Bakgrund

Parterna har ingått ett avtal som omfattar den eller de tjänster som anges i huvudavtalet (”Villkoren”) köpta av Kunden (”Tjänsterna”). Enligt Villkoren och i enlighet med detta personuppgiftsbiträdesavtal (“Avtalet”), kommer Leverantören att som personuppgiftsbiträde behandla personuppgifter för Kundens räkning (”Personuppgifter”).

Syftet med detta Avtal är att reglera Leverantörens behandling av Personuppgifter i sammanhanget med Tjänsterna med beaktande av kraven i EU:s dataskyddsförordning EU 2016/679 (“Dataskyddsförordningen”). Detta Avtal är en integrerad del av Villkoren. Om villkoren gällande behandling av Personuppgifter i detta Avtal och Villkoren är motstridiga ska villkoren i detta Avtal ha företräde.

Avtalet gäller för samtliga mellan Parterna tecknade avtal där Wndy AB är personuppgiftsbiträde till Kunden och Avtalet gäller så länge Personuppgiftsbiträdet behandlar personuppgifter för Kundens räkning.

Definitioner

Om inte omständigheterna tydligt utvisar annat ska definition eller begrepp som används i detta Avtal, och som inte har angivits på annat sätt i Avtalet, ha motsvarande definition som följer av artikel 4 i Dataskyddsförordningen. Begrepp som inte används med stor bokstav, t.ex. ”behandling”, ”registrerad”, ”personuppgiftsincident” m.fl. ska ha samma betydelse som i Dataskyddsförordningen. Begrepp som anges i singular ska ha motsvarande betydelse när det används i plural eller böjs på ett annat sätt.

Behandlingen av personuppgifter och personuppgiftsbiträdets åtaganden

Kunden är personuppgiftsansvarig för de personuppgifter som behandlas inom ramen för Villkoren. Wndy AB är att betrakta som personuppgiftsbiträde åt Kunden.
Parterna är överens om att personuppgiftsbiträdet:
- endast får behandla personuppgifter på dokumenterade instruktioner från Kunden, inbegripet när det gäller överföringar av personuppgifter till ett tredjeland eller en internationell organisation, såvida inte denna behandling krävs enligt unionsrätten eller enligt en medlemsstats nationella rätt som personuppgiftsbiträdet omfattas av, och i så fall ska personuppgiftsbiträdet informera Kunden om det rättsliga kravet innan uppgifterna behandlas, såvida sådan information inte är förbjuden med hänvisning till ett viktigt allmänintresse enligt denna rätt;
- inte får överföra personuppgifter till ett tredje land eller internationell organisation såvida inte Kunden godkänt det
- vid ändrade eller uppdaterade instruktioner från Kunden måste Kunden informera Personuppgiftsbiträdet skriftligen inom 1 månad.
- ska säkerställa att personer med behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt. Åtagandet gäller även efter att avtalet har upphört, dock längst till och med sådan tidpunkt som gäller enligt särskilt tillämpliga rättsliga krav
- ska säkerställa att samtliga fysiska personer som arbetar under dess ledning följer detta avtal inklusive bilagor samt instruktioner samt att de fysiska personerna följer relevant lagstiftning.
- ska med tanke på behandlingens art, ska hjälpa Kunden genom lämpliga tekniska och organisatoriska åtgärder, i den mån detta är möjligt, så att Kunden kan fullgöra sin skyldighet att svara på begäran om utövande av den registrerades rättigheter i enlighet med Dataskyddsförordningen.
- ska på Kundens förfrågan bistå denne att fullgöra sina skyldigheter enligt tillämplig dataskyddslagstiftning, såsom utförandet av konsekvensbedömningar avseende dataskydd, vidtagandet av lämpliga tekniska och organisatoriska åtgärder för att säkerställa lämplig skyddsnivå för personuppgifterna, förhandssamråd med behörig tillsynsmyndighet samt medverka till utredning av inträffade personuppgiftsincidenter. Såvida Parterna inte kommit överens om annat ska sådant bistånd som avses i detta stycke inte ge Personuppgiftsbiträdet rätt till särskild ersättning.
- ska ge Kunden tillgång till all information som krävs för att visa att de skyldigheter som fastställs i artikel 28 i GDPR har fullgjorts samt möjliggöra och bidra till granskningar, inbegripet inspektioner, som genomförs av Kunden eller av en annan revisor som bemyndigats av Kunden.
- ska omedelbart informera Kunden om denne anser att en instruktion strider mot GDPR eller mot andra av unionens eller medlemsstaternas dataskyddsbestämmelser. Under tiden som nya instruktioner inväntas så har Personuppgiftsbiträdet rätt att sluta hantera personuppgifterna vilket inte medför något ansvar eller ersättning.
- åtar sig att endast behandla de personuppgifter som är nödvändiga för att uppnå ändamålet med respektive behandling. Detta åtagande rör till exempel mängden personuppgifter, omfattningen av behandlingen, hur länge personuppgifterna behandlas och dess tillgänglighet.
Parterna är överens om att Kunden:
- ansvarar för att det finns laglig grund för Behandlingen av personuppgifter och för att utforma korrekta Instruktioner så att Personuppgiftsbiträdet och Underbiträdet kan fullgöra sitt eller sina uppdrag enligt detta avtal och Villkoren.
- ansvarar för att informera Registrerade om Behandlingen och för att tillvarata Registrerades rättigheter enligt Dataskyddslagstiftningen samt vidta varje annan åtgärd som åligger Kunden, det vill säga, den personuppgiftsansvarige, enligt Dataskyddslagstiftningen.

