Personuppgiftsbiträdesavtal

Detta avtal om personuppgiftsbehandling ("Biträdesavtalet") enligt artikel 28 i dataskyddsförordningen (GDPR) utgör en del av avtalet mellan Sub Mölndal AB (BOOKVEO, org.nr 559148-6971, Gnejsvägen 21, 437 32 Lindome, Sweden, "Biträdet") och den organisation som registrerat ett konto ("den Personuppgiftsansvarige").

1. Ämne, varaktighet, art och ändamål

Biträdet behandlar personuppgifter för att tillhandahålla tjänsten BOOKVEO: analys av uppladdade rapporter, skapande av bokföringsförslag, import till den Personuppgiftsansvariges Fortnox-bolag, månadsavstämning samt historik och spårbarhet. Avtalet gäller så länge Biträdet behandlar personuppgifter för den Personuppgiftsansvariges räkning.

2. Kategorier av uppgifter och registrerade

Uppgifter som kan förekomma i rapporter och bokföringsunderlag, till exempel försäljnings- och betalningsuppgifter, organisations- och restauranguppgifter samt namn eller initialer på personal som förekommer i rapportmaterial. Registrerade kan vara den Personuppgiftsansvariges kunder, anställda och användare av tjänsten.

3. Behandling endast på instruktioner

Biträdet behandlar personuppgifter endast enligt den Personuppgiftsansvariges dokumenterade instruktioner, inklusive detta avtal och de åtgärder användaren utför i tjänsten (t.ex. import till Fortnox), om inte annat krävs enligt lag.

4. Sekretess

Biträdet säkerställer att personer som behandlar uppgifterna omfattas av sekretess eller tystnadsplikt.

5. Säkerhetsåtgärder

Biträdet vidtar lämpliga tekniska och organisatoriska åtgärder, bland annat: autentiserad åtkomst till tjänsten; åtkomst begränsad per organisation med databasens åtkomstregler (radnivåsäkerhet); hemligheter och nycklar hanteras endast på serversidan; krypterad transport via leverantörernas upplägg; validering av uppladdade filer; händelseloggning av åtgärder i tjänsten; signaturverifiering av betalningsmeddelanden; samt åtskillnad mellan test- och skarp driftmiljö.

6. Underbiträden

Den Personuppgiftsansvarige ger Biträdet ett allmänt förhandstillstånd att anlita underbiträden som behövs för att tillhandahålla tjänsten. Biträdet informerar om planerade tillägg eller byten av underbiträden via e-post eller i tjänsten innan ändringen sker, så att den Personuppgiftsansvarige kan invända inom skälig tid. Aktuell information om vilka underbiträden som används lämnas på begäran via BOOKVEOs kontaktadress. Fortnox används på den Personuppgiftsansvariges egen instruktion och är en mottagare som den Personuppgiftsansvarige själv valt, inte Biträdets underbiträde.

7. Bistånd

Biträdet bistår den Personuppgiftsansvarige, i den mån det är rimligt, med att besvara registrerades begäranden, vid personuppgiftsincidenter och vid konsekvensbedömningar, med hänsyn till behandlingens art och den information Biträdet har tillgång till.

8. Incidenter

Biträdet underrättar den Personuppgiftsansvarige utan onödigt dröjsmål efter det att en personuppgiftsincident som berör den Personuppgiftsansvariges uppgifter har konstaterats.

9. Radering och återlämnande

Efter avtalets slut raderas eller återlämnas den Personuppgiftsansvariges uppgifter enligt dennes val, om inte lag kräver fortsatt lagring. Export kan göras i appen under Data & Integritet; radering begärs där och hanteras utan onödigt dröjsmål, normalt inom 30 dagar.

10. Granskning

Biträdet tillhandahåller den information som skäligen krävs för att visa att avtalet efterlevs och möjliggör granskning enligt särskild överenskommelse. Biträdet gör inga anspråk på certifieringar som inte finns.

11. Överföring till tredjeland

Behandlingsorten följer respektive leverantörs upplägg. Sker överföring utanför EU/EES ska den stödjas på en tillämplig överföringsmekanism enligt GDPR, till exempel adekvansbeslut eller standardavtalsklausuler.