Biträdesavtal

2. Behandling enligt Kundens instruktioner

Biträdet behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner, också när det gäller överföring till tredje land. Instruktionerna består av detta avtal med bilaga 1, Huvudavtalet och de val som Kunden och dess administratörer gör i Tjänsten, till exempel att lägga upp användare, koppla integrationer, skapa skärmlänkar, koppla AI-appar, exportera eller radera data.

Biträdet informerar Kunden omedelbart om en instruktion enligt Biträdet strider mot GDPR eller annan dataskyddslag. Om unionsrätt eller svensk rätt kräver att Biträdet behandlar uppgifterna på annat sätt informerar Biträdet Kunden om det innan behandlingen, om inte lagen förbjuder det.

Biträdet använder inte personuppgifterna för egna ändamål. Anonym, sammanställd statistik om hur Tjänsten används, där varken Kunden eller enskilda personer kan identifieras, utgör inte personuppgifter.

3. Sekretess

Biträdet ser till att de personer som har behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt. Behörigheten begränsas till de personer som behöver den för att leverera, säkra eller felsöka Tjänsten.

4. Säkerhetsåtgärder

Biträdet vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 i GDPR för att skydda personuppgifterna, med hänsyn till behandlingens art, risker och den senaste tekniken. Åtgärderna beskrivs i bilaga 2. Biträdet får ändra åtgärderna så länge skyddsnivån inte sänks.

5. Underbiträden

Kunden ger Biträdet ett allmänt förhandstillstånd att anlita underbiträden. De underbiträden som anlitas när avtalet ingås finns i bilaga 3. Biträdet ingår skriftliga avtal med varje underbiträde som ålägger det samma skyldigheter om dataskydd som i detta avtal, och ansvarar fullt ut gentemot Kunden för att underbiträdet fullgör dem.

Innan ett underbiträde läggs till eller byts ut meddelar Biträdet Kundens administratörer via e-post minst 30 dagar i förväg och uppdaterar listan i bilaga 3. Kunden får invända inom 14 dagar från meddelandet, om det finns sakliga skäl som rör dataskyddet. Hittar parterna ingen lösning får Kunden säga upp Huvudavtalet till den dag då ändringen träder i kraft, utan kostnad för tiden därefter.

6. Överföring till tredje land

Personuppgifterna lagras inom EU/EES. Biträdet får överföra eller ge åtkomst till personuppgifter utanför EU/EES endast om överföringen uppfyller kapitel V i GDPR, till exempel genom EU-kommissionens beslut om adekvat skyddsnivå (inklusive EU–US Data Privacy Framework) eller standardavtalsklausuler, med kompletterande skyddsåtgärder vid behov. Vilka mekanismer som används framgår av bilaga 3.

7. Hjälp med de registrerades rättigheter

Tjänsten låter Kundens administratörer själva visa, rätta, exportera och radera personuppgifter, utom i ändringsloggen och säkerhetskopiorna, som inte kan ändras och rensas enligt avsnittet om radering. Behöver Kunden mer hjälp för att besvara en begäran från en registrerad hjälper Biträdet till, i den mån det är möjligt.

Får Biträdet en begäran direkt från en registrerad hänvisar Biträdet personen till Kunden och meddelar Kunden utan onödigt dröjsmål. Biträdet svarar inte själv i sak, om inte Kunden instruerar det.

8. Personuppgiftsincidenter

Biträdet underrättar Kunden utan onödigt dröjsmål, och senast inom 48 timmar, efter att ha fått kännedom om en personuppgiftsincident som rör Kundens personuppgifter. Underrättelsen går till Kundens administratörer via e-post och innehåller, så långt det är känt:

• vad som har hänt och när,
• vilka kategorier och ungefär hur många registrerade och poster som berörs,
• sannolika konsekvenser,
• vilka åtgärder som vidtagits eller föreslås för att hantera incidenten och begränsa skadan,
• en kontaktperson hos Biträdet.

Information som inte finns direkt lämnas i omgångar. Biträdet dokumenterar incidenten och hjälper Kunden att anmäla den till Integritetsskyddsmyndigheten och informera de registrerade när det krävs.

9. Övrigt bistånd

Biträdet hjälper Kunden att fullgöra skyldigheterna enligt artiklarna 32–36 i GDPR, det vill säga säkerhet, incidenter, konsekvensbedömningar och förhandssamråd, med hänsyn till behandlingens art och den information Biträdet har. Hjälp som går utöver det som följer av Tjänstens funktioner och detta avtal får Biträdet ta betalt för enligt gällande timpris, om inte behovet beror på att Biträdet brutit mot avtalet.

10. Information och granskning

Biträdet ger Kunden den information som behövs för att visa att skyldigheterna i artikel 28 i GDPR fullgörs, i första hand genom detta avtal, bilagorna och sidan Säkerhet och dataskydd.

Räcker inte det får Kunden, eller en oberoende granskare som Kunden anlitar och som omfattas av tystnadsplikt, granska Biträdet högst en gång per tolvmånadersperiod, med minst 30 dagars varsel och under kontorstid. Granskningen får inte ge tillgång till andra kunders uppgifter eller äventyra säkerheten. Varje part står för sina egna kostnader. Granskning efter en incident hos Biträdet, eller på begäran av en tillsynsmyndighet, får göras oftare.