Personuppgiftsincident

För det fall det uppstår en situation som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller obehörigt röjande av eller obehörig åtkomst till personuppgifterna (”Personuppgiftsincident”) ska Personuppgiftsbiträdet utan onödigt dröjsmål och senast inom 72 timmar från att Personuppgiftsincidenten upptäcktes skriftligen informera Kunden på de kontaktuppgifter som framgår av bilaga 3.
Informationen ska, i den mån den är tillgänglig för Personuppgiftsbiträdet, åtminstone innehålla följande:

En beskrivning av omständigheterna kring Personuppgiftsincidenten
En beskrivning av Personuppgiftsincidentens art, och, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade som berörs samt de kategorier av och det ungefärliga antalet personuppgifter som berörs
En beskrivning av de sannolika konsekvenserna av Personuppgiftsincidenten
En beskrivning av de åtgärder som har vidtagits eller föreslagits för att åtgärda Personuppgiftsincidenten, samt, när så är lämpligt, åtgärder för att minska dess potentiella negativa effekter
Kontaktuppgifter till dataskyddsombud eller annan kontaktperson som kan tillhandahålla mer information till Kunden
Om det inte är möjligt för Personuppgiftsbiträdet att tillhandahålla informationen vid ett tillfälle, får informationen tillhandahållas i omgångar utan onödigt ytterligare dröjsmål.

Överföring av personuppgifter utanför EU/EES

Vi strävar efter att behandla dina personuppgifter inom EU. Om vi använder tjänsteleverantörer som överför dina personuppgifter till länder utanför EU och EES kommer vi att vidta åtgärder för att skydda dina uppgifter i enlighet med tillämpliga lagkrav, till exempel genom att kräva att leverantören skyddar uppgifterna enligt gällande dataskyddsregler.

Revision och granskning

Personuppgiftsbiträdet ska på begäran av Kunden ge denne tillgång till all information som krävs för att visa att Personuppgiftsbiträdets skyldigheter enligt art 28 GDPR samt Avtalet har fullgjorts. Om informationen enligt tidigare punkt inte rimligtvis kan anses som tillräcklig för att visa att de skyldigheter som fastställs enligt art 28 GDPR är uppfyllda, har Kunden rätt att utföra fysiska granskningar.

Personuppgiftsbiträdet ska möjliggöra och bidra till granskningar och inspektioner som genomförs av Kunden eller av Kunden utsedd opartisk tredje part. Kunden ska skriftligen notifiera Personuppgiftsbiträdet om den planerade granskningen minst tio (10) arbetsdagar i förväg. Granskningen får endast utföras:

under normal kontorstid
efter att Kunden har säkerställt att den som utför granskningen lyder under en sekretessförbindelse som är lämplig i förhållande till de personuppgifter och den information som ska granskas, och
i enlighet med Personuppgiftsbiträdets interna policys och säkerhetsrutiner.

Kunden får utföra genomföra granskningar/inspektioner på ett sätt som inte utgör hinder för Personuppgiftsbiträdet skyldigheter gentemot dess kunder, underleverantörer eller tredje parter. Kunden och andra som ska delta i att granska/inspektera Personuppgiftsbiträdet, ska först underteckna sedvanliga sekretessförbindelser med Personuppgiftsbiträdet.

Varje part står för sina egna kostnader som uppkommer i samband med granskning. Tillkommer ytterligare granskning inom ett (1) år från utförd granskning ska Kunden stå för samtliga kostnader.

