Personuppgiftsbiträdesavtal

Parter

Personuppgiftsansvarig ("Uppdragsgivaren")

Personuppgiftsbiträde ("Alvoru")

Härefter gemensamt: "Parterna".

Med beaktande av att

• Parterna har ingått ett huvudavtal där Alvoru som Personuppgiftsbiträde behandlar personuppgifter för Uppdragsgivarens räkning (härefter: "Huvudavtalet");
• det enligt artikel 28.3 GDPR krävs ett skriftligt personuppgiftsbiträdesavtal där det fastställs hur Personuppgiftsbiträdet behandlar personuppgifter;
• detta personuppgiftsbiträdesavtal (härefter: "DPA") utgör en integrerad del av Huvudavtalet.

Artikel 1 — Definitioner

De begrepp som i denna DPA skrivs med inledande versal har den betydelse som ges dem i GDPR, kompletterat med definitionerna i Alvorus allmänna villkor.

Artikel 2 — Föremål och varaktighet

2.1 Denna DPA reglerar Alvorus behandling av personuppgifter på uppdrag av Uppdragsgivaren inom ramen för Huvudavtalet.

2.2 Denna DPA träder i kraft det datum då Huvudavtalet inleds och upphör automatiskt vid Huvudavtalets upphörande, utan att det påverkar de bestämmelser som till sin natur är avsedda att fortsätta gälla.

Artikel 3 — Behandlingens art och ändamål

3.1 Behandlingens art och ändamål består i att leverera den i Huvudavtalet beskrivna Tjänsten (AI-kundservice, inklusive chatbot, e-post och kalender).

3.2 Alvoru behandlar personuppgifter uteslutande enligt Uppdragsgivarens dokumenterade instruktioner, med undantag för avvikande rättsliga skyldigheter (art. 28.3 a GDPR). I det senare fallet informerar Alvoru Uppdragsgivaren före behandlingen, om inte den lagen förbjuder detta av viktiga skäl.

Artikel 4 — Typ av personuppgifter och kategorier av registrerade

Särskilda kategorier av personuppgifter (art. 9 GDPR) och uppgifter om lagöverträdelser (art. 10 GDPR) behandlas inte, om inte annat skriftligen överenskommits.

Artikel 5 — Personuppgiftsbiträdets skyldigheter

5.1 Alvoru behandlar personuppgifter uteslutande för de ändamål som fastställs i Huvudavtalet och denna DPA och enligt Uppdragsgivarens skriftliga instruktioner.

5.2 Alvoru säkerställer att personer som behandlar personuppgifter har tystnadsplikt, antingen enligt lag eller enligt avtal.

5.3 Alvoru bistår Uppdragsgivaren, med hänsyn till behandlingens art, med rimlig hjälp för att uppfylla de registrerades begäranden om utövande av sina rättigheter enligt GDPR.

5.4 Alvoru ställer all information till Uppdragsgivarens förfogande som behövs för att visa efterlevnad av artikel 28 GDPR.

5.5 Förbud mot AI-träning. Alvoru kommer aldrig att använda de personuppgifter som behandlas för den Personuppgiftsansvariges räkning för att träna, finjustera eller på annat sätt förbättra AI-modeller, och inte heller för att utveckla egna eller tredjeparts AI-tillämpningar.

Artikel 6 — Säkerhetsåtgärder (artikel 32 GDPR)

Alvoru vidtar lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är anpassad till risken, däribland:

• Kryptering under överföring (TLS 1.2+) och där tillämpligt kryptering i vila;
• Åtkomstkontroll baserad på least privilege; tvåfaktorsautentisering för administratörer;
• Brandväggar, fail2ban och intrångsövervakning;
• Dagliga krypterade säkerhetskopieringar med en lagringstid på högst 90 dagar;
• Restriktiva filrättigheter (600) på konfigurations- och datafiler;
• Loggning och övervakning av åtkomst till produktionssystem;
• Regelbunden utvärdering och uppdatering av säkerhetsåtgärder.

Artikel 7 — Underbiträden

7.1 Uppdragsgivaren ger Alvoru ett allmänt skriftligt tillstånd att anlita underbiträden, förutsatt att Alvoru uppfyller de övriga bestämmelserna i denna artikel.

7.2 De för närvarande anlitade underbiträdena är:

7.3 Alvoru ålägger underbiträden samma dataskyddsskyldigheter som anges i detta DPA (artikel 28.4 GDPR).

7.4 Alvoru informerar Uppdragsgivaren minst 14 dagar i förväg om byte eller tillägg av underbiträden. Uppdragsgivaren kan inom den fristen framföra en motiverad invändning. Vid en välgrundad invändning har Uppdragsgivaren rätt att kostnadsfritt säga upp Huvudavtalet.

