Personuppgiftsbiträdesavtal

Parter

Personuppgiftsansvarig (Kunden):

Skriv direkt i fälten. Det du skriver följer med när du skriver ut eller sparar som PDF, men sparas inte hos oss.

Personuppgiftsbiträde (Biträdet): Znoff AB, org.nr 559422-8479, Nordgårdsgatan 6, 412 85 Göteborg. Kontaktperson: Shayan Parsai, kontakt@lssutbildning.se.

1. Bakgrund och syfte

Kunden har köpt platser i onlinekursen LSS-utbildning (Tjänsten) åt sina anställda eller uppdragstagare (Deltagarna). För att leverera Tjänsten behandlar Biträdet personuppgifter om Deltagarna för Kundens räkning. Detta avtal reglerar den behandlingen i enlighet med artikel 28 i förordning (EU) 2016/679 (dataskyddsförordningen). Avtalet gäller så länge Kunden har ett kundkonto med platser i Tjänsten.

2. Behandlingens art, ändamål och omfattning

• Ändamål: att ge Deltagarna tillgång till kursen, registrera framsteg och provresultat, utfärda intyg och visa Kundens administratör vilka Deltagare som är inbjudna, har konto, påbörjat och slutfört kursen.
• Kategorier av registrerade: Deltagare som Kunden bjuder in, samt Kundens administratör.
• Kategorier av personuppgifter: namn, e-postadress, telefonnummer (frivilligt), personnummer (anges av Deltagaren innan slutprovet och står på intyget), lösenord i hashad form, tidpunkter för inbjudan och inloggning, lektionsframsteg, quiz- och provresultat, intyg med verifieringskod samt arbetsgivarens namn.
• Känsliga uppgifter: inga. Kunden får inte lägga in känsliga personuppgifter i Tjänsten.
• Varaktighet: så länge Deltagarens konto finns och därefter så länge intyget ska kunna verifieras, dock högst tio år, om Kunden inte begär radering tidigare.

3. Kundens ansvar

Kunden ansvarar för att det finns rättslig grund för behandlingen, för att Deltagarna får information om behandlingen, och för att bara bjuda in personer som Kunden har rätt att registrera. Kunden ansvarar för sina administratörers inloggningsuppgifter och för att administratörsbehörigheten tas bort när den inte längre behövs.

4. Biträdets skyldigheter

Biträdet ska

1. bara behandla personuppgifterna enligt Kundens dokumenterade instruktioner. Instruktionerna utgörs av detta avtal, villkoren för Tjänsten och de funktioner Kunden använder i Tjänsten. Är Biträdet enligt lag skyldigt att behandla uppgifterna på annat sätt ska Biträdet informera Kunden innan behandlingen, om inte lagen förbjuder det;
2. se till att alla som behandlar uppgifterna har åtagit sig tystnadsplikt;
3. vidta de tekniska och organisatoriska säkerhetsåtgärder som anges i punkt 7;
4. anlita underbiträden bara enligt punkt 6;
5. hjälpa Kunden att svara på de registrerades begäran om utdrag, rättelse, radering, begränsning, dataportabilitet och invändningar, genom att på begäran lämna ut, rätta eller radera uppgifterna inom tio arbetsdagar;
6. hjälpa Kunden att fullgöra sina skyldigheter om säkerhet, personuppgiftsincidenter och konsekvensbedömningar, med hänsyn till behandlingens art och den information Biträdet har;
7. utan onödigt dröjsmål, och senast 48 timmar efter att Biträdet fått kännedom om den, underrätta Kunden om en personuppgiftsincident som rör Kundens uppgifter, med de uppgifter Kunden behöver för sin anmälan till Integritetsskyddsmyndigheten;
8. på Kundens val radera eller återlämna uppgifterna när Tjänsten upphör, enligt punkt 8;
9. ge Kunden tillgång till den information som behövs för att visa att skyldigheterna i artikel 28 följs, och medverka till granskning enligt punkt 9;
10. omedelbart informera Kunden om Biträdet anser att en instruktion strider mot dataskyddsförordningen eller annan dataskyddslagstiftning.

