Utkast (version 0.2 (utkast – granskas av jurist)). Texten gäller inte förrän den är godkänd och har ett datum.

Personuppgiftsbiträdesavtal för Tipsad

Utkast – granskas av jurist.

Avtalet får ett datum när det har granskats av jurist.

Parter

Personuppgiftsansvarig: den kund som har tecknat abonnemang på Tipsad ("Kunden").

Personuppgiftsbiträde: Aktiebolaget NorthAbout, org.nr 559073-8794, Gällivare, Sverige ("NorthAbout"). Kontakt: tobias@northabout.tech.

Avtalet är en bilaga till Tjänstevillkoren för Tipsad ("Villkoren") och uppfyller kraven i artikel 28 i dataskyddsförordningen (EU) 2016/679 ("GDPR"). Om avtalet och Villkoren säger olika saker om behandling av personuppgifter gäller detta avtal.

1. Föremål och varaktighet

1.1 Avtalet gäller de personuppgifter som NorthAbout behandlar för Kundens räkning när Kunden använder Tipsad (tipsad.com).

1.2 Avtalet gäller så länge NorthAbout behandlar personuppgifter för Kundens räkning, det vill säga under abonnemanget och fram till att uppgifterna har raderats enligt punkt 12.

2. Behandlingens art och ändamål

2.1 NorthAbout behandlar personuppgifterna bara för att leverera Tipsad till Kunden. Det omfattar att:

• lagra Kundens konton, roller och inbjudningar,
• lagra och visa de uppgifter Kunden för in via formulär, CSV/Excel eller adapterfil,
• ta fram utkast och förhandsvisningar och publicera det Kunden har sagt ja till på tipsad.com,
• genomföra ägarkontroll med kod till e-post eller sms,
• jämföra Kundens uppgifter med offentliga källor (konsistenskontroll) och mäta hur AI-tjänster svarar (mätning),
• skicka inloggningskoder, koder för ägarkontroll och veckorapporter,
• ge support och hålla tjänsten säker och i drift.

2.2 Behandlingen består av insamling, lagring, strukturering, sammanställning, publicering på Kundens begäran, överföring till underbiträden enligt punkt 7 och radering.

3. Kategorier av registrerade och personuppgifter

3.1 Registrerade:

• Kundens användare (kundadmin och kundläsare).
• Kontaktpersoner hos Kunden vars namn eller kontaktuppgifter förekommer i Kundens innehåll, till exempel på företagsprofilen.
• I förekommande fall enskilda personer vars namn förekommer i tjänstebeskrivningar eller andra fritextfält som Kunden fyller i.

3.2 Personuppgifter:

• Användarnas namn, e-postadress, roll och tidpunkter för inloggning.
• Telefonnummer och e-postadress som Kunden anger på företagsprofilen, eller som hämtas från Kundens Google Företagsprofil för ägarkontrollen.
• Resultat av ägarkontroll: metod, tidpunkt, person och utfall. Koder lagras bara som hash.
• Godkännanden: vem som sa ja, när och till vilken version.
• Logg över åtgärder som NorthAbouts administratör gör i Kundens företag.

3.3 Uppgifter som inte behandlas. Tjänsten tar inte emot personnummer, uppgifter om Kundens kunder, försäljning, inpris eller känsliga personuppgifter enligt artikel 9 GDPR. Sådana fält avvisas av tjänstens vitlista. Kunden ska inte föra in sådana uppgifter i fritextfält.

3.4 Uppgifter som inte är personuppgifter. Robotloggningen sparar robotens familj, sida och datum, men ingen IP-adress. Driftleverantörens tekniska loggar kan innehålla IP-adresser och sparas där enligt leverantörens rutiner. Frågorna och svaren i mätningen sparas inte, bara mätvärdena.

4. Instruktioner

4.1 NorthAbout behandlar personuppgifterna bara enligt Kundens dokumenterade instruktioner. Avtalet, Villkoren och de val Kunden gör i tjänsten (till exempel urval, ja till publicering och avpublicering) utgör Kundens instruktioner.

4.2 Om NorthAbout anser att en instruktion strider mot GDPR eller annan dataskyddslag ska NorthAbout utan dröjsmål informera Kunden.

4.3 NorthAbout får behandla personuppgifterna på annat sätt bara om unionsrätt eller svensk rätt kräver det. NorthAbout ska då informera Kunden innan behandlingen sker, om inte lagen förbjuder det.

5. Sekretess

5.1 NorthAbout ska se till att alla som har åtkomst till personuppgifterna har förbundit sig att iaktta sekretess eller omfattas av lagstadgad tystnadsplikt.

5.2 Personuppgifterna får inte lämnas ut till tredje part utom enligt punkt 7, på Kundens instruktion eller när lag kräver det.

