend som mottagare i sin egen information till de registrerade. En kund med egen drift kan skicka e-posten via sin egen e-postserver, men felrapporterna går alltid via Resend.

9. Hjälp till kunden

Vi hjälper kunden, så långt det är möjligt med hänsyn till hur behandlingen går till, att:

besvara begäranden från registrerade, till exempel om radering eller registerutdrag;
uppfylla kraven på säkerhet;
anmäla personuppgiftsincidenter till tillsynsmyndigheten och informera de registrerade;
göra konsekvensbedömningar och förhandssamråd.

Kunden ansvarar själv för anmälningar och för information till de registrerade.

Upptäcker vi en personuppgiftsincident meddelar vi kundens säkerhetskontakt utan onödigt dröjsmål. Meddelandet beskriver, så långt vi vet:

vad som har hänt;
vilka kategorier av personer och uppgifter som berörs, och ungefär hur många;
vilka följder incidenten troligen får;
vad vi har gjort;
vem hos oss kunden kan kontakta.

Uppgifter vi inte har då lämnar vi så snart vi har dem.

10. När avtalet upphör

När kundavtalet upphör hämtar kunden sina uppgifter och vi raderar dem enligt punkt 9 i de allmänna villkoren. Våra säkerhetskopior av dem raderas 30 dagar senare. Felrapporter och supportärenden raderas inom 90 dagar efter att kundavtalet har upphört. Resend raderar sina kopior enligt sina villkor, som står på nodece.se/subprocessors.

Raderar kunden en person i NodeCE finns personens namn kvar på handlingar som lagen kräver att kunden sparar, till exempel signerade protokoll.

11. Granskning

Vi ger kunden all information som behövs för att visa att vi uppfyller artikel 28 i dataskyddsförordningen, och vi medverkar vid granskningar, även inspektioner, som kunden eller en revisor som kunden anlitar gör.

Kunden meddelar en granskning skriftligt minst 30 dagar i förväg och anger vad den ska omfatta.
En granskning görs högst en gång per tolv månader, under kontorstid. Hos Resend sker granskning enligt Resends villkor, högst en gång per kalenderår.
Efter en personuppgiftsincident som berör kundens uppgifter, eller när en tillsynsmyndighet begär det, får kunden granska oftare och med kortare varsel.
Vi svarar först med dokumentation: vår beskrivning av säkerheten, våra rutiner, utdrag ur organisationens historik och vårt register över behandlingar. Räcker den inte väljer kunden hur granskningen görs.
Revisorn har tystnadsplikt och får inte utveckla eller sälja programvara för maskinsäkerhet, CE-märkning eller kemikaliehantering. En granskning ger inte tillgång till andra kunders uppgifter.
Varje part står för sina egna kostnader.

12. Ansvar och tvister

Det här avtalet påverkar inte de registrerades rätt till ersättning enligt artikel 82 i dataskyddsförordningen. Varje part betalar sina egna sanktionsavgifter. Mellan parterna gäller ansvarsbegränsningen i punkt 10 i de allmänna villkoren, även när en part kräver den andra på dess del av en ersättning till en registrerad. Svensk lag gäller, och tvister avgörs som punkt 14 i de allmänna villkoren anger.