Personuppgiftsbiträdesavtal (DPA)

Detta personuppgiftsbiträdesavtal ("DPA") utgör en bilaga till Användarvillkoren ("Huvudavtalet") mellan Kunden ("Personuppgiftsansvarig") och Verca AB, org.nr 559564-2629, med säte i Malmö, Sverige ("Personuppgiftsbiträde").

Detta DPA reglerar Verca AB:s behandling av personuppgifter för Kundens räkning i samband med tillhandahållande av Plattformen, i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679 ("GDPR"), artikel 28.

Vid motstridighet mellan detta DPA och Huvudavtalet ska DPA:t ha företräde avseende personuppgiftsbehandling.

Utöver definitioner i Huvudavtalet gäller följande:

"Personuppgiftsansvarig" — Kunden, som bestämmer ändamål och medel för behandlingen av personuppgifter.

"Personuppgiftsbiträde" — Verca AB, som behandlar personuppgifter för den Personuppgiftsansvariges räkning.

"Registrerad" — identifierbar fysisk person vars personuppgifter behandlas, exempelvis Kundens Användare eller kontaktpersoner.

"Personuppgifter" — varje upplysning som avser en identifierad eller identifierbar fysisk person, i den mån sådana uppgifter behandlas inom ramen för Plattformen.

"Behandling" — varje åtgärd som vidtas med personuppgifter, inklusive insamling, registrering, lagring, bearbetning, överföring och radering.

"Underbiträde" — tredje part som Verca AB anlitar för att utföra viss behandling av personuppgifter för Kundens räkning.

Verca AB behandlar personuppgifter för Kundens räkning i syfte att tillhandahålla och underhålla Plattformen. Behandlingen omfattar:

Kategorier av registrerade:

• Kundens Användare (anställda och konsulter med kontoåtkomst)
• Kontaktpersoner som Kunden registrerar i Plattformen

Kategorier av personuppgifter:

• Namn och e-postadress
• Organisationstillhörighet och roll
• Inloggningsuppgifter (hashade) och sessionsdata
• IP-adress och teknisk enhetsinformation
• Aktivitetsloggar och tidstämplar för handlingar i Plattformen

Behandlingens art och ändamål:

• Autentisering och åtkomstkontroll
• Tillhandahållande av Plattformens funktionalitet
• Kommunikation (notifieringar, e-post)
• Teknisk drift, felsökning och säkerhetsövervakning
• Revisionsloggning

Behandlingens varaktighet: Behandlingen pågår under Avtalets giltighetstid och upphör i enlighet med sektion 8 i detta DPA.

Verca AB åtar sig att:

Instruktioner — Behandla personuppgifter enbart enligt Kundens dokumenterade instruktioner, inklusive vad som anges i Huvudavtalet och detta DPA. Om Verca AB anser att en instruktion strider mot GDPR eller annan tillämplig dataskyddslagstiftning ska Kunden informeras utan dröjsmål.

Sekretess — Säkerställa att personal som behandlar personuppgifter har åtagit sig att iaktta sekretess eller omfattas av lagstadgad tystnadsplikt.

Tekniska och organisatoriska åtgärder — Vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inklusive:

• Kryptering av personuppgifter i vila (AES-256) och i transit (TLS 1.2+)
• Rollbaserad åtkomstkontroll med principen om minsta behörighet
• Tenant-isolering på databasnivå
• Fullständig revisionslogg över dataåtkomst
• Regelbunden säkerhetsgranskning
• Incidenthanteringsprocess med definierade eskaleringsvägar

Bistånd — Bistå Kunden med att fullgöra sina skyldigheter avseende registrerades rättigheter, konsekvensbedömningar och förhandssamråd med tillsynsmyndighet, i den mån det är rimligt och möjligt.

Kunden ger härmed sitt allmänna förhandsgodkännande till att Verca AB anlitar underbiträden för behandling av personuppgifter. Verca AB ska informera Kunden skriftligen innan ett nytt underbiträde anlitas eller ett befintligt underbiträde ersätts. Kunden har rätt att invända inom 30 dagar från mottagande av sådan information.

Verca AB säkerställer att varje underbiträde är bundet av dataskyddsåtaganden som motsvarar de som anges i detta DPA.

Aktuella underbiträden:

Verca AB bistår Kunden, genom lämpliga tekniska och organisatoriska åtgärder, med att uppfylla Kundens skyldighet att svara på begäranden från registrerade om utövande av deras rättigheter enligt GDPR kapitel III, inklusive:

• Rätt till tillgång (art. 15) — information om vilka uppgifter som behandlas
• Rätt till rättelse (art. 16) — korrigering av felaktiga uppgifter
• Rätt till radering (art. 17) — radering av uppgifter under tillämpliga förutsättningar
• Rätt till begränsning (art. 18) — begränsning av behandling
• Rätt till dataportabilitet (art. 20) — export av uppgifter i strukturerat format

Om Verca AB tar emot en begäran direkt från en registrerad ska Verca AB utan dröjsmål hänvisa den registrerade till Kunden, såvida inte annat krävs enligt lag.

Personuppgiftsincidenter: Vid konstaterad eller misstänkt personuppgiftsincident underrättar Verca AB Kunden utan onödigt dröjsmål och senast inom 36 timmar. Underrättelsen ska innehålla information om incidentens art, berörda kategorier och antal registrerade, troliga konsekvenser och vidtagna eller planerade åtgärder.

Personuppgifter behandlas och lagras inom EU/EES. Verca AB:s primära datacenter är belägna i Frankfurt, Tyskland (EU).

Överföring av personuppgifter till tredje land utanför EU/EES sker enbart om:

• Europeiska kommissionen har fattat ett beslut om adekvat skyddsnivå för det mottagande landet, eller
• Lämpliga skyddsåtgärder har vidtagits i enlighet med GDPR kapitel V, inklusive EU:s standardavtalsklausuler (SCCs) enligt kommissionens genomförandebeslut (EU) 2021/914

Vid tidpunkten för detta DPA:s ikraftträdande sker ingen överföring av personuppgifter till tredje land. Om detta ändras kommer Kunden att informeras i förväg och nödvändiga skyddsåtgärder att implementeras innan överföring påbörjas.

Detta DPA gäller under hela Huvudavtalets giltighetstid och upphör automatiskt när Huvudavtalet upphör.

Vid Avtalets upphörande ska Verca AB, enligt Kundens val:

• Radera alla personuppgifter som behandlats för Kundens räkning, inklusive eventuella kopior, inom 30 dagar efter Avtalets upphörande, eller
• Återlämna personuppgifterna till Kunden i ett strukturerat, maskinläsbart format innan radering sker

Kunden har möjlighet att exportera data under en period om 30 dagar efter Avtalets slutdatum. Efter denna period genomförs radering automatiskt.

Verca AB får behålla personuppgifter i den mån det krävs enligt tillämplig lagstiftning, inklusive bokföringslagen. Sådana uppgifter ska fortsätta behandlas i enlighet med detta DPA:s villkor och GDPR.

Ansvar vid GDPR-brott: I den mån Verca AB, i egenskap av personuppgiftsbiträde, direkt har orsakat en registrerads skada genom behandling i strid med GDPR, ansvarar Verca AB i enlighet med artikel 82 GDPR, oberoende av ansvarsbegränsningen i Huvudavtalet.

Revision: Kunden har rätt att, på egen bekostnad och med skälig förvarning, genomföra eller låta genomföra revision av Verca AB:s efterlevnad av detta DPA. Verca AB ska i skälig omfattning medverka och tillhandahålla nödvändig information.