11. Radering och återlämnande

När Huvudavtalet upphör kan Kundens administratörer ladda ner alla personuppgifter från Tjänsten under 30 dagar. Därefter raderar Biträdet personuppgifterna ur Tjänsten inom 30 dagar, och ur säkerhetskopior i takt med att de roteras ut, senast inom ytterligare 30 dagar, om inte unionsrätt eller svensk rätt kräver att de sparas. Biträdet intygar raderingen skriftligen på begäran.

12. Ansvar

Ersättning till registrerade fördelas enligt artikel 82 i GDPR. Varje part svarar för sanktionsavgifter som påförs den parten. I övrigt gäller ansvarsbegränsningen i Huvudavtalet, utom när Biträdet behandlat personuppgifter i strid med Kundens instruktioner eller med uppsåt eller grov vårdslöshet.

13. Giltighet

Avtalet gäller så länge Biträdet behandlar personuppgifter för Kundens räkning. Ändringar meddelas på samma sätt som ändringar av Huvudavtalet. Ändringar som krävs enligt lag eller beslut från en tillsynsmyndighet får gälla direkt. Svensk lag gäller, och tvister avgörs enligt Huvudavtalet.

14. Bilaga 1: Behandlingen

Ändamål och art

Att tillhandahålla Tjänsten Leanova för daglig styrning i Kundens verksamhet: lagra, visa och sammanställa uppgifter på tavlor och skärmar, följa upp avvikelser, åtgärder, förbättringar, rundor och eskaleringar, ta emot data från Kundens integrationer, säkerhetskopiera, exportera, återställa och radera data samt felsöka och skydda Tjänsten.

Varaktighet

Under Huvudavtalets löptid och fram till att uppgifterna raderats enligt avsnittet om radering.

Kategorier av registrerade

• Kundens anställda, inhyrda och konsulter som är Användare eller förekommer i Tjänsten,
• andra personer som nämns i fritext eller syns på foton som Kunden laddar upp.

Kategorier av personuppgifter

• Identitet och konto: namn, e-post, användarnamn, roll, grenar, språkval och inloggningsuppgifter.
• Arbete i Tjänsten: vem som skapat, ändrat, ansvarar för eller kvitterat avvikelser, åtgärder, förbättringar, rundor, standarder och värden, med kommentarer och fritext, samt notiser mellan användare.
• Avvikelser från Kundens system, till exempel tillbud och olycksfall från IA-systemet, med fritext.
• Närvaro och bemanning: vem som arbetar var per skift och dag, och frånvaro med den kategori Kunden valt.
• Kompetens: kompetensnivåer per person, vem som bedömt dem och kvittenser av instruktioner, när Kunden använder kompetensmatrisen.
• Foton som Kunden laddar upp, till exempel vid avvikelser.
• Ändringslogg: vem som ändrat vad och när.
• Teknik: tidpunkter och IP-adresser för inloggningar och anrop, och ett hashvärde av IP-adressen när en AI-app kopplas (sparas cirka en timme).

Känsliga personuppgifter

Om Kunden registrerar frånvaro med orsaken sjukdom eller vård av sjukt barn kan det utgöra uppgifter om hälsa enligt artikel 9 i GDPR. Detsamma gäller beskrivningar av skador i avvikelser om olycksfall. Kunden väljer själv vilka frånvarokategorier som finns, kan ersätta dem med en neutral kategori och avgör om orsaken visas på skärmar. Som standard visar skärmar bara ”Frånvarande”. Kunden ansvarar för att det finns stöd för behandlingen och för att begränsa sådana uppgifter till det som behövs. Tjänsten är inte avsedd för andra känsliga personuppgifter, och Kunden ska inte lägga in sådana.

Plats

Lagring i EU (Irland). Åtkomst från tredje land enligt bilaga 3.

15. Bilaga 2: Säkerhetsåtgärder

• Åtskillnad mellan kunder genom regler i databasen som kontrollerar varje läsning och skrivning, och automatiska tester av reglerna vid varje ändring av koden.
• Behörighetsstyrning med roller och behörighet per gren, som Kundens administratörer styr.
• Inloggning via Kundens Microsoft- eller Google-konto, eller med användarnamn och lösenord för delade konton. Lösenord lagras bara som saltade hashvärden.
• Kryptering av all trafik med HTTPS och HSTS. Lagrad data krypteras av Supabase.
• Hemliga nycklar för skärmar, API och AI-appar lagras bara som hashvärden och kan återkallas när som helst. Nycklar för skärmar och API visas en gång.
• Säkerhetskopiering av varje kunds poster varje natt, med möjlighet att återställa något av de 14 senaste dygnen.
• Spårbarhet genom en ändringslogg som Kundens administratörer kan läsa och exportera.
• Begränsad åtkomst för Biträdets personal, enligt behov, och ändringar i Tjänsten bara genom granskade och testade kodändringar.
• Dataminimering på skärmar utan inloggning: inga e-postadresser och ingen frånvaroorsak som standard.

En utförligare beskrivning finns under Säkerhet och dataskydd.

16. Bilaga 3: Underbiträden

Aktuell förteckning över underbiträden, vad de gör, var uppgifterna lagras och vilka överföringsmekanismer som används finns under Underbiträden. Förteckningen utgör bilaga 3.