5. Överföring till tredjeland

Uppgifterna lagras i EU. Vissa underbiträden har moderbolag i USA och kan i undantagsfall, till exempel vid support, komma åt uppgifter från USA. Sådan åtkomst sker med stöd av EU-kommissionens beslut om adekvat skyddsnivå (EU-US Data Privacy Framework) för de bolag som är certifierade, och i övrigt med EU-kommissionens standardavtalsklausuler. Biträdet får inte överföra uppgifterna till tredjeland på annan grund utan Kundens skriftliga godkännande.

6. Underbiträden

Kunden godkänner att Biträdet anlitar följande underbiträden:

Underbiträde	Behandling	Plats
Supabase Inc.	databas och inloggning för kursportalen	EU (Stockholm)
Vercel Inc.	drift av kursportalen	EU, med amerikanskt moderbolag
Stripe Payments Europe Ltd	betalning och kvitton	EU, med amerikanskt moderbolag
Hostinger International Ltd	webbplats och e-post	EU
Google Ireland Ltd	inloggning med Google, bara för deltagare som väljer det	EU, med amerikanskt moderbolag

Biträdet ska informera Kunden skriftligt minst 30 dagar innan ett nytt underbiträde anlitas eller ett underbiträde byts ut. Kunden får invända inom den tiden; kan parterna inte enas har Kunden rätt att säga upp Tjänsten och få tillbaka betalningen för outnyttjade platser. Biträdet ska ålägga varje underbiträde samma skyldigheter som i detta avtal och ansvarar gentemot Kunden för underbiträdets behandling.

7. Säkerhetsåtgärder

• All trafik krypteras (TLS). Lösenord lagras hashade. Personnummer skrivs bara av servern och visas aldrig på den publika verifieringssidan.
• Åtkomstkontroll på radnivå i databasen: Deltagare ser bara sina egna uppgifter, Kundens administratör bara sin egen organisation.
• Nycklar och lösenord till underbiträden förvaras i skyddade miljövariabler, aldrig i kod eller e-post.
• Daglig säkerhetskopiering hos databasleverantören med sju dagars historik.
• Slutprov dras och rättas på servern; intyg har en unik verifieringskod.
• Endast Biträdets behöriga personal har tillgång till produktionsdata, och åtkomsten loggas hos leverantörerna.

8. Radering och återlämning

När Kunden säger upp Tjänsten, eller på Kundens begäran, ska Biträdet inom 30 dagar radera Kundens administratörskonto och organisationens uppgifter. Deltagarnas egna konton och intyg raderas på Deltagarens eller Kundens begäran; utan begäran sparas de så att intygen kan verifieras, dock högst tio år. Uppgifter som Biträdet måste spara enligt bokföringslagen (fakturaunderlag) sparas i sju år och raderas därefter. Kunden kan när som helst exportera deltagarlistan som CSV och intygen som PDF från adminpanelen.

9. Granskning

Kunden har rätt att en gång per år, eller vid en incident, få skriftlig redovisning av hur Biträdet uppfyller detta avtal. Vill Kunden göra en egen granskning ska den aviseras 30 dagar i förväg, ske under kontorstid och inte röra andra kunders uppgifter. Kunden står för sina egna kostnader.

10. Ansvar och avtalstid

Vardera parten ansvarar för sina skyldigheter enligt dataskyddsförordningen och detta avtal. Biträdets ansvar gentemot Kunden är begränsat till det belopp Kunden betalat för Tjänsten under de senaste tolv månaderna, utom vid uppsåt eller grov vårdslöshet. Avtalet gäller från undertecknandet så länge Biträdet behandlar personuppgifter för Kundens räkning och ersätter tidigare överenskommelser om behandlingen. Svensk lag gäller; tvist avgörs av svensk allmän domstol.

Underskrifter

Skriv ut eller spara som PDF