6. Säkerhet

6.1 NorthAbout vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR. Åtgärderna omfattar minst:

• Kryptering i transit. All trafik till och från tjänsten krypteras med HTTPS/TLS.
• Radnivåskydd (RLS). Varje tabell med kunddata har radnivåskydd i databasen, så att ett företag bara kan läsa sina egna rader. Isoleringen mellan företag testas automatiskt.
• Åtkomst per roll. Kundadmin, kundläsare och NorthAbouts administratör har olika behörighet, och behörigheten kontrolleras på servern. Ändringar av medlemskap görs bara av serverkod.
• Loggning. Varje åtgärd som NorthAbouts administratör gör i Kundens företag loggas, och Kunden kan se loggen.
• Hemligheter. Nycklar och andra hemligheter till system finns bara i driftmiljön och aldrig i kod, loggar eller adresser.
• Dataminimering. Tjänsten tar bara emot fält som finns på vitlistan. Allt annat avvisas innan något sparas.

6.2 NorthAbout får ändra åtgärderna så länge skyddsnivån inte sänks.

7. Underbiträden

7.1 Kunden ger NorthAbout ett allmänt förhandstillstånd att anlita underbiträden. Följande underbiträden används när avtalet ingås:

7.2 NorthAbout ska ha skriftliga avtal med varje underbiträde som ger minst samma skydd som detta avtal.

7.3 NorthAbout ska informera Kunden via e-post minst 30 dagar innan ett underbiträde läggs till eller byts ut. Kunden får invända inom den tiden. Kan parterna inte enas får Kunden säga upp abonnemanget till den dag ändringen träder i kraft, och få tillbaka förskottsbetalning för tiden därefter.

7.4 NorthAbout ansvarar mot Kunden för underbiträdenas behandling som för sin egen.

8. Överföring till tredje land

8.1 Personuppgifterna lagras i EU (Irland).

8.2 Överföring till land utanför EU/EES sker bara om det finns stöd i kapitel V GDPR, i första hand EU-kommissionens standardavtalsklausuler (beslut (EU) 2021/914) eller ett beslut om adekvat skyddsnivå. Detta gäller bland annat Stripe och Anthropic.

9. Bistånd

9.1 NorthAbout ska, med hänsyn till behandlingens art, hjälpa Kunden att besvara begäranden från registrerade, till exempel om tillgång, rättelse och radering. Om en registrerad vänder sig direkt till NorthAbout ska NorthAbout hänvisa till Kunden och informera Kunden.

9.2 NorthAbout ska hjälpa Kunden med säkerhet, incidentanmälan, konsekvensbedömning och förhandssamråd enligt artiklarna 32–36 GDPR, med hänsyn till de uppgifter NorthAbout har.

9.3 NorthAbout får ta betalt för bistånd som går utöver det som tjänsten normalt ger, efter överenskommelse i förväg.

10. Personuppgiftsincidenter

10.1 NorthAbout ska anmäla en personuppgiftsincident till Kunden utan onödigt dröjsmål och senast 36 timmar efter att NorthAbout fått kännedom om den.

10.2 Anmälan ska så långt det är möjligt beskriva:

• vad som har hänt och när,
• vilka kategorier och ungefär hur många registrerade och personuppgifter som berörs,
• troliga konsekvenser,
• vilka åtgärder NorthAbout har vidtagit eller föreslår,
• en kontaktperson.

Uppgifter som inte finns vid första anmälan lämnas så snart de finns.

10.3 Kunden ansvarar för att anmäla incidenten till Integritetsskyddsmyndigheten och informera de registrerade när det krävs.

11. Revision

11.1 NorthAbout ska ge Kunden tillgång till den information som behövs för att visa att avtalet följs.

11.2 Kunden får genomföra revision, själv eller genom en oberoende revisor som har tystnadsplikt. Revision ska meddelas minst 30 dagar i förväg, ske under kontorstid och inte störa driften för andra kunder. Kunden står för sina egna kostnader.

11.3 I första hand ska NorthAbout svara skriftligt på Kundens frågor och visa underbiträdenas certifieringar och revisionsrapporter.

12. Radering och återlämnande

12.1 Kunden kan när som helst under avtalstiden exportera sina uppgifter i ett maskinläsbart format.

12.2 När avtalet upphör raderar NorthAbout Kundens personuppgifter senast 90 dagar efter att avtalet upphört, om inte Kunden begär tidigare radering eller lag kräver längre lagring. Säkerhetskopior raderas i takt med att de roteras.

12.3 Uppgifter som Kunden själv har lagt in hos andra, till exempel produkter i Google Företagsprofil, omfattas inte av NorthAbouts radering.

13. Ansvar

13.1 Ansvaret för skada enligt artikel 82 GDPR fördelas mellan parterna enligt GDPR.

13.2 I övrigt gäller ansvarsbegränsningen i Villkoren (punkt 10). Begränsningen gäller inte sanktionsavgifter som en myndighet beslutar om, och inte vid uppsåt eller grov vårdslöshet.

14. Giltighet

14.1 Avtalet gäller så länge Villkoren gäller och därefter så länge NorthAbout behandlar personuppgifter för Kundens räkning.

14.2 NorthAbout får ändra avtalet. Väsentliga ändringar meddelas via e-post minst 30 dagar innan de träder i kraft. En ny version kräver ett nytt godkännande av Kundens administratör före nästa publicering.

14.3 Svensk lag gäller. Tvist avgörs enligt Villkoren (punkt 12).

Kontakt

Aktiebolaget NorthAbout, Gällivare · tobias@northabout.tech

Version 0.2 (utkast – granskas av jurist).