Underbiträden

Personuppgiftsbiträder får genom detta Avtal tillstånd att anlita angivna underleverantörer för att behandla personuppgifter (se Bilaga 2)
I de fall Personuppgiftsbiträdet planerar att anlita ett underbiträde eller byta ut ett befintligt underbiträde ska Personuppgiftsbiträdet informera Kunden senast fem 30 arbetsdagar innan för att Kunden ska ha möjlighet att motsäga sig ändringen.

Om det finns rimliga skäl för Kunden att motsäga sig ett underbiträde ska parterna i första hand samarbeta för att hitta ett lämpligt alternativ, och Personuppgiftsbiträdet ska ha möjlighet att hitta ett annat underbiträde innan uppsägning blir aktuellt. I andra hand har Kunden rätt att säga upp detta Avtal och de tillämpliga Villkoren. Avtalstid enligt Villkoren kommer då gälla.

Vid anlitande av ett underbiträde ska Personuppgiftsbiträdet genom avtal (”Underbiträdesavtal”) säkerställa att underbiträdet har samma skyldigheter som Personuppgiftsbiträdet har enligt Avtalet. Detta gäller i synnerhet avseende tillräckliga garantier om att genomföra de lämpliga tekniska och organisatoriska åtgärder som krävs för att uppfylla Gällande rätt.

Kunden har alltid rätt att ta del av Personuppgiftsbiträdets underbiträdesavtal (strikt kommersiell information får redigeras).
Personuppgiftsbiträdet ska hålla en uppdaterad förteckning över sina underbiträden. Förteckningen ska göras tillgänglig för Kunden på begäran.
Om underbiträdet inte fullgör sina skyldigheter enligt underbiträdesavtalet ska Personuppgiftsbiträdet vara fullt ansvarig gentemot Kunden för underbiträdets åtgärder eller underlåtenhet att vidta åtgärder.

Personuppgiftsbiträdet har inte rätt att utan Kundens tillstånd överlåta personuppgifterna till ett Underbiträde
Vid anlitande av ett nytt underbiträde sker ingen ändring mellan parterna avseende ansvarsfördelningen

Register och dataskyddsombud

Personuppgiftsbiträdet åtar sig att föra ett skriftligt register över behandlingen av personuppgifter med det innehåll som anges i artikel 30.2 i Dataskyddsförordningen. Registret ska vara tillgängligt för Kunden på begäran.

Kontakt med tillsynsmyndighet och den registrerade

Personuppgiftsbiträdet ska utan dröjsmål informera Kunden om all kontakt med den Registrerade, tillsynsmyndighet eller annan tredje part som rör Personuppgiftsbiträdets behandling av personuppgifterna.

För det fall där den Registrerade framställer begäran till Personuppgiftsbiträdet om sina rättigheter kopplat till behandlingen ska Personuppgiftsbiträdet hänvisa den Registrerade till Kunden.

Personuppgiftsbiträdet ska tillåta de inspektioner som tillsynsmyndighet kan kräva enligt Gällande rätt.

Personuppgiftsbiträdet har inte rätt att företräda Kunden eller på annat sätt agera för Kundens räkning gentemot den Registrerade, tillsynsmyndighet eller annan tredje part.

Ansvar och ersättningsskyldighet

Part är fri från ansvar för åtaganden enligt Avtalet i de fall fullgörande hindras av omständighet av extraordinär natur utanför Parts kontroll vilken Part inte skäligen kunde förväntas ha räknat med och vars följder Part inte heller skäligen kunde ha undvikit eller övervunnit.
bestämmelserna som står i de allmänna villkoren gällande ansvar och ersättningsskyldighet gäller även för detta Avtal.
Personuppgiftsbiträdet ansvarar inte för Kundens kostnader för ombud.
Personuppgiftsbiträdets ansvar ska inte omfatta indirekta skador eller följdskador såsom förlorade intäkter eller vinster, kontrakt, kunder eller affärsmöjligheter, goodwillförlust, eller förväntade besparingar.

Konfidentiell information

Personuppgiftsbiträdet får inte använda information eller annat material som denne ges tillgång till inom ramen för Avtalet eller Villkoren för något annat syfte än för att fullgöra förpliktelserna enligt detta Avtal eller Villkoren.

Personuppgiftsbiträdet får inte till tredje man eller till annan obehörig, lämna ut eller röja information om behandling av personuppgifter eller innehållet i personuppgifter, som omfattas av detta Avtal eller annan information som Personuppgiftsbiträdet getts tillgång till som följd av detta Avtal. Detta gäller inte information som Personuppgiftsbiträdet är skyldig att lämna ut enligt lag. Sekretessförpliktelsen är giltig från och med den dag båda Parterna undertecknat Avtalet och obegränsat i tiden därefter. Personuppgiftsbiträdet ska säkerställa att sekretessåtagandet gäller för alla anställda och andra personer som arbetar hos eller på uppdrag av Personuppgiftsbiträdet och som har behörighet att behandla personuppgifter.

