Personuppgiftsbiträdesavtal

Personuppgiftsansvarig: kunden hos Kontevia-tjänsten, ett företag eller en enskild näringsidkare som behandlar personuppgifter som finns i sina redovisningsdokument och andra uppgifter som skickas till tjänsten.

Personuppgiftsbiträde: Eucalypt 4 s.r.o., Jicinska 226/17, Zizkov, 130 00 Praha 3, Tjeckien, organisationsnummer 22103741, registrerat i handelsregistret som förs av Stadsdomstolen i Prag, akt nr C 410771. Kontakt för dataskydd: hello@kontevia.com.

1.1. Detta avtal reglerar parternas rättigheter och skyldigheter när personuppgiftsbiträdet behandlar personuppgifter på uppdrag av personuppgiftsansvarig i samband med tillhandahållandet av Kontevia-tjänsten (”tjänsten”).

1.2. Detta avtal utgör en integrerad del av villkoren och träder i kraft när personuppgiftsansvarig registrerar sig för tjänsten. Det gäller så länge personuppgiftsbiträdet behandlar personuppgifter för personuppgiftsansvarig.

2.1. Personuppgiftsbiträdet behandlar personuppgifter enbart i syfte att tillhandahålla tjänsten, nämligen:

• mottagande och digitalisering av redovisningsdokument som skickas via chatt, e-post eller uppladdning;
• extraktion av data från dokument med hjälp av optisk teckenigenkänning och automatiserade extraktionsmodeller;
• kategorisering, dubblettidentifiering och förslag till momshantering;
• utfärdande av fakturor och andra dokument på uppdrag av personuppgiftsansvarig;
• import av banktransaktioner som personuppgiftsansvarig kopplar samman samt matchning av dessa mot dokument;
• upprättande av sammanställningar, rapporter och exporter till personuppgiftsansvarigs redovisningssystem eller rådgivare;
• lagring av dokument och data inom tjänsten under avtalstiden och exportperioden.

2.2. Personuppgiftsbiträdet behandlar personuppgifter endast enligt dokumenterade instruktioner från personuppgiftsansvarig, inklusive instruktioner om överföringar till tredjeländer, såvida detta inte krävs enligt unionsrätt eller medlemsstaters nationella rätt. I sådant fall informerar personuppgiftsbiträdet personuppgiftsansvarig innan behandlingen sker, om inte lagen förbjuder detta.

3.1. Registrerade: personuppgiftsansvarigs affärspartners (leverantörer, kunder, kontaktpersoner), personuppgiftsansvarigs anställda och uppdragstagare där lönehandlingar eller utläggsunderlag behandlas, samt personuppgiftsansvarigs egna användare av tjänsten.

3.2. Kategorier av personuppgifter: identifikationsuppgifter (namn, företag, organisations- och momsregistreringsnummer); kontaktuppgifter (adress, e-post, telefon); ekonomiska uppgifter (fakturerade belopp, bankkontonummer, betalningsreferenser); anställningsuppgifter där lönehandlingar skickas (befattning, lön, försäkringsidentifierare); användningsdata för personuppgiftsansvarigs användare.

3.3. Personuppgiftsbiträdet kräver inte känsliga personuppgifter enligt artikel 9 GDPR. Personuppgiftsansvarig åtar sig att inte skicka sådana uppgifter via tjänsten, om de inte ingår i ett dokument som personuppgiftsansvarig är lagligen skyldig att bevara. I så fall ansvarar personuppgiftsansvarig för den rättsliga grunden.

Personuppgiftsbiträdet åtar sig att:

• behandla personuppgifter endast enligt dokumenterade instruktioner från personuppgiftsansvarig och endast i den utsträckning som krävs för tjänsten;
• säkerställa att personer med behörighet att behandla personuppgifter har åtagit sig konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt;
• vidta de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 GDPR, i synnerhet de som anges i bilagan till detta avtal;
• inte anlita en annan underbiträdare utan personuppgiftsansvarigs föregående allmänna skriftliga godkännande, vilket personuppgiftsansvarig ger enligt artikel 6 i detta avtal;
• med hänsyn till behandlingens art bistå personuppgiftsansvarig med lämpliga tekniska och organisatoriska åtgärder för att svara på förfrågningar från registrerade som utövar sina rättigheter;
• bistå personuppgiftsansvarig med att säkerställa efterlevnad av artiklarna 32–36 GDPR (säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömning avseende dataskydd, förhandssamråd), med hänsyn till behandlingens art och den information som personuppgiftsbiträdet har tillgång till;
• efter personuppgiftsansvarigs val radera eller återlämna samtliga personuppgifter efter det att tillhandahållandet av tjänsten upphört, samt radera befintliga kopior, om inte unionsrätt eller medlemsstaters nationella rätt kräver lagring;
• ställa all information som krävs till personuppgiftsansvarigs förfogande för att visa efterlevnad av artikel 28 GDPR samt möjliggöra och bidra till granskningar, inklusive inspektioner, som genomförs av personuppgiftsansvarig eller en av denne utsedd revisor;
• omedelbart informera personuppgiftsansvarig om personuppgiftsbiträdet anser att en instruktion strider mot GDPR eller andra dataskyddsbestämmelser i unionsrätten eller medlemsstaters nationella rätt.