Artikel 8 — Överföring utanför EES

Överföring av personuppgifter till ett land utanför Europeiska ekonomiska samarbetsområdet sker uteslutande på grundval av ett beslut om adekvat skyddsnivå (art. 45 GDPR), bindande företagsbestämmelser, EU:s standardavtalsklausuler (art. 46.2 c GDPR) eller en annan skyddsåtgärd som anges i GDPR, kompletterad med ytterligare tekniska och organisatoriska åtgärder där det krävs.

Artikel 9 — De registrerades rättigheter

9.1 Alvoru erbjuder Uppdragsgivaren lämpligt stöd vid hanteringen av begäranden från registrerade (tillgång, rättelse, radering, begränsning, dataportabilitet, invändning) genom tekniska funktioner i kundportalen och där så är nödvändigt ytterligare bistånd.

9.2 Alvoru vidarebefordrar utan dröjsmål begäranden från registrerade som inkommer direkt till Alvoru till Uppdragsgivaren.

Artikel 10 — Personuppgiftsincidenter

10.1 Alvoru informerar Uppdragsgivaren utan dröjsmål och senast inom 48 timmar efter att en personuppgiftsincident har konstaterats (art. 33.2 GDPR), så att Uppdragsgivaren i tid kan uppfylla sin anmälningsskyldighet inom 72 timmar till tillsynsmyndigheten för dataskydd.

10.2 Anmälan innehåller under alla omständigheter: incidentens art, kategorierna och antalet registrerade, kategorierna och antalet berörda poster, de sannolika konsekvenserna samt de vidtagna eller föreslagna åtgärderna.

10.3 Alvoru lämnar Uppdragsgivaren lämpligt bistånd vid anmälan till tillsynsmyndigheten för dataskydd och där så är relevant till de registrerade.

Artikel 11 — Revision

11.1 Uppdragsgivaren kan en gång per kalenderår, efter föregående skriftlig avisering på minst 30 dagar, på egen bekostnad (låta) genomföra en revision av Alvorus efterlevnad av detta DPA.

11.2 Revisionen genomförs av en oberoende revisor som är bunden av sekretess, under kontorstid och på ett sätt som inte stör Alvorus normala verksamhet.

11.3 Alvoru kan i stället för en revision på plats nöja sig med en aktuell rapport från en oberoende tredje part (till exempel ISO 27001 eller SOC 2), förutsatt att denna rapport ger rimligen tillräcklig säkerhet.

Artikel 12 — Uppsägning och radering av uppgifter

12.1 Efter uppsägning av Huvudavtalet kommer Alvoru, enligt Uppdragsgivarens val och på första skriftliga begäran, att radera alla personuppgifter eller återlämna dem till Uppdragsgivaren, i enlighet med artikel 28.3 g GDPR.

12.2 En sådan begäran kan lämnas in inom 60 dagar efter uppsägningen. I annat fall raderas uppgifterna automatiskt efter 60 dagar.

12.3 Offline-säkerhetskopior raderas i enlighet med det ordinarie rotationsschemat senast 90 dagar efter uppsägningen.

12.4 Uppgifter som Alvoru enligt lag måste spara bevaras under den lagstadgade fristen.

Artikel 13 — Ansvar

13.1 Alvorus ansvar enligt detta DPA omfattas av och begränsas av ansvarsbestämmelserna i de Allmänna villkoren som hör till Huvudavtalet.

13.2 Tvingande bestämmelser i GDPR påverkas inte.

Artikel 13a — Register över behandling

Alvoru för ett register över behandling i enlighet med artikel 30 GDPR. Detta register innehåller under alla omständigheter: namn och kontaktuppgifter för Alvoru som personuppgiftsbiträde, kategorierna av behandling som utförs för de Personuppgiftsansvarigas räkning, överföringar till tredjeländer och de tillämpade skyddsåtgärderna, samt en allmän beskrivning av tekniska och organisatoriska säkerhetsåtgärder. Registret är på begäran tillgängligt för tillsynsmyndigheten för dataskydd.

Artikel 14 — Tillämplig lag och tvister

På detta DPA tillämpas nederländsk rätt. Tvister hänskjuts till domstolen i Overijssel, ort Almelo.

Undertecknande

Skicka den undertecknade versionen (skannad eller digitalt signerad) till info@alvoru.com. Alvoru returnerar en medundertecknad kopia.