Giltighetstid och upphörande

Avtalet är giltigt under den tid som anges under Allmänna Villkor, Avtalstid. Under denna tid behandlar Personuppgiftsbiträdet personuppgifter för Kundens räkning.

Radering av konto och personuppgifter

Vid Avtalets upphörande ska Personuppgiftsbiträdet och eventuella underbiträden antingen radera eller återlämna de personuppgifter som omfattas av Avtalet, såvida inte lagring av personuppgifterna krävs enligt unionsrätten eller medlemsstaternas nationella rätt.

Efter att avtalet har upphört så ska Personuppgiftsbiträdet inom 3 månader antingen radera eller återlämna alla personuppgifter som omfattas av Avtalet.

Överlåtelse av Avtalet

Part har inte rätt att helt eller delvis överlåta sina rättigheter och/eller skyldigheter enligt Avtalet utan den andra Partens skriftliga i förväg lämnade godkännande.

Tillämplig lag och tvister

Svensk lag ska tillämpas på Avtalet.
Den tvistlösningsmekanism som framgår av Villkoren ska tillämpas även på detta Avtal.

Bilaga 1 – Behandling av personuppgifter

Förtydligande:
Wndy behandlar endast de personuppgifter som är nödvändiga för att leverera aktuell tjänst och enligt kundens skriftliga instruktioner. Valfria uppgifter behandlas endast om dessa lämnas eller laddas upp av kunden. Personuppgiftsminimering tillämpas alltid. För varje tjänst gäller endast de uppgifter som är relevanta enligt beskrivningen nedan.

Kategorier av personuppgifter per tjänst

Grundläggande medarbetarhantering
Obligatoriska uppgifter:

Namn (förnamn och efternamn)

Valfria uppgifter (endast om kunden lämnar/laddar upp):

Personnummer
Kontaktuppgifter (e-post, telefon)
Adress (gatuadress, postnummer, stad)
Anställningsavtal
Lön
Semesterdagar
Provanställning/Uppsägningstid
Medlemskap i fackförening
Anteckningar inom ramen av rådgivningen
Övriga dokument som kunden laddar upp

Dokumenthantering
Valfria uppgifter (endast om kunden lämnar/laddar upp):

Anställningsavtal
Anteckningar inom ramen av rådgivningen
Övriga dokument

Kategorier av behandlingar

Personuppgiftsbiträdet kan, i den utsträckning det är nödvändigt för respektive tjänst, utföra följande behandlingar:

Insamling
Registrering
Lagring
Bearbetning
Radering

Kategorier av registrerade

Personuppgifter kan behandlas för följande kategorier av registrerade, beroende på kundens användning av tjänsten:

Anställda
Konsulter

Ändamål med behandling

Personuppgiftsbiträdet behandlar personuppgifter för följande ändamål, endast i den omfattning som krävs för aktuell tjänst och enligt kundens instruktioner:

Grundläggande medarbetarhantering

Hantering av medarbetarinformation
Kommunikation med medarbetare
Dokumentation av anställningsförhållanden

Dokumenthantering

Lagring av anställningsavtal
Dokumentation av rådgivning
Arkivering av övriga dokument

Tekniska och organisatoriska säkerhetsåtgärder

Personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder för att skydda personuppgifterna mot obehörig eller olaglig åtkomst, förlust eller annan otillåten behandling. Dessa åtgärder omfattar bland annat:

Systemaccess och säkerhet:

Restriktiv och rollbaserad systemaccess
Kryptering av data (SSL)
Säker lösenordshantering
Kontinuerlig säkerhetsgranskning

Fysisk säkerhet:

Brandskydd
Stöldskydd i lokaler
Säker förvaring av utrustning
Kontrollerad åtkomst till lokaler

Organisatoriska åtgärder:

Interna styrdokument (policys/instruktioner)
Sekretessavtal för personal
Kontinuerlig utbildning i datasäkerhet
Rutiner för incidenthantering

Kontroll över personuppgifter

Personuppgiftsbiträdet behandlar aldrig fler uppgifter än vad som är nödvändigt för tjänstens ändamål och enligt kundens instruktioner.
Personuppgifter skyddas mot oavsiktlig eller olaglig förstöring, ändring eller förvanskning.
Uppgifter skyddas mot obehörig åtkomst vid lagring, överföring och annan behandling.
Personuppgifter lämnas endast ut till kunden efter säkerställd identifiering.
Alla behandlingar dokumenteras och spåras.