5.1. Personuppgiftsbiträdet meddelar personuppgiftsansvarig om en personuppgiftsincident utan onödigt dröjsmål och senast 48 timmar efter att ha fått kännedom om den.

5.2. Anmälan innehåller åtminstone: en beskrivning av incidentens art, inklusive, om möjligt, kategorierna och det ungefärliga antalet berörda registrerade och poster; namn och kontaktuppgifter till ansvarig person; en beskrivning av de sannolika konsekvenserna; samt en beskrivning av de åtgärder som vidtagits eller föreslagits för att hantera incidenten och begränsa dess effekter.

5.3. Personuppgiftsbiträdet samarbetar med personuppgiftsansvarig för att uppfylla dennes anmälningsskyldigheter gentemot den behöriga tillsynsmyndigheten och de registrerade.

6.1. Personuppgiftsansvarig ger ett allmänt godkännande till att personuppgiftsbiträdet anlitar underbiträden för behandling av personuppgifter.

6.2. Den aktuella listan över underbiträden, med syfte och plats för varje, publiceras på sidan för underbiträden på personuppgiftsbiträdets webbplats och utgör en bilaga till detta avtal.

6.3. Personuppgiftsbiträdet informerar personuppgiftsansvarig om avsedda tillägg eller byten av underbiträden minst 14 dagar i förväg, via e-post till personuppgiftsansvarigs kontaktadress eller genom meddelande i tjänsten, vilket ger personuppgiftsansvarig möjlighet att invända.

6.4. Om personuppgiftsansvarig framför en berättigad invändning inom 14 dagar från meddelandet, avstår personuppgiftsbiträdet antingen från den avsedda ändringen eller erbjuder personuppgiftsansvarig möjligheten att säga upp avtalet utan påföljd och med återbetalning av förskottsbetalda avgifter för den outnyttjade perioden.

6.5. Personuppgiftsbiträdet ålägger varje underbiträde, genom avtal, samma dataskyddsskyldigheter som anges i detta avtal, i synnerhet tillräckliga garantier för att genomföra lämpliga tekniska och organisatoriska åtgärder. Om ett underbiträde inte uppfyller sina skyldigheter förblir personuppgiftsbiträdet fullt ansvarigt gentemot personuppgiftsansvarig för att underbiträdets skyldigheter fullgörs.

7.1. Personuppgifter lagras på servrar belägna inom Europeiska unionen. Personuppgiftsbiträdet överför inte personuppgifter utanför Europeiska ekonomiska samarbetsområdet, förutom till underbiträden som anges på sidan för underbiträden och endast med lämpliga skyddsåtgärder enligt kapitel V GDPR.

7.2. Sådana överföringar grundar sig på ett beslut om adekvat skyddsnivå från Europeiska kommissionen (inklusive EU-US Data Privacy Framework för certifierade mottagare), de standardavtalsklausuler som antagits av kommissionen enligt artikel 46.2 c GDPR, eller andra lämpliga skyddsåtgärder, kompletterade med ytterligare åtgärder där en bedömning av överföringens konsekvenser kräver detta.

8.1. Personuppgiftsbiträdet ger personuppgiftsansvarig rimligt bistånd vid hanteringen av registrerades förfrågningar om att utöva sina rättigheter enligt artiklarna 15–22 GDPR (tillgång, rättelse, radering, begränsning, dataportabilitet, invändning). Tjänsten innehåller sök-, export- och raderingsfunktioner som gör det möjligt för personuppgiftsansvarig att hantera de flesta förfrågningar direkt.

8.2. Om en registrerad kontaktar personuppgiftsbiträdet direkt, hänvisar personuppgiftsbiträdet den registrerade till personuppgiftsansvarig utan onödigt dröjsmål och informerar personuppgiftsansvarig, såvida inte förfrågan rör uppgifter för vilka personuppgiftsbiträdet självt är personuppgiftsansvarig.

9.1. Personuppgiftsbiträdet ger personuppgiftsansvarig eller en av denne utsedd revisor möjlighet att genomföra granskningar och inspektioner för att kontrollera efterlevnaden av detta avtal och GDPR.

