Personuppgiftsbiträdesavtal

1. Parter och roller

Er organisation är personuppgiftsansvarig för de personuppgifter som behandlas i tjänsten på er instruktion. Seacroft Intech AB, som driver plattformen under varumärket Nodheim, är personuppgiftsbiträde och behandlar uppgifterna för er räkning.

Detta gäller även när tjänsten köpts via en återförsäljare eller partner. Återförsäljaren är varken part i detta avtal eller Nodheims underbiträde. Den är självständigt personuppgiftsansvarig för uppgifterna i sin egen kundrelation, såsom kontaktpersoner och fakturering. Om återförsäljaren på ert uppdrag administrerar er organisation i tjänsten – till exempel lägger upp användare eller ger support – behandlar den era uppgifter som ert biträde, och det regleras i ett avtal mellan er och återförsäljaren.

2. Föremål, varaktighet, art och ändamål

Föremålet för behandlingen är drift och tillhandahållande av plattformen och de produkter ni har licens för: inloggning och identitetshantering, digital skyltning, röst- och videosamtal, presentationsverktyg, besöksincheckning samt visning av anhörigas fotografier vid minnesstunder och begravningar.

Behandlingen omfattar lagring, strukturering, åtkomststyrning, överföring till underbiträden och radering. Den pågår så länge tjänsteavtalet gäller och upphör därefter enligt avsnitt 12.

3. Registrerade och kategorier av personuppgifter

Registrerade är er personal och era slutanvändare, besökare, anhöriga och andra kontaktpersoner som laddar upp eller bjuds in, personer som syns på uppladdade fotografier samt övriga personer vars uppgifter ni för in i tjänsten.

Kategorier av personuppgifter omfattar: namn, e-postadress, lösenord i hashad form, krypterad MFA-hemlighet, organisationstillhörighet och roller, granskningsloggens händelser samt produktspecifikt innehåll beroende på licens (skyltningsmedia, samtals- och anslutningsuppgifter, presentationer, besöksuppgifter inklusive eventuellt besöksfotografi samt, vid minnesstunder, tillställningens namn, kontaktpersonens namn och e-postadress, fotografier uppladdade av anhöriga och gäster med eventuell bildtext, det namn en gäst valfritt anger samt skrivna hälsningar till familjen). Tjänsten är inte avsedd för känsliga personuppgifter enligt artikel 9, och ni ansvarar för att inte föra in sådana uppgifter utan rättslig grund.

4. Instruktioner

Nodheim behandlar personuppgifter endast enligt era dokumenterade instruktioner, om inte unionsrätt eller svensk rätt kräver annat; i så fall informerar Nodheim er innan behandlingen, om inte lagen förbjuder det. Detta avtal och de inställningar ni gör i tjänsten utgör era fullständiga instruktioner vid avtalets ingående.

Nodheim underrättar er omedelbart om en instruktion enligt Nodheims bedömning strider mot dataskyddsförordningen eller annan dataskyddslagstiftning.

5. Personal och sekretess

Nodheim ger åtkomst till personuppgifterna endast till personal som behöver den för att fullgöra avtalet. Sådan personal är bunden av tystnadsplikt eller en lämplig lagstadgad sekretess.

6. Säkerhet

Nodheim vidtar tekniska och organisatoriska åtgärder enligt artikel 32 som ger en säkerhetsnivå lämplig i förhållande till risken, med hänsyn till teknikens nuvarande nivå, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål.

Åtgärderna omfattar bland annat: kryptering av uppgifter under överföring, lagring av lösenord i hashad form, kryptering av MFA-hemligheter i vila, strikt isolering mellan hyresgäster (tenant isolation), rollbaserad åtkomststyrning samt en icke ändringsbar granskningslogg över säkerhetsrelevanta händelser.