Kontaktuppgifter

Wndy AB

kontakt@wndy.se

Bilaga 2 – Befintliga och godkända underbiträden

Google Cloud Platform, Google Workspace, Firebase och Analytics

Typ av tjänst:
Datalagring och molntjänster som används för att fullgöra rådgivning, information och digitala tjänster till kund genom Wndys plattform.

Uppgifter som behandlas:
Samtliga kategorier av personuppgifter som används i tjänsten av kunden och som är inkluderade i Bilaga 1.

Lagringsplats:
Personuppgifter lagras primärt inom EU/EES, närmare bestämt i regionen ”europe-west1” (Belgien) för Cloud Firestore. För vissa andra tjänster (exempelvis delar av Firebase, Workspace och Analytics) kan data, eller viss metadata, även behandlas eller vara åtkomlig utanför EU/EES – särskilt vid teknisk support, backup eller administration.

Överföringsmekanism:
Vid eventuell överföring av personuppgifter till USA eller annat tredjeland sker detta huvudsakligen med stöd av Europeiska kommissionens ade kvansbeslut för EU–U.S.
Data Privacy Framework (DPF), då Google är certifierad deltagare i DPF-programmet. Om DPF inte är tillämplig används istället andra godkända överföringsmekanismer, exempelvis standardavtalsklausuler (SCC).

Länkar: Google och Data Privacy Framework (DPF), Google privacy, Google Cloud & GDPR, Firebase & GDPR
Upsales

Typ av tjänst:
CRM-system och fakturering. Används för att hantera kundregister, information och service till kund samt fakturering.

Uppgifter som behandlas:
Namn, företagsnamn, organisationsnummer, kontaktuppgifter och faktureringsuppgifter som anges i tjänsten eller via webbformulär. Samt övrig kundinformation för att erbjuda relevant service.

Lagringsplats:
Personuppgifter behandlas huvudsakligen inom EU/EES. Vid eventuell överföring utanför EU/EES används godkända skyddsmekanismer, t.ex. standardavtalsklausuler (SCC) enligt EU:s dataskyddsförordning.

Personuppgiftsbiträdesavtal (DPA):
Upsales DPA är integrerat i deras allmänna villkor och gäller automatiskt för alla användare. Fullständigt avtal kan lämnas ut på begäran.

Länkar: Upsales
Jitsi as a Service

Typ av tjänst:
Videomötestjänst som används för tillfälliga videomöten mellan kund och HR-experter.

Uppgifter som behandlas:
Endast namn (och eventuellt chattmeddelanden) lagras temporärt i samband med pågående videomöte. Ingen långvarig lagring av personuppgifter sker.

Lagringsplats:
Personuppgifter lagras endast temporärt och behandlas primärt inom EU/EES. Vid användning av vissa molnleverantörer kan teknisk data i undantagsfall behandlas utanför EU/EES, men inga personuppgifter lagras permanent.

Överföringsmekanism:
Vid eventuell överföring utanför EU/EES används godkända skyddsmekanismer enligt GDPR, exempelvis Standardavtalsklausuler (SCC). Inga personuppgifter lagras långvarigt.

Länkar: 8×8 Jitsi as a Service, meet.jit.si Privacy Supplement
Sysarb

Typ av tjänst:
Lönekartläggningsverktyg. Används på kundens begäran när lönekartläggning ska genomföras. Vissa personuppgifter från plattformen delas då med Sysarb för bearbetning och rapportering enligt diskrimineringslagen.

Uppgifter som behandlas:
Namn, kontaktuppgifter, anställningsuppgifter (befattning, lön), CV, eventuella anhöriguppgifter samt andra relevanta uppgifter som krävs för att kunna genomföra lönekartläggning och närliggande HR-processer. Endast uppgifter som är nödvändiga för ändamålet behandlas.

Lagringsplats:
Personuppgifter behandlas och lagras huvudsakligen inom EU/EES. Enligt underbiträdesavtalet sker ingen överföring av anställningsuppgifter till tredje land.

Överföringsmekanism:
Om det i undantagsfall skulle bli aktuellt med överföring av personuppgifter till land utanför EU/EES, tillämpas EU-kommissionens standardavtalsklausuler (SCC) och andra relevanta skyddsåtgärder enligt GDPR.

Personuppgiftsbiträdesavtal (DPA):
Ett underbiträdesavtal (DPA) mellan Wndy och Sysarb reglerar personuppgiftshanteringen. Avtalet är inte publikt men kan lämnas ut till kund på begäran.

Länkar: Sysarb Privacy Policy, Sysarb Security & Compliance

Personuppgiftsbiträdesavtal

Innehållsförteckning