Personuppgiftsbiträdesavtal

Biträdesavtalet ingås i elektronisk form (art. 28.9) när kunden godkänner användarvillkoren och skapar ett organisationskonto. Avtalet gäller så länge DokumentAdress behandlar personuppgifter för kundens räkning. Ett undertecknat exemplar kan begäras via dataskydd@dokumentadress.se.

Vid konflikt gäller detta biträdesavtal före användarvillkoren i frågor som rör behandling av personuppgifter. Ett separat undertecknat biträdesavtal gäller före detta dokument.

Behandlingen omfattar mottagning, lagring, maskinell tolkning, granskningsstöd och utleverans av dokument som kunden skickar in via e-post, API eller foto, samt tillhörande händelseloggning. Ändamålet är att tillhandahålla tjänsten enligt användarvillkoren. Behandlingen pågår under avtalstiden och den efterföljande hämtnings- och raderingsperioden.

Kategorier av registrerade: kundens anställda och användare samt kontaktpersoner hos kundens leverantörer och motparter. Typer av personuppgifter: namn, kontaktuppgifter, roll och organisationstillhörighet; uppgifter som förekommer i fakturor, följesedlar och återkallelser, inklusive organisationsnummer som för enskilda näringsidkare utgörs av personnummer; e-postmetadata; samt tekniska loggdata. Känsliga personuppgifter (art. 9) och uppgifter om lagöverträdelser (art. 10) ska inte behandlas i tjänsten.

DokumentAdress behandlar uppgifterna enbart enligt kundens dokumenterade instruktioner, även i fråga om överföring till tredjeland, såvida inte unionsrätt eller svensk rätt kräver annat; i så fall informeras kunden innan behandlingen om inte lagen förbjuder det (art. 28.3 a). Detta avtal, användarvillkoren och konfigurationen i plattformen — inkorgar, gallringsinställningar, integrationer, webhooks och behörigheter — utgör kundens instruktioner. Ytterligare instruktioner lämnas skriftligen till dataskydd@dokumentadress.se.

Anser DokumentAdress att en instruktion strider mot GDPR eller annan dataskyddslagstiftning informeras kunden omedelbart (art. 28.3 sista stycket). DokumentAdress får då avvakta med att utföra instruktionen tills den bekräftats eller ändrats.

DokumentAdress säkerställer att varje person som har åtkomst till personuppgifterna — innehavare, eventuell personal och anlitade konsulter — omfattas av tystnadsplikt genom avtal eller lag och endast behandlar uppgifterna enligt instruktionerna (art. 28.3 b). Tystnadsplikten gäller även efter att uppdraget upphört.

• Isolering per organisation med radnivåsäkerhet i databasen.
• Privat fillagring; åtkomst endast via kortlivade signerade länkar.
• Kryptering under överföring och i vila.
• Hashade, behörighetsbegränsade API-nycklar och HMAC-SHA256-signerade webhooks.
• Begränsning av anropsfrekvens och säkerhetslogg med hashad IP-adress.
• Oföränderlig händelselogg (append-only) för spårbarhet.
• Behörighet enligt principen om minsta möjliga privilegium och personlig inloggning.
• Maskering av direkta identifierare innan text skickas till tolkningsmodell, där tolkningen inte kräver dem.
• Säkerhetskopiering med återläsningstester och dokumenterad incidenthantering.

Åtgärderna kan utvecklas över tid men får inte sänka skyddsnivån under avtalstiden. Aktuell teknisk beskrivning lämnas på begäran.

Kunden ger ett allmänt förhandsgodkännande (art. 28.2) till de underbiträden som framgår av förteckningen. Byte eller tillägg aviseras kundens administratör skriftligen minst 30 dagar innan det träder i kraft. Kunden har rätt att invända på sakliga grunder inom aviseringstiden. Kan parterna inte enas har kunden rätt att säga upp berörd tjänst utan uppsägningstid och med återbetalning av förutbetalda avgifter för tiden efter upphörandet.

DokumentAdress ålägger varje underbiträde samma skyldigheter som följer av detta avtal genom skriftligt avtal och ansvarar fullt ut gentemot kunden för underbiträdets fullgörande (art. 28.4).

Behandling sker inom EU/EES. Överföring till land utanför EU/EES får endast ske till land som omfattas av EU-kommissionens beslut om adekvat skyddsnivå (art. 45) eller med stöd av kommissionens standardavtalsklausuler (art. 46.2 c) tillsammans med dokumenterad konsekvensbedömning och kompletterande skyddsåtgärder. Aktuella överföringar framgår av förteckningen över underbiträden. Kunden instruerar genom detta avtal sådana överföringar.

DokumentAdress bistår kunden, med hänsyn till behandlingens art och tillgänglig information, med att besvara registrerades begäran (art. 12–22), med säkerhetsåtgärder, incidentanmälningar, konsekvensbedömningar och förhandssamråd (art. 32–36). Begäran som kommer direkt från en registrerad och rör kundens dokument vidarebefordras till kunden utan onödigt dröjsmål.

Vid en personuppgiftsincident som rör kundens uppgifter lämnas skriftligt besked till kundens administratör utan onödigt dröjsmål, med målsättning inom 24 timmar från det att incidenten upptäcktes, med kända fakta, sannolika konsekvenser och vidtagna eller föreslagna åtgärder (art. 33.2). Information som inte är tillgänglig vid första beskedet lämnas efterhand.

Kunden har rätt till revision en gång per år, eller efter en incident, genom tillgång till dokumentation och skriftliga frågor som besvaras inom skälig tid (art. 28.3 h). Granskning på plats eller av oberoende tredje part avtalas separat, ska aviseras minst 30 dagar i förväg, genomföras under sekretess och utan att andra kunders data exponeras.Granskning genom dokumentation och skriftliga frågor sker utan kostnad. Vid granskning på plats eller av tredje part står varje part för sina egna kostnader; skälig ersättning för vår nedlagda tid kan debiteras om granskningen inte föranleds av en incident eller ett konstaterat avtalsbrott.

Vid avtalets slut hålls kundens data tillgänglig för export i minst 30 dagar och raderas därefter, inklusive hos underbiträden, inom 30 dagar (art. 28.3 g). Radering bekräftas skriftligen på begäran. Kopior i säkerhetskopior raderas enligt gallringsschemat i integritetspolicyn.

Undantag gäller endast uppgifter som DokumentAdress själv är skyldig att bevara enligt unionsrätt eller svensk rätt, såsom eget faktureringsunderlag enligt bokföringslagen. Sådana uppgifter spärras och behandlas inte för andra ändamål. Kundens egen räkenskapsinformation omfattas inte av något sådant undantag; kunden ansvarar för att exportera den före radering.

Ansvar mellan parterna regleras i användarvillkoren. Ansvar gentemot registrerade följer GDPR art. 82 och begränsas inte av detta avtal. Vardera parten ansvarar för administrativa sanktionsavgifter som påförts den parten.

Kontaktpunkt för frågor om detta avtal: dataskydd@dokumentadress.se.