9.2. Granskningar genomförs på personuppgiftsansvarigs bekostnad, med rimligt varsel om minst 14 bankdagar i förväg, under kontorstid och på ett sätt som inte stör personuppgiftsbiträdets verksamhet eller äventyrar säkerheten för andra kunders uppgifter. Revisorn måste vara bunden av sekretess.

9.3. I stället för en granskning på plats kan personuppgiftsbiträdet tillhandahålla aktuella certifikat, rapporter från oberoende revisorer eller annan dokumentation som visar efterlevnad av säkerhetsåtgärderna, om dessa är tillräckliga för att besvara personuppgiftsansvarigs frågor.

10.1. Detta avtal gäller under avtalsförhållandets varaktighet mellan personuppgiftsansvarig och personuppgiftsbiträdet, det vill säga så länge personuppgiftsansvarig använder tjänsten.

10.2. Efter avtalsförhållandets upphörande gör personuppgiftsbiträdet följande: låter personuppgiftsansvarig exportera sina uppgifter under 90 dagar; raderar därefter oåterkalleligen alla personuppgifter som tillhör personuppgiftsansvarig; raderar säkerhetskopior senast 45 dagar efter att primärdata raderats; och bekräftar raderingen på personuppgiftsansvarigs begäran. Uppgifter som personuppgiftsbiträdet måste bevara enligt unionsrätt eller medlemsstaters nationella rätt (i synnerhet bokföringsunderlag) undantas.

10.3. Skyldigheterna i detta avtal, i synnerhet avseende sekretess och säkerhet, gäller efter avtalsförhållandets upphörande så länge personuppgiftsbiträdet innehar några personuppgifter tillhörande personuppgiftsansvarig.

11.1. Personuppgiftsbiträdet ansvarar för skada som orsakats av behandling i strid med detta avtal eller GDPR i enlighet med artikel 82 GDPR, i synnerhet om det inte har uppfyllt de skyldigheter enligt GDPR som specifikt riktar sig till personuppgiftsbiträden eller har agerat utanför eller i strid med personuppgiftsansvarigs lagliga instruktioner.

11.2. Ansvarsbegränsningarna i villkoren gäller för detta avtal i den utsträckning lagen tillåter det. De begränsar inte registrerades rättigheter.

12.1. Detta avtal regleras av lagstiftningen i Tjeckien och direkt tillämplig EU-rätt, i synnerhet GDPR.

12.2. Vid konflikt mellan detta avtal och Användarvillkoren har detta avtal företräde i frågor om skydd av personuppgifter.

12.3. Ändringar av detta avtal kräver skriftlig form, vilket inkluderar en uppdaterad version publicerad på webbplatsen och meddelad till den personuppgiftsansvarige i enlighet med Användarvillkoren.

12.4. Tvister som uppstår ur detta avtal avgörs av domstolarna i Tjeckien, behöriga enligt personuppgiftsbiträdets säte, utan att det påverkar de registrerades och tillsynsmyndigheternas rättigheter.

Kryptering

• AES-256-kryptering av data i vila, inklusive säkerhetskopior.
• TLS 1.2 eller högre för all data under överföring, inklusive anslutningar till underbiträden.

Åtkomstkontroll

• Åtkomst enligt principen om minsta möjliga behörighet; varje anställd och system har endast de behörigheter som krävs för sin roll.
• Multifaktorautentisering för administrativ åtkomst och infrastrukturåtkomst.
• Separering av kundernas arbetsytor på applikations- och databasnivå.
• Regelbunden granskning och snabb återkallelse av åtkomsträttigheter.

Tillgänglighet och motståndskraft

• Regelbundna automatiska säkerhetskopieringar med testade återställningsrutiner.
• Redundant hosting-infrastruktur inom Europeiska unionen.
• Övervakning av tillgänglighet och prestanda med larmfunktion.

Integritet och loggning

• Loggning av åtkomst till personuppgifter och av administrativa åtgärder.
• Granskningsspår för dokument: vem som skickat in, ändrat, godkänt eller exporterat dem och när.
• Upptäckt av avvikelser och säkerhetsincidenter.

Organisatoriska åtgärder

• Sekretessförpliktelser för all personal och alla underleverantörer med åtkomst till personuppgifter.
• Utbildning av personal i dataskydd och säkerhet.
• Dokumenterade interna rutiner för behandling av personuppgifter och hantering av registrerades begäranden.
• Incidenthanteringsplan med definierade roller och anmälningsfrister.
• Dataskyddsgranskning av nya underbiträden innan de anlitas.