7. Underbiträden

Ni ger Nodheim ett allmänt skriftligt förhandstillstånd att anlita underbiträden. De underbiträden som anlitas framgår av förteckningen på https://nodheim.com/legal/subprocessors, som för varje underbiträde anger vad det gör, i vilket land det behandlar uppgifter och med vilken grund eventuell överföring till tredjeland sker. Ni godkänner de underbiträden som står i förteckningen när ni ingår avtalet.

Innan Nodheim anlitar ett nytt eller ersätter ett befintligt underbiträde informerar Nodheim er minst 30 dagar i förväg via e-post till er organisations administratörer och uppdaterar förteckningen. Har ni sakliga skäl att invända mot förändringen ska ni meddela det inom denna tid. Parterna ska då i god tro söka en lösning; går det inte har ni rätt att säga upp de berörda tjänsterna utan kostnad för återstående avtalstid.

Nodheim ålägger varje underbiträde genom avtal samma dataskyddsskyldigheter som följer av detta avtal och ansvarar fullt ut gentemot er för underbiträdets fullgörande.

8. Överföring till tredjeland

Personuppgifter överförs till eller görs åtkomliga från ett land utanför EU/EES endast om landet omfattas av ett beslut om adekvat skyddsnivå enligt artikel 45 – till exempel för mottagare som är certifierade enligt EU–US Data Privacy Framework – eller om lämpliga skyddsåtgärder enligt artikel 46 finns, såsom EU-kommissionens standardavtalsklausuler. Grunden för varje underbiträde anges i förteckningen enligt avsnitt 7.

9. Bistånd med de registrerades rättigheter

Nodheim bistår er, med hänsyn till behandlingens art, genom lämpliga tekniska och organisatoriska åtgärder med att besvara begäran om de registrerades rättigheter. Plattformens inbyggda verktyg för registerutdrag (DSAR-export) och radering hjälper er att tillgodose begäran om tillgång, rättelse och radering. En begäran som Nodheim tar emot direkt från en registrerad vidarebefordras till er utan onödigt dröjsmål.

10. Personuppgiftsincidenter

Nodheim underrättar er utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som rör uppgifter som behandlas för er räkning. Underrättelsen beskriver, i den mån uppgifterna finns tillgängliga, incidentens art, berörda kategorier och ungefärligt antal registrerade och poster, de sannolika konsekvenserna och de åtgärder som vidtagits eller föreslås. Nodheim bistår er med den information ni behöver för att fullgöra era skyldigheter enligt artiklarna 33 och 34.

11. Konsekvensbedömning och förhandssamråd

Nodheim bistår er, med hänsyn till behandlingens art och den information Nodheim har tillgång till, när ni gör en konsekvensbedömning avseende dataskydd enligt artikel 35 och vid förhandssamråd med Integritetsskyddsmyndigheten eller annan tillsynsmyndighet enligt artikel 36.

12. Radering och återlämnande

När tjänsteavtalet upphör raderar eller återlämnar Nodheim, enligt ert val, samtliga personuppgifter som behandlats för er räkning och raderar befintliga kopior, om inte unionsrätt eller svensk rätt kräver fortsatt lagring.

13. Granskning

Nodheim tillhandahåller den information som krävs för att visa att skyldigheterna i artikel 28 uppfylls och möjliggör och bidrar till granskningar, inklusive inspektioner, som genomförs av er eller av en oberoende revisor som ni anlitar och som är bunden av tystnadsplikt.

Granskning får ske högst en gång per kalenderår, utom efter en personuppgiftsincident eller när en tillsynsmyndighet begär det. Ni meddelar Nodheim skriftligen minst 60 dagar i förväg, och parterna kommer i förväg överens om tidpunkt, omfattning och varaktighet. Varje part står sina egna kostnader för granskningen.

14. Tillämplig lag, tvist och företräde

Detta avtal regleras av svensk rätt. Tvister ska avgöras av allmän domstol med Malmö tingsrätt som första instans. Vid motstridighet mellan detta avtal och tjänsteavtalet i frågor om behandling av personuppgifter har detta